1. Strane i predmet
Ovaj Ugovor o obradi podataka (Ugovor) sastavni je dio Uslova korištenja VONCON platforme. Zaključuju ga firma koja koristi Platformu, kao kontrolor (Kontrolor), i VONITO d.o.o. Bihać, Muhsina Rizvića 25, 77000 Bihać, kao obrađivač (Obrađivač).
Ugovor uređuje obradu ličnih podataka koju Obrađivač obavlja u ime Kontrolora pri pružanju Platforme, u skladu sa Zakonom o zaštiti ličnih podataka BiH ("Službeni glasnik BiH", broj 12/25) i, kada se primjenjuje, članom 28. Opće uredbe EU o zaštiti podataka (GDPR).
2. Opis obrade
- Svrha i priroda: čuvanje i obrada podataka na Platformi, izračun konfiguracija i cijena, izrada ponuda, narudžbi i PDF dokumenata, slanje emailova u ime Kontrolora, rezervne kopije.
- Kategorije osoba: krajnji kupci Kontrolora i njihove kontakt osobe, zaposleni i saradnici Kontrolora, dileri.
- Kategorije podataka: ime i prezime, email, telefon, adresa i lokacija, naziv firme kupca, sadržaj upita, konfiguracije, ponude, narudžbe, napomene, podaci o prihvatanju ponude (ime, vrijeme, IP adresa), pristanci.
- Posebne kategorije podataka: Platforma nije namijenjena njihovoj obradi i Kontrolor ih ne unosi.
- Trajanje: dok traju Uslovi korištenja, te do brisanja prema tački 9.
3. Upute Kontrolora
Obrađivač obrađuje podatke samo po dokumentovanim uputama Kontrolora. Upute su ovaj Ugovor, Uslovi korištenja i radnje Kontrolora u Platformi (npr. slanje ponude, brisanje kupca). Ako smatra da je uputa protivna propisima, Obrađivač o tome odmah obavještava Kontrolora.
Kontrolor odgovara za zakonitost obrade, posebno za pravni osnov i obavještavanje krajnjih kupaca, uključujući tekst pristanka u konfiguratoru.
4. Povjerljivost
Pristup podacima imaju samo osobe Obrađivača kojima je potreban za pružanje, održavanje i podršku, i koje su obavezne na povjerljivost. Pristup radi podrške se evidentira u dnevniku promjena.
5. Sigurnost
Obrađivač provodi tehničke i organizacione mjere iz Priloga 2 i usklađuje ih sa stanjem tehnike.
6. Podobrađivači
Kontrolor daje opće odobrenje za angažovanje podobrađivača iz Priloga 1. O dodavanju ili zamjeni podobrađivača Obrađivač obavještava Kontrolora najmanje 30 dana unaprijed; Kontrolor se u tom roku može usprotiviti iz opravdanih razloga, a ako se strane ne dogovore, može raskinuti ugovor. Obrađivač sa svakim podobrađivačem zaključuje ugovor sa obavezama zaštite koje nisu slabije od ovih.
7. Pomoć Kontroloru
Obrađivač pomaže Kontroloru u ostvarivanju prava osoba: Platforma omogućava izvoz svih podataka kupca, ispravku i brisanje (pseudonimizaciju u dnevniku promjena). Obrađivač pomaže i u procjeni uticaja i saradnji sa nadzornim tijelom, u mjeri u kojoj ima potrebne informacije.
8. Povreda ličnih podataka
Obrađivač obavještava Kontrolora o povredi ličnih podataka bez nepotrebnog odlaganja, a najkasnije u roku od 48 sati od saznanja, sa podacima koji su mu tada poznati: prirodom povrede, kategorijama i približnim brojem osoba i zapisa, vjerovatnim posljedicama i preduzetim mjerama.
9. Brisanje i vraćanje podataka
Nakon prestanka Uslova Kontrolor 30 dana može izvesti podatke. Nakon toga Obrađivač briše podatke Kontrolora; iz rezervnih kopija oni nestaju istekom njihovog roka čuvanja od 30 dana. Podaci koje Obrađivač mora čuvati po zakonu čuvaju se samo u tu svrhu.
10. Revizija
Obrađivač Kontroloru na zahtjev daje informacije potrebne za dokaz o ispunjavanju ovog Ugovora. Kontrolor može jednom godišnje, uz najavu od 30 dana i o svom trošku, provesti reviziju ili je povjeriti nezavisnom revizoru obavezanom na povjerljivost, bez ugrožavanja podataka drugih firmi.
11. Prijenos podataka
Podaci se čuvaju u Evropskoj uniji. Prijenos u treće zemlje dopušten je samo uz odluku o primjerenosti ili standardne ugovorne klauzule.
12. Odgovornost i mjerodavno pravo
Za odgovornost važe odredbe Uslova korištenja, osim ako zakon određuje drugačije. Na ovaj Ugovor primjenjuje se pravo Bosne i Hercegovine; kada se primjenjuje GDPR, primjenjuju se i njegove obavezne odredbe.
Prilog 1: Podobrađivači
- Hostinger International Ltd., Larnaka, Kipar; podatkovni centar u Njemačkoj: virtuelni server na kojem radi Platforma i baza podataka.
- Backblaze, Inc., San Mateo, SAD; podatkovni centar EU Central (Amsterdam, Nizozemska): čuvanje šifrovanih rezervnih kopija.
- Sendinblue SAS (Brevo), Pariz, Francuska: slanje emailova (potvrde, upiti, ponude).
Prilog 2: Tehničke i organizacione mjere
- Šifrovan prijenos (HTTPS/TLS) za aplikaciju, API i emailove gdje primalac to podržava.
- Odvajanje podataka firmi u bazi (row-level security): svaki upit vidi samo podatke svoje firme.
- Obavezna prijava u dva koraka, provjera lozinki protiv poznatih curenja, ograničen broj pokušaja prijave.
- Uloge i prava po načelu najmanjih ovlaštenja; dnevnik promjena koji se ne može mijenjati.
- Tajni ključevi i osjetljive vrijednosti šifrovani u bazi (AES-256-GCM).
- Ograničenje broja zahtjeva na javnim krajnjim tačkama; javni konfigurator ne otkriva pravila ni formule.
- Dnevna puna rezervna kopija i stalno arhiviranje izmjena (najviše 15 minuta zakašnjenja), šifrovano (AES-256), čuvanje 30 dana, mjesečni probni povrat.
- Ažuriranje softvera, odvojeno probno okruženje, pregled izmjena prije objave.
- Pristup serverima samo za ovlaštene osobe Obrađivača, uz zaštićene pristupne podatke.