Ugovor o obradi osobnih podataka

Ovaj ugovor uređuje obradu osobnih podataka koju Dodana vrijednost d.o.o. obavlja za korisnika usluge Puls. Sklopljen je na temelju članka 28. Uredbe (EU) 2016/679, Opće uredbe o zaštiti podataka, u nastavku GDPR. Ako Puls koristi Vaše društvo, voditelj obrade ste Vi, a mi smo izvršitelj obrade koji podatke obrađuje po Vašim uputama.

1. Ugovorne strane

Voditelj obrade je korisnik usluge Puls, pravna osoba koja je otvorila radni prostor u aplikaciji i koja odlučuje o svrsi i sredstvima obrade podataka koje u Puls unosi.

Izvršitelj obrade je Dodana vrijednost d.o.o., Ribnjak 56, 10000 Zagreb, Hrvatska, OIB 28795267248, upisano u sudski registar Trgovačkog suda u Zagrebu. Adresa za pitanja o zaštiti podataka je info@puls-value.com.

Izvršitelj obrade osobne podatke obrađuje isključivo za račun voditelja obrade i nema pravo odlučivati o svrhama obrade.

2. Predmet i trajanje obrade

Predmet ovog ugovora je obrada osobnih podataka nužna za pružanje usluge Puls, kako je usluga opisana u Uvjetima korištenja.

Obrada traje dok traje pretplata na Puls. To uključuje probni period i razdoblje u kojem je pristup radnom prostoru zaključan a korisnički račun još postoji. Nakon prestanka usluge postupa se prema članku 13. ovog ugovora.

3. Priroda i svrha obrade

Svrha obrade je pružanje usluge Puls. To obuhvaća smještaj i obradu financijskih brojki, korisnika i dokumenata voditelja obrade radi prikaza plana i ostvarenja, pokazatelja, strukture rashoda, mjesečnog komentara i dokumenta poslovnog plana, te radi vođenja korisničkih računa, naplate pretplate i tehničke podrške.

Kad voditelj obrade poveže svoje knjige preko e-Računa ili učita popis otvorenih stavaka, izvršitelj obrade iz tih otvorenih stavaka sastavlja starost dugova po kupcu i dobavljaču do razine dokumenta i popis kupaca koji kasne s plaćanjem, za podsjetnike. Uz vezu s e-Računima iz istih stavaka sastavlja i popis najvećih kupaca i dobavljača za paket za banku te pregled obveza i očekivanih priljeva koji dospijevaju u sljedećih 14 dana, koji nosi zbroj po danu i vrsti obveze te imena najvećih kupaca i dobavljača.

Radnje obrade su prikupljanje, zapisivanje, pohrana, uvid, izračun, prikaz, izvoz na zahtjev korisnika, izrada sigurnosnih kopija i brisanje.

Izvršitelj obrade ne koristi podatke voditelja obrade za vlastite svrhe, ne prodaje ih i ne koristi ih za profiliranje.

4. Vrste osobnih podataka

• Ime i prezime te poslovna e-adresa korisnika radnog prostora.
• Podaci o prijavi i zapisi o pristupu.
• Podaci o društvu i o naplati, uključujući naziv, adresu, OIB i podatke o izdanim računima.
• Osobni podaci koji se mogu pojaviti u opisima stavaka u knjigama, u nazivima poslovnih partnera i u podatku o broju zaposlenih.
• Imena najviše deset najvećih kupaca i deset najvećih dobavljača po godini, s prometom, stanjem otvorenih stavaka i ročnošću, za tekuću i prethodnu godinu. Među njima mogu biti obrtnici i druge fizičke osobe. Čuva se samo ime, bez šifre partnera i bez OIB-a, i samo zadnje očitanje.
• Imena kupaca i dobavljača voditelja obrade s njihovim otvorenim stavkama, iz veze s e-Računima ili iz popisa otvorenih stavaka koji voditelj obrade učita. Među njima mogu biti obrtnici i druge fizičke osobe. Čuva se samo ime, bez šifre partnera i bez OIB-a, i samo zadnje očitanje.
• E-adrese kupaca na koje korisnik pošalje podsjetnik i zapis o slanju.
• Sadržaj dokumenata i datoteka koje voditelj obrade učita u Puls ili u Pulsu sastavi.
• Pitanja koja korisnik upiše u AI konzultanta i odgovori konzultanta. Razgovor vidi samo korisnik koji je pitao, a može sadržavati financijske podatke društva i osobne podatke koje korisnik upiše. Rokovi brisanja su u odjeljku 13.

5. Kategorije ispitanika

• Korisnici radnog prostora voditelja obrade.
• Zaposlenici voditelja obrade.
• Kupci, dobavljači i drugi poslovni partneri navedeni u knjigama.
• Osobe navedene u dokumentima koje voditelj obrade učita u Puls ili u Pulsu sastavi.

6. Dokumentirane upute

Izvršitelj obrade obrađuje osobne podatke samo na temelju dokumentiranih uputa voditelja obrade. Uputama se smatraju ovaj ugovor, Uvjeti korištenja i svaka radnja koju korisnik sam pokrene u aplikaciji, primjerice uvoz podataka, izrada plana, traženje komentara ili izvoz. Upute obuhvaćaju i prijenos osobnih podataka u treću zemlju ili međunarodnoj organizaciji, koji je dopušten samo ako je predviđen ovim ugovorom ili ga traži propis Europske unije ili Republike Hrvatske.

Ako propis Europske unije ili propis Republike Hrvatske obvezuje izvršitelja obrade na obradu izvan tih uputa, izvršitelj obrade o tome obavještava voditelja obrade prije obrade, osim ako taj propis obavještavanje izričito zabranjuje.

Izvršitelj obrade odmah obavještava voditelja obrade ako smatra da neka uputa krši GDPR ili drugi propis o zaštiti podataka.

7. Povjerljivost

Pristup podacima voditelja obrade imaju samo osobe kojima je pristup nužan za obavljanje posla. Sve takve osobe obvezane su na čuvanje povjerljivosti ugovorom ili zakonskom obvezom, a obveza traje i nakon prestanka njihova angažmana.

8. Sigurnost obrade po članku 32. GDPR-a

Izvršitelj obrade primjenjuje sljedeće tehničke i organizacijske mjere.

• Sav promet između preglednika i aplikacije ide kriptiranom vezom (TLS).
• Podaci svake tvrtke odvojeni su tako da jedan radni prostor ne može vidjeti podatke drugoga, a razgovore s AI konzultantom vidi samo korisnik koji je pitao.
• Zaporke se pohranjuju u obliku iz kojeg se ne mogu pročitati. Pristupni ključevi za povezane servise pohranjuju se kriptirano.
• Podaci se pohranjuju i obrađuju na poslužiteljima unutar Europske unije.
• Baza podataka ima redovne automatske sigurnosne kopije i dokumentiran postupak vraćanja.
• Prijave i pristup podacima bilježe se u zapisima koji se vode odvojeno od tih podataka.
• Vrijedi pravilo najmanjih ovlasti. Svaka osoba i svaka komponenta sustava dobiva samo one ovlasti koje su nužne za posao koji obavlja.
• Pristup poslužiteljima ograničen je na ovlaštene osobe i zaštićen.
• Razvoj je odvojen od produkcije i ne dodiruje produkcijske podatke. Sustavi redovito primaju sigurnosna ažuriranja.

9. Podizvršitelji obrade

Voditelj obrade daje opće prethodno odobrenje za angažiranje podizvršitelja obrade. Popis podizvršitelja koji su angažirani na dan verzije ovog ugovora nalazi se u Prilogu 1.

Sa svakim podizvršiteljem izvršitelj obrade ugovara obveze zaštite podataka koje nisu blaže od obveza iz ovog ugovora, i odgovara voditelju obrade za rad podizvršitelja kao za svoj.

O namjeri da doda ili zamijeni podizvršitelja izvršitelj obrade obavještava voditelja obrade najmanje 30 dana unaprijed, e-poštom na adresu vlasnika radnog prostora i objavom izmijenjenog Priloga 1 na ovoj stranici. U tom roku voditelj obrade može uložiti obrazloženi prigovor. Ako prigovor ostane neriješen, voditelj obrade može otkazati pretplatu prije nego promjena stupi na snagu, a pristup ostaje aktivan do kraja plaćenog razdoblja.

10. Prijenosi izvan Europskoga gospodarskog prostora

Podaci se obrađuju u Europskoj uniji. Prijenos u treću zemlju provodi se samo prema podizvršiteljima navedenima u Prilogu 1 i samo uz standardne ugovorne klauzule Europske komisije.

Ako za neki prijenos te mjere prestanu biti dostatne, izvršitelj obrade prijenos obustavlja i o tome obavještava voditelja obrade.

11. Pomoć voditelju obrade

Uzimajući u obzir prirodu obrade, izvršitelj obrade odgovarajućim tehničkim i organizacijskim mjerama pomaže voditelju obrade u odgovaranju na zahtjeve ispitanika iz poglavlja III. GDPR-a, dakle na zahtjeve za pristup, ispravak, brisanje, ograničenje obrade, prenosivost i prigovor.

Ako zahtjev ispitanika stigne izravno izvršitelju obrade, izvršitelj obrade ga bez odgode prosljeđuje voditelju obrade i ne postupa po njemu samostalno.

Izvršitelj obrade pomaže voditelju obrade i u ispunjavanju obveza iz članaka 32. do 36. GDPR-a, dakle u sigurnosti obrade, u obavještavanju o povredi, u procjeni učinka na zaštitu podataka i u prethodnom savjetovanju s nadzornim tijelom, u mjeri u kojoj su informacije dostupne izvršitelju obrade.

12. Povreda osobnih podataka

Izvršitelj obrade obavještava voditelja obrade o svakoj povredi osobnih podataka bez nepotrebne odgode nakon što za nju sazna, i to pravodobno da voditelj obrade može ispuniti svoju obvezu prijave nadzornom tijelu.

Obavijest sadrži opis prirode povrede, približan broj pogođenih ispitanika i zapisa, vjerojatne posljedice, mjere koje su poduzete ili se predlažu te kontakt osobe kod izvršitelja obrade od koje se mogu dobiti dodatne informacije.

Izvršitelj obrade vodi zapis o povredama i o poduzetim mjerama i stavlja ga na uvid voditelju obrade na zahtjev.

13. Brisanje ili povrat podataka

Nakon prestanka usluge izvršitelj obrade, po izboru voditelja obrade, vraća podatke u strojno čitljivom obliku ili ih briše, zajedno s postojećim preslikama.

Voditelj obrade svoj izbor priopćuje u roku od 30 dana od prestanka usluge. Nakon isteka tog roka, a najkasnije 90 dana od prestanka usluge, izvršitelj obrade podatke briše.

Dok korisnički račun postoji, podaci ostaju sačuvani i onda kad je pristup zaključan zbog isteka probnog perioda ili neplaćene pretplate.

Razgovori s AI konzultantom ne čekaju prestanak usluge. Svaka poruka razgovora briše se 12 mjeseci nakon nastanka, a korisnik je može obrisati i ranije. Brisanjem korisničkog računa brišu se i svi razgovori tog korisnika, a prestankom pristupa društvu njegovi razgovori o tom društvu.

Popis najvećih kupaca i dobavljača ne vodi povijest. Pri svakoj sinkronizaciji s e-Računima zamjenjuje se novim očitanjem, a briše se zajedno s ostalim podacima društva.

Otvorene stavke kupaca i dobavljača ne vode povijest. Svako novo očitanje, iz veze s e-Računima ili iz učitanog popisa, zamjenjuje prethodno, a brišu se zajedno s ostalim podacima društva.

Iznimka od brisanja su podaci koje je izvršitelj obrade dužan čuvati po propisu, prije svega izdani računi i fiskalni podaci. Njih izvršitelj obrade čuva do isteka zakonskog roka i ne obrađuje ih ni u koju drugu svrhu.

Podaci u sigurnosnim kopijama brišu se u redovnom ciklusu izmjene tih kopija.

14. Revizija i nadzor

Izvršitelj obrade stavlja voditelju obrade na raspolaganje sve informacije nužne za dokazivanje poštovanja obveza iz članka 28. GDPR-a i omogućuje revizije, uključujući inspekcije, koje provodi voditelj obrade ili revizor kojeg voditelj obrade ovlasti.

Revizija se najavljuje najmanje 30 dana unaprijed, provodi se u radno vrijeme i na način koji ne remeti rad usluge. Revizija ne smije zahvatiti podatke drugih korisnika. Trošak revizije snosi voditelj obrade, osim ako revizija utvrdi bitno kršenje ovog ugovora.

15. Odgovornost

Odgovornost ugovornih strana uređena je Uvjetima korištenja usluge Puls i prisilnim propisima. Ovaj ugovor ne proširuje niti sužava ograničenje odgovornosti iz Uvjeta korištenja, osim ondje gdje GDPR određuje drukčije.

16. Mjerodavno pravo

Na ovaj ugovor primjenjuje se pravo Republike Hrvatske i GDPR. Za sporove je nadležan stvarno nadležni sud u Zagrebu.

17. Prihvat, izmjene i verzija

Ovaj ugovor primjenjuje se prihvatom Uvjeta korištenja usluge Puls. Voditelj obrade ga prihvaća pri otvaranju računa, potvrdom koja nosi datum verzije, a mi zapisujemo tko je koju verziju prihvatio i kada. Poseban potpis nije potreban i nema odvojenog postupka potpisivanja.

Nova verzija ovog ugovora na snazi je od dana objave, koji je i datum verzije. Voditelja obrade o njoj obavještavamo e-poštom istog dana i objavom na ovoj stranici, a pri prvoj prijavi od tog dana Puls traži potvrdu nove verzije. Obavijest o promjeni podizvršitelja obrade uređuje odjeljak 9.

Ako je odredba ovog ugovora u suprotnosti s Uvjetima korištenja, u pitanjima obrade osobnih podataka primjenjuje se ovaj ugovor.

Verzija: 6. listopada 2026. U ovoj verziji dopunjen je opis obrade otvorenih stavaka kupaca i dobavljača (odjeljci 3, 4 i 13), izmijenjeni su popisi vrsta podataka i osoba (odjeljci 4 i 5) i ažuriran je Prilog 1. Opis sigurnosnih mjera sada je općenitiji, a mjere su iste (odjeljak 8). Odjeljak 10 o prijenosima je skraćen. Ostali tekst isti je kao u verziji od 5. listopada 2026. Nova verzija prati izmjenu Uvjeta korištenja, jer se oba dokumenta prihvaćaju zajedno.

Prilog 1. Popis podizvršitelja obrade

Popis vrijedi na dan verzije ovog ugovora. Izmjene se najavljuju po članku 9. ovog ugovora.