Начин закључења овог Уговора

Овај Уговор о обради података о личности (у Немачкој и Аустрији Auftragsverarbeitungsvertrag или AVV) чини саставни дио FastComments Услова коришћења услуге. Он ступа на снагу аутоматски, без потписивања и без даљих радњи било које стране, за сваког Клијента који Услугу користи за обраду података о личности у својству руковаоца на кога се примјењује ГДПР, УК ГДПР или Швајцарски ЗЗП. Члан 28. став 9. ГДПР захтијева да овај уговор буде у писаном облику, укључујући и електронски облик; прихватањем Услова коришћења услуге тај захтјев је испуњен.

WinrickLabs LLC је овај Уговор потписао унапријед. Његов потпис налази се у одјељку 24. Клијент коме је за сопствену евиденцију потребан обострано потписан примјерак може на овој страници унијети своје податке како би га израдио, или га затражити на адреси privacy@fastcomments.com.

Уводне одредбе

A. Руковалац и Обрађивач засновали су пословни однос у оквиру кога Обрађивач пружа хостовану онлајн платформу за коментарисање, ћаскање уживо и дискусију („Услуга").

B. Тај однос уређен је Условима коришћења услуге објављеним на адреси https://fastcomments.com/terms-of-service („Основни уговор").

C. Коришћење Услуге од стране Руковаоца укључује обраду података о личности на коју се примјењује Уредба (ЕУ) 2016/679 („ГДПР"), Општа уредба о заштити података Уједињеног Краљевства у вези са Data Protection Act 2018 (заједно, „УК ГДПР") и/или Швајцарски савезни закон о заштити података („Швајцарски ЗЗП"). Стране стога уговарају одредбе које захтијева члан 28. ГДПР и, гдје је релевантно, Поглавље V ГДПР.

1. Дефиниције

„Подаци о личности Клијента" означавају податке о личности садржане у коментарима, порукама ћаскања, одговорима, гласовима, реакцијама, пријавама, отпремљеним садржајима, профилима крајњих корисника, атрибутима једнократног пријављивања и евиденцијама модерације који се достављају Услузи или настају путем Услуге у име Руковаоца, као и податке изведене из њих.

„Подаци о налогу" означавају сопствене контакт податке Руковаоца и његове податке о наплати, аутентификацији, подршци и коришћењу производа.

„Прописи о заштити података о личности" означавају ГДПР, УК ГДПР, Швајцарски ЗЗП и сваки други пропис о заштити података о личности који се примјењује на обраду коју једна страна врши по овом Уговору.

„Подобрађивач" означава свако треће лице које Обрађивач ангажује ради обраде Података о личности Клијента.

„СУК" означавају стандардне уговорне клаузуле дате у прилогу Commission Implementing Decision (EU) 2021/914 of 4 June 2021.

„УК Додатак" означава International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, који је издао Information Commissioner на основу одјељка 119A Data Protection Act 2018, верзија B1.0, на снази од 21. марта 2022. године.

„Страница подобрађивача" означава https://fastcomments.com/dpa/sub-processors.

„Датум ступања на снагу" означава датум када је Руковалац први пут прихватио Основни уговор, или датум обостраног потписивања овог Уговора, у зависности од тога који је ранији.

Изрази „руковалац", „обрађивач", „подаци о личности", „обрада", „повреда података о личности", „лице на које се подаци односе" и „надзорни орган" имају значења одређена чланом 4. ГДПР.

2. Предмет, укључивање и редослед примјене

2.1 Овај Уговор чини саставни дио Основног уговора и примјењује се на сваку обраду Података о личности Клијента од стране Обрађивача.

2.2 Овај Уговор замјењује све раније одредбе о обради података договорене између страна.

2.3 У случају несагласности овог Уговора са Основним уговором, укључујући Услове коришћења услуге и Политику приватности, овај Уговор има предност у погледу обраде Података о личности Клијента. У случају несагласности овог Уговора са СУК, предност имају СУК.

2.4 Анекси и Додаци чине саставни дио овог Уговора.

3. Улоге страна

3.1 У погледу Података о личности Клијента, Клијент је руковалац, а WinrickLabs LLC је обрађивач.

3.2 У погледу Података о налогу, WinrickLabs LLC поступа као самостални руковалац. Та обрада уређена је Политиком приватности, а не овим Уговором.

3.3 Ако је Руковалац и сам обрађивач који поступа за трећег руковаоца, он гарантује да је овлашћен да Обрађивача ангажује као подобрађивача, при чему се овај Уговор примјењује mutatis mutandis тако што Модул Три СУК замјењује Модул Два.

3.4 Ако Обрађивач одреди сврху и начин обраде било којих Података о личности Клијента, он је у погледу те обраде руковалац у смислу члана 28. став 10. ГДПР.

4. Обрада по документованим упутствима

4.1 Обрађивач обрађује Податке о личности Клијента искључиво по документованим упутствима Руковаоца, укључујући и у погледу преноса у трећу земљу. Овај Уговор, Основни уговор, документација Услуге и начин на који Руковалац користи конфигурационе опције које Услуга ставља на располагање заједно чине потпуна документована упутства Руковаоца.

4.2 Обрађивач не продаје Податке о личности Клијента, не открива их осим по упутству или када је то законом прописано, и не користи их ни у једну другу сврху осим за пружање Услуге. Обрађивач не користи Податке о личности Клијента за развој, обучавање, фино подешавање или вредновање било ког модела машинског учења или вјештачке интелигенције и исто захтијева од сваког Подобрађивача који их прима ради аутоматизоване класификације или модерације.

4.3 Када право Уније, право државе чланице, право Уједињеног Краљевства или други примјењиви пропис налаже Обрађивачу да Податке о личности Клијента обрађује другачије него по упутствима Руковаоца, Обрађивач о тој правној обавези обавјештава Руковаоца прије обраде, осим ако тај пропис такво обавјештавање забрањује из важних разлога јавног интереса.

4.4 Обрађивач одмах обавјештава Руковаоца ако, по његовом мишљењу, неко упутство представља повреду Прописа о заштити података о личности, и може обуставити извршење спорног упутства док стране не ријеше то питање.

5. Обавезе и гаранције Руковаоца

5.1 Руковалац одређује сврху и начин обраде Података о личности Клијента и одговоран је за законитост те обраде.

5.2 Руковалац гарантује да је утврдио ваљан правни основ за обраду, да је лицима на која се подаци односе пружио све информације које захтијевају чланови 12. до 14. ГДПР, и да је прибавио све сагласности потребне за обраду и за постављање колачића или сличних технологија од стране Услуге.

5.3 Руковалац је одговоран за садржај који његови крајњи корисници достављају путем Услуге и за сопствене одлуке о модерацији.

5.4 Услуга није намијењена обради посебних врста података о личности у смислу члана 9. ГДПР нити података о личности који се односе на кривичне пресуде и кажњива дјела у смислу члана 10. ГДПР. Руковалац у том смислу упућује своје крајње кориснике и такве податке свјесно не доставља Услузи.

6. Повјерљивост особља

6.1 Приступ Подацима о личности Клијента ограничен је на лица којима је он потребан ради извршења Основног уговора. На дан 5. августа 2026. године ниједан спољни сарадник нема приступ Подацима о личности Клијента.

6.2 Свако лице овлашћено да обрађује Податке о личности Клијента обавезано је дужношћу чувања повјерљивости која траје и након престанка његовог ангажовања. Прије него што било ком спољном сараднику буде одобрен приступ Подацима о личности Клијента, Обрађивач захтијева писану изјаву о повјерљивости под условима који нису мање заштитни од овог одјељка.

7. Безбједност обраде

7.1 Обрађивач спроводи и одржава техничке и организационе мјере наведене у Анексу II, узимајући у обзир ниво технолошких достигнућа, трошкове примјене, природу, обим, околности и сврхе обраде, као и ризик за права и слободе физичких лица.

7.2 Обрађивач може ажурирати те мјере под условом да се укупни ниво безбједности не смањи. Значајне измјене објављују се на овој страници.

7.3 Руковалац је одговоран за процјену да ли те мјере одговарају његовом сопственом профилу ризика, као и за безбједно подешавање Услуге, укључујући подешавања чувања података, подешавања модерације, подешавање деанонимизације IP адреса и поступање са својим кључевима за потписивање код једнократног пријављивања.

8. Подобрађивачи

8.1 Руковалац даје Обрађивачу опште писано овлашћење у смислу члана 28. став 2. ГДПР да ангажује Подобрађиваче наведене у Анексу III, као и да ангажује друге Подобрађиваче у складу са овим одјељком. Страница подобрађивача представља мјеродаван актуелни списак, а када се она разликује од Анекса III, мјеродавна је Страница подобрађивача.

8.2 Обрађивач обавјештава Руковаоца најмање 30 дана прије него што нови Подобрађивач почне да обрађује Податке о личности Клијента, или прије него што се улога постојећег Подобрађивача значајно измјени. Обавјештење се доставља електронском поштом администратору налога и свакој контакт особи за заштиту података одређеној у FastComments административној конзоли, као и објавом на Страници подобрађивача уз навођење датума ступања на снагу. За пријем тог обавјештења није потребна пријава на листу за слање нити пристанак.

8.3 Када се измјена мора извршити хитно ради очувања безбједности, интегритета или континуитета Услуге, укључујући случај када постојећи Подобрађивач престане да пружа релевантну услугу, постане инсолвентан или његово ангажовање престане, Обрађивач може ангажовати замјену и обавјештење доставити чим то буде разумно изводљиво. Право приговора из одјељка 8.4 примјењује се неизмењено од датума тог обавјештења.

8.4 Руковалац може уложити приговор на новог Подобрађивача из оправданих разлога који се односе на заштиту података, писаним обавјештењем на адресу privacy@fastcomments.com у року од 30 дана од обавјештења по одјељку 8.2 или 8.3.

8.5 По уложеном приговору стране о том питању савесно преговарају 30 дана, а Обрађивач улаже разумне напоре да обезбиједи измјену којом се избјегава спорна обрада. У зависности од конкретног Подобрађивача, то може обухватити искључивање опционе функције која га ангажује, подешавање Услуге тако да до спорне обраде не долази, или пресељење налога Руковаоца у регион Европске уније, што Обрађивач врши на захтјев и без накнаде. Када таква измјена није доступна, Руковалац може писаним обавјештењем раскинути погођени дио Услуге или Основни уговор без накнаде за превремени раскид или других неповољних посљедица, уз сразмјерни повраћај унапријед плаћених накнада за неискоришћени дио периода. Раскид по овом основу представља једини правни лијек Руковаоца у вези са приговором.

8.6 Обрађивач писаним уговором намеће сваком Подобрађивачу обавезе заштите података које су суштински једнаке обавезама из овог Уговора, укључујући обавезе безбједности из члана 32. ГДПР и, када Подобрађивач има сједиште изван Европског економског простора, одговарајући инструмент преноса. Када Подобрађивач још није закључио такав уговор, тај Подобрађивач је као такав означен у Анексу III заједно са обрадом коју врши, а Обрађивач ради на закључењу уговора који одговара овом одјељку.

8.7 Обрађивач остаје у потпуности одговоран Руковаоцу за испуњење обавеза сваког Подобрађивача.

9. Помоћ у остваривању права лица на која се подаци односе

9.1 Обрађивач без одлагања обавјештава Руковаоца о сваком захтјеву који непосредно прими од лица на које се подаци односе у вези са Подацима о личности Клијента, и на такав захтјев не одговара мериторно, већ лице на које се подаци односе упућује Руковаоцу, осим ако Руковалац наложи другачије.

9.2 Обрађивач без одлагања обавјештава Руковаоца о сваком другом захтјеву, притужби, обавјештењу или обраћању које прими од надзорног органа или другог надлежног регулаторног тела, а које се односи на обраду Података о личности Клијента, као и о сваком захтјеву за накнаду штете истакнутом у вези са том обрадом.

9.3 Узимајући у обзир природу обраде, Обрађивач одговарајућим техничким и организационим мјерама помаже Руковаоцу, у мјери у којој је то могуће, у испуњавању обавезе Руковаоца да поступа по захтјевима за остваривање права из Поглавља III ГДПР. Услуга Руковаоцу пружа алате за проналажење крајњег корисника, за измјену, брисање или анонимизацију појединачних коментара и порука ћаскања, за брисање крајњег корисника и садржаја повезаног са њим, за извоз коментара и корисничких података који се чувају за налог Руковаоца, као и за подешавање да ли се IP адресе чувају у деанонимизованом облику. Када ти алати омогућавају Руковаоцу да поступи без учешћа Обрађивача, њихова доступност представља помоћ која се тражи овим одјељком. Даљу помоћ Обрађивач пружа уз разумну накнаду.

10. Повреда података о личности

10.1 Обрађивач обавјештава Руковаоца без непотребног одлагања, а у сваком случају у року од 48 сати, након што сазна за повреду података о личности која се односи на Податке о личности Клијента.

10.2 Обавјештење описује, у мјери у којој је то у том тренутку познато: природу повреде, укључујући по могућности врсте и приближан број лица на која се подаци односе и врсте и приближан број обухваћених записа; вјероватне посљедице повреде; мјере које су предузете или се предлажу ради њеног отклањања, укључујући мјере ублажавања њених могућих штетних посљедица; као и контакт тачку од које се могу добити додатне информације. Када информације нису одмах доступне, достављају се поступно, како буду постајале доступне.

10.3 Обрађивач пружа разумну сарадњу и помоћ Руковаоцу у вези са сопственим обавезама Руковаоца из чланова 33. и 34. ГДПР.

10.4 Обавјештење по овом одјељку не представља признање кривице ни одговорности.

11. Процјене утицаја на заштиту података

Узимајући у обзир природу обраде и информације које су му доступне, Обрађивач пружа разумну помоћ Руковаоцу код процјена утицаја на заштиту података из члана 35. ГДПР и код претходног мишљења надзорног органа из члана 36. ГДПР, првенствено стављањем на располагање Анекса II, Странице подобрађивача, података о преносима из одјељка 14. и писаних одговора на разумна питања. Помоћ која превазилази наведено пружа се уз разумну накнаду.

12. Брисање и враћање Података о личности Клијента

12.1 По избору Руковаоца, Обрађивач брише или враћа све Податке о личности Клијента након престанка пружања Услуге и брише постојеће копије у складу са одјељком 12.3, осим ако право Уније, право државе чланице или други примјењиви пропис налаже даље чување.

12.2 Руковалац свој избор саопштава у писаном облику прије престанка пружања Услуге или у року од 30 дана након тога. Током тог периода Руковалац може извозним алатима Услуге преузети своје податке. Ако се у том року не изјасни, Обрађивач брише податке.

12.3 Брисање са продукционих система и њихових реплика врши се у року од 30 дана од изјашњења или од истека рока из одјељка 12.2. Преостале копије садржане у ротационим резервним копијама бришу се када резервна копија у којој се налазе буде преписана у редовном току свог циклуса ротације, а у сваком случају у року од дванаест мјесеци. До тада те копије остају шифроване у мировању, не обрађују се активно и не користе се ни у једну сврху осим опоравка од катастрофе.

12.4 Појединачни записи бришу се и прије престанка Услуге по налогу Руковаоца или на захтјев лица на које се подаци односе, помоћу алата описаних у одјељку 9.3.

13. Провере и доказивање усклађености

13.1 Обрађивач ставља на располагање Руковаоцу све информације неопходне за доказивање усклађености са чланом 28. ГДПР, те омогућава и доприноси проверама, укључујући инспекције, које спроводи Руковалац или други ревизор кога Руковалац овласти. Одјељци 13.2 до 13.5 описују како се то право остварује у пракси.

13.2 Информације на захтјев. На писани захтјев Руковаоца, и без накнаде, Обрађивач у року од 30 дана доставља: Анекс II у тада важећем тексту; актуелни списак Подобрађивача; попуњен примјерак стандардног безбједносног упитника Обрађивача; сажетак резултата свог посљедњег безбједносног тестирања; и писане одговоре на разумна писана питања која се тичу обраде података о личности која се врши у име тог Руковаоца. Ово је доступно једном у периоду од 12 мјесеци, а поред тога и након повреде података о личности која се односи на податке о личности који се обрађују у име тог Руковаоца или када то тражи надзорни орган.

13.3 Ревизијски разговор. Када Руковалац разумно докаже да информације достављене по одјељку 13.2 нису довољне за доказивање усклађености, или након повреде података о личности која се односи на податке о личности који се обрађују у име тог Руковаоца, или када то тражи надзорни орган, Обрађивач ставља на располагање лице одговорно за обраду ради ревизијског разговора на даљину путем видео-конференције у трајању до четири сата, уз писано обавјештење од најмање 30 дана и у споразумно утврђеном термину. Руковалац или ревизор кога он овласти може постављати питања и тражити приказ појединих контрола дијељењем екрана. Ово је доступно без накнаде једном у периоду од 12 мјесеци.

13.4 Инспекција на лицу мјеста. Када то тражи надзорни орган или императивни пропис, или када одјељци 13.2 и 13.3 нису отклонили конкретну документовану сумњу у усклађеност, Руковалац или независни ревизор кога он овласти може извршити инспекцију пословних просторија и система Обрађивача уз писано обавјештење од 60 дана, током редовног радног времена, једном у периоду од 12 мјесеци, о трошку Руковаоца, укључујући разумно утрошено вријеме Обрађивача по сатници о којој је Руковалац обавијештен прије инспекције. Ревизор не смије бити конкурент Обрађивача и мора бити обавезан писаном изјавом о повјерљивости. Обим је ограничен на системе и евиденције које се односе на обраду података о личности која се врши у име тог Руковаоца. Не одобрава се приступ подацима о личности другог клијента, дијељеној инфраструктури на начин који би угрозио безбједност података другог клијента, нити изворном коду осим путем надзираног увида.

13.5 WinrickLabs LLC не посједује SOC 2 извештај нити ISO/IEC 27001 сертификат и не обавезује се да ће прибавити било који од њих. Ако током трајања уговора прибави независни ревизорски извештај трећег лица или сертификат, достављање тог извештаја испуњава одјељке 13.2 и 13.3 у погледу питања која су њиме обухваћена.

13.6 Ништа у овом одјељку не ограничава нити умањује права Руковаоца из члана 28. став 3. тачка (h) ГДПР нити из Клаузуле 8.9 СУК. Када надзорни орган тражи проверу или инспекцију под условима другачијим од горе наведених, Обрађивач поступа по том тражењу.

14. Међународни преноси података

14.1 Мјесто чувања Података о личности Клијента

Регион Европске уније. Налози отворени на eu.fastcomments.com додељују се региону Европске уније. Подаци о личности Клијента за те налоге чувају се и обрађују на инфраструктури која се налази унутар Европског економског простора, укључујући све активне реплике и све резервне копије. Ти подаци се не реплицирају ни у један регион изван Европског економског простора.

Глобални регион. За налоге отворене на fastcomments.com, Подаци о личности Клијента реплицирају се кроз више региона, провајдера хостинга и држава, укључујући регионе у Сједињеним Америчким Државама, ради обезбјеђења доступности и испоруке података у близини крајњих корисника. Сваки регион одржава активну реплику у другом региону и код другог провајдера хостинга.

Региони, провајдери хостинга и државе који се на сваки од њих односе наведени су у Анексу III.

14.2 Администрација на даљину

WinrickLabs LLC има сједиште у Сједињеним Америчким Државама. Његово особље администрира, одржава, надзире и подржава све регионе, укључујући регион Европске уније, и за њих обезбјеђује одговор на инциденте, и то путем приступа на даљину из Сједињених Америчких Држава. Стране сагласно констатују да такав приступ на даљину представља пренос података о личности у трећу земљу у смислу Поглавља V ГДПР, и то и у погледу података који се чувају искључиво унутар Европског економског простора. СУК укључене одјељком 14.3 стога се примјењују на све Податке о личности Клијента који се обрађују по овом Уговору.

14.3 Стандардне уговорне клаузуле

СУК, Модул Два (пренос од руковаоца ка обрађивачу), укључују се у овај Уговор упућивањем и чине његов саставни дио. Њихов текст објављен је на адреси https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Руковалац је извозник података, а WinrickLabs LLC је увозник података. Када се примјењује одјељак 3.3, Модул Два се замјењује Модулом Три.

Стране врше сљедеће изборе у оквиру СУК:

Клаузуле 8.9, 12, 14, 15 и 16 СУК примјењују се без измјена. Одјељци 13. и 15. овог Уговора описују како се те клаузуле остварују у пракси и не ограничавају их.

14.4 Уједињено Краљевство

За преносе на које се примјењује УК ГДПР, УК Додатак се укључује упућивањем и примјењује се на СУК укључене одјељком 14.3. Његове табеле попуњене су у Додатку 1.

14.5 Швајцарска

За преносе на које се примјењује Швајцарски ЗЗП, СУК се примјењују уз измјене из Додатка 2.

14.6 Процјена утицаја преноса

Стране немају разлога да вјерују, узимајући у обзир околности преноса, прописе и праксу Сједињених Америчких Држава и примијењене заштитне мјере, да прописи и пракса који се примјењују на WinrickLabs LLC спречавају то друштво да испуни своје обавезе из СУК.

Околности преноса. Подаци о личности Клијента претежно се састоје од садржаја који Руковалац јавно објављује на сопственим сајтовима и апликацијама, заједно са приказаним именима, необавезним адресама електронске поште и, подразумијевано, криптографским хешевима IP адреса са соли умјесто самих IP адреса. Посебне врсте података о личности се не траже нити су потребне. Обим података о личности који се односи на свако лице на које се подаци односе минималан је по самом дизајну.

Прописи Сједињених Америчких Држава о надзору. WinrickLabs LLC је приватно друштво са ограниченом одговорношћу. Оно никада није примило налог, рјешење, тражење нити другу мјеру издату на основу Section 702 Foreign Intelligence Surveillance Act, на основу Executive Order 12333, у облику National Security Letter, нити на основу Clarifying Lawful Overseas Use of Data Act. Оно нема никакав однос са било којом обавјештајном агенцијом Сједињених Америчких Држава и никада ниједној влади није омогућило непосредан или посредан приступ Подацима о личности Клијента. Оно не спада међу велике комуникационе и клауд провајдере којима су налози по Section 702 историјски били упућивани и не управља ниједним постројењем на које је такво прикупљање примијењено.

Заштитне мјере. Пуно шифровање дискова у мировању на свим серверима, укључујући одредишта резервних копија; TLS 1.2 или новији за све податке у преносу; чување података у региону Европске уније без репликације тих података изван Европског економског простора; чување IP адреса као хешева са соли осим ако Руковалац одреди другачије; вишефакторска аутентификација на свим продукционим налозима, налозима код провајдера, налогу код регистра домена и налогу система за контролу верзија; приступ продукционим системима ограничен на именована лица по начелу најмањих привилегија; као и обавезе из одјељка 15. да се незаконита тражења оспоре, да се открије само неопходни минимум и да се Руковалац обавијести кад год је то правно допуштено.

Поновна процјена. Обрађивач ову процјену понавља најмање једном годишње, као и када сазна за било какву промјену примјењивих прописа или праксе која би на њу могла утицати. Када више не може да поступа у складу са СУК, о томе обавјештава Руковаоца у складу са Клаузулама 14(f) и 16.

14.7 Data Privacy Framework

WinrickLabs LLC није сертификован по EU-US Data Privacy Framework, по његовом UK Extension, нити по Swiss-US Data Privacy Framework, и не ослања се на одлуку о примјерености као инструмент преноса. Ослања се на СУК.

15. Тражења државних органа и органа за спровођење закона

По пријему правно обавезујућег тражења јавног органа да открије Податке о личности Клијента, Обрађивач: без одлагања обавјештава Руковаоца осим ако му је то законом забрањено, а када је забрањено улаже разумне напоре да добије изузеће од те забране; оспорава тражење када је незаконито, прешироко постављено или у сукобу са правом Европске уније или државе чланице; открива само неопходни минимум након пажљиве процјене тражења; и документује тражење и ту документацију ставља на располагање Руковаоцу и надлежном надзорном органу на њихово тражење.

На дан 5. августа 2026. године, WinrickLabs LLC није примио ниједно такво тражење.

16. Евиденција о обради

Обрађивач води евиденцију свих врста активности обраде које обавља у име руковалаца, са подацима које прописује члан 30. став 2. ГДПР, и ту евиденцију ставља на располагање надзорном органу на његово тражење.

17. Одговорност

17.1 Одговорност сваке стране по овом Уговору подлеже искључењима и ограничењима одговорности утврђеним у Основном уговору, у мјери у којој се та искључења и ограничења примјењују на ту страну. Иста та искључења и ограничења примјењују се једнако на потраживања по овом Уговору и на потраживања по Основном уговору. Овај Уговор не ствара никакво засебно нити додатно ограничење одговорности.

17.2 Одјељак 17.1 не ограничава нити искључује: било коју одговорност која се према примјењивом праву не може ограничити нити искључити; одговорност било које стране према лицу на које се подаци односе по Клаузули 12 СУК или по члану 82. ГДПР; нити обавезе било које стране према надзорном органу.

17.3 Одредбе Услова коришћења услуге о арбитражи и о одрицању од колективних тужби не примјењују се ни на једно потраживање које проистиче из овог Уговора или из СУК.

18. Трајање, престанак и надживљавање

Овај Уговор ступа на снагу на Датум ступања на снагу и траје све док Обрађивач обрађује Податке о личности Клијента, без обзира на престанак Основног уговора. Одјељци 6, 7, 10, 12, 13, 14, 15 и 17 остају на снази и након престанка.

19. Мјеродавно право и надлежност

19.1 На овај Уговор, као и на сваки спор или потраживање који проистичу из њега или су с њим повезани, укључујући вануговорне спорове или потраживања, примјењује се право Републике Ирске, а надлежни су судови Ирске. Овај одјељак има предност над одредбама Услова коришћења услуге о мјеродавном праву, мјесној надлежности, арбитражи и одрицању од колективних тужби у погледу спорова који проистичу из овог Уговора.

19.2 Одјељак 19.1 не дира у Клаузулу 18(c) СУК, по којој лице на које се подаци односе може покренути поступак у држави чланици свог уобичајеног боравишта.

19.3 За преносе на које се примјењује УК ГДПР, умјесто одјељка 19.1 примјењују се одредбе УК Додатка о мјеродавном праву и надлежности.

20. Измјене овог Уговора

20.1 Обрађивач може измијенити овај Уговор када то налаже промјена Прописа о заштити података о личности, одлука надзорног органа или суда, измјена СУК или УК Додатка, или измјена Услуге.

20.2 Обрађивач обавјештава администратора налога Руковаоца електронском поштом најмање 30 дана прије ступања на снагу значајне измјене и објављује ажурирани Уговор на овој страници. Мање измјене ступају на снагу објављивањем.

20.3 Када Руковалац у року од 30 дана од обавјештења уложи приговор на значајну измјену из оправданих разлога заштите података, стране о том питању савесно преговарају. Ако до споразума не дође, Руковалац може раскинути погођену Услугу без накнаде за превремени раскид или других неповољних посљедица, уз сразмјерни повраћај унапријед плаћених накнада за неискоришћени дио периода.

21. Опште одредбе

21.1 Обавјештења. Обавјештења Обрађивачу по овом Уговору шаљу се на адресу privacy@fastcomments.com. Обавјештења Руковаоцу шаљу се на адресу електронске поште администратора налога и свакој контакт особи за заштиту података одређеној у административној конзоли. Сматра се да је обавјештење послато електронском поштом примљено првог радног дана након слања.

21.2 Електронски облик. Стране су сагласне да овај Уговор у електронском облику испуњава члан 28. став 9. ГДПР и сваки услов да уговор буде у писаном облику.

21.3 Дјелимична ништавост. Ако се нека одредба овог Уговора огласи ништавом или неизвршивом, остатак остаје на снази.

21.4 Без одрицања. Неостваривање права из овог Уговора не представља одрицање од тог права.

21.5 Уступање. Обрађивач може уступити овај Уговор правном сљедбенику у вези са припајањем, стицањем или продајом цјелокупне или готово цјелокупне имовине, уз обавјештење Руковаоцу.

21.6 Цјеловитост уговора. Овај Уговор представља цјелокупан споразум страна у погледу обраде Података о личности Клијента.

22. Језик

Овај Уговор је састављен и закључен на енглеском језику. Преводи се стављају на располагање ради лакшег разумијевања. У случају било какве несагласности, нејасноће, сукоба или разлике у тумачењу између енглеске верзије и превода, енглеска верзија има предност и представља једину мјеродавну и обавезујућу верзију за све сврхе, укључујући тумачење, извршење и рјешавање сваког спора. Називи правних лица, адресе, законски цитати и текст СУК се не преводе. Свака страна потврђује да поступа у оквиру своје пословне дјелатности и да је имала прилику да прибави независан превод и независан правни савјет. Овај одјељак не утиче на сопствене обавезе Руковаоца из чланова 12. до 14. ГДПР да лицима на која се подаци односе пружи информације јасним и једноставним језиком.

23. Контакт тачка и регулаторни статус

23.1 Контакт тачка за сва питања заштите података, укључујући тражења по одјељцима 8.4, 13.2 и 13.3, јесте Devon Winrick, privacy@fastcomments.com, WinrickLabs LLC, 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States.

23.2 WinrickLabs LLC није именовао лице за заштиту података о личности, будући да је оцијенио да услови из члана 37. став 1. ГДПР нису испуњени.

23.3 WinrickLabs LLC не посједује нити тврди да посједује SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS или CSA STAR сертификат. Сваки сертификат наведен у овом Уговору у погледу неког Подобрађивача посједује тај Подобрађивач у погледу сопствених објеката и услуга и он није сертификат друштва WinrickLabs LLC.

24. Потписивање

Анекс I

A. Списак страна

B. Опис преноса

Врсте лица на која се подаци односе

• Крајњи корисници и посјетиоци веб-сајтова и апликација Руковаоца који објављују, уређују коментаре или поруке ћаскања, реагују на њих, гласају о њима, претплаћују се на њих или су у њима именовани.
• Крајњи корисници који читају садржај који испоручује Услуга и чији се метаподаци о вези обрађују ради безбједности и спречавања злоупотреба.
• Сопствено особље Руковаоца које користи функције модерације, администрације или API Услуге.
• Крајњи корисници које Руковалац обезбјеђује путем једнократног пријављивања.

Врсте података о личности

• Приказано име или корисничко име.
• Адреса електронске поште, када је достави лице на које се подаци односе или Руковалац. Анонимно коментарисање је подржано.
• Аватар или профилна слика, или веза ка њој.
• Садржај коментара, порука ћаскања и одговора, као и сви медији или датотеке које лице на које се подаци односе отпреми.
• Криптографски хеш IP адресе са соли. Када Руковалац омогући подешавање деанонимизације описано у одјељку 7.3, умјесто тога се чува IP адреса у изворном облику.
• Гласови, реакције, пријаве, блокирања и статус модерације.
• Временске ознаке, идентификатори странице и теме, као и низ корисничког агента.
• Подешавања обавјештења и претплата.
• Идентификатори једнократног пријављивања и сви даљи атрибути које Руковалац одлучи да пренесе.
• За административне кориснике Руковаоца: име, адреса електронске поште, подаци за аутентификацију у хешованом облику, подаци о сесији и IP адресе повезане са административним радњама када је Руковалац омогућио дневник ревизије.

Осјетљиви подаци

Услуга није намијењена посебним врстама података о личности, а према одјељку 5.4 Руковалац такве податке свјесно не доставља и у том смислу упућује своје крајње кориснике. Када крајњи корисник такве податке по сопственој вољи унесе у слободан текст, примјењују се сљедећа ограничења: шифровање у мировању; приступ ограничен на најмањи број овлашћених лица; без накнадне употребе у друге сврхе; без профилисања; без откривања осим по упутству Руковаоца или када је то законом прописано; и без коришћења за развој или обучавање било ког модела.

Учесталост преноса

Континуирано, на трајној основи, за вријеме трајања Основног уговора.

Природа обраде

Прикупљање, биљежење, организовање, структурисање, чување, претраживање, увид, преношење и јавно приказивање на сајтовима и апликацијама Руковаоца, модерација и филтрирање садржаја, аутоматизовано оцјењивање спама и модерација слика када их Руковалац омогући, испорука обавјештења, израда резервних копија и репликација, ограничавање, брисање и уништавање.

Сврха преноса и даље обраде

Пружање Услуге Руковаоцу, испорука обавјештења, модерација и спречавање злоупотреба, безбједност, доступност и опоравак од катастрофе, као и техничка подршка, у сваком случају искључиво по документованим упутствима Руковаоца.

Период чувања

За вријеме трајања Основног уговора и након тога како је утврђено у одјељку 12. Појединачни записи бришу се раније по налогу Руковаоца или лица на које се подаци односе.

Преноси подобрађивачима

Како је утврђено у Анексу III, у коме је за сваког Подобрађивача наведен предмет и природа његове обраде и њено трајање, које одговара трајању Основног уговора или, за Подобрађивача који се ангажује само опционом функцијом, периоду за који Руковалац ту функцију држи омогућеном.

C. Надлежни надзорни орган

1. Када извозник података има сједиште у држави чланици Европске уније: надзорни орган те државе чланице.
2. Када извозник података нема сједиште у држави чланици Европске уније, али спада у територијалну примјену ГДПР по члану 3. став 2. и именовао је представника по члану 27: надзорни орган државе чланице у којој тај представник има сједиште.
3. Када извозник података нема сједиште у држави чланици Европске уније и није именовао представника по члану 27: Data Protection Commission of Ireland.
4. За преносе на које се примјењује УК ГДПР: Information Commissioner's Office.
5. За преносе на које се примјењује Швајцарски ЗЗП: Federal Data Protection and Information Commissioner.

Анекс II - Техничке и организационе мјере

Мјере наведене у наставку спроводи WinrickLabs LLC. Мјере описане тако да се примјењују на центар података или на платформу Подобрађивача спроводи тај Подобрађивач у погледу сопствених објеката.

1. Псеудонимизација и шифровање података о личности

• Пуно шифровање дискова у мировању примјењује се на свим серверима, укључујући и оне који садрже резервне копије.
• Сви подаци у преносу заштићени су протоколом TLS верзије 1.2 или новије.
• IP адресе се чувају као криптографски хешеви са соли. Изворна IP адреса чува се само када Руковалац омогући подешавање деанонимизације за сопствени налог. Хеш IP адресе са соли и даље представља податак о личности и као такав се третира по овом Уговору.
• Подаци за аутентификацију административних налога чувају се као хешеви са соли и никада у обновљивом облику.

2. Повјерљивост, интегритет, доступност и отпорност система за обраду

• Услуга је распоређена кроз више региона и више провајдера хостинга.
• Сваки регион одржава активну реплику у другом региону и код другог провајдера хостинга.
• Подаци закупаца логички су одвојени идентификатором закупца на сваком слоју апликације и модела података.
• Продукциони сервери заштићени су заштитним зидовима, а продукционе мреже одвојене су од свих других окружења.

3. Успостављање доступности и приступа након инцидента

• Резервне копије израђују се у дневним, мјесечним и годишњим циклусима. Уписују се на шифроване волумене, преносе се преко TLS-а и чувају се и код провајдера хостинга различитог од оног код кога се налазе активни подаци и код независног провајдера објектног складишта.
• Резервне копије података региона Европске уније чувају се искључиво унутар Европског економског простора.
• Поступак враћања података је документован, а враћање се спроводи и проверава најмање једном годишње.

4. Редовно тестирање, оцјењивање и процјењивање дјелотворности

• Независно тестирање пробоја од стране трећих лица спроводи се најмање једном годишње.
• Аутоматизовано скенирање зависности и рањивости непрекидно се спроводи над продукционим кодом.
• Све измјене продукционог кода подлежу безбједносној провери прије објављивања.

5. Идентификација корисника и овлашћења

• Приступ продукционим системима који садрже Податке о личности Клијента ограничен је на именована лица са документованом оперативном потребом.
• Свуда се користе појединачни именовани налози. Заједнички приступни подаци се не користе.
• Вишефакторска аутентификација обавезна је на свим продукционим системима, на свим налозима код провајдера хостинга и услуга, на налогу код регистра домена и на налогу система за контролу верзија.
• Права приступа додељују се по начелу најмањих привилегија, преиспитују се при свакој кадровској промјени и одузимају се без одлагања када ангажовање неког лица престане.

6. Заштита података током преноса

• TLS верзије 1.2 или новије обавезан је за виџет за коментаре и ћаскање, јавни API, административну конзолу, испоруку веб-хукова и репликацију између региона.
• HTTP Strict Transport Security је укључен. Нешифровани приступ се не нуди.

7. Заштита података током чувања

• Шифровање у мировању како је описано у одјељку 1. овог Анекса, примијењено једнако на продукционе системе, реплике и медије за резервне копије.
• Кључеве за шифровање дискова посједује WinrickLabs LLC и нису доступни ниједном провајдеру хостинга.

8. Физичка безбједност

• WinrickLabs LLC не управља сопственим центром података. Сви продукциони системи смјештени су у објектима којима управљају Подобрађивачи за хостинг наведени у Анексу III, а који за те објекте обезбјеђују контролу физичког приступа, редундантно напајање, хлађење и мрежну повезаност.
• Радне станице администратора заштићене су пуним шифровањем дискова, аутоматским закључавањем екрана и вишефакторском аутентификацијом.

9. Биљежење догађаја

• Административне радње и догађаји аутентификације се биљеже.
• Биљежење, пријављивање грешака и систем тикета подршке WinrickLabs LLC спроводи на сопственој инфраструктури. Ниједна услуга трећег лица за биљежење, праћење грешака, аналитику или подршку не прима Податке о личности Клијента.
• Дневник ревизије административних радњи доступан је Руковаоцу у административној конзоли.

10. Конфигурација система и управљање

• Безбједносне закрпе примјењују се по приоритету ризика, при чему се критичне закрпе примјењују без одлагања.
• Инсталиране услуге своде се на неопходни минимум. Подразумијевани приступни подаци се не користе.
• Тајне се чувају изван система за контролу верзија.
• WinrickLabs LLC одржава писани план одговора на инциденте који обухвата откривање, ограничавање, процјену, обавјештавање и накнадну анализу.
• Контакт тачка за безбједносне пријаве и пријаве рањивости објављена је на адреси privacy@fastcomments.com.

11. Сертификација и увјеравање

WinrickLabs LLC не посједује нити тврди да посједује SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS или CSA STAR сертификат и не изјављује да ће било који такав сертификат прибавити. Сваки сертификат наведен у овом Уговору у погледу неког Подобрађивача посједује тај Подобрађивач у погледу сопствених објеката и услуга. WinrickLabs LLC не чува нити обрађује податке о платним картицама; подаци о картицама прикупљају се и обрађују непосредно код његовог Подобрађивача за плаћања.

12. Минимизација, квалитет и чување података

• Услуга захтијева само приказано име. Адреса електронске поште је необавезна, а анонимно коментарисање је подржано.
• IP адресе се подразумијевано псеудонимизују како је описано у одјељку 1. овог Анекса.
• Лица на која се подаци односе и Руковалац могу исправити профилне податке и уредити или обрисати садржај путем Услуге.
• Период чувања подешава Руковалац. Брисање по престанку уређено је одјељком 12. овог Уговора.

13. Преносивост и брисање

• Административна конзола омогућава извоз коментара и корисничких података који се чувају за налог Руковаоца.
• Административна конзола и API омогућавају брисање појединачних коментара, појединачних крајњих корисника и цијелог налога Руковаоца.

14. Мјере за преносе Подобрађивачима

• Сваки Подобрађивач ангажује се на основу писаног уговора којим му се намећу обавезе заштите података суштински једнаке обавезама из овог Уговора, осим када је у Анексу III наведено другачије.
• Сваки Подобрађивач се процјењује прије ангажовања, а његова улога евидентира се у Анексу III и на Страници подобрађивача.
• Подобрађивачи који се користе за налоге региона Европске уније обрађују те податке унутар Европског економског простора.

Анекс III - Списак подобрађивача

Руковалац даје опште писано овлашћење за ангажовање Подобрађивача наведених у наставку. Страница подобрађивача представља мјеродаван актуелни списак и укључује се у овај Уговор упућивањем. Колона „Регион" означава да ли Подобрађивач обрађује податке за налоге региона Европске уније, за налоге глобалног региона, или за оба.

Уговорни статус Подобрађивача. Сваки горе наведени Подобрађивач ангажован је на основу писаног уговора који укључује услове обраде података тог провајдера, уз сљедећа два изузетка, који се овде наводе како би их Руковалац могао процијенити.

Deep Infra, Inc. не објављује уговор о обради података нити стандардне уговорне клаузуле, и такав уговор не постоји на дан 5. августа 2026. године. WinrickLabs LLC ради на његовом закључењу. Овај Подобрађивач се ангажује само када Руковалац омогући функције аутоматизоване класификације спама, модерације садржаја слика, агента за модерацију или асистента. Те функције су подразумијевано искључене. Када их Руковалац не омогући, овом Подобрађивачу се ни у једном тренутку не откривају Подаци о личности Клијента. Руковалац који не жели да његове податке обрађује овај Подобрађивач може те функције оставити искљученима или их искључити у сваком тренутку и без накнаде. Објављени услови тог провајдера наводе да се подаци достављени његовим интерфејсима не чувају, не продају нити користе за обучавање модела. Моделе које Услуга користи тај провајдер хостује на сопственој инфраструктури; подаци се не прослеђују ниједном другом добављачу модела.

BrainStorm Network, Inc. не објављује уговор о обради података, и такав уговор не постоји на дан 5. августа 2026. године. WinrickLabs LLC ради на његовом закључењу. Овај Подобрађивач хостује сервере само у глобалном региону. Овај Подобрађивач ни у једном тренутку не обрађује Податке о личности Клијента који припадају налогу региона Европске уније.

Добављачи који не обрађују Податке о личности Клијента. Stripe, LLC, Corporation Trust Center, 1209 Orange Street, Wilmington, DE 19801, United States, обрађује сопствене податке Руковаоца о наплати и плаћању. То су Подаци о налогу у смислу одјељка 3.2, у погледу којих WinrickLabs LLC поступа као самостални руковалац, те Stripe стога није Подобрађивач по овом Уговору. Податке о платним картицама прикупља и обрађује непосредно Stripe и WinrickLabs LLC их не чува.

Услуге које се пружају без трећих лица. Испоруку садржаја, биљежење на нивоу апликације, пријављивање грешака и систем тикета подршке WinrickLabs LLC спроводи на горе наведеној инфраструктури. Ниједна мрежа за испоруку садржаја, услуга биљежења, услуга праћења грешака, аналитичка услуга нити служба подршке трећег лица не прима Податке о личности Клијента.

Додатак 1 - UK International Data Transfer Addendum

За преносе на које се примјењује УК ГДПР, УК Додатак се укључује упућивањем и његове табеле попуњене су како слиједи. Када императивне клаузуле УК Додатка нису у сагласности са СУК укљученим одјељком 14.3, УК Додатак има предност у погледу тих преноса.

У СУК, у мјери у којој се примјењују на преносе на које се примјењује УК ГДПР: упућивања на ГДПР сматрају се упућивањима на УК ГДПР; упућивања на Уредбу (ЕУ) 2016/679 сматрају се упућивањима на ту Уредбу како је преузета у право Уједињеног Краљевства и на Data Protection Act 2018; упућивања на надзорни орган сматрају се упућивањима на Information Commissioner; упућивања на државу чланицу сматрају се упућивањима на Уједињено Краљевство; а упућивања на Европски економски простор сматрају се упућивањима на Уједињено Краљевство.

Додатак 2 - Швајцарске измјене

Када се на пренос примјењује Швајцарски ЗЗП, СУК се примјењују уз сљедеће измјене.

1. Надлежни надзорни орган по Клаузули 13 и Анексу I.C јесте Federal Data Protection and Information Commissioner у погледу преноса који су уређени искључиво Швајцарским ЗЗП. Када је пренос уређен и Швајцарским ЗЗП и ГДПР, Federal Data Protection and Information Commissioner надлежан је за швајцарске аспекте, а орган одређен по Анексу I.C за аспекте Европске уније.
2. Упућивања на ГДПР сматрају се упућивањима на Швајцарски ЗЗП када је пренос њиме уређен, а упућивања на право Европске уније или државе чланице сматрају се упућивањима на швајцарско право када је то примјењиво.
3. Израз „држава чланица" не тумачи се тако да лицима на која се подаци односе у Швајцарској ускраћује могућност да покрену поступак у мјесту свог уобичајеног боравишта у складу са Клаузулом 18(c).
4. СУК штите и податке о личности правних лица у мјери у којој то налаже примјењиво швајцарско право.
5. Клаузула 17 и Клаузула 18(b) примјењују се како је изабрано у одјељку 14.3, не дирајући у тачку 3. овог Додатка.