1. Prihvatanje i obim primene

• Ovaj DPA se zaključuje u elektronskom obliku i Klijent ga prihvata zajedno sa Uslovima korišćenja - prilikom registracije, označavanjem saglasnosti sa Uslovima korišćenja ili nastavkom korišćenja Platforme. Elektronski oblik ispunjava zahtev iz čl. 28(9) GDPR.
• Ovaj DPA se primenjuje u meri u kojoj Pružalac usluga u ime Klijenta obrađuje podatke o ličnosti sadržane u Podacima Klijenta („Podaci o ličnosti“).
• Ovaj DPA se ne primenjuje na podatke koje Pružalac usluga obrađuje kao samostalni rukovalac - podatke o registraciji i upravljanju nalogom, naplati i plaćanjima, bezbednosti Platforme, komunikaciji sa Klijentom i statistici veb-sajta. Oni su opisani u Politici privatnosti.
• Kada je Klijent fizičko lice koje Platformu koristi isključivo za lične potrebe ili potrebe svog domaćinstva, moguće je da se GDPR ne primenjuje (čl. 2(2)(c) GDPR). U tom slučaju ovaj DPA se primenjuje u meri u kojoj je to primenljivo.
• U slučaju neusklađenosti između ovog DPA i Uslova korišćenja u pitanjima zaštite podataka o ličnosti, prednost ima ovaj DPA.

2. Uloge i odgovornosti strana

• Klijent je rukovalac, a Pružalac usluga obrađivač Podataka o ličnosti. Kada Klijent obrađuje podatke o ličnosti u ime trećeg lica, Klijent garantuje da je pribavio ovlašćenje odgovarajućeg rukovaoca, a Pružalac usluga postupa kao podobrađivač.
• Klijent je odgovoran za zakonitost obrade: postojanje pravnog osnova, informisanje lica na koja se podaci odnose, tačnost podataka i zakonitost uputstava koja daje.
• Klijent garantuje da uputstva koja daje i Podaci o ličnosti koje pruža ne krše primenljivo pravo niti prava trećih lica.

3. Uputstva Klijenta

• Pružalac usluga obrađuje Podatke o ličnosti isključivo na osnovu dokumentovanih uputstava Klijenta, uključujući i ona koja se odnose na prenos podataka u treće zemlje, osim ako je na obradu obavezan pravom Evropske unije ili države članice. U tom slučaju Pružalac usluga obaveštava Klijenta o toj obavezi, osim ako zakon to zabranjuje.
• Dokumentovana uputstva Klijenta su: Uslovi korišćenja, ovaj DPA, korišćenje i podešavanja Platforme od strane Klijenta i njegovih Korisnika, kao i sva dodatna pisana uputstva o kojima su se obe strane saglasile.
• Klijent daje uputstvo da se Podaci o ličnosti obrađuju radi pružanja, održavanja, bezbednosti, otklanjanja grešaka, testiranja i unapređenja Usluge, uključujući i kreiranje izvedenih podataka (na primer, vektorskih embedovanja za pretragu), u meri u kojoj je to neophodno za te svrhe i uz očuvanje poverljivosti i bezbednosti podataka.
• Pružalac usluga odmah obaveštava Klijenta ako, po njegovom mišljenju, neko uputstvo krši GDPR ili druge primenljive propise o zaštiti podataka. Pružalac usluga nije dužan da vrši pravnu analizu uputstava Klijenta.
• Uputstva koja prevazilaze obim Usluge izvršavaju se samo ako se Pružalac usluga sa njima saglasi i mogu se posebno naplatiti.

4. Poverljivost

• Pružalac usluga obezbeđuje da su se lica ovlašćena za obradu Podataka o ličnosti obavezala na čuvanje poverljivosti ili da podležu odgovarajućoj zakonskoj obavezi čuvanja poverljivosti.
• Pristup Podacima o ličnosti imaju samo lica kojima je on neophodan za obavljanje njihovih dužnosti.

5. Bezbednost obrade

• Pružalac usluga primenjuje tehničke i organizacione mere u skladu sa čl. 32 GDPR, opisane u Prilogu 2, uzimajući u obzir najnovija tehnološka dostignuća, troškove, prirodu, obim, okolnosti i svrhe obrade, kao i rizike za prava lica na koja se podaci odnose.
• Pružalac usluga može ažurirati mere, pod uslovom da se ukupan nivo zaštite ne smanji.
• Klijent je odgovoran za bezbednost u svojoj sferi, uključujući zaštitu lozinki, pravilnu dodelu ovlašćenja Korisnicima, zaštitu svojih uređaja i blagovremeno ukidanje pristupa licima koja ga više ne bi trebalo da imaju.

6. Podobrađivači

• Klijent daje Pružaocu usluga opšte pisano odobrenje da angažuje podobrađivače navedene u Prilogu 3, kao i nove podobrađivače pod uslovima iz ovog odeljka.
• Pružalac usluga obaveštava Klijenta o svakom planiranom dodavanju ili zameni podobrađivača najmanje 14 dana unapred, tako što ažurira Prilog 3 i obaveštava Administratora naloga elektronskom poštom ili putem obaveštenja na Platformi.
• U tom roku Klijent može pisanim putem uložiti prigovor iz opravdanih razloga koji se odnose na zaštitu podataka. Strane razmatraju prigovor u dobroj veri. Ako se ne postigne rešenje, jedino pravo Klijenta je da raskine ugovor pisanim obaveštenjem pre nego što promena stupi na snagu. Raskid se uređuje Odeljkom 15 Uslova korišćenja i ne daje pravo na povraćaj plaćenih iznosa.
• Kada je zamena neophodna zato što podobrađivač prestaje da pruža uslugu, zbog bezbednosnog incidenta ili zbog drugog hitnog razloga, Pružalac usluga je može izvršiti bez prethodnog obaveštenja, a Klijenta o tome obaveštava u najkraćem mogućem roku.
• Pružalac usluga obavezuje svakog podobrađivača na obaveze zaštite podataka koje suštinski odgovaraju obavezama iz ovog DPA i ostaje odgovoran Klijentu za njihovo ispunjenje u skladu sa čl. 28(4) GDPR, uz ograničenja iz Odeljka 13 Uslova korišćenja.
• Kada Klijent koristi sopstvene ključeve ili naloge za usluge trećih lica (na primer, Google Cloud ili OpenAI) ili poveže Platformu sa svojom bankom, ta treća lica obrađuju podatke na osnovu svog ugovora sa Klijentom i nisu podobrađivači Pružaoca usluga.

7. Prenos podataka izvan Evropskog ekonomskog prostora

• Pružalac usluga prenosi Podatke o ličnosti izvan Evropskog ekonomskog prostora samo u skladu sa Poglavljem V GDPR - na osnovu odluke Evropske komisije o primerenom nivou zaštite (uključujući Okvir za privatnost podataka EU-SAD za sertifikovane primaoce), standardnih ugovornih klauzula koje je usvojila Evropska komisija ili drugih odgovarajućih mera zaštite.
• Prihvatanjem ovog DPA Klijent daje uputstvo i odobrenje za prenose navedene u Prilogu 3.

8. Prava lica na koja se podaci odnose

• Platforma pruža funkcije pomoću kojih Klijent može sam da postupa po zahtevima lica na koja se podaci odnose, uključujući zahteve za pristup, ispravku, brisanje i izvoz podataka.
• Ako Pružalac usluga primi zahtev neposredno od lica na koje se podaci odnose, prosleđuje ga Klijentu ili to lice upućuje na Klijenta i ne odgovara na zahtev meritorno, osim ako ga je Klijent za to ovlastio ili ako to zakon zahteva.
• Uzimajući u obzir prirodu obrade, Pružalac usluga pruža Klijentu razumnu pomoć u postupanju po takvim zahtevima. Pomoć koja prevazilazi dostupne funkcije Platforme može se naplatiti u visini razumnih troškova.

9. Povrede podataka o ličnosti

• Pružalac usluga obaveštava Klijenta bez nepotrebnog odlaganja nakon što sazna za povredu bezbednosti koja se odnosi na Podatke o ličnosti.
• Obaveštenje sadrži informacije iz čl. 33(3) GDPR kojima Pružalac usluga u tom trenutku raspolaže: prirodu povrede, kategorije i približan broj pogođenih lica na koja se podaci odnose i pogođenih zapisa, verovatne posledice i preduzete ili predložene mere. Informacije se mogu dostavljati postepeno.
• Pružalac usluga preduzima razumne mere za ublažavanje posledica povrede.
• Obaveštavanje nadzornog organa i lica na koja se podaci odnose obaveza je Klijenta kao rukovaoca. Pružalac usluga pruža razumnu pomoć informacijama kojima raspolaže.
• Obaveštenje ili pomoć Pružaoca usluga ne predstavlja priznanje krivice ili odgovornosti.

10. Pomoć pri proceni uticaja

Uzimajući u obzir prirodu obrade i informacije kojima raspolaže, Pružalac usluga pruža Klijentu razumnu pomoć pri proceni uticaja na zaštitu podataka i pri prethodnim konsultacijama sa nadzornim organom (čl. 35 i 36 GDPR), prvenstveno dostavljanjem dokumentacije o Usluzi. Pomoć koja prevazilazi dostupnu dokumentaciju može se naplatiti u visini razumnih troškova.

11. Vraćanje i brisanje podataka

• Tokom trajanja ugovora Klijent može izvoziti Podatke o ličnosti pomoću dostupnih funkcija za izvoz. To je način vraćanja podataka u smislu čl. 28(3)(g) GDPR.
• Nakon prestanka ugovora Klijent ima rok od 30 dana da izveze podatke u skladu sa Odeljkom 15.5 Uslova korišćenja. Po isteku tog roka Pružalac usluga u razumnom roku briše Podatke o ličnosti iz svojih aktivnih sistema.
• Primerci podataka u rezervnim kopijama i u okruženjima za održavanje i testiranje brišu se ili prepisuju u okviru njihovog redovnog ciklusa obnavljanja. Do tada ostaju zaštićeni u skladu sa ovim DPA i ne obrađuju se aktivno.
• Obaveza brisanja ne odnosi se na podatke koje je Pružalac usluga dužan da čuva na osnovu prava Evropske unije ili države članice.

12. Informacije i revizije

• Na razuman pisani zahtev, Pružalac usluga stavlja Klijentu na raspolaganje informacije neophodne za dokazivanje usklađenosti sa čl. 28 GDPR, uključujući ovaj DPA, opis mera iz Priloga 2, spisak podobrađivača i dostupne sertifikate ili revizorske izveštaje podobrađivača.
• Ako te informacije nisu dovoljne ili ako reviziju zahteva nadzorni organ, Klijent može sprovesti reviziju sam ili preko nezavisnog revizora obavezanog na čuvanje poverljivosti, pod sledećim uslovima: pisani zahtev najmanje 30 dana unapred; najviše jednom u 12 meseci, osim u slučaju povrede bezbednosti ili na zahtev nadzornog organa; u radno vreme i bez ometanja poslovanja Pružaoca usluga; bez pristupa podacima drugih klijenata i izvornom kodu; uz poštovanje bezbednosnih pravila Pružaoca usluga.
• Troškove revizije snosi Klijent, uključujući i razumnu naknadu za vreme koje je Pružalac usluga utrošio.
• Revizija podobrađivača vrši se dostavljanjem njihovih sertifikata, revizorskih izveštaja ili druge dokumentacije.

13. Odgovornost

• Odgovornost strana po ovom DPA uređuje se Odeljkom 13 Uslova korišćenja, osim ako imperativni propisi ne predviđaju drugačije. Ovaj DPA ne ograničava prava lica na koja se podaci odnose iz čl. 82 GDPR.
• Klijent obeštećuje Pružaoca usluga za štetu, novčane kazne i troškove koji proisteknu iz uputstava Klijenta ili iz Podataka o ličnosti koje je Klijent pružio protivno primenljivom pravu, uključujući i slučaj kada ne postoji pravni osnov za obradu.

14. Trajanje i završne odredbe

• Ovaj DPA važi za vreme važenja Uslova korišćenja i sve dok Pružalac usluga obrađuje Podatke o ličnosti u ime Klijenta.
• Pružalac usluga može menjati ovaj DPA u skladu sa Odeljkom 20 Uslova korišćenja. Izmene uslovljene promenama propisa ili smernicama nadzornog organa mogu stupiti na snagu danom objavljivanja.
• Na ovaj DPA primenjuje se bugarsko pravo. Sporovi se rešavaju u skladu sa Odeljkom 19 Uslova korišćenja.

Prilog 1. Opis obrade

• Predmet: obrada Podataka o ličnosti prilikom pružanja Usluge - cloud platforme za upravljanje građevinskim projektima.
• Trajanje: za vreme trajanja ugovora i do brisanja podataka u skladu sa Odeljkom 11.
• Priroda i svrhe: čuvanje i hosting; organizovanje, strukturisanje, pretraživanje i prikazivanje; proračuni i generisanje dokumenata; AI obrada (prepoznavanje teksta, izdvajanje podataka, uparivanje i vektorska embedovanja za pretragu); slanje obaveštenja i dokumenata elektronskom poštom na inicijativu Korisnika; održavanje, bezbednost, otklanjanje grešaka, testiranje i unapređenje Usluge.
• Kategorije lica na koja se podaci odnose: Korisnici Klijenta (zaposleni i predstavnici); komitenti Klijenta i njihovi predstavnici i kontakt osobe (naručioci, dobavljači, podizvođači, projektanti, lica koja vrše nadzor); radnici i druga lica na gradilištima; druga fizička lica čiji su podaci sadržani u dokumentima i fajlovima koje je Klijent otpremio.
• Kategorije podataka o ličnosti: identifikacioni podaci (ime i prezime, radno mesto, potpis, lik na fotografijama); kontakt podaci (e-pošta, telefon, adresa); profesionalni podaci (kompanija, uloga, kvalifikacije); finansijski i poslovni podaci u dokumentima (fakture, ugovori, bankovni računi, iznosi), uključujući i podatke preduzetnika; podaci o radnim satima, prisustvu i zadacima; fotografije i fajlovi sa gradilišta; tehnički podaci o korišćenju Platforme (zapisi u dnevniku revizije, IP adresa, vreme radnji); drugi podaci o ličnosti koje Klijent odluči da unese.
• Posebne vrste podataka: Platforma nije namenjena obradi posebnih vrsta podataka o ličnosti (čl. 9 GDPR) niti podataka o krivičnim presudama i kažnjivim delima (čl. 10 GDPR). Klijent ne unosi takve podatke, osim kada je to neophodno i zakonito, i za to snosi punu odgovornost.
• Učestalost: kontinuirano, za vreme trajanja ugovora.

Prilog 2. Tehničke i organizacione mere

Pružalac usluga primenjuje najmanje sledeće mere:

• Šifrovanje u prenosu: celokupan saobraćaj ka Platformi prenosi se putem bezbednog protokola HTTPS (TLS).
• Šifrovanje u mirovanju: pružaoci hosting usluga šifruju bazu podataka i skladište fajlova u mirovanju. Ključevi za spoljne usluge koje unosi Klijent dodatno se čuvaju šifrovani na nivou aplikacije (AES-256-GCM).
• Izolacija između klijenata: logička izolacija na nivou zapisa - svaki zapis je povezan sa kompanijom Klijenta i pristup se automatski ograničava na nju, a poštovanje ovog pravila obezbeđuju automatizovane provere koda.
• Kontrola pristupa: pojedinačni nalozi, uloge i ovlašćenja kojima upravlja Administrator naloga; lozinke se čuvaju isključivo u heširanom obliku (bcrypt).
• Zaštita od zloupotreba: ograničavanje učestalosti zahteva i zaštita od automatizovanih registracija.
• Sledljivost: dnevnik revizije u kome se beleže kreiranje, izmena i brisanje zapisa.
• Dostupnost: redovne rezervne kopije baze podataka i praćenje grešaka i dostupnosti Platforme.
• Lokacija: baza podataka i izvršno okruženje aplikacije hostuju se u EU (Irska); prepoznavanje teksta, obrada IFC modela i praćenje grešaka takođe se vrše u EU.
• Organizacione mere: pristup osoblja Podacima o ličnosti samo kada je to neophodno, obaveze čuvanja poverljivosti i automatizovane provere izmena koda pre puštanja u rad.

Prilog 3. Podobrađivači

Na dan poslednjeg ažuriranja Pružalac usluga koristi sledeće podobrađivače:

• Vercel Inc.

  Aktivnost

  Hosting i izvršavanje aplikacije

  Lokacija

  EU (Irska); moguć pristup iz SAD

  Osnov za prenos

  Okvir za privatnost podataka EU-SAD i/ili standardne ugovorne klauzule

• Supabase Inc.

  Aktivnost

  Hosting baze podataka

  Lokacija

  EU (Irska); moguć pristup iz SAD

  Osnov za prenos

  Standardne ugovorne klauzule

• Cloudflare, Inc.

  Aktivnost

  Skladištenje fajlova

  Lokacija

  Evropa; moguć pristup iz SAD

  Osnov za prenos

  Okvir za privatnost podataka EU-SAD i/ili standardne ugovorne klauzule

• Upstash, Inc.

  Aktivnost

  Keširanje i ograničavanje učestalosti zahteva

  Lokacija

  EU ili SAD

  Osnov za prenos

  Okvir za privatnost podataka EU-SAD i/ili standardne ugovorne klauzule

• Railsware Products Studio LLC (Mailtrap)

  Aktivnost

  Slanje elektronske pošte

  Lokacija

  SAD

  Osnov za prenos

  Okvir za privatnost podataka EU-SAD i/ili standardne ugovorne klauzule

• Functional Software, Inc. (Sentry)

  Aktivnost

  Praćenje grešaka

  Lokacija

  EU (Nemačka); moguć pristup iz SAD

  Osnov za prenos

  Okvir za privatnost podataka EU-SAD i/ili standardne ugovorne klauzule

• OpenAI

  Aktivnost

  AI funkcionalnosti: prepoznavanje i izdvajanje podataka iz dokumenata, inteligentna pretraga i uparivanje

  Lokacija

  SAD

  Osnov za prenos

  Standardne ugovorne klauzule

• Google Cloud EMEA Limited

  Aktivnost

  Prepoznavanje teksta u dokumentima (Cloud Vision) i obrada IFC modela (Cloud Run)

  Lokacija

  EU; moguć pristup izvan EU

  Osnov za prenos

  Okvir za privatnost podataka EU-SAD i/ili standardne ugovorne klauzule

• CompanyBook (companybook.bg)

  Aktivnost

  Pretraga podataka o kompanijama po UIC

  Lokacija

  Bugarska (EU)

  Osnov za prenos

  Nije potreban

Pružalac usluga koristi i usluge u vezi sa kojima postupa kao samostalni rukovalac - na primer, Stripe za plaćanja pretplate, Google Analytics, Google Ads i Vercel Analytics za statistiku i oglašavanje i Cloudflare Turnstile za zaštitu pri registraciji. Ti pružaoci usluga opisani su u Politici privatnosti i Politici kolačića i nisu podobrađivači u smislu ovog DPA.