Ugovor o obradi podataka
1. Strane i uloge
Voditelj obrade: korisnik usluge (poslodavac). Izvršitelj obrade: [TVRTKA d.o.o.].
Poslodavac određuje svrhu i sredstva obrade podataka svojih zaposlenika. Evidno te podatke obrađuje isključivo po uputama poslodavca.
2. Predmet i trajanje
Obrada traje dok traje pretplata. Po prestanku Evidno podatke briše u roku od 30 dana, osim ako propis nalaže dulje čuvanje.
3. Vrste podataka i kategorije ispitanika
| Kategorija ispitanika | Vrste podataka |
|---|---|
| Zaposlenici korisnika | Ime i prezime, OIB, evidencija dolazaka i odlazaka, sati rada po kategorijama, bolovanje, godišnji odmor |
| Korisnici aplikacije | E-pošta, ime, hashirana lozinka |
Ne obrađuju se posebne kategorije podataka iz čl. 9 Uredbe.
4. Obveze izvršitelja
- Obrada isključivo po dokumentiranim uputama voditelja.
- Obveza povjerljivosti za sve osobe s pristupom podacima.
- Tehničke i organizacijske mjere iz čl. 6.
- Pomoć voditelju u odgovaranju na zahtjeve ispitanika.
- Brisanje ili povrat podataka po prestanku ugovora.
- Stavljanje na raspolaganje svih informacija potrebnih za dokazivanje usklađenosti.
5. Podizvršitelji
Voditelj daje opću suglasnost za sljedeće podizvršitelje:
| Podizvršitelj | Svrha | Lokacija |
|---|---|---|
| Hetzner Online GmbH | Poslužitelji i pohrana | Njemačka |
| Stripe Payments Europe | Naplata pretplate | Irska / SAD |
| [Resend / Postmark] | E-pošta | [EU / SAD] |
O promjeni podizvršitelja Evidno obavještava najmanje 30 dana unaprijed.
6. Sigurnosne mjere
- Šifriranje prometa (TLS 1.2+).
- Lozinke pohranjene kao bcrypt hash; PIN-ovi zaposlenika također hashirani.
- Baza podataka nije izložena javnoj mreži.
- Pristup poslužitelju isključivo SSH ključem, bez lozinki.
- Odvojeni pristup po organizaciji; podaci jednog klijenta nisu dostupni drugom.
- Dnevne sigurnosne kopije baze.
- [Dodati: praćenje grešaka i evidencija pristupa — vidi TODO.md]
7. Povrede osobnih podataka
Evidno obavještava voditelja bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja, s opisom povrede, kategorijama i približnim brojem ispitanika te poduzetim mjerama.
8. Prijenos izvan EGP-a
Podaci zaposlenika pohranjuju se u Njemačkoj. Prijenosi prema podizvršiteljima izvan EGP-a temelje se na standardnim ugovornim klauzulama Europske komisije.
9. Revizija
Voditelj ima pravo jednom godišnje zatražiti dokaze o usklađenosti, uz najavu od 30 dana i uz uvjet da to ne ugrožava sigurnost podataka drugih klijenata.