Ugovor o obradi podataka

1. Stranke

Ovaj Ugovor o obradi podataka ("DPA") sklopljen je između Kupca ("Voditelj obrade") i YARDtwin Ltd, registriranog u Irskoj ("Izvršitelj obrade"), zajedno "Stranke". Ovaj DPA čini dio, i podliježe, YARDtwin Uvjeti korištenja.

2. Opseg i svrha

Izvršitelj obrađuje osobne podatke u ime Voditelja isključivo u svrhu pružanja platforme za upravljanje dvorištem YARDtwin: zakazivanje pristana, operacije ulaza, vizualizacija digitalnog dvojnika dvorišta, upravljanje prijevoznicima i vozačima, revizijski trag usklađen s GMP standardom, analitika i integracije. Obrada se provodi za trajanja pretplate Voditelja i svakog razdoblja čuvanja podataka koje zahtijeva Odjeljak 11.

3. Kategorije ispitanika

• Zaposlenici i administratori Voditelja (imenovani korisnici platforme)
• Vozači i logistički djelatnici prijavljeni na ulazima Voditelja
• Predstavnici prijevoznika i kontakti za otpremu
• Osoblje zaštite na ulazu i operateri skladišta

4. Vrste osobnih podataka

• Identifikacijski podaci: imena, adrese e-pošte, brojevi telefona, radno mjesto/naziv radnog mjesta, naziv i adresa tvrtke
• Podaci za autentifikaciju: bcrypt-hashirane lozinke (12 rundi), JWT pristupni i refresh tokeni, vremenski žigovi sesije, IP adrese, SSO identifikatori (Google, Microsoft)
• Operativni podaci: termini, dodjele pristana, kretanje prikolica, zapisnici inspekcija, dokumenti, dodjele zadataka, registracije vozila
• Podaci o vozaču: brojevi vozačkih dozvola, slike vozačkih dozvola, opcionalne fotografije lica za biometrijsku provjeru na ulazu (podaci posebne kategorije, čl. 9 GDPR — obrađuju se samo tamo gdje je Voditelj omogućio biometrijsku provjeru na ulazu i prikupio izričitu suglasnost u trenutku snimanja)
• Revizijski podaci: radnje korisnika, vremenski žigovi, IP adrese, nizovi korisničkog agenta, razlike starih/novih vrijednosti, zapisi označeni GMP zastavom

5. Obveze Izvršitelja obrade

• Obrađivati osobne podatke samo prema dokumentiranim uputama Voditelja obrade (sučelje platforme i API predstavljaju dokumentirane upute)
• Osigurati da su osobe ovlaštene za obradu podataka vezane ugovorima o povjerljivosti
• Provesti odgovarajuće tehničke i organizacijske sigurnosne mjere (čl. 32) — vidi Odjeljak 7
• Ne angažirati podizvođače obrade bez prethodnog pisanog odobrenja; dostaviti obavijest o svakom novom podizvođaču najmanje 30 dana unaprijed (pravo na prigovor)
• Pomagati Voditelju obrade u obradi zahtjeva ispitanika (čl. 15–22) putem DSAR krajnjih točaka opisanih u Odjeljku 9
• Bez odlaganja, a najkasnije u roku od 72 sata, obavijestiti Voditelja obrade o povredi osobnih podataka (Odjeljak 8)
• Izbrisati ili vratiti sve osobne podatke po prestanku pružanja usluga (Odjeljak 11)
• Staviti na raspolaganje sve informacije potrebne za dokazivanje usklađenosti i podršku revizijama (Odjeljak 12)

6. Podizvođači obrade

Izvršitelj obrade trenutačno angažira sljedeće podizvođače obrade, od kojih svaki djeluje temeljem Ugovora o obradi podataka i (gdje je primjenjivo) Standardnih ugovornih klauzula 2021:

Kupci se obavještavaju najmanje 30 dana prije dodavanja bilo kojeg novog podizvođača obrade, s pravom na prigovor i raskid bez penala.

7. Sigurnosne mjere (čl. 32)

• Enkripcija u prijenosu: TLS 1.2+ na svakoj krajnjoj točki; certifikati kojima upravlja Microsoft Azure (DigiCert)
• Enkripcija u mirovanju: Transparentna enkripcija podataka Azure Postgres Flexible Server; enkripcija Azure Blob Storage
• Enkripcija na razini polja: AES-256-GCM za biometrijske podatke (slike vozačkih dozvola, slike potpisa), ključevi pohranjeni u Azure Key Vault
• Hashiranje lozinki: bcrypt, 12 rundi
• Autentifikacija: JWT pristupni tokeni (istek za 1 sat) + tokeni za osvježavanje (istek za 7 dana, rotacija pri korištenju); SSO putem Googlea i Microsofta kao ekvivalent MFA
• Izolacija tenanta: primijenjena na svakoj API ruti, regresijski testirana 25-vektorskom revizijom između tenanta pri svakom izdanju
• Kontrola pristupa temeljena na ulogama: šest uloga (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin), međusloj s načelom minimalnih privilegija
• Vatrozid web aplikacija: Azure Front Door + upravljani WAF (OWASP Core Rule Set, zaštita od botova, L7 DDoS)
• Ograničavanje brzine zahtjeva: ograničenja po ruti, stroža na autentifikacijskim krajnjim točkama; praćenje pokušaja u memoriji i trajno
• Revizijski trag: samo dodavanje na razini aplikacije, čuvanje 6 godina, GMP-relevantni unosi zasebno označeni, pseudonimizirani (ne brisani) pri zahtjevu za brisanje prema čl. 17. uz iznimku čl. 17. st. 3. t. (b)
• Kontinuirano praćenje: Azure Application Insights, upozorenje na promjenu sheme (vremenski prozor 15 minuta), end-to-end /health/db-write proba, radnik za otkrivanje anomalija (skokovi neuspjelih prijava, napadi s više IP adresa, prijave s promjenom države, stopa 5xx)
• Lanac opskrbe softverom: npm audit, Trivy, Semgrep, gitleaks, OWASP ZAP na svakom PR-u. Tajne vrijednosti: Azure Key Vault dostupan putem upravljanog identiteta App Servicea; bez tajnih vrijednosti u kodu, env datotekama ili slikama kontejnera

8. Obavijest o povredi osobnih podataka

Izvršitelj obrade dužan je obavijestiti Voditelja obrade bez nepotrebnog odgađanja, a najkasnije u roku od 72 sata od saznanja o povredi osobnih podataka koja se odnosi na podatke Voditelja obrade (čl. 33.). Obavijest mora sadržavati prirodu povrede, kategorije i približan broj pogođenih ispitanika, vjerojatne posljedice, poduzete ili predložene mjere te referencu registra povreda. Otkrivene anomalije usmjeravaju se u Azure Monitor Action Group yardtwin-breach-actions; potvrđeni incidenti prate se u tablici registra povreda s odbrojavanjem od 72 sata za DPC.

9. Prava ispitanika

Izvršitelj obrade pruža Voditelju obrade sljedeće krajnje točke za ispunjavanje prava ispitanika u roku od 30 dana prema čl. 12. st. 3.:

• POST /api/v1/dsar/export/by-email — strojno čitljivi izvoz koji obuhvaća čl. 15. (pristup) i čl. 20. (prenosivost)
• POST /api/v1/dsar/erase/by-email — pseudonimizacija u svim tablicama osobnih podataka uz zadržavanje evidencije revizije prema čl. 17. st. 3. t. (b)
• Samouslužni portal za zahtjeve na adresi /data-request

10. Međunarodni prijenosi

Operativni podaci pohranjuju se unutar Europskog gospodarskog prostora (Microsoft Azure, Sverige Central + Norveška Istok). Daljnji prijenosi izvršiteljima obrade izvan EGP-a (Resend, Anthropic) uređeni su Standardnim ugovornim klauzulama iz 2021. s dokumentiranim procjenama učinka prijenosa. Stripe ugovara putem Stripe Ireland (primarno EGP).

11. Trajanje, prestanak i povrat podataka

Ovaj DPA ostaje na snazi za vrijeme trajanja ugovora o usluzi. Po prestanku:

• Voditelj obrade može izvesti sve svoje podatke u roku od 30 dana putem funkcija izvoza unutar proizvoda ili na zahtjev
• Nakon 30 dana, Izvršitelj obrade izbrisat će sve operativne osobne podatke Voditelja obrade
• Revizijski zapisnici čuvaju se 6 godina nakon događaja u pseudonimiziranom obliku, sukladno zahtjevima 21 CFR Part 11 / EU GMP Annex 11 (primjena iznimke zakonske obveze čl. 17. st. 3. t. (b))
• Sigurnosne kopije brišu se u roku od 7 dana od operativnog brisanja, u skladu s prozorom oporavka prema točki u vremenu

12. Pravo na reviziju

Izvršitelj obrade stavit će Voditelju obrade na raspolaganje sve informacije potrebne za dokazivanje usklađenosti s čl. 28. GDPR-a. Korisnici mogu zatražiti: kopije relevantnih sigurnosnih certifikacija i izvještaja o reviziji (ako postoje), aktualni registar izvršitelja obrade, najnoviji izvještaj o regresijskom testiranju izolacije klijenata, najnoviji sažetak vanjskog testa penetracije (kada je izdan, v. GDPR politiku 11.1) te odgovore na upitnik o sigurnosti dobavljača. Razumne revizije na licu mjesta ili na daljinu mogu se dogovoriti uz najmanje 30 dana najave, a provode ih Voditelj obrade ili neovisna treća strana obvezana povjerljivošću. Izvršitelj obrade dat će prednost izvještajima ISO 27001 / SOC 2 Type II kao zamjenskim dokazima nakon dobivanja tih certifikacija.

13. Odgovornost i mjerodavno pravo

Odgovornost prema ovom DPA-u podliježe ograničenjima utvrđenim u YARDtwin Uvjeti korištenja. Ovaj DPA uređen je zakonima Irske i Općom uredbom EU o zaštiti podataka (GDPR). Svi sporovi podliježu isključivoj nadležnosti irskih sudova.

14. Kontakt

Za pitanja o ovom DPA-u, za zahtjev za potpisanom kopijom ili za ostvarivanje bilo kojeg od gore navedenih prava, kontaktirajte admin@yardtwin.com ili službenika za zaštitu podataka na dpo@yardtwin.com. U postupku je angažiranje vanjskog parcijalnog službenika za zaštitu podataka (GDPR politika 11.2); do imenovanja, pošta upućena na dpo@yardtwin.com preusmjerava se na admin@yardtwin.com.