Ugovor o obradi podataka

Ovaj SPORAZUM O OBRADI PODATAKA (u daljnjem tekstu „DPA“) uključujući njegove dodatke opisuje obveze ugovornih strana, uključujući one prema primjenjivim zakonima o zaštiti podataka, u pogledu obrade osobnih podataka (kako je definirano u nastavku). DPA je sastavni dio Korisničkog ugovora.

Ovaj DPA sklopljen je između Organizacije (u daljnjem tekstu „Voditelj obrade“)

i 

Mollie B.V., društva s ograničenom odgovornošću (besloten vennootschap) sa sjedištem u Amsterdamu, na adresi Keizersgracht 126, 1015 CW Amsterdam, Nizozemska, upisanog u nizozemski trgovački registar pod brojem 30204462 (u daljnjem tekstu „Mollie“ ili „Izvršitelj obrade“)

i 

Mollie UK Ltd., društva s ograničenom odgovornošću sa sjedištem u Londonu, 7 Pancras Square, London N1C 4AG, Ujedinjeno Kraljevstvo, upisanog u registar Companies House pod brojem 14013554 (u daljnjem tekstu „Mollie“ ili „Izvršitelj obrade“),

svaki pojedinačno „Strana“, a zajedno „Strane“. 

Definicije 

U ovom DPA-u sljedeći pojmovi imaju značenje kako je navedeno u nastavku. Pojmovi napisani velikim početnim slovom koji se koriste, ali nisu ovdje definirani, imaju značenje navedeno u Ugovoru.

Ugovor: Ugovor između Voditelja obrade i Izvršitelja obrade o pružanju usluga („Korisnički ugovor”).

Obvezujuća korporativna pravila: Politike zaštite osobnih podataka kojih se pridržava voditelj obrade ili izvršitelj obrade s poslovnim nastanom na državnom području države članice za prijenose ili skupove prijenosa osobnih podataka voditelju obrade ili izvršitelju obrade u jednoj ili više trećih zemalja unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću.

Voditelj obrade: Fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka.

Kupac: Kupci Organizacije koji žele platiti proizvode i/ili usluge koje pruža Organizacija putem Mollie platnog modula.

Povreda podataka: Povreda sigurnosti koja vodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani. 

Sporazum o obradi podataka: Ovaj sporazum, uključujući sve privitke.

Nadzorno tijelo: Neovisno državno tijelo nadležno za nadzor usklađenosti s primjenjivim zakonima koji se odnose na obradu osobnih podataka. U Nizozemskoj je to Autoriteit Persoonsgegevens.

Procjena učinka na zaštitu podataka: Procjena učinka predviđenih postupaka obrade na zaštitu osobnih podataka.

Zakoni o zaštiti podataka: Svo primjenjivo zakonodavstvo koje se odnosi na zaštitu podataka i privatnost uključujući, bez ograničenja, Opću uredbu o zaštiti podataka EU-a, sve lokalne zakone i propise koji ih mijenjaju ili zamjenjuju, zajedno sa svim nacionalnim zakonima o provedbi u bilo kojoj državi članici Europskog gospodarskog prostora (EGP), u mjeri u kojoj je to primjenjivo, u bilo kojoj drugoj zemlji, kako su povremeno izmijenjeni, stavljeni izvan snage, konsolidirani ili zamijenjeni.

Ispitanik: Fizička osoba na koju se odnose osobni podaci (npr. Kupci).

GDPR: Opća uredba o zaštiti podataka (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka. 

Osobni podaci: Svi podaci koji se odnose na pojedinca čiji je identitet identificiran ili se može identificirati; pojedinac čiji se identitet može identificirati jest osoba koja se može identificirati, izravno ili neizravno, uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca. 

Obrada: Svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima, kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje. Ovaj popis nije iscrpan. Pojmovi „obrađivati“, „obrađuje“ i „obrađeno“ tumačit će se u skladu s tim. 

Izvršitelj obrade: Fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje (osobne) podatke u ime voditelja obrade.

Organizacija: Organizacija koja koristi Platni modul tvrtke Mollie u svrhe koje uključuju, ali nisu ograničene na, prodaju proizvoda i/ili usluga Kupcima.

Standardne ugovorne klauzule: Standardne ugovorne klauzule Europske komisije za izvršitelje obrade podataka (2010/87/EU) ili Provedbena odluka Komisije (EU) 2021/914 od 4. lipnja 2021. o standardnim ugovornim klauzulama za prijenos osobnih podataka trećim zemljama u skladu s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća (C/2021/3972).
Podizvršitelj obradebilo koja treća osoba, subjekt ili tvrtka koju je angažirao Izvršitelj obrade za obradu osobnih podataka prilikom pružanja usluga prema Ugovoru.

ODJELJAK A: SVRHA 

Članak A.1 Područje primjene

Mollie je pristala pružati usluge Voditelju obrade kao izvršitelj obrade u skladu s primjenjivim uvjetima specifičnim za proizvod ili Korisničkim ugovorom. Prilikom pružanja ovih usluga, Izvršitelj obrade će u ime Voditelja obrade obrađivati Osobne podatke kako je utvrđeno u ovom DPA-u. Mollie, kao financijska institucija, također obrađuje Osobne podatke djelujući kao voditelj obrade. 

Strane prepoznaju i suglasne su da u mjeri u kojoj Mollie obrađuje Osobne podatke uključene u platne transakcije radi: i) izvršenja Korisničkog ugovora s Voditeljem obrade; ii) praćenja, sprječavanja i otkrivanja prijevarnih platnih transakcija; iii) usklađivanja sa zakonskim ili regulatornim obvezama koje se primjenjuju na obradu i zadržavanje podataka o plaćanju kojima Mollie podliježe, uključujući primjenjive provjere protiv pranja novca i usklađenost s obvezama poznavanja svog klijenta (KYC); i iv) poboljšanja Molliejevih proizvoda i usluga, Mollie djeluje kao voditelj obrade podataka i ima isključivu i iznimnu ovlast za utvrđivanje svrha i sredstava obrade Osobnih podataka koje prima od ili putem (pružanja usluga) Voditelja obrade.

Aktivnosti obrade, Osobni podaci i kategorije Ispitanika za koje Izvršitelj obrade obrađuje Osobne podatke u ime Voditelja obrade navedeni su u Prilogu A. 

ODJELJAK B: OBVEZE 

Članak B.1 Obveze voditelja obrade 

Voditelj obrade odgovoran je za Osobne podatke koje će Izvršitelj obrade obrađivati i dužan je osigurati usklađenost sa svim Zakonima o zaštiti podataka, uključujući zahtjeve koji se odnose na prijenos Osobnih podataka prema ovom DPA-u i Korisničkom ugovoru. Voditelj obrade jamči da ima pravo obrađivati Osobne podatke i da ima pravo imenovati Izvršitelja obrade za obradu podataka u ime Voditelja obrade.

Voditelj obrade suglasan je da je, bez ograničavanja obveza Izvršitelja obrade prema ovom DPA-u, Voditelj obrade isključivo odgovoran za korištenje usluga, što uključuje (a) primjereno korištenje usluga radi osiguravanja razine sigurnosti koja odgovara riziku u pogledu Osobnih podataka; (b) osiguravanje vjerodajnica za autentifikaciju računa, sustava i uređaja koje Voditelj obrade koristi za pristup uslugama; (c) osiguravanje sustava i uređaja Voditelja obrade koje koristi s uslugama; i (d) održavanje vlastitih sigurnosnih kopija Osobnih podataka.

Članak B.2 Obveze izvršitelja obrade 

Izvršitelj obrade obvezuje se da će: 

1. obrađivati Osobne podatke samo u skladu s dokumentiranim uputama Voditelja obrade i poduzet će potrebne korake kako bi osigurao da bilo koja fizička osoba koja djeluje pod njegovim vodstvom, a koja ima pristup Osobnim podacima, ne obrađuje Osobne podatke osim po uputama Voditelja obrade;

2. odmah obavijestiti Voditelja obrade ako bilo koja od uputa u vezi s obradom Osobnih podataka koju je Voditelj obrade dao Izvršitelju obrade krši primjenjive Zakone o zaštiti podataka ili odredbe navedene u ovom DPA-u;

3. provesti odgovarajuće tehničke i organizacijske postupke za zaštitu Osobnih podataka, uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različite vjerojatnosti i ozbiljnosti za prava i slobode fizičkih osoba; i

4. bez nepotrebnog odgađanja obavijestiti Voditelja obrade ako primi pritužbu ili zahtjev u vezi s obvezama bilo koje Strane prema Zakonima o zaštiti podataka relevantnim za ovaj DPA, uključujući bilo koji zahtjev za naknadu štete od Ispitanika ili bilo koju obavijest, istragu ili drugu radnju Nadzornog tijela te pružiti Voditelju obrade detaljne informacije o takvoj istrazi, pritužbi ili zahtjevu, osim ako to nije dopušteno zakonom ili zahtjevom Nadzornog tijela.

ODJELJAK C: PRIJENOSI I PODIZVRŠITELJI OBRADE

Članak C.1 Prijenos osobnih podataka 

Kada se Osobni podaci koji se odnose na Ispitanika iz EU-a prenose izvan EGP-a, obrađivat će ih subjekt: (i) koji se nalazi u trećoj zemlji ili teritoriju za koji je Europska komisija utvrdila da osigurava odgovarajuću razinu zaštite; ili (ii) koji podliježe Standardnim ugovornim klauzulama EU-a i/ili UK Međunarodnom ugovoru o prijenosu podataka ili UK SCC Dodatku; ili (iii) koji ima uspostavljene druge pravno priznate odgovarajuće zaštitne mjere, kao što su Obvezujuća korporativna pravila, koja jamče istu razinu zaštite i zaštitnih mjera kao ovaj DPA. 

Članak C.2 Podizvršitelji obrade 

Voditelj obrade ovime daje suglasnost za korištenje Podizvršitelja obrade od strane Izvršitelja obrade, koji su navedeni u Prilogu B. Izvršitelj obrade može povremeno ažurirati ovaj popis u skladu s ovim DPA-om.

Izvršitelj obrade omogućit će Voditelju obrade da se usprotivi svakom novom Podizvršitelju obrade koji će biti uključen isključivo u svrhu aktivnosti obrade podataka kako je identificirano u Prilogu A. 

Prije angažiranja novog Podizvršitelja obrade, Izvršitelj obrade o tome obavještava Voditelja obrade i daje mu rok od najmanje deset (10) kalendarskih dana za prigovor, osim ako Izvršitelj obrade opravdano vjeruje da je angažiranje novog Podizvršitelja obrade po ubrzanom postupku nužno radi zaštite povjerljivosti, cjelovitosti ili dostupnosti Osobnih podataka ili radi izbjegavanja materijalnih poremećaja u pružanju usluga. U tom slučaju, Izvršitelj obrade će poslati takvu obavijest što je prije moguće. Ako u roku od pet (5) kalendarskih dana nakon takve obavijesti Voditelj obrade pismeno obavijesti Izvršitelja obrade da se protivi imenovanju novog Podizvršitelja obrade na temelju opravdanih razloga povezanih sa zaštitom podataka, strane će u dobroj vjeri raspraviti te prigovore i mogućnost njihovog rješavanja. Prigovori na nove Podizvršitelje obrade podnose se na privacy@mollie.com. 

Voditelj obrade prima na znanje da su Podizvršitelji obrade neophodni za pružanje usluga te da protivljenje korištenju Podizvršitelja obrade može spriječiti Izvršitelja obrade da pruža usluge Voditelju obrade. Ako strane ne uspiju postići zajednički dogovor o rješavanju takvih prigovora, Voditelj obrade može, kao svoj jedini i isključivi pravni lijek, raskinuti DPA iz praktičnih razloga.

Svi Podizvršitelji obrade koji obrađuju Osobne podatke u sklopu pružanja usluga Voditelju obrade dužni su pridržavati se obveza navedenih u ovom DPA-u. Izvršitelj obrade dužan je, prije otkrivanja Osobnih podataka bilo kojem Podizvršitelju obrade, provesti odgovarajuću dubinsku analizu kako bi osigurao da je Podizvršitelj obrade sposoban pružiti razinu zaštite podataka Voditelja obrade 

koja se zahtijeva ovim DPA-om te sklopiti ugovor s tim Podizvršiteljem obrade prema kojem se Podizvršitelj obrade obvezuje pridržavati obveza koje su ekvivalentne onima navedenima u ovom DPA-u. 

ODJELJAK D: SIGURNOST

Članak D.1 Sigurnosne mjere

Izvršitelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao razinu sigurnosti koja odgovara riziku, uključujući prema potrebi inter alia:

1. pseudonimizaciju i šifriranje Osobnih podataka; 

2. sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade; 

3. sposobnost pravodobne uspostave dostupnosti Osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta; i 

4. postupak redovitog testiranja, ocjenjivanja i procjene učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade. Prilikom procjene odgovarajuće 

   razine sigurnosti, posebno se uzimaju u obzir rizici koje predstavlja obrada, posebice od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja Osobnih podataka koji su preneseni, pohranjeni ili na drugi način obrađivani ili pristupa njima.

   
   

Članak D.2 Obavijest o povredi podataka

Izvršitelj obrade će bez nepotrebnog odgađanja obavijestiti Voditelja obrade o svakom slučajnom ili nezakonitom uništenju, gubitku, izmjeni ili neovlaštenom otkrivanju Osobnih podataka ili pristupu njima nakon saznanja o tome, u mjeri u kojoj se Povreda podataka odnosi isključivo na obradu Osobnih podataka od strane Izvršitelja obrade u svojstvu izvršitelja obrade. Ako se i gdje Povreda podataka odnosi na Osobne podatke za koje se Izvršitelj obrade smatra Voditeljem obrade kako je opisano u Molliejevoj Izjavi o privatnosti, Izvršitelj obrade zadržava pravo postupati s Povredom podataka kao voditelj obrade. 

Kašnjenje u slanju obavijesti o Povredi podataka na zahtjev policijskih tijela i/ili u svjetlu legitimnih potreba Izvršitelja obrade da istraži ili otkloni problem prije slanja obavijesti ne smatra se nepotrebnim odgađanjem. Takve obavijesti opisat će, u mjeri u kojoj je to moguće, pojedinosti o Povredi podataka, uključujući korake poduzete za ublažavanje potencijalnih rizika. Bez utjecaja na obveze Izvršitelja obrade prema ovom Odjeljku D.1, Voditelj obrade isključivo je odgovoran za usklađenost sa zakonima o obavještavanju o Povredi podataka koji se na njega primjenjuju te za ispunjavanje svih obveza obavještavanja trećih strana u vezi s Povredama podataka. Obavijest Izvršitelja obrade o Povredi podataka ili njegov odgovor na nju prema ovom Odjeljku D.1. neće se tumačiti kao priznanje krivnje ili odgovornosti Izvršitelja obrade u vezi s Povredom podataka.

Sve troškove nastale rješavanjem Povrede podataka i provedbom mjera potrebnih za sprječavanje takve Povrede podataka u budućnosti snosit će Strana koja te troškove prouzroči.

ODJELJAK E: REVIZIJA

Članak E.1 Pravo na reviziju 

Voditelj obrade ima pravo, uz razumnu prethodnu najavu, zatražiti revizijska izvješća od Izvršitelja obrade koja se odnose na obradu Osobnih podataka u okviru usluga pruženih prema ovom DPA-u.

Revizijska izvješća, kako se navodi u ovoj klauzuli, uključuju, ali nisu ograničena na, izvješća vezana uz mjere sigurnosti, povjerljivosti i zaštite podataka koje je Izvršitelj obrade proveo u vezi s obradom Osobnih podataka. Ova izvješća mogu obuhvaćati i usklađenost s relevantnim Zakonima o zaštiti podataka.

Zahtjevi za revizijskim izvješćima podnose se u pisanom obliku na privacy@mollie.com, uz navođenje opsega i svrhe zahtjeva. Izvršitelj obrade dužan je pravodobno potvrditi primitak takvih zahtjeva.

Primitak revizijskih izvješća podliježe profesionalnoj obvezi čuvanja povjerljivosti. Voditelj obrade može koristiti revizijska izvješća isključivo u svrhu ispunjavanja svojih regulatornih zahtjeva za reviziju i potvrđivanja da je obrada Osobnih podataka koju provodi Izvršitelj obrade u skladu s ovim DPA-om. Revizijska izvješća ne smiju se dijeliti s vanjskim stranama.

ODJELJAK F: PROCJENE UČINKA NA ZAŠTITU PODATAKA I PRETHODNO SAVJETOVANJE

Članak F.1 Pomoć

Izvršitelj obrade pružit će pomoć Voditelju obrade pri provođenju procjene učinka na obradu Osobnih podataka (članak 35. GDPR-a) i pri svim savjetovanjima s Nadzornim tijelom (članak 36. GDPR-a), ako i u mjeri u kojoj je procjenu ili savjetovanje potrebno provesti prema Zakonima o zaštiti podataka te ako je Izvršitelju obrade dopuštena i/ili potrebna suradnja.

ODJELJAK G: PRAVA ISPITANIKA

Članak G.1 Pomoć

Ako Izvršitelj obrade primi zahtjev od Ispitanika u vezi s Osobnim podacima Voditelja obrade, Izvršitelj obrade će uputiti Ispitanika da svoj zahtjev podnese Voditelju obrade i/ili će proslijediti zahtjev Voditelju obrade, a Voditelj obrade bit će odgovoran za odgovaranje na takav zahtjev.

Na zahtjev i o trošku Voditelja obrade, Izvršitelj obrade pružit će Voditelju obrade razumnu pomoć u ispunjavanju obveza prema Zakonima o zaštiti podataka kako bi odgovorio na zahtjeve Ispitanika za ostvarivanje njihovih prava prema Zakonima o zaštiti podataka (npr. prava na pristup podacima, ispravak, brisanje, ograničenje, prenosivost i prigovor), u slučajevima kada Voditelj obrade ne može razumno samostalno ispuniti takve zahtjeve putem svog pristupa proizvodima i uslugama Izvršitelja obrade.

ODJELJAK H: RAZNO 

Članak H.1 Povjerljivost 

Izvršitelj obrade dužan je čuvati povjerljivost svih Osobnih podataka te osigurati da su svi zaposlenici, zastupnici, službenici i ugovaratelji koji imaju pristup obradi Osobnih podataka ili su uključeni u nju svjesni povjerljive prirode Osobnih podataka te ugovorno obvezani na čuvanje povjerljivosti Osobnih podataka, kao i da su informirani o obvezama iz ovog DPA-a i da ih se pridržavaju.

Članak H.2 Odgovornost

Svaka odgovornost proizašla iz ovog DPA-a bit će uređena relevantnim odredbama Korisničkog ugovora, uključujući ograničenja odgovornosti. 

Bez obzira na odredbe Korisničkog ugovora, svaka Strana je odgovorna drugoj Strani samo za štetu koju joj prouzroči bilo kakvim kršenjem ovog DPA-a. Ta šteta mora biti jasno dokazana. Izvršitelj obrade bit će odgovoran samo za štetu nastalu obradom u slučajevima kada se nije pridržavao obveza iz Zakona o zaštiti podataka koje su izričito upućene izvršiteljima obrade podataka ili kada je djelovao izvan ili suprotno zakonitim uputama Voditelja obrade kako je opisano u ovom DPA-u. U tom kontekstu, Izvršitelj obrade bit će odgovoran samo ako Voditelj obrade dokže da je Izvršitelj obrade odgovoran za događaj koji je uzrokovao štetu.

Voditelj obrade bit će isključivo odgovoran Ispitaniku, a Ispitanik ima pravo na naknadu za svaku materijalnu ili nematerijalnu štetu koju Voditelj obrade ili Izvršitelj obrade (ili njegovi Podizvršitelji obrade) prouzroče Ispitaniku kršenjem ovog DPA-a.

Članak H.3 Trajanje i raskid 

Trajanje ovog DPA-a podudara se s početkom važenja Korisničkog ugovora i/ili korištenjem određenog proizvoda ili usluge kako je navedeno u Prilogu A.

Ovaj DPA prestaje automatski s raskidom Korisničkog ugovora i/ili prestankom korištenja određenog proizvoda ili usluge kako je navedeno u Prilogu A, ovisno o tome što nastupi prije.

Po raskidu ovog DPA-a, Izvršitelj obrade će, na zahtjev Voditelja obrade, vratiti Osobne podatke Voditelju obrade ili izvršitelju obrade kojeg imenuje Voditelj obrade, ili izbrisati Osobne podatke, osim ako je Izvršitelj obrade dužan zadržati kopiju u skladu sa zakonima Europske unije ili bilo koje države članice Europske unije.

ODJELJAK I: ZAVRŠNE ODREDBE 

Članak I.1 Cjeloviti sporazum 

Ovaj DPA čini sastavni dio Korisničkog ugovora. Sva prava i obveze koje proizlaze iz Korisničkog ugovora također se primjenjuju na ovaj DPA. Prilog A čini sastavni dio ovog DPA-a.

Članak I.2 Izmjene isključivo sporazumno 

Nijedna izmjena ovog DPA-a neće biti valjana osim ako je u pisanom obliku i potpisana od strane ovlaštenih predstavnika obiju Strana. 

Članak I.3 Djelomična ništetnost 

Svaka od odredbi u ovom DPA-u zasebna je i odvojiva, i ako se bilo koja odredba ili dio odredbe proglasi neprovedivom, nezakonitom ili ništetnom u cijelosti ili djelomično od strane bilo kojeg suda, regulatornog tijela ili drugog nadležnog tijela, u toj se mjeri smatra da nije dio ovog DPA-a, a to neće utjecati na provedivost, zakonitost i valjanost ostatka ovog DPA-a. Strane su suglasne da će pokušati zamijeniti svaku nevaljanu ili neprovedivu odredbu valjanom ili provedivom odredbom koja u najvećoj mogućoj mjeri postiže isti učinak koji bi bio postignut nevaljanom ili neprovedivom odredbom. Osim izmjena unesenih ovim DPA-om, Korisnički ugovor ostaje nepromijenjen i u punoj snazi i učinku.

Članak I.4 Pravo na prijenos 

Strane mogu prenijeti ovaj DPA samo u skladu s Korisničkim ugovorom (klauzula 8.9). 

Članak I.5 Mjerodavno pravo 

Ovaj DPA bit će uređen i tumačit će se u skladu sa zakonima Nizozemske. Svaka Strana pristaje na isključivu nadležnost sudova u Amsterdamu za rješavanje svih sporova proizašlih iz ovog DPA-a. Ako bilo koji sud ili administrativno tijelo nadležne jurisdikcije proglasi bilo koju odredbu ovog DPA-a nevaljanom, neprovedivom ili nezakonitom, ostale odredbe ovog DPA-a ostat će u punoj snazi i učinku.

PRILOG A - POJEDINOSTI O OBRADI OSOBNIH PODATAKA 

1. SVRHA OBRADE

Obrada Osobnih podataka izravno je povezana s pružanjem usluga navedenih u određenim uvjetima specifičnim za proizvod u kojima je Mollie identificiran kao izvršitelj obrade.

Svrhe obrade su posebno sljedeće:

• Olakšavanje slanja računa Kupcima Voditelja obrade putem Molliejevih proizvoda i usluga; i/ili 

• Pružanje Voditelju obrade potrebnih alata i informacija za odgovaranje na sporne zahtjeve, kao što su povrati uplate (chargebacks) ili upiti o plaćanju.

2. KATEGORIJE ISPITANIKA 

Izvršitelj obrade obrađivat će Osobne podatke sljedećih kategorija Ispitanika u ime Voditelja obrade:

• Kupci Voditelja obrade (tj. platitelji (potrošači, poslovni kupci))

• Primatelji treće strane: Pojedinci identificirani u evidenciji dostave ili dokazima o transakciji koji ne moraju biti platitelji (npr. osoba koja prima dar na adresi dostave).

• Ovlašteni predstavnici / Osoblje: Osoblje voditelja obrade čija se imena, kontakt podaci ili potpisi mogu pojaviti u dokazima o sporovima, zapisnicima komunikacije ili tiketima podrške.

• Pružatelji usluga treće strane: Pojedinci čiji podaci mogu biti sadržani u dokazima koje su dostavili podizvršitelji obrade ili partneri (npr. imena vozača dostave na potpisu o potvrdi isporuke).

3. VRSTE OSOBNIH PODATAKA 

Izvršitelj obrade obrađivat će sljedeće vrste Osobnih podataka u ime Voditelja obrade:

• Osnovni kontakt podaci (uključuje puno ime, telefonski broj (u uredu), (poslovnu) e-adresu, adresu prebivališta/tvrtke)

• Pojedinosti o računu (kako ih je naveo Voditelj obrade)

Izvršitelj obrade neće obrađivati posebne kategorije Osobnih podataka (kako su definirane člankom 9. GDPR-a). 

4. SIGURNOSNE MJERE 

Kontekst 

Kao financijska institucija, sigurnosne kontrole i operativni postupci koje je Mollie izradio za naše aplikacije, sustave i IT procese podliježu reviziji od strane Nizozemske središnje banke (DNB), koja pak koristi smjernice Europskog nadzornog tijela za bankarstvo (EBA) za tehničke standarde kojih bi se nositelji licencije trebali pridržavati. 

Nadalje, kako Mollie (također) djeluje kao voditelj obrade osobnih podataka, Mollie je reguliran i drugim zakonodavstvom koje postavlja standarde za sigurnost i zaštitu podataka, a koje provode dodatna tijela - ponajprije GDPR i njegovo regulatorno tijelo u Nizozemskoj (Autoriteit Persoonsgegevens). 

Dodatno, sustavi koji obrađuju podatke o karticama su specifično sustavi usklađeni s razinom 1 PCI DSS standarda, što znači da ova aplikacija i postupci za njezin razvoj i održavanje podliježu mjerama zaštite podataka koje je definiralo PCI vijeće, a usklađenost s kojima vanjska strana procjenjuje jednom godišnje.

Opće mjere

Sve aplikacije, sustavi i postupci koji se odnose na njih podliježu Molliejevoj politici sigurnosti informacija. Istaknuti dijelovi ove i drugih politika relevantnih za opseg pruženih usluga su:

• Sigurnosna provjera zaposlenika

• Program obuke o sigurnosti za razvojne programere

• Program podizanja svijesti o sigurnosti

• Razdvajanje dužnosti

• Upravljanje promjenama

• Upravljanje ranjivostima

• Upravljanje incidentima

• Upravljanje otpornošću i sigurnosnim kopijama

• Strogo provođenje kontrole pristupa (IAM i IGA)

• Pregledi autorizacije korisnika

• Standardi klasifikacije sustava

• Standardi klasifikacije podataka i politika podataka

• Standardi sigurne konfiguracije temeljeni na najboljim praksama u industriji, provođenje politike (učvršćivanje sustava/hardening)

• Fizičko i logičko razdvajanje mrežnog okruženja

• Standardi sigurnog šifriranja

• Upravljanje ključevima za šifriranje

• Šifriranje (u prijenosu, u mirovanju za dijeljena infrastrukturna okruženja kao što je oblak)

• Upravljanje rizicima trećih strana

• Praćenje dostupnosti i pogrešaka

• Sigurni životni ciklus razvoja

  • Modeliranje prijetnji kod značajnih promjena i novih značajki

  • Upravljanje ovisnostima i skeniranje poznatih ranjivosti

  • Statička sigurnosna analiza koda

  • Interno i eksterno skeniranje ranjivosti

• Koordinirano otkrivanje ranjivosti (CVD) i „bug bounty” program nagrađivanja za pronađene pogreške

• Program prikupljanja podataka o prijetnjama (npr. sudjelovanje u nizozemskom PI-ISAC-u, centru za razmjenu i analizu informacija institucija za platni promet, praćenje „tamnog weba”/dark web)

• Suradnja s pružateljem upravljanih sigurnosnih usluga (MSSP) za sigurnosne operacije, analizu i forenzičke istrage

• 
  

Upravljanje sigurnosnim informacijama i događajima (SIEM)

• Sigurnost krajnjih točaka osoblja

• Sigurnost e-pošte

Mollie platforma

Uz gore navedene opće sigurnosne mjere, aplikacija Mollie Platform pokrivena je sljedećim sigurnosnim mjerama - koje proizlaze iz provedbe naših općih sigurnosnih politika ili kao mjera ublažavanja rizika prepoznatih u procjeni rizika specifičnoj za aplikaciju:

• Dvofaktorska kontrola pristupa

• Penetracijski testovi trećih strana

• Upravljanje događajima i sigurnosnim incidentima

• Ublažavanje DDoS napada

• Odgovor na sigurnosne incidente

• Praćenje dostupnosti

• Sigurna pohrana vjerodajnica

• Redundantna infrastruktura

• Oporavak od katastrofe i automatsko prebacivanje na pričuvni sustav (Disaster recovery failover)

• Ograničavanje brzine upita (Rate limiting) i zaključavanje

• Stroga pravila o sigurnosti sadržaja (Content-Security-Policy)

• Captcha

• Vatrozid web aplikacije

PRILOG B - PREGLED PODIZVRŠITELJA OBRADE

Primjenjivo na korisnike usluge rješavanja sporova (Disputes Service)

Primjenjivo na korisnike usluge fakturiranja (Invoicing Service)