Ugovor o obradi podataka

Ovaj dokument je objavljen na više jezika. U slučaju neslaganja između jezičkih verzija, merodavna je poljska verzija.

Verzija 2.2 · Poslednje ažuriranje: 29. oktobar 2026.

Ugovor o obradi podataka o ličnosti u ime rukovaoca podacima o ličnosti prema čl. 28 Opšte uredbe o zaštiti podataka (GDPR)

između Klijenta usluge formexposed kao rukovaoca podacima o ličnosti („Klijent“) i LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, NIP (poljski poreski identifikacioni broj) 7252266190, kao obrađivača podataka o ličnosti („mi“).

Uvodne napomene: o čemu je ovaj Ugovor

formexposed proverava zaštitu kontakt obrazaca sajtova od neželjenih poruka i zloupotrebe, nadzire ih i prijavljuje promene. Za većinu podataka koji pri tome nastaju sami smo rukovalac podacima o ličnosti: za nalog klijenta, obračun, bezbednost Usluge, dnevnike i provere bez naloga. Naša Politika privatnosti opisuje tu obradu; ovaj Ugovor se na nju ne primenjuje.

Neke funkcije, međutim, unose podatke o ličnosti trećih lica u Uslugu, a Klijent je taj koji odlučuje o tim podacima: kopije stvarnih upita posetilaca njegovog sajta, adrese osoba koje primaju njegova upozorenja, podatke za prijavljivanje test naloga, kod koji nam daje na obradu. Te podatke obrađujemo samo u ime Klijenta. Ovaj Ugovor se na njih primenjuje. Koje su to funkcije detaljno je navedeno u Prilogu 1 na kraju ovog Ugovora.

Ugovor prati čl. 28(3) GDPR-a i po strukturi i sadržaju zasnovan je na standardnim ugovornim klauzulama Evropske komisije između rukovalaca i obrađivača podataka o ličnosti (Sprovedbena odluka (EU) 2021/915). Ne preuzima ih reč po reč, već opisuje stvarnu Uslugu. Kada obavezu prema čl. 28 GDPR-a detaljnije uređujemo, nivo zaštite iz Uredbe ne sme da bude snižen.

§ 1 Predmet, područje primene i uloge

(1) Predmet ovog Ugovora je naša obrada podataka o ličnosti u ime Klijenta pri pružanju Usluge prema našim Uslovima korišćenja. Predmet, priroda i svrha obrade, vrste podataka o ličnosti i kategorije lica na koja se podaci odnose navedeni su za svaku funkciju u Prilogu 1.

(2) Ovaj Ugovor ne obuhvata obradu za koju smo sami rukovalac podacima o ličnosti, posebno nalog klijenta i članove radnog prostora, prijavljivanje i bezbednost naloga, obračun, podršku, dnevnike, rezervne kopije ovih naših sopstvenih podataka, besplatnu proveru bez naloga, provere domena na nalogu za koje Klijent još nije dostavio dokaz o pravu upravljanja, proveru potencijalnog klijenta, studiju, oznaku i ono što WordPress dodatak i TYPO3 proširenje prenose: dnevne brojke, inventar dodataka i, za povezani WordPress dodatak, domene linkova iz blokiranih poruka za zajedničku zaštitu (podrazumevano uključenu). Osim toga, prema načinu na koji su ova proširenja napravljena, ti podaci ne sadrže sadržaj, imena, adrese ili IP adrese posetilaca. Nasuprot tome, rezervne kopije u meri u kojoj sadrže Podatke Klijenta i pristup Podacima Klijenta radi rada, otklanjanja problema i bezbednosti deo su obrade u ime Klijenta; na njih se primenjuju § 7(3) i § 15(5).

(3) Klijent je rukovalac podacima o ličnosti u smislu čl. 4(7) GDPR-a za podatke iz Priloga 1. Ako sam Klijent postupa kao obrađivač podataka o ličnosti za treće lice, na primer agencija za svoje klijente, za te podatke smo podobrađivač. Klijent tada obezbeđuje da je ovaj Ugovor u skladu sa obavezama iz njegovog sopstvenog ugovora i prosleđuje nam uputstva trećeg lica samo preko sebe.

(4) Zaključenje: Ugovor se zaključuje pri registraciji zajedno sa Uslovima korišćenja, sa svakim Klijentom, čak i ako ne koristi nijednu funkciju iz Priloga 1. Zaključuje se elektronski; time se ispunjava čl. 28(9) GDPR-a. U tu svrhu čuvamo prikazanu verziju, njenu kontrolnu sumu i vreme, IP adresu i identifikacioni string pregledača pri prihvatanju.

§ 2 Definicije

Izrazi poput „podaci o ličnosti“, „obrada“, „rukovalac podacima o ličnosti“, „obrađivač podataka o ličnosti“ i „povreda podataka o ličnosti“ imaju značenje iz čl. 4 GDPR-a. Pored toga:

• Podaci Klijenta znače podatke o ličnosti koje obrađujemo u ime Klijenta prema Prilogu 1.
• Podobrađivač znači dodatni obrađivač podataka o ličnosti kojeg angažujemo i koji pri tome obrađuje Podatke Klijenta (čl. 28(2) i (4) GDPR-a).
• Radni prostor znači oblast u Usluzi u kojoj Klijent upravlja svojim domenima, podešavanjima i članovima. Svi Podaci Klijenta dodeljeni su radnom prostoru.
• Tekstualni oblik znači svaku čitljivu izjavu na trajnom nosaču, posebno e-poruku.
• Dani znače kalendarske dane. Ako kraj roka pada u subotu, nedelju ili državni praznik u Poljskoj, završava se sledećeg radnog dana.

§ 3 Trajanje

(1) Ugovor važi dok god obrađujemo Podatke Klijenta. Počinje registracijom i ne prestaje samo zato što plaćeni paket prestane: nakon otkaza nalog nastavlja kao besplatan nalog, a sa njim, kada je primenljivo, i Podaci Klijenta. Prestaje kada je nalog izbrisan i više ne čuvamo Podatke Klijenta tog Klijenta, osim u rezervnim kopijama do njihovog isteka (§ 15).

(2) Obaveze koje po svojoj prirodi nastavljaju da deluju ostaju na snazi nakon prestanka, posebno poverljivost, brisanje, dokazivanje i odgovornost.

(3) Redovan otkaz samo ovog Ugovora je isključen, jer bez njega Podaci Klijenta ne bi mogli da se obrađuju dok god nalog postoji. Ako Klijent želi da ga okonča, briše nalog (§ 15(3)). Prava otkaza prema § 9(3) i § 16 i prava otkaza prema Uslovima korišćenja ostaju netaknuta.

§ 4 Uputstva

(1) Podatke Klijenta obrađujemo samo prema dokumentovanim uputstvima Klijenta, uključujući u pogledu prenosa u treću zemlju ili međunarodnu organizaciju. To ne važi kada pravo Unije ili države članice kojem podležemo zahteva da izvršimo obradu. U tom slučaju pre obrade obaveštavamo Klijenta o tom zakonskom zahtevu, osim ako to pravo zabranjuje takvo obaveštavanje iz važnih razloga javnog interesa (čl. 28(3), druga rečenica, tačka (a) GDPR-a).

(2) Uputstva Klijenta iscrpno su dokumentovana u ovom Ugovoru, Uslovima korišćenja i podešavanjima koja Klijent izvrši u Usluzi. Primeri: podešavanje provere isporuke e-pošte jeste uputstvo da prihvatamo i ocenjujemo kopije e-poruka iz obrasca; pravljenje odredišta upozorenja jeste uputstvo da tamo šaljemo obaveštenja; čuvanje test naloga jeste uputstvo da se njime prijavimo radi skeniranja nakon prijavljivanja. Usluga je napravljena tako da radi samo ono što ova podešavanja predviđaju.

(3) Klijent daje dodatna uputstva u tekstualnom obliku na contact@lukaswojcik.com ili preko prozora podrške. Vlasnik i administratori radnog prostora ovlašćeni su da daju uputstva; uputstva putem podešavanja u Usluzi daje onaj kome uloga dopušta da izvrši podešavanje. Klijent potvrđuje usmeno uputstvo u tekstualnom obliku bez nepotrebnog odlaganja; do tada možemo da sačekamo sa izvršenjem, osim ako se uputstvo odnosi na brisanje ili ograničenje podataka. Uputstvo koje prevazilazi dogovoreni obuhvat usluga tretiramo kao zahtev za promenu usluga; možemo da ga odbijemo ili uslovimo naknadom koju unapred navedemo u tekstualnom obliku. Po tom osnovu ne odbijamo uputstvo koje se odnosi na obavezu prema GDPR-u, poput brisanja.

(4) Ako po našem mišljenju uputstvo krši zakon, odmah obaveštavamo Klijenta (čl. 28(3), drugi podstav, GDPR-a). Možemo da obustavimo njegovo izvršenje dok Klijent ne potvrdi ili izmeni uputstvo. Ne izvršavamo očigledno nezakonito uputstvo. Nismo obavezni da sprovodimo sveobuhvatnu pravnu proveru svakog uputstva; odgovornost za njegovu zakonitost ostaje na Klijentu.

§ 5 Ograničenje svrhe i šta ne radimo sa Podacima Klijenta

(1) Podatke Klijenta obrađujemo samo za svrhe iz Priloga 1 i samo u meri u kojoj konkretna funkcija zahteva.

(2) Podatke Klijenta ne koristimo za sopstvene svrhe. Posebno ih ne analiziramo radi oglašavanja, ne prodajemo ih, ne povezujemo ih sa podacima drugih klijenata u profile i ne koristimo ih za obuku jezičkih modela. Jezički model koji pomaže pojedinačnim funkcijama radi na našem sopstvenom serveru; ništa se ne šalje spoljnoj usluzi veštačke inteligencije.

(3) Klijent nam dopušta da iz Podataka Klijenta sastavljamo zbirne brojke koje više ne mogu da se pripišu nijednoj osobi, klijentu ili domenu, na primer o isporukama, greškama ili rezultatima provera. Agregacija je obrada prema ovom Ugovoru; nastale brojke više nisu podaci o ličnosti ni Podaci Klijenta. Ne pokušavamo ponovo da identifikujemo osobe iz njih.

§ 6 Obaveze Klijenta

(1) Klijent je odgovoran za zakonitost obrade koju nam nalaže. To uključuje postojanje pravnog osnova i obaveštavanje lica na koja se podaci odnose prema čl. 13 i 14 GDPR-a.

(2) Ako Klijent koristi proveru isporuke e-pošte, u svojoj politici privatnosti obaveštava posetioce sajta da nam se šalje kopija e-poruke iz obrasca. Usluga prikazuje predlog teksta za to na stranici domena; dodatni tekstualni blokovi dostupni su na stranici Tekst politike privatnosti za Vaš veb-sajt. Predlog ne zamenjuje sopstvenu procenu Klijenta.

(3) Za skeniranje nakon prijavljivanja Klijent pravi namenski test nalog koji ima samo prava potrebna za čitanje navedenih stranica i ne prikazuje stvarne podatke klijenata, pacijenata, članova ili zaposlenih. Ne čuva podatke za prijavljivanje stvarne osobe ili podatke koje nije ovlašćen da koristi. Pravila korišćenja navedena su i na stranici Prihvatljivo korišćenje i zloupotrebe.

(4) Klijent ne obrađuje putem Usluge posebne kategorije podataka o ličnosti (čl. 9 GDPR-a) ili podatke koji se odnose na krivične osude (čl. 10 GDPR-a), u meri u kojoj to može da izbegne. Kada koristi „Fix it for me“, ne lepi kod koji sadrži stvarne podatke o ličnosti i pravi portale za klijente samo za osobe koje su naručile izveštaj.

(5) Portali za klijente: za mesečni izveštaj pretplatnicima Klijent, obično agencija, jeste rukovalac podacima o ličnosti. Usluga pribavlja potvrdu svakog pretplatnika preko linka za potvrdu (double opt-in) i nudi odjavu u svakoj e-poruci. Da li pristanak obuhvata sadržaj izveštaja procenjuje Klijent.

(6) Ako Klijent otkrije greške ili nepravilnosti u obradi, obaveštava nas bez nepotrebnog odlaganja.

(7) Ako Klijent ugradi oznaku, to nije obrada u njegovo ime; naša Politika privatnosti opisuje povezanu obradu. Klijent to navodi u svojoj politici privatnosti.

§ 7 Poverljivost

(1) Pristup Podacima Klijenta dajemo samo osobama kojima je potreban za njihove zadatke i koje su se obavezale na poverljivost ili podležu odgovarajućoj zakonskoj obavezi poverljivosti (čl. 28(3), druga rečenica, tačka (b) GDPR-a). Obaveza se nastavlja nakon prestanka njihovog rada.

(2) Trenutno vlasnik sam vodi Uslugu. Ako se pridruže dodatne osobe, obavezuju se na poverljivost i dobijaju uputstva o postupanju sa podacima o ličnosti pre prvog pristupa.

(3) Radni prostor pregledamo samo u meri neophodnoj za rad, otklanjanje problema, podršku ili sprečavanje zloupotrebe. Funkcija podrške „prikaz kao klijent“ ograničena je na jedan sat, blokira promene lozinke, adrese, drugog faktora, pretplate, izvoza i brisanja i beleži se; Klijent vidi pristup u svom izvozu podataka.

§ 8 Bezbednost obrade

(1) Preduzimamo tehničke i organizacione mere prema čl. 32 GDPR-a koje obezbeđuju nivo bezbednosti primeren riziku. Opisane su na stranici Tehničke i organizacione mere. Ta stranica deo je ovog Ugovora (Prilog 2) u verziji tamo objavljenoj u relevantnom trenutku. Klijent je mogao da pregleda opis pre zaključenja Ugovora. Da li mere pružaju primeren nivo bezbednosti za obradu koju nam Klijent poverava procenjuje Klijent na sopstvenu odgovornost (čl. 28(1) GDPR-a), posebno pre uključivanja funkcije iz Priloga 1.

(2) Stranica opisuje samo mere koje su zaista sprovedene. Sve planirano, a još nesprovedeno tamo je izričito označeno kao „planirano“ i ne čini deo mera na koje se obavezujemo dok ne bude sprovedeno.

(3) Mere možemo da prilagođavamo tehničkom napretku i razvoju Usluge dok god se ukupni nivo zaštite ne smanjuje. Svaku izmenu objavljujemo sa novim brojem verzije i datumom na stranici i u pregledu Izmene ugovorne dokumentacije. Ako izmena uklanja ranije opisanu meru bez zamene ili je slabi, dodatno obaveštavamo Klijenta u tekstualnom obliku najmanje 30 dana unapred; Klijent tada može da uloži prigovor kao u slučaju novog podobrađivača (§ 9(3)). Ako mera mora da se zameni u kratkom roku radi suzbijanja pretnje, to može da se uradi bez prethodne najave pod uslovom da se nivo zaštite zbog toga ne smanji; obaveštenje tada sledi bez nepotrebnog odlaganja.

§ 9 Podobrađivači

(1) Klijent nam daje opšte pisano ovlašćenje za angažovanje podobrađivača (čl. 28(2) GDPR-a). Podobrađivači koje trenutno angažujemo, sa svojim sedištem, svrhom, podacima, mestom obrade i osnovom eventualnog prenosa u treću zemlju, navedeni su na stranici Podobrađivači. Ta lista deo je ovog Ugovora (Prilog 3) u tamo objavljenoj verziji. Ovlašćenje se smatra datim za tamo navedene podobrađivače.

(2) Obaveštavamo Klijenta o svakom planiranom dodavanju ili zameni podobrađivača najmanje 30 dana unapred e-poštom na adresu nosioca naloga. Obaveštenje navodi podobrađivača, njegovo sedište, konkretnu funkciju, podatke, mesto obrade i osnov eventualnog prenosa. Istovremeno se najavljena izmena prikazuje na stranici podobrađivača i u pregledu izmena.

(3) Klijent može da uloži prigovor u tekstualnom obliku u tih 30 dana ako ima objektivan razlog koji se odnosi na zaštitu podataka; navodi razlog u prigovoru. Zatim zajedno sa Klijentom tražimo rešenje, na primer nastavljanjem rada konkretne funkcije za Klijenta bez novog podobrađivača ili njenim isključivanjem. Dok rešenje ne bude pronađeno, ne koristimo novog podobrađivača za Podatke Klijenta tog Klijenta; ako to tehnički nije moguće, konkretna funkcija se obustavlja za Klijenta. Ako rešenje nije pronađeno, Klijent može da otkaže ugovor za Uslugu ili pogođenu uslugu sa dejstvom na dan izmene i, ako ga tek nakon tog datuma obavestimo da rešenje nije moguće, sa trenutnim dejstvom u roku od 14 dana od tog obaveštenja. Za unapred plaćeni period koji zbog toga više ne može da koristi vraćamo srazmeran iznos. Naše pravo redovnog otkaza prema Uslovima korišćenja ostaje netaknuto.

(4) Svakom podobrađivaču ugovorom namećemo iste obaveze zaštite podataka koje ovaj Ugovor nameće nama, posebno dovoljne garancije za sprovođenje odgovarajućih tehničkih i organizacionih mera (čl. 28(4), prva rečenica, GDPR-a). Pažljivo biramo svakog podobrađivača i proveravamo da li ove garancije postoje pre angažovanja, ponovo ako bitno promeni uslove, a inače pri godišnjem pregledu naših mera. Kada podobrađivač dostavlja dokaze samo u obliku sertifikata, revizorskog izveštaja ili objavljenih uslova, proveru zasnivamo na tim dokazima ako su aktuelni i sadržajni. Na zahtev šaljemo Klijentu kopiju ugovora sa podobrađivačem ili njegovih uslova zaštite podataka; prethodno možemo da prikrijemo poslovne tajne i druge poverljive informacije, poput cena.

(5) Ako podobrađivač ne ispuni svoje obaveze zaštite podataka, ostajemo odgovorni Klijentu za izvršenje njegovih obaveza kao za sopstveno postupanje (čl. 28(4), druga rečenica, GDPR-a). Naš izbor podobrađivača ne prenosi nikakvu odgovornost na Klijenta. Ako podobrađivač ne ispuni ugovorne obaveze, a to se odnosi na Podatke Klijenta tog Klijenta, obaveštavamo Klijenta bez nepotrebnog odlaganja. Ako smo faktički nestali, prestali da postojimo u pravu ili postali insolventni bez pravnog sledbenika koji preuzima naše obaveze, Klijent treba da bude u mogućnosti da od podobrađivača zahteva brisanje ili vraćanje Podataka Klijenta; to ugovaramo sa svakim podobrađivačem u meri u kojoj dopušta (up. klauzulu 7.7(e) standardnih ugovornih klauzula 2021/915).

(6) Nisu podobrađivači primaoci kojima se podaci šalju samo zato što ih sam Klijent podesi kao odredište u Usluzi: usluge za razgovor (poput Slack-a, Discord-a, Microsoft Teams-a, Google Chat-a) i webhook adrese za upozorenja. Podešavanje odredišta je uputstvo da se tamo pošalje obaveštenje; ugovorni odnos sa tim pružaocima i eventualni potrebni osnov prenosa u treću zemlju odgovornost su Klijenta. Naše sopstvene obaveze prema ovom Ugovoru do trenutka predaje obaveštenja ostaju netaknute. Telegram je takođe odredište koje bira Klijent, ali radi drugačije: šaljemo poruku preko svog bota u razgovor koji je primalac sam povezao sa botom, a Telegram je obrađuje izvan Evropskog ekonomskog prostora. Izborom Telegram-a Klijent nam izričito nalaže da tamo prenosimo obaveštenja (čl. 28(3), druga rečenica, tačka (a) GDPR-a); ako bi Telegram u tom pogledu morao da se klasifikuje kao naš podobrađivač, izbor ovog odredišta istovremeno se smatra posebnim ovlašćenjem prema čl. 28(2) GDPR-a za tu svrhu. Osnov iz Poglavlja V GDPR-a na kojem se ovaj prenos vrši još nije konačno utvrđen; ko želi da izbegne prenos bez utvrđenog osnova bira drugo odredište. Isto tako, pružaoci koji samo prenose podatke, poput našeg pružaoca internet usluge, nisu podobrađivači.

(7) Serverima, bazom podataka i računarskim kapacitetima, uključujući za jezički model, sami upravljamo u Poljskoj. Nije uključen hosting pružalac ili pružalac usluga u oblaku.

§ 10 Prenosi u treće zemlje

(1) Naši sopstveni serveri na kojima obrađujemo Podatke Klijenta nalaze se u Poljskoj; kada podobrađivač obrađuje Podatke Klijenta, Prilog 3 navodi lokaciju. Prenos u zemlju izvan Evropskog ekonomskog prostora vrši se samo ako su ispunjeni uslovi iz čl. 44 do 49 GDPR-a i samo prema uputstvima Klijenta prema § 4 ili podobrađivaču ovlašćenom prema § 9.

(2) Osnov za svakog podobrađivača (odluka o primerenosti, poput one za EU-U.S. Data Privacy Framework u slučaju sertifikovanih primalaca, ili standardne ugovorne klauzule prema čl. 46(2)(c) GDPR-a) naveden je na listi podobrađivača. Kada na listi za primaoca piše „treba proveriti“, Podaci Klijenta mu se ne šalju dok osnov ne bude dokumentovan. Ako angažujemo podobrađivača izvan Evropskog ekonomskog prostora, a odluka o primerenosti se ne primenjuje, sa njim ugovaramo standardne ugovorne klauzule prema Sprovedbenoj odluci (EU) 2021/914 (Modul 3: obrađivač obrađivaču), prethodno procenjujemo da li pravo i praksa odredišne zemlje dopuštaju njihovo poštovanje, preduzimamo eventualne potrebne dopunske mere i beležimo rezultat. Klijent na zahtev dobija sažetak te procene.

(3) Za prenose odredištima koja Klijent sam bira (§ 9(6)), Klijent je odgovoran za osnov.

§ 11 Pomoć pri ostvarivanju prava lica na koja se podaci odnose

(1) Uzimajući u obzir prirodu obrade, pomažemo Klijentu odgovarajućim tehničkim i organizacionim merama, u meri u kojoj je to moguće, da odgovori na zahteve lica na koja se podaci odnose prema Poglavlju III GDPR-a (čl. 28(3), druga rečenica, tačka (e) GDPR-a).

(2) Veći deo toga Klijent može sam da uradi u Usluzi: promeni ili izbriše odredišta upozorenja, test podatke za prijavljivanje i sopstveni brend; promeni ili isključi putanje obrazaca; opozove portale za klijente (njihovi pretplatnici ostaju sačuvani do brisanja radnog prostora); ukloni domen zajedno sa njegovim podacima; preuzme izvoz podataka. Gde to nije dovoljno, pomažemo na zahtev u tekstualnom obliku.

(3) Ako nam se lice na koje se podaci odnose obrati zahtevom u vezi sa Podacima Klijenta, ne odgovaramo sami o suštini, već ga prosleđujemo Klijentu bez nepotrebnog odlaganja i najkasnije sedam dana nakon prijema, u meri u kojoj možemo da identifikujemo Klijenta, i kažemo osobi da smo to uradili. Ako ne možemo da identifikujemo Klijenta, kažemo osobi koje informacije su nam potrebne da ga pronađemo.

(4) Jedno ograničenje navodimo otvoreno: kopije e-poruka iz obrazaca iz provere isporuke e-pošte ne čuvamo u bazi podataka, a e-poruka se briše iz sandučeta nakon uspešne obrade ili sa odlaganjem u slučaju greške pri preuzimanju ili brisanju. Za određenog posetioca zato obično možemo samo da kažemo da više ne čuvamo nikakav sadržaj.

(5) Ako saznamo da su Podaci Klijenta netačni ili zastareli, obaveštavamo Klijenta bez nepotrebnog odlaganja. Klijent zatim može sam da ih ispravi, izbriše ili ograniči u Usluzi ili uputstvom nama.

§ 12 Pomoć u vezi sa bezbednošću, procenom uticaja i konsultacijom

(1) Uzimajući u obzir prirodu obrade i informacije koje su nam dostupne, pomažemo Klijentu pri ispunjavanju njegovih obaveza prema čl. 32 do 36 GDPR-a: bezbednost obrade, obaveštavanje o povredama i njihovo saopštavanje, procena uticaja na zaštitu podataka i prethodna konsultacija nadzornog organa (čl. 28(3), druga rečenica, tačka (f) GDPR-a).

(2) U tu svrhu posebno pružamo opis mera, listu podobrađivača i, na zahtev, dodatne informacije o tokovima podataka i rokovima čuvanja. Sopstvenu procenu rizika Usluge objavljujemo u Proceni uticaja na zaštitu podataka; Klijent može da je koristi za sopstvenu procenu.

(3) Za pomoć prema §§ 11 i 12 koju Klijent ne može sebi da obezbedi funkcijama Usluge ili objavljenim dokumentima, koja zahteva više od četiri sata rada po kalendarskoj godini i nije posledica našeg kršenja ovog Ugovora ili GDPR-a, možemo da naplatimo vreme iznad toga po satnici koju unapred navedemo u tekstualnom obliku. Prosleđivanje zahteva i obaveštavanje o povredama uvek su besplatni. Zakonom dugovanu pomoć ne uslovljavamo plaćanjem ili sporazumom o naknadi.

§ 13 Povrede podataka o ličnosti

(1) Ako saznamo za povredu podataka o ličnosti koja utiče na Podatke Klijenta tog Klijenta, obaveštavamo Klijenta bez nepotrebnog odlaganja, ako je moguće u roku od 48 sati, e-poštom na adresu nosioca naloga (čl. 33(2) GDPR-a). Time se nastoji da se ne skrati rok od 72 sata koji Klijent mora da poštuje prema nadzornom organu. Za povredu znamo čim sa razumnom izvesnošću utvrdimo da bezbednosni incident utiče na Podatke Klijenta tog Klijenta; svaku sumnju istražujemo bez nepotrebnog odlaganja. Isto važi za povredu kod podobrađivača čim nas o njoj obavesti.

(2) Obaveštenje sadrži, u meri u kojoj je poznato, informacije prema čl. 33(3) GDPR-a: prirodu povrede, uključujući vreme ili period nastanka, gde je moguće kategorije i približan broj pogođenih lica i zapisa, kontakt tačku za dodatne informacije, verovatne posledice i preduzete ili predložene mere. Sve što još nije utvrđeno u vreme prvog obaveštenja dostavljamo bez daljeg nepotrebnog odlaganja.

(3) Odmah preduzimamo mere potrebne za otklanjanje povrede i ublažavanje njenih posledica i dogovaramo dalje korake sa Klijentom. Dokumentujemo svaku povredu sa činjenicama, njenim posledicama i preduzetim korektivnim merama i na zahtev stavljamo dokumentaciju na raspolaganje Klijentu.

(4) Obaveštavanje nadzornog organa ili saopštavanje licima na koja se podaci odnose vrši Klijent. Mi to radimo samo prema njegovim uputstvima.

(5) Prijave bezbednosnih ranjivosti koje treća lica pronađu u Usluzi primamo na stranici Bezbednost.

(6) Obaveštenje i naša saradnja prema ovom odeljku ne predstavljaju priznanje povrede obaveze ili odgovornosti. Ako povreda utiče i na podatke za koje smo sami rukovalac podacima o ličnosti, ispunjavamo sopstvene obaveze prema čl. 33 i 34 GDPR-a za te podatke; pri tome otkrivamo Podatke Klijenta tog Klijenta samo u meri neophodnoj za tu svrhu.

§ 14 Dokazi i revizije

(1) Klijentu stavljamo na raspolaganje sve informacije potrebne za dokazivanje poštovanja obaveza prema čl. 28 GDPR-a i omogućavamo revizije, uključujući inspekcije, koje sprovodi Klijent ili revizor kojeg ovlasti, i doprinosimo im (čl. 28(3), druga rečenica, tačka (h) GDPR-a).

(2) Poštovanje prvenstveno dokazujemo dokumentima: opisom mera, listom podobrađivača, Evidencijom radnji obrade koja obuhvata obradu u ime klijenata (čl. 30(2) GDPR-a), pisanim odgovorima na upitnike i, na zahtev, izvodima iz dnevnika ili rezultata testa obnove. Na upitnike odgovaramo u roku od 30 dana od prijema i, kada postoji razlog prema stavu 4, onoliko brzo koliko taj razlog zahteva. Spoljni revizorski izveštaji ili sertifikacije trenutno ne postoje; to kažemo da niko ne bi pretpostavio da postoje.

(3) Ako dokumenti nisu dovoljni, Klijent može da zatraži reviziju, uključujući na licu mesta. Klijent najavljuje rutinsku reviziju najmanje 30 dana unapred u tekstualnom obliku, navodeći predmet, očekivano trajanje i revizora; sprovodi se tokom uobičajenog radnog vremena u Poljskoj i zakazuje tako da se rad nepotrebno ne ometa. Rutinske revizije na licu mesta sprovode se najviše jednom po kalendarskoj godini; stav 4 ostaje netaknut.

(4) Nema utvrđenog roka čekanja kada postoji hitan razlog. U slučaju povrede podataka o ličnosti, konkretnih pokazatelja kršenja ovog Ugovora ili GDPR-a i zahteva nadzornog organa za reviziju ne primenjuju se ni rok najave od 30 dana ni ograničenje od jedne revizije godišnje. Revizija se tada sprovodi čim razlog zahteva i kako je organizaciono moguće.

(5) Klijent može da ovlasti revizora vezanog poverljivošću koji niti nudi uslugu uporedivu sa formexposed niti radi za takvog pružaoca. Od revizora možemo da zahtevamo da ne odnose ili beleže tajne drugih klijenata, podatke za prijavljivanje ili bezbednosne detalje. Klijent i njegov revizor tretiraju kao poverljivo ono što saznaju o našem radu tokom revizije i koriste to samo radi provere poštovanja ovog Ugovora i GDPR-a; mogu da otkriju nadležnom nadzornom organu, savetnicima vezanim poverljivošću i u meri u kojoj zakon zahteva. Takvi dogovori ne smeju da osujete zakonska prava na reviziju.

(6) Svaka strana snosi sopstvene troškove revizije. Ako naš ukupan rad na revizijama i upitnicima Klijenta premaši osam sati po kalendarskoj godini, možemo da naplatimo vreme iznad toga po satnici koju unapred navedemo u tekstualnom obliku, ali ne ako revizija otkrije naše kršenje ili se sprovodi iz razloga prema stavu 4 za koji smo odgovorni. Samu reviziju ne uslovljavamo plaćanjem.

(7) Ovlašćenja nadzornih organa ostaju netaknuta. Za nas je nadležan nadzorni organ predsednik Kancelarije za zaštitu podataka o ličnosti (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Obe strane na zahtev stavljaju informacije prema ovom odeljku, uključujući rezultate revizija, na raspolaganje nadležnom nadzornom organu.

§ 15 Brisanje i vraćanje

(1) Tokom trajanja važe rokovi čuvanja iz Priloga 1. Sprovode se noćnim postupkom koji briše prema istim podešavanjima koja se pojavljuju i u tekstovima.

(2) Izbor između vraćanja i brisanja. Nakon prestanka obrade Klijent odlučuje da li vraćamo ili brišemo Podatke Klijenta (čl. 28(3), druga rečenica, tačka (g) GDPR-a). Vraćanje se vrši izvozom podataka koji Klijent može sam da preuzme u podešavanjima kao mašinski čitljivu datoteku ili ga mi vršimo na zahtev u tekstualnom obliku u roku od 30 dana, kada obuhvata i Podatke Klijenta koji nisu sadržani u izvozu, u meri u kojoj mogu da se vrate (stav 4). Brisanje se vrši uklanjanjem domena, koje briše njegove podatke, ili brisanjem naloga, koje sam Klijent pokreće. Ako Klijent želi i vraćanje i brisanje, prvo preuzima izvoz, pa zatim briše.

(3) Ako Klijent ne izabere i izbriše nalog, to se smatra izborom brisanja. Pri brisanju naloga radni prostori čiji je Klijent jedini vlasnik brišu se odmah u aktivnom sistemu zajedno sa svim Podacima Klijenta. Ako radni prostor ima dodatne članove, prelazi na člana sa najdužim članstvom, administratore pre posmatrača, i ne briše se; taj član time postaje Klijent za taj radni prostor. Ko to ne želi, uklanja druge članove ili domene pre brisanja. Ako ugovor za nalog prestane na drugi način, na primer našim otkazom prema Uslovima korišćenja, zajedno sa obaveštenjem o otkazu upućujemo Klijenta na izvoz i Klijent može da ga preuzme do prestanka ugovora. Najkasnije 30 dana nakon prestanka ugovora brišemo nalog zajedno sa Podacima Klijenta; to se trenutno radi ručno.

(4) Unapred kažemo šta ne može da se vrati: podaci za prijavljivanje za skeniranje nakon prijavljivanja nisu deo izvoza jer veb-server ne može da ih dešifruje (Prilog 1, stavka 5); kopije provere isporuke e-pošte više ne postoje nakon obrade; kod iz „Fix it for me“ se uopšte ne čuva.

(5) Rezervne kopije. Rezervna kopija baze podataka pravi se svake noći. Svaka rezervna kopija briše se nakon 14 dana. Podaci Klijenta izbrisani u aktivnom sistemu do tada ostaju u starijim rezervnim kopijama; pojedinačni zapisi ne brišu se selektivno u rezervnoj kopiji jer ona mora da bude neizmenjena slika određenog trenutka. Do isteka rezervne kopije zaštićene su kao i sama baza podataka i koriste se samo za obnovu i testiranje obnove; ne pretražuju se i ne analiziraju. Ako moramo da obnovimo rezervnu kopiju, ponovo izvršavamo zahteve za brisanje podnete nakon njenog datuma, u meri u kojoj za njih znamo, pre ponovnog puštanja Usluge u rad. Zapis je zato nestao i iz rezervnih kopija najkasnije 14 dana nakon brisanja u aktivnom sistemu.

(6) Prema trenutnom stanju nemamo obavezu čuvanja Podataka Klijenta. Ako nastane zakonska obaveza čuvanja prema pravu Unije ili poljskom pravu, ograničavamo konkretne podatke umesto brisanja, koristimo ih samo za tu svrhu i brišemo ih kada obaveza istekne.

(7) Na zahtev potvrđujemo brisanje u tekstualnom obliku u roku od 30 dana, navodeći šta još postoji prema stavovima 5 i 6 i do kada.

§ 16 Kršenja, obustava i prestanak

(1) Ako iz bilo kog razloga nismo u mogućnosti da ispunimo obavezu prema ovom Ugovoru, obaveštavamo Klijenta bez nepotrebnog odlaganja.

(2) Ako prekršimo ovaj Ugovor ili GDPR, Klijent može da zahteva obustavu obrade konkretnih Podataka Klijenta dok kršenje ne bude otklonjeno. Ako kršenje traje ili je ozbiljno, Klijent može da otkaže ugovor za Uslugu iz opravdanog razloga, posebno ako ne otklonimo kršenje u roku od jednog meseca od obaveštenja ili ne postupimo po odluci suda ili nadzornog organa koja se na njega odnosi. Unapred plaćene naknade za period nakon prestanka ugovora vraćamo srazmerno.

(3) Ako Klijent insistira na uputstvu koje smatramo nezakonitim prema § 4(4), možemo da otkažemo ugovor za pogođenu uslugu, pod uslovom da smo prethodno obavestili Klijenta i da ne promeni uputstvo u roku od jednog meseca.

(4) Nakon prestanka važi § 15.

§ 17 Odgovornost

(1) Za štetu koju pretrpi lice na koje se podaci odnose primenjuje se čl. 82 GDPR-a. Ova odgovornost nije ograničena nijednim ugovornim ograničenjem odgovornosti, uključujući ono u Uslovima korišćenja.

(2) Ako je strana isplatila naknadu licu na koje se podaci odnose prema čl. 82 GDPR-a, može od druge strane da zahteva deo koji odgovara udelu odgovornosti druge strane za štetu (čl. 82(4) i (5) GDPR-a). Ni ovaj regres nije ograničen ograničenjima odgovornosti iz Uslova korišćenja.

(3) Za sve druge zahteve između Klijenta i nas prema ovom Ugovoru, na primer naknadu sopstvene štete ili troškova strane, važe pravila odgovornosti iz Uslova korišćenja u meri dopuštenoj zakonom. Za podobrađivače odgovaramo prema § 9(5) kao za sopstveno postupanje. Novčanu kaznu koju nadzorni organ izrekne strani za njeno sopstveno kršenje snosi sama ta strana.

(4) Ako lice na koje se podaci odnose ili nadzorni organ podnese zahtev protiv jedne strane, ta strana obaveštava drugu bez nepotrebnog odlaganja i obe sarađuju na razjašnjavanju stvari. Nijedna strana ne priznaje zahtev za koji namerava da traži regres od druge bez saglasnosti te druge strane; saglasnost ne sme da bude odbijena bez objektivnog razloga.

§ 18 Kontakt tačka i lice za zaštitu podataka o ličnosti

(1) Klijent upućuje pitanja o zaštiti podataka u vezi sa ovim Ugovorom, uputstva i obaveštenja na contact@lukaswojcik.com ili preko prozora podrške i stranice Kontakt. Naša obaveštenja prema ovom Ugovoru šalju se na adresu e-pošte nosioca naloga; Klijent je održava ažurnom.

(2) Nismo odredili lice za zaštitu podataka o ličnosti jer, prema našoj proceni, uslovi iz čl. 37(1) GDPR-a nisu ispunjeni. Ako se to promeni, objavićemo određivanje u ovom Ugovoru.

§ 19 Završne odredbe

(1) Prvenstvo. Ako je odredba Uslova korišćenja ili drugog sporazuma u sukobu sa ovim Ugovorom, ovaj Ugovor ima prednost u svim pitanjima obrade Podataka Klijenta; sopstveni uslovi poslovanja Klijenta ne primenjuju se. Izmene i dopune ovog Ugovora u pojedinačnom slučaju zahtevaju tekstualni oblik i moraju izričito da se pozovu na njega; postaju deo ovog Ugovora i imaju prednost nad njim u obimu svojih odredaba. Ako je ovaj Ugovor u sukobu sa prinudnim odredbama GDPR-a, te odredbe imaju prednost.

(2) Izmene. Ovaj Ugovor menjamo samo iz jednog od sledećih objektivnih razloga: promena zakona ili njegovog tumačenja od sudova i nadležnih organa, uključujući nove standardne ugovorne klauzule Evropske komisije; promena Usluge, njenih funkcija ili tehničke osnove; promena treće strane neophodne za pružanje Usluge; sprečavanje zloupotrebe ili bezbednosnih rizika; ili ispravljanje grešaka i nejasnoća. Izmene najavljujemo, uz izmenjeni tekst, razlog i planirani datum, najmanje 30 dana unapred e-poštom na adresu nosioca naloga i u pregledu izmena. Bez ovog roka najave menjamo samo ono što je isključivo u korist Klijenta, čisto jezičke prirode ili ispravlja očigledne greške, ono što zakon, sud ili nadležni organ zahteva u kraćem roku i ono što je neophodno za otklanjanje neposrednog bezbednosnog rizika; i u tim slučajevima saopštavamo izmenu što je pre moguće i navodimo razlog. Ćutanje ne predstavlja saglasnost. Kada izmena zahteva saglasnost Klijenta, izričito je pribavljamo; bez nje nastavlja da važi prethodna verzija, a zakonska i ugovorna prava otkaza ostaju. Klijent može u tekstualnom obliku da uloži prigovor na najavljenu izmenu do njenog stupanja na snagu; posledice su uređene odredbama Uslova korišćenja o prigovorima na izmenu. Izmene Priloga 2 i 3 uređene su § 8(3) i § 9(2) i (3). Sve verzije beleže se u pregledu Izmene ugovorne dokumentacije.

(3) Merodavno pravo i mesto nadležnosti. Primenjuje se pravo određeno Uslovima korišćenja; prinudne odredbe GDPR-a ostaju netaknute. Mesto nadležnosti uređeno je Uslovima korišćenja.

(4) Jezik. Ugovor je dostupan na svim službenim jezicima Evropske unije. U slučaju neslaganja, merodavna je poljska verzija.

(5) Ako je odredba nevažeća, ostatak Ugovora ostaje važeći. Nevažeću odredbu zamenjuje zakonska odredba koja je najbliža njenoj svrsi; u slučaju sumnje, odredba koja ispunjava zahteve čl. 28(3) GDPR-a.

Prilog 1 – Obrada u ime Klijenta

Za svaku funkciju ovaj Prilog opisuje predmet, prirodu i svrhu obrade, vrste podataka o ličnosti, kategorije lica na koja se podaci odnose i brisanje (čl. 28(3), prva rečenica, GDPR-a). Ako nije drugačije navedeno, priroda obrade je: prikupljanje, čuvanje, preuzimanje, usklađivanje, prenos odredištima koja navede Klijent i brisanje. Mesto obrade su naši sopstveni serveri u Poljskoj; kada je podobrađivač uključen, to je navedeno. Rokovi u vitičastim zagradama su podešavanja prema kojima noćni postupak brisanja zaista radi. Trajanje obrade je trajanje ovog Ugovora (§ 3); u okviru tog trajanja važe rokovi brisanja navedeni za svaku funkciju. Obrada se sprovodi kontinuirano dok god Klijent koristi funkciju. Posebne kategorije podataka o ličnosti nisu predmet obrade; ako ipak uđu u Uslugu putem e-poruka iz obrazaca, važi § 6(4).

1. Provera isporuke e-pošte

Svrha: proveriti da li e-poruke iz obrasca Klijenta stižu i da li su autentične (SPF, DKIM, DMARC).

Kako funkcioniše: funkcija je opciona. Klijent unosi adresu kontrolnog sandučeta kao skrivenu kopiju (Bcc) u svoj obrazac. Zbog toga nam se šalje kopija svake e-poruke iz obrasca, ne samo kopije naših test slanja već i stvarnih upita njegovih posetilaca. Automatsko preuzimanje čita preko IMAP-a zaglavlja i najviše prvih 8 KB teksta, dodeljuje e-poruku domenu i, kada je primenljivo, test slanju i proverava pokazatelje autentičnosti. Nakon uspešne obrade e-poruka se briše iz sandučeta. U slučaju greške pri preuzimanju ili brisanju može da ostane u sandučetu do sledećeg uspešnog izvršavanja.

Podaci: sadržaj i zaglavlja e-poruka iz obrazaca sa svime što posetioci unesu, poput imena, adrese e-pošte, broja telefona i poruke, kao i adrese pošiljalaca i primalaca i tehničke informacije o uključenim serverima e-pošte.

Lica na koja se podaci odnose: posetioci sajta Klijenta koji šalju obrazac; primaoci e-pošte iz obrazaca kod Klijenta.

Čuvanje i brisanje: u bazi podataka čuvaju se samo vreme, dodela domenu, kada je primenljivo identifikator test slanja i rezultati provere autentičnosti. Vreme i dodela čuvaju se 180 dana; najnoviji rezultat provere autentičnosti čuva se sa domenom dok ga sledeća e-poruka ne zameni ili se domen ne izbriše. Rezultat provere autentičnosti sadrži IP adresu servera koji isporučuje e-poštu i domen adrese pošiljaoca; upozorenje navodi taj domen samo ako ne pripada sajtu. Sadržaj i pune adrese pošiljalaca posetilaca ne čuvaju se u bazi podataka. Sama e-poruka briše se iz sandučeta nakon uspešne obrade ili sa odlaganjem u slučaju greške pri preuzimanju ili brisanju.

Uključeni: pružalac usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za sanduče; kopije stižu do njega direktno preko MX zapisa našeg domena, ne prosleđivanjem, videti Podobrađivači.

Ograničenje: podudaranje potvrđuje samo da je odgovarajuća kopija stigla u kontrolno sanduče, ne prijem kod stvarnog primaoca ili unos u CRM. Bez kontrolnog sandučeta funkcija nije dostupna. Kopije ne bi trebalo da sadrže posebne kategorije podataka o ličnosti (§ 6(4)).

2. Portal za klijente i mesečni izveštaj pretplatnicima

Svrha: slanje mesečnog izveštaja o obrascima sajta u ime Klijenta, obično agencije svojim klijentima, i pružanje portala sa ovim izveštajima.

Podaci: adresa e-pošte, jezik, vreme i IP adresa pretplate, vreme potvrde (double opt-in) i odjave; sadržaj izveštaja (domen, rezultati provera, brojke).

Lica na koja se podaci odnose: klijenti i kontakt osobe Klijenta koji se pretplate na izveštaj.

Brisanje: nepotvrđene pretplate nakon 30 dana. Nakon odjave zapis o pretplati, potvrdi i odjavi čuva se tri godine kako bi Klijent mogao da dokaže pristanak. Sve se briše najkasnije zajedno sa radnim prostorom; samo opozivanje portala ne briše njegove pretplatnike.

Uključeni: pružalac usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za slanje.

3. Upozorenja, izveštaji i incidenti

Svrha: isporuka upozorenja, pregleda i izveštaja odredištima koja Klijent podesi i upravljanje incidentima.

Podaci: adrese e-pošte, adrese webhook-ova i kanala za razgovor, ID Telegram razgovora nakon što ga je primalac povezao; sadržaj obaveštenja (domen, događaj, vreme, link ka Usluzi, za upozorenja o proverama link izveštaja preko kojeg se rezultatima i snimcima ekrana može pristupiti bez prijavljivanja; Telegram prima samo link ka stranici domena na nalogu, koja zahteva prijavljivanje, umesto linka izveštaja); dnevnik slanja; pokušaji isporuke eskalacija po incidentu i odredištu (broj, vremena, rezultat, greška); ime ili adresa e-pošte osobe koja potvrdi prijem incidenta i odgovorna osoba sa rokom.

Lica na koja se podaci odnose: zaposleni i pružaoci usluga Klijenta koji primaju upozorenja ili obrađuju incidente.

Brisanje: odredišta dok ih Klijent ne ukloni ili izbriše domen; dnevnik slanja nakon 90 dana; prikupljena obaveštenja 30 dana nakon slanja; incidenti dok su nerešeni i 180 dana nakon rešavanja, zajedno sa pokušajima isporuke eskalacija.

Uključeni: pružalac usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za e-poštu; za usluge razgovora i webhook-ove, pružaoci koje je Klijent izabrao (§ 9(6)).

4. Provera sajtova Klijenta: osobe koje su slučajno vidljive

Svrha: provera i nadzor obrazaca i njihove zaštite na domenima Klijenta za koje je dostavio dokaz o pravu upravljanja. Dok dokaz za domen nedostaje, proveravamo ga samo pasivno i sami smo rukovalac podacima o ličnosti za te provere; to je opisano u Politici privatnosti.

Podaci: skeniranje čita javne stranice domena: adrese stranica, strukturu obrazaca (imena polja, tipove, oznake, atribute obaveznosti i vidljivosti, bez vrednosti; skener čita početke unapred popunjenih skrivenih polja i data atributa samo tokom provere i ne čuva ih), ugrađene skripte, zaštitne mere. Pravi snimke ekrana vidljivog dela početne stranice i obrazaca i, za aktivna test slanja, stranice odgovora; oni nisu obrađeni radi prikrivanja sadržaja. Oni i pročitani sadržaj stranice mogu da sadrže podatke o ličnosti koje sam Klijent objavljuje, poput imena i kontakt podataka kontakt osoba, fotografija ili recenzija. Adrese primalaca obrazaca čuvamo samo kao domen. Za svaku proveru Usluga pravi izveštaj pod nasumičnim linkom preko kojeg se rezultatima i snimcima ekrana može pristupiti bez prijavljivanja do brisanja provere; link se pojavljuje u nalogu i upozorenjima (stavka 3). Ko prosledi link, prosleđuje izveštaj.

Lica na koja se podaci odnose: osobe čiji su podaci vidljivi na sajtu Klijenta.

Brisanje: rezultati provera uključujući snimke ekrana najviše 13 meseci; najnovija provera čuva se dok god je domen na nalogu. Kada se domen ukloni, podaci domena se brišu, uključujući provere, nalaze i snimke ekrana.

Napomena: jezički model na našem sopstvenom serveru pomaže da se klasifikuju obrasci čiju namenu sama pravila ne mogu da prepoznaju. Obrasci klasifikovani na ovaj način nikada se ne šalju i ne uračunavaju se u ocenu u poenima ili zaključnu procenu. Aktivna test slanja (najviše pet po proveri) sadrže samo označene test tekstove bez podataka o ličnosti.

Plan mera u odgovarajućim izveštajima. Za provere verifikovanih domena opisane u stavci 4 naš lokalni jezički model može da generiše i kratak prioritetni plan mera iz imena hosta, adresa stranica obrazaca, tipova obrazaca, CMS informacija, postojećeg nivoa rizika i ocene u poenima kada su dostupni, eventualno identifikovanog dodatka i odabranih neuspešnih ili nejasnih nalaza. Ova polja mogu slučajno da sadrže podatke o ličnosti. Upit modelu ne uključuje snimke ekrana, unete vrednosti obrazaca ili ceo izvorni kod stranice. Plan podržava istu proveru zaštite obrasca, ne menja sajt i ne određuje njegovu ocenu u poenima ili zaključnu procenu. Privremeni zahtevi i odgovori čuvaju se u internom redu poslova do preuzimanja ili planiranog čišćenja unosa starijih od jednog sata; to nije bezuslovna garancija brisanja tokom prekida. Preuzeti plan čuva se sa skeniranjem prema istim pravilima čuvanja i brisanja. Razlika u ulogama za pasivne provere neverifikovanih domena iz stavke 4 i dalje važi.

5. Podaci za prijavljivanje test naloga za skeniranje nakon prijavljivanja

Svrha: čitanje obrazaca na do pet stranica dostupnih nakon prijavljivanja koje je Klijent naveo. Samo za verifikovane domene, samo od vlasnika i administratora radnog prostora, samo u plaćenim paketima. Test nalog koristi se samo u potpunoj proveri, ne u proverama u pregledaču (stavka 6).

Podaci: adresa za prijavljivanje, korisničko ime i lozinka test naloga, informacije o poljima za prijavljivanje; sve što je tom nalogu vidljivo na pročitanim stranicama, u meri u kojoj se odnosi na strukturu obrazaca.

Lica na koja se podaci odnose: osoba na čije ime glasi test nalog, ako je dodeljen osobi; osobe čiji su podaci vidljivi u test nalogu.

Zaštita: korisničko ime i lozinka šifruju se na veb-serveru javnim ključem servera za skeniranje i vezuju za domen. Samo server za skeniranje može da ih dešifruje, tokom skeniranja; veb-server, baza podataka i rezervne kopije sadrže samo šifrovani tekst. Podaci za prijavljivanje nikada se ne prikazuju, ne beleže u dnevnike i ne iznose preko interfejsa; korisnički interfejs prikazuje samo prvi znak i dužinu korisničkog imena. Nakon prijavljivanja ništa se ne šalje, ne sprovodi se aktivni test i ne pravi se snimak ekrana; stranice za odjavljivanje, brisanje ili otkazivanje se ne posećuju.

Brisanje: dok Klijent ne ukloni podatke za prijavljivanje ili izbriše domen; uklanjanje prepisuje šifrovani tekst i briše poslove na čekanju. Kopija priložena pojedinačnom poslu skeniranja briše se nakon izvršavanja, a eventualni ostaci najkasnije nakon jednog sata.

6. Putanje obrazaca i provere u pregledaču

Svrha: redovne provere da li podešeni obrasci rade u pravom pregledaču do tačke pre slanja.

Podaci: adrese obrazaca, selektori, prethodni klikovi i koraci provere, izbor pregledača, odgovorna osoba i rok; rezultati sa statusom, kategorijama tehničkih grešaka, prečišćenim porukama o greškama, vremenima i snimkom ekrana obrasca na kojem su polja za unos prekrivena. Veza sa osobom nastaje uglavnom preko odgovorne osobe i sadržaja koji sam Klijent upiše u korake ili nazive.

Lica na koja se podaci odnose: zaposleni Klijenta kojima su obrasci dodeljeni.

Brisanje: konfiguracije do brisanja domena; Klijent može pojedinačno da ih promeni ili isključi, ali trenutno ne može pojedinačno da ih ukloni. Rezultati nakon 13 meseci.

Ograničenje: provere u pregledaču ništa ne šalju. Nezavisna druga sonda predviđena je u Usluzi, ali trenutno nije podešena; bez nje nema potvrde sa druge lokacije. Ako se podesi kod treće strane, primenjuje se § 9.

7. „Fix it for me“

Svrha: ubacivanje komponente zaštite u kod obrasca koji Klijent nalepi.

Podaci: nalepljeni kod, ako sadrži podatke o ličnosti, na primer u komentarima, probnim vrednostima ili fiksno upisanim adresama.

Lica na koja se podaci odnose: osobe čiji se podaci pojavljuju u kodu.

Obrada i brisanje: jezički model na našem sopstvenom serveru ubacuje komponentu. Kod se obrađuje samo tokom trajanja zahteva i ne čuva se. Usluga radi bez podataka za prijavljivanje u sisteme Klijenta i ne instalira ništa na njegove servere.

8. Sopstveni brend (white-label)

Svrha: prikaz brenda Klijenta u izveštajima i portalu za klijente.

Podaci: naziv preduzeća, sajt, kontakt podaci i logo, kada je primenljivo ime i kontakt podaci kontakt osobe.

Lica na koja se podaci odnose: kontakt osobe Klijenta.

Brisanje: dok Klijent ne promeni ili izbriše podatke, najkasnije zajedno sa radnim prostorom.

9. Dopunske brojke bez veze sa osobom

Opcione brojke događaja obrazaca i grešaka polja WordPress proširenja ne sadrže unose, imena polja ili identifikatore posetilaca i čuvaju se 13 meseci. Snimač putanja obrazaca čuva korake u pregledaču Klijenta najviše 15 minuta; lokalni dnevni brojači ostaju na njegovom sajtu najviše 14 dana. Navodimo ih ovde radi potpunosti slike; prema načinu na koji su napravljeni, nisu Podaci Klijenta.

10. Zaštita obrazaca (formconfirmed)

Ova tačka važi samo ako Klijent uključi zaštitu obrazaca (Uslovi korišćenja, tačka 5.7).

Svrha: ocenjivanje slanja putem obrazaca na sajtovima Klijenta radi prepoznavanja automatizovanih slanja.

Kako funkcioniše: Pri otvaranju stranice sa zaštićenim obrascem skripta u pregledaču posetioca preuzima potpisan zadatak sa našeg servera i rešava ga (računski dokaz). Pri slanju server Klijenta podnosi rezultat našem interfejsu za proveru. Proveravamo potpis, starost, jednokratnu upotrebu i domen kontrolnog tokena, kao i dodatne signale poput vremena popunjavanja, nevidljivog polja zamke i učestalih zahteva sa iste skraćene adrese. Ako Klijent uključi proveru sadržaja, jezički model ocenjuje tekst poruke koji server Klijenta šalje uz zahtev. Vraća se ocena sa preporučenom radnjom i razlozima; o tome šta će se desiti sa slanjem odlučuje Klijent. Nema kolačića, čuvanja u pregledaču ni otiska uređaja.

Podaci: IP adresa posetioca pri preuzimanju zadatka i pri proveri, adresa i domen stranice, vremenske oznake i vreme popunjavanja, da li je polje zamka popunjeno, identifikator pregledača u dnevniku veb-servera; samo kada je uključena provera sadržaja, tekst poruke.

Lica na koja se podaci odnose: posetioci sajtova Klijenta koji otvore stranicu sa zaštićenim obrascem ili pošalju takav obrazac.

Čuvanje i brisanje: IP adresa se čuva samo skraćena (IPv4 bez poslednjeg bajta, IPv6 prvih 48 bitova) i kao heš vrednost sa ključem koji se menja svakog dana, i to jedan sat; iskorišćeni kontrolni tokeni najviše jedanaest minuta; rezultati provera bez IP adrese i bez teksta (radnja, ocena, razlozi, domen, kategorija provere sadržaja) 30 dana; dnevne brojke bez veze sa osobom 400 dana; dnevnik veb-servera 14 dana. Tekst poruke obrađuje se samo u radnoj memoriji i ne čuva se, ne beleži u dnevnike niti koristi za obučavanje modela.

Gde: na našim sopstvenim serverima u Poljskoj, jezički model na sopstvenom hardveru; dodatnih podobrađivača nema.

Prilog 2 – Tehničke i organizacione mere

Mere su navedene na stranici Tehničke i organizacione mere. Ona je deo ovog Ugovora u verziji objavljenoj u relevantnom trenutku; izmene su uređene § 8(3).

Prilog 3 – Podobrađivači

Ovlašćeni podobrađivači navedeni su na stranici Podobrađivači. Ona je deo ovog Ugovora u verziji objavljenoj u relevantnom trenutku; izmene su uređene § 9(2) i (3).

Otvoreno pre pokretanja: predviđeni pružalac usluge e-pošte je Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Ugovor o obradi podataka primenljiv na ovo korišćenje, stvarna mesta obrade i odgovarajući osnov prenosa tek treba da budu dokumentovani. Ova verzija ne potvrđuje ni zaključen ugovor ni sertifikaciju prema Data Privacy Framework-u.

Verzija

Verzija 2.2 od 29. oktobra 2026, koja zamenjuje verziju 2.1. Izmenjeno: nova tačka 10 u Prilogu 1 o zaštiti obrazaca formconfirmed; važi samo ako je Klijent uključi. Nijedna druga odredba se ne menja.

Verzija 2.1 od 22. oktobra 2026, koja zamenjuje verziju 2.0. Izmenjeno: u slučaju neslaganja sada je merodavna poljska verzija umesto nemačke; Ugovor je dostupan na svim službenim jezicima Evropske unije (jezička odredba). Nijedna druga odredba se ne menja.

Verzija 2.0 od 11. oktobra 2026, koja zamenjuje verziju od 9. oktobra 2026. Izmenjeno: struktura prati čl. 28(3) GDPR-a uz upućivanje na standardne ugovorne klauzule 2021/915; Prilog 1 potpun je za svaku funkciju i sada uključuje podatke za prijavljivanje za skeniranje nakon prijavljivanja, putanje obrazaca i ograničenja provere isporuke e-pošte; tehničke i organizacione mere i lista podobrađivača zasebne su stranice i deo su Ugovora kao Prilozi 2 i 3; izbor između vraćanja i brisanja, rezervne kopije sa istekom i ponovnim izvršavanjem zahteva za brisanje, nema utvrđenog roka čekanja za hitne revizije, odgovornost za podobrađivače kao za sopstveno postupanje.