Ugovor o obradi podataka LuViHub

Ovaj Ugovor o obradi podataka („Ugovor") u skladu s člankom 28. Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka, „GDPR") Prilog je 1 Općim uvjetima korištenja usluge LuViHub za iznajmljivače („Uvjeti") i sklapa se između:

• iznajmljivača koji koristi LuViHub („Voditelj obrade") i
• LuVi Solutions j.d.o.o., [ulica i kućni broj], [poštanski broj] [grad], Hrvatska, OIB [OIB] („Izvršitelj obrade", „mi").

Prihvaća se zajedno s Uvjetima. Pojmovi definirani u Uvjetima (npr. Usluga, Podaci iznajmljivača, Korisnik, Gost) ovdje imaju isto značenje. Obvezujuća je hrvatska verzija.

1Predmet i trajanje

1.1. Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade radi pružanja Usluge prema Uvjetima. Prilog 1 opisuje prirodu i svrhu obrade, vrste osobnih podataka i kategorije ispitanika.

1.2. Ovaj Ugovor primjenjuje se sve dok Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade — od sklapanja ugovora do brisanja podataka prema točki 11.

2Uloge

2.1. Za osobne podatke gostiju i drugih osoba koje Voditelj obrade ili njegovi Korisnici unesu u Uslugu ili koje Usluga primi za njega (npr. s prodajnih kanala ili od gostiju putem online check-ina) iznajmljivač je voditelj obrade, a LuVi Solutions j.d.o.o. izvršitelj obrade.

2.2. Za podatke iznajmljivača i Korisnika koje obrađujemo u vlastite svrhe (ugovor, naplata, podrška, sigurnost Usluge, sprječavanje zlouporabe) mi smo voditelj obrade; primjenjuje se naša Izjava o privatnosti.

2.3. Iz korištenja Usluge možemo izrađivati anonimizirane, zbirne statistike (npr. broj rezervacija po državi) koje ne omogućuju zaključke o pojedinim osobama ili iznajmljivačima te ih koristiti za poboljšanje Usluge.

3Upute

3.1. Osobne podatke obrađujemo samo prema zabilježenim uputama Voditelja obrade, uključujući u pogledu prijenosa u treće zemlje, osim ako to od nas zahtijeva pravo Unije ili države članice; u tom slučaju Voditelja obrade obavještavamo o tom pravnom zahtjevu prije obrade, osim ako to pravo zabranjuje takvo obavješćivanje.

3.2. Uvjeti, ovaj Ugovor, funkcije Usluge i postavke koje Voditelj obrade i njegovi Korisnici odaberu u Usluzi (npr. koji su prodajni kanali, pametne brave, usluge slanja poruka ili AI funkcije povezani, koja se prijava gostiju koristi, koje se poruke šalju automatski) zabilježene su upute Voditelja obrade. Daljnje upute moraju se dati u pisanom obliku (dovoljna je e-pošta) te moraju biti tehnički izvedive i u okviru Usluge.

3.3. Voditelja obrade bez odgode obavještavamo ako smatramo da se nekom uputom krši propis o zaštiti podataka. Izvršenje takve upute možemo odgoditi dok ne bude potvrđena ili izmijenjena.

3.4. Prijenosi po uputi Voditelja obrade. Kada Voditelj obrade koristi funkcije kojima se podaci prenose primateljima koje sam odabere — primjerice prijava gostiju u sustav eVisitor, prijava prema austrijskom Zakonu o prijavi boravka, fiskalizacija i e-računi prema Poreznoj upravi, statistika prema općini ili rezervacije i raspoloživost prema prodajnim kanalima — podatke prenosimo u njegovo ime. Ti primatelji primaju podatke kao primatelji Voditelja obrade i nisu naši podizvršitelji obrade.

4Obveze Voditelja obrade

4.1. Voditelj obrade odgovoran je za zakonitost obrade, osobito za postojanje pravne osnove, informiranje ispitanika (članci 13. i 14. GDPR-a) i odgovaranje na njihove zahtjeve.

4.2. Voditelj obrade unosi samo osobne podatke potrebne za svoje svrhe. Posebne kategorije osobnih podataka (članak 9. GDPR-a, npr. podaci o zdravlju) ne bi se smjele unositi u slobodna tekstualna polja ili poruke osim ako Voditelj obrade za to ima pravnu osnovu.

4.3. Voditelj obrade nas bez odgode obavještava ako uoči pogreške ili nepravilnosti u obradi.

5Povjerljivost

Osiguravamo da su se osobe ovlaštene za obradu osobnih podataka obvezale na povjerljivost ili da podliježu odgovarajućim zakonskim obvezama povjerljivosti te da podatke obrađuju samo prema našim uputama i u nužnoj mjeri.

6Sigurnost obrade

6.1. Provodimo odgovarajuće tehničke i organizacijske mjere u skladu s člankom 32. GDPR-a kako bismo osigurali razinu sigurnosti primjerenu riziku. Mjere su opisane u Prilogu 2.

6.2. Mjere podliježu tehničkom napretku. Možemo ih prilagođavati pod uvjetom da se razina sigurnosti ne smanji.

7Podizvršitelji obrade

7.1. Voditelj obrade daje nam opće odobrenje za angažiranje podizvršitelja obrade. Podizvršitelji angažirani u trenutku sklapanja navedeni su u Prilogu 3; važeći popis dostupan je na luvihub.com/legal/dpa.

7.2. Voditelja obrade e-poštom i u Usluzi obavještavamo najmanje 30 dana prije dodavanja ili zamjene podizvršitelja obrade. Voditelj obrade u tom roku može prigovoriti iz opravdanih razloga zaštite podataka. Ako prigovor ne možemo otkloniti, Voditelj obrade može bez naknade otkazati ugovor prije stupanja promjene na snagu. U hitnim slučajevima (npr. podizvršitelj prestane pružati uslugu ili postoji sigurnosni problem) rok može biti kraći; Voditelja obrade obavještavamo što je prije moguće.

7.3. Svakom podizvršitelju obrade ugovorom namećemo obveze zaštite podataka koje pružaju barem istu razinu zaštite kao ovaj Ugovor, osobito dostatna jamstva za provedbu odgovarajućih tehničkih i organizacijskih mjera. Voditelju obrade ostajemo odgovorni za izvršavanje obveza podizvršitelja obrade.

7.4. Podizvršitelji obrade koji se povezuju tek kada Voditelj obrade uključi odgovarajuću funkciju (npr. WhatsApp, pametne brave, AI funkcije, channel manager) obrađuju podatke samo onih Voditelja obrade koji tu funkciju koriste.

8Prijenos u treće zemlje

8.1. Podatke iznajmljivača pohranjujemo i obrađujemo na poslužiteljima u Europskoj uniji (podatkovni centar u Frankfurtu na Majni, Njemačka).

8.2. Osobni podaci prenose se u zemlju izvan Europskog gospodarskog prostora samo ako su ispunjeni uvjeti iz poglavlja V. GDPR-a — osobito na temelju odluke Europske komisije o primjerenosti (npr. Ujedinjena Kraljevina ili Okvir za privatnost podataka EU-a i SAD-a za certificirane primatelje) ili standardnih ugovornih klauzula Europske komisije, uz dodatne mjere kada je to potrebno. Prilog 3 navodi osnovu prijenosa za svakog podizvršitelja obrade.

9Povrede osobnih podataka

9.1. Voditelja obrade obavještavamo bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati nakon što saznamo za povredu osobnih podataka koja se odnosi na njegove podatke, kako bi mogao ispuniti svoju obvezu iz članka 33. GDPR-a (izvješćivanje nadzornog tijela u roku od 72 sata).

9.2. Obavijest sadrži, koliko je poznato: prirodu povrede, kategorije i približan broj ispitanika i zapisa, vjerojatne posljedice, poduzete ili predložene mjere te kontaktnu točku. Podatke kojima još ne raspolažemo dostavljamo čim budu dostupni.

9.3. Poduzimamo potrebne mjere za zaštitu podataka i ublažavanje mogućih štetnih posljedica te dokumentiramo svaku povredu.

10Pomoć

10.1. Uzimajući u obzir prirodu obrade, pomažemo Voditelju obrade odgovarajućim tehničkim i organizacijskim mjerama u odgovaranju na zahtjeve ispitanika (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor). Usluga za to nudi funkcije (npr. pregled, ispravak, izvoz i brisanje podataka o gostima). Ako nam se ispitanik obrati izravno, zahtjev bez odgode prosljeđujemo Voditelju obrade i sami ne odgovaramo osim po uputi.

10.2. Uzimajući u obzir informacije koje su nam dostupne, pomažemo Voditelju obrade u ispunjavanju obveza iz članaka 32. do 36. GDPR-a (sigurnost, obavješćivanje o povredi, procjena učinka na zaštitu podataka, prethodno savjetovanje).

10.3. Za pomoć koja nadilazi funkcije Usluge i nije uzrokovana našom povredom možemo zaračunati razumne troškove.

11Brisanje i vraćanje

11.1. Nakon prestanka ugovora Voditelj obrade može svoje podatke izvoziti još 180 dana (točka 14.6 Uvjeta). Nakon tog roka brišemo osobne podatke obrađivane u ime Voditelja obrade, osim ako pravo Unije ili države članice od nas zahtijeva njihovu pohranu. Izbrisani podaci mogu ostati u sigurnosnim kopijama do 30 dana dok ne budu prebrisani.

11.2. Tijekom trajanja ugovora podaci se brišu prema funkcijama i postavkama Usluge (npr. austrijska knjiga gostiju automatski se briše 7 godina nakon upisa) ili kada ih Voditelj obrade izbriše.

11.3. Na zahtjev pisano potvrđujemo brisanje.

12Informacije i revizije

12.1. Voditelju obrade stavljamo na raspolaganje sve informacije potrebne za dokazivanje poštovanja članka 28. GDPR-a — osobito ovaj Ugovor, opis mjera (Prilog 2), popis podizvršitelja obrade te, ako postoje, certifikate ili revizijska izvješća.

12.2. Voditelj obrade može provoditi revizije, uključujući inspekcije, sam ili putem neovisnog revizora obvezanog na povjerljivost, uz najavu najmanje 30 dana unaprijed, u uobičajeno radno vrijeme, bez ometanja poslovanja i najviše jednom u kalendarskoj godini — osim ako postoji poseban razlog (npr. povreda osobnih podataka ili nalog nadzornog tijela). Voditelj obrade snosi vlastite troškove; za naš trud možemo zaračunati razumne troškove. Revizije podatkovnih centara podizvršitelja obrade zamjenjuju se njihovim certifikatima i izvješćima.

13Odgovornost

Odgovornost stranaka prema ispitanicima uređena je člankom 82. GDPR-a. U odnosu između stranaka primjenjuju se odredbe Uvjeta o odgovornosti, osim ako prisilni propisi određuju drukčije.

14Završne odredbe

14.1. U slučaju proturječja, u pogledu zaštite podataka ovaj Ugovor ima prednost pred Uvjetima.

14.2. Ovaj Ugovor možemo izmijeniti pod uvjetima iz točke 18. Uvjeta (obavijest najmanje 30 dana unaprijed, pravo otkaza). Izmjene koje zahtijeva propis ili nadzorno tijelo mogu vrijediti i ranije.

14.3. Primjenjuje se hrvatsko pravo. Nadležno nadzorno tijelo za Izvršitelja obrade je Agencija za zaštitu osobnih podataka (AZOP), Zagreb.

14.4. Kontakt za zaštitu podataka: team@luvihub.com.

Prilog 1 – Opis obrade

Svrha: pružanje Usluge Voditelju obrade: upravljanje smještajem, rezervacijama i gostima; stranice za rezervacije i online rezervacije; online check-in i prijava gostiju; komunikacija s gostima; računi i plaćanja; pristup smještaju (pametne brave, parking); statistike i izvješća; AI funkcije ako su uključene.

Priroda obrade: prikupljanje (putem obrazaca, sučelja i uvoza), bilježenje, organiziranje, pohrana, prilagodba, pretraživanje, uporaba, prijenos po uputi Voditelja obrade, ograničavanje i brisanje.

Kategorije ispitanika:

• gosti i osobe koje s njima putuju (uključujući maloljetnike);
• osobe koje šalju upite ili rezerviraju;
• Korisnici Voditelja obrade (zaposlenici, vlasnici, čistačice, lokalni domaćini) i druge kontaktne osobe;
• vlasnici nekretnina kojima upravlja Voditelj obrade.

Vrste osobnih podataka:

• podaci o identitetu: ime i prezime, spol, datum rođenja, državljanstvo;
• podaci o putnoj ispravi: vrsta, broj, datum izdavanja, tijelo i država izdavanja (za prijavu gostiju);
• adresa, adresa e-pošte, broj telefona, jezik;
• podaci o rezervaciji: datumi, jedinica, broj gostiju, cijene, prodajni kanal, napomene, posebni zahtjevi;
• podaci iz online check-ina: vrijeme dolaska, način dolaska, zahtjev za parking, registarska oznaka vozila;
• potpisi (austrijska knjiga gostiju);
• podaci o plaćanju: iznosi, status plaćanja, podaci o načinu plaćanja koje dostavlja pružatelj usluge plaćanja (ne pohranjujemo potpune brojeve kartica);
• podaci za račune, porezni podaci (turistička pristojba, Ortstaxe, oslobođenja);
• podaci o pristupu: pristupni kodovi, razdoblja valjanosti ključeva, zapisi otvaranja vrata;
• komunikacija: e-poruke i poruke s gostima (uključujući WhatsApp/SMS ako se koriste);
• tehnički podaci: IP adresa, preglednik, vremenske oznake na stranicama za goste (npr. za potpise i sigurnost).

Trajanje: za vrijeme trajanja ugovora i do brisanja prema točki 11.

Prilog 2 – Tehničke i organizacijske mjere (članak 32. GDPR-a)

Povjerljivost

• Poslužitelji u profesionalno vođenom podatkovnom centru u Frankfurtu na Majni (Njemačka) s fizičkom kontrolom pristupa, videonadzorom i kontroliranim pristupom pružatelja usluge smještaja na poslužiteljima.
• Šifrirane veze (HTTPS/TLS) za svaki pristup Usluzi i za sučelja prema trećim stranama.
• Zasebna baza podataka za svakog iznajmljivača s vlastitim korisnikom baze; aplikacija razdvaja podatke različitih iznajmljivača.
• Pristup u Usluzi prema ulogama (administrator, prodaja, vlasnik, lokalni domaćin, čistačica …) i ograničenje na jedinice dodijeljene Korisniku.
• Lozinke se pohranjuju samo kao sažeci sa „soli" (bcrypt); ograničenje broja pokušaja prijave; pristup administratora sustava uz dvofaktorsku autentifikaciju.
• Pristupni podaci za usluge trećih strana (npr. tokeni pametnih brava i kanala) pohranjuju se šifrirano.
• Poveznice za goste sa slučajnim tokenima koje nije moguće pogoditi; vezivanje pristupnih poveznica uz uređaj.
• Administrativni pristup poslužiteljima samo za ovlaštene osobe, putem šifriranih veza; portovi baze podataka nisu dostupni s interneta.

Cjelovitost

• Bilježenje važnih promjena (npr. ispravci listova knjige gostiju sa starom i novom vrijednošću, korisnikom i razlogom; zapisi otvaranja vrata; događaji plaćanja).
• Potpisani listovi knjige gostiju zaštićeni kontrolnim zbrojem.
• Provjera unosa i zaštita od uobičajenih web napada (npr. pravila sigurnosti sadržaja, zaštita obrazaca).

Dostupnost i otpornost

• Automatske dnevne sigurnosne kopije svih baza podataka i prenesenih datoteka, provjerene i čuvane 30 dana, sa šifriranom kopijom kod odvojenog pružatelja u EU-u.
• Nadzor rada usluga; postupci ponovnog pokretanja; testirana obnova sigurnosnih kopija.
• Ažuriranja operativnog sustava i softverskih komponenti.

Postupci redovitog testiranja i procjene

• Pregled mjera najmanje jednom godišnje te nakon značajnih promjena ili incidenata.
• Zasebno testno okruženje; promjene se testiraju prije objave; testni sustavi ne šalju poruke stvarnim gostima i ne upravljaju stvarnim bravama.
• Dokumentirani postupak za povrede osobnih podataka (točka 9).

Prilog 3 – Podizvršitelji obrade