Ugovor o obradi podataka

1. Predmet i trajanje

Predmet: podaci o ličnosti sadržani u poslovnim podacima koje korisnik i njegovi korisnici unose u e:corg one ili primaju preko integracija koje povežu, obrađeni radi pružanja usluge opisane u Uslovima korišćenja.

Trajanje: trajanje pretplate korisnika i, nakon njenog prestanka, do brisanja ili vraćanja podataka prema odeljku 9.

2. Priroda i svrha obrade

• Hosting i čuvanje organizacije korisnika u e:corg one.
• Evidentiranje i obračun dokumenata nabavke i prodaje, računa sa kase, zaliha, plaćanja, dugovanja i knjiženja, kao i izrada izvoza i prijava koje korisnik zatraži.
• Slanje dokumenata, poziva, podsetnika i elektronskih računa e-poštom po uputstvu korisnika.
• Razmena podataka sa uslugama koje korisnik poveže: kuriri, marketplace platforme i onlajn prodavnice, platni terminali, računovodstveni softver.
• Analize, prognoze i odgovori asistenta marql ugrađenog u e:corg one, za sopstvenu organizaciju korisnika (odeljak 6).
• Podrška na zahtev korisnika i bezbednost usluge (kontrola pristupa, evidencije, sprečavanje zloupotreba).

Podatke obrađujemo samo u ove svrhe. Nikada ih ne koristimo za sopstvene svrhe, oglašavanje ili profilisanje i nikada ih ne prodajemo.

3. Kategorije lica na koja se podaci odnose

• Korisnici i zaposleni korisnika: vlasnici, administratori, kasiri, magacioneri, računovođe i gosti pozvani na popis.
• Kupci korisnika: kupci navedeni na fakturama i računima, lica koja traže elektronski račun, primaoci onlajn porudžbina i isporuka, članovi programa lojalnosti korisnika.
• Partneri korisnika: dobavljači, preduzetnici i kontakt osobe partnerskih kompanija.
• Druga lica navedena u dokumentima korisnika, na primer vozači i ovlašćena lica u transportnim dokumentima.

4. Kategorije podataka o ličnosti

• Podaci za identifikaciju i kontakt: ime, adresa e-pošte, telefon, poštanska adresa i adresa isporuke.
• Poreski i matični identifikatori partnera, a lični identifikacioni brojevi samo ako ih korisnik unese, na primer kada ih zakon zahteva na fakturi.
• Podaci o transakcijama: fakture, računi, porudžbine, isporuke, plaćanja, dugovanja, stavke izvoda i poeni lojalnosti.
• Podaci o zaposlenima: korisnički nalog, uloga, prodavnice, smene i aktivnosti na kasi, razlike u kasi i evidencija aktivnosti.
• Tehnički podaci: IP adrese, uređaji, sesije i bezbednosne evidencije.

e:corg one nije namenjen posebnim vrstama podataka o ličnosti (član 9. GDPR-a); korisnik ih ne bi trebalo da unosi.

5. Naše obaveze

• Uputstva: podatke obrađujemo samo po dokumentovanim uputstvima korisnika, uključujući i u pogledu prenosa podataka o ličnosti u treću zemlju ili međunarodnu organizaciju. Ta uputstva su Uslovi korišćenja, ovaj DPA i način na koji korisnik koristi i podešava e:corg one. Ako nam se čini da uputstvo krši propise o zaštiti podataka, obaveštavamo korisnika. Ako nas zakon obavezuje da podatke obradimo drugačije, o tome unapred obaveštavamo korisnika, osim ako zakon to zabranjuje.
• Poverljivost: pristup imaju samo lica kojima je potreban za pružanje ili podršku usluge, i ona su obavezana na poverljivost.
• Bezbednost (član 32): šifrovane veze (HTTPS); pristupni ključevi integracija šifrovani u mirovanju (AES-256-GCM); baza podataka dostupna samo iz privatne mreže aplikacije; podaci svake organizacije odvojeni od podataka drugih u svakom upitu; pristup po ulogama i prodavnicama unutar organizacije; prijava u dva koraka; ograničenje broja zahteva, bezbednosne evidencije i evidencija aktivnosti; proknjiženi dokumenti koji se ne mogu menjati; redovne bezbednosne provere i javna adresa za prijavu ranjivosti (security@ecorg.one).
• Pomoć: pomažemo korisniku u procenama uticaja na zaštitu podataka i prethodnim konsultacijama sa nadzornim organom, u meri u kojoj nam dostupne informacije to dozvoljavaju.

6. Podobrađivači

• Railway Corporation (Sjedinjene Države; Railway region EU West, Evropska unija): hosting aplikacije, baze podataka i sačuvanih fajlova.
• Resend (Sjedinjene Države; region u EU): isporuka e-pošte koju aplikacija šalje po uputstvu korisnika.
• MARQL LTD (Ujedinjeno Kraljevstvo; podaci se čuvaju u Evropskoj uniji), srodni analitički proizvod e:corg one: analize, prognoze i AI odgovori za organizaciju korisnika. Njegovi podobrađivači navedeni su na marql.one/subprocessors. Korisnik može isključiti marql u svakom trenutku (Politika privatnosti, odeljak 5).
• Apple (Apple Push Notification service) i Google (Firebase Cloud Messaging): isporuka obaveštenja u mobilnu aplikaciju e:corg one, samo za korisnike koji ih uključe. Obaveštenje ne prikazuje iznose osim ako korisnik to izabere.

Korisnik daje opšte ovlašćenje za podobrađivače navedene u nastavku. Svaki od njih je pisanim ugovorom obavezan na obaveze zaštite podataka jednake ovom DPA, a mi ostajemo odgovorni korisniku za njihov rad.

6.1 Izmene podobrađivača

Novog ili zamenskog podobrađivača najavljujemo najmanje 30 dana unapred, e-poštom vlasnicima i administratorima organizacije i u aplikaciji, i ažuriramo ovaj spisak. Korisnik u tom roku može uložiti prigovor iz opravdanih razloga zaštite podataka. Ako ne možemo da odgovorimo na prigovor, korisnik može otkazati pretplatu pre nego što izmena počne da se primenjuje, bez penala.

Stripe obrađuje plaćanja za pretplatu korisnika na e:corg one; za te podatke o naplati rukovalac smo mi, pa Stripe nije podobrađivač poslovnih podataka korisnika. Usluge koje korisnik sam poveže (poreski organi, kuriri, marketplace platforme, banke, računovodstveni softver, sopstveni platni nalozi) primaju podatke po uputstvu korisnika i nisu naši podobrađivači.

7. Zahtevi lica na koja se podaci odnose

e:corg one omogućava korisniku da pronađe, ispravi, izveze i obriše podatke o ličnosti kojima raspolaže, kako bi mogao da odgovori na zahteve lica. Ako nam lice piše o podacima kojima upravlja korisnik, prosleđujemo zahtev korisniku i ne odgovaramo sami, osim ako korisnik to od nas zatraži. Kada korisniku treba dodatna pomoć, pružamo je.

8. Povrede podataka o ličnosti

Korisnika obaveštavamo bez nepotrebnog odlaganja nakon što saznamo za povredu podataka o ličnosti koja pogađa njegove podatke, i trudimo se da to učinimo u roku od 24 sata, e-poštom vlasnicima i administratorima organizacije. Obaveštenje opisuje, koliko je poznato, prirodu povrede, kategorije i približan broj pogođenih lica i zapisa, verovatne posledice i preduzete ili predložene mere; dopunjujemo ga kako saznajemo više. Pratimo dokumentovan postupak odgovora na incidente, ograničavamo povredu i pomažemo korisniku da ispuni svoje obaveze obaveštavanja nadzornog organa i pogođenih lica.

9. Prestanak obrade

Dok je pretplata aktivna i 30 dana nakon što obavestimo korisnika da je pretplata prestala, korisnik može izvesti svoje podatke (računovodstveni izvozi, CSV i API za izvoz); taj izvoz je način na koji se podaci vraćaju. Podatke organizacije brišemo 90 dana nakon tog obaveštenja ili 7 dana nakon što korisnik sam zatraži brisanje, osim ako zahtev povuče u tih 7 dana. Od podobrađivača, uključujući marql, tražimo da obrišu svoje kopije; sopstvena marql organizacija korisnika povezana sa e:corg one se samo razvezuje, ne briše se. Rezervne kopije ističu u skladu sa rokom čuvanja rezervnih kopija hosting provajdera. Čuvamo samo sopstvene fakture izdate korisniku i minimalnu evidenciju o brisanju bez podataka o ličnosti, kao i podatke koje pravo Evropske unije ili države članice ili, kada se primenjuje, pravo Ujedinjenog Kraljevstva nalaže da čuvamo, samo u tu svrhu.

10. Revizije

Korisniku stavljamo na raspolaganje informacije potrebne za dokazivanje usklađenosti sa članom 28. i odgovaramo na razumne pisane upitnike. Dozvoljavamo revizije, uključujući inspekcije, koje sprovodi korisnik ili nezavisni revizor koga on odredi i koji je obavezan na poverljivost, uz najavu od 30 dana, u radno vreme i najviše jednom godišnje, osim nakon povrede podataka ili kada to zahteva nadzorni organ. Svaka strana snosi sopstvene troškove.

11. Međunarodni prenos

Podaci korisnika čuvaju se u Evropskoj uniji. Prenos između EU i Ujedinjenog Kraljevstva zasniva se na odluci Evropske komisije o adekvatnosti za Ujedinjeno Kraljevstvo i na propisima Ujedinjenog Kraljevstva o adekvatnosti za EEP. Kada podobrađivač obrađuje podatke van EEP-a ili Ujedinjenog Kraljevstva, prenos se zasniva na odluci o adekvatnosti, kao što je EU-US Data Privacy Framework, ili na standardnim ugovornim klauzulama Evropske komisije (Odluka (EU) 2021/914), a za podatke po pravu Ujedinjenog Kraljevstva na UK International Data Transfer Agreement ili UK Addendum uz te klauzule.

12. Odgovornost, prednost i kontakt

Odgovornost po ovom DPA podleže ograničenjima iz Uslova korišćenja (odeljak 9, Odgovornost), osim kada ih zakon ne dozvoljava. Ako su ovaj DPA i Uslovi korišćenja u suprotnosti u pogledu zaštite podataka o ličnosti, prednost ima ovaj DPA. Merodavno pravo i nadležni sudovi su oni iz Uslova korišćenja.

Pitanja o ovom DPA: hello@ecorg.one. Bezbednosni incidenti i ranjivosti: security@ecorg.one.

Politika privatnosti

Uslovi korišćenja