1. Prihvaćanje i područje primjene

• Ovaj se DPA sklapa u elektroničkom obliku, a Korisnik ga prihvaća zajedno s Uvjetima - pri registraciji, označavanjem polja za prihvaćanje Uvjeta ili nastavkom korištenja Platforme. Elektronički oblik ispunjava zahtjev iz čl. 28. st. 9. GDPR-a.
• Ovaj se DPA primjenjuje u mjeri u kojoj Davatelj u ime Korisnika obrađuje osobne podatke sadržane u Podacima Korisnika („Osobni podaci“).
• Ovaj se DPA ne primjenjuje na podatke koje Davatelj obrađuje kao samostalni voditelj obrade - podatke za registraciju računa i upravljanje njime, naplatu i plaćanja, sigurnost Platforme, komunikaciju s Korisnikom i statistiku mrežne stranice. Ti su podaci opisani u Politici privatnosti.
• Ako je Korisnik fizička osoba koja Platformu koristi isključivo u osobne ili kućne svrhe, GDPR se možda ne primjenjuje (čl. 2. st. 2. t. (c) GDPR-a). U tom se slučaju ovaj DPA primjenjuje u mjeri u kojoj je primjenjiv.
• U slučaju proturječja između ovog DPA-a i Uvjeta u pitanjima zaštite osobnih podataka prednost ima ovaj DPA.

2. Uloge i odgovornosti stranaka

• Korisnik je voditelj obrade, a Davatelj izvršitelj obrade Osobnih podataka. Kada Korisnik obrađuje osobne podatke u ime treće osobe, Korisnik jamči da je pribavio odobrenje odgovarajućeg voditelja obrade, a Davatelj djeluje kao podizvršitelj obrade.
• Korisnik je odgovoran za zakonitost obrade: postojanje pravne osnove, informiranje ispitanika, točnost podataka i zakonitost uputa koje daje.
• Korisnik jamči da njegove upute i Osobni podaci koje dostavlja ne krše primjenjivo pravo ni prava trećih osoba.

3. Upute Korisnika

• Davatelj obrađuje Osobne podatke samo prema zabilježenim uputama Korisnika, među ostalim i s obzirom na prijenose podataka u treće zemlje, osim ako je na obradu obvezan pravom Unije ili pravom države članice. U tom slučaju Davatelj o tome obavješćuje Korisnika, osim ako to zakon zabranjuje.
• Zabilježene upute Korisnika jesu: Uvjeti, ovaj DPA, način na koji Korisnik i njegovi Korisnici računa koriste Platformu i postavke koje u njoj odaberu te sve dodatne pisane upute koje su dogovorile obje stranke.
• Korisnik daje uputu da se Osobni podaci obrađuju radi pružanja, održavanja, sigurnosti, otklanjanja poteškoća, testiranja i poboljšanja Usluge, što uključuje i stvaranje izvedenih podataka (primjerice vektorskih ugrađivanja za pretraživanje), u mjeri u kojoj je to nužno za te svrhe i uz očuvanje povjerljivosti i sigurnosti podataka.
• Davatelj odmah obavješćuje Korisnika ako, prema njegovu mišljenju, određena uputa krši GDPR ili drugo primjenjivo pravo o zaštiti podataka. Davatelj nije dužan provoditi pravnu analizu uputa Korisnika.
• Upute koje prelaze opseg Usluge izvršavaju se samo ako ih Davatelj prihvati i mogu se zasebno naplatiti.

4. Povjerljivost

• Davatelj osigurava da su se osobe ovlaštene za obradu Osobnih podataka obvezale na poštovanje povjerljivosti ili da podliježu odgovarajućim zakonskim obvezama o povjerljivosti.
• Pristup Osobnim podacima imaju samo osobe kojima je on potreban za obavljanje njihovih dužnosti.

5. Sigurnost obrade

• Davatelj provodi tehničke i organizacijske mjere u skladu s čl. 32. GDPR-a, opisane u Prilogu 2., uzimajući u obzir najnovija dostignuća, troškove, prirodu, opseg, kontekst i svrhe obrade te rizike za prava ispitanika.
• Davatelj može ažurirati mjere pod uvjetom da se ukupna razina zaštite ne smanji.
• Korisnik je odgovoran za sigurnost u vlastitoj sferi, uključujući zaštitu lozinki, pravilnu dodjelu ovlasti Korisnicima računa, zaštitu svojih uređaja i pravodobno ukidanje pristupa osobama koje ga više ne bi trebale imati.

6. Podizvršitelji obrade

• Korisnik daje Davatelju opće pisano odobrenje za angažiranje podizvršitelja obrade navedenih u Prilogu 3., kao i novih podizvršitelja obrade pod uvjetima iz ovog odjeljka.
• Davatelj obavješćuje Korisnika o svakom namjeravanom dodavanju ili zamjeni podizvršitelja obrade najmanje 14 dana unaprijed, ažuriranjem Priloga 3. te obavješćivanjem Administratora računa e-poštom ili putem obavijesti na Platformi.
• U tom roku Korisnik može pisanim putem uložiti prigovor iz opravdanih razloga povezanih sa zaštitom podataka. Stranke o prigovoru raspravljaju u dobroj vjeri. Ako se ne postigne rješenje, jedino je pravo Korisnika raskinuti ugovor pisanom obaviješću prije nego što promjena stupi na snagu. Raskid se uređuje Odjeljkom 15. Uvjeta i ne daje pravo na povrat plaćenih iznosa.
• Kada je zamjena nužna zbog toga što podizvršitelj obrade prestaje pružati uslugu, zbog sigurnosnog incidenta ili drugog hitnog razloga, Davatelj je može provesti bez prethodne obavijesti, a Korisnika o tome obavješćuje u najkraćem mogućem roku.
• Davatelj svakom podizvršitelju obrade nameće obveze zaštite podataka koje su u bitnome jednakovrijedne obvezama iz ovog DPA-a te ostaje odgovoran Korisniku za njihovo izvršavanje u skladu s čl. 28. st. 4. GDPR-a, uz ograničenja iz Odjeljka 13. Uvjeta.
• Kada Korisnik koristi vlastite ključeve ili račune za usluge trećih strana (primjerice Google Cloud ili OpenAI) ili poveže Platformu sa svojom bankom, te treće strane obrađuju podatke na temelju svojeg ugovora s Korisnikom i nisu podizvršitelji obrade Davatelja.

7. Prijenosi izvan EGP-a

• Davatelj prenosi Osobne podatke izvan Europskog gospodarskog prostora samo uz poštovanje poglavlja V. GDPR-a - na temelju odluke Europske komisije o primjerenosti (uključujući okvir EU-a i SAD-a za privatnost podataka za certificirane primatelje), standardnih ugovornih klauzula koje je donijela Europska komisija ili druge odgovarajuće zaštitne mjere.
• Prihvaćanjem ovog DPA-a Korisnik daje uputu za prijenose navedene u Prilogu 3. i odobrava ih.

8. Prava ispitanika

• Platforma pruža funkcije kojima Korisnik može sam postupati po zahtjevima ispitanika, uključujući zahtjeve za pristup, ispravak, brisanje i izvoz podataka.
• Ako Davatelj zaprimi zahtjev izravno od ispitanika, prosljeđuje ga Korisniku ili ispitanika upućuje Korisniku te ne odgovara na zahtjev u meritumu, osim ako ga je Korisnik na to ovlastio ili ako to zahtijeva zakon.
• Uzimajući u obzir prirodu obrade, Davatelj pruža Korisniku razumnu pomoć pri odgovaranju na takve zahtjeve. Pomoć koja prelazi dostupne funkcije Platforme može se naplatiti u visini razumnih troškova.

9. Povrede osobnih podataka

• Davatelj obavješćuje Korisnika bez nepotrebne odgode nakon što sazna za povredu sigurnosti koja utječe na Osobne podatke.
• Obavijest sadržava informacije iz čl. 33. st. 3. GDPR-a koje su u tom trenutku dostupne: prirodu povrede, kategorije i približan broj dotičnih ispitanika i evidencija osobnih podataka, vjerojatne posljedice te poduzete ili predložene mjere. Informacije se mogu pružati postupno.
• Davatelj poduzima razumne mjere za ublažavanje posljedica povrede.
• Obavješćivanje nadzornog tijela i ispitanika obveza je Korisnika kao voditelja obrade. Davatelj pruža razumnu pomoć informacijama kojima raspolaže.
• Obavijest ili pomoć Davatelja ne predstavlja priznanje krivnje ni odgovornosti.

10. Pomoć pri procjeni učinka

Uzimajući u obzir prirodu obrade i informacije kojima raspolaže, Davatelj pruža Korisniku razumnu pomoć pri procjeni učinka na zaštitu podataka i prethodnom savjetovanju s nadzornim tijelom (čl. 35. i 36. GDPR-a), ponajprije dostavljanjem dokumentacije o Usluzi. Pomoć koja prelazi dostupnu dokumentaciju može se naplatiti u visini razumnih troškova.

11. Vraćanje i brisanje podataka

• Tijekom trajanja ugovora Korisnik može izvesti Osobne podatke putem dostupnih funkcija za izvoz. To je način vraćanja podataka u smislu čl. 28. st. 3. t. (g) GDPR-a.
• Nakon prestanka ugovora Korisnik ima 30 dana za izvoz podataka u skladu s Odjeljkom 15.5. Uvjeta. Nakon isteka tog razdoblja Davatelj u razumnom roku briše Osobne podatke iz svojih aktivnih sustava.
• Podaci pohranjeni u sigurnosnim kopijama te u okruženjima za održavanje i testiranje brišu se ili prepisuju tijekom njihova uobičajenog ciklusa obnavljanja. Do tada ostaju zaštićeni u skladu s ovim DPA-om i ne obrađuju se aktivno.
• Obveza brisanja ne primjenjuje se na podatke koje je Davatelj dužan čuvati na temelju prava Unije ili prava države članice.

12. Informacije i revizije

• Na razuman pisani zahtjev Davatelj Korisniku stavlja na raspolaganje informacije potrebne za dokazivanje poštovanja obveza iz čl. 28. GDPR-a, uključujući ovaj DPA, opis mjera iz Priloga 2., popis podizvršitelja obrade te dostupne certifikate ili revizijska izvješća podizvršitelja obrade.
• Ako te informacije nisu dostatne ili ako reviziju zahtijeva nadzorno tijelo, Korisnik može provesti reviziju sam ili putem neovisnog revizora obvezanog na povjerljivost, pod sljedećim uvjetima: pisani zahtjev najmanje 30 dana unaprijed; najviše jednom u 12 mjeseci, osim u slučaju povrede sigurnosti ili na zahtjev nadzornog tijela; tijekom radnog vremena i bez ometanja poslovanja Davatelja; bez pristupa podacima drugih Korisnika i izvornom kodu; uz poštovanje sigurnosnih pravila Davatelja.
• Troškove revizije snosi Korisnik, uključujući razumnu naknadu za vrijeme koje je utrošio Davatelj.
• Revizija podizvršitelja obrade provodi se dostavljanjem njihovih certifikata, revizijskih izvješća ili druge dokumentacije.

13. Odgovornost

• Odgovornost stranaka prema ovom DPA-u uređuje se Odjeljkom 13. Uvjeta, osim ako prisilni propisi ne određuju drukčije. Ovaj DPA ne ograničava prava ispitanika iz čl. 82. GDPR-a.
• Korisnik obeštećuje Davatelja za štete, kazne i troškove koji proizlaze iz uputa Korisnika ili iz Osobnih podataka koje je dostavio protivno primjenjivom pravu, uključujući slučajeve u kojima ne postoji pravna osnova za obradu.

14. Trajanje i završne odredbe

• Ovaj DPA ostaje na snazi za vrijeme važenja Uvjeta i sve dok Davatelj obrađuje Osobne podatke u ime Korisnika.
• Davatelj može izmijeniti ovaj DPA u skladu s Odjeljkom 20. Uvjeta. Izmjene koje su nužne zbog promjena zakonodavstva ili smjernica nadzornog tijela mogu stupiti na snagu danom objave.
• Na ovaj se DPA primjenjuje bugarsko pravo. Sporovi se rješavaju u skladu s Odjeljkom 19. Uvjeta.

Prilog 1. Opis obrade

• Predmet: obrada Osobnih podataka pri pružanju Usluge - platforme u oblaku za upravljanje građevinskim projektima.
• Trajanje: za vrijeme trajanja ugovora i do brisanja podataka u skladu s Odjeljkom 11.
• Priroda i svrhe: pohrana i hosting; organiziranje, strukturiranje, pretraživanje i prikazivanje; izračuni i generiranje dokumenata; AI obrada (prepoznavanje teksta, izvlačenje podataka, povezivanje i vektorska ugrađivanja za pretraživanje); slanje obavijesti i dokumenata e-poštom na inicijativu Korisnika računa; održavanje, sigurnost, otklanjanje poteškoća, testiranje i poboljšanje Usluge.
• Kategorije ispitanika: Korisnici računa Korisnika (zaposlenici i predstavnici); kontrahenti Korisnika te njihovi predstavnici i osobe za kontakt (klijenti, dobavljači, podizvođači, projektanti, osobe koje provode nadzor); radnici i druge osobe na gradilištima; druge fizičke osobe čiji su podaci sadržani u dokumentima i datotekama koje učitava Korisnik.
• Kategorije osobnih podataka: identifikacijski podaci (imena i prezimena, radno mjesto, potpis, lik na fotografijama); podaci za kontakt (e-pošta, telefon, adresa); profesionalni podaci (društvo, uloga, kvalifikacije); financijski i poslovni podaci u dokumentima (računi, ugovori, bankovni računi, iznosi), uključujući i podatke obrtnika; podaci o odrađenim satima, prisutnosti i zadacima; fotografije i datoteke s gradilišta; tehnički podaci o korištenju Platforme (zapisi u revizijskom tragu, IP adresa, vrijeme radnji); drugi osobni podaci koje Korisnik odluči unijeti.
• Posebne kategorije podataka: Platforma nije namijenjena obradi posebnih kategorija osobnih podataka (čl. 9. GDPR-a) ni podataka koji se odnose na kaznene osude i kažnjiva djela (čl. 10. GDPR-a). Korisnik ne unosi takve podatke, osim ako je to nužno i zakonito, i za to snosi punu odgovornost.
• Učestalost: kontinuirano, za vrijeme trajanja ugovora.

Prilog 2. Tehničke i organizacijske mjere

Davatelj primjenjuje najmanje sljedeće mjere:

• Šifriranje tijekom prijenosa: sav se promet prema Platformi prenosi sigurnim protokolom HTTPS (TLS).
• Šifriranje u mirovanju: pružatelji usluga hostinga šifriraju bazu podataka i pohranu datoteka u mirovanju. Ključevi za vanjske usluge koje unosi Korisnik dodatno se pohranjuju šifrirani na razini aplikacije (AES-256-GCM).
• Izolacija među Korisnicima: logička izolacija na razini zapisa - svaki je zapis vezan uz društvo Korisnika i pristup je automatski ograničen na to društvo, a automatizirane provjere koda osiguravaju poštovanje tog pravila.
• Kontrola pristupa: pojedinačni računi, uloge i ovlasti kojima upravlja Administrator računa; lozinke se pohranjuju samo u obliku kriptografskog sažetka (bcrypt).
• Zaštita od zlouporabe: ograničavanje učestalosti zahtjeva i zaštita od automatiziranih registracija.
• Sljedivost: revizijski trag stvaranja, izmjene i brisanja zapisa.
• Dostupnost: redovite sigurnosne kopije baze podataka te praćenje grešaka i dostupnosti Platforme.
• Lokacija: baza podataka i okruženje za izvršavanje aplikacije nalaze se u EU-u (Irska); prepoznavanje teksta, obrada IFC modela i praćenje grešaka također se obavljaju u EU-u.
• Organizacijske mjere: pristup osoblja Osobnim podacima samo kada je to nužno za obavljanje posla, obveze povjerljivosti i automatizirane provjere promjena koda prije njihove objave.

Prilog 3. Podizvršitelji obrade

Na dan posljednjeg ažuriranja Davatelj koristi sljedeće podizvršitelje obrade:

• Vercel Inc.

  Aktivnost

  Hosting i izvršavanje aplikacije

  Lokacija

  EU (Irska); moguć pristup iz SAD-a

  Osnova za prijenos

  Okvir EU-a i SAD-a za privatnost podataka i/ili standardne ugovorne klauzule

• Supabase Inc.

  Aktivnost

  Hosting baze podataka

  Lokacija

  EU (Irska); moguć pristup iz SAD-a

  Osnova za prijenos

  Standardne ugovorne klauzule

• Cloudflare, Inc.

  Aktivnost

  Pohrana datoteka

  Lokacija

  Europa; moguć pristup iz SAD-a

  Osnova za prijenos

  Okvir EU-a i SAD-a za privatnost podataka i/ili standardne ugovorne klauzule

• Upstash, Inc.

  Aktivnost

  Predmemoriranje i ograničavanje učestalosti zahtjeva

  Lokacija

  EU ili SAD

  Osnova za prijenos

  Okvir EU-a i SAD-a za privatnost podataka i/ili standardne ugovorne klauzule

• Railsware Products Studio LLC (Mailtrap)

  Aktivnost

  Slanje e-pošte

  Lokacija

  SAD

  Osnova za prijenos

  Okvir EU-a i SAD-a za privatnost podataka i/ili standardne ugovorne klauzule

• Functional Software, Inc. (Sentry)

  Aktivnost

  Praćenje grešaka

  Lokacija

  EU (Njemačka); moguć pristup iz SAD-a

  Osnova za prijenos

  Okvir EU-a i SAD-a za privatnost podataka i/ili standardne ugovorne klauzule

• OpenAI

  Aktivnost

  AI funkcionalnosti: prepoznavanje i izvlačenje podataka iz dokumenata, inteligentno pretraživanje i povezivanje

  Lokacija

  SAD

  Osnova za prijenos

  Standardne ugovorne klauzule

• Google Cloud EMEA Limited

  Aktivnost

  Prepoznavanje teksta u dokumentima (Cloud Vision) i obrada IFC modela (Cloud Run)

  Lokacija

  EU; moguć pristup izvan EU-a

  Osnova za prijenos

  Okvir EU-a i SAD-a za privatnost podataka i/ili standardne ugovorne klauzule

• CompanyBook (companybook.bg)

  Aktivnost

  Provjera podataka o društvima prema UIC-u

  Lokacija

  Bugarska (EU)

  Osnova za prijenos

  Nije potrebno

Davatelj koristi i usluge za koje djeluje kao samostalni voditelj obrade - primjerice Stripe za plaćanje pretplate, Google Analytics, Google Ads i Vercel Analytics za statistiku i oglašavanje te Cloudflare Turnstile za zaštitu pri registraciji. Ti su pružatelji usluga opisani u Politici privatnosti i Politici kolačića te nisu podizvršitelji obrade prema ovom DPA-u.