Marrëveshja për përpunimin e të dhënave personale

Përditësuar së fundi: [DATE]

Shtojcë e Kontratës ndërmjet Klientit dhe Magus Group Albania SHPK (SHPK), që vepron me markën Albmania (NIPT L92228018L, Linzë, Nd. 30, H. 31, Ap. 52, Dajti, 1040 Tiranë; në vijim “Agjencia”), sipas Kushteve të përgjithshme të shërbimit.

Kjo marrëveshje (në vijim “Marrëveshja”) zbatohet sa herë që Agjencia përpunon të dhëna personale për llogari të Klientit gjatë ofrimit të Shërbimeve. Klienti është kontrollues dhe Agjencia përpunues. Marrëveshja përmban kushtet që kërkon neni 26 i Ligjit nr. 124/2024 “Për mbrojtjen e të dhënave personale” dhe, kur përpunimi i nënshtrohet asaj, neni 28 i Rregullores (BE) 2016/679 (GDPR).

Termat si të dhëna personale, përpunim, kontrollues, përpunues, subjekt i të dhënave dhe cenim i të dhënave personale kanë kuptimin e nenit 5 të Ligjit nr. 124/2024 dhe të nenit 4 të GDPR-së. “Ligji për mbrojtjen e të dhënave” është Ligji nr. 124/2024 dhe, kur zbatohen për përpunimin, GDPR-ja dhe ligjet kombëtare që e plotësojnë (për shembull Kodi italian i privatësisë). “Nënpërpunues” është një përpunues tjetër që Agjencia angazhon për të kryer përpunime për llogari të Klientit. Termat e tjerë me shkronjë të madhe kanë kuptimin e Kushteve të përgjithshme të shërbimit.

Agjencia i përpunon të dhënat personale vetëm aq sa duhet për të ofruar Shërbimet e përshkruara në Kontratë. Marrëveshja vlen për aq kohë sa Agjencia përpunon të dhëna personale për Klientin dhe përfundon pasi të dhënat të jenë kthyer ose fshirë sipas pikës 11.

Në varësi të Shërbimeve të porositura, përpunimi përbëhet nga:

• hostimi i faqeve, aplikacioneve, bazave të të dhënave dhe kutive postare të Klientit, dhe ruajtja e skedarëve të tyre;

• krijimi dhe ruajtja e kopjeve rezervë dhe rikthimi i tyre sipas kërkesës;

• zhvillimi, testimi dhe publikimi i faqeve dhe aplikacioneve, përfshirë migrimin e të dhënave ekzistuese;

• mirëmbajtja dhe asistenca, përfshirë aksesin në sisteme për të diagnostikuar dhe ndrequr problemet;

• menaxhimi i domeneve dhe i rekordeve DNS;

• instalimi dhe konfigurimi i mjeteve të analitikës, të reklamave dhe të pëlqimit sipas udhëzimeve të Klientit;

• integrimi i shërbimeve të pagesave, ku Agjencia përpunon të dhënat e porosive dhe të transaksioneve, por kurrë numrat e plotë të kartave, që vendosen vetëm në faqet e procesuesit të pagesave.

Agjencia i përpunon të dhënat vetëm për këto qëllime dhe jo për qëllimet e veta.

Subjektet dhe kategoritë e të dhënave varen nga faqet dhe aplikacionet e Klientit dhe përshkruhen për çdo projekt në Shtojcën 1. Zakonisht janë:

• subjektet e të dhënave: vizitorët dhe përdoruesit e faqeve dhe aplikacioneve të Klientit, klientët dhe klientët e mundshëm të tij, abonentët e newsletter-it, aplikantët për punë, si dhe stafi dhe kontaktet e Klientit;

• të dhënat personale: të dhëna identifikuese dhe kontakti, të dhëna llogarie (me fjalëkalime të ruajtura vetëm si hash), porosi dhe transaksione (pa të dhënat e plota të kartës), mesazhe dhe formularë të dërguar, përmbajtje e ngarkuar nga përdoruesit, si dhe të dhëna teknike (adresa IP, regjistra, të dhëna të pajisjes dhe të shfletuesit, identifikues cookies).

Të dhënat sensitive (për shembull të dhëna shëndetësore në zgjidhjet për klinikat dentare) ose të dhënat penale përpunohen vetëm nëse e parashikon Shtojca 1 dhe me masat shtesë të rëna dakord aty.

Klienti:

• siguron që përpunimi që udhëzon të jetë i ligjshëm, të ketë një bazë ligjore të vlefshme dhe që subjektet e të dhënave të informohen siç duhet, përfshirë përmes politikave të privatësisë dhe të cookies në faqet e tij;

• i jep udhëzimet me shkrim (Kontrata, kjo Marrëveshje dhe kërkesat ose email-et nga kontaktet e tij të autorizuara janë udhëzime të dokumentuara);

• e njofton paraprakisht Agjencinë nëse do të përpunojë të dhëna sensitive ose të dhëna të fëmijëve;

• mbetet përgjegjës për konfigurimin e pëlqimit në faqet e tij, përveçse kur Oferta e përfshin si shërbim.

Agjencia:

1. i përpunon të dhënat personale vetëm sipas udhëzimeve të dokumentuara të Klientit, përfshirë për transferimet në vende të tjera, përveçse kur ligji të cilit i nënshtrohet kërkon ndryshe; në këtë rast e informon Klientin para përpunimit, përveçse kur ligji e ndalon. E informon menjëherë Klientin nëse, sipas mendimit të saj, një udhëzim shkel Ligjin për mbrojtjen e të dhënave;

2. siguron që personat e autorizuar për të përpunuar të dhënat të kenë detyrim konfidencialiteti (neni 30 i Ligjit nr. 124/2024) dhe t’i përpunojnë ato vetëm sipas udhëzimeve;

3. merr masat e sigurisë që kërkojnë neni 28 i Ligjit nr. 124/2024 dhe neni 32 i GDPR-së, të përshkruara në Shtojcën 2;

4. angazhon nënpërpunues vetëm siç përcaktohet në pikën 7;

5. e ndihmon Klientin, me masa teknike dhe organizative të përshtatshme, t’u përgjigjet kërkesave të subjekteve të të dhënave për ushtrimin e të drejtave të tyre, dhe i përcjell Klientit pa vonesë çdo kërkesë që merr drejtpërdrejt, pa iu përgjigjur vetë, përveçse kur autorizohet;

6. e ndihmon Klientin të përmbushë detyrimet për sigurinë, njoftimin e cenimeve, vlerësimin e ndikimit dhe konsultimin paraprak (nenet 28, 29, 31 dhe 32 të Ligjit nr. 124/2024; nenet 32–36 të GDPR-së), duke marrë parasysh natyrën e përpunimit dhe informacionin që ka;

7. i kthen ose i fshin të dhënat në përfundim të Shërbimeve sipas pikës 11;

8. vë në dispozicion informacionin e nevojshëm për të provuar përputhshmërinë dhe lejon auditimet sipas pikës 12;

9. mban, kur kërkohet, të dhëna për përpunimet që kryen për llogari të Klientit (neni 27, pika 2, i Ligjit nr. 124/2024; neni 30, paragrafi 2, i GDPR-së).

• Klienti i jep Agjencisë autorizim të përgjithshëm me shkrim për të angazhuar nënpërpunues. Lista aktuale është në Shtojcën 3.

• Agjencia e njofton Klientin për çdo shtim ose zëvendësim të planifikuar të paktën [TO CONFIRM: 30] ditë përpara [TO CONFIRM: notice channel, e.g. email to the Client's contact or a sub-processor page with subscription]. Klienti mund ta kundërshtojë brenda [TO CONFIRM: 14] ditëve për arsye të bazuara që lidhen me mbrojtjen e të dhënave. Nëse palët nuk gjejnë zgjidhje, Klienti mund t’i zgjidhë Shërbimet e prekura pa penalitet para se ndryshimi të hyjë në fuqi.

• Agjencia i vendos çdo nënpërpunuesi, me kontratë, të njëjtat detyrime për mbrojtjen e të dhënave si në këtë Marrëveshje, dhe mbetet plotësisht përgjegjëse ndaj Klientit për përmbushjen e tyre (neni 26, pika 4, i Ligjit nr. 124/2024; neni 28, paragrafi 4, i GDPR-së).

• Agjencia i transferon të dhënat personale jashtë Shqipërisë dhe Zonës Ekonomike Evropiane vetëm në përputhje me kapitullin IV të Ligjit nr. 124/2024 (nenet 39–42) dhe, kur zbatohet, me kapitullin V të GDPR-së.

• Klientët në BE/ZEE. Agjencia është e vendosur në Shqipëri, për të cilën nuk ka vendim përshtatshmërie të Komisionit Evropian. Edhe kur të dhënat hostohen në serverë në BE, aksesi i stafit të Agjencisë në to nga Shqipëria përbën transferim. Për këta Klientë zbatohen klauzolat standarde kontraktuale të miratuara me Vendimin e Zbatimit (BE) 2021/914 të Komisionit, Moduli i Dytë (nga kontrolluesi te përpunuesi), siç përcaktohet në Shtojcën 4, së bashku me një vlerësim të ndikimit të transferimit [TO CONFIRM: transfer impact assessment for Albania to be prepared and attached].

• Transferimet e mëtejshme te nënpërpunuesit jashtë ZEE-së bazohen në një vendim përshtatshmërie (për Shtetet e Bashkuara, Kuadri BE–SHBA për Privatësinë e të Dhënave për shoqëritë e certifikuara, i njohur edhe nga Vendimi nr. 1, datë 30.4.2025, i Komisionerit) ose në klauzola standarde kontraktuale, siç tregohet në Shtojcën 3.

• Agjencia e njofton Klientin pa vonesë të panevojshme, dhe në çdo rast brenda [TO CONFIRM: 24 or 48] orëve, pasi merr dijeni për një cenim të të dhënave personale që prek të dhënat e Klientit (neni 29, pika 2, i Ligjit nr. 124/2024 kërkon që përpunuesi ta njoftojë kontrolluesin menjëherë; neni 33, paragrafi 2, i GDPR-së).

• Njoftimi përshkruan, për aq sa dihet: natyrën e cenimit, kategoritë dhe numrin e përafërt të subjekteve dhe të regjistrimeve të prekura, pasojat e mundshme, masat e marra ose të propozuara dhe një pikë kontakti. Informacioni që ende nuk dihet jepet në faza, sa më shpejt.

• Agjencia merr masat e nevojshme për ta kufizuar cenimin dhe për t’i zbutur pasojat, e dokumenton atë dhe e ndihmon Klientin të përmbushë detyrimin për të njoftuar Komisionerin brenda 72 orëve (neni 29, pika 1, i Ligjit nr. 124/2024; neni 33 i GDPR-së) dhe, kur kërkohet, subjektet e të dhënave.

• Agjencia nuk njofton autoritetet ose subjektet e të dhënave në emër të Klientit, përveçse kur Klienti ia kërkon ose kur e kërkon ligji.

Kur Klienti duhet të kryejë një vlerësim të ndikimit ose të konsultojë autoritetin mbikëqyrës, Agjencia jep informacionin për Shërbimet dhe sigurinë e tyre që Klientit i nevojitet në mënyrë të arsyeshme [TO CONFIRM: whether this assistance is free or charged at the rates in the Offer]. Sipas ligjit shqiptar, nenet 31 dhe 32 të Ligjit nr. 124/2024 zbatohen nga 17 janari 2027.

• Në përfundim të Shërbimeve, Klienti zgjedh nëse Agjencia t’i kthejë apo t’i fshijë të dhënat personale. Agjencia i vë në dispozicion për eksport për [TO CONFIRM: 30] ditë, në formate të zakonshme (për shembull një kopje e bazës së të dhënave dhe skedarët).

• Më pas Agjencia i fshin të dhënat nga sistemet aktive brenda [TO CONFIRM: 30] ditëve. Kopjet në kopjet rezervë të koduara skadojnë kur kopjet rezervë zëvendësohen, brenda [TO CONFIRM: backup rotation period], dhe ndërkohë nuk rikthehen, përveçse me kërkesë të Klientit.

• Agjencia mban të dhëna vetëm kur e kërkon ligji dhe e konfirmon fshirjen me shkrim, me kërkesë.

• Agjencia i vë në dispozicion Klientit informacionin e nevojshëm për të provuar përputhshmërinë me këtë Marrëveshje.

• Klienti, ose një auditues i pavarur me detyrim konfidencialiteti që nuk është konkurrent i Agjencisë, mund të auditojë përputhshmërinë [TO CONFIRM: once a year], me njoftim të paktën 30 ditë përpara, gjatë orarit të punës, pa ndërprerë shërbimet dhe pa akses në të dhënat e klientëve të tjerë. Auditimet që kërkon një autoritet mbikëqyrës ose që pasojnë një cenim nuk i nënshtrohen kufirit vjetor.

• Kostot e auditimit i mban Klienti, përveçse kur auditimi zbulon një shkelje thelbësore të kësaj Marrëveshjeje nga Agjencia. Kur është e mundur, Agjencia mund të përgjigjet me certifikime ose raporte ekzistuese, përfshirë ato të nënpërpunuesve të saj.

Secila palë përgjigjet për shkeljet e veta të kësaj Marrëveshjeje dhe të Ligjit për mbrojtjen e të dhënave. Përgjegjësia ndërmjet palëve i nënshtrohet kufizimeve të Kushteve të përgjithshme të shërbimit [TO VERIFY: whether the general liability cap should apply to data protection claims]. Asgjë në këtë Marrëveshje nuk kufizon të drejtën e subjekteve të të dhënave për dëmshpërblim (neni 88 i Ligjit nr. 124/2024; neni 82 i GDPR-së).

• Për çështjet e mbrojtjes së të dhënave, kjo Marrëveshje mbizotëron mbi pjesët e tjera të Kontratës. Kur zbatohet Shtojca 4, klauzolat standarde kontraktuale mbizotërojnë mbi këtë Marrëveshje.

• Kjo Marrëveshje rregullohet nga ligji që rregullon Kontratën, përveç Shtojcës 4, që rregullohet siç thuhet në të.

Plotësohet për çdo projekt ose shërbim.

[TO CONFIRM: each measure below as it applies to client hosting, not only to the agency's own website]

Kodimi

• TLS (HTTPS) për të gjitha faqet, panelet e administrimit dhe API-të; kanale të koduara (SSH/SFTP) për administrimin e serverëve.

• Kopje rezervë të koduara me AES-256 para se të dalin nga serveri.

• Sekretet, çelësat API dhe kredencialet ruhen të koduara në cilësimet e aplikacioneve; fjalëkalimet ruhen vetëm si hash.

• Kodimi i disqeve [TO CONFIRM].

Kontrolli i aksesit

• Stafi hyn në sistemet e Agjencisë përmes Magus ID, shërbimit të identitetit të vetë shoqërisë, me verifikim me dy hapa.

• Leje sipas roleve dhe aksesi minimal; akses në sistemet e një Klienti vetëm për stafin që punon në to; heqje e menjëhershme e aksesit kur nuk nevojitet më.

• Panelet e administrimit të arritshme vetëm nga host-e të caktuara; akses SSH me çelës [TO CONFIRM].

Regjistrimi dhe monitorimi

• Regjistër i veprimeve administrative; regjistrat e serverit dhe të aplikacionit ruhen [TO CONFIRM].

• Monitorimi i gabimeve (Sentry) i konfiguruar që të mos dërgojë të dhëna personale si parazgjedhje.

• Monitorim i disponueshmërisë dhe i performancës, me alarme.

Disponueshmëria dhe qëndrueshmëria

• Kopje rezervë [TO CONFIRM: frequency] në hapësira në Evropë, të ndara nga serverët e prodhimit (shihni Shtojcën 3).

• Teste të rregullta rikthimi [TO CONFIRM: frequency].

• Publikime në kontejnerë (Docker/Coolify) pa ndërprerje dhe me mundësi kthimi në versionin e mëparshëm.

Siguria e aplikacioneve dhe e rrjetit

• Tituj sigurie dhe politikë e sigurisë së përmbajtjes (CSP); mbrojtje nga falsifikimi i kërkesave (CSRF); kufizim i numrit të kërkesave dhe Cloudflare Turnstile në formularët publikë; verifikim i skedarëve të ngarkuar dhe pastrim i skedarëve SVG.

• Kontroll i varësive në integrimin e vazhdueshëm dhe përditësime sigurie në kohë të programeve të serverit [TO CONFIRM: patch cadence].

• Firewall dhe mbrojtje DDoS [TO CONFIRM: Cloudflare proxy or provider firewall]; ndarje e mjediseve të klientëve [TO CONFIRM].

Organizimi

• Detyrime konfidencialiteti për të gjithë stafin dhe bashkëpunëtorët.

• Procedurë për trajtimin e incidenteve, përfshirë njoftimin e cenimeve sipas pikës 9.

• Asnjë e dhënë personale reale në zhvillim ose testim, përveçse kur është e nevojshme dhe e rënë dakord me Klientin [TO CONFIRM].

• Agjencia nuk ruan kurrë të dhëna kartash; pagesat me kartë bëhen vetëm në faqet e procesuesit të pagesave.

Asnjë ofrues i inteligjencës artificiale nuk merr të dhëna personale të subjekteve të Klientit: nuk përdorim të dhëna personale për të ushqyer mjete të inteligjencës artificiale.

Klauzolat standarde kontraktuale të Vendimit të Zbatimit (BE) 2021/914 të Komisionit, Moduli i Dytë, përfshihen me referim, me këto zgjedhje:

• Klauzola 7 (klauzola e anëtarësimit): [TO CONFIRM: included or not].

• Klauzola 9(a): opsioni 2, autorizim i përgjithshëm me shkrim, me afatin e njoftimit të pikës 7.

• Klauzola 11(a): mekanizmi opsional i ankimit [TO CONFIRM: not used].

• Klauzola 13: autoriteti mbikëqyrës i shtetit anëtar ku është i vendosur Klienti (për Klientët në Itali, Garante per la protezione dei dati personali) [TO VERIFY].

• Klauzola 17: ligji i [TO CONFIRM: an EU Member State, e.g. Italy or Ireland].

• Klauzola 18: gjykatat e [TO CONFIRM: the same Member State].

• Shtojca I.A: palët e Kontratës; Shtojca I.B: Shtojca 1 e kësaj Marrëveshjeje; Shtojca I.C: autoriteti sipas Klauzolës 13; Shtojca II: Shtojca 2; Shtojca III: Shtojca 3.

• Vlerësimi i ndikimit të transferimit për Shqipërinë: [TO CONFIRM: to be prepared and attached].