Digital Worker

Ugovor o obradi osobnih podataka

Verzija 1.2 — Na snazi od 22. rujna 2026.

Ovaj Ugovor o obradi osobnih podataka („Ugovor o obradi”) sastavni je dio ugovora između društva Apex Academy d.o.o., Stepinčeva 79, 21000 Split, Hrvatska, OIB 77296720425 („Izvršitelj obrade”) i Naručitelja navedenog u Narudžbenici ili korisničkom računu („Voditelj obrade”) te uređuje obradu osobnih podataka koju Izvršitelj obrade provodi u ime Voditelja obrade na temelju članka 28. Opće uredbe o zaštiti podataka („GDPR”). Pojmovi pisani velikim početnim slovom koji ovdje nisu definirani imaju značenje utvrđeno u Općim uvjetima korištenja usluge.

Voditelj obrade prihvaća ovaj Ugovor o obradi zajedno s Općim uvjetima korištenja usluge. Za potpisani primjerak obratite se na legal@apexacademy.hr. Ovaj dokument objavljen je i na engleskom jeziku; u slučaju razlike mjerodavna je hrvatska verzija.

1. Predmet i trajanje

Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade isključivo radi pružanja Usluge. Obrada traje tijekom trajanja ugovora i razdoblja za okončanje iz točke 9.

2. Priroda i svrha obrade

Smještaj (hosting) i upravljanje namjenskom Instancom platforme za AI agente za Voditelja obrade: pohrana korisničkih računa, konfiguracija agenata, transkripata razgovora, datoteka, znanja i vektorskih prikaza (embeddings), aplikacija i njihovih podataka, izvršavanja alata te pripadajućih sigurnosnih i revizijskih zapisnika; prijenos podataka pružateljima AI modela i drugim uslugama koje Voditelj obrade poveže; te pružanje usluga podrške i savjetovanja.

3. Kategorije ispitanika

  • Zaposlenici, vanjski suradnici i drugi Ovlašteni korisnici Voditelja obrade
  • Kupci i krajnji korisnici Voditelja obrade koji komuniciraju s agentima i aplikacijama koje objavi Voditelj obrade
  • Druge fizičke osobe čije podatke Voditelj obrade odluči unijeti u Uslugu

4. Kategorije osobnih podataka

  • Identifikacijski i kontaktni podaci (ime i prezime, adresa e-pošte, telefon, adresa)
  • Podaci za autentifikaciju (sažetak (hash) lozinke, tokeni sesije, čimbenici višefaktorske autentifikacije (MFA))
  • Sadržaj razgovora (transkripti, glasovne snimke ako su omogućene, učitane datoteke, slike, ulazni i izlazni podaci alata)
  • Metapodaci o korištenju (IP adresa, korisnički agent (user agent), vremenske oznake, identifikatori agenata)
  • Svi drugi podaci za koje Voditelj obrade putem konfiguracije uputi Izvršitelja obrade da ih obrađuje

Posebne kategorije osobnih podataka. Platforma nije konfigurirana, a njezini podizvršitelji obrade nisu ugovorno angažirani, za obradu posebnih kategorija osobnih podataka (čl. 9. GDPR-a) ni osobnih podataka koji se odnose na kaznene osude i kažnjiva djela (čl. 10. GDPR-a). Voditelj obrade ne smije unositi takve podatke — uključujući putem upita (promptova) agentima, učitanih datoteka, baza znanja ili podataka koji se prosljeđuju alatima — osim ako su se stranke o tome prethodno pisano dogovorile, provele procjenu učinka na zaštitu podataka kada je ona potrebna prema čl. 35. GDPR-a te na odgovarajući način izmijenile ovaj Ugovor o obradi. Voditelj obrade ostaje odgovoran za podatke koje on i njegovi korisnici odluče unijeti.

5. Obveze Izvršitelja obrade

Izvršitelj obrade dužan je:

  1. obrađivati osobne podatke samo prema zabilježenim uputama Voditelja obrade, uključujući konfiguraciju koju Voditelj obrade postavi u sučelju i API-ju platforme, osim ako to nalaže pravo Unije ili pravo države članice (u tom slučaju Izvršitelj obrade prije obrade izvješćuje Voditelja obrade o tom pravnom zahtjevu, osim ako to pravo zabranjuje takvo izvješćivanje), te obavijestiti Voditelja obrade ako smatra da se nekom uputom krše propisi o zaštiti podataka;
  2. osigurati da su osobe ovlaštene za obradu osobnih podataka obvezane na povjerljivost;
  3. provoditi tehničke i organizacijske mjere iz Priloga 1. (čl. 32. GDPR-a);
  4. angažirati podizvršitelje obrade samo u skladu s točkom 6.;
  5. pomagati Voditelju obrade u odgovaranju na zahtjeve ispitanika (čl. 12. – 22. GDPR-a) te, uzimajući u obzir prirodu obrade i informacije koje su mu dostupne, u osiguravanju usklađenosti s čl. 32. – 36. GDPR-a (sigurnost obrade, izvješćivanje nadzornog tijela i obavješćivanje ispitanika o povredi, procjena učinka na zaštitu podataka i prethodno savjetovanje) te surađivati s nadzornim tijelima (čl. 31. GDPR-a);
  6. obavijestiti Voditelja obrade o povredi osobnih podataka bez nepotrebne odgode, a u svakom slučaju u roku od 48 sati od saznanja za nju, kako bi Voditelj obrade mogao poštovati vlastiti rok od 72 sata iz čl. 33. GDPR-a;
  7. izbrisati ili vratiti osobne podatke po prestanku ugovora u skladu s točkom 9.;
  8. staviti na raspolaganje informacije potrebne za dokazivanje usklađenosti te omogućiti revizije u skladu s točkom 8.

6. Podizvršitelji obrade

  1. Voditelj obrade daje Izvršitelju obrade opće odobrenje za angažiranje podizvršitelja obrade navedenih na /legal/hr/sub-processors.html. Izvršitelj obrade svakom od njih nameće obveze zaštite podataka istovjetne onima iz ovog Ugovora o obradi i ostaje u cijelosti odgovoran Voditelju obrade za njihovo izvršavanje (čl. 28. st. 4. GDPR-a).
  2. Izvršitelj obrade o svakom dodavanju ili zamjeni podizvršitelja obrade koja je pod njegovom kontrolom obavješćuje Voditelja obrade e-poštom najmanje 30 dana unaprijed. Neki pružatelji u lancu zadržavaju pravo na kraće rokove obavještavanja o promjenama vlastitih podizvršitelja obrade; Izvršitelj obrade takve obavijesti prosljeđuje čim je to razumno izvedivo, a u svakom slučaju unutar roka koji mu je na raspolaganju.
  3. Voditelj obrade može unutar roka obavještavanja uložiti prigovor iz opravdanih razloga zaštite podataka. Ako se stranke ne mogu dogovoriti o rješenju, Voditelj obrade može otkazati uslugu na koju se promjena odnosi.
  4. Ako je Narudžbenicom predviđeno da korištenje AI modela osigurava Izvršitelj obrade, pružatelj AI modela naveden u Narudžbenici podizvršitelj je obrade tijekom razdoblja ondje navedenog, a Voditelj obrade daje mu odobrenje potpisivanjem Narudžbenice.

7. Pružatelji koje odabire Voditelj obrade

Pružatelje AI modela, kanale za razmjenu poruka, pružatelje identiteta i druge usluge koje Voditelj obrade vlastitim ključevima ili računima poveže sa svojom Instancom angažira Voditelj obrade na temelju vlastitog ugovora s njima. Oni nisu podizvršitelji obrade Izvršitelja obrade. Prijenos podataka tim pružateljima predstavlja obradu po uputi Voditelja obrade, a Voditelj obrade odgovoran je za postojanje pravne osnove, odgovarajućeg ugovora s pružateljem te, kada podaci napuštaju EGP, valjanog mehanizma prijenosa.

8. Međunarodni prijenosi i revizije

Izvršitelj obrade smješta Instance u Europskoj uniji i ne prenosi osobne podatke izvan EGP-a, osim po uputi Voditelja obrade (točka 7.) ili putem pružatelja AI modela navedenog u Narudžbenici na temelju točke 6.4., u kojem je slučaju prijenos obuhvaćen standardnim ugovornim klauzulama EU-a (Provedbena odluka (EU) 2021/914) ili drugim mehanizmom iz poglavlja V. GDPR-a, pri čemu se u Narudžbenici navodi o kojem je mehanizmu riječ.

Izvršitelj obrade na zahtjev stavlja na raspolaganje sigurnosnu dokumentaciju i sažetke relevantnih revizija i testiranja. Voditelj obrade može provesti reviziju, uključujući reviziju na licu mjesta, najviše jednom u kalendarskoj godini, o vlastitom trošku, uz pisanu obavijest najmanje 30 dana unaprijed i uz preuzimanje razumne obveze čuvanja povjerljivosti. Revizije koje naloži nadzorno tijelo ili koje se provode nakon povrede osobnih podataka nisu ograničene učestalošću.

9. Povrat ili brisanje podataka

Tijekom 30 dana nakon prestanka ugovora Instanca ostaje dostupna samo za čitanje kako bi Voditelj obrade mogao izvesti svoje podatke, među ostalim putem funkcije izvoza podataka (GET /api/user/data-export) i izvoza predložaka. Na zahtjev podnesen unutar tog razdoblja Izvršitelj obrade besplatno osigurava jedan potpuni izvoz baze podataka i datoteka Instance. Izvršitelj obrade nakon toga briše Instancu; snimke stanja (snapshots) na razini smještaja (hostinga) istječu u roku od daljnjih 90 dana. Izvršitelj obrade na zahtjev pisano potvrđuje brisanje. Podaci koje je Izvršitelj obrade dužan čuvati na temelju zakona čuvaju se samo tijekom zakonom propisanog razdoblja.

10. Partneri

Ako Naručitelj postupa na temelju Partnerskog ugovora i obrađuje osobne podatke u ime vlastitog klijenta, Naručitelj je izvršitelj obrade tog klijenta, a Izvršitelj obrade postupa kao njegov podizvršitelj obrade. U tom se slučaju ovaj Ugovor o obradi primjenjuje između Naručitelja i Izvršitelja obrade kao ugovor o podizvršiteljskoj obradi koji se zahtijeva na temelju čl. 28. st. 4. GDPR-a, a Naručitelj je dužan obvezati svojega klijenta uvjetima koji su s njime usklađeni.

11. Odgovornost i trajanje

Ovaj Ugovor o obradi ostaje na snazi dok god Izvršitelj obrade obrađuje osobne podatke za Voditelja obrade. Odgovornost na temelju ovog Ugovora o obradi uređena je točkom 18. Općih uvjeta korištenja usluge, osim ako GDPR propisuje drukčije.

Prilog 1. — Tehničke i organizacijske mjere

  • Enkripcija — TLS 1.2+ tijekom prijenosa; AES-256-GCM za pohranjene vjerodajnice i tajne integracija.
  • Odvajanje — zasebna Instanca (aplikacija, baza podataka i pohrana) za svakog naručitelja; ograničavanje dosega resursa na razini pojedinog korisnika unutar Instance; izolacija pomoću isolated-vm za kod alata koji pišu naručitelji.
  • Kontrola pristupa — pristup na temelju uloga, višefaktorska autentifikacija (MFA) za administratorske račune ako je konfigurirana, istek sesije, deaktivacija se primjenjuje u roku od 60 sekundi.
  • Autentifikacija — sažimanje (hashing) lozinki algoritmom bcrypt; podržani su jedinstvena prijava (SSO) (SAML/OIDC) i dodjela korisnika putem SCIM-a.
  • Zaštita mreže — završetak TLS veze (TLS termination), sigurnosna zaglavlja (HSTS, X-Frame-Options, Referrer-Policy), ograničavanje broja zahtjeva, ojačavanje obrnutog posrednika (reverse proxy), zaštita internih usluga vatrozidom.
  • Zapisivanje — revizijski zapisnik administrativnih radnji i sigurnosnih događaja.
  • Osoblje i procesi — obveze čuvanja povjerljivosti, načelo najmanjih ovlasti, upravljanje promjenama, postupak odgovora na povrede.
  • Sigurnosne kopije — sigurnosna kopija baze podataka platforme, podatkovnih volumena i konfiguracije, s kontrolnim zbrojevima, izrađuje se prije svake nadogradnje platforme i čuva u kliznom vremenskom razdoblju na poslužitelju na kojem je platforma postavljena; snimke stanja infrastrukture na razini smještaja (hostinga).
  • Podizvršitelji obrade — smještaj isključivo u EU-u, na temelju ugovora o obradi podataka; vidi popis podizvršitelja obrade.

Prilog 2. — Podaci o Voditelju obrade

Voditelj obrade je pravna osoba navedena u Narudžbenici ili, ako Narudžbenice nema, u korisničkom računu. Kontakt Voditelja obrade za zaštitu podataka je osoba navedena u Narudžbenici ili, ako ondje nije navedena, glavni administrator Instance.

Natrag na prijavu

© 2026 Apex Academy d.o.o., koje posluje pod nazivom Digital Apex