Ugovor o obradi podataka

Vrijedi od 29. listopada 2026.

Ovaj Ugovor sastavni je dio Uvjeta korištenja i prihvaća se zajedno s njima. Sklapaju ga Korisnik kao voditelj obrade i ByteMe, obrt za računalno programiranje i ostale usluge, Hermanova 18D, 10000 Zagreb, OIB 62629762140 kao izvršitelj obrade, u skladu s člankom 28. GDPR-a. Struktura prati standardne ugovorne klauzule Europske komisije za odnos voditelja i izvršitelja (Provedbena odluka (EU) 2021/915).

1. Predmet i trajanje

1.1. Izvršitelj obrađuje osobne podatke u ime voditelja radi pružanja usluge Gumoteka. Predmet, vrsta i svrha obrade, kategorije podataka i ispitanika opisani su u Prilogu 1.

1.2. Ugovor traje koliko i Uvjeti korištenja, a obveze o brisanju i povjerljivosti vrijede i nakon toga, dok izvršitelj ima podatke.

1.3. U pitanjima zaštite podataka ovaj Ugovor ima prednost pred Uvjetima korištenja.

2. Upute voditelja

2.1. Izvršitelj obrađuje podatke samo prema dokumentiranim uputama voditelja. Uputama se smatraju ovaj Ugovor, Uvjeti korištenja i radnje koje voditelj ili njegovi korisnici izvrše u aplikaciji. Dodatne upute daju se pisano ili e-mailom.

2.2. Izvršitelj bez odgađanja obavještava voditelja ako smatra da uputa krši GDPR ili drugi propis o zaštiti podataka.

2.3. Ako izvršitelja propis EU ili Hrvatske obvezuje na obradu mimo uputa, prije obrade o tome obavještava voditelja, osim ako to propis zabranjuje.

2.4. Voditelj odgovara za zakonitost obrade, posebno za pravnu osnovu i za obavještavanje svojih kupaca prema čl. 13. GDPR-a.

3. Povjerljivost

Izvršitelj dopušta pristup podacima samo osobama kojima je to nužno za pružanje usluge i koje su se obvezale na povjerljivost ili za koje vrijedi zakonska obveza čuvanja tajne. U trenutku sklapanja to je samo vlasnik obrta.

4. Sigurnost obrade

Izvršitelj provodi tehničke i organizacijske mjere iz Priloga 2 (čl. 32. GDPR-a). Mjere smije unaprjeđivati, ali ne smije sniziti ukupnu razinu zaštite.

5. Podizvršitelji

5.1. Voditelj daje opće odobrenje za angažiranje podizvršitelja s popisa u Prilogu 3.

5.2. Izvršitelj obavještava voditelja o dodavanju ili zamjeni podizvršitelja najmanje 30 dana unaprijed, e-mailom ili u aplikaciji. Voditelj može u tom roku uložiti obrazloženi prigovor. Ako se strane ne dogovore, voditelj može raskinuti ugovor prije stupanja promjene na snagu i dobiti povrat unaprijed plaćenog iznosa za neiskorišteno razdoblje.

5.3. S podizvršiteljem izvršitelj sklapa ugovor s jednakim obvezama zaštite podataka i odgovara voditelju za njegov rad.

6. Prijenos izvan EGP-a

Podaci se pohranjuju u EU. Prijenos ili pristup iz zemlje izvan Europskog gospodarskog prostora dopušten je samo uz zaštitu iz poglavlja V. GDPR-a: odluku o primjerenosti (uključujući Okvir EU-SAD za privatnost podataka) ili standardne ugovorne klauzule Europske komisije.

7. Pomoć voditelju

7.1. Voditelj većinu zahtjeva ispitanika (pristup, ispravak, brisanje) može sam riješiti u aplikaciji. Kad to nije moguće, izvršitelj pomaže na zahtjev voditelja.

7.2. Ako se ispitanik obrati izravno izvršitelju, izvršitelj zahtjev prosljeđuje voditelju bez odgađanja i ne odgovara ispitaniku sam, osim po uputi voditelja.

7.3. Izvršitelj razumno pomaže voditelju u ispunjavanju obveza iz čl. 32. do 36. GDPR-a (sigurnost, povrede podataka, procjena učinka, prethodno savjetovanje), uzimajući u obzir prirodu obrade i informacije kojima raspolaže.

8. Povreda osobnih podataka

8.1. Izvršitelj obavještava voditelja o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije 48 sati nakon što sazna za nju.

8.2. Obavijest sadrži, koliko je u tom trenutku poznato: opis povrede, kategorije i približan broj ispitanika i zapisa, vjerojatne posljedice, poduzete i predložene mjere te kontakt za daljnje informacije. Ono što nije poznato dostavlja se naknadno, bez odgađanja.

8.3. Prijavu AZOP-u i obavijest ispitanicima daje voditelj. Izvršitelj ne objavljuje povredu podataka voditelja bez njegove suglasnosti, osim ako ga na to obvezuje zakon.

9. Brisanje i vraćanje podataka

9.1. Tijekom ugovora voditelj može sam brisati podatke u aplikaciji i izvesti ih u formatu CSV u Postavkama aplikacije.

9.2. Nakon prestanka ugovora izvršitelj drži podatke dostupnima za izvoz 30 dana. Nakon toga ih briše u roku od 30 dana, a iz sigurnosnih kopija u roku od 7 dana nakon toga. Na zahtjev potvrđuje brisanje pisanim putem. Izvršitelj ne čuva kopije, osim ako ga propis EU ili Hrvatske obvezuje.

10. Dokazivanje usklađenosti i revizija

10.1. Izvršitelj voditelju na zahtjev daje informacije potrebne za dokazivanje usklađenosti s ovim Ugovorom, uključujući ažuran opis mjera i popis podizvršitelja.

10.2. Ako te informacije nisu dovoljne, voditelj ili neovisni revizor obvezan na povjerljivost može obaviti reviziju jednom godišnje, uz najavu najmanje 30 dana unaprijed, u radno vrijeme i bez ometanja rada usluge. Troškove revizije snosi voditelj, osim ako revizija utvrdi bitnu povredu ovog Ugovora. Revizija nakon povrede podataka ili na zahtjev nadzornog tijela moguća je i izvan ovih ograničenja.

11. Zahtjevi tijela vlasti

Ako tijelo vlasti zatraži podatke voditelja, izvršitelj ga upućuje na voditelja, obavještava voditelja (osim ako je to zabranjeno) i daje samo podatke koje mora dati prema valjanoj pravnoj osnovi. Zahtjeve tijela izvan EU bez valjane pravne osnove u pravu EU ili Hrvatske odbija.

12. Odgovornost

Za štetu ispitanicima strane odgovaraju prema čl. 82. GDPR-a. U međusobnom odnosu stranaka primjenjuje se ograničenje odgovornosti iz točke 9. Uvjeta korištenja, osim kad zakon to ne dopušta.

Prilog 1: Opis obrade

Prilog 2: Tehničke i organizacijske mjere

Prilog 3: Podizvršitelji

Kad uvedemo slanje e-maila iz aplikacije (npr. zaboravljena lozinka) ili praćenje grešaka, taj pružatelj se dodaje ovdje uz obavijest iz točke 5.2.