Начин закључења овог Уговора

Овај Уговор о обради података о личности (у Немачкој и Аустрији Auftragsverarbeitungsvertrag или AVV) чини саставни део FastComments Услова коришћења услуге. Он ступа на снагу аутоматски, без потписивања и без даљих радњи било које стране, за сваког Клијента који Услугу користи за обраду података о личности у својству руковаоца на кога се примењује ГДПР, УК ГДПР или Швајцарски ЗЗП. Члан 28. став 9. ГДПР захтева да овај уговор буде у писаном облику, укључујући и електронски облик; прихватањем Услова коришћења услуге тај захтев је испуњен.

WinrickLabs LLC је овај Уговор потписао унапред. Његов потпис налази се у одељку 24. Клијент коме је за сопствену евиденцију потребан обострано потписан примерак може на овој страници унети своје податке како би га израдио, или га затражити на адреси privacy@fastcomments.com.

Уводне одредбе

A. Руковалац и Обрађивач засновали су пословни однос у оквиру кога Обрађивач пружа хостовану онлајн платформу за коментарисање, ћаскање уживо и дискусију („Услуга").

B. Тај однос уређен је Условима коришћења услуге објављеним на адреси https://fastcomments.com/terms-of-service („Основни уговор").

C. Коришћење Услуге од стране Руковаоца укључује обраду података о личности на коју се примењује Уредба (ЕУ) 2016/679 („ГДПР"), Општа уредба о заштити података Уједињеног Краљевства у вези са Data Protection Act 2018 (заједно, „УК ГДПР") и/или Швајцарски савезни закон о заштити података („Швајцарски ЗЗП"). Стране стога уговарају одредбе које захтева члан 28. ГДПР и, где је релевантно, Поглавље V ГДПР.

1. Дефиниције

„Подаци о личности Клијента" означавају податке о личности садржане у коментарима, порукама ћаскања, одговорима, гласовима, реакцијама, пријавама, отпремљеним садржајима, профилима крајњих корисника, атрибутима једнократног пријављивања и евиденцијама модерације који се достављају Услузи или настају путем Услуге у име Руковаоца, као и податке изведене из њих.

„Подаци о налогу" означавају сопствене контакт податке Руковаоца и његове податке о наплати, аутентификацији, подршци и коришћењу производа.

„Прописи о заштити података о личности" означавају ГДПР, УК ГДПР, Швајцарски ЗЗП и сваки други пропис о заштити података о личности који се примењује на обраду коју једна страна врши по овом Уговору.

„Подобрађивач" означава свако треће лице које Обрађивач ангажује ради обраде Података о личности Клијента.

„СУК" означавају стандардне уговорне клаузуле дате у прилогу Commission Implementing Decision (EU) 2021/914 of 4 June 2021.

„УК Додатак" означава International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, који је издао Information Commissioner на основу одељка 119A Data Protection Act 2018, верзија B1.0, на снази од 21. марта 2022. године.

„Страница подобрађивача" означава https://fastcomments.com/dpa/sub-processors.

„Датум ступања на снагу" означава датум када је Руковалац први пут прихватио Основни уговор, или датум обостраног потписивања овог Уговора, у зависности од тога који је ранији.

Изрази „руковалац", „обрађивач", „подаци о личности", „обрада", „повреда података о личности", „лице на које се подаци односе" и „надзорни орган" имају значења одређена чланом 4. ГДПР.

2. Предмет, укључивање и редослед примене

2.1 Овај Уговор чини саставни део Основног уговора и примењује се на сваку обраду Података о личности Клијента од стране Обрађивача.

2.2 Овај Уговор замењује све раније одредбе о обради података договорене између страна.

2.3 У случају несагласности овог Уговора са Основним уговором, укључујући Услове коришћења услуге и Политику приватности, овај Уговор има предност у погледу обраде Података о личности Клијента. У случају несагласности овог Уговора са СУК, предност имају СУК.

2.4 Анекси и Додаци чине саставни део овог Уговора.

3. Улоге страна

3.1 У погледу Података о личности Клијента, Клијент је руковалац, а WinrickLabs LLC је обрађивач.

3.2 У погледу Података о налогу, WinrickLabs LLC поступа као самостални руковалац. Та обрада уређена је Политиком приватности, а не овим Уговором.

3.3 Ако је Руковалац и сам обрађивач који поступа за трећег руковаоца, он гарантује да је овлашћен да Обрађивача ангажује као подобрађивача, при чему се овај Уговор примењује mutatis mutandis тако што Модул Три СУК замењује Модул Два.

3.4 Ако Обрађивач одреди сврху и начин обраде било којих Података о личности Клијента, он је у погледу те обраде руковалац у смислу члана 28. став 10. ГДПР.

4. Обрада по документованим упутствима

4.1 Обрађивач обрађује Податке о личности Клијента искључиво по документованим упутствима Руковаоца, укључујући и у погледу преноса у трећу земљу. Овај Уговор, Основни уговор, документација Услуге и начин на који Руковалац користи конфигурационе опције које Услуга ставља на располагање заједно чине потпуна документована упутства Руковаоца.

4.2 Обрађивач не продаје Податке о личности Клијента, не открива их осим по упутству или када је то законом прописано, и не користи их ни у једну другу сврху осим за пружање Услуге. Обрађивач не користи Податке о личности Клијента за развој, обучавање, фино подешавање или вредновање било ког модела машинског учења или вештачке интелигенције и исто захтева од сваког Подобрађивача који их прима ради аутоматизоване класификације или модерације.

4.3 Када право Уније, право државе чланице, право Уједињеног Краљевства или други применљиви пропис налаже Обрађивачу да Податке о личности Клијента обрађује другачије него по упутствима Руковаоца, Обрађивач о тој правној обавези обавештава Руковаоца пре обраде, осим ако тај пропис такво обавештавање забрањује из важних разлога јавног интереса.

4.4 Обрађивач одмах обавештава Руковаоца ако, по његовом мишљењу, неко упутство представља повреду Прописа о заштити података о личности, и може обуставити извршење спорног упутства док стране не реше то питање.

5. Обавезе и гаранције Руковаоца

5.1 Руковалац одређује сврху и начин обраде Података о личности Клијента и одговоран је за законитост те обраде.

5.2 Руковалац гарантује да је утврдио ваљан правни основ за обраду, да је лицима на која се подаци односе пружио све информације које захтевају чланови 12. до 14. ГДПР, и да је прибавио све сагласности потребне за обраду и за постављање колачића или сличних технологија од стране Услуге.

5.3 Руковалац је одговоран за садржај који његови крајњи корисници достављају путем Услуге и за сопствене одлуке о модерацији.

5.4 Услуга није намењена обради посебних врста података о личности у смислу члана 9. ГДПР нити података о личности који се односе на кривичне пресуде и кажњива дела у смислу члана 10. ГДПР. Руковалац у том смислу упућује своје крајње кориснике и такве податке свесно не доставља Услузи.

6. Поверљивост особља

6.1 Приступ Подацима о личности Клијента ограничен је на лица којима је он потребан ради извршења Основног уговора. На дан 5. августа 2026. године ниједан спољни сарадник нема приступ Подацима о личности Клијента.

6.2 Свако лице овлашћено да обрађује Податке о личности Клијента обавезано је дужношћу чувања поверљивости која траје и након престанка његовог ангажовања. Пре него што било ком спољном сараднику буде одобрен приступ Подацима о личности Клијента, Обрађивач захтева писану изјаву о поверљивости под условима који нису мање заштитни од овог одељка.

7. Безбедност обраде

7.1 Обрађивач спроводи и одржава техничке и организационе мере наведене у Анексу II, узимајући у обзир ниво технолошких достигнућа, трошкове примене, природу, обим, околности и сврхе обраде, као и ризик за права и слободе физичких лица.

7.2 Обрађивач може ажурирати те мере под условом да се укупни ниво безбедности не смањи. Значајне измене објављују се на овој страници.

7.3 Руковалац је одговоран за процену да ли те мере одговарају његовом сопственом профилу ризика, као и за безбедно подешавање Услуге, укључујући подешавања чувања података, подешавања модерације, подешавање деанонимизације IP адреса и поступање са својим кључевима за потписивање код једнократног пријављивања.

8. Подобрађивачи

8.1 Руковалац даје Обрађивачу опште писано овлашћење у смислу члана 28. став 2. ГДПР да ангажује Подобрађиваче наведене у Анексу III, као и да ангажује друге Подобрађиваче у складу са овим одељком. Страница подобрађивача представља меродаван актуелни списак, а када се она разликује од Анекса III, меродавна је Страница подобрађивача.

8.2 Обрађивач обавештава Руковаоца најмање 30 дана пре него што нови Подобрађивач почне да обрађује Податке о личности Клијента, или пре него што се улога постојећег Подобрађивача значајно измени. Обавештење се доставља електронском поштом администратору налога и свакој контакт особи за заштиту података одређеној у FastComments административној конзоли, као и објавом на Страници подобрађивача уз навођење датума ступања на снагу. За пријем тог обавештења није потребна пријава на листу за слање нити пристанак.

8.3 Када се измена мора извршити хитно ради очувања безбедности, интегритета или континуитета Услуге, укључујући случај када постојећи Подобрађивач престане да пружа релевантну услугу, постане инсолвентан или његово ангажовање престане, Обрађивач може ангажовати замену и обавештење доставити чим то буде разумно изводљиво. Право приговора из одељка 8.4 примењује се неизмењено од датума тог обавештења.

8.4 Руковалац може уложити приговор на новог Подобрађивача из оправданих разлога који се односе на заштиту података, писаним обавештењем на адресу privacy@fastcomments.com у року од 30 дана од обавештења по одељку 8.2 или 8.3.

8.5 По уложеном приговору стране о том питању савесно преговарају 30 дана, а Обрађивач улаже разумне напоре да обезбеди измену којом се избегава спорна обрада. У зависности од конкретног Подобрађивача, то може обухватити искључивање опционе функције која га ангажује, подешавање Услуге тако да до спорне обраде не долази, или пресељење налога Руковаоца у регион Европске уније, што Обрађивач врши на захтев и без накнаде. Када таква измена није доступна, Руковалац може писаним обавештењем раскинути погођени део Услуге или Основни уговор без накнаде за превремени раскид или других неповољних последица, уз сразмерни повраћај унапред плаћених накнада за неискоришћени део периода. Раскид по овом основу представља једини правни лек Руковаоца у вези са приговором.

8.6 Обрађивач писаним уговором намеће сваком Подобрађивачу обавезе заштите података које су суштински једнаке обавезама из овог Уговора, укључујући обавезе безбедности из члана 32. ГДПР и, када Подобрађивач има седиште изван Европског економског простора, одговарајући инструмент преноса. Када Подобрађивач још није закључио такав уговор, тај Подобрађивач је као такав означен у Анексу III заједно са обрадом коју врши, а Обрађивач ради на закључењу уговора који одговара овом одељку.

8.7 Обрађивач остаје у потпуности одговоран Руковаоцу за испуњење обавеза сваког Подобрађивача.

9. Помоћ у остваривању права лица на која се подаци односе

9.1 Обрађивач без одлагања обавештава Руковаоца о сваком захтеву који непосредно прими од лица на које се подаци односе у вези са Подацима о личности Клијента, и на такав захтев не одговара мериторно, већ лице на које се подаци односе упућује Руковаоцу, осим ако Руковалац наложи другачије.

9.2 Обрађивач без одлагања обавештава Руковаоца о сваком другом захтеву, притужби, обавештењу или обраћању које прими од надзорног органа или другог надлежног регулаторног тела, а које се односи на обраду Података о личности Клијента, као и о сваком захтеву за накнаду штете истакнутом у вези са том обрадом.

9.3 Узимајући у обзир природу обраде, Обрађивач одговарајућим техничким и организационим мерама помаже Руковаоцу, у мери у којој је то могуће, у испуњавању обавезе Руковаоца да поступа по захтевима за остваривање права из Поглавља III ГДПР. Услуга Руковаоцу пружа алате за проналажење крајњег корисника, за измену, брисање или анонимизацију појединачних коментара и порука ћаскања, за брисање крајњег корисника и садржаја повезаног са њим, за извоз коментара и корисничких података који се чувају за налог Руковаоца, као и за подешавање да ли се IP адресе чувају у деанонимизованом облику. Када ти алати омогућавају Руковаоцу да поступи без учешћа Обрађивача, њихова доступност представља помоћ која се тражи овим одељком. Даљу помоћ Обрађивач пружа уз разумну накнаду.

10. Повреда података о личности

10.1 Обрађивач обавештава Руковаоца без непотребног одлагања, а у сваком случају у року од 48 сати, након што сазна за повреду података о личности која се односи на Податке о личности Клијента.

10.2 Обавештење описује, у мери у којој је то у том тренутку познато: природу повреде, укључујући по могућности врсте и приближан број лица на која се подаци односе и врсте и приближан број обухваћених записа; вероватне последице повреде; мере које су предузете или се предлажу ради њеног отклањања, укључујући мере ублажавања њених могућих штетних последица; као и контакт тачку од које се могу добити додатне информације. Када информације нису одмах доступне, достављају се поступно, како буду постајале доступне.

10.3 Обрађивач пружа разумну сарадњу и помоћ Руковаоцу у вези са сопственим обавезама Руковаоца из чланова 33. и 34. ГДПР.

10.4 Обавештење по овом одељку не представља признање кривице ни одговорности.

11. Процене утицаја на заштиту података

Узимајући у обзир природу обраде и информације које су му доступне, Обрађивач пружа разумну помоћ Руковаоцу код процена утицаја на заштиту података из члана 35. ГДПР и код претходног мишљења надзорног органа из члана 36. ГДПР, првенствено стављањем на располагање Анекса II, Странице подобрађивача, података о преносима из одељка 14. и писаних одговора на разумна питања. Помоћ која превазилази наведено пружа се уз разумну накнаду.

12. Брисање и враћање Података о личности Клијента

12.1 По избору Руковаоца, Обрађивач брише или враћа све Податке о личности Клијента након престанка пружања Услуге и брише постојеће копије у складу са одељком 12.3, осим ако право Уније, право државе чланице или други применљиви пропис налаже даље чување.

12.2 Руковалац свој избор саопштава у писаном облику пре престанка пружања Услуге или у року од 30 дана након тога. Током тог периода Руковалац може извозним алатима Услуге преузети своје податке. Ако се у том року не изјасни, Обрађивач брише податке.

12.3 Брисање са продукционих система и њихових реплика врши се у року од 30 дана од изјашњења или од истека рока из одељка 12.2. Преостале копије садржане у ротационим резервним копијама бришу се када резервна копија у којој се налазе буде преписана у редовном току свог циклуса ротације, а у сваком случају у року од дванаест месеци. До тада те копије остају шифроване у мировању, не обрађују се активно и не користе се ни у једну сврху осим опоравка од катастрофе.

12.4 Појединачни записи бришу се и пре престанка Услуге по налогу Руковаоца или на захтев лица на које се подаци односе, помоћу алата описаних у одељку 9.3.

13. Провере и доказивање усклађености

13.1 Обрађивач ставља на располагање Руковаоцу све информације неопходне за доказивање усклађености са чланом 28. ГДПР, те омогућава и доприноси проверама, укључујући инспекције, које спроводи Руковалац или други ревизор кога Руковалац овласти. Одељци 13.2 до 13.5 описују како се то право остварује у пракси.

13.2 Информације на захтев. На писани захтев Руковаоца, и без накнаде, Обрађивач у року од 30 дана доставља: Анекс II у тада важећем тексту; актуелни списак Подобрађивача; попуњен примерак стандардног безбедносног упитника Обрађивача; сажетак резултата свог последњег безбедносног тестирања; и писане одговоре на разумна писана питања која се тичу обраде података о личности која се врши у име тог Руковаоца. Ово је доступно једном у периоду од 12 месеци, а поред тога и након повреде података о личности која се односи на податке о личности који се обрађују у име тог Руковаоца или када то тражи надзорни орган.

13.3 Ревизијски разговор. Када Руковалац разумно докаже да информације достављене по одељку 13.2 нису довољне за доказивање усклађености, или након повреде података о личности која се односи на податке о личности који се обрађују у име тог Руковаоца, или када то тражи надзорни орган, Обрађивач ставља на располагање лице одговорно за обраду ради ревизијског разговора на даљину путем видео-конференције у трајању до четири сата, уз писано обавештење од најмање 30 дана и у споразумно утврђеном термину. Руковалац или ревизор кога он овласти може постављати питања и тражити приказ појединих контрола дељењем екрана. Ово је доступно без накнаде једном у периоду од 12 месеци.

13.4 Инспекција на лицу места. Када то тражи надзорни орган или императивни пропис, или када одељци 13.2 и 13.3 нису отклонили конкретну документовану сумњу у усклађеност, Руковалац или независни ревизор кога он овласти може извршити инспекцију пословних просторија и система Обрађивача уз писано обавештење од 60 дана, током редовног радног времена, једном у периоду од 12 месеци, о трошку Руковаоца, укључујући разумно утрошено време Обрађивача по сатници о којој је Руковалац обавештен пре инспекције. Ревизор не сме бити конкурент Обрађивача и мора бити обавезан писаном изјавом о поверљивости. Обим је ограничен на системе и евиденције које се односе на обраду података о личности која се врши у име тог Руковаоца. Не одобрава се приступ подацима о личности другог клијента, дељеној инфраструктури на начин који би угрозио безбедност података другог клијента, нити изворном коду осим путем надзираног увида.

13.5 WinrickLabs LLC не поседује SOC 2 извештај нити ISO/IEC 27001 сертификат и не обавезује се да ће прибавити било који од њих. Ако током трајања уговора прибави независни ревизорски извештај трећег лица или сертификат, достављање тог извештаја испуњава одељке 13.2 и 13.3 у погледу питања која су њиме обухваћена.

13.6 Ништа у овом одељку не ограничава нити умањује права Руковаоца из члана 28. став 3. тачка (h) ГДПР нити из Клаузуле 8.9 СУК. Када надзорни орган тражи проверу или инспекцију под условима другачијим од горе наведених, Обрађивач поступа по том тражењу.

14. Међународни преноси података

14.1 Место чувања Података о личности Клијента

Регион Европске уније. Налози отворени на eu.fastcomments.com додељују се региону Европске уније. Подаци о личности Клијента за те налоге чувају се и обрађују на инфраструктури која се налази унутар Европског економског простора, укључујући све активне реплике и све резервне копије. Ти подаци се не реплицирају ни у један регион изван Европског економског простора.

Глобални регион. За налоге отворене на fastcomments.com, Подаци о личности Клијента реплицирају се кроз више региона, провајдера хостинга и држава, укључујући регионе у Сједињеним Америчким Државама, ради обезбеђења доступности и испоруке података у близини крајњих корисника. Сваки регион одржава активну реплику у другом региону и код другог провајдера хостинга.

Региони, провајдери хостинга и државе који се на сваки од њих односе наведени су у Анексу III.

14.2 Администрација на даљину

WinrickLabs LLC има седиште у Сједињеним Америчким Државама. Његово особље администрира, одржава, надзире и подржава све регионе, укључујући регион Европске уније, и за њих обезбеђује одговор на инциденте, и то путем приступа на даљину из Сједињених Америчких Држава. Стране сагласно констатују да такав приступ на даљину представља пренос података о личности у трећу земљу у смислу Поглавља V ГДПР, и то и у погледу података који се чувају искључиво унутар Европског економског простора. СУК укључене одељком 14.3 стога се примењују на све Податке о личности Клијента који се обрађују по овом Уговору.

14.3 Стандардне уговорне клаузуле

СУК, Модул Два (пренос од руковаоца ка обрађивачу), укључују се у овај Уговор упућивањем и чине његов саставни део. Њихов текст објављен је на адреси https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Руковалац је извозник података, а WinrickLabs LLC је увозник података. Када се примењује одељак 3.3, Модул Два се замењује Модулом Три.

Стране врше следеће изборе у оквиру СУК:

Клаузуле 8.9, 12, 14, 15 и 16 СУК примењују се без измена. Одељци 13. и 15. овог Уговора описују како се те клаузуле остварују у пракси и не ограничавају их.

14.4 Уједињено Краљевство

За преносе на које се примењује УК ГДПР, УК Додатак се укључује упућивањем и примењује се на СУК укључене одељком 14.3. Његове табеле попуњене су у Додатку 1.

14.5 Швајцарска

За преносе на које се примењује Швајцарски ЗЗП, СУК се примењују уз измене из Додатка 2.

14.6 Процена утицаја преноса

Стране немају разлога да верују, узимајући у обзир околности преноса, прописе и праксу Сједињених Америчких Држава и примењене заштитне мере, да прописи и пракса који се примењују на WinrickLabs LLC спречавају то друштво да испуни своје обавезе из СУК.

Околности преноса. Подаци о личности Клијента претежно се састоје од садржаја који Руковалац јавно објављује на сопственим сајтовима и апликацијама, заједно са приказаним именима, необавезним адресама електронске поште и, подразумевано, криптографским хешевима IP адреса са соли уместо самих IP адреса. Посебне врсте података о личности се не траже нити су потребне. Обим података о личности који се односи на свако лице на које се подаци односе минималан је по самом дизајну.

Прописи Сједињених Америчких Држава о надзору. WinrickLabs LLC је приватно друштво са ограниченом одговорношћу. Оно никада није примило налог, решење, тражење нити другу меру издату на основу Section 702 Foreign Intelligence Surveillance Act, на основу Executive Order 12333, у облику National Security Letter, нити на основу Clarifying Lawful Overseas Use of Data Act. Оно нема никакав однос са било којом обавештајном агенцијом Сједињених Америчких Држава и никада ниједној влади није омогућило непосредан или посредан приступ Подацима о личности Клијента. Оно не спада међу велике комуникационе и клауд провајдере којима су налози по Section 702 историјски били упућивани и не управља ниједним постројењем на које је такво прикупљање примењено.

Заштитне мере. Пуно шифровање дискова у мировању на свим серверима, укључујући одредишта резервних копија; TLS 1.2 или новији за све податке у преносу; чување података у региону Европске уније без репликације тих података изван Европског економског простора; чување IP адреса као хешева са соли осим ако Руковалац одреди другачије; вишефакторска аутентификација на свим продукционим налозима, налозима код провајдера, налогу код регистра домена и налогу система за контролу верзија; приступ продукционим системима ограничен на именована лица по начелу најмањих привилегија; као и обавезе из одељка 15. да се незаконита тражења оспоре, да се открије само неопходни минимум и да се Руковалац обавести кад год је то правно допуштено.

Поновна процена. Обрађивач ову процену понавља најмање једном годишње, као и када сазна за било какву промену применљивих прописа или праксе која би на њу могла утицати. Када више не може да поступа у складу са СУК, о томе обавештава Руковаоца у складу са Клаузулама 14(f) и 16.

14.7 Data Privacy Framework

WinrickLabs LLC није сертификован по EU-US Data Privacy Framework, по његовом UK Extension, нити по Swiss-US Data Privacy Framework, и не ослања се на одлуку о примерености као инструмент преноса. Ослања се на СУК.

15. Тражења државних органа и органа за спровођење закона

По пријему правно обавезујућег тражења јавног органа да открије Податке о личности Клијента, Обрађивач: без одлагања обавештава Руковаоца осим ако му је то законом забрањено, а када је забрањено улаже разумне напоре да добије изузеће од те забране; оспорава тражење када је незаконито, прешироко постављено или у сукобу са правом Европске уније или државе чланице; открива само неопходни минимум након пажљиве процене тражења; и документује тражење и ту документацију ставља на располагање Руковаоцу и надлежном надзорном органу на њихово тражење.

На дан 5. августа 2026. године, WinrickLabs LLC није примио ниједно такво тражење.

16. Евиденција о обради

Обрађивач води евиденцију свих врста активности обраде које обавља у име руковалаца, са подацима које прописује члан 30. став 2. ГДПР, и ту евиденцију ставља на располагање надзорном органу на његово тражење.

17. Одговорност

17.1 Одговорност сваке стране по овом Уговору подлеже искључењима и ограничењима одговорности утврђеним у Основном уговору, у мери у којој се та искључења и ограничења примењују на ту страну. Иста та искључења и ограничења примењују се једнако на потраживања по овом Уговору и на потраживања по Основном уговору. Овај Уговор не ствара никакво засебно нити додатно ограничење одговорности.

17.2 Одељак 17.1 не ограничава нити искључује: било коју одговорност која се према применљивом праву не може ограничити нити искључити; одговорност било које стране према лицу на које се подаци односе по Клаузули 12 СУК или по члану 82. ГДПР; нити обавезе било које стране према надзорном органу.

17.3 Одредбе Услова коришћења услуге о арбитражи и о одрицању од колективних тужби не примењују се ни на једно потраживање које проистиче из овог Уговора или из СУК.

18. Трајање, престанак и надживљавање

Овај Уговор ступа на снагу на Датум ступања на снагу и траје све док Обрађивач обрађује Податке о личности Клијента, без обзира на престанак Основног уговора. Одељци 6, 7, 10, 12, 13, 14, 15 и 17 остају на снази и након престанка.

19. Меродавно право и надлежност

19.1 На овај Уговор, као и на сваки спор или потраживање који проистичу из њега или су с њим повезани, укључујући вануговорне спорове или потраживања, примењује се право Републике Ирске, а надлежни су судови Ирске. Овај одељак има предност над одредбама Услова коришћења услуге о меродавном праву, месној надлежности, арбитражи и одрицању од колективних тужби у погледу спорова који проистичу из овог Уговора.

19.2 Одељак 19.1 не дира у Клаузулу 18(c) СУК, по којој лице на које се подаци односе може покренути поступак у држави чланици свог уобичајеног боравишта.

19.3 За преносе на које се примењује УК ГДПР, уместо одељка 19.1 примењују се одредбе УК Додатка о меродавном праву и надлежности.

20. Измене овог Уговора

20.1 Обрађивач може изменити овај Уговор када то налаже промена Прописа о заштити података о личности, одлука надзорног органа или суда, измена СУК или УК Додатка, или измена Услуге.

20.2 Обрађивач обавештава администратора налога Руковаоца електронском поштом најмање 30 дана пре ступања на снагу значајне измене и објављује ажурирани Уговор на овој страници. Мање измене ступају на снагу објављивањем.

20.3 Када Руковалац у року од 30 дана од обавештења уложи приговор на значајну измену из оправданих разлога заштите података, стране о том питању савесно преговарају. Ако до споразума не дође, Руковалац може раскинути погођену Услугу без накнаде за превремени раскид или других неповољних последица, уз сразмерни повраћај унапред плаћених накнада за неискоришћени део периода.

21. Опште одредбе

21.1 Обавештења. Обавештења Обрађивачу по овом Уговору шаљу се на адресу privacy@fastcomments.com. Обавештења Руковаоцу шаљу се на адресу електронске поште администратора налога и свакој контакт особи за заштиту података одређеној у административној конзоли. Сматра се да је обавештење послато електронском поштом примљено првог радног дана након слања.

21.2 Електронски облик. Стране су сагласне да овај Уговор у електронском облику испуњава члан 28. став 9. ГДПР и сваки услов да уговор буде у писаном облику.

21.3 Делимична ништавост. Ако се нека одредба овог Уговора огласи ништавом или неизвршивом, остатак остаје на снази.

21.4 Без одрицања. Неостваривање права из овог Уговора не представља одрицање од тог права.

21.5 Уступање. Обрађивач може уступити овај Уговор правном следбенику у вези са припајањем, стицањем или продајом целокупне или готово целокупне имовине, уз обавештење Руковаоцу.

21.6 Целовитост уговора. Овај Уговор представља целокупан споразум страна у погледу обраде Података о личности Клијента.

22. Језик

Овај Уговор је састављен и закључен на енглеском језику. Преводи се стављају на располагање ради лакшег разумевања. У случају било какве несагласности, нејасноће, сукоба или разлике у тумачењу између енглеске верзије и превода, енглеска верзија има предност и представља једину меродавну и обавезујућу верзију за све сврхе, укључујући тумачење, извршење и решавање сваког спора. Називи правних лица, адресе, законски цитати и текст СУК се не преводе. Свака страна потврђује да поступа у оквиру своје пословне делатности и да је имала прилику да прибави независан превод и независан правни савет. Овај одељак не утиче на сопствене обавезе Руковаоца из чланова 12. до 14. ГДПР да лицима на која се подаци односе пружи информације јасним и једноставним језиком.

23. Контакт тачка и регулаторни статус

23.1 Контакт тачка за сва питања заштите података, укључујући тражења по одељцима 8.4, 13.2 и 13.3, јесте Devon Winrick, privacy@fastcomments.com, WinrickLabs LLC, 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States.

23.2 WinrickLabs LLC није именовао лице за заштиту података о личности, будући да је оценио да услови из члана 37. став 1. ГДПР нису испуњени.

23.3 WinrickLabs LLC не поседује нити тврди да поседује SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS или CSA STAR сертификат. Сваки сертификат наведен у овом Уговору у погледу неког Подобрађивача поседује тај Подобрађивач у погледу сопствених објеката и услуга и он није сертификат друштва WinrickLabs LLC.

24. Потписивање

Анекс I

A. Списак страна

B. Опис преноса

Врсте лица на која се подаци односе

• Крајњи корисници и посетиоци веб-сајтова и апликација Руковаоца који објављују, уређују коментаре или поруке ћаскања, реагују на њих, гласају о њима, претплаћују се на њих или су у њима именовани.
• Крајњи корисници који читају садржај који испоручује Услуга и чији се метаподаци о вези обрађују ради безбедности и спречавања злоупотреба.
• Сопствено особље Руковаоца које користи функције модерације, администрације или API Услуге.
• Крајњи корисници које Руковалац обезбеђује путем једнократног пријављивања.

Врсте података о личности

• Приказано име или корисничко име.
• Адреса електронске поште, када је достави лице на које се подаци односе или Руковалац. Анонимно коментарисање је подржано.
• Аватар или профилна слика, или веза ка њој.
• Садржај коментара, порука ћаскања и одговора, као и сви медији или датотеке које лице на које се подаци односе отпреми.
• Криптографски хеш IP адресе са соли. Када Руковалац омогући подешавање деанонимизације описано у одељку 7.3, уместо тога се чува IP адреса у изворном облику.
• Гласови, реакције, пријаве, блокирања и статус модерације.
• Временске ознаке, идентификатори странице и теме, као и низ корисничког агента.
• Подешавања обавештења и претплата.
• Идентификатори једнократног пријављивања и сви даљи атрибути које Руковалац одлучи да пренесе.
• За административне кориснике Руковаоца: име, адреса електронске поште, подаци за аутентификацију у хешованом облику, подаци о сесији и IP адресе повезане са административним радњама када је Руковалац омогућио дневник ревизије.

Осетљиви подаци

Услуга није намењена посебним врстама података о личности, а према одељку 5.4 Руковалац такве податке свесно не доставља и у том смислу упућује своје крајње кориснике. Када крајњи корисник такве податке по сопственој вољи унесе у слободан текст, примењују се следећа ограничења: шифровање у мировању; приступ ограничен на најмањи број овлашћених лица; без накнадне употребе у друге сврхе; без профилисања; без откривања осим по упутству Руковаоца или када је то законом прописано; и без коришћења за развој или обучавање било ког модела.

Учесталост преноса

Континуирано, на трајној основи, за време трајања Основног уговора.

Природа обраде

Прикупљање, бележење, организовање, структурисање, чување, претраживање, увид, преношење и јавно приказивање на сајтовима и апликацијама Руковаоца, модерација и филтрирање садржаја, аутоматизовано оцењивање спама и модерација слика када их Руковалац омогући, испорука обавештења, израда резервних копија и репликација, ограничавање, брисање и уништавање.

Сврха преноса и даље обраде

Пружање Услуге Руковаоцу, испорука обавештења, модерација и спречавање злоупотреба, безбедност, доступност и опоравак од катастрофе, као и техничка подршка, у сваком случају искључиво по документованим упутствима Руковаоца.

Период чувања

За време трајања Основног уговора и након тога како је утврђено у одељку 12. Појединачни записи бришу се раније по налогу Руковаоца или лица на које се подаци односе.

Преноси подобрађивачима

Како је утврђено у Анексу III, у коме је за сваког Подобрађивача наведен предмет и природа његове обраде и њено трајање, које одговара трајању Основног уговора или, за Подобрађивача који се ангажује само опционом функцијом, периоду за који Руковалац ту функцију држи омогућеном.

C. Надлежни надзорни орган

1. Када извозник података има седиште у држави чланици Европске уније: надзорни орган те државе чланице.
2. Када извозник података нема седиште у држави чланици Европске уније, али спада у територијалну примену ГДПР по члану 3. став 2. и именовао је представника по члану 27: надзорни орган државе чланице у којој тај представник има седиште.
3. Када извозник података нема седиште у држави чланици Европске уније и није именовао представника по члану 27: Data Protection Commission of Ireland.
4. За преносе на које се примењује УК ГДПР: Information Commissioner's Office.
5. За преносе на које се примењује Швајцарски ЗЗП: Federal Data Protection and Information Commissioner.

Анекс II - Техничке и организационе мере

Мере наведене у наставку спроводи WinrickLabs LLC. Мере описане тако да се примењују на центар података или на платформу Подобрађивача спроводи тај Подобрађивач у погледу сопствених објеката.

1. Псеудонимизација и шифровање података о личности

• Пуно шифровање дискова у мировању примењује се на свим серверима, укључујући и оне који садрже резервне копије.
• Сви подаци у преносу заштићени су протоколом TLS верзије 1.2 или новије.
• IP адресе се чувају као криптографски хешеви са соли. Изворна IP адреса чува се само када Руковалац омогући подешавање деанонимизације за сопствени налог. Хеш IP адресе са соли и даље представља податак о личности и као такав се третира по овом Уговору.
• Подаци за аутентификацију административних налога чувају се као хешеви са соли и никада у обновљивом облику.

2. Поверљивост, интегритет, доступност и отпорност система за обраду

• Услуга је распоређена кроз више региона и више провајдера хостинга.
• Сваки регион одржава активну реплику у другом региону и код другог провајдера хостинга.
• Подаци закупаца логички су одвојени идентификатором закупца на сваком слоју апликације и модела података.
• Продукциони сервери заштићени су заштитним зидовима, а продукционе мреже одвојене су од свих других окружења.

3. Успостављање доступности и приступа након инцидента

• Резервне копије израђују се у дневним, месечним и годишњим циклусима. Уписују се на шифроване волумене, преносе се преко TLS-а и чувају се и код провајдера хостинга различитог од оног код кога се налазе активни подаци и код независног провајдера објектног складишта.
• Резервне копије података региона Европске уније чувају се искључиво унутар Европског економског простора.
• Поступак враћања података је документован, а враћање се спроводи и проверава најмање једном годишње.

4. Редовно тестирање, оцењивање и процењивање делотворности

• Независно тестирање пробоја од стране трећих лица спроводи се најмање једном годишње.
• Аутоматизовано скенирање зависности и рањивости непрекидно се спроводи над продукционим кодом.
• Све измене продукционог кода подлежу безбедносној провери пре објављивања.

5. Идентификација корисника и овлашћења

• Приступ продукционим системима који садрже Податке о личности Клијента ограничен је на именована лица са документованом оперативном потребом.
• Свуда се користе појединачни именовани налози. Заједнички приступни подаци се не користе.
• Вишефакторска аутентификација обавезна је на свим продукционим системима, на свим налозима код провајдера хостинга и услуга, на налогу код регистра домена и на налогу система за контролу верзија.
• Права приступа додељују се по начелу најмањих привилегија, преиспитују се при свакој кадровској промени и одузимају се без одлагања када ангажовање неког лица престане.

6. Заштита података током преноса

• TLS верзије 1.2 или новије обавезан је за виџет за коментаре и ћаскање, јавни API, административну конзолу, испоруку веб-хукова и репликацију између региона.
• HTTP Strict Transport Security је укључен. Нешифровани приступ се не нуди.

7. Заштита података током чувања

• Шифровање у мировању како је описано у одељку 1. овог Анекса, примењено једнако на продукционе системе, реплике и медије за резервне копије.
• Кључеве за шифровање дискова поседује WinrickLabs LLC и нису доступни ниједном провајдеру хостинга.

8. Физичка безбедност

• WinrickLabs LLC не управља сопственим центром података. Сви продукциони системи смештени су у објектима којима управљају Подобрађивачи за хостинг наведени у Анексу III, а који за те објекте обезбеђују контролу физичког приступа, редундантно напајање, хлађење и мрежну повезаност.
• Радне станице администратора заштићене су пуним шифровањем дискова, аутоматским закључавањем екрана и вишефакторском аутентификацијом.

9. Бележење догађаја

• Административне радње и догађаји аутентификације се бележе.
• Бележење, пријављивање грешака и систем тикета подршке WinrickLabs LLC спроводи на сопственој инфраструктури. Ниједна услуга трећег лица за бележење, праћење грешака, аналитику или подршку не прима Податке о личности Клијента.
• Дневник ревизије административних радњи доступан је Руковаоцу у административној конзоли.

10. Конфигурација система и управљање

• Безбедносне закрпе примењују се по приоритету ризика, при чему се критичне закрпе примењују без одлагања.
• Инсталиране услуге своде се на неопходни минимум. Подразумевани приступни подаци се не користе.
• Тајне се чувају изван система за контролу верзија.
• WinrickLabs LLC одржава писани план одговора на инциденте који обухвата откривање, ограничавање, процену, обавештавање и накнадну анализу.
• Контакт тачка за безбедносне пријаве и пријаве рањивости објављена је на адреси privacy@fastcomments.com.

11. Сертификација и уверавање

WinrickLabs LLC не поседује нити тврди да поседује SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS или CSA STAR сертификат и не изјављује да ће било који такав сертификат прибавити. Сваки сертификат наведен у овом Уговору у погледу неког Подобрађивача поседује тај Подобрађивач у погледу сопствених објеката и услуга. WinrickLabs LLC не чува нити обрађује податке о платним картицама; подаци о картицама прикупљају се и обрађују непосредно код његовог Подобрађивача за плаћања.

12. Минимизација, квалитет и чување података

• Услуга захтева само приказано име. Адреса електронске поште је необавезна, а анонимно коментарисање је подржано.
• IP адресе се подразумевано псеудонимизују како је описано у одељку 1. овог Анекса.
• Лица на која се подаци односе и Руковалац могу исправити профилне податке и уредити или обрисати садржај путем Услуге.
• Период чувања подешава Руковалац. Брисање по престанку уређено је одељком 12. овог Уговора.

13. Преносивост и брисање

• Административна конзола омогућава извоз коментара и корисничких података који се чувају за налог Руковаоца.
• Административна конзола и API омогућавају брисање појединачних коментара, појединачних крајњих корисника и целог налога Руковаоца.

14. Мере за преносе Подобрађивачима

• Сваки Подобрађивач ангажује се на основу писаног уговора којим му се намећу обавезе заштите података суштински једнаке обавезама из овог Уговора, осим када је у Анексу III наведено другачије.
• Сваки Подобрађивач се процењује пре ангажовања, а његова улога евидентира се у Анексу III и на Страници подобрађивача.
• Подобрађивачи који се користе за налоге региона Европске уније обрађују те податке унутар Европског економског простора.

Анекс III - Списак подобрађивача

Руковалац даје опште писано овлашћење за ангажовање Подобрађивача наведених у наставку. Страница подобрађивача представља меродаван актуелни списак и укључује се у овај Уговор упућивањем. Колона „Регион" означава да ли Подобрађивач обрађује податке за налоге региона Европске уније, за налоге глобалног региона, или за оба.

Уговорни статус Подобрађивача. Сваки горе наведени Подобрађивач ангажован је на основу писаног уговора који укључује услове обраде података тог провајдера, уз следећа два изузетка, који се овде наводе како би их Руковалац могао проценити.

Deep Infra, Inc. не објављује уговор о обради података нити стандардне уговорне клаузуле, и такав уговор не постоји на дан 5. августа 2026. године. WinrickLabs LLC ради на његовом закључењу. Овај Подобрађивач се ангажује само када Руковалац омогући функције аутоматизоване класификације спама, модерације садржаја слика, агента за модерацију или асистента. Те функције су подразумевано искључене. Када их Руковалац не омогући, овом Подобрађивачу се ни у једном тренутку не откривају Подаци о личности Клијента. Руковалац који не жели да његове податке обрађује овај Подобрађивач може те функције оставити искљученима или их искључити у сваком тренутку и без накнаде. Објављени услови тог провајдера наводе да се подаци достављени његовим интерфејсима не чувају, не продају нити користе за обучавање модела. Моделе које Услуга користи тај провајдер хостује на сопственој инфраструктури; подаци се не прослеђују ниједном другом добављачу модела.

BrainStorm Network, Inc. не објављује уговор о обради података, и такав уговор не постоји на дан 5. августа 2026. године. WinrickLabs LLC ради на његовом закључењу. Овај Подобрађивач хостује сервере само у глобалном региону. Овај Подобрађивач ни у једном тренутку не обрађује Податке о личности Клијента који припадају налогу региона Европске уније.

Добављачи који не обрађују Податке о личности Клијента. Stripe, LLC, Corporation Trust Center, 1209 Orange Street, Wilmington, DE 19801, United States, обрађује сопствене податке Руковаоца о наплати и плаћању. То су Подаци о налогу у смислу одељка 3.2, у погледу којих WinrickLabs LLC поступа као самостални руковалац, те Stripe стога није Подобрађивач по овом Уговору. Податке о платним картицама прикупља и обрађује непосредно Stripe и WinrickLabs LLC их не чува.

Услуге које се пружају без трећих лица. Испоруку садржаја, бележење на нивоу апликације, пријављивање грешака и систем тикета подршке WinrickLabs LLC спроводи на горе наведеној инфраструктури. Ниједна мрежа за испоруку садржаја, услуга бележења, услуга праћења грешака, аналитичка услуга нити служба подршке трећег лица не прима Податке о личности Клијента.

Додатак 1 - UK International Data Transfer Addendum

За преносе на које се примењује УК ГДПР, УК Додатак се укључује упућивањем и његове табеле попуњене су како следи. Када императивне клаузуле УК Додатка нису у сагласности са СУК укљученим одељком 14.3, УК Додатак има предност у погледу тих преноса.

У СУК, у мери у којој се примењују на преносе на које се примењује УК ГДПР: упућивања на ГДПР сматрају се упућивањима на УК ГДПР; упућивања на Уредбу (ЕУ) 2016/679 сматрају се упућивањима на ту Уредбу како је преузета у право Уједињеног Краљевства и на Data Protection Act 2018; упућивања на надзорни орган сматрају се упућивањима на Information Commissioner; упућивања на државу чланицу сматрају се упућивањима на Уједињено Краљевство; а упућивања на Европски економски простор сматрају се упућивањима на Уједињено Краљевство.

Додатак 2 - Швајцарске измене

Када се на пренос примењује Швајцарски ЗЗП, СУК се примењују уз следеће измене.

1. Надлежни надзорни орган по Клаузули 13 и Анексу I.C јесте Federal Data Protection and Information Commissioner у погледу преноса који су уређени искључиво Швајцарским ЗЗП. Када је пренос уређен и Швајцарским ЗЗП и ГДПР, Federal Data Protection and Information Commissioner надлежан је за швајцарске аспекте, а орган одређен по Анексу I.C за аспекте Европске уније.
2. Упућивања на ГДПР сматрају се упућивањима на Швајцарски ЗЗП када је пренос њиме уређен, а упућивања на право Европске уније или државе чланице сматрају се упућивањима на швајцарско право када је то применљиво.
3. Израз „држава чланица" не тумачи се тако да лицима на која се подаци односе у Швајцарској ускраћује могућност да покрену поступак у месту свог уобичајеног боравишта у складу са Клаузулом 18(c).
4. СУК штите и податке о личности правних лица у мери у којој то налаже применљиво швајцарско право.
5. Клаузула 17 и Клаузула 18(b) примењују се како је изабрано у одељку 14.3, не дирајући у тачку 3. овог Додатка.