Ugovor o obradi podataka o ličnosti

Ovaj ugovor uređuje obradu podataka o ličnosti koju Dodana vrijednost d.o.o. obavlja za korisnika usluge Puls. Zaključen je na osnovu člana 28. Uredbe (EU) 2016/679, Opšte uredbe o zaštiti podataka, u daljem tekstu GDPR. Ako Puls koristi Vaše društvo, rukovalac ste Vi, a mi smo obrađivač koji podatke obrađuje po Vašim uputstvima.

1. Ugovorne strane

Rukovalac je korisnik usluge Puls, pravno lice koje je otvorilo radni prostor u aplikaciji i koje odlučuje o svrsi i sredstvima obrade podataka koje unosi u Puls.

Obrađivač je Dodana vrijednost d.o.o., Ribnjak 56, 10000 Zagreb, Hrvatska, OIB 28795267248, upisano u sudski registar Trgovačkog suda u Zagrebu. Adresa za pitanja o zaštiti podataka je info@puls-value.com.

Obrađivač podatke o ličnosti obrađuje isključivo za račun rukovaoca i nema pravo da odlučuje o svrhama obrade.

2. Predmet i trajanje obrade

Predmet ovog ugovora je obrada podataka o ličnosti neophodna za pružanje usluge Puls, kako je usluga opisana u Uslovima korišćenja.

Obrada traje dok traje pretplata na Puls. To uključuje probni period i period u kojem je pristup radnom prostoru zaključan a korisnički nalog još postoji. Nakon prestanka usluge postupa se prema članu 13. ovog ugovora.

3. Priroda i svrha obrade

Svrha obrade je pružanje usluge Puls. To obuhvata smeštaj i obradu finansijskih brojki, korisnika i dokumenata rukovaoca radi prikaza plana i ostvarenja, pokazatelja, strukture rashoda, mesečnog komentara i dokumenta poslovnog plana, kao i radi vođenja korisničkih naloga, naplate pretplate i tehničke podrške.

Kad rukovalac poveže svoje knjige preko e-Računa ili učita spisak otvorenih stavki, obrađivač iz tih otvorenih stavki sastavlja starost dugova po kupcu i dobavljaču do nivoa dokumenta i spisak kupaca koji kasne sa plaćanjem, za podsetnike. Uz vezu sa e-Računima iz istih stavki sastavlja i spisak najvećih kupaca i dobavljača za paket za banku i pregled obaveza i očekivanih priliva koji dospevaju u narednih 14 dana, koji nosi zbir po danu i vrsti obaveze i imena najvećih kupaca i dobavljača.

Radnje obrade su prikupljanje, beleženje, čuvanje, uvid, izračun, prikaz, izvoz na zahtev korisnika, izrada rezervnih kopija i brisanje.

Obrađivač ne koristi podatke rukovaoca za sopstvene svrhe, ne prodaje ih i ne koristi ih za profilisanje.

4. Vrste podataka o ličnosti

• Ime i prezime i poslovna e-mail adresa korisnika radnog prostora.
• Podaci o prijavi i zapisi o pristupu.
• Podaci o društvu i o naplati, uključujući naziv, adresu, OIB i podatke o izdatim računima.
• Podaci o ličnosti koji se mogu pojaviti u opisima stavki u knjigama, u nazivima poslovnih partnera i u podatku o broju zaposlenih.
• Imena najviše deset najvećih kupaca i deset najvećih dobavljača po godini, sa prometom, stanjem otvorenih stavki i ročnošću, za tekuću i prethodnu godinu. Među njima mogu biti preduzetnici i druga fizička lica. Čuva se samo ime, bez šifre partnera i bez OIB-a, i samo poslednje očitavanje.
• Imena kupaca i dobavljača rukovaoca sa njihovim otvorenim stavkama, iz veze sa e-Računima ili iz spiska otvorenih stavki koji rukovalac učita. Među njima mogu biti preduzetnici i druga fizička lica. Čuva se samo ime, bez šifre partnera i bez OIB-a, i samo poslednje očitavanje.
• E-mail adrese kupaca na koje korisnik pošalje podsetnik i zapis o slanju.
• Sadržaj dokumenata i datoteka koje rukovalac učita u Puls ili sastavi u Pulsu.
• Pitanja koja korisnik upiše u AI konsultanta i odgovori konsultanta. Razgovor vidi samo korisnik koji je pitao, a može sadržati finansijske podatke društva i podatke o ličnosti koje korisnik upiše. Rokovi brisanja su u odeljku 13.

5. Kategorije lica na koja se podaci odnose

• Korisnici radnog prostora rukovaoca.
• Zaposleni kod rukovaoca.
• Kupci, dobavljači i drugi poslovni partneri navedeni u knjigama.
• Lica navedena u dokumentima koje rukovalac učita u Puls ili sastavi u Pulsu.

6. Dokumentovana uputstva

Obrađivač obrađuje podatke o ličnosti samo na osnovu dokumentovanih uputstava rukovaoca. Uputstvima se smatraju ovaj ugovor, Uslovi korišćenja i svaka radnja koju korisnik sam pokrene u aplikaciji, na primer uvoz podataka, izrada plana, traženje komentara ili izvoz. Uputstva obuhvataju i prenos podataka o ličnosti u treću zemlju ili međunarodnoj organizaciji, koji je dozvoljen samo ako je predviđen ovim ugovorom ili ga zahteva propis Evropske unije ili Republike Hrvatske.

Ako propis Evropske unije ili propis Republike Hrvatske obavezuje obrađivača na obradu van tih uputstava, obrađivač o tome obaveštava rukovaoca pre obrade, osim ako taj propis obaveštavanje izričito zabranjuje.

Obrađivač odmah obaveštava rukovaoca ako smatra da neko uputstvo krši GDPR ili drugi propis o zaštiti podataka.

7. Poverljivost

Pristup podacima rukovaoca imaju samo lica kojima je pristup neophodan za obavljanje posla. Sva takva lica obavezana su na čuvanje poverljivosti ugovorom ili zakonskom obavezom, a obaveza traje i nakon prestanka njihovog angažovanja.

8. Bezbednost obrade prema članu 32. GDPR-a

Obrađivač primenjuje sledeće tehničke i organizacione mere.

• Sav saobraćaj između pregledača i aplikacije ide šifrovanom vezom (TLS).
• Podaci svake firme odvojeni su tako da jedan radni prostor ne može da vidi podatke drugog, a razgovore sa AI konsultantom vidi samo korisnik koji je pitao.
• Lozinke se čuvaju u obliku iz kojeg se ne mogu pročitati. Pristupni ključevi za povezane servise čuvaju se šifrovano.
• Podaci se čuvaju i obrađuju na serverima unutar Evropske unije.
• Baza podataka ima redovne automatske rezervne kopije i dokumentovan postupak vraćanja.
• Prijave i pristup podacima beleže se u zapisima koji se vode odvojeno od tih podataka.
• Važi pravilo najmanjih ovlašćenja. Svako lice i svaka komponenta sistema dobija samo ona ovlašćenja koja su neophodna za posao koji obavlja.
• Pristup serverima ograničen je na ovlašćena lica i zaštićen.
• Razvoj je odvojen od produkcije i ne dodiruje produkcione podatke. Sistemi redovno primaju bezbednosna ažuriranja.

9. Podobrađivači

Rukovalac daje opšte prethodno odobrenje za angažovanje podobrađivača. Spisak podobrađivača koji su angažovani na dan verzije ovog ugovora nalazi se u Prilogu 1.

Sa svakim podobrađivačem obrađivač ugovara obaveze zaštite podataka koje nisu blaže od obaveza iz ovog ugovora, i odgovara rukovaocu za rad podobrađivača kao za svoj.

O nameri da doda ili zameni podobrađivača obrađivač obaveštava rukovaoca najmanje 30 dana unapred, e-mailom na adresu vlasnika radnog prostora i objavljivanjem izmenjenog Priloga 1 na ovoj stranici. U tom roku rukovalac može da uloži obrazloženi prigovor. Ako prigovor ostane nerešen, rukovalac može da otkaže pretplatu pre nego što promena stupi na snagu, a pristup ostaje aktivan do kraja plaćenog perioda.

10. Prenosi van Evropskog ekonomskog prostora

Podaci se obrađuju u Evropskoj uniji. Prenos u treću zemlju sprovodi se samo prema podobrađivačima navedenim u Prilogu 1 i samo uz standardne ugovorne klauzule Evropske komisije.

Ako za neki prenos te mere prestanu da budu dovoljne, obrađivač prenos obustavlja i o tome obaveštava rukovaoca.

11. Pomoć rukovaocu

Uzimajući u obzir prirodu obrade, obrađivač odgovarajućim tehničkim i organizacionim merama pomaže rukovaocu u odgovaranju na zahteve lica na koja se podaci odnose iz poglavlja III. GDPR-a, dakle na zahteve za pristup, ispravku, brisanje, ograničenje obrade, prenosivost i prigovor.

Ako zahtev lica na koje se podaci odnose stigne direktno obrađivaču, obrađivač ga bez odlaganja prosleđuje rukovaocu i ne postupa po njemu samostalno.

Obrađivač pomaže rukovaocu i u ispunjavanju obaveza iz članova 32. do 36. GDPR-a, dakle u bezbednosti obrade, u obaveštavanju o povredi, u proceni uticaja na zaštitu podataka i u prethodnom savetovanju sa nadzornim organom, u meri u kojoj su informacije dostupne obrađivaču.

12. Povreda podataka o ličnosti

Obrađivač obaveštava rukovaoca o svakoj povredi podataka o ličnosti bez nepotrebnog odlaganja nakon što za nju sazna, i to blagovremeno da rukovalac može da ispuni svoju obavezu prijave nadzornom organu.

Obaveštenje sadrži opis prirode povrede, približan broj pogođenih lica na koja se podaci odnose i zapisa, verovatne posledice, mere koje su preduzete ili se predlažu i kontakt lica kod obrađivača od kojeg se mogu dobiti dodatne informacije.

Obrađivač vodi zapis o povredama i o preduzetim merama i stavlja ga na uvid rukovaocu na zahtev.

13. Brisanje ili vraćanje podataka

Nakon prestanka usluge obrađivač, po izboru rukovaoca, vraća podatke u mašinski čitljivom obliku ili ih briše, zajedno sa postojećim kopijama.

Rukovalac svoj izbor saopštava u roku od 30 dana od prestanka usluge. Nakon isteka tog roka, a najkasnije 90 dana od prestanka usluge, obrađivač podatke briše.

Dok korisnički nalog postoji, podaci ostaju sačuvani i onda kad je pristup zaključan zbog isteka probnog perioda ili neplaćene pretplate.

Razgovori sa AI konsultantom ne čekaju prestanak usluge. Svaka poruka razgovora briše se 12 meseci nakon nastanka, a korisnik može da je obriše i ranije. Brisanjem korisničkog naloga brišu se i svi razgovori tog korisnika, a prestankom pristupa društvu njegovi razgovori o tom društvu.

Spisak najvećih kupaca i dobavljača ne vodi istoriju. Pri svakoj sinhronizaciji sa e-Računima zamenjuje se novim očitavanjem, a briše se zajedno sa ostalim podacima društva.

Otvorene stavke kupaca i dobavljača ne vode istoriju. Svako novo očitavanje, iz veze sa e-Računima ili iz učitanog spiska, zamenjuje prethodno, a brišu se zajedno sa ostalim podacima društva.

Izuzetak od brisanja su podaci koje je obrađivač dužan da čuva prema propisu, pre svega izdati računi i fiskalni podaci. Njih obrađivač čuva do isteka zakonskog roka i ne obrađuje ih ni u koju drugu svrhu.

Podaci u rezervnim kopijama brišu se u redovnom ciklusu zamene tih kopija.

14. Revizija i nadzor

Obrađivač stavlja rukovaocu na raspolaganje sve informacije neophodne za dokazivanje poštovanja obaveza iz člana 28. GDPR-a i omogućava revizije, uključujući inspekcije, koje sprovodi rukovalac ili revizor koga rukovalac ovlasti.

Revizija se najavljuje najmanje 30 dana unapred, sprovodi se u radno vreme i na način koji ne remeti rad usluge. Revizija ne sme da zahvati podatke drugih korisnika. Trošak revizije snosi rukovalac, osim ako revizija utvrdi bitno kršenje ovog ugovora.

15. Odgovornost

Odgovornost ugovornih strana uređena je Uslovima korišćenja usluge Puls i prinudnim propisima. Ovaj ugovor ne proširuje niti sužava ograničenje odgovornosti iz Uslova korišćenja, osim tamo gde GDPR određuje drugačije.

16. Merodavno pravo

Na ovaj ugovor primenjuje se pravo Republike Hrvatske i GDPR. Za sporove je nadležan stvarno nadležni sud u Zagrebu.

17. Prihvatanje, izmene i verzija

Ovaj ugovor primenjuje se prihvatanjem Uslova korišćenja usluge Puls. Rukovalac ga prihvata pri otvaranju naloga, potvrdom koja nosi datum verzije, a mi beležimo ko je koju verziju prihvatio i kada. Poseban potpis nije potreban i nema odvojenog postupka potpisivanja.

Nova verzija ovog ugovora je na snazi od dana objavljivanja, koji je i datum verzije. Rukovaoca o njoj obaveštavamo e-mailom istog dana i objavljivanjem na ovoj stranici, a pri prvoj prijavi od tog dana Puls traži potvrdu nove verzije. Obaveštenje o promeni podobrađivača uređuje odeljak 9.

Ako je odredba ovog ugovora u suprotnosti sa Uslovima korišćenja, u pitanjima obrade podataka o ličnosti primenjuje se ovaj ugovor.

Verzija: 6. oktobra 2026. U ovoj verziji dopunjen je opis obrade otvorenih stavki kupaca i dobavljača (odeljci 3, 4 i 13), izmenjeni su spiskovi vrsta podataka i lica (odeljci 4 i 5) i ažuriran je Prilog 1. Opis mera bezbednosti sada je opštiji, a mere su iste (odeljak 8). Odeljak 10 o prenosima je skraćen. Ostali tekst isti je kao u verziji od 5. oktobra 2026. Nova verzija prati izmenu Uslova korišćenja, jer se oba dokumenta prihvataju zajedno.

Prilog 1. Spisak podobrađivača

Spisak važi na dan verzije ovog ugovora. Izmene se najavljuju prema članu 9. ovog ugovora.