Ugovor o obradi podataka
Sklopljen sukladno čl. 28. st. 3. GDPR-a. Čini sastavni dio Uvjeta pružanja usluge i automatski se primjenjuje na svakog klijenta usluge WorkAist Cloud.
Na snazi od: 2026-07-10
Ovaj dokument objavljen je na više jezika. U slučaju bilo kakvog nesklada, mjerodavna je verzija na engleskom jeziku.
1. Strane i uloge
Ovaj Ugovor o obradi podataka („DPA”) sklapa se između klijenta navedenog u WorkAist korisničkom računu („Voditelj obrade”) i društva ILIN & SADOVENKO, LDA, Rua de Xabregas, nº 2, Escritório 3.21, 1900-440 Lisboa, Portugal, NIF 517251876 („Izvršitelj obrade”).
U pogledu klijentskih podataka obrađenih u WorkAist Cloudu, Voditelj obrade određuje svrhe i sredstva obrade, a Izvršitelj obrade obrađuje podatke u ime Voditelja obrade. Ako je Voditelj obrade sam izvršitelj obrade za treću stranu, Voditelj obrade jamči da ima ovlast sklopiti ovaj DPA i da upute koje daje odražavaju upute te treće strane.
Ovaj DPA ne primjenjuje se na WorkAist Self-Hosted, kod kojeg klijentski podaci ne dospijevaju u sustave Izvršitelja obrade, niti na podatke za koje je Izvršitelj obrade sam voditelj obrade, koji su uređeni Politikom privatnosti.
2. Redoslijed prvenstva
Ako je ovaj DPA u suprotnosti s Uvjetima pružanja usluge, u pitanjima zaštite podataka prednost ima ovaj DPA. Ako je u suprotnosti s pojedinačno dogovorenim narudžbenim obrascem ili potpisanim ugovorom o obradi podataka, prednost ima taj dokument.
3. Predmet, trajanje, priroda i svrha
Predmet ovog Ugovora je pružanje usluge WorkAist Cloud. Priroda i svrha obrade jest hostiranje, pohrana, prijenos i automatizirana obrada klijentskih podataka kako bi mogli funkcionirati agenti, connectori i procesi koje je konfigurirao Voditelj obrade, zajedno s aktivnostima podrške, sigurnosti, mjerenja i naplate potrebnima za pružanje Usluge.
Obrada traje onoliko dugo koliko je na snazi ugovor Voditelja obrade za WorkAist Cloud, uvećano za rokove brisanja iz članka 11.
4. Kategorije ispitanika i osobnih podataka
Voditelj obrade odlučuje što učitava. Obrada se tipično odnosi na:
| Kategorije ispitanika | Kategorije osobnih podataka |
|---|---|
| Zaposlenici i ovlašteni korisnici Voditelja obrade | Ime, poslovna e-adresa, uloga, podaci o autentikaciji, unosi u revizijski zapis |
| Klijenti, potencijalni klijenti (leadovi) i kontakti Voditelja obrade | Ime, e-adresa, telefonski broj, tvrtka, korespondencija, CRM zapisi, svaki identifikator koji Voditelj obrade odluči sinkronizirati |
| Dobavljači i partneri Voditelja obrade | Kontaktni podaci, podaci o ugovorima i računima |
| Svaki ispitanik koji se pojavljuje u dokumentima ili porukama koje Voditelj obrade obrađuje | Svi osobni podaci sadržani u datotekama, e-porukama, transkriptima, slikama ili porukama koje Voditelj obrade dostavlja u Uslugu |
Posebne kategorije osobnih podataka prema čl. 9. GDPR-a i osobni podaci o kaznenim osudama i kažnjivim djelima prema čl. 10. GDPR-a ne smiju se obrađivati u Usluzi, osim ako su strane unaprijed pisano ugovorile dodatne mjere zaštite.
Izvor podataka
Klijentski podaci dospijevaju u Uslugu jer Voditelj obrade povezuje vanjske sustave, učitava datoteke ili nalaže svojim agentima da ih dohvate. Isključivo Voditelj obrade bira te izvore i određuje što se uvozi.
Voditelj obrade jamči da ima pravnu osnovu prema čl. 6. GDPR-a — te, gdje je primjenjivo, čl. 9. — za prikupljanje tih osobnih podataka i njihov prijenos Izvršitelju obrade, te da su u izvornom sustavu osigurane sve potrebne obavijesti ili privole. Izvršitelj obrade nema pristup izvornim sustavima Voditelja obrade, ne bira ih, i ne provjerava niti je u mogućnosti provjeriti jesu li usklađeni s propisima o zaštiti podataka. Utvrđivanje toga obveza je Voditelja obrade u svojstvu voditelja obrade.
5. Obrada na temelju dokumentiranih uputa
Izvršitelj obrade obrađuje klijentske podatke isključivo na temelju dokumentiranih uputa Voditelja obrade, uključujući u pogledu prijenosa u treće zemlje, osim ako je pravom Unije ili države članice kojem podliježe Izvršitelj obrade obvezan postupiti drukčije. U tom slučaju Izvršitelj obrade obavještava Voditelja obrade o toj pravnoj obvezi prije obrade, osim ako to pravo takvu obavijest zabranjuje zbog važnih razloga javnog interesa.
Uvjeti pružanja usluge, ovaj DPA te konfiguracija i korištenje Usluge od strane Voditelja obrade čine potpune dokumentirane upute Voditelja obrade. Svaka dodatna uputa mora biti u pisanom obliku i, ako zahtijeva napor koji nadilazi standardnu funkcionalnost Usluge, može podlijegati razumnoj naknadi dogovorenoj unaprijed.
Izvršitelj obrade bez nepotrebnog odgađanja obavještava Voditelja obrade ako, prema njegovom mišljenju, neka uputa krši GDPR ili druge propise Unije ili države članice o zaštiti podataka.
6. Povjerljivost
Izvršitelj obrade osigurava da su se osobe ovlaštene za obradu klijentskih podataka obvezale na povjerljivost ili podliježu odgovarajućoj zakonskoj obvezi čuvanja povjerljivosti, te da je pristup ograničen na one kojima je potreban radi izvršenja ugovora.
7. Sigurnost obrade
Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik za prava i slobode fizičkih osoba, Izvršitelj obrade provodi sljedeće tehničke i organizacijske mjere sukladno čl. 32. GDPR-a.
Prilog II — Tehničke i organizacijske mjere
| Mjera | Provedba |
|---|---|
| Enkripcija tijekom prijenosa | Sav promet prema i od Usluge odvija se putem TLS-a s automatski obnovljivim certifikatima. Interni promet između usluga ne napušta mrežu poslužitelja. |
| Enkripcija tajni | Vjerodajnice klijenata i tajne connectora enkriptirane su u mirovanju pomoću AES-256-GCM, pod ključem koji se čuva izvan aplikacijske baze podataka. |
| Pseudonimizacija | Zapisi telemetrije i mjerenja upućuju na zakupce i agente putem identifikatora, a ne imena ili e-adrese, kad god je identifikator dovoljan. |
| Povjerljivost — kontrola pristupa | Kontrola pristupa temeljena na ulogama po radnom prostoru. Svaki agent ograničen je na vlastiti prefiks pohrane i vlastitu shemu baze podataka; pristup preko granica zakupaca odbija se već na razini podataka, a ne samo u korisničkom sučelju. |
| Povjerljivost — osoblje | Administrativni pristup prema načelu najmanjih ovlasti, dodjeljuje se pojedinačno i preispituje pri promjeni uloge. Sve administrativne radnje bilježe se u revizijski zapis koji se može samo nadopunjavati. |
| Cjelovitost | Dosljedna validacija ulaznih podataka i parametrizirani upiti. Svaka izmjena putem operativnog API-ja bilježi redak u revizijskom zapisu koji identificira osobu koja ju je izvršila. |
| Dostupnost i otpornost | Upravljani hosting u podatkovnom centru klase Tier III u Njemačkoj. Automatizirane dnevne sigurnosne kopije baze podataka, pohranjene enkriptirano i odvojeno od produkcijskog okruženja. |
| Obnova | Dokumentiran postupak obnove iz najnovije sigurnosne kopije; obnova se provjerava u sklopu infrastrukturnih promjena. |
| Testiranje i procjena | Skeniranje ranjivosti ovisnosti u kontinuiranoj integraciji, provjera koda prije spajanja (code review) te periodično preispitivanje ovih mjera najmanje jednom godišnje i pri svakoj bitnoj promjeni Usluge. |
| Smanjenje količine podataka putem dizajna | Connectori sinkroniziraju samo polja koja Voditelj obrade omogući. Voditelj obrade može u bilo kojem trenutku izbrisati svaku sinkroniziranu tablicu. |
Izvršitelj obrade može ažurirati ove mjere u skladu s razvojem tehnologije, pod uvjetom da se razina zaštite ne smanji. Trenutačno važeća verzija uvijek je ona objavljena na ovoj stranici.
8. Podizvršitelji obrade
Voditelj obrade daje Izvršitelju obrade opće pisano ovlaštenje za angažiranje podizvršitelja obrade. Izvršitelj obrade ugovorom nameće svakom podizvršitelju obrade obveze zaštite podataka koje nisu manje zaštitne od onih iz ovog DPA-a, te ostaje u potpunosti odgovoran Voditelju obrade za rad podizvršitelja obrade.
Prilog III — Ovlašteni podizvršitelji obrade
Sljedeći podizvršitelji obrade angažirani su za svakog klijenta usluge WorkAist Cloud jer su dio infrastrukture na kojoj Usluga funkcionira.
| Podizvršitelj obrade | Svrha | Lokacija | Zaštitna mjera prijenosa |
|---|---|---|---|
| Hetzner Online GmbH | Hosting aplikacijskih poslužitelja, baze podataka i sigurnosnih kopija | Njemačka (EU) | Nije primjenjivo |
| Cloudflare, Inc. | DNS, reverse proxy, TLS terminacija, DDoS zaštita | Globalna edge mreža, uključujući EU | SCCs; EU-US Data Privacy Framework |
| Stripe Payments Europe, Ltd. | Obrada plaćanja i pretplata | Irska (EU) | SCCs za daljnje prijenose unutar grupacije; EU-US Data Privacy Framework |
| Resend, Inc. | Dostava transakcijske e-pošte | Sjedinjene Američke Države | SCCs |
Pružatelji modela
Pružatelji velikih jezičnih modela tretiraju se drukčije, jer ih bira Voditelj obrade.
- Ako Voditelj obrade dostavi vlastite vjerodajnice pružatelja, tog pružatelja angažira Voditelj obrade, prema njegovim uputama i u okviru njegovog vlastitog ugovora s tim pružateljem. On nije podizvršitelj obrade Izvršitelja obrade. Izvršitelj obrade samo prosljeđuje zahtjev koristeći dostavljene vjerodajnice i ne daje nikakvo jamstvo u pogledu sigurnosti, mjesta obrade, praksi treniranja ili usklađenosti tog pružatelja.
- Ako Voditelj obrade koristi upravljanu naplatu tokena Izvršitelja obrade, pružatelja bira Izvršitelj obrade i on je podizvršitelj obrade Izvršitelja obrade. Pružatelj trenutačno angažiran u tom svojstvu je Anthropic PBC (Sjedinjene Američke Države), za zaključivanje velikih jezičnih modela, na temelju Standardnih ugovornih klauzula i ugovorno mu je zabranjeno treniranje na podacima koji mu se šalju.
Voditelj obrade može u bilo kojem trenutku unutar Usluge vidjeti kojeg pružatelja modela koristi svaki od njegovih agenata te ga promijeniti.
Izmjene podizvršitelja obrade
Izvršitelj obrade obavještava Voditelja obrade putem e-pošte najmanje 30 dana prije dodavanja ili zamjene podizvršitelja obrade. Voditelj obrade može uložiti prigovor iz opravdanih razloga vezanih uz zaštitu podataka u roku od tih 30 dana. Ako strane ne mogu riješiti prigovor, Voditelj obrade može raskinuti pogođeni dio Usluge bez ugovorne kazne i ostvariti razmjerni povrat unaprijed plaćenih naknada.
9. Pomoć pri ostvarivanju prava ispitanika
Uzimajući u obzir prirodu obrade, Izvršitelj obrade odgovarajućim tehničkim i organizacijskim mjerama pomaže Voditelju obrade, u mjeri u kojoj je to moguće, u ispunjavanju njegove obveze odgovaranja na zahtjeve za ostvarivanje prava ispitanika prema poglavlju III. GDPR-a.
Usluga Voditelju obrade daje izravan pristup klijentskim podacima kako bi sam mogao pronaći, izvesti, ispraviti i izbrisati osobne podatke. Ako zahtjev ipak zahtijeva sudjelovanje Izvršitelja obrade, on odgovara bez nepotrebnog odgađanja, a u svakom slučaju u roku od 10 radnih dana. Ako se ispitanik izravno obrati Izvršitelju obrade u vezi s klijentskim podacima, Izvršitelj obrade ne odgovara sadržajno, već zahtjev bez nepotrebnog odgađanja prosljeđuje Voditelju obrade.
10. Pomoć u vezi s člancima 32. do 36.
Izvršitelj obrade pomaže Voditelju obrade u osiguravanju usklađenosti s obvezama iz čl. 32. do 36. GDPR-a, uzimajući u obzir prirodu obrade i informacije dostupne Izvršitelju obrade — osobito u pogledu sigurnosti obrade, obavještavanja o povredi osobnih podataka, komunikacije s ispitanicima, procjena učinka na zaštitu podataka i prethodnog savjetovanja.
Povreda osobnih podataka
Izvršitelj obrade obavještava Voditelja obrade bez nepotrebnog odgađanja, a u svakom slučaju u roku od 48 sati, nakon što sazna za povredu osobnih podataka koja utječe na klijentske podatke. Obavijest opisuje prirodu povrede, kategorije i približan broj dotičnih ispitanika i zapisa, vjerojatne posljedice, poduzete ili predložene mjere te kontaktnu točku. Ako sve informacije nisu odmah dostupne, dostavljaju se u fazama bez daljnjeg nepotrebnog odgađanja. Izvršitelj obrade ne obavještava nadzorno tijelo ni ispitanike u ime Voditelja obrade, osim ako mu je to naloženo.
11. Brisanje i povrat klijentskih podataka
Prema izboru Voditelja obrade, Izvršitelj obrade briše ili vraća sve klijentske podatke nakon prestanka pružanja usluga povezanih s obradom, te briše postojeće kopije, osim ako pravo Unije ili države članice zahtijeva pohranu osobnih podataka.
- U roku od 30 dana nakon prestanka ugovora, Voditelj obrade može izvesti klijentske podatke iz Usluge ili zatražiti njihov povrat u strukturiranom, uobičajeno korištenom, strojno čitljivom formatu.
- Izvršitelj obrade briše klijentske podatke iz produkcijskih sustava u roku od 30 dana nakon isteka tog razdoblja za izvoz.
- Enkriptirane sigurnosne kopije koje sadrže klijentske podatke prepisuju se prema uobičajenoj rotaciji, a u svakom slučaju u roku od 90 dana od brisanja iz produkcijskih sustava.
- Na pisani zahtjev Izvršitelj obrade pisano potvrđuje brisanje.
12. Revizije i informacije
Izvršitelj obrade Voditelju obrade stavlja na raspolaganje sve informacije potrebne za dokazivanje usklađenosti s čl. 28. GDPR-a, te omogućuje i doprinosi revizijama, uključujući inspekcije, koje provodi Voditelj obrade ili drugi revizor kojeg je Voditelj obrade ovlastio.
U praksi Izvršitelj obrade najprije dostavlja svoju važeću dokumentaciju o tehničkim i organizacijskim mjerama, popis podizvršitelja obrade te pisane odgovore na sigurnosni upitnik. Ako to nije dovoljno za dokazivanje usklađenosti, Voditelj obrade može provesti reviziju na licu mjesta ili na daljinu, uz 30 dana pisane najave, najviše jednom u kalendarskoj godini, osim ako je došlo do povrede osobnih podataka ili to zahtijeva nadzorno tijelo. Revizije se provode tijekom radnog vremena, ne smiju neopravdano ometati poslovanje Izvršitelja obrade i podliježu povjerljivosti. Voditelj obrade snosi vlastite troškove revizije; Izvršitelj obrade snosi svoje, osim ako revizija otkrije bitnu povredu ovog DPA-a.
13. Međunarodni prijenosi
Izvršitelj obrade pohranjuje klijentske podatke u mirovanju u Njemačkoj. Prijenosi podizvršiteljima obrade izvan Europskog gospodarskog prostora, navedenima u Prilogu III, provode se na temelju Standardnih ugovornih klauzula Europske komisije (Provedbena odluka (EU) 2021/914), Modul tri, u kojem Izvršitelj obrade djeluje kao izvršitelj obrade koji angažira podizvršitelja obrade, prema potrebi dopunjenih dodatnim zaštitnim mjerama, te — kada je primatelj certificiran — na temelju odluke o primjerenosti za EU-US Data Privacy Framework.
Sklapanjem ovog DPA-a Voditelj obrade ovlašćuje Izvršitelja obrade da sa svakim podizvršiteljem obrade sklopi te Standardne ugovorne klauzule u ime i za račun Voditelja obrade.
14. Odgovornost
Odgovornost prema ovom DPA-u uređena je ograničenjem odgovornosti iz Uvjeta pružanja usluge, s time da ništa ne ograničava odgovornost bilo koje strane prema ispitaniku sukladno čl. 82. GDPR-a ili prema nadzornom tijelu.
15. Trajanje, mjerodavno pravo i kontakt
Ovaj DPA stupa na snagu početkom ugovora Voditelja obrade za WorkAist Cloud i ostaje na snazi sve dok Izvršitelj obrade obrađuje klijentske podatke. Uređen je pravom Portugala, a za sporove je isključivo nadležan sud u Lisabonu, bez utjecaja na čl. 79. GDPR-a.
Kontakt za sva pitanja u vezi s ovim DPA-om: [email protected].