1. Uloge i ugovorne strane
Dom koji određuje zašto i kako koristi podatke svojih štićenika i radnika djeluje kao voditelj obrade. Origin, obrt za IT usluge, vl. Domagoj Špoljarić, Frana Supila 28, 33515 Orahovica, Republika Hrvatska, djeluje kao izvršitelj obrade kada pruža i održava platformu DigitalniDom prema dokumentiranim uputama doma.
2. Predmet, priroda i trajanje
Obrada obuhvaća unos, strukturiranje, pohranu, prikaz, izmjenu, izvoz, zaštitu, sigurnosno kopiranje i brisanje podataka radi pružanja ugovorenih modula. Traje za vrijeme glavnog ugovora i nakon toga samo koliko je potrebno za kontrolirani izvoz, brisanje, istek sigurnosnih kopija ili ispunjenje pravne obveze.
3. Ispitanici i vrste podataka
Ispitanici mogu biti štićenici, potencijalni štićenici, članovi obitelji, skrbnici, kontakti, radnici, kandidati, dobavljači i ovlašteni korisnici. Podaci mogu uključivati identifikacijske, kontaktne, smještajne, socijalne, financijske, radne i zdravstvene podatke te dokumente i audit zapise.
4. Dokumentirane upute
Izvršitelj obrađuje podatke samo prema ugovoru, konfiguraciji koju ovlašteni korisnici doma zadaju kroz aplikaciju i naknadnim pisanim uputama doma. Ako smatra da je uputa protivna propisu, bez odgađanja o tome obavještava dom i može obustaviti spornu obradu dok se uputa ne razjasni.
5. Povjerljivost i pristup
Osobe koje imaju pristup podacima obvezane su na povjerljivost i dobivaju samo pristup potreban za zadatak. Produkcijski administrativni pristup ograničen je, evidentiran i koristi se samo za održavanje, podršku, sigurnost ili postupanje po odobrenoj uputi doma.
6. Sigurnost obrade
Izvršitelj provodi mjere primjerene riziku, uključujući tenant izolaciju, kontrolu pristupa po ulozi, HTTPS, MFA za platform administratora, zaštitu datoteka, audit, šifrirane sigurnosne kopije, nadzor dostupnosti, upravljanje tajnama i redovite sigurnosne provjere. Detalji su u prilogu DPA-a i na stranici Sigurnosne mjere.
7. Podizvršitelji i prijenosi
Dom daje pisano odobrenje podizvršitelja potpisanim DPA-om; posjet ovoj stranici nije odobrenje. Informacije su dostupne na aktualnom popisu. Nova ili zamijenjena obrada najavljuje se najmanje 15 dana unaprijed. Prijenos izvan EGP-a dopušten je samo uz primjenjiv mehanizam iz poglavlja V. GDPR-a.
8. Pomoć voditelju obrade
Uzimajući u obzir prirodu obrade, izvršitelj razumno pomaže domu kod prava ispitanika, sigurnosti obrade, procjene učinka, prethodnog savjetovanja i dokazivanja usklađenosti. Zahtjev ispitanika koji se odnosi na podatke doma prosljeđuje se domu bez samostalnog odlučivanja o zahtjevu.
9. Povreda osobnih podataka
Nakon saznanja za povredu podataka izvršitelj obavještava dom bez nepotrebnog odgađanja, ciljano unutar 24 sata od saznanja za povredu. Ne čeka se završetak istrage. Dostavlja poznate informacije o prirodi i opsegu, mogućim posljedicama, poduzetim mjerama i kontaktu za daljnju koordinaciju te informacije dopunjava kako postaju dostupne.
10. Povrat i brisanje
Po prestanku usluge dom bira povrat ili brisanje aktivnih podataka, osim ako propis zahtijeva čuvanje. Prema novom ugovornom paketu nakon prijelaza slijedi 30 dana za preuzimanje, zatim najviše dodatnih 30 dana za brisanje aktivne pohrane, uključujući pripadajući audit. Za postojeće ugovore vrijedi njihov DPA. Arhiviranje doma nije brisanje. Restic kopije imaju najveću starost 90 dana, a dodatne serverske snimke 30 dana; ne koriste se za redovan rad. E-mail i Googleove tehničke kopije imaju zaseban postupak i rok iz DPA-a, do 180 dana nakon nepovratne upute Googleu. Konačna potvrda izdaje se tek nakon provjere svih slojeva.
11. Dokazivanje i revizija
Izvršitelj daje informacije potrebne za dokazivanje obveza iz članka 28. GDPR-a. Razumna revizija provodi se najviše jednom godišnje uz prethodnu najavu, uz zaštitu drugih klijenata i sigurnosti sustava, osim kada incident, regulator ili osnovana sumnja zahtijevaju dodatnu provjeru.
12. Odgovornost voditelja
Dom odgovara za zakonitost prikupljanja i unosa, pravne osnove, transparentnost prema ispitanicima, točnost uputa, rokove zakonskih evidencija i upravljanje vlastitim korisnicima. Korištenje platforme samo po sebi ne određuje pravnu osnovu niti zamjenjuje procjenu učinka doma kada je ona potrebna.