Ugovor o obradi osobnih podataka

1. Stranke

• Voditelj obrade: tvrtka ili obrtnik koji je prihvatio Opće uvjete korištenja aplikacije Jedro+ („korisnik”).
• Izvršitelj obrade: Sonja Žužek s.p., Prešernova cesta 21A, 1234 Mengeš, Slovenija, matični broj 9323228000, ovlaštena osoba Tim Kogej, tim.kogej@jedroplus.com („pružatelj”).

2. Predmet i trajanje

Pružatelj obrađuje osobne podatke u ime korisnika isključivo radi pružanja aplikacije Jedro+ u opsegu funkcija koje korisnik koristi. Ugovor vrijedi dok vrijedi ugovor o korištenju i do brisanja podataka nakon njegova prestanka.

3. Priroda i svrha obrade

Pohrana, organizacija, prikaz, slanje poruka (e-pošta, SMS), primanje i prepisivanje telefonskih poziva, priprema odgovora AI modelima, obrada online plaćanja, izvoz i brisanje — za vođenje termina i klijenata, podsjetnike, obavijesti, marketinške poruke, online naručivanje, Chatbot+ i Receptionist+.

4. Vrste podataka i ispitanici

• Klijenti korisnika: ime, prezime, e-pošta, telefon, spol, jezik, bilješke, vrsta klijenta, povijest termina, usluge, cijene i popusti, status plaćanja, privola za obavještavanje i odjava.
• Pozivatelji (Receptionist+): broj telefona, snimka i prijepis razgovora, ishod poziva.
• Posjetitelji chata (Chatbot+): sadržaj razgovora i podaci koje unesu.
• Zaposlenici korisnika: ime, kontakt, raspored, odsutnosti, dodijeljeni termini.

Posebne kategorije podataka obrađuju se samo ako ih korisnik unese (npr. u bilješke); korisnik osigurava pravnu osnovu i ograničava ih na nužno.

5. Obveze pružatelja

• Obrađuje podatke samo prema dokumentiranim uputama korisnika, koje ovaj daje korištenjem i postavkama aplikacije, te ga obavještava ako smatra da je uputa protivna propisima.
• Osobe s pristupom podacima obvezuje na povjerljivost.
• Provodi tehničke i organizacijske mjere iz točke 7.
• Pomaže korisniku pri odgovaranju na zahtjeve ispitanika (pristup, ispravak, brisanje, izvoz) i pri ispunjavanju obveza iz članaka 32. do 36. GDPR-a.
• O povredi osobnih podataka obavještava korisnika bez nepotrebnog odgađanja, najkasnije 48 sati nakon saznanja, sa svim dostupnim informacijama.
• Na zahtjev daje informacije potrebne za dokazivanje usklađenosti i omogućuje razumne provjere (u pravilu dokumentacijom i pisanim odgovorima).

6. Podizvršitelji obrade

Korisnik daje opće odobrenje za podizvršitelje navedene na stranici „Podizvršitelji obrade”. Pružatelj svakog od njih obvezuje na iste obveze zaštite podataka i za njih odgovara kao za sebe.

O dodavanju ili zamjeni podizvršitelja pružatelj obavještava korisnika najmanje 30 dana unaprijed (e-poštom ili u aplikaciji). Korisnik može iz opravdanih razloga uložiti prigovor; ako se ne nađe rješenje, može raskinuti ugovor bez troškova.

Prijenos u treće zemlje odvija se samo uz odgovarajuće zaštitne mjere (standardne ugovorne klauzule, Okvir EU-a i SAD-a za privatnost podataka).

7. Tehničke i organizacijske mjere

• Šifriranje prijenosa (TLS) i šifriranje pohranjenih podataka kod pružatelja baze.
• Baza podataka, hosting, e-pošta i poslužitelj za automatizacije u EU-u.
• Odvajanje podataka po tvrtkama; pravila pristupa na razini baze (RLS); upis podataka samo putem provjerenih poslužiteljskih ruta.
• Pristup prema ulogama (vlasnik, administrator, zaposlenik) i načelo najmanjih ovlasti; tajni ključevi samo na poslužitelju.
• Ograničavanje broja zahtjeva i zaštita od zlouporabe; potpisane poveznice (npr. za odjavu).
• Redovite sigurnosne kopije kod pružatelja baze; bilježenje promjena termina i klijenata.
• Automatsko brisanje snimki poziva nakon 90 dana i podataka nakon prestanka ugovora.

8. Obveze korisnika

• Ima pravnu osnovu za obradu podataka svojih klijenata, zaposlenika i pozivatelja te ih o obradi obavještava (npr. u vlastitoj politici privatnosti).
• Marketinške poruke šalje samo klijentima za koje za to ima osnovu i poštuje odjave.
• Kod Receptionist+ ostavlja obavijest o snimanju uključenom ili sam osigurava zakonitost snimanja.
• Pristup aplikaciji daje samo osobama kojima je potreban i pravodobno ga ukida.

9. Prestanak obrade

Nakon prestanka ugovora korisnik može izvesti podatke. Pružatelj ih briše 90 dana nakon prestanka, uključujući kopije kod podizvršitelja u okviru njihovih rokova za sigurnosne kopije, osim ako zakon zahtijeva čuvanje.

10. Završne odredbe

Za odgovornost vrijede odredbe Općih uvjeta korištenja, osim ako GDPR određuje drukčije. Primjenjuje se pravo Republike Slovenije. U slučaju odstupanja jezičnih verzija vrijedi slovenska.