Ugovor o obradi podataka o ličnosti

1. Ugovorne strane

Rukovalac je parohija koju u aplikaciji „Parohija“ otvara i vodi paroh (nastojatelj) ili sveštenik koga je nadležni arhijerej postavio. U ime parohije ovaj ugovor prihvata sveštenik, kada pravi parohiju u aplikaciji.

Obrađivač je Risto Jovanović, fizičko lice, autor i pružalac aplikacije „Parohija“. Kontakt: kontakt@parohija.app.

Ugovor se zaključuje kada sveštenik u aplikaciji označi da ga prihvata. Aplikacija beleži verziju ugovora i vreme prihvatanja.

2. Predmet ugovora

Obrađivač za rukovaoca čuva i obrađuje podatke o ličnosti koje parohija unosi u aplikaciju. Obrađivač to radi samo da bi aplikacija radila: čuvanje, sinhronizacija među uređajima članova parohije, rezervne kopije i obaveštenja.

Ugovor ispunjava uslove iz člana 45 Zakona o zaštiti podataka o ličnosti („Službeni glasnik RS“, br. 87/2018; u daljem tekstu: ZZPL) i člana 28 Opšte uredbe EU o zaštiti podataka (GDPR), gde se ona primenjuje.

3. Podaci i lica na koja se odnose

Lica: vernici i članovi domaćinstava parohije, lica upisana u matične knjige (kršteni, venčani, upokojeni, kumovi, roditelji), kao i sveštenik, pomoćnici i pratioci koji koriste aplikaciju.

Podaci:

• ime i prezime, godina rođenja, srodstvo u domaćinstvu;
• adresa, ulica, broj, stan, položaj kuće na mapi;
• brojevi telefona;
• krsna slava, vodica, kolač, posete i njihovi termini;
• podaci o obredima i upisi u matične knjige (krštenje, venčanje, opelo, parastos, osvećenje);
• beleške sveštenika i pomoćnika o domaćinstvu;
• podaci o nalozima članova parohije: ime, mejl, telefon, uloga, uređaji.

Podaci o verskoj pripadnosti i verskom životu spadaju u posebne vrste podataka o ličnosti (član 17 ZZPL; član 9 GDPR).

4. Osnov obrade

Za zakonitost obrade odgovara rukovalac. Parohija, kao deo crkve, obrađuje podatke svojih vernika u okviru svog verskog delovanja (član 17 stav 2 tačka 4 ZZPL; član 9 stav 2 tačka (d) GDPR), za potrebe vođenja parohije i matičnih knjiga.

Obrađivač obrađuje podatke samo po uputstvu rukovaoca. Uputstvo je ono što sveštenik i članovi parohije rade u aplikaciji: unos, izmena, brisanje, izvoz.

5. Obaveze obrađivača

Obrađivač:

1. obrađuje podatke samo po uputstvu rukovaoca i samo da bi aplikacija radila. Ne koristi ih u druge svrhe, ne prodaje ih, ne koristi ih za reklame ni analitiku i ne ustupa ih trećim licima, osim podobrađivačima iz tačke 7;
2. ne pregleda podatke vernika. Administrativna konzola obrađivača pokazuje samo brojeve i podatke o nalozima, bez imena, adresa, telefona i beleški vernika. Izuzetak je slučaj kada rukovalac izričito zatraži pomoć na konkretnom podatku;
3. čuva poverljivost podataka i obezbeđuje da ih čuva i svako ko za obrađivača radi;
4. primenjuje mere zaštite iz tačke 6;
5. pomaže rukovaocu da ostvaruje prava lica (tačka 9) i da ispunjava obaveze u vezi sa bezbednošću i procenom uticaja;
6. obaveštava rukovaoca bez odlaganja, a najkasnije u roku od 48 sati, kada sazna za povredu podataka o ličnosti (tačka 8);
7. po prestanku ugovora postupa sa podacima po tački 10;
8. rukovaocu stavlja na raspolaganje podatke potrebne da dokaže da ispunjava ovaj ugovor.

6. Mere zaštite

• Podaci se čuvaju na serverima u Evropskoj uniji (Frankfurt, Nemačka).
• Prenos je šifrovan (HTTPS/TLS).
• Na telefonu su podaci parohije u šifrovanoj bazi. Ključ je u zaštićenom skladištu telefona, a baza se briše pri odjavi ili gubitku pristupa parohiji.
• Pristup ima samo član parohije sa aktivnim članstvom. Sveštenik pristupa uz dvostruku zaštitu: kod iz mejla i aplikaciju za autentifikaciju.
• Prava u bazi su podešena tako da je sve zabranjeno osim onoga što je izričito dozvoljeno. Svaka parohija vidi samo svoje podatke.
• Pomoćnici ne mogu da brišu podatke. Obrisano ide u Korpu na 30 dana, gde sveštenik može da ga vrati.
• Izvozi podataka se beleže, kao i brisanja, vraćanja i važne radnje naloga.
• Sveštenik može da vidi i odjavi uređaje članova parohije.
• Rezervne kopije se prave redovno, šifrovane, u EU.
• Obaveštenja (push) ne sadrže imena ni adrese vernika, samo brojeve i datume.
• Aplikacija ne sadrži reklame, alate za praćenje ni analitiku trećih lica.

7. Podobrađivači

Rukovalac daje opštu saglasnost da obrađivač koristi sledeće podobrađivače:

Obrađivač sa svakim podobrađivačem ima ugovor sa istim obavezama zaštite kakve ima prema rukovaocu. O novom podobrađivaču obrađivač obaveštava rukovaoca najmanje 30 dana unapred, u aplikaciji ili na parohija.app. Rukovalac u tom roku može da se protivi; ako se ne slože, rukovalac može da raskine ugovor i preuzme podatke.

Podaci se ne iznose van EU i Srbije, osim push obaveštenja bez podataka vernika. Za taj prenos važe standardne ugovorne klauzule, odnosno okvir EU–US Data Privacy Framework, u skladu sa čl. 63–65 ZZPL.

8. Povreda podataka

Ako obrađivač sazna za povredu bezbednosti podataka (neovlašćeni pristup, gubitak, curenje), obaveštava rukovaoca bez odlaganja, a najkasnije u roku od 48 sati. Obaveštava mejlom sveštenika i porukom u aplikaciji. Obaveštenje sadrži:

• šta se desilo;
• koje vrste i približan broj podataka i lica;
• verovatne posledice;
• šta je preduzeto i šta rukovalac treba da uradi.

Rukovalac obaveštava Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti u roku od 72 sata (član 52 ZZPL), a po potrebi i lica na koja se podaci odnose. Obrađivač mu u tome pomaže.

9. Prava lica

Sveštenik u aplikaciji može sam da ostvari prava vernika:

• pristup: izvoz podataka domaćinstva;
• ispravka: izmena podataka;
• brisanje: brisanje domaćinstva i trajno brisanje iz Korpe;
• prenosivost: izvoz cele parohije.

Ako se vernik obrati obrađivaču direktno, obrađivač ga bez odlaganja upućuje na parohiju i o zahtevu obaveštava rukovaoca.

Upisi u matične knjige se ne brišu zajedno sa domaćinstvom, jer ih parohija čuva kao crkvenu evidenciju. O njihovom brisanju odlučuje rukovalac.

10. Trajanje i prestanak

Ugovor traje dok parohija koristi aplikaciju.

Sveštenik može u svakom trenutku da izveze sve podatke parohije iz aplikacije. Zatvaranje parohije traži se mejlom na kontakt@parohija.app, sa mejl adrese naloga sveštenika. Obrađivač tada briše podatke parohije u roku od 30 dana; u tom roku zatvaranje može da se otkaže. Iz rezervnih kopija podaci nestaju najkasnije 30 dana posle brisanja.

Kada sveštenik obriše svoj nalog, podaci parohije ostaju parohiji, za naslednika koga postavi nadležni arhijerej. Tada obrađivač, po proverenom nalogu nadležne eparhije, prenosi vođenje parohije novom svešteniku.

Obrisani podaci u Korpi brišu se trajno posle 30 dana.

11. Odgovornost

Svaka strana odgovara za štetu koju prouzrokuje kršenjem svojih obaveza iz ovog ugovora i zakona. Obrađivač ne odgovara za podatke koje je rukovalac uneo bez osnova, ni za štetu nastalu zbog toga što su sveštenik ili članovi parohije otkrili svoje pristupne podatke ili izgubili uređaj, a nisu ga odjavili.

12. Izmene ugovora

Obrađivač može da izmeni ugovor. O izmenama obaveštava rukovaoca u aplikaciji najmanje 30 dana pre nego što počnu da važe. Nova verzija se prihvata u aplikaciji. Ako je rukovalac ne prihvati, može da izveze podatke i zatvori parohiju.

13. Završne odredbe

Na ugovor se primenjuje pravo Republike Srbije. Sporove strane pokušavaju da reše dogovorom.

Ugovor je sačinjen na srpskom jeziku. Prevodi na druge jezike aplikacije služe za razumevanje; ako se razlikuju, važi srpska verzija.