Ugovor o obradi podataka za crkve izvan Koreje

Crkva koja uslugu koristi izvan Republike Koreje („Crkva”) i Wesleysoft („Društvo”) dogovaraju sljedeće o obradi osobnih podataka koje Crkva unosi u Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) i Wesley Simbang Plus (웨슬리 심방플러스) („Usluga”), a koju Društvo provodi u ime Crkve. Ovaj se Ugovor primjenjuje zajedno s Uvjetima korištenja Društva, njegovom Politikom privatnosti i „Dodatkom Politici privatnosti za crkve izvan Koreje” („Dodatak”). Ako se oni razlikuju u pogledu obrade osobnih podataka, prednost ima ovaj Ugovor.

Članak 1. (Uloge)

1. U pogledu osobnih podataka koje Crkva unosi u Uslugu, Crkva određuje svrhe i sredstva obrade (voditelj obrade), a Društvo obrađuje te podatke u ime Crkve (izvršitelj obrade).
2. Crkva je odgovorna za to da prikupljanje osobnih podataka i njihov unos u Uslugu budu u skladu s pravom zemlje Crkve te obavješćuje članove o obradi i, kada je to potrebno, pribavlja njihovu privolu.

Članak 2. (Pojedinosti obrade)

Predmet i trajanje, priroda i svrha obrade, vrste osobnih podataka i kategorije ispitanika utvrđeni su u Prilogu 1.

Članak 3. (Obrada prema uputama Crkve)

1. Društvo obrađuje osobne podatke samo prema zabilježenim uputama Crkve. Korištenje funkcija i odabir postavki na zaslonima Usluge od strane Crkve smatraju se uputama Crkve.
2. Društvo ne obrađuje osobne podatke ni u koju drugu svrhu osim pružanja Usluge, osim ako je to dužno činiti na temelju zakona. Ako zakon zahtijeva obradu, Društvo o tome obavješćuje Crkvu prije obrade, osim ako zakon to zabranjuje.
3. Ako Društvo smatra da se uputom Crkve krše propisi o zaštiti podataka, o tome bez odgode obavješćuje Crkvu.

Članak 4. (Povjerljivost)

Društvo ograničava krug osoba koje smiju obrađivati osobne podatke na nužni minimum i osigurava da su one obvezane dužnošću čuvanja povjerljivosti. Ta dužnost traje i nakon završetka njihova rada.

Članak 5. (Sigurnosne mjere)

Društvo poduzima tehničke i organizacijske mjere primjerene rizicima za osobne podatke, kako je utvrđeno u Prilogu 2. Društvo može mijenjati te mjere u skladu s tehnološkim razvojem, ali neće sniziti razinu zaštite.

Članak 6. (Odvajanje po crkvama)

Društvo drži podatke Crkve odvojeno od podataka drugih crkava i osigurava da korisnici drugih crkava ne mogu vidjeti podatke Crkve.

Članak 7. (Angažiranje podizvršitelja obrade)

1. Crkva ovlašćuje Društvo da angažira podizvršitelje obrade navedene u Prilogu 3.
2. Ako Društvo namjerava dodati ili zamijeniti podizvršitelja obrade, o tome obavješćuje Crkvu najmanje 30 dana unaprijed, a Crkva u tom roku može uložiti prigovor iz opravdanih razloga. Ako Društvo ne prihvati prigovor, Crkva može raskinuti ugovor o korištenju usluge bez ugovorne kazne.
3. Društvo svakom podizvršitelju obrade ugovorom nameće obveze zaštite podataka iste razine kao u ovom Ugovoru te ostaje odgovorno Crkvi ako podizvršitelj obrade ne ispuni te obveze.

Članak 8. (Pomoć u vezi s pravima ispitanika)

1. Kada članovi ili drugi ispitanici ostvaruju prava kao što su pristup, ispravak, brisanje, ograničenje obrade ili prenosivost podataka, Društvo pruža funkcije Usluge i suradnju potrebne kako bi Crkva mogla odgovoriti.
2. Ako ispitanik zahtjev uputi izravno Društvu, Društvo ga bez odgode prosljeđuje Crkvi i ne odgovara izravno bez uputa Crkve.

Članak 9. (Povrede osobnih podataka)

1. Ako Društvo sazna za incident u kojem su osobni podaci Crkve procurili ili su mogli procuriti, o tome obavješćuje Crkvu bez odgode, a u svakom slučaju u roku od 48 sati od saznanja.
2. U obavijesti se opisuju priroda i okolnosti incidenta, kategorije i približan broj obuhvaćenih ispitanika i evidencija osobnih podataka, vjerojatne posljedice, mjere koje je Društvo poduzelo ili će poduzeti te kontaktna osoba. Informacije koje se ne mogu pružiti odjednom pružaju se postupno, kako postanu poznate.
3. Društvo pruža informacije i suradnju potrebne kako bi Crkva mogla obavijestiti nadzorno tijelo i ispitanike u skladu s pravom svoje zemlje.

Članak 10. (Ostala pomoć)

Uzimajući u obzir prirodu obrade i informacije dostupne Društvu, Društvo Crkvi pruža informacije potrebne za ispunjavanje njezinih obveza prema pravu njezine zemlje, kao što su osiguravanje sigurnosti, provođenje procjena učinka na zaštitu podataka i prethodno savjetovanje s nadzornim tijelom.

Članak 11. (Mjesto pohrane i međunarodni prijenosi)

1. Društvo pohranjuje podatke Crkve na poslužiteljima smještenima u Republici Koreji i ne prenosi ih izvan Republike Koreje, osim kako je opisano u članku 6. Dodatka (navođenje do odredišta).
2. Prijenosi iz zemlje Crkve u Republiku Koreju provode se u skladu s člankom 4. Dodatka. Ako pravo te zemlje zahtijeva zaseban mehanizam, kao što su standardne ugovorne klauzule, Crkva i Društvo uspostavljaju ga zajedno s ovim Ugovorom.

Članak 12. (Vraćanje i uništavanje nakon prestanka ugovora o korištenju usluge)

1. Crkva može preuzeti svoje podatke s pomoću funkcije izvoza u Usluzi prije prestanka ugovora o korištenju usluge i tijekom 90 dana nakon njegova prestanka.
2. Nakon isteka tog razdoblja Društvo uništava podatke Crkve tako da se ne mogu oporaviti. Ako Crkva zatraži trenutačno uništavanje, Društvo podatke uništava bez odgode. Podaci za koje zakon zahtijeva čuvanje čuvaju se tijekom propisanog razdoblja.
3. Podaci koji ostanu u sigurnosnim kopijama uništavaju se nakon 90 dana za sigurnosne kopije na poslužiteljima Društva i nakon 1 godine za sigurnosne kopije na zasebnom uređaju za pohranu kojim upravlja Društvo. Do tada se ne upotrebljavaju ni u koju drugu svrhu osim za ponovnu uspostavu podataka.
4. Na zahtjev Crkve Društvo pisano potvrđuje uništavanje.

Članak 13. (Informacije i revizije)

1. Društvo Crkvi pruža informacije potrebne za dokazivanje poštovanja obveza iz ovog Ugovora.
2. Crkva može jednom godišnje postaviti pisana pitanja, na koja Društvo odgovara besplatno. Ako Crkva ili revizor kojeg Crkva imenuje želi provesti reviziju na licu mjesta, zahtjev se mora podnijeti 30 dana unaprijed, a troškove snosi Crkva. Revizor je obvezan dužnošću čuvanja povjerljivosti.

Članak 14. (Odgovornost)

Crkva i Društvo odgovaraju svaki za štetu koju drugoj strani prouzroče kršenjem ovog Ugovora ili zakona. Odgovornost Društva ograničena je na ukupan iznos naknada koje je Crkva platila u 12 mjeseci prije dana nastanka štete. To se ograničenje ne primjenjuje na štetu koju je Društvo prouzročilo namjerno ili krajnjom nepažnjom, niti kada zakon ne dopušta ograničenje odgovornosti.

Članak 15. (Trajanje)

Ovaj Ugovor proizvodi učinke od dana kada Crkva, nakon što ju je Društvo odobrilo, sklopi ugovor o korištenju usluge, do ispunjenja obveza iz članka 12. nakon prestanka ugovora o korištenju usluge.

Članak 16. (Mjerodavno pravo i nadležnost)

Na ovaj se Ugovor primjenjuje pravo Republike Koreje. Međutim, i dalje se primjenjuju odredbe propisa o zaštiti podataka zemlje Crkve od kojih se ne može odstupiti sporazumom, kao i ovlasti nadzornog tijela te zemlje. Za sporove u vezi s ovim Ugovorom nadležan je sud mjesno nadležan prema adresi Društva.

Članak 17. (Jezik i sklapanje)

1. Korejska verzija ovog Ugovora mjerodavni je izvornik. Ako se prijevod od nje razlikuje, prednost ima korejski izvornik, osim ako pravom zemlje Crkve nije drukčije propisano.
2. Ovaj je Ugovor sklopljen kada Crkva na zaslonu za ovaj Ugovor odabere „Slažem se” (동의). Društvo o tome čuva zapis i na zahtjev Crkve dostavlja potpisani primjerak.

Prilog 1. — Pojedinosti obrade

Predmet	Podaci o članovima i financijske evidencije koje Crkva unosi u Uslugu
Kategorije ispitanika	Članovi i njihove obitelji, novi članovi i posjetitelji, donatori, osoblje crkve i korisnici Usluge
Vrste osobnih podataka	Podaci iz članka 2. Politike privatnosti i članka 3. Dodatka — ime i prezime (prezime i ime latiničnim pismom), spol, datum rođenja (neobvezno), kontaktni podaci, adresa, fotografija, crkvena služba, okrug (dio zajednice) i razredni sastanak (class meeting), kategorija člana, evidencije o krštenju i konfirmaciji, služenja u crkvi i zanimanje, obiteljski odnosi, prisutnost, evidencije posjeta i molitvene nakane, bilješke o skrbi, evidencije prinosa, evidencije privola za obradu osobnih podataka te podaci o donatorima za potvrde o donacijama te zemlje
Posebne kategorije podataka	Činjenica članstva u crkvi i evidencije o vjerskom životu (podaci koji otkrivaju vjerska uvjerenja); podaci o zdravlju koje Crkva unosi u bilješke o skrbi
Priroda i svrha	Pružanje Usluge — pohrana, pregledavanje, uređivanje, ispis, izvoz, izrada sigurnosnih kopija, slanje e-poruka i izrada nacrta tekstova za posjete (ne šalju se nikakve informacije koje identificiraju člana)
Trajanje	Trajanje ugovora o korištenju usluge i 90 dana nakon njegova prestanka (sigurnosne kopije: članak 12. stavak 3. — 90 dana na poslužiteljima, 1 godina na zasebnom uređaju za pohranu)

Prilog 2. — Sigurnosne mjere

• Enkripcija u prijenosu (HTTPS)
• Lozinke se pohranjuju isključivo nepovratnom metodom
• Odvajanje podataka po crkvama — zasebna barijera za svaku crkvu u bazi podataka, tako da se podaci drugih crkava ne mogu čitati
• Ovlasti temeljene na ulogama i čuvanje zapisa o pristupu
• Vatrozid — otvoreni su samo priključci (portovi) potrebni za web-pristup i administrativni pristup; baza podataka nije dostupna izvan poslužitelja
• Softver za zaštitu od zlonamjernog softvera — automatsko ažuriranje potpisa i svakodnevno skeniranje
• Redovite sigurnosne kopije — svakodnevno na poslužitelju, uz kopiranje na zaseban uređaj za pohranu kojim upravlja Društvo (poslužitelji 90 dana, zaseban uređaj za pohranu 1 godina)

Prilog 3. — Podizvršitelji obrade (svi s poslovnim nastanom u Republici Koreji i s obradom u Republici Koreji)

Podizvršitelj obrade	Djelatnost
YourIT Co., Ltd.	Pružanje poslužitelja i prostora za pohranu; pohrana podataka
NHN Cloud Corp.	Slanje e-poruka (na brojeve mobilnih telefona izvan Koreje ne šalju se SMS poruke)
Upstage Co., Ltd.	Izrada nacrta propovijedi u Wesley Simbang Plus (ne šalju se nikakve informacije koje identificiraju člana)
Toss Payments Co., Ltd.	Obrada plaćanja naknada (Crkve izvan Koreje trenutačno plaćaju bankovnim prijenosom)