Ugovor o obradi osobnih podataka

Verzija 2026-11-13, vrijedi od 13.11.2026. Sklopljen u skladu s člankom 28. Opće uredbe o zaštiti podataka (EU) 2016/679 (GDPR).

Voditelj obrade: pravna ili fizička osoba koja se registrirala za uslugu PencilCRM i prihvatila ovaj ugovor (dalje: Korisnik).

Izvršitelj obrade: [NAZIV TVRTKE], OIB [OIB], [ADRESA] (dalje: Pružatelj).

Ugovor je sastavni dio Uvjeta korištenja i stupa na snagu njihovim prihvaćanjem.

1. Predmet i trajanje

1.1. Pružatelj za Korisnika obrađuje osobne podatke u svrhu pružanja usluge PencilCRM: prikupljanja i vođenja upita i kontakata, komunikacije s njima, zadataka, termina i izvještaja.

1.2. Obrada traje dok traje ugovor o korištenju usluge i do brisanja podataka prema točki 9.

2. Vrsta podataka i ispitanici

2.1. Ispitanici: osobe čije podatke Korisnik unese u uslugu ili ih usluga prikuplja po njegovu nalogu, posebno osobe koje Korisniku šalju upit (dalje: kontakti), te zaposlenici i suradnici Korisnika koji koriste uslugu.

2.2. Podaci kontakata: ime i prezime, e-mail, telefon, država, jezik, izvor upita (npr. web obrazac, Meta oglas), sadržaj upita i prepiske, bilješke, zadaci i dogovoreni termini.

2.3. Posebne kategorije: usluga nije namijenjena posebnim kategorijama podataka iz članka 9. GDPR-a. Korisnik sam procjenjuje je li usluga prikladna za takve podatke (npr. podatke o zdravlju). Ako ih unosi, Korisnik jamči da za njihovu obradu ima pravnu osnovu, da unosi samo nužne podatke i da poštuje propise svoje djelatnosti. Usluga nije certificirana za HIPAA i slične sektorske propise i ne smije se koristiti za obradu na koju se oni primjenjuju bez posebnog pisanog ugovora s Pružateljem.

2.4. Podaci ovlaštenih osoba Korisnika: ime, e-mail, telefon, uloga, jezici, zapisi o prijavi i radnjama u sustavu.

3. Obveze Pružatelja

Pružatelj:

a) obrađuje podatke samo prema dokumentiranim uputama Korisnika. Uputama se smatraju ovaj ugovor, postavke i radnje Korisnika u usluzi te pisane upute na vas@email.com. Ako smatra da je uputa protivna propisima, Pružatelj o tome odmah obavještava Korisnika;

b) osigurava da su osobe ovlaštene za obradu obvezane na povjerljivost;

c) provodi tehničke i organizacijske mjere iz Priloga 1;

d) koristi podizvršitelje samo prema točki 4;

e) pomaže Korisniku, koliko je to moguće, u ispunjavanju zahtjeva ispitanika (pristup, ispravak, brisanje, prenosivost). Usluga za to omogućuje pregled, uređivanje, brisanje i izvoz podataka;

f) pomaže Korisniku u ispunjavanju obveza iz članaka 32. do 36. GDPR-a (sigurnost, obavješćivanje o povredi, procjena učinka, prethodno savjetovanje);

g) nakon prestanka ugovora briše ili vraća podatke prema točki 9;

h) Korisniku daje sve informacije potrebne za dokazivanje usklađenosti s ovim člankom i omogućuje revizije prema točki 8.

4. Podizvršitelji

4.1. Korisnik daje opće ovlaštenje za angažiranje podizvršitelja. Popis podizvršitelja u trenutku sklapanja nalazi se u Prilogu 2.

4.2. O namjeravanom dodavanju ili zamjeni podizvršitelja Pružatelj obavještava Korisnika e-poštom najmanje 30 dana unaprijed. Korisnik može u tom roku iz opravdanih razloga uložiti prigovor, a ako se ne postigne dogovor, otkazati ugovor bez troškova.

4.3. Pružatelj s podizvršiteljima sklapa ugovore s istim obvezama zaštite podataka i odgovara Korisniku za njihov rad.

4.4. Usluge koje Korisnik sam poveže sa CRM-om (npr. vlastiti poslovni sandučić, Meta Lead Ads) nisu podizvršitelji Pružatelja. Za njih Korisnik ima vlastiti ugovorni odnos s tim pružateljima.

5. Mjesto obrade

5.1. Podaci se obrađuju i čuvaju u Europskoj uniji (glavni poslužitelji: Hetzner Online GmbH, Njemačka / Germany). Prijenos u treće zemlje dopušten je samo uz odgovarajuće zaštitne mjere iz poglavlja V. GDPR-a.

6. Povreda osobnih podataka

6.1. Pružatelj bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja, obavještava Korisnika o povredi osobnih podataka koja se odnosi na podatke Korisnika.

6.2. Obavijest sadrži opis povrede, kategorije i približan broj ispitanika i zapisa, vjerojatne posljedice i poduzete ili predložene mjere. Informacije koje nisu odmah dostupne Pružatelj dostavlja naknadno.

7. Obveze Korisnika

7.1. Korisnik je odgovoran za zakonitost obrade, pravne osnove, informiranje ispitanika i točnost podataka koje unosi.

7.2. Korisnik odgovara za rad svojih ovlaštenih osoba i za čuvanje njihovih pristupnih podataka.

8. Revizije

8.1. Pružatelj na zahtjev Korisnika dostavlja dokumentaciju o primijenjenim mjerama. Ako to nije dovoljno, Korisnik može jednom godišnje, uz najavu najmanje 30 dana unaprijed, provesti reviziju sam ili putem neovisnog revizora obvezanog na povjerljivost, o svom trošku i bez ometanja rada usluge.

9. Brisanje i vraćanje podataka

9.1. Korisnik može za vrijeme trajanja ugovora i 30 dana nakon njegova prestanka izvesti sve svoje podatke u strojno čitljivom obliku.

9.2. Nakon tog roka Pružatelj trajno briše podatke Korisnika iz aktivnog sustava u roku od 30 dana. Kopije u sigurnosnim kopijama brišu se redovitim prepisivanjem najkasnije 14 dana nakon toga.

9.3. Podatke koje Pružatelj mora čuvati po zakonu (npr. računovodstvene isprave o pretplati) čuva samo koliko propis nalaže.

10. Odgovornost i završne odredbe

10.1. Odgovornost stranaka uređena je člankom 82. GDPR-a i Uvjetima korištenja.

10.2. U slučaju proturječja između ovog ugovora i Uvjeta korištenja u pitanjima zaštite osobnih podataka, prednost ima ovaj ugovor.

10.3. Na ugovor se primjenjuje pravo Republike Hrvatske.

Prilog 1: Tehničke i organizacijske mjere

• Odvajanje podataka: podaci svakog Korisnika odvojeni su na razini aplikacije (svaki zapis pripada jednom Korisniku, a svaki upit u bazu automatski je ograničen na Korisnika kojem pripada prijavljena osoba).
• Šifriranje: sav promet je šifriran (TLS). Lozinke ovlaštenih osoba spremaju se kao sažetak (bcrypt). Pristupni podaci za integracije (lozinke sandučića, tokeni) spremaju se šifrirano. Sigurnosne kopije su šifrirane.
• Kontrola pristupa: pristup prema ulogama i dozvolama koje dodjeljuje Korisnik, deaktivacija ovlaštenih osoba u stvarnom vremenu, potvrda e-mail adrese, ograničenje broja pokušaja prijave.
• Pristup Pružatelja: samo ovlaštene osobe, samo kad je potrebno za podršku ili održavanje, uz obvezu povjerljivosti.
• Dostupnost: dnevne šifrirane sigurnosne kopije baze koje se čuvaju 14 dana, nadzor dostupnosti i rada pozadinskih poslova, praćenje grešaka bez slanja osobnih podataka.
• Održavanje: redovita ažuriranja sustava i biblioteka, automatski testovi prije svake promjene.
• Brisanje: postupak trajnog brisanja svih podataka Korisnika i izvoz podataka u strojno čitljivom obliku.

Prilog 2: Podizvršitelji