Ugovor o obradi osobnih podataka

Voditelj obrade: autoškola koja koristi Avero platformu i određuje svrhe i sredstva obrade osobnih podataka svojih polaznika, instruktora, predavača i drugih osoba.

Izvršitelj obrade: Strive, Vinkovačka 13, kao pružatelj Avero platforme.

Predmet ovog DPA je obrada osobnih podataka koju Strive provodi u ime autoškole radi pružanja Avero SaaS usluge.

Obrada traje dok autoškola koristi Avero platformu, odnosno dok postoji korisnički račun autoškole, te dodatno onoliko koliko je potrebno radi izvoza, brisanja, sigurnosnih kopija, računovodstvenih obveza ili rješavanja sporova.

Obrada uključuje prikupljanje, pohranu, pregled, izmjenu, organizaciju, dohvat, prijenos, brisanje i druge radnje potrebne za pružanje Avero platforme.

Svrhe obrade uključuju:

• upravljanje radom autoškole
• vođenje evidencije polaznika
• planiranje i evidenciju vožnji
• evidenciju predavanja i ispita
• evidenciju uplata
• komunikaciju unutar sustava
• praćenje ruta vožnje tijekom trajanja vožnje
• pružanje tehničke podrške
• održavanje i sigurnost sustava

Mogu se obrađivati sljedeće vrste podataka:

• ime i prezime
• e-mail adresa
• broj mobitela
• uloga korisnika
• profilna slika
• status liječničkog uvjerenja
• podaci o terminima vožnje
• podaci o ispitima
• podaci o uplatama, uključujući iznos i datum uplate
• lokacijski podaci i rute vožnje tijekom aktivne vožnje
• tehnički podaci o korištenju sustava
• podaci o prijavi i aktivnostima unutar aplikacije

Avero prema trenutnim informacijama ne obrađuje OIB, datum rođenja ni adresu polaznika kao standardna strukturirana polja.

Kategorije ispitanika mogu uključivati:

• vlasnike autoškola
• administratore autoškola
• instruktore
• predavače
• polaznike
• kontakt osobe autoškole

Strive se obvezuje:

• obrađivati osobne podatke samo prema dokumentiranim uputama autoškole
• osigurati da osobe ovlaštene za obradu podataka budu obvezane povjerljivošću
• primjenjivati odgovarajuće tehničke i organizacijske mjere zaštite
• pomagati autoškoli u ispunjavanju obveza prema ispitanicima kada je to razumno moguće
• pomagati autoškoli u vezi sa sigurnosnim incidentima, procjenama učinka i savjetovanjem s nadzornim tijelom kada je primjenjivo
• obavijestiti autoškolu o povredi osobnih podataka bez nepotrebnog odgađanja nakon saznanja
• po prestanku pružanja usluge obrisati ili vratiti osobne podatke, osim ako je čuvanje potrebno prema zakonu ili radi legitimnih sigurnosnih/pravnih razloga
• omogućiti informacije potrebne za dokazivanje ispunjavanja obveza iz ovog DPA

Autoškola se obvezuje:

• osigurati zakonitu osnovu za obradu podataka
• informirati ispitanike o korištenju Avero platforme
• osigurati da se u sustav unose samo potrebni i točni podaci
• upravljati korisničkim pristupima i ovlastima
• osigurati da se lokacijski podaci koriste zakonito i samo za opravdane svrhe
• pravodobno obavijestiti Strive o svim posebnim uputama, zahtjevima ispitanika ili ograničenjima obrade

Autoškola ovlašćuje Strive da koristi podizvršitelje obrade potrebne za pružanje usluge.

Trenutni podizvršitelji navedeni su u Popisu podizvršitelja. Strive će ažurirati popis kada dođe do promjena.

Ako autoškola ima opravdan prigovor na novog podizvršitelja, može kontaktirati Strive u razumnom roku nakon obavijesti o promjeni.

Strive primjenjuje tehničke i organizacijske mjere opisane u dokumentu “Sigurnosne mjere / TOM”.

Te mjere mogu uključivati:

• autentifikaciju korisnika
• kontrolu pristupa prema ulogama
• ograničenje pristupa produkcijskim podacima
• sigurnosne kopije
• enkripciju u prijenosu
• sigurnosne postavke cloud servisa
• evidentiranje važnih aktivnosti
• postupke za upravljanje incidentima

Ako Strive sazna za povredu osobnih podataka koja se odnosi na podatke autoškole, obavijestit će autoškolu bez nepotrebnog odgađanja.

Obavijest će, kada je moguće, sadržavati:

• opis incidenta
• kategorije i približan broj ispitanika
• kategorije i približan broj zapisa
• moguće posljedice
• mjere koje su poduzete ili predložene
• kontakt za dodatna pitanja

Ako Strive primi zahtjev ispitanika koji se odnosi na podatke koje obrađuje u ime autoškole, Strive će, kada je primjenjivo, uputiti ispitanika na autoškolu ili proslijediti zahtjev autoškoli.

Po prestanku korištenja usluge, autoškola može zatražiti izvoz podataka.

Nakon isteka razumnog roka za izvoz, Strive može obrisati ili anonimizirati podatke, osim ako je daljnje čuvanje potrebno zbog zakonskih, računovodstvenih, sigurnosnih ili pravnih razloga.

Ako podizvršitelji obrađuju podatke izvan EGP-a, Strive će koristiti odgovarajuće zaštitne mehanizme predviđene GDPR-om.

Ovaj DPA primjenjuje se zajedno s Uvjetima korištenja. U slučaju sukoba između ovog DPA i Uvjeta korištenja u vezi s obradom osobnih podataka, prednost ima ovaj DPA.