synthei.onNatrag

Ugovor o obradi podataka (DPA)

Verzija 1.2 Beta - na snazi od 01. rujna 2026. godine

1. Status dokumenta i identitet stranaka

Ovaj Ugovor o obradi podataka (u daljnjem tekstu: DPA) sastavni je dio Uvjeta korištenja softvera synthei.on i primjenjuje se na svakog korisnika koji putem softvera obrađuje osobne podatke svojih klijenata i drugih osoba. DPA se sklapa u skladu s člankom 28. Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka, dalje: GDPR).

Voditelj obrade jest računovodstveni ured, odnosno korisnik koji otvara i vodi račun u softveru te određuje svrhe i sredstva obrade osobnih podataka koje u toj ulozi unosi i obrađuje kroz softver (u daljnjem tekstu: Podaci Voditelja).

Izvršitelj obrade jest Luka Bašić, fizička osoba, Republika Hrvatska, kontakt: lukasolicc@gmail.com. Naziv synthei.on naziv je softvera i usluge te nije zaseban pravni subjekt.

Pojmovi koji nisu posebno definirani u ovom DPA-u imaju značenje koje im daju GDPR i Uvjeti korištenja. Izrazi „Voditelj obrade” i „Izvršitelj obrade” u nastavku se koriste dosljedno u navedenom značenju.

2. Predmet, trajanje, priroda i svrha obrade

Predmet je ovog DPA-a obrada Podataka Voditelja koju Izvršitelj obrade provodi u ime i za račun Voditelja obrade u okviru pružanja softvera synthei.on. Obrada traje dok traje pružanje usluge te tijekom naknadnog razdoblja izvoza i brisanja podataka opisanog u odjeljku 13.

Priroda obrade jest digitalna i pretežno automatizirana te obuhvaća sljedeće radnje:

  • unos i prikupljanje podataka po uputi Voditelja obrade
  • strukturiranje i organiziranje podataka unutar modula softvera
  • pohranu, dohvat i prikaz podataka
  • prijenos i izvoz podataka na zahtjev Voditelja obrade
  • brisanje podataka
  • sigurnosnu obradu te tehničku podršku kada je potrebna radi otklanjanja smetnji.

Svrha je obrade isključivo pružanje ugovorenih funkcionalnosti softvera i izvršavanje dokumentiranih uputa Voditelja obrade. Izvršitelj obrade ne određuje samostalno svrhe obrade Podataka Voditelja niti ih koristi za vlastite svrhe.

3. Kategorije ispitanika i vrste podataka

Kategorije ispitanika obuhvaćaju osobito:

  • klijente računovodstvenog ureda
  • predstavnike i kontaktne osobe tih klijenata
  • zaposlenike, suradnike i poslovne partnere Voditelja obrade
  • korisnike portala za klijente
  • druge osobe čiji se podaci nalaze u dokumentima, komunikaciji ili operativnom sadržaju koji Voditelj obrade unosi u softver.

Vrste osobnih podataka obuhvaćaju osobito:

  • identifikacijske i kontaktne podatke
  • poslovne, računovodstvene i financijske podatke
  • sadržaj dokumentacije koju korisnici prilažu
  • rokove, obveze i statuse zadataka
  • sadržaj komunikacije unutar softvera
  • podatke o korisnicima portala i njihovim pristupima
  • operativne i revizijske metapodatke nužne za rad i sigurnost sustava.

Posebne kategorije osobnih podataka iz članka 9. GDPR-a te podaci iz članka 10. GDPR-a nisu potrebni za osnovnu administraciju softverasynthei.on. Ako ih Voditelj obrade ipak unese, odgovoran je za zakonitost takve obrade i za primjenu dodatnih zaštitnih mjera, a Izvršitelj obrade obrađuje ih isključivo prema dokumentiranim uputama.

4. Prava i obveze Voditelja obrade

Voditelj obrade obvezuje se osobito:

  • osigurati zakonitost obrade i zakonitost izvora podataka koje unosi u softver
  • utvrditi i dokumentirati odgovarajuće pravne osnove obrade
  • ispuniti obveze transparentnosti i informiranja prema ispitanicima
  • brinuti se o točnosti i ažurnosti podataka koje unosi
  • davati upute u pisanom ili elektroničkom obliku, u skladu s odjeljkom 5.
  • procijeniti unosi li posebne kategorije podataka i osigurati dodatne zaštitne mjere
  • koristiti funkcionalnosti softvera na način usklađen s GDPR-om i drugim mjerodavnim propisima.

Voditelj obrade ima osobito pravo:

  • dobiti informacije potrebne za dokazivanje usklađenosti obrade
  • zatražiti razumnu pomoć Izvršitelja obrade u skladu s odjeljcima 10. i 11.
  • u svakom trenutku izvesti, povratiti ili zatražiti brisanje Podataka Voditelja
  • prigovoriti angažiranju pojedinog podizvršitelja iz opravdanih razloga zaštite podataka
  • provesti reviziju u skladu s odjeljkom 14.

5. Dokumentirane upute

Izvršitelj obrade obrađuje Podatke Voditelja isključivo na temelju dokumentiranih uputa Voditelja obrade. Dokumentiranim uputama smatraju se Uvjeti korištenja i ovaj DPA, konfiguracija računa i postavki, radnje koje Voditelj obrade i njegovi ovlašteni korisnici pokreću kroz softver te druge upute dane u pisanom ili elektroničkom obliku koje Izvršitelj obrade prihvati. Upute obuhvaćaju i upute koje se odnose na prijenose podataka u treće zemlje.

Ako pravo Europske unije ili pravo Republike Hrvatske kojemu Izvršitelj obrade podliježe nalaže obradu izvan okvira uputa, Izvršitelj obrade obavijestit će Voditelja obrade o tom pravnom zahtjevu prije obrade, osim ako je takva obavijest zabranjena zbog važnog javnog interesa.

Ako Izvršitelj obrade smatra da pojedina uputa krši GDPR ili druge propise o zaštiti podataka, o tome će bez nepotrebnog odgađanja obavijestiti Voditelja obrade i, u razumnom opsegu, obustaviti spornu radnju dok se uputa ne razjasni.

6. Povjerljivost

Izvršitelj obrade osigurava da su osobe koje stvarno dobiju pristup Podacima Voditelja obvezane na povjerljivost ugovorom ili odgovarajućom zakonskom obvezom. Pristup se odobrava prema načelu nužnog pristupa, samo u opsegu potrebnom za održavanje, tehničku podršku i pružanje usluge.

7. Sigurnost obrade (članak 32. GDPR-a)

Izvršitelj obrade provodi tehničke i organizacijske mjere primjerene riziku obrade, i to u sljedećem stvarno provedenom opsegu:

  • šifriranje podataka u prijenosu (TLS) kada je primjenjivo
  • zaštitu podataka u mirovanju na infrastrukturnoj razini pružatelja
  • izolaciju podataka po pojedinom uredu na razini baze (sigurnost na razini retka)
  • kontrole pristupa temeljene na ulogama i ovlastima
  • privatnu pohranu datoteka uz autorizirane tokove pristupa
  • ograničavanje učestalosti zahtjeva i zaštitu pokušaja prijave
  • sigurnosne i revizijske zapise u stvarno implementiranom opsegu
  • interne postupke postupanja s incidentima i postupke čišćenja podataka.

Nijedna mjera ne jamči apsolutnu sigurnost. Ovaj DPA sam po sebi ne predstavlja posebno ugovorno jamstvo određenog vremena oporavka (RTO), točke oporavka (RPO), funkcionalnosti vraćanja na određenu točku u vremenu ni učestalosti testiranja sigurnosnih kopija, osim ako je takvo jamstvo izričito ugovoreno u pisanom obliku.

8. Podizvršitelji

Voditelj obrade daje opće pisano odobrenje za angažiranje podizvršitelja nužnih za pružanje usluge:

  • Supabase — autentifikacija, baza podataka, pohrana datoteka i pripadajuća infrastruktura, uz ugovorne zaštitne mehanizme primjenjive na taj odnos
  • Resend — slanje transakcijske e-pošte, uz odgovarajući ugovor o obradi i standardne ugovorne klauzule ondje gdje su primjenjive.

Pružatelj razvojne, izvršne i poslužiteljske infrastrukture (Lovable, odnosno Lovable Cloud) može biti angažiran samo u opsegu u kojem je za obradu Podataka Voditelja osigurana odgovarajuća ugovorna pokrivenost u obliku ugovora o obradi. Ako takva pokrivenost nije osigurana, Podaci Voditelja neće se namjerno povjeriti tom pružatelju u ulozi podizvršitelja.

Stripe se ne angažira kao podizvršitelj za Podatke Voditelja koji su predmet ovog DPA-a. Podaci povezani s pretplatom i plaćanjem obrađuju se izvan tog skupa Podataka Voditelja, u okviru zasebnog billing odnosa Pružatelja i poslovnog korisnika te u ulogama zaštite podataka koje ovise o konkretnoj Stripe obradi i primjenjivom Stripe ugovornom okviru.

O uvođenju novog ili zamjeni postojećeg podizvršitelja Izvršitelj obrade obavijestit će Voditelja obrade najmanje 14 dana unaprijed kada je to razumno moguće i kada mu takav rok omogućuje pružatelj usluge. U hitnim sigurnosnim ili regulatornim okolnostima obavijest se dostavlja bez nepotrebnog odgađanja. Voditelj obrade može prigovoriti iz opravdanih razloga zaštite podataka; ako se prigovor ne može razumno riješiti, Voditelj obrade može prestati koristiti pogođeni dio usluge u skladu s Uvjetima korištenja.

Izvršitelj obrade na svakog podizvršitelja ugovorno prenosi u biti jednake obveze zaštite podataka koje su primjenjive na obradu koju taj podizvršitelj provodi te ostaje odgovoran Voditelju obrade za ispunjenje njegovih obveza u opsegu koji GDPR zahtijeva.

9. Prijenosi izvan Europskoga gospodarskog prostora

Prijenos Podataka Voditelja izvan Europskoga gospodarskog prostora provodi se isključivo uz primjenu odgovarajućeg mehanizma iz poglavlja V. GDPR-a, primjerice odluke o primjerenosti ili standardnih ugovornih klauzula, ovisno o konkretnom pružatelju i njegovoj lokaciji obrade.

10. Zahtjevi ispitanika

Zahtjev ispitanika koji se odnosi na Podatke Voditelja Izvršitelj obrade prosljeđuje Voditelju obrade bez nepotrebnog odgađanja te na njega ne odgovara samostalno, osim po uputi Voditelja obrade ili kada je na to obvezan propisom. Izvršitelj obrade pomaže Voditelju obrade odgovarajućim tehničkim i organizacijskim mjerama, u mjeri u kojoj je to moguće, pri ostvarivanju prava na pristup, ispravak, izvoz, brisanje, ograničenje obrade i prigovor.

11. Pomoć prema člancima 32. do 36. GDPR-a

Uzimajući u obzir prirodu obrade i informacije koje su mu dostupne, Izvršitelj obrade pomaže Voditelju obrade u ispunjavanju obveza koje se odnose na sigurnost obrade, postupanje s povredama osobnih podataka, procjenu učinka na zaštitu podataka iz članka 35. GDPR-a te prethodno savjetovanje s nadzornim tijelom iz članka 36. GDPR-a.

12. Povreda osobnih podataka

Izvršitelj obrade obavijestit će Voditelja obrade o povredi osobnih podataka bez nepotrebnog odgađanja nakon saznanja o povredi. Obavijest sadržava raspoložive informacije o prirodi povrede, kategorijama i približnom broju ispitanika i zapisa kada je to moguće utvrditi, o vjerojatnim posljedicama te o poduzetim i predloženim mjerama. Ako sve informacije nisu dostupne odjednom, dostavljaju se u fazama, bez nepotrebnog odgađanja. Ova obveza ne utječe na zasebnu obvezu Voditelja obrade da, kada su ispunjeni uvjeti iz članka 33. GDPR-a, o povredi bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije u roku od 72 sata od saznanja obavijesti nadzorno tijelo.

13. Povrat, izvoz i brisanje po prestanku usluge

Nakon prestanka pretplate račun prelazi u razdoblje od 30 dana tijekom kojega je dostupan samo za čitanje i izvoz podataka. Tijekom toga razdoblja Voditelj obrade može izvesti odnosno povratiti sve podatke te može zatražiti ranije brisanje.

Ako do isteka roka od 30 dana ne postoji druga valjana dokumentirana uputa, zadanom dokumentiranom uputom Voditelja obrade smatra se brisanje Podataka Voditelja iz produkcijskog sustava. Podaci čije čuvanje nalaže mjerodavno pravo zadržavaju se isključivo u obveznom opsegu i isključivo u svrhu ispunjenja te zakonske obveze.

Kopije u sigurnosnim kopijama i sustavima podizvršitelja brišu se prema njihovim ugovorenim i tehničkim ciklusima. Do tada se ne vraćaju u redovnu uporabu, osim kada je to nužno za oporavak sustava, uz nastavak primjene zaštitnih mjera i ponovnu primjenu zahtjeva za brisanje.

14. Revizija i dokazivanje usklađenosti

Izvršitelj obrade stavlja Voditelju obrade na raspolaganje informacije potrebne za dokazivanje usklađenosti s obvezama iz članka 28. GDPR-a i ovog DPA-a. Kada je to razumno, usklađenost se dokazuje postojećom dokumentacijom i sigurnosnim dokazima.

Revizija se provodi uz razumnu prethodnu najavu, tijekom uobičajenog radnog vremena i u pravilu najviše jednom godišnje, osim u slučaju incidenta, zahtjeva nadzornog tijela ili opravdane sumnje na neusklađenost. Revizija ne smije ugroziti sigurnost podataka drugih korisnika ni poslovne tajne. Razumne redovne troškove revizije snosi Voditelj obrade, osim ako se revizijom utvrdi značajna neusklađenost Izvršitelja obrade, u kojem slučaju te troškove snosi Izvršitelj obrade.

15. Trajanje, prednost i mjerodavno pravo

Ovaj DPA vrijedi dok Izvršitelj obrade obrađuje Podatke Voditelja za Voditelja obrade, uključujući razdoblje izvoza i brisanja podataka nakon prestanka usluge.

U slučaju proturječja između ovog DPA-a i drugog ugovornog dokumenta u pogledu obrade Podataka Voditelja, prednost ima ovaj DPA. Obvezni zahtjevi GDPR-a i standardnih ugovornih klauzula imaju prednost pred odredbama ovog DPA-a.

Primjenjuje se pravo Republike Hrvatske, a za sporove je nadležan stvarno nadležan sud u Splitu, ondje gdje je takav ugovor o nadležnosti dopušten.

Izmjene ovog DPA-a označavaju se novom verzijom i datumom stupanja na snagu. Materijalna izmjena zahtijeva novi prihvat kroz postojeći sustav verzioniranja pravnih dokumenata.