Ugovor o obradi osobnih podataka

Prilog 1. uz Uvjete korištenja · Posljednje ažuriranje: 27. listopada 2026.

Ovaj Ugovor o obradi osobnih podataka (dalje: „Ugovor o obradi") sklapa se u skladu s čl. 28. Opće uredbe o zaštiti podataka (Uredba (EU) 2016/679, „GDPR") između:

• poslovnog subjekta navedenog u podacima za naplatu organizacije, odnosno Vlasnika organizacije ako ti podaci nisu uneseni, kao voditelja obrade (dalje: „Voditelj"), i
• M5 Network, obrt za usluge, vl. Mišel Hergotić, Dravska 73 A, Strahoninec, 40000 Čakovec, OIB 61046442790, kao izvršitelja obrade (dalje: „Izvršitelj").

Ugovor o obradi sastavni je dio Uvjeta korištenja. Sklapa se otvaranjem organizacije, za svaku organizaciju posebno, a Vlasnik organizacije ga prihvaća u ime Voditelja. Pojmovi koji ovdje nisu definirani imaju značenje iz Uvjeta korištenja i GDPR-a. U slučaju proturječja u pitanjima zaštite osobnih podataka, prednost ima ovaj Ugovor o obradi.

1. Predmet i trajanje

1.1. Izvršitelj za Voditelja obrađuje osobne podatke Klijenata, Gostiju i drugih osoba koje Voditelj unosi ili prikuplja putem Appotija, isključivo radi pružanja usluge prema Uvjetima korištenja. Predmet, narav, svrha, vrste podataka i kategorije ispitanika opisani su u Dodatku A.

1.2. Ugovor o obradi traje dok Izvršitelj obrađuje osobne podatke za Voditelja, odnosno do trajnog brisanja organizacije prema točki 9.

2. Obveze Voditelja

2.1. Voditelj je odgovoran za zakonitost obrade, uključujući:

• postojanje pravne osnove za prikupljanje podataka i slanje poruka Klijentima i Gostima;
• pružanje informacija ispitanicima prema čl. 13. i 14. GDPR-a;
• točnost podataka koje unosi.

2.2. Posebne kategorije podataka. Voditelj se obvezuje da u Appotio neće unositi niti putem njega prikupljati zdravstvene podatke ni druge posebne kategorije osobnih podataka (čl. 9. GDPR-a), kao ni podatke o kaznenim osudama i djelima (čl. 10. GDPR-a), ni u bilješkama, nazivima termina i usluga, odgovorima na prilagođena pitanja, porukama ni podršci. Iznimka je oznaka bolovanja kao vrste odsutnosti člana tima, za koju Voditelj kao poslodavac ima osnovu iz čl. 9. st. 2. t. (b) GDPR-a; razlog, dijagnozu ni druge zdravstvene podatke ne unosi, ni u bilješku.

Voditelj je svjestan da i sama činjenica da određena osoba ima termin kod zdravstvenog djelatnika može otkriti podatke o zdravlju. Ako Voditelj obavlja zdravstvenu djelatnost, sam odgovara za to da za takvu obradu ima osnovu iz čl. 9. st. 2. GDPR-a i da vodi samo podatke nužne za organizaciju termina, a za nazive usluga koristi opće nazive koji sami ne otkrivaju zdravstveno stanje.

2.3. Voditelj je odgovoran za upravljanje pristupom svog tima organizaciji.

3. Obveze Izvršitelja

3.1. Upute. Izvršitelj obrađuje osobne podatke samo prema dokumentiranim uputama Voditelja, uključujući one u pogledu prijenosa u treće zemlje, osim ako je na obradu obvezan pravom EU ili Republike Hrvatske. U tom slučaju obavijestit će Voditelja prije obrade, osim ako to zakon zabranjuje.

Upute Voditelja su:

• ovaj Ugovor o obradi i Uvjeti korištenja;
• postavke i radnje koje Voditelj i njegov tim poduzimaju u Appotiju, uključujući dopuštanje pristupa podršci (točka 3.3);
• dodatne pisane upute koje su s njima u skladu.

Izvršitelj će bez odgađanja obavijestiti Voditelja ako smatra da je neka uputa protivna GDPR-u ili drugim propisima o zaštiti podataka.

3.2. Povjerljivost. Od osoba na strani Izvršitelja pristup podacima ima samo vlasnik obrta. Za njega vrijedi obveza povjerljivosti. Ako Izvršitelj u budućnosti ovlasti druge osobe za pristup podacima, obvezat će ih na povjerljivost.

3.3. Ograničen pristup. Izvršitelj ne pregledava sadržaj organizacije (termine, klijente, bilješke, poruke). U okviru administracije vidi samo zbirne brojke. Podatke iz organizacije obrađuje samo kada je to nužno:

• za otklanjanje kvara ili sigurnosnog incidenta;
• za ispunjenje zakonske obveze;
• na izričit zahtjev Voditelja, npr. kada Voditelj podatke sam napiše podršci;
• dok Voditelj u aplikaciji dopušta pristup podršci, u opsegu iz sljedećeg stavka.

Pristup podršci. Voditelj može u aplikaciji (Postavke → Napredno → Pristup podršci) dopustiti Izvršitelju pristup na jedan sat, jedan dan ili tri dana i u svakom ga trenutku opozvati. Pristup uvijek obuhvaća postavke organizacije, pri čemu se osobni podaci u njima (kontakt podaci, podaci za račun, OIB) prikazuju djelomično skriveni. Samo ako ih Voditelj pri dopuštanju posebno označi, pristup obuhvaća i:

• usluge i radno vrijeme: pregled, dodavanje, izmjenu i brisanje usluga i rasporeda te dodjelu rasporeda članovima tima;
• tim: pregled članova i pozivnica te dodavanje novih članova ili administratora. Osobi koja još nema račun Izvršitelj otvara račun s imenom i e-adresom koje mu Voditelj da i šalje joj poveznicu kojom sama postavlja zaporku; zaporku ne zna nitko drugi. Osoba koja već ima račun dobiva pozivnicu koju sama prihvaća. Ulogu vlasnika Izvršitelj ne može dodijeliti;
• logotip: postavljanje i uklanjanje.

Termini, klijenti i odsutnosti članova tima nisu dostupni ni u jednom slučaju. Izvršitelj pritom postupa prema istim pravilima kao Voditelj u aplikaciji, a organizaciji kojoj je istekao pristup ili je suspendirana ništa ne mijenja. Pregledi (najviše jedan zapis u 15 minuta) i svaka promjena, s vrijednošću prije i poslije, bilježe se u zapisniku koji Voditelj vidi uz dopuštenje u aplikaciji. Dopuštanje pristupa dokumentirana je uputa Voditelja u smislu točke 3.1.

3.4. Sigurnost. Izvršitelj provodi tehničke i organizacijske mjere iz čl. 32. GDPR-a, opisane u Dodatku B. Mjere može mijenjati, pod uvjetom da razina zaštite ne bude niža.

3.5. Pomoć Voditelju. Uzimajući u obzir prirodu obrade, Izvršitelj pomaže Voditelju:

• odgovarati na zahtjeve ispitanika (čl. 12.–23. GDPR-a), prvenstveno funkcijama Appotija za pregled, ispravak, izvoz i brisanje podataka. Ako se ispitanik obrati izravno Izvršitelju, Izvršitelj će zahtjev bez odgađanja proslijediti Voditelju i neće na njega samostalno odgovarati, osim uputom na Voditelja;
• ispunjavati obveze iz čl. 32.–36. GDPR-a (sigurnost, povrede podataka, procjene učinka i prethodno savjetovanje), na temelju informacija dostupnih Izvršitelju.

3.6. Povreda osobnih podataka. Izvršitelj će Voditelja obavijestiti o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja, e-poštom Vlasniku organizacije i Administratorima. Obavijest će sadržavati, u mjeri u kojoj je to poznato:

• prirodu povrede, kategorije i približan broj ispitanika i zapisa;
• vjerojatne posljedice;
• poduzete i predložene mjere.

Informacije koje nisu odmah dostupne dostavit će naknadno.

3.7. Evidencija. Izvršitelj vodi evidenciju aktivnosti obrade koje obavlja za voditelje obrade, u skladu s čl. 30. st. 2. GDPR-a.

4. Podizvršitelji

4.1. Voditelj daje opće odobrenje Izvršitelju da angažira podizvršitelje. Popis podizvršitelja u trenutku sklapanja nalazi se u Dodatku C.

4.2. O namjeri dodavanja ili zamjene podizvršitelja Izvršitelj će obavijestiti Voditelja e-poštom i u aplikaciji najmanje 30 dana unaprijed. Iznimka je hitna zamjena zbog sigurnosti ili kontinuiteta usluge, o kojoj će obavijestiti odmah.

4.3. Voditelj može uložiti obrazloženi prigovor u tom roku. Ako se prigovor ne riješi sporazumno, Voditelj može obrisati organizaciju prije nego što promjena stupi na snagu, uz razmjerni povrat iz točke 22.4 Uvjeta korištenja.

4.4. Izvršitelj s podizvršiteljem sklapa ugovor koji mu nameće obveze zaštite podataka u bitnome jednake ovima. Prema Voditelju Izvršitelj odgovara za ispunjenje obveza podizvršitelja.

5. Prijenos u treće zemlje

Podaci se pretežno obrađuju u EU. Prijenos u treće zemlje provodi se samo uz zaštitne mjere iz poglavlja V. GDPR-a:

• odluku o primjerenosti, uključujući Okvir za zaštitu podataka EU–SAD (Provedbena odluka (EU) 2023/1795), i/ili
• standardne ugovorne klauzule (Provedbena odluka (EU) 2021/914).

Pojedinosti su u Dodatku C.

6. Informacije i revizije

6.1. Na zahtjev Voditelja Izvršitelj stavlja na raspolaganje sve informacije potrebne za dokazivanje ispunjenja obveza iz čl. 28. GDPR-a. To su prvenstveno ovaj Ugovor o obradi s dodacima, opis sigurnosnih mjera i popis podizvršitelja.

6.2. Ako te informacije nisu dovoljne, Voditelj ili revizor kojeg on ovlasti, a koji je obvezan na povjerljivost, može provesti reviziju. Reviziju treba najaviti najmanje 30 dana unaprijed, a provodi se najviše jednom godišnje, osim nakon povrede podataka ili na zahtjev nadzornog tijela. Revizija ne smije ugroziti sigurnost ni podatke drugih korisnika. Svaka strana snosi svoje troškove revizije.

7. Odgovornost

Odgovornost strana uređuje se Uvjetima korištenja, uključujući ograničenja iz točke 19. Ta ograničenja ne utječu na prava ispitanika iz čl. 82. GDPR-a.

8. Izmjene

Ovaj Ugovor o obradi mijenja se na isti način kao Uvjeti korištenja (točka 22).

9. Brisanje i vraćanje podataka

9.1. Nakon prestanka pružanja usluge Izvršitelj briše sve osobne podatke Voditelja, osim ako pravo EU ili Republike Hrvatske zahtijeva njihovo čuvanje. To se provodi ovako:

• obrisana organizacija može se vratiti 30 dana, a nakon toga se podaci trajno brišu; organizacija s neiskorištenim saldom trajno se briše tek nakon povrata salda (točka 8.4 Uvjeta korištenja);
• iz sigurnosnih kopija podaci nestaju najkasnije 30 dana nakon toga, kada se kopije zamijene novima.

9.2. Prije brisanja Voditelj može preuzeti svoje podatke funkcijama izvoza u Appotiju ili ih zatražiti na [email protected]. U tom slučaju Izvršitelj će ih dostaviti u uobičajenom strojno čitljivom obliku.

9.3. Ako organizacija dulje vrijeme nema pristup, primjenjuje se točka 6.5 Uvjeta korištenja: brisanje nakon 24 mjeseca bez pristupa, uz prethodno upozorenje.

Dodatak A – Opis obrade

Predmet i narav obrade: pohrana, organizacija, prikaz, pretraživanje i brisanje podataka; slanje SMS poruka i e-pošte po radnjama i postavkama Voditelja; zaprimanje online rezervacija i rezervacija putem Booking API-ja; izrada izvoza.

Svrha: vođenje termina, klijenata, usluga i tima organizacije; online rezervacije; podsjetnici i potvrde; objava cjenika i javne stranice organizacije.

Kategorije ispitanika:

• klijenti organizacije;
• gosti online rezervacija;
• članovi tima organizacije, kao izvođači termina i u pogledu radnog vremena i odsutnosti;
• druge osobe čije podatke Voditelj unese.

Vrste osobnih podataka:

• ime i prezime, broj mobitela, e-adresa;
• termini (datum, vrijeme, usluga, izvođač), dolasci i nedolasci;
• bilješke (bez posebnih kategorija podataka, vidi točku 2.2);
• odgovori na prilagođena pitanja za grupne termine;
• za članove tima: radno vrijeme, stanke i odsutnosti (vrsta: godišnji odmor, bolovanje, ostalo; datumi i bilješka);
• povijest poslanih poruka (koje su SMS i e-poruke poslane, kada i kome);
• tehnički podaci o rezervaciji (vrijeme potvrde, način potvrde).

Posebne kategorije podataka: unos je zabranjen (točka 2.2). Kod Voditelja koji obavlja zdravstvenu djelatnost sama činjenica termina može posredno otkriti podatak o zdravlju; za to Voditelj mora imati osnovu iz čl. 9. st. 2. GDPR-a.

Trajanje i automatsko brisanje:

• podaci se čuvaju dok ih Voditelj ne obriše ili dok se organizacija ne obriše;
• nepotvrđene online rezervacije i klijentski zapisi koje su stvorile brišu se nakon 30 minuta;
• evidencija poslanih e-poruka čuva se 30 dana;
• izvozi su dostupni 7 dana;
• sigurnosne kopije čuvaju se najdulje 30 dana.

Dodatak B – Tehničke i organizacijske mjere

Šifriranje

• Sav promet šifriran je protokolom TLS (HTTPS).
• Datoteke i sigurnosne kopije u AWS S3 šifrirane su u pohrani (AES-256).
• Zaporke su pohranjene isključivo kao jednosmjerni sažeci.
• API ključevi pohranjeni su samo kao otisci, a prikazuju se jednom.

Kontrola pristupa

• Prijava zaporkom uz potvrđenu e-adresu i broj mobitela; dvofaktorska autentifikacija i pristupni ključevi (passkeys).
• Sesije istječu nakon 15 dana.
• Uloge i prava unutar organizacije; podaci su strogo odvojeni po organizacijama.
• Pristup poslužiteljima i bazi podataka ima samo Izvršitelj, putem SSH ključeva, te Laravel Forge radi održavanja (Dodatak C).
• Administrativno sučelje Izvršitelja prikazuje samo zbirne brojke o organizacijama, ne termine ni klijente.

Zaštita od zlouporabe

• Ograničenja broja zahtjeva po ključu, korisniku i IP adresi.
• Cloudflare zaštita od napada i Turnstile na javnim obrascima.
• Dnevna ograničenja poruka po organizaciji i po primatelju.
• Zabrana internetskih adresa u nazivima.

Praćenje i zapisi

• Sigurnosni zapisnik prijava i osjetljivih radnji za svaki račun.
• Praćenje pogrešaka (Sentry, EU, čuvanje najdulje 90 dana), konfigurirano tako da ne šalje sadržaj termina ni podatke o klijentima: zahtjevi odlaze bez sadržaja, kolačića i parametara upita, a poruke o pogreškama bez vrijednosti zapisa na koji se odnose.

Dostupnost i oporavak

• Noćne sigurnosne kopije baze podataka, prije prijenosa šifrirane vlastitim ključem (libsodium, XChaCha20-Poly1305) i provjerene nakon prijenosa, u zasebnoj privatnoj pohrani (AWS S3, Frankfurt); čuvaju se najdulje 28 dana (osim posljednje ispravne kopije, dok se ne izradi nova), a ispravnost oporavka provjerava se tjedno.
• Poslužitelji su u EU (Contabo, Njemačka).

Minimizacija i brisanje

• Automatsko brisanje nepotvrđenih rezervacija, neaktiviranih računa, isteklih sesija, starih izvoza i evidencije e-pošte.
• Postupak brisanja organizacije s rokom od 30 dana.

Organizacijske mjere

• Ažuriranje sustava i zavisnosti.
• Načelo najmanjih ovlasti.
• Postupak za povrede podataka.
• Ugovori o obradi sa svim podizvršiteljima.

Dodatak C – Podizvršitelji