Ugovor o obradi osobnih podataka

Ovaj ugovor uređuje obradu osobnih podataka koju Dodana vrijednost d.o.o. obavlja za korisnika usluge Puls. Sklopljen je na temelju članka 28. Uredbe (EU) 2016/679, Opće uredbe o zaštiti podataka, u nastavku GDPR. Ako Puls koristi Vaše društvo, voditelj obrade ste Vi, a mi smo izvršitelj obrade koji podatke obrađuje po Vašim uputama.

1. Ugovorne strane

Voditelj obrade je korisnik usluge Puls, pravna osoba koja je otvorila radni prostor u aplikaciji i koja odlučuje o svrsi i sredstvima obrade podataka koje u Puls unosi.

Izvršitelj obrade je Dodana vrijednost d.o.o., Ribnjak 56, 10000 Zagreb, Hrvatska, OIB 28795267248, upisano u sudski registar Trgovačkog suda u Zagrebu. Adresa za pitanja o zaštiti podataka je info@puls-value.com.

Izvršitelj obrade osobne podatke obrađuje isključivo za račun voditelja obrade i nema pravo odlučivati o svrhama obrade.

2. Predmet i trajanje obrade

Predmet ovog ugovora je obrada osobnih podataka nužna za pružanje usluge Puls, kako je usluga opisana u Uvjetima korištenja.

Obrada traje dok traje pretplata na Puls. To uključuje probni period i razdoblje u kojem je pristup radnom prostoru zaključan a korisnički račun još postoji. Nakon prestanka usluge postupa se prema članku 13. ovog ugovora.

3. Priroda i svrha obrade

Svrha obrade je pružanje usluge Puls. To obuhvaća smještaj i obradu financijskih brojki, korisnika i dokumenata voditelja obrade radi prikaza plana i ostvarenja, pokazatelja, strukture rashoda, mjesečnog komentara i dokumenta poslovnog plana, te radi vođenja korisničkih računa, naplate pretplate i tehničke podrške.

Radnje obrade su prikupljanje, zapisivanje, pohrana, uvid, izračun, prikaz, izvoz na zahtjev korisnika, izrada sigurnosnih kopija i brisanje.

Izvršitelj obrade ne koristi podatke voditelja obrade za vlastite svrhe, ne prodaje ih i ne koristi ih za profiliranje.

4. Vrste osobnih podataka

• Ime i prezime te poslovna e-adresa korisnika radnog prostora.
• Podaci o prijavi, uključujući zaporku pohranjenu u obliku iz kojeg se ne može pročitati, vrijeme prijave i zapise o pristupu.
• Podaci o društvu i o naplati, uključujući naziv, adresu, OIB i podatke o izdanim računima.
• Osobni podaci koji se mogu pojaviti u opisima stavaka u knjigama, u nazivima poslovnih partnera i u podatku o broju zaposlenih.
• Sadržaj dokumenata i datoteka koje voditelj obrade učita u Puls ili u Pulsu sastavi.
• Pitanja koja korisnik sam upiše u AI konzultanta.

5. Kategorije ispitanika

• Korisnici radnog prostora voditelja obrade.
• Zaposlenici voditelja obrade.
• Kupci, dobavljači i drugi poslovni partneri navedeni u knjigama.
• Osobe navedene u dokumentima koje voditelj obrade učita u Puls.

6. Dokumentirane upute

Izvršitelj obrade obrađuje osobne podatke samo na temelju dokumentiranih uputa voditelja obrade. Uputama se smatraju ovaj ugovor, Uvjeti korištenja i svaka radnja koju korisnik sam pokrene u aplikaciji, primjerice uvoz podataka, izrada plana, traženje komentara ili izvoz. Upute obuhvaćaju i prijenos osobnih podataka u treću zemlju ili međunarodnoj organizaciji, koji je dopušten samo ako je predviđen ovim ugovorom ili ga traži propis Europske unije ili Republike Hrvatske.

Ako propis Europske unije ili propis Republike Hrvatske obvezuje izvršitelja obrade na obradu izvan tih uputa, izvršitelj obrade o tome obavještava voditelja obrade prije obrade, osim ako taj propis obavještavanje izričito zabranjuje.

Izvršitelj obrade odmah obavještava voditelja obrade ako smatra da neka uputa krši GDPR ili drugi propis o zaštiti podataka.

7. Povjerljivost

Pristup podacima voditelja obrade imaju samo osobe kojima je pristup nužan za obavljanje posla. Sve takve osobe obvezane su na čuvanje povjerljivosti ugovorom ili zakonskom obvezom, a obveza traje i nakon prestanka njihova angažmana.

8. Sigurnost obrade po članku 32. GDPR-a

Izvršitelj obrade primjenjuje sljedeće tehničke i organizacijske mjere.

• Sav promet između preglednika i aplikacije ide kriptiranom vezom (TLS).
• Podaci svake tvrtke odvojeni su na razini retka u bazi podataka. Pravila izolacije provjeravaju pripadnost svakog retka prije čitanja i prije upisa, pa jedan radni prostor ne može vidjeti podatke drugoga.
• Zaporke se pohranjuju u obliku iz kojeg se ne mogu pročitati. Pristupni ključevi za povezane servise, primjerice za e-Račune, pohranjuju se kriptirano.
• Podaci se pohranjuju i obrađuju na poslužiteljima unutar Europske unije. Baza podataka je u Frankfurtu, a poslužitelj na kojem radi aplikacija u Nürnbergu.
• Baza podataka ima dnevne automatske sigurnosne kopije sa sedam dana povijesti, koje izrađuje pružatelj usluge baze podataka naveden u Prilogu 1. Postupak vraćanja iz kopije je dokumentiran i obuhvaća odabir dana, vraćanje baze i ponovno pokretanje aplikacije.
• Prijave i pristup podacima bilježe se u zapisima. Te zapise vode pružatelj usluge baze podataka i poslužitelj na kojem radi aplikacija, dakle sustavi odvojeni od podataka na koje se zapisi odnose.
• Vrijedi pravilo najmanjih ovlasti. Svaka osoba i svaka komponenta sustava dobiva samo one ovlasti koje su nužne za posao koji obavlja.
• Pristup poslužitelju moguć je samo kriptografskim ključem, prijava zaporkom je isključena, a vatrozid propušta samo promet nužan za rad usluge i za njezino održavanje.
• Razvojno i produkcijsko okruženje su razdvojeni. Razvoj radi na lokalnom računalu s pokaznim podacima i ne dodiruje produkcijske podatke.
• Operativni sustav poslužitelja redovito prima sigurnosna ažuriranja svoje distribucije.

9. Podizvršitelji obrade

Voditelj obrade daje opće prethodno odobrenje za angažiranje podizvršitelja obrade. Popis podizvršitelja koji su angažirani na dan verzije ovog ugovora nalazi se u Prilogu 1.

Sa svakim podizvršiteljem izvršitelj obrade ugovara obveze zaštite podataka koje nisu blaže od obveza iz ovog ugovora, i odgovara voditelju obrade za rad podizvršitelja kao za svoj.

O namjeri da doda ili zamijeni podizvršitelja izvršitelj obrade obavještava voditelja obrade najmanje 30 dana unaprijed, e-poštom na adresu vlasnika radnog prostora i objavom izmijenjenog Priloga 1 na ovoj stranici. U tom roku voditelj obrade može uložiti obrazloženi prigovor. Ako prigovor ostane neriješen, voditelj obrade može otkazati pretplatu prije nego promjena stupi na snagu, a pristup ostaje aktivan do kraja plaćenog razdoblja.

10. Prijenosi izvan Europskoga gospodarskog prostora

Podaci se obrađuju u Europskoj uniji. Prijenos u treću zemlju provodi se samo prema podizvršiteljima navedenima u Prilogu 1 i samo uz standardne ugovorne klauzule Europske komisije, uz prethodnu procjenu učinka prijenosa.

Ako za neki prijenos te mjere prestanu biti dostatne, izvršitelj obrade prijenos obustavlja i o tome obavještava voditelja obrade.

11. Pomoć voditelju obrade

Uzimajući u obzir prirodu obrade, izvršitelj obrade odgovarajućim tehničkim i organizacijskim mjerama pomaže voditelju obrade u odgovaranju na zahtjeve ispitanika iz poglavlja III. GDPR-a, dakle na zahtjeve za pristup, ispravak, brisanje, ograničenje obrade, prenosivost i prigovor.

Ako zahtjev ispitanika stigne izravno izvršitelju obrade, izvršitelj obrade ga bez odgode prosljeđuje voditelju obrade i ne postupa po njemu samostalno.

Izvršitelj obrade pomaže voditelju obrade i u ispunjavanju obveza iz članaka 32. do 36. GDPR-a, dakle u sigurnosti obrade, u obavještavanju o povredi, u procjeni učinka na zaštitu podataka i u prethodnom savjetovanju s nadzornim tijelom, u mjeri u kojoj su informacije dostupne izvršitelju obrade.

12. Povreda osobnih podataka

Izvršitelj obrade obavještava voditelja obrade o svakoj povredi osobnih podataka bez nepotrebne odgode nakon što za nju sazna, i to pravodobno da voditelj obrade može ispuniti svoju obvezu prijave nadzornom tijelu.

Obavijest sadrži opis prirode povrede, približan broj pogođenih ispitanika i zapisa, vjerojatne posljedice, mjere koje su poduzete ili se predlažu te kontakt osobe kod izvršitelja obrade od koje se mogu dobiti dodatne informacije.

Izvršitelj obrade vodi zapis o povredama i o poduzetim mjerama i stavlja ga na uvid voditelju obrade na zahtjev.

13. Brisanje ili povrat podataka

Nakon prestanka usluge izvršitelj obrade, po izboru voditelja obrade, vraća podatke u strojno čitljivom obliku ili ih briše, zajedno s postojećim preslikama.

Voditelj obrade svoj izbor priopćuje u roku od 30 dana od prestanka usluge. Nakon isteka tog roka, a najkasnije 90 dana od prestanka usluge, izvršitelj obrade podatke briše.

Dok korisnički račun postoji, podaci ostaju sačuvani i onda kad je pristup zaključan zbog isteka probnog perioda ili neplaćene pretplate.

Iznimka od brisanja su podaci koje je izvršitelj obrade dužan čuvati po propisu, prije svega izdani računi i fiskalni podaci. Njih izvršitelj obrade čuva do isteka zakonskog roka i ne obrađuje ih ni u koju drugu svrhu.

Podaci u sigurnosnim kopijama brišu se u redovnom ciklusu izmjene tih kopija.

14. Revizija i nadzor

Izvršitelj obrade stavlja voditelju obrade na raspolaganje sve informacije nužne za dokazivanje poštovanja obveza iz članka 28. GDPR-a i omogućuje revizije, uključujući inspekcije, koje provodi voditelj obrade ili revizor kojeg voditelj obrade ovlasti.

Revizija se najavljuje najmanje 30 dana unaprijed, provodi se u radno vrijeme i na način koji ne remeti rad usluge. Revizija ne smije zahvatiti podatke drugih korisnika. Trošak revizije snosi voditelj obrade, osim ako revizija utvrdi bitno kršenje ovog ugovora.

15. Odgovornost

Odgovornost ugovornih strana uređena je Uvjetima korištenja usluge Puls i prisilnim propisima. Ovaj ugovor ne proširuje niti sužava ograničenje odgovornosti iz Uvjeta korištenja, osim ondje gdje GDPR određuje drukčije.

16. Mjerodavno pravo

Na ovaj ugovor primjenjuje se pravo Republike Hrvatske i GDPR. Za sporove je nadležan stvarno nadležni sud u Zagrebu.

17. Prihvat, izmjene i verzija

Ovaj ugovor primjenjuje se prihvatom Uvjeta korištenja usluge Puls. Poseban potpis nije potreban i nema odvojenog postupka potpisivanja.

O bitnim izmjenama ovog ugovora voditelja obrade obavještavamo unaprijed, e-poštom i objavom na ovoj stranici, uz naznačen datum verzije.

Ako je odredba ovog ugovora u suprotnosti s Uvjetima korištenja, u pitanjima obrade osobnih podataka primjenjuje se ovaj ugovor.

Verzija: 3. rujna 2026.

Prilog 1. Popis podizvršitelja obrade

Popis vrijedi na dan 3. rujna 2026. Izmjene se najavljuju po članku 9. ovog ugovora.