Ugovor o obradi podataka (DPA)

1. Strane i uloge

Voditelj obrade je Salon koji koristi Platformu. Izvršitelj obrade je CODE & SAIL, obrt za usluge, vl. Vid Kraljić, Malinska, Mihovila Radića 3, OIB 94077839131, Mihovila Radića 3, 51511 Malinska, Hrvatska, e-mail vidk@codeandsail.com (dalje: „Izvršitelj“).

Za podatke o računu Salona, pretplati i sigurnosti Platforme Izvršitelj je samostalni voditelj obrade prema Politici privatnosti. Ovaj ugovor odnosi se isključivo na podatke klijenata Salona.

2. Predmet, priroda i svrha obrade

Izvršitelj obrađuje osobne podatke klijenata Salona kako bi Salon mogao voditi kalendar termina, online rezervacije, evidenciju klijenata, listu čekanja, program vjernosti te slati obavijesti o terminima (potvrde, podsjetnici, upute nakon tretmana, ponude s liste čekanja). Obrada obuhvaća prikupljanje, pohranu, prikaz, prijenos pružateljima kanala obavijesti i brisanje.

3. Trajanje

Obrada traje dok traje pretplata Salona i 30 dana nakon njezina prestanka radi izvoza podataka, nakon čega se podaci brišu prema točki 10.

4. Vrste podataka i kategorije ispitanika

Kategorije ispitanika: klijenti Salona (postojeći i budući), uključujući osobe u grupnim rezervacijama.

• Identifikacijski i kontaktni podaci: ime i prezime, telefon, e-mail adresa.
• Podaci o terminima: usluge, radnik, datum i vrijeme, status, broj osoba, napomene klijenta i Salona.
• Podaci lojalnosti i liste čekanja: bodovi, povijest posjeta, željeni datumi.
• Podaci o obavijestima: kanal, vrijeme slanja, status isporuke.
• Bilješke Salona o klijentu koje Salon unese. Salon se obvezuje da neće unositi posebne kategorije podataka (npr. zdravstvene) osim kad za to ima valjanu pravnu osnovu i informirao je klijenta.

5. Upute voditelja obrade

Izvršitelj obrađuje podatke isključivo prema dokumentiranim uputama Salona. Upute su sadržane u ovom ugovoru, Uvjetima korištenja i postavkama koje Salon odabere u panelu (npr. koje kanale obavijesti uključuje). Ako Izvršitelj smatra da neka uputa krši GDPR ili drugi propis, o tome će odmah obavijestiti Salon.

Izvršitelj podatke neće obrađivati za vlastite svrhe, osim agregiranih, anonimiziranih statistika o korištenju Platforme koje ne omogućuju identifikaciju ispitanika.

6. Obveze Izvršitelja (čl. 28. st. 3. GDPR-a)

Izvršitelj se obvezuje:

• osigurati da osobe koje obrađuju podatke budu obvezane povjerljivošću;
• provoditi tehničke i organizacijske mjere iz točke 8.;
• angažirati podizvršitelje samo pod uvjetima iz točke 7.;
• pomagati Salonu odgovarajućim mjerama pri odgovaranju na zahtjeve ispitanika (pristup, ispravak, brisanje, prenosivost, prigovor);
• pomagati Salonu u ispunjavanju obveza sigurnosti obrade, obavješćivanja o povredama i procjene učinka, uzimajući u obzir prirodu obrade i dostupne informacije;
• po prestanku usluge izbrisati ili vratiti podatke prema točki 10.;
• staviti Salonu na raspolaganje informacije potrebne za dokazivanje sukladnosti i omogućiti revizije prema točki 11.

7. Podizvršitelji

Salon daje opće ovlaštenje za angažiranje sljedećih podizvršitelja. Izvršitelj s njima ima sklopljene ugovore o obradi s obvezama koje odgovaraju ovom ugovoru i odgovara Salonu za njihov rad.

• Hetzner Online GmbH (Njemačka, EU) — poslužitelji na kojima radi baza podataka, autentikacija i pohrana (Supabase, vlastita instalacija).
• Netlify, Inc. (SAD) — hosting aplikacije.
• Cloudflare, Inc. (SAD) — isporuka slika.
• EmailJS — slanje e-mail obavijesti klijentima.
• Meta Platforms Ireland Ltd. — WhatsApp Business poruke, samo ako Salon uključi kanal.
• Infobip d.o.o. (Hrvatska) — SMS, samo preko vlastitog Infobip računa Salona; u tom slučaju Infobip je izvršitelj Salona izravno.
• Google Ireland Ltd. i Meta Platforms Ireland Ltd. — kao pružatelji prijave klijenta (Google/Facebook), u ulozi samostalnih voditelja za vlastite račune korisnika.

7.a Promjene podizvršitelja

O namjeravanoj promjeni ili dodavanju podizvršitelja Izvršitelj obavještava Salon najmanje 30 dana unaprijed e-poštom ili obavijesti u panelu. Salon može u tom roku uložiti obrazloženi prigovor; ako se ne pronađe rješenje, Salon može otkazati pretplatu bez naknade za preostalo razdoblje.

Prijenosi podizvršiteljima izvan EU/EGP-a temelje se na Okviru EU–SAD za zaštitu privatnosti podataka ili standardnim ugovornim klauzulama Europske komisije.

8. Sigurnost obrade

Izvršitelj provodi najmanje sljedeće mjere:

• šifriranje podataka u prijenosu (TLS) i šifriranje diskova poslužitelja;
• izolaciju podataka svakog Salona na razini baze (Row Level Security) — Korisnici jednog Salona ne mogu čitati ni mijenjati podatke drugog;
• kontrolu pristupa prema ulogama (salon admin, radnik, klijent) i provjeru ovlasti na poslužitelju za svaku radnju;
• pohranu lozinki isključivo kao kriptografski hash, zaštitu od prekomjernih zahtjeva i CSRF zaštitu;
• redovite sigurnosne kopije baze i mogućnost vraćanja na točku u vremenu;
• ograničen pristup produkcijskim sustavima na Izvršitelja, uz zapisivanje pristupa;
• sigurnosne preglede koda i ažuriranje ovisnosti.

9. Povreda osobnih podataka

Izvršitelj obavještava Salon o povredi osobnih podataka koja se odnosi na podatke Salona bez nepotrebnog odgađanja, a najkasnije 48 sati od saznanja, na e-mail adresu salon admina. Obavijest sadrži poznate informacije o prirodi povrede, pogođenim podacima i ispitanicima, vjerojatnim posljedicama i poduzetim mjerama, te se dopunjuje kako informacije postaju dostupne. Salon kao voditelj obrade odlučuje o prijavi AZOP-u u roku od 72 sata i o obavješćivanju ispitanika; kontakt Izvršitelja za incidente: vidk@codeandsail.com.

10. Brisanje i povrat podataka

Salon može u bilo kojem trenutku tijekom pretplate i 30 dana nakon njezina prestanka zatražiti izvoz podataka svojih klijenata u strojno čitljivom obliku (JSON/CSV). Po isteku tog roka Izvršitelj briše sve podatke klijenata Salona iz produkcijskih sustava; kopije u sigurnosnim kopijama brišu se rotacijom najkasnije 30 dana nakon toga. Iznimka su podaci koje je Izvršitelj dužan čuvati prema zakonu.

Klijent koji sam obriše svoj račun u portalu briše i podatke svog računa; podaci o terminima ostaju Salonu kao voditelju obrade prema njegovim rokovima čuvanja.

11. Dokazivanje sukladnosti i revizija

Izvršitelj na zahtjev Salona dostavlja opis tehničkih i organizacijskih mjera, popis podizvršitelja i druge informacije razumno potrebne za dokazivanje sukladnosti. Salon može najviše jednom godišnje, uz najavu od 30 dana i na vlastiti trošak, provesti reviziju u opsegu koji ne ugrožava sigurnost ni podatke drugih salona; strane će se prvo koristiti pisanim odgovorima i dokumentacijom.

12. Odgovornost i hijerarhija dokumenata

Svaka strana odgovara za štetu koju prouzroči kršenjem GDPR-a u okviru svoje uloge. Ograničenja odgovornosti iz Uvjeta korištenja primjenjuju se i na ovaj ugovor, osim ako je to protivno propisima o zaštiti podataka. U slučaju neusklađenosti između ovog ugovora i Uvjeta korištenja, za pitanja zaštite podataka prednost ima ovaj ugovor.

Ugovor stupa na snagu registracijom Salona i traje dok traje obrada. Mjerodavno je pravo Republike Hrvatske.