Ugovor o obradi podataka

1. Predmet i trajanje

1.1. Ovim Ugovorom o obradi podataka (u daljem tekstu: „Ugovor" ili „DPA") uređuju se uslovi pod kojima privredno društvo Codeus d.o.o., sa sjedištem na adresi Moskovska 153, 81000 Podgorica, Crna Gora, PIB: 03091627 (u daljem tekstu: „Obrađivač" ili „Codeus"), obrađuje lične podatke u ime korisnika platforme Lexora (u daljem tekstu: „Rukovalac").

1.2. Ovaj Ugovor se odnosi na obradu ličnih podataka koje Rukovalac — advokatska kancelarija ili advokat — unosi, otprema ili generiše putem platforme Lexora (u daljem tekstu: „Platforma") u okviru korišćenja usluge upravljanja advokatskom praksom.

1.3. Ovaj Ugovor čini sastavni i neodvojivi dio Uslova korišćenja Platforme (u daljem tekstu: „Uslovi korišćenja") i primjenjuje se zajedno sa njima. U slučaju nesaglasnosti između odredaba ovog Ugovora i Uslova korišćenja, u pogledu obrade ličnih podataka primjenjuju se odredbe ovog Ugovora.

1.4. Ovaj Ugovor stupa na snagu danom prihvatanja Uslova korišćenja od strane Rukovaoca i ostaje na snazi tokom čitavog trajanja ugovornog odnosa između Rukovaoca i Obrađivača, uključujući period potreban za brisanje ili povrat podataka u skladu sa članom 9. ovog Ugovora.

1.5. Obrada ličnih podataka vrši se u skladu sa Uredbom (EU) 2016/679 Evropskog parlamenta i Savjeta od 27. aprila 2016. godine o zaštiti fizičkih lica u odnosu na obradu ličnih podataka i o slobodnom protoku takvih podataka (u daljem tekstu: „GDPR"), te Zakonom o zaštiti podataka o ličnosti Crne Gore („Službeni list CG", br. 79/2008, 70/2009 i 44/2012).

2. Priroda i svrha obrade

2.1. Obrađivač obrađuje lične podatke isključivo u ime Rukovaoca i u skladu sa dokumentovanim uputstvima Rukovaoca, u svrhu pružanja usluge upravljanja advokatskom praksom putem Platforme.

2.2. Obrada obuhvata sljedeće operacije sa ličnim podacima:

• skladištenje podataka u bazi podataka i sistemu za skladištenje datoteka;
• organizovanje i strukturiranje podataka radi efikasnog pretraživanja i upravljanja;
• pretraživanje i prikazivanje podataka na zahtjev Rukovaoca;
• indeksiranje podataka radi omogućavanja funkcionalnosti pretrage;
• AI analiza pravnih dokumenata (automatsko sažimanje, analiza sadržaja i pretraživanje sudske prakse) — isključivo po nalogu Rukovaoca;
• generisanje obavještenja putem elektronske pošte (podsjetnici o rokovima, obavještenja o promjenama u predmetima);
• kreiranje rezervnih kopija (backup) radi obezbjeđivanja kontinuiteta usluge.

2.3. Svrha obrade je omogućavanje Rukovaocu da upravlja svojom advokatskom praksom putem Platforme, uključujući upravljanje predmetima, dokumentima, rokovima, obračunima i komunikacijom sa klijentima.

2.4. Obrađivač neće obrađivati lične podatke u bilo koju drugu svrhu osim svrhe utvrđene ovim Ugovorom, niti će lične podatke koristiti za sopstvene potrebe, uključujući ali ne ograničavajući se na marketing, profilisanje ili analitiku.

3. Kategorije podataka i lica na koja se podaci odnose

3.1. U okviru korišćenja Platforme, Rukovalac može unijeti sljedeće kategorije ličnih podataka:

• ime i prezime klijenata i drugih učesnika u postupku;
• kontakt podaci (adresa, broj telefona, adresa elektronske pošte);
• opisi predmeta i pravnih postupaka;
• pravni dokumenti (podnesci, ugovori, punomoćja, sudske odluke i druga pravna akta);
• finansijski podaci vezani za predmete (troškovi postupka, naknade, obračuni);
• datumi sudskih ročišta i procesni rokovi;
• korespondencija između advokata, klijenata i trećih lica.

3.2. Lica na koja se podaci odnose obuhvataju:

• klijente advokatske kancelarije (fizička i pravna lica čije interese Rukovalac zastupa);
• protivne strane u pravnim postupcima;
• svjedoke i vještake;
• druge učesnike u pravnim postupcima (sudije, javne bilježnike, izvršitelje i druga lica čiji se podaci pojavljuju u pravnim dokumentima i predmetima).

3.3. Rukovalac je isključivo odgovoran za zakonitost prikupljanja ličnih podataka koje unosi u Platformu, uključujući obezbjeđivanje odgovarajućeg pravnog osnova za obradu, te za poštovanje obaveze čuvanja advokatske tajne u skladu sa Zakonom o advokaturi Crne Gore.

4. Obaveze Obrađivača

4.1. U skladu sa članom 28. GDPR-a, Obrađivač se obavezuje da:

a) Obrada po uputstvima

4.2. Obrađuje lične podatke isključivo na osnovu dokumentovanih uputstava Rukovaoca, uključujući u pogledu prenosa ličnih podataka u treću zemlju ili međunarodnu organizaciju, osim kada je za to obavezan pravom Evropske unije ili pravom države članice koje se primjenjuje na Obrađivača — u tom slučaju Obrađivač obavještava Rukovaoca o toj pravnoj obavezi prije obrade, osim ako to pravo zabranjuje takvo obavještavanje iz razloga javnog interesa.

b) Povjerljivost

4.3. Obezbijedi da se sva lica ovlašćena za obradu ličnih podataka obavežu na čuvanje povjerljivosti ili da podliježu odgovarajućoj zakonskoj obavezi čuvanja povjerljivosti. Pristup ličnim podacima ograničen je isključivo na one zaposlene i saradnike Obrađivača kojima je takav pristup neophodan za izvršavanje obaveza iz ovog Ugovora.

c) Tehničke i organizacione mjere

4.4. Sprovede odgovarajuće tehničke i organizacione mjere za obezbjeđivanje nivoa sigurnosti koji odgovara riziku obrade, u skladu sa članom 32. GDPR-a, kako je detaljnije opisano u članu 6. ovog Ugovora.

d) Angažovanje pod-obrađivača

4.5. Angažuje drugog obrađivača (pod-obrađivača) isključivo uz prethodno pisano obavještenje Rukovaoca, u skladu sa članom 5. ovog Ugovora.

e) Pomoć u ostvarivanju prava lica

4.6. Uzimajući u obzir prirodu obrade, pomogne Rukovaocu odgovarajućim tehničkim i organizacionim mjerama, koliko je to moguće, u ispunjavanju obaveza Rukovaoca da odgovori na zahtjeve za ostvarivanje prava lica na koja se podaci odnose, u skladu sa Poglavljem III GDPR-a (pravo na pristup, ispravku, brisanje, ograničenje obrade, prenosivost podataka i prigovor).

f) Pomoć u obezbjeđivanju usklađenosti

4.7. Pomogne Rukovaocu u obezbjeđivanju usklađenosti sa obavezama iz članova 32-36. GDPR-a, uzimajući u obzir prirodu obrade i informacije dostupne Obrađivaču, naročito u pogledu:

• obezbjeđivanja sigurnosti obrade (član 32. GDPR-a);
• obavještavanja o povredi ličnih podataka (članovi 33. i 34. GDPR-a);
• procjene uticaja na zaštitu podataka — DPIA (član 35. GDPR-a);
• prethodnog konsultovanja sa nadzornim organom (član 36. GDPR-a).

g) Brisanje ili povrat podataka

4.8. Po prestanku pružanja usluge obrade, u skladu sa izborom Rukovaoca, izbriše ili vrati sve lične podatke i izbriše postojeće kopije, osim ako pravo Evropske unije ili pravo države članice ne nalaže čuvanje ličnih podataka, kako je detaljnije opisano u članu 9. ovog Ugovora.

h) Revizija i demonstracija usklađenosti

4.9. Stavi na raspolaganje Rukovaocu sve informacije neophodne za demonstraciju usklađenosti sa obavezama iz člana 28. GDPR-a, te omogući i doprinese revizijama, uključujući inspekcije, koje sprovodi Rukovalac ili revizor kojeg Rukovalac ovlasti, u skladu sa članom 8. ovog Ugovora.

5. Pod-obrađivači

5.1. Rukovalac ovim putem daje opštu pisanu saglasnost Obrađivaču za angažovanje pod-obrađivača u svrhu izvršavanja obaveza iz ovog Ugovora, pod uslovom da Obrađivač poštuje postupak obavještavanja utvrđen ovim članom.

5.2. Na dan stupanja na snagu ovog Ugovora, Obrađivač koristi sljedeće pod-obrađivače:

5.3. Obrađivač je dužan da obavijesti Rukovaoca o svim planiranim promjenama u vezi sa dodavanjem novih pod-obrađivača ili zamjenom postojećih, najmanje 30 (trideset) dana prije planiranog angažovanja, putem elektronske pošte na adresu koju je Rukovalac naveo prilikom registracije.

5.4. Rukovalac ima pravo da uloži prigovor na angažovanje novog pod-obrađivača u roku od 15 (petnaest) dana od prijema obavještenja iz tačke 5.3. Prigovor se podnosi u pisanoj formi, uz obrazloženje razloga za prigovor.

5.5. U slučaju prigovora, Obrađivač i Rukovalac će u dobroj vjeri nastojati da postignu obostrano prihvatljivo rješenje. Ukoliko se sporazumno rješenje ne postigne u roku od 30 (trideset) dana od podnošenja prigovora, Rukovalac ima pravo da raskine Ugovor i Uslove korišćenja, uz poštovanje procedure za brisanje i povrat podataka iz člana 9. ovog Ugovora.

5.6. Obrađivač osigurava da svaki pod-obrađivač bude obavezan ekvivalentnim ugovornim obavezama u pogledu zaštite ličnih podataka, naročito pružanja dovoljnih garancija za sprovođenje odgovarajućih tehničkih i organizacionih mjera, tako da obrada ispunjava zahtjeve GDPR-a. Ukoliko pod-obrađivač ne ispuni svoje obaveze u pogledu zaštite podataka, Obrađivač ostaje u potpunosti odgovoran prema Rukovaocu za izvršavanje obaveza pod-obrađivača.

6. Tehničke i organizacione mjere

6.1. U skladu sa članom 32. GDPR-a, Obrađivač sprovodi sljedeće tehničke i organizacione mjere za zaštitu ličnih podataka:

a) Enkripcija podataka u mirovanju

6.2. Svi podaci pohranjeni u bazama podataka i sistemu za skladištenje datoteka šifrovani su primjenom algoritma AES-256. Ključevi za šifrovanje upravljaju se putem AWS Key Management Service (KMS).

b) Enkripcija podataka u prenosu

6.3. Sva komunikacija između korisnika i Platforme, te između komponenti Platforme, zaštićena je TLS protokolom verzije 1.2 ili novije.

c) Izolacija podataka po zakupcu

6.4. Za svaku advokatsku kancelariju koja koristi Platformu kreirana je fizički odvojena baza podataka (database-per-tenant izolacija). Ovim se obezbjeđuje da podaci jedne kancelarije ni u kom trenutku ne budu dostupni drugoj kancelariji, te da se potpuno eliminišu rizici od neovlašćenog pristupa podacima između zakupaca.

d) Kontrola pristupa zasnovana na ulogama (RBAC)

6.5. Pristup podacima na Platformi regulisan je sistemom kontrole pristupa zasnovanim na ulogama, koji obezbjeđuje da svaki korisnik ima pristup isključivo onim podacima i funkcionalnostima koje su dodijeljene njegovoj ulozi u okviru kancelarije.

e) Revizijsko praćenje (Audit logging)

6.6. Svi pristupi ličnim podacima, uključujući čitanje, izmjene i brisanje, bilježe se u revizijskim evidencijama. Evidencije sadrže identitet korisnika, vrstu operacije, vremensku oznaku i identifikator podataka kojima je pristupljeno.

f) Redovne rezervne kopije

6.7. Automatske rezervne kopije svih podataka kreiraju se na dnevnom nivou. Rezervne kopije su šifrovane i čuvaju se u infrastrukturi Amazon Web Services u EU regionu (Frankfurt).

g) Ograničenje pristupa zaposlenih

6.8. Pristup ličnim podacima Rukovaoca ograničen je isključivo na ovlašćene zaposlene i saradnike Obrađivača kojima je takav pristup neophodan za izvršavanje njihovih radnih obaveza (princip „need-to-know"). Sva ovlašćena lica obavezana su ugovorima o povjerljivosti.

h) Periodična revizija sigurnosti

6.9. Obrađivač sprovodi godišnju reviziju sigurnosnih procedura i mjera zaštite, uključujući procjenu rizika, provjeru adekvatnosti implementiranih mjera i uvođenje neophodnih unapređenja u skladu sa najboljim praksama u industriji i razvojem tehnologije.

7. Obavještenje o povredi ličnih podataka

7.1. U skladu sa članom 33. GDPR-a, Obrađivač je dužan da obavijesti Rukovaoca o povredi ličnih podataka bez nepotrebnog odlaganja, a najkasnije u roku od 72 (sedamdeset dva) sata od trenutka kada postane svjestan povrede.

7.2. Obavještenje iz tačke 7.1. sadrži najmanje sljedeće informacije:

• opis prirode povrede ličnih podataka, uključujući, gdje je to moguće, kategorije i približan broj lica na koje se podaci odnose, te kategorije i približan broj evidencija ličnih podataka koji su pogođeni;
• ime i kontakt podatke službenika za zaštitu podataka ili druge kontaktne tačke od koje se mogu dobiti dodatne informacije;
• opis vjerovatnih posljedica povrede ličnih podataka;
• opis mjera koje je Obrađivač preduzeo ili predložio da se preduzmu radi otklanjanja povrede ličnih podataka, uključujući, gdje je to primjenjivo, mjere za ublažavanje mogućih štetnih posljedica.

7.3. Ukoliko nije moguće istovremeno dostaviti sve informacije iz tačke 7.2., informacije se mogu dostaviti u fazama bez daljeg nepotrebnog odlaganja.

7.4. Obrađivač će dokumentovati sve povrede ličnih podataka, uključujući činjenice u vezi sa povredom, njene posljedice i preduzete mjere za otklanjanje, te ovu dokumentaciju staviti na raspolaganje Rukovaocu na zahtjev.

8. Pravo na reviziju

8.1. Rukovalac ima pravo da, neposredno ili preko ovlašćenog revizora, izvrši reviziju usklađenosti Obrađivača sa obavezama iz ovog Ugovora, u skladu sa članom 28(3)(h) GDPR-a.

8.2. Rukovalac je dužan da najavi reviziju najmanje 30 (trideset) dana unaprijed, u pisanoj formi.

8.3. Revizija se sprovodi tokom redovnog radnog vremena Obrađivača, na način koji ne ometa redovno poslovanje Obrađivača.

8.4. Revizor kojeg angažuje Rukovalac mora prethodno potpisati ugovor o povjerljivosti koji na adekvatan način štiti povjerljive informacije Obrađivača i drugih korisnika Platforme.

8.5. Troškove revizije snosi Rukovalac, osim u slučaju kada se revizijom utvrdi materijalno kršenje obaveza iz ovog Ugovora od strane Obrađivača — u tom slučaju troškove snosi Obrađivač.

8.6. Umjesto omogućavanja pune revizije, Obrađivač može Rukovaocu dostaviti najnoviji izvještaj nezavisne revizije (SOC 2 tip II, ISO 27001 ili ekvivalentni sertifikat) kao alternativu, pod uslovom da takav izvještaj na zadovoljavajući način demonstrira usklađenost sa obavezama iz ovog Ugovora. Rukovalac zadržava pravo da zahtijeva dodatnu reviziju ukoliko smatra da dostavljeni izvještaj ne pokriva u dovoljnoj mjeri pitanja relevantna za obradu njegovih podataka.

9. Brisanje i povrat podataka

9.1. Po prestanku ugovornog odnosa (bilo raskidom Uslova korišćenja, istekom pretplate bez obnavljanja, ili na drugi način), Rukovalac ima pravo da u roku od 30 (trideset) dana od prestanka ugovornog odnosa zahtijeva izvoz svih svojih podataka sa Platforme.

9.2. Obrađivač će podatke dostaviti u standardnim, mašinski čitljivim formatima: CSV, JSON i/ili PDF, u zavisnosti od prirode podataka.

9.3. Po isteku roka od 30 (trideset) dana iz tačke 9.1., ili nakon uspješnog izvoza podataka na zahtjev Rukovaoca (u zavisnosti od toga šta nastupi kasnije), Obrađivač će sigurnosno izbrisati sve lične podatke Rukovaoca, uključujući sve kopije, rezervne kopije i evidencije koje sadrže lične podatke.

9.4. Po završetku postupka brisanja, Obrađivač će Rukovaocu dostaviti pisanu potvrdu o brisanju svih ličnih podataka.

9.5. Izuzetak od obaveze brisanja postoji isključivo u slučaju kada je čuvanje određenih podataka propisano obavezujućim pravom Evropske unije ili pravom Crne Gore. U tom slučaju, Obrađivač će obavijestiti Rukovaoca o pravnom osnovu za zadržavanje podataka, kategorijama podataka koji se zadržavaju i predviđenom roku čuvanja, te će osigurati da se zadržani podaci obrađuju isključivo u svrhu ispunjavanja dotične zakonske obaveze.

10. Odgovornost

10.1. Svaka ugovorna strana odgovorna je za štetu prouzrokovanu obradom kojom se krše odredbe GDPR-a, u skladu sa članom 82. GDPR-a.

10.2. Obrađivač je odgovoran za štetu prouzrokovanu obradom isključivo ukoliko nije ispunio obaveze iz GDPR-a koje su posebno usmjerene na obrađivače, ili ukoliko je postupao suprotno zakonitim uputstvima Rukovaoca ili izvan okvira tih uputstava.

10.3. Ukoliko su Rukovalac i Obrađivač uključeni u istu obradu koja je prouzrokovala štetu licu na koje se podaci odnose, svaka strana snosi odgovornost za cjelokupnu štetu u skladu sa članom 82(4) GDPR-a, kako bi se obezbijedila djelotvorna naknada licu na koje se podaci odnose. Strana koja je platila punu naknadu štete ima pravo na regres od druge strane za dio naknade koji odgovara njenom dijelu odgovornosti za štetu.

10.4. Obrađivač se oslobađa odgovornosti ukoliko dokaže da ni na koji način nije odgovoran za događaj koji je prouzrokovao štetu, u skladu sa članom 82(3) GDPR-a.

11. Mjerodavno pravo i rješavanje sporova

11.1. Na ovaj Ugovor primjenjuju se propisi Crne Gore, uključujući Zakon o zaštiti podataka o ličnosti i Zakon o obligacionim odnosima. U mjeri u kojoj je primjenjiv, primjenjuje se i GDPR.

11.2. Nadzorni organ nadležan za pitanja zaštite ličnih podataka je Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (www.azlp.me).

11.3. Ugovorne strane će nastojati da sve sporove koji nastanu iz ovog Ugovora ili u vezi sa njim riješe sporazumno, u dobroj vjeri.

11.4. Ukoliko se spor ne može riješiti sporazumno u roku od 30 (trideset) dana od dana kada je jedna strana pisano obavijestila drugu o postojanju spora, za rješavanje spora nadležan je Osnovni sud u Podgorici.

12. Standardne ugovorne klauzule

12.1. Za prenose ličnih podataka pod-obrađivačima koji se nalaze izvan Evropske unije / Evropskog ekonomskog prostora (vidjeti tačku 5.2.), ugovorne strane se oslanjaju na Standardne ugovorne klauzule Evropske komisije usvojene Provedbenom odlukom Komisije (EU) 2021/914 od 4. juna 2021. godine (u daljem tekstu: „SKK").

12.2. Standardne ugovorne klauzule se inkorporišu u ovaj Ugovor putem reference i čine njegov sastavni dio. U slučaju nesaglasnosti između odredaba ovog Ugovora i odredaba SKK, primjenjuju se odredbe SKK.

12.3. Obrađivač osigurava da je sa svakim pod-obrađivačem koji se nalazi izvan EU/EEP zaključio odgovarajuće Standardne ugovorne klauzule ili drugi pravno valjan mehanizam prenosa u skladu sa Poglavljem V GDPR-a, te da se sprovode dodatne tehničke i organizacione mjere zaštite tamo gdje je to potrebno na osnovu procjene uticaja prenosa (Transfer Impact Assessment).

12.4. Rukovalac ima pravo da zatraži uvid u zaključene Standardne ugovorne klauzule sa pod-obrađivačima, pri čemu Obrađivač može redigovati komercijalno osjetljive odredbe koje nijesu relevantne za zaštitu ličnih podataka.