SPONA ERP — PRAVNI DOKUMENTI

2026-09-17 · 1.1

U zakonom dopuštenoj mjeri mjerodavan je engleski tekst Uvjeta.

# Ugovor o obradi podataka

## 1. Strane, opseg i upute

Ovaj ugovor o obradi dio je ERP ugovora za osobne podatke koji se obrađuju prema uputama korisnika. Korisnik je voditelj ili ovlašteni izvršitelj koji operatera imenuje podizvršiteljem; operater je izvršitelj za obuhvaćene korisničke zapise. Obrada, uključujući prijenose, provodi se samo prema dokumentiranim uputama, osim kada pravo Unije ili države članice zahtijeva drukčije; korisnika se prethodno obavještava osim ako je zabranjeno. Korisnika treba odmah upozoriti ako uputa izgleda protivna propisima i obustaviti pogođenu uputu do rješenja. Aktivnosti operatera kao samostalnog voditelja iz Obavijesti o privatnosti nisu obuhvaćene ovim ugovorom.

## 2. Opis obrade

Predmet: pružanje i podrška odabranim ERP modulima. Trajanje: razdoblje usluge te dogovoreni rokovi preuzimanja i brisanja, uz zakonitu pohranu. Postupci: prikupljanje, pohrana, organizacija, pristup, izračun, prijenos, izvoz i brisanje prema uputama. Ispitanici: korisnici, zaposlenici, suradnici, poslovni kontakti, klijenti i dobavljači korisničke tvrtke. Kategorije: identifikatori i poslovni kontakti, uloge, aktivnosti, projektni i transakcijski zapisi, podaci o plaćama i plaćanjima te naloženi prilozi. Potpisana narudžba mora suziti kategorije na korištene module i izričito navesti dopuštene posebne kategorije. Procjena financijskog partnera nije automatski uključena u ovaj opis izvršiteljske obrade.

## 3. Povjerljivost i sigurnost

Ovlašteno osoblje mora biti obvezano povjerljivošću. Izvršitelj mora provesti mjere iz članka 32. razmjerne riziku, uključujući upravljanje pristupom, odvajanje korisnika, zaštitu podataka u prijenosu i mirovanju gdje je primjereno, otpornost, oporavak i redovitu provjeru. Dogovoreni sigurnosni prilog navodi mjere primjenjive na Vašu uslugu. Ovaj ugovor ne tvrdi neovisnu certifikaciju ni određeni rok oporavka. Promjene sigurnosti ne smiju bitno smanjiti dogovorenu zaštitu.

## 4. Podizvršitelji i prijenosi

Korisnik mora dobiti dovršen registar podizvršitelja prije odobrenja. Mehanizam općeg odobrenja zahtijeva najmanje 30 dana prethodne obavijesti o dodavanju ili zamjeni i mogućnost obrazloženog prigovora radi zaštite podataka. Prigovor treba riješiti razumnom alternativom ili omogućiti raskid pogođene usluge prije početka obrade novog pružatelja. Svaki podizvršitelj mora prihvatiti sadržajno jednake obveze; operater ostaje odgovoran za njegovo izvršenje. Međunarodni prijenos zahtijeva primjenjive mjere iz poglavlja V. i dokumentirane upute. Registar pružatelja navodi odobreni hosting; dodatni pružatelji zahtijevaju objavu i odobrenje prema ovoj odredbi.

## 5. Prava, incidenti i pomoć u usklađivanju

Uzimajući u obzir prirodu obrade, izvršitelj pomaže s pravima ispitanika, sigurnošću, procjenom povreda, procjenama učinka i prethodnim savjetovanjem. Zahtjeve prosljeđuje bez odgovaranja u ime korisnika, osim uz ovlaštenje ili zakonsku obvezu. Korisnika obavještava bez nepotrebnog odgađanja nakon saznanja za povredu osobnih podataka, uz dostupne činjenice o prirodi, kategorijama i približnom broju pogođenih, kontaktu, vjerojatnim posljedicama i mjerama; informacije nadopunjuje kako postaju dostupne. Voditelj utvrđuje vlastite obveze prijave, uključujući GDPR rok od 72 sata za nadzorno tijelo kada je primjenjiv. Dogovor o pomoći ne smije onemogućiti zakonsku usklađenost.

## 6. Dokazivanje usklađenosti

Izvršitelj stavlja na raspolaganje informacije potrebne za dokazivanje usklađenosti te omogućuje revizije, uključujući inspekcije korisnika ili njegova ovlaštenog revizora, i sudjeluje u njima. Razumni uvjeti povjerljivosti, rasporeda i sigurnosti mogu zaštititi druge korisnike i sustave, ali ne smiju onemogućiti prava iz članka 28. ni pristup nadzornih tijela. Vode se propisane evidencije i dokazi uputa, odobrenja pružatelja, incidenata i brisanja. Korisnik ostaje odgovoran za zakonite svrhe, obavijesti, smanjenje količine podataka i procjenu praćenja zaposlenika.

## 7. Povrat, brisanje i daljnja uporaba

Prema izboru korisnika nakon usluge vratiti ili izbrisati obuhvaćene osobne podatke i preostale kopije, osim zakonski obvezne pohrane. Rokove izvoza i preuzimanja dogovoriti prije zatvaranja. Zakonski zadržane kopije moraju biti izdvojene i korištene samo za tu obvezu. Konačni prilog određuje istek kopija i kontrole oporavka kako se izbrisani zapisi ne bi vratili u aktivnu uporabu. Izrada anonimnih skupova zahtijeva dokumentirane upute i zakonito ovlaštenje korisnika; ugovor ne dopušta neovisnu uporabu osobnih podataka za oglašavanje ili opće AI treniranje. Stvarno anonimni rezultati smiju se koristiti samo uz zaštitu povjerljivosti i sprečavanje ponovne identifikacije iz Uvjeta.