DPA — Ugovor o obradi osobnih podataka

1. Strane ugovora

Voditelj obrade: pravna ili fizička osoba (Korisnik) koja aktivira jedan ili više PhobsPMS modula. U kontekstu podataka gostiju hotela, Korisnik je voditelj obrade jer određuje svrhe i sredstva obrade tih podataka za potrebe svog hotelskog poslovanja.

Izvršitelj obrade: PhobsPMS d.o.o., OIB 84 719 328 065, Ilica 82, 10000 Zagreb. U kontekstu podataka gostiju, PhobsPMS je izvršitelj obrade jer podatke obrađuje isključivo u ime Voditelja obrade i po njegovim uputama.

2. Predmet i trajanje obrade

Izvršitelj obrade obrađuje osobne podatke gostiju hotela u ime Voditelja obrade isključivo u svrhu pružanja odabranih PhobsPMS modula. Obrada traje za vrijeme trajanja aktivne pretplate na modul(e). Po prestanku pretplate, Izvršitelj briše sve tehničke zapise (log) koji sadrže osobne podatke u roku 30 dana, osim onih koje je zakonski dužan čuvati (fakture: 11 godina).

3. Priroda i svrha obrade

Priroda obrade: prikupljanje, pohrana (privremena, samo u obliku log zapisa), pregled, prosljeđivanje (unutar strogo određenih tehničkih kanala prema Phobs API-ju i vanjskim OTA/plaćajnim sustavima kada to modul zahtijeva).

Svrha obrade: isključivo pružanje odabranih PhobsPMS modula za Phobs PMS, prema opisu modula na stranicama phobspms.com.

4. Vrste podataka i kategorije ispitanika

Vrste podataka koje mogu biti obrađene ovisno o odabranom modulu: ime i prezime gosta, datum boravka, tip smještajne jedinice, iznos plaćanja, način plaćanja, e-pošta gosta (ako je unesena u rezervaciju), broj telefona (ako je unesen), broj dokumenta (za goste za koje je hotel obvezan izdati fiskalizirani račun na ime), IP adresa gosta koji je izvršio direktnu online rezervaciju kroz naš widget.

Kategorije ispitanika: gosti hotela ili apartmanske kuće Voditelja obrade koji su izvršili rezervaciju, boravili u objektu ili se pripremaju za dolazak.

5. Obveze Izvršitelja obrade

Izvršitelj obrade obvezuje se, u skladu s čl. 28. st. 3. OUZP-a:

• Obrađivati osobne podatke isključivo po dokumentiranim uputama Voditelja obrade, koje čine ovaj DPA i konfiguracija modula unutar klijentskog područja
• Osigurati da su osobe ovlaštene za obradu obvezane obvezom čuvanja povjerljivosti (svi zaposlenici Izvršitelja potpisuju NDA)
• Provoditi sve tehničke i organizacijske mjere iz čl. 32. OUZP-a: enkripcija u tranzitu (TLS 1.3) i pohrani (AES-256), pseudonimizacija gdje je moguća, otpornost sustava, redovito testiranje sigurnosnih mjera, procedure za backup i obnovu
• Angažirati podizvršitelje obrade isključivo uz prethodno pisano odobrenje Voditelja obrade (opće odobrenje po ovom DPA — Voditelj se obavještava o svakoj promjeni najmanje 30 dana unaprijed i može prigovoriti)
• Pomagati Voditelju obrade pri odgovaranju na zahtjeve ispitanika (pristup, ispravak, brisanje, prenosivost)
• Pomagati Voditelju obrade u ispunjavanju obveza iz čl. 32.-36. OUZP-a (sigurnost, obavijest o povredi, DPIA, savjetovanje s AZOP-om)
• Nakon prestanka pružanja usluga, prema izboru Voditelja obrade, obrisati ili vratiti sve osobne podatke i obrisati postojeće kopije, osim ako pravo Unije ili države članice zahtijeva pohranu
• Voditelju obrade dati na raspolaganje sve informacije potrebne za dokazivanje ispunjavanja obveza iz čl. 28. OUZP-a i omogućiti reviziju

6. Podizvršitelji obrade

Voditelj obrade daje opće odobrenje za angažiranje sljedećih podizvršitelja obrade od strane Izvršitelja:

Ažurirana lista podizvršitelja dostupna je na phobspms.com/dpa. Voditelj obrade obavještava se e-poštom najmanje 30 dana prije uvođenja svakog novog podizvršitelja i može uložiti prigovor u tom roku.

7. Prijenos u treće zemlje

Sav prijenos osobnih podataka izvan Europskog gospodarskog prostora provodi se na temelju odgovarajućih zaštitnih mjera iz Poglavlja V. OUZP-a — u pravilu Standardnih ugovornih klauzula (SCC) odobrenih Odlukom Europske komisije 2021/914 uz dodatne tehničke zaštitne mjere.

8. Prijava povrede osobnih podataka

Izvršitelj obrade obvezuje se obavijestiti Voditelja obrade o svakoj povredi osobnih podataka bez odgode, a najkasnije 24 sata od saznanja o povredi, pisanim putem na kontakt e-poštu Voditelja obrade navedenu u klijentskom području. Obavijest sadrži: opis prirode povrede, kategorije i približan broj pogođenih ispitanika, kontakt DPO-a Izvršitelja, mjere poduzete ili predložene za rješavanje povrede, mjere za ublažavanje mogućih štetnih posljedica.

9. Kontakt DPO-a

DPO Izvršitelja obrade: dpo@phobspms.com. Voditelj obrade dostavlja Izvršitelju kontakt svog DPO-a (ako ga je imenovao) kroz postavke klijentskog područja.

10. Stupanje na snagu i trajanje

Ovaj DPA stupa na snagu u trenutku aktivacije prve pretplate od strane Voditelja obrade i traje za vrijeme svake aktivne pretplate. Prestaje istovremeno s prestankom posljednje aktivne pretplate, s time da odredbe o povratu/brisanju podataka i o zakonskim obvezama čuvanja podataka nadživljavaju sam DPA.

Verzija dokumenta: 2026-01-01