Ugovor o obradi podataka

Ovaj dokument objavljen je na više jezika. U slučaju bilo kakvog neslaganja između jezičnih verzija, poljska verzija je obvezujuća.

Verzija 2.2 · Posljednje ažuriranje: 29. listopada 2026.

Ugovor o obradi osobnih podataka u ime voditelja obrade u skladu s Art. 28 Opće uredbe o zaštiti podataka (OUZP)

između Klijenta usluge formexposed kao voditelja obrade („Klijent”) i LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska, NIP (poljski porezni identifikacijski broj) 7252266190, kao izvršitelja obrade („mi”).

Uvodne napomene: o čemu je riječ u ovom Ugovoru

formexposed provjerava kontaktne obrasce web-stranica u pogledu njihove zaštite od spama i zlouporabe, nadzire ih i izvješćuje o promjenama. Za većinu podataka koji pritom nastaju sami smo voditelj obrade: za korisnički račun, naplatu, sigurnost Usluge, zapisnike i za provjere bez računa. Naša Pravila privatnosti opisuju tu obradu; ovaj se Ugovor na nju ne primjenjuje.

Neke funkcije, međutim, u Uslugu unose osobne podatke trećih osoba, a o tim podacima odlučuje Klijent: kopije stvarnih upita posjetitelja njegove web-stranice, adrese osoba koje primaju njegova upozorenja, podaci za prijavu na testni račun, kod koji nam daje na obradu. Te podatke obrađujemo samo u ime Klijenta. Na njih se primjenjuje ovaj Ugovor. Koje su to funkcije u pojedinostima, navedeno je u Prilogu 1 na kraju ovog Ugovora.

Ugovor slijedi Art. 28(3) OUZP-a te je strukturom i sadržajem oblikovan po uzoru na standardne ugovorne klauzule Europske komisije između voditelja obrade i izvršitelja obrade (Provedbena odluka (EU) 2021/915). Ne preuzima ih doslovno, nego opisuje stvarnu Uslugu. Ako neku obvezu iz Art. 28 OUZP-a pobliže uređujemo, razina zaštite Uredbe ne smije se sniziti.

§ 1 Predmet, opseg i uloge

(1) Predmet ovog Ugovora je obrada osobnih podataka koju provodimo u ime Klijenta pri pružanju Usluge prema našim Uvjetima korištenja. Predmet, priroda i svrha obrade, vrste osobnih podataka i kategorije ispitanika navedeni su za svaku funkciju u Prilogu 1.

(2) Ovaj Ugovor ne obuhvaća obradu za koju smo sami voditelj obrade, osobito korisnički račun i članove radnog prostora, prijavu i sigurnost računa, naplatu, podršku, zapisnike, sigurnosne kopije tih naših vlastitih podataka, besplatnu provjeru bez računa, provjere domena u računu za koje Klijent još nije dostavio dokaz kontrole, provjeru potencijalnog klijenta, studiju, značku te ono što prenose WordPress dodatak i TYPO3 proširenje: dnevne brojke, popis dodataka i, za povezani WordPress dodatak, domene poveznica iz blokiranih poruka za zaštitu roja (zadano uključeno). Osim toga, zbog načina na koji su ta proširenja izgrađena, ti podaci ne sadrže sadržaj, imena, adrese ni IP adrese posjetitelja. Nasuprot tome, sigurnosne kopije, u mjeri u kojoj sadrže Podatke Klijenta, te pristup Podacima Klijenta radi rada, otklanjanja pogrešaka i sigurnosti dio su obrade u ime Klijenta; na njih se primjenjuju § 7(3) i § 15(5).

(3) Klijent je voditelj obrade u smislu Art. 4(7) OUZP-a za podatke iz Priloga 1. Ako Klijent sam djeluje kao izvršitelj obrade za treću stranu, primjerice agencija za svoje klijente, mi smo za te podatke podizvršitelj obrade. Klijent tada osigurava da je ovaj Ugovor usklađen s obvezama iz njegova vlastitog ugovora i upute treće strane prosljeđuje nam samo preko sebe.

(4) Sklapanje: Ugovor se sklapa pri registraciji zajedno s Uvjetima korištenja, sa svakim Klijentom, čak i ako ne upotrebljava nijednu funkciju iz Priloga 1. Sklapa se elektroničkim putem; time je ispunjen Art. 28(9) OUZP-a. U tu svrhu pohranjujemo prikazanu verziju, njezin kontrolni zbroj te vrijeme, IP adresu i identifikator preglednika pri prihvaćanju.

§ 2 Definicije

Pojmovi kao što su „osobni podaci”, „obrada”, „voditelj obrade”, „izvršitelj obrade” i „povreda osobnih podataka” imaju značenje navedeno u Art. 4 OUZP-a. Osim toga:

Podaci Klijenta znači osobni podaci koje obrađujemo u ime Klijenta prema Prilogu 1.
Podizvršitelj obrade znači daljnji izvršitelj obrade kojeg angažiramo i koji pritom obrađuje Podatke Klijenta (Art. 28(2) i (4) OUZP-a).
Radni prostor znači područje u Usluzi u kojem Klijent upravlja svojim domenama, postavkama i članovima. Svi Podaci Klijenta dodijeljeni su nekom radnom prostoru.
Tekstualni oblik znači svaka čitljiva izjava na trajnom nosaču podataka, osobito e-poruka.
Dani znači kalendarski dani. Ako kraj roka pada na subotu, nedjelju ili državni praznik u Poljskoj, rok istječe sljedećeg radnog dana.

§ 3 Trajanje

(1) Ugovor vrijedi dok god obrađujemo Podatke Klijenta. Počinje registracijom i ne prestaje samo zato što završi plaćeni paket: nakon otkaza račun se nastavlja kao besplatni račun, a s njime, ovisno o slučaju, i Podaci Klijenta. Prestaje kada je račun izbrisan i više ne držimo nikakve Podatke Klijenta, osim u sigurnosnim kopijama do njihova isteka (§ 15).

(2) Obveze koje po svojoj prirodi nastavljaju djelovati ostaju na snazi i nakon prestanka, osobito povjerljivost, brisanje, dokazivanje i odgovornost.

(3) Redoviti otkaz samo ovog Ugovora isključen je jer se bez njega dok god račun postoji ne bi mogli obrađivati nikakvi Podaci Klijenta. Ako ga Klijent želi okončati, briše svoj račun (§ 15(3)). Prava na otkaz iz § 9(3) i § 16 te prava na otkaz iz Uvjeta korištenja ostaju netaknuta.

§ 4 Upute

(1) Podatke Klijenta obrađujemo samo prema zabilježenim uputama Klijenta, uključujući s obzirom na prijenos trećoj zemlji ili međunarodnoj organizaciji. To ne vrijedi ako obradu nalaže pravo Unije ili pravo države članice kojem podliježemo. U tom slučaju obavješćujemo Klijenta o tom pravnom zahtjevu prije obrade, osim ako se tim pravom zabranjuje takvo obavješćivanje zbog važnih razloga od javnog interesa (Art. 28(3), druga rečenica, točka (a) OUZP-a).

(2) Upute Klijenta iscrpno su zabilježene u ovom Ugovoru, u Uvjetima korištenja i u postavkama koje Klijent odabere u Usluzi. Primjeri: postavljanje provjere dostave uputa je za primanje i ocjenjivanje kopija e-poruka iz obrasca; izrada odredišta upozorenja uputa je za slanje obavijesti na to odredište; pohranjivanje testnog računa uputa je za prijavu s njim radi skeniranja iza prijave. Usluga je izgrađena tako da čini samo ono što te postavke predviđaju.

(3) Klijent daje daljnje upute u tekstualnom obliku na contact@lukaswojcik.com ili putem prozora za podršku. Ovlašteni za davanje uputa su vlasnik i administratori radnog prostora; upute putem postavki u Usluzi daje onaj kome njegova uloga dopušta odabir te postavke. Klijent usmenu uputu bez nepotrebne odgode potvrđuje u tekstualnom obliku; do tada smijemo pričekati s njezinim izvršenjem, osim ako se uputa odnosi na brisanje ili ograničenje obrade podataka. Uputu koja prelazi ugovoreni opseg usluga smatramo zahtjevom za izmjenu usluga; možemo je odbiti ili uvjetovati naknadom koju unaprijed navedemo u tekstualnom obliku. Po toj osnovi ne odbijamo uputu koja se odnosi na obvezu iz OUZP-a, kao što je brisanje.

(4) Ako prema našem mišljenju neka uputa krši propise, odmah obavješćujemo Klijenta (Art. 28(3), drugi podstavak, OUZP-a). Njezino izvršenje možemo odgoditi dok Klijent ne potvrdi ili izmijeni uputu. Uputu koja je očito nezakonita ne izvršavamo. Nismo obvezni provoditi sveobuhvatnu pravnu provjeru svake upute; odgovornost za njezinu zakonitost ostaje na Klijentu.

§ 5 Ograničavanje svrhe i što ne činimo s Podacima Klijenta

(1) Podatke Klijenta obrađujemo samo u svrhe iz Priloga 1 i samo u mjeri u kojoj to zahtijeva predmetna funkcija.

(2) Podatke Klijenta ne upotrebljavamo u vlastite svrhe. Osobito ih ne analiziramo za oglašavanje, ne prodajemo ih, ne povezujemo ih s podacima drugih klijenata u profile i ne upotrebljavamo ih za treniranje jezičnih modela. Jezični model koji pomaže u pojedinim funkcijama radi na našem vlastitom poslužitelju; ništa se ne šalje vanjskoj usluzi umjetne inteligencije.

(3) Klijent nam dopušta da iz Podataka Klijenta sastavljamo zbirne brojke koje se više ne mogu pripisati nijednoj osobi, nijednom klijentu ni nijednoj domeni, primjerice o dostavama, pogreškama ili rezultatima provjera. Agregiranje je obrada prema ovom Ugovoru; dobivene brojke više nisu osobni podaci ni Podaci Klijenta. Ne pokušavamo iz njih ponovno identificirati osobe.

§ 6 Obveze Klijenta

(1) Klijent je odgovoran za zakonitost obrade koju nam nalaže. To uključuje postojanje pravne osnove za nju i informiranje ispitanika prema Art. 13 i 14 OUZP-a.

(2) Ako Klijent upotrebljava provjeru dostave, u svojim pravilima privatnosti obavješćuje posjetitelje svoje web-stranice da nam se šalje kopija e-poruke iz obrasca. Usluga za to na stranici domene prikazuje prijedlog teksta; daljnji tekstualni blokovi dostupni su u dokumentu Tekst pravila privatnosti za vašu web-stranicu. Prijedlog ne zamjenjuje vlastitu procjenu Klijenta.

(3) Za skeniranje iza prijave Klijent izrađuje namjenski testni račun koji ima samo prava potrebna za čitanje navedenih stranica i koji ne prikazuje nikakve stvarne podatke klijenata, pacijenata, članova ili zaposlenika. Ne pohranjuje podatke za prijavu stvarne osobe ni podatke za prijavu koje nije ovlašten upotrebljavati. Pravila upotrebe navedena su i u dokumentu Prihvatljiva upotreba i zlouporaba.

(4) Klijent putem Usluge ne daje obrađivati posebne kategorije osobnih podataka (Art. 9 OUZP-a) ni osobne podatke koji se odnose na kaznene osude (Art. 10 OUZP-a), u mjeri u kojoj to može izbjeći. Pri upotrebi funkcije „Fix it for me” ne umeće kod koji sadrži stvarne osobne podatke, a klijentske portale izrađuje samo za osobe koje su naručile izvješće.

(5) Klijentski portali: za mjesečno izvješće pretplatnicima voditelj obrade je Klijent, obično agencija. Usluga od svakog pretplatnika pribavlja potvrdu putem poveznice za potvrdu (dvostruka potvrda, double opt-in) i u svakoj e-poruci nudi mogućnost odjave. Obuhvaća li privola sadržaj izvješća, procjenjuje Klijent.

(6) Ako Klijent uoči pogreške ili nepravilnosti u obradi, o tome nas obavješćuje bez nepotrebne odgode.

(7) Ako Klijent ugradi značku, to nije obrada u njegovo ime; obradu koja je s tim povezana opisuju naša Pravila privatnosti. Klijent to navodi u svojim pravilima privatnosti.

§ 7 Povjerljivost

(1) Pristup Podacima Klijenta omogućujemo samo osobama kojima je potreban za njihove zadatke i koje su se obvezale na povjerljivost ili podliježu odgovarajućoj zakonskoj obvezi povjerljivosti (Art. 28(3), druga rečenica, točka (b) OUZP-a). Obveza traje i nakon završetka njihova rada.

(2) Trenutačno Uslugu vodi sam vlasnik. Ako se pridruže daljnje osobe, prije prvog pristupa obvezuju se na povjerljivost i upućuju u postupanje s osobnim podacima.

(3) U radni prostor uvid imamo samo u mjeri u kojoj je to potrebno za rad, otklanjanje pogrešaka, podršku ili sprečavanje zlouporabe. Funkcija podrške „prikaz kao klijent” ograničena je na jedan sat, blokira promjene lozinke, adrese, drugog faktora, pretplate, izvoza i brisanja te se bilježi; Klijent vidi taj pristup u svojem izvozu podataka.

§ 8 Sigurnost obrade

(1) Poduzimamo tehničke i organizacijske mjere iz Art. 32 OUZP-a kojima se osigurava razina sigurnosti primjerena riziku. Opisane su na stranici Tehničke i organizacijske mjere. Ta stranica sastavni je dio ovog Ugovora (Prilog 2) u verziji koja je ondje objavljena u mjerodavnom trenutku. Klijent je mogao pregledati opis prije sklapanja Ugovora. Pružaju li mjere primjerenu razinu sigurnosti za obradu koju nam Klijent povjerava, Klijent procjenjuje na vlastitu odgovornost (Art. 28(1) OUZP-a), osobito prije nego što uključi neku funkciju iz Priloga 1.

(2) Stranica opisuje samo mjere koje su stvarno provedene. Sve što je planirano, ali još nije provedeno, ondje je izričito označeno kao „planirano” i nije dio mjera na koje se obvezujemo dok ne bude provedeno.

(3) Mjere smijemo prilagođavati tehničkom napretku i razvoju Usluge sve dok se ukupna razina zaštite ne smanji. Svaku izmjenu objavljujemo s novim brojem verzije i datumom na stranici i u pregledu Izmjene ugovornih dokumenata. Ako se izmjenom bez zamjene ukida ili slabi prethodno opisana mjera, Klijenta o tome dodatno obavješćujemo u tekstualnom obliku najmanje 30 dana unaprijed; Klijent tada može uložiti prigovor kao u slučaju novog podizvršitelja obrade (§ 9(3)). Ako se neka mjera mora kratkoročno zamijeniti radi suzbijanja prijetnje, to se može učiniti bez prethodne obavijesti pod uvjetom da se time ne smanjuje razina zaštite; obavijest tada slijedi bez nepotrebne odgode.

§ 9 Podizvršitelji obrade

(1) Klijent nam daje opće pisano odobrenje za angažiranje podizvršitelja obrade (Art. 28(2) OUZP-a). Podizvršitelji obrade koje trenutačno angažiramo, s njihovim sjedištem, svrhom, podacima, mjestom obrade i osnovom za eventualni prijenos u treću zemlju, navedeni su na stranici Podizvršitelji obrade. Taj popis sastavni je dio ovog Ugovora (Prilog 3) u verziji koja je ondje objavljena. Za ondje navedene podizvršitelje obrade odobrenje se smatra danim.

(2) O svakom namjeravanom dodavanju ili zamjeni podizvršitelja obrade obavješćujemo Klijenta najmanje 30 dana unaprijed e-porukom na adresu nositelja računa. Obavijest navodi podizvršitelja obrade, njegovo sjedište, predmetnu funkciju, podatke, mjesto obrade i osnovu za eventualni prijenos. Istodobno se najavljena promjena prikazuje na stranici podizvršitelja obrade i u pregledu izmjena.

(3) Klijent može u roku od tih 30 dana uložiti prigovor u tekstualnom obliku ako ima objektivan razlog povezan sa zaštitom podataka; razlog navodi u prigovoru. Tada zajedno s Klijentom tražimo rješenje, primjerice tako da predmetnu funkciju za Klijenta nastavimo pružati bez novog podizvršitelja obrade ili da je isključimo. Dok se ne pronađe rješenje, novog podizvršitelja obrade ne upotrebljavamo za Podatke Klijenta tog Klijenta; ako to tehnički nije moguće, predmetna funkcija za Klijenta se obustavlja. Ako se ne pronađe rješenje, Klijent može otkazati ugovor o Usluzi ili o pogođenoj usluzi s učinkom od datuma promjene, a ako ga tek nakon tog datuma obavijestimo da rješenje nije moguće, s trenutačnim učinkom u roku od 14 dana od te obavijesti. Za unaprijed plaćeno razdoblje koje zbog toga više ne može iskoristiti vraćamo razmjerni iznos. Naše pravo na redoviti otkaz prema Uvjetima korištenja ostaje netaknuto.

(4) Svakom podizvršitelju obrade ugovorom namećemo iste obveze zaštite podataka koje ovaj Ugovor nameće nama, osobito dostatna jamstva za provedbu odgovarajućih tehničkih i organizacijskih mjera (Art. 28(4), prva rečenica, OUZP-a). Svakog podizvršitelja obrade pažljivo odabiremo i provjeravamo postoje li ta jamstva prije njegova angažiranja, ponovno ako bitno izmijeni svoje uvjete, a inače pri godišnjem preispitivanju naših mjera. Ako podizvršitelj obrade dokaze pruža samo u obliku certifikata, izvješća o reviziji ili svojih objavljenih uvjeta, provjeru temeljimo na tim dokazima ako su aktualni i smisleni. Na zahtjev Klijentu šaljemo primjerak ugovora s podizvršiteljem obrade ili njegovih uvjeta zaštite podataka; poslovne tajne i druge povjerljive informacije, kao što su cijene, smijemo prethodno zacrniti.

(5) Ako podizvršitelj obrade ne ispuni svoje obveze zaštite podataka, prema Klijentu i dalje odgovaramo za izvršavanje njegovih obveza kao za vlastito postupanje (Art. 28(4), druga rečenica, OUZP-a). Naš odabir podizvršitelja obrade ne prenosi nikakvu odgovornost na Klijenta. Ako podizvršitelj obrade ne ispuni svoje ugovorne obveze, a to se odnosi na Podatke Klijenta tog Klijenta, bez nepotrebne odgode obavješćujemo Klijenta. Ako smo faktično nestali, pravno prestali postojati ili postali insolventni, a da nijedan pravni sljednik nije preuzeo naše obveze, Klijent treba moći od podizvršitelja obrade zahtijevati brisanje ili vraćanje Podataka Klijenta; to dogovaramo sa svakim podizvršiteljem obrade u mjeri u kojoj on to dopušta (usp. klauzulu 7.7(e) standardnih ugovornih klauzula 2021/915).

(6) Nisu podizvršitelji obrade primatelji kojima se podaci šalju samo zato što ih Klijent sam postavi kao odredište u Usluzi: usluge chata (kao što su Slack, Discord, Microsoft Teams, Google Chat) i adrese webhookova za upozorenja. Postavljanje odredišta uputa je za slanje obavijesti na to odredište; ugovorni odnos s tim pružateljima i eventualno potrebna osnova za prijenos u treću zemlju odgovornost su Klijenta. Naše vlastite obveze iz ovog Ugovora do trenutka predaje obavijesti ostaju netaknute. Telegram je također odredište koje odabire Klijent, ali funkcionira drukčije: poruku šaljemo putem vlastitog bota u chat koji je primatelj sam povezao s botom, a Telegram je obrađuje izvan Europskog gospodarskog prostora. Odabirom Telegrama Klijent nam izričito daje uputu za prijenos obavijesti onamo (Art. 28(3), druga rečenica, točka (a) OUZP-a); ako bi Telegram u tom pogledu trebalo smatrati našim podizvršiteljem obrade, odabir tog odredišta istodobno se smatra posebnim odobrenjem u smislu Art. 28(2) OUZP-a u tu svrhu. Osnova iz poglavlja V. OUZP-a na temelju koje se taj prijenos provodi još nije konačno utvrđena; tko želi izbjeći prijenos bez utvrđene osnove, odabire drugo odredište. Isto tako, pružatelji usluga koji samo prenose podatke, kao što je naš pružatelj internetskih usluga, nisu podizvršitelji obrade.

(7) Poslužitelje, bazu podataka i računalni kapacitet, uključujući onaj za jezični model, sami vodimo u Poljskoj. Nije uključen nikakav pružatelj hostinga ili usluga u oblaku.

§ 10 Prijenosi u treće zemlje

(1) Naši vlastiti poslužitelji na kojima obrađujemo Podatke Klijenta nalaze se u Poljskoj; ako Podatke Klijenta obrađuje podizvršitelj obrade, lokacija je navedena u Prilogu 3. Prijenos u zemlju izvan Europskog gospodarskog prostora provodi se samo ako su ispunjeni uvjeti iz Art. 44 do 49 OUZP-a i samo prema uputama Klijenta iz § 4 ili podizvršitelju obrade odobrenom prema § 9.

(2) Osnova za svakog podizvršitelja obrade (odluka o primjerenosti, kao što je ona za Okvir EU-a i SAD-a za privatnost podataka u slučaju certificiranih primatelja, ili standardne ugovorne klauzule iz Art. 46(2)(c) OUZP-a) navedena je na popisu podizvršitelja obrade. Ako na popisu za nekog primatelja piše „treba provjeriti”, Podaci Klijenta ne šalju mu se dok osnova ne bude dokumentirana. Ako angažiramo podizvršitelja obrade izvan Europskog gospodarskog prostora, a ne primjenjuje se odluka o primjerenosti, s njim ugovaramo standardne ugovorne klauzule iz Provedbene odluke (EU) 2021/914 (Modul 3: od izvršitelja obrade do izvršitelja obrade), prethodno procjenjujemo dopuštaju li pravo i praksa zemlje odredišta njihovo poštovanje, poduzimamo eventualno potrebne dodatne mjere i bilježimo rezultat. Klijent na zahtjev dobiva sažetak te procjene.

(3) Za prijenose na odredišta koja je Klijent sam odabrao (§ 9(6)) za osnovu je odgovoran Klijent.

§ 11 Pomoć u vezi s pravima ispitanika

(1) Uzimajući u obzir prirodu obrade, Klijentu pomažemo odgovarajućim tehničkim i organizacijskim mjerama, koliko je to moguće, da odgovori na zahtjeve ispitanika iz poglavlja III. OUZP-a (Art. 28(3), druga rečenica, točka (e) OUZP-a).

(2) Velik dio toga Klijent može sam učiniti u Usluzi: mijenjati ili brisati odredišta upozorenja, testne prijave i vlastiti brending; mijenjati ili isključivati putanje obrazaca; opozvati klijentske portale (njihovi pretplatnici ostaju pohranjeni do brisanja radnog prostora); ukloniti domenu zajedno s njezinim podacima; preuzeti izvoz podataka. Ako to nije dovoljno, pomažemo na zahtjev u tekstualnom obliku.

(3) Ako nam se ispitanik obrati sa zahtjevom koji se odnosi na Podatke Klijenta, na njega sami ne odgovaramo u meritumu, nego ga bez nepotrebne odgode, a najkasnije sedam dana od primitka, prosljeđujemo Klijentu, ako ga možemo utvrditi, i obavješćujemo osobu da smo to učinili. Ako ne možemo utvrditi Klijenta, osobi kažemo koje su nam informacije potrebne da bismo ga pronašli.

(4) Otvoreno navodimo jedno ograničenje: kopije e-poruka iz obrasca iz provjere dostave ne pohranjujemo u bazi podataka, a e-poruka se nakon uspješne obrade briše iz poštanskog sandučića, odnosno sa zakašnjenjem u slučaju pogreške pri dohvaćanju ili brisanju. U pogledu pojedinog posjetitelja stoga obično možemo samo reći da više ne držimo nikakav sadržaj.

(5) Ako saznamo da su Podaci Klijenta netočni ili zastarjeli, bez nepotrebne odgode obavješćujemo Klijenta. Klijent ih tada može sam ispraviti, izbrisati ili ograničiti u Usluzi ili uputom nama.

§ 12 Pomoć u vezi sa sigurnošću, procjenom učinka i savjetovanjem

(1) Uzimajući u obzir prirodu obrade i informacije koje su nam dostupne, Klijentu pomažemo u ispunjavanju njegovih obveza iz Art. 32 do 36 OUZP-a: sigurnost obrade, izvješćivanje o povredama i obavješćivanje o njima, procjena učinka na zaštitu podataka i prethodno savjetovanje s nadzornim tijelom (Art. 28(3), druga rečenica, točka (f) OUZP-a).

(2) U tu svrhu osobito stavljamo na raspolaganje opis mjera, popis podizvršitelja obrade i, na zahtjev, daljnje informacije o tokovima podataka i razdobljima čuvanja. Vlastitu procjenu rizika Usluge objavljujemo u dokumentu Procjena učinka na zaštitu podataka; Klijent je može upotrijebiti za vlastitu procjenu.

(3) Za pomoć iz §§ 11 i 12 koju Klijent ne može sam ostvariti pomoću funkcija Usluge ili objavljenih dokumenata, koja zahtijeva više od četiri sata rada po kalendarskoj godini i koja nije posljedica našeg kršenja ovog Ugovora ili OUZP-a, za vrijeme iznad toga smijemo naplatiti naknadu prema satnici koju unaprijed navedemo u tekstualnom obliku. Prosljeđivanje zahtjeva i obavješćivanje o povredama uvijek su besplatni. Pomoć koju dugujemo po zakonu ne uvjetujemo plaćanjem ni dogovorom o naknadi.

§ 13 Povrede osobnih podataka

(1) Ako saznamo za povredu osobnih podataka koja se odnosi na Podatke Klijenta tog Klijenta, o tome obavješćujemo Klijenta bez nepotrebne odgode, po mogućnosti u roku od 48 sati, e-porukom na adresu nositelja računa (Art. 33(2) OUZP-a). Cilj je da se ne skrati rok od 72 sata koji Klijent mora poštovati prema nadzornom tijelu. Za povredu znamo čim s razumnom sigurnošću utvrdimo da se sigurnosni incident odnosi na Podatke Klijenta tog Klijenta; svaku sumnju istražujemo bez nepotrebne odgode. Isto vrijedi za povredu kod podizvršitelja obrade čim nas on o njoj obavijesti.

(2) Obavijest sadržava, u mjeri u kojoj su poznate, informacije iz Art. 33(3) OUZP-a: prirodu povrede, uključujući vrijeme ili razdoblje u kojem se dogodila, ako je moguće s kategorijama i približnim brojem dotičnih ispitanika i evidencija, kontaktnu točku za dodatne informacije, vjerojatne posljedice i poduzete ili predložene mjere. Sve što u trenutku prve obavijesti još nije utvrđeno dostavljamo naknadno bez daljnje nepotrebne odgode.

(3) Odmah poduzimamo mjere potrebne za otklanjanje povrede i ublažavanje njezinih posljedica te s Klijentom dogovaramo daljnje korake. Svaku povredu dokumentiramo s činjenicama, njezinim učincima i poduzetim korektivnim mjerama te dokumentaciju na zahtjev stavljamo Klijentu na raspolaganje.

(4) Izvješćivanje nadzornog tijela ili obavješćivanje ispitanika provodi Klijent. Mi to činimo samo prema njegovim uputama.

(5) Prijave sigurnosnih ranjivosti koje treće strane pronađu u Usluzi primamo na stranici Sigurnost.

(6) Obavijest i naša suradnja prema ovom odjeljku ne predstavljaju priznanje povrede obveze ni odgovornosti. Ako povreda pogađa i podatke za koje smo sami voditelj obrade, za te podatke ispunjavamo vlastite obveze iz Art. 33 i 34 OUZP-a; pritom Podatke Klijenta tog Klijenta otkrivamo samo u mjeri u kojoj je to za tu svrhu potrebno.

§ 14 Dokazi i revizije

(1) Klijentu stavljamo na raspolaganje sve informacije potrebne za dokazivanje poštovanja obveza iz Art. 28 OUZP-a te omogućujemo revizije, uključujući inspekcije, koje provodi Klijent ili revizor kojeg je on ovlastio, i doprinosimo im (Art. 28(3), druga rečenica, točka (h) OUZP-a).

(2) Poštovanje obveza prvenstveno dokazujemo dokumentima: opisom mjera, popisom podizvršitelja obrade, Evidencijom aktivnosti obrade koja obuhvaća obradu u ime klijenata (Art. 30(2) OUZP-a), pisanim odgovorima na upitnike i, na zahtjev, izvacima iz zapisnika ili iz rezultata testa vraćanja podataka. Na upitnike odgovaramo u roku od 30 dana od primitka, a ako postoji razlog iz stavka 4, onoliko brzo koliko taj razlog zahtijeva. Vanjska izvješća o reviziji ili certifikati trenutačno ne postoje; to navodimo kako nitko ne bi pretpostavio da postoje.

(3) Ako dokumenti nisu dovoljni, Klijent može zatražiti reviziju, uključujući reviziju na licu mjesta. Klijent redovitu reviziju najavljuje najmanje 30 dana unaprijed u tekstualnom obliku, uz navođenje njezina predmeta, očekivanog trajanja i revizora; provodi se tijekom uobičajenog radnog vremena u Poljskoj i planira tako da se rad ne ometa nepotrebno. Redovite revizije na licu mjesta provode se najviše jednom po kalendarskoj godini; stavak 4 ostaje netaknut.

(4) Bez fiksnog razdoblja čekanja kada postoji hitan razlog. U slučaju povrede osobnih podataka, kada postoje konkretne naznake kršenja ovog Ugovora ili OUZP-a te kada nadzorno tijelo zatraži reviziju, ne primjenjuju se ni otkazni rok od 30 dana ni ograničenje od jedne revizije godišnje. Revizija se tada provodi čim to razlog zahtijeva i čim je to organizacijski moguće.

(5) Klijent može ovlastiti revizora koji je obvezan na povjerljivost i koji ne nudi uslugu usporedivu s uslugom formexposed niti radi za takvog pružatelja. Od revizora smijemo zahtijevati da ne odnose ni ne bilježe tajne drugih klijenata, podatke za prijavu ni sigurnosne podatke. Klijent i njegov revizor povjerljivo postupaju s onim što tijekom revizije saznaju o našem poslovanju i upotrebljavaju to samo za provjeru poštovanja ovog Ugovora i OUZP-a; smiju to otkriti nadležnom nadzornom tijelu, savjetnicima obvezanima na povjerljivost te u mjeri u kojoj to zahtijeva zakon. Takvi dogovori ne smiju onemogućiti zakonska prava na reviziju.

(6) Svaka strana snosi vlastite troškove revizije. Ako naš ukupni rad na revizijama i upitnicima jednog Klijenta premaši osam sati po kalendarskoj godini, za vrijeme iznad toga smijemo naplatiti naknadu prema satnici koju unaprijed navedemo u tekstualnom obliku, ali ne ako revizija otkrije kršenje s naše strane ili se provodi iz razloga iz stavka 4 za koji smo odgovorni. Samu reviziju ne uvjetujemo plaćanjem.

(7) Ovlasti nadzornih tijela ostaju netaknute. Za nas je nadležno nadzorno tijelo predsjednik Ureda za zaštitu osobnih podataka (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Obje strane na zahtjev stavljaju nadležnom nadzornom tijelu na raspolaganje informacije iz ovog odjeljka, uključujući rezultate revizija.

§ 15 Brisanje i vraćanje

(1) Tijekom trajanja Ugovora primjenjuju se razdoblja čuvanja iz Priloga 1. Provodi ih noćni postupak koji briše prema istim postavkama koje se navode i u tekstovima.

(2) Izbor između vraćanja i brisanja. Nakon završetka obrade Klijent odlučuje hoćemo li Podatke Klijenta vratiti ili izbrisati (Art. 28(3), druga rečenica, točka (g) OUZP-a). Vraćanje se provodi izvozom podataka, koji Klijent sam može preuzeti u postavkama kao strojno čitljivu datoteku, ili s naše strane na zahtjev u tekstualnom obliku u roku od 30 dana, pri čemu obuhvaća i Podatke Klijenta koji nisu sadržani u izvozu, u mjeri u kojoj se mogu vratiti (stavak 4). Brisanje se provodi uklanjanjem domene, čime se brišu njezini podaci, ili brisanjem računa, koje Klijent sam pokreće. Ako Klijent želi i vraćanje i brisanje, najprije preuzima izvoz, a zatim briše.

(3) Ako Klijent ne odabere ništa i izbriše svoj račun, to se smatra odabirom brisanja. Pri brisanju računa radni prostori kojima je Klijent jedini vlasnik odmah se brišu u aktivnom sustavu zajedno sa svim Podacima Klijenta. Ako radni prostor ima druge članove, prelazi na člana koji mu najdulje pripada, pri čemu administratori imaju prednost pred čitateljima, i ne briše se; taj član time postaje Klijent za taj radni prostor. Tko to ne želi, prije brisanja uklanja ostale članove ili domene. Ako ugovor o računu prestane na drugi način, primjerice našim otkazom prema Uvjetima korištenja, Klijenta zajedno s obaviješću o otkazu upućujemo na izvoz, koji Klijent može preuzimati do kraja ugovora. Najkasnije 30 dana nakon kraja ugovora brišemo račun zajedno s Podacima Klijenta; to se trenutačno provodi ručno.

(4) Unaprijed navodimo što se ne može vratiti: podaci za prijavu za skeniranje iza prijave nisu dio izvoza jer ih web-poslužitelj ne može dešifrirati (Prilog 1, točka 5); kopije iz provjere dostave nakon obrade više ne postoje; kod iz funkcije „Fix it for me” uopće se ne pohranjuje.

(5) Sigurnosne kopije. Za bazu podataka svake se noći izrađuje sigurnosna kopija. Svaka sigurnosna kopija briše se nakon 14 dana. Podaci Klijenta izbrisani u aktivnom sustavu do tada ostaju u starijim sigurnosnim kopijama; pojedinačni zapisi ne brišu se selektivno unutar sigurnosne kopije jer sigurnosna kopija mora biti neizmijenjena slika određenog trenutka. Do isteka sigurnosne su kopije zaštićene kao i sama baza podataka i upotrebljavaju se samo za vraćanje i testiranje vraćanja; ne pretražuju se i ne analiziraju. Ako moramo vratiti sigurnosnu kopiju, prije ponovnog stavljanja Usluge u rad ponovno izvršavamo zahtjeve za brisanje podnesene nakon njezina datuma, u mjeri u kojoj su nam poznati. Zapis je stoga najkasnije 14 dana nakon brisanja u aktivnom sustavu nestao i iz sigurnosnih kopija.

(6) Prema trenutačnom stanju nemamo obvezu čuvanja Podataka Klijenta. Ako iz prava Unije ili poljskog prava proizađe zakonska obveza čuvanja, predmetne podatke umjesto brisanja ograničavamo, upotrebljavamo ih samo u tu svrhu i brišemo ih po isteku obveze.

(7) Na zahtjev u roku od 30 dana u tekstualnom obliku potvrđujemo brisanje, uz navođenje što prema stavcima 5 i 6 još postoji i do kada.

§ 16 Kršenja, obustava i otkaz

(1) Ako iz bilo kojeg razloga ne možemo ispuniti neku obvezu iz ovog Ugovora, o tome bez nepotrebne odgode obavješćujemo Klijenta.

(2) Ako prekršimo ovaj Ugovor ili OUZP, Klijent od nas može zahtijevati da obustavimo obradu predmetnih Podataka Klijenta dok se kršenje ne otkloni. Ako se kršenje nastavi ili je ozbiljno, Klijent može iz opravdanog razloga otkazati ugovor o Usluzi, osobito ako kršenje ne otklonimo u roku od mjesec dana od obavijesti o njemu ili ne postupimo u skladu s odlukom suda ili nadzornog tijela koja se na njega odnosi. Naknade plaćene unaprijed za razdoblje nakon prestanka ugovora vraćamo razmjerno.

(3) Ako Klijent inzistira na uputi koju prema § 4(4) smatramo nezakonitom, smijemo otkazati ugovor o pogođenoj usluzi, pod uvjetom da smo Klijenta o tome prethodno obavijestili i da on uputu ne izmijeni u roku od mjesec dana.

(4) Nakon otkaza primjenjuje se § 15.

§ 17 Odgovornost

(1) Za štetu koju pretrpi ispitanik primjenjuje se Art. 82 OUZP-a. Ta odgovornost nije ograničena nikakvim ugovornim ograničenjem odgovornosti, uključujući ono u Uvjetima korištenja.

(2) Ako je jedna strana ispitaniku isplatila naknadu štete prema Art. 82 OUZP-a, od druge strane može zahtijevati povrat dijela koji odgovara udjelu druge strane u odgovornosti za štetu (Art. 82(4) i (5) OUZP-a). Ni taj regres nije ograničen ograničenjima odgovornosti iz Uvjeta korištenja.

(3) Za sve ostale zahtjeve između Klijenta i nas na temelju ovog Ugovora, primjerice za naknadu vlastite štete ili troškova jedne strane, primjenjuju se pravila o odgovornosti iz Uvjeta korištenja, u mjeri u kojoj je to zakonom dopušteno. Za podizvršitelje obrade odgovaramo prema § 9(5) kao za vlastito postupanje. Upravnu novčanu kaznu koju nadzorno tijelo izrekne jednoj strani za njezino vlastito kršenje snosi sama ta strana.

(4) Ako ispitanik ili nadzorno tijelo postavi zahtjev prema jednoj strani, ta strana o tome bez nepotrebne odgode obavješćuje drugu, a obje surađuju u razjašnjavanju stvari. Nijedna strana bez suglasnosti druge ne priznaje zahtjev za koji namjerava tražiti regres od druge strane; suglasnost se ne smije uskratiti bez objektivnog razloga.

§ 18 Kontaktna točka i službenik za zaštitu podataka

(1) Klijent pitanja o zaštiti podataka u vezi s ovim Ugovorom, upute i obavijesti upućuje na contact@lukaswojcik.com ili putem prozora za podršku i stranice Kontakt. Naše obavijesti prema ovom Ugovoru šalju se na adresu e-pošte nositelja računa; Klijent je održava ažurnom.

(2) Nismo imenovali službenika za zaštitu podataka jer prema našoj procjeni nisu ispunjeni uvjeti iz Art. 37(1) OUZP-a. Ako se to promijeni, imenovanje ćemo objaviti u ovom Ugovoru.

§ 19 Završne odredbe

(1) Prednost. Ako je neka odredba Uvjeta korištenja ili drugog ugovora u suprotnosti s ovim Ugovorom, ovaj Ugovor ima prednost u svim pitanjima koja se odnose na obradu Podataka Klijenta; vlastiti opći uvjeti poslovanja Klijenta ne primjenjuju se. Izmjene i dopune ovog Ugovora u pojedinačnom slučaju zahtijevaju tekstualni oblik i moraju se izričito pozivati na njega; postaju dio ovog Ugovora i imaju prednost pred njim u opsegu svojih odredaba. Ako je ovaj Ugovor u suprotnosti s obveznim odredbama OUZP-a, prednost imaju te odredbe.

(2) Izmjene. Ovaj Ugovor mijenjamo samo iz jednog od sljedećih objektivnih razloga: promjena propisa ili njihova tumačenja od strane sudova i tijela, uključujući nove standardne ugovorne klauzule Europske komisije; promjena Usluge, njezinih funkcija ili tehničke osnove; promjena kod treće strane potrebna za pružanje Usluge; sprečavanje zlouporabe ili sigurnosnih rizika; ili ispravak pogrešaka i nejasnoća. Izmjene najavljujemo, uz navođenje izmijenjenog teksta, razloga i planiranog datuma, najmanje 30 dana unaprijed e-porukom na adresu nositelja računa i u pregledu izmjena. Bez tog roka mijenjamo samo ono što je isključivo u korist Klijenta, što je čisto jezične naravi ili ispravlja očite pogreške, ono što zakon, sud ili tijelo zahtijeva u kraćem roku te ono što je potrebno za otklanjanje neposrednog sigurnosnog rizika; i u tim slučajevima izmjenu priopćujemo što je prije moguće i navodimo razlog. Šutnja ne predstavlja suglasnost. Ako izmjena zahtijeva suglasnost Klijenta, pribavljamo je izričito; bez nje i dalje vrijedi prethodna verzija, a zakonska i ugovorna prava na otkaz ostaju. Klijent može do stupanja izmjene na snagu u tekstualnom obliku uložiti prigovor na najavljenu izmjenu; posljedice uređuju odredbe Uvjeta korištenja o prigovoru na izmjenu. Izmjene Priloga 2 i 3 uređene su § 8(3) te § 9(2) i (3). Sve verzije evidentirane su u pregledu Izmjene ugovornih dokumenata.

(3) Mjerodavno pravo i mjesna nadležnost. Primjenjuje se pravo određeno Uvjetima korištenja; obvezne odredbe OUZP-a ostaju netaknute. Mjesna nadležnost uređena je Uvjetima korištenja.

(4) Jezik. Ugovor je dostupan na svim službenim jezicima Europske unije. U slučaju odstupanja prednost ima poljska verzija.

(5) Ako je neka odredba nevaljana, ostatak Ugovora ostaje valjan. Nevaljanu odredbu zamjenjuje zakonska odredba koja je najbliža njezinoj svrsi; u slučaju dvojbe, odredba koja ispunjava zahtjeve iz Art. 28(3) OUZP-a.

Prilog 1 – Obrada u ime Klijenta

Za svaku funkciju ovaj Prilog opisuje predmet, prirodu i svrhu obrade, vrste osobnih podataka, kategorije ispitanika i brisanje (Art. 28(3), prva rečenica, OUZP-a). Ako nije drukčije navedeno, priroda obrade je: prikupljanje, pohrana, pronalaženje, usklađivanje, prijenos na odredišta koja odredi Klijent i brisanje. Mjesto obrade su naši vlastiti poslužitelji u Poljskoj; ako je uključen podizvršitelj obrade, to je navedeno. Razdoblja u vitičastim zagradama postavke su prema kojima noćni postupak brisanja stvarno radi. Trajanje obrade jest trajanje ovog Ugovora (§ 3); unutar tog trajanja primjenjuju se razdoblja brisanja navedena za svaku funkciju. Obrada se provodi kontinuirano dok god Klijent upotrebljava funkciju. Posebne kategorije osobnih podataka nisu predmet obrade; ako ipak uđu u Uslugu putem e-poruka iz obrasca, primjenjuje se § 6(4).

1. Provjera dostave

Svrha: provjeriti stižu li e-poruke iz obrasca Klijenta i jesu li autentične (SPF, DKIM, DMARC).

Način rada: funkcija nije obvezna. Klijent u svoj obrazac unosi adresu kontrolnog poštanskog sandučića kao skrivenu kopiju (Bcc). Zbog toga nam se šalje kopija svake e-poruke iz obrasca, ne samo kopije naših testnih prijava nego i kopije stvarnih upita njegovih posjetitelja. Automatsko dohvaćanje putem IMAP-a čita zaglavlja i najviše prvih 8 KB teksta, dodjeljuje e-poruku domeni i, ako je primjenjivo, testnoj prijavi te provjerava obilježja autentičnosti. Nakon uspješne obrade e-poruka se briše iz poštanskog sandučića. U slučaju pogreške pri dohvaćanju ili brisanju može ostati u poštanskom sandučiću do sljedećeg uspješnog izvođenja.

Podaci: sadržaj i zaglavlja e-poruka iz obrasca sa svime što posjetitelji unesu, kao što su ime, adresa e-pošte, telefonski broj i poruka, te adrese pošiljatelja i primatelja i tehničke informacije o uključenim poslužiteljima e-pošte.

Ispitanici: posjetitelji web-stranice Klijenta koji šalju obrazac; primatelji e-poruka iz obrasca kod Klijenta.

Pohrana i brisanje: u bazi podataka pohranjuju se samo vrijeme, dodjela domeni, ako je primjenjivo identifikator testne prijave te rezultati provjere autentičnosti. Vrijeme i dodjela čuvaju se 180 dana; najnoviji rezultat provjere autentičnosti čuva se uz domenu dok ga sljedeća e-poruka ne zamijeni ili dok se domena ne izbriše. Rezultat provjere autentičnosti sadržava IP adresu poslužitelja e-pošte koji je dostavio poruku i domenu adrese pošiljatelja; upozorenje navodi tu domenu samo ako ne pripada web-stranici. Sadržaj i potpune adrese pošiljatelja posjetitelja ne pohranjuju se u bazi podataka. Sama e-poruka briše se iz poštanskog sandučića nakon uspješne obrade, odnosno sa zakašnjenjem u slučaju pogreške pri dohvaćanju ili brisanju.

Uključeni: pružatelj usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za poštanski sandučić; kopije do njega stižu izravno putem MX zapisa naše domene, ne putem prosljeđivanja, vidi Podizvršitelji obrade.

Ograničenje: podudaranje samo potvrđuje da je odgovarajuća kopija stigla u kontrolni poštanski sandučić, a ne primitak kod stvarnog primatelja ili unos u CRM. Bez kontrolnog poštanskog sandučića funkcija nije dostupna. Kopije ne bi smjele sadržavati posebne kategorije osobnih podataka (§ 6(4)).

2. Klijentski portal i mjesečno izvješće pretplatnicima

Svrha: slanje mjesečnog izvješća o obrascima web-stranice u ime Klijenta, obično agencije vlastitim klijentima, i pružanje portala s tim izvješćima.

Podaci: adresa e-pošte, jezik, vrijeme i IP adresa pretplate, vrijeme potvrde (double opt-in) i odjave; sadržaj izvješća (domena, rezultati provjere, brojke).

Ispitanici: klijenti i kontaktne osobe Klijenta koji se pretplate na izvješće.

Brisanje: nepotvrđene pretplate nakon 30 dana. Nakon odjave zapis o pretplati, potvrdi i odjavi čuva se tri godine kako bi Klijent mogao dokazati privolu. Sve se briše najkasnije zajedno s radnim prostorom; samim opozivom portala njegovi se pretplatnici ne brišu.

Uključeni: pružatelj usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za slanje.

3. Upozorenja, izvješća i incidenti

Svrha: dostava upozorenja, sažetaka i izvješća na odredišta koja postavi Klijent te upravljanje incidentima.

Podaci: adrese e-pošte, adrese webhookova i kanala chata, ID Telegram chata nakon što ga primatelj poveže; sadržaj obavijesti (domena, događaj, vrijeme, poveznica na Uslugu, za upozorenja o provjeri poveznica na izvješće putem koje se rezultati i snimke zaslona mogu otvoriti bez prijave; Telegram umjesto poveznice na izvješće dobiva samo poveznicu na stranicu domene u računu, za koju je potrebna prijava); zapisnik slanja; pokušaji dostave eskalacije po incidentu i odredištu (broj, vremena, rezultat, pogreška); ime ili adresa e-pošte osobe koja potvrdi incident te odgovorna osoba s rokom.

Ispitanici: zaposlenici i pružatelji usluga Klijenta koji primaju upozorenja ili obrađuju incidente.

Brisanje: odredišta dok ih Klijent ne ukloni ili ne izbriše domenu; zapisnik slanja nakon 90 dana; prikupljene obavijesti 30 dana nakon slanja; incidenti dok nisu riješeni i 180 dana nakon rješenja, zajedno s njihovim pokušajima dostave eskalacije.

Uključeni: pružatelj usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za e-poštu; za usluge chata i webhookove pružatelji koje je odabrao Klijent (§ 9(6)).

4. Provjera web-stranica Klijenta: osobe koje su slučajno vidljive

Svrha: provjera i nadzor obrazaca i njihove zaštite na domenama Klijenta za koje je dostavio dokaz kontrole. Dok za neku domenu nema dokaza, provjeravamo je samo pasivno i za te smo provjere sami voditelj obrade; to je opisano u Pravilima privatnosti.

Podaci: skeniranje čita javne stranice domene: adrese stranica, strukturu obrazaca (nazivi polja, vrste, oznake, atributi obveznosti i vidljivosti, bez vrijednosti; skener početke unaprijed ispunjenih skrivenih polja i atributa data čita samo tijekom provjere i ne pohranjuje ih), ugrađene skripte, zaštitne mjere. Izrađuje snimke zaslona vidljivog dijela početne stranice i obrazaca, a za aktivne testne prijave i stranice odgovora; one nisu redigirane. One i pročitani sadržaj stranice mogu sadržavati osobne podatke koje Klijent sam objavljuje, kao što su imena i kontaktni podaci kontaktnih osoba, fotografije ili recenzije. Adrese primatelja obrazaca pohranjujemo samo kao domenu. Za svaku provjeru Usluga izrađuje izvješće pod nasumičnom poveznicom putem koje se rezultati i snimke zaslona mogu otvoriti bez prijave dok se provjera ne izbriše; poveznica se pojavljuje u računu i u upozorenjima (točka 3). Tko proslijedi poveznicu, prosljeđuje izvješće.

Ispitanici: osobe čiji su podaci vidljivi na web-stranici Klijenta.

Brisanje: rezultati provjera, uključujući snimke zaslona, najdulje 13 mjeseci; najnovija provjera čuva se dok je domena u računu. Uklanjanjem domene brišu se podaci domene, uključujući provjere, nalaze i snimke zaslona.

Napomena: jezični model na našem vlastitom poslužitelju pomaže razvrstati obrasce čiju svrhu sama pravila ne mogu prepoznati. Obrasci razvrstani na taj način nikada se ne šalju i ne ulaze u ocjenu ni u konačnu procjenu. Aktivne testne prijave (najviše pet po provjeri) sadržavaju samo označene testne tekstove bez osobnih podataka.

5. Podaci za prijavu na testni račun za skeniranje iza prijave

Svrha: čitanje obrazaca na najviše pet stranica iza prijave koje odredi Klijent. Samo za verificirane domene, samo od strane vlasnika i administratora radnog prostora, samo u plaćenim paketima. Testni račun upotrebljava se samo u potpunoj provjeri, ne u provjerama preglednikom (točka 6).

Podaci: adresa za prijavu, korisničko ime i lozinka testnog računa, informacije o poljima za prijavu; ono što je tom računu vidljivo na pročitanim stranicama, u mjeri u kojoj se odnosi na strukturu obrazaca.

Ispitanici: osoba na čije ime glasi testni račun, ako je dodijeljen nekoj osobi; osobe čiji su podaci vidljivi u testnom računu.

Zaštita: korisničko ime i lozinka šifriraju se na web-poslužitelju javnim ključem poslužitelja za skeniranje i vezuju uz domenu. Samo ih poslužitelj za skeniranje može dešifrirati, tijekom skeniranja; web-poslužitelj, baza podataka i sigurnosne kopije sadržavaju samo šifrirani tekst. Podaci za prijavu nikada se ne prikazuju, nikada ne bilježe u zapisnike i nikada ne izdaju putem sučelja; korisničko sučelje prikazuje samo prvi znak i duljinu korisničkog imena. Iza prijave ništa se ne šalje, ne provodi se aktivni test i ne izrađuje se snimka zaslona; stranice za odjavu, brisanje ili otkazivanje ne posjećuju se.

Brisanje: dok Klijent ne ukloni podatke za prijavu ili ne izbriše domenu; uklanjanjem se prepisuje šifrirani tekst i brišu se poslovi na čekanju. Kopija priložena pojedinačnom poslu skeniranja briše se nakon izvođenja, eventualni ostaci najkasnije nakon jednog sata.

6. Putanje obrazaca i provjere preglednikom

Svrha: periodične provjere rade li konfigurirani obrasci u stvarnom pregledniku do trenutka prije slanja.

Podaci: adrese obrazaca, selektori, prethodni klikovi i koraci provjere, izbor preglednika, odgovorna osoba i rok; rezultati sa statusom, tehničkim kategorijama pogrešaka, očišćenim porukama o pogreškama, vremenima i snimkom zaslona obrasca na kojoj su polja za unos prekrivena. Osobni karakter nastaje uglavnom kroz odgovornu osobu i kroz sadržaj koji Klijent sam upiše u korake ili oznake.

Ispitanici: zaposlenici Klijenta kojima su dodijeljeni obrasci.

Brisanje: konfiguracije do brisanja domene; Klijent ih može pojedinačno mijenjati ili isključivati, ali ih trenutačno ne može pojedinačno ukloniti. Rezultati nakon 13 mjeseci.

Ograničenje: provjere preglednikom ništa ne šalju. Neovisna druga sonda predviđena je u Usluzi, ali trenutačno nije postavljena; bez nje nema potvrde s druge lokacije. Ako se postavi kod treće strane, primjenjuje se § 9.

7. „Fix it for me”

Svrha: umetanje zaštitne komponente u kod obrasca koji Klijent zalijepi.

Podaci: zalijepljeni kod, ako sadržava osobne podatke, primjerice u komentarima, primjerima vrijednosti ili čvrsto upisanim adresama.

Ispitanici: osobe čiji se podaci pojavljuju u kodu.

Obrada i brisanje: komponentu umeće jezični model na našem vlastitom poslužitelju. Kod se obrađuje samo za trajanja zahtjeva i ne pohranjuje se. Usluga radi bez podataka za prijavu u sustave Klijenta i ništa ne instalira na njegove poslužitelje.

8. Vlastiti brending (white-label)

Svrha: prikaz brenda Klijenta u izvješćima i na klijentskom portalu.

Podaci: naziv tvrtke, web-stranica, kontaktni podaci i logotip, ako je primjenjivo ime i kontaktni podaci kontaktne osobe.

Ispitanici: kontaktne osobe Klijenta.

Brisanje: dok Klijent ne izmijeni ili ne izbriše podatke, najkasnije zajedno s radnim prostorom.

9. Dopunske brojke bez osobnog karaktera

Neobvezne brojke o pogreškama obrazaca i polja iz WordPress proširenja ne sadržavaju unose, nazive polja ni identifikatore posjetitelja i čuvaju se 13 mjeseci. Snimač putanja obrazaca čuva korake u pregledniku Klijenta najdulje 15 minuta; lokalni dnevni brojači ostaju na njegovoj web-stranici najdulje 14 dana. Navodimo ih ovdje kako bi slika bila potpuna; zbog načina na koji su izgrađeni, oni nisu Podaci Klijenta.

10. Zaštita obrazaca (formconfirmed)

Ova točka vrijedi samo ako Klijent uključi zaštitu obrazaca (Uvjeti korištenja, točka 5.7).

Svrha: procjena slanja putem obrazaca na web-mjestima Klijenta radi prepoznavanja automatiziranih slanja.

Kako funkcionira: Pri otvaranju stranice sa zaštićenim obrascem skripta u pregledniku posjetitelja dohvaća potpisani zadatak s našeg poslužitelja i rješava ga (računski dokaz). Pri slanju poslužitelj Klijenta podnosi rezultat našem sučelju za provjeru. Provjeravamo potpis, starost, jednokratnu upotrebu i domenu kontrolnog tokena te dodatne signale kao što su vrijeme ispunjavanja, nevidljivo polje-zamka i učestali zahtjevi s iste skraćene adrese. Ako Klijent uključi provjeru sadržaja, jezični model procjenjuje tekst poruke koji poslužitelj Klijenta šalje uz zahtjev. Vraća se ocjena s preporučenom radnjom i razlozima; o tome što će se dogoditi sa slanjem odlučuje Klijent. Nema kolačića, pohrane u pregledniku ni otiska uređaja.

Podaci: IP adresa posjetitelja pri dohvaćanju zadatka i pri provjeri, adresa i domena stranice, vremenske oznake i vrijeme ispunjavanja, je li polje-zamka ispunjeno, identifikator preglednika u zapisniku web-poslužitelja; samo kad je uključena provjera sadržaja, tekst poruke.

Ispitanici: posjetitelji web-mjesta Klijenta koji otvore stranicu sa zaštićenim obrascem ili pošalju takav obrazac.

Pohrana i brisanje: IP adresa pohranjuje se samo skraćena (IPv4 bez posljednjeg bajta, IPv6 prvih 48 bitova) i kao hash vrijednost s ključem koji se mijenja svaki dan, i to jedan sat; iskorišteni kontrolni tokeni najdulje jedanaest minuta; rezultati provjera bez IP adrese i bez teksta (radnja, ocjena, razlozi, domena, kategorija provjere sadržaja) 30 dana; dnevne brojke bez osobnog karaktera 400 dana; zapisnik web-poslužitelja 14 dana. Tekst poruke obrađuje se samo u radnoj memoriji i ne pohranjuje se, ne bilježi u zapisnike niti upotrebljava za učenje modela.

Gdje: na našim vlastitim poslužiteljima u Poljskoj, jezični model na vlastitom hardveru; dodatnih podizvršitelja obrade nema.

Prilog 2 – Tehničke i organizacijske mjere

Mjere su navedene na stranici Tehničke i organizacijske mjere. Ona je sastavni dio ovog Ugovora u verziji objavljenoj u mjerodavnom trenutku; izmjene uređuje § 8(3).

Prilog 3 – Podizvršitelji obrade

Odobreni podizvršitelji obrade navedeni su na stranici Podizvršitelji obrade. Ona je sastavni dio ovog Ugovora u verziji objavljenoj u mjerodavnom trenutku; izmjene uređuju § 9(2) i (3).

Otvoreno prije pokretanja: predviđeni pružatelj usluge e-pošte je Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Ugovor o obradi podataka primjenjiv na tu upotrebu, stvarna mjesta obrade i odgovarajuća osnova za prijenos tek trebaju biti dokumentirani. Ova verzija ne potvrđuje ni sklopljeni ugovor ni certifikaciju u okviru Data Privacy Frameworka.

Verzija

Verzija 2.2 od 29. listopada 2026., zamjenjuje verziju 2.1. Izmijenjeno: nova točka 10 u Prilogu 1 o zaštiti obrazaca formconfirmed; vrijedi samo ako je Klijent uključi. Nijedna druga odredba nije izmijenjena.

Verzija 2.1 od 22. listopada 2026., zamjenjuje verziju 2.0. Izmijenjeno: u slučaju odstupanja sada prednost ima poljska verzija umjesto njemačke; Ugovor je dostupan na svim službenim jezicima Europske unije (jezična klauzula). Nijedna druga odredba nije izmijenjena.

Verzija 2.0 od 11. listopada 2026., zamjenjuje verziju od 9. listopada 2026. Izmijenjeno: struktura prema Art. 28(3) OUZP-a uz upućivanje na standardne ugovorne klauzule 2021/915; Prilog 1 potpun za svaku funkciju, sada uključujući podatke za prijavu za skeniranje iza prijave, putanje obrazaca i ograničenja provjere dostave; tehničke i organizacijske mjere i popis podizvršitelja obrade zasebne su stranice i sastavni su dio Ugovora kao Prilozi 2 i 3; izbor između vraćanja i brisanja, sigurnosne kopije s istekom i ponovnim izvršavanjem zahtjeva za brisanje, bez fiksnog razdoblja čekanja za hitne revizije, odgovornost za podizvršitelje obrade kao za vlastito postupanje.

Kako vam možemo pomoći?