1. Predmet i status Ugovora

1.1. Ovaj Ugovor o obradi osobnih podataka (dalje: "DPA" ili "Ugovor") uređuje obradu osobnih podataka koju društvo MVT Solutions Group d.o.o. (dalje: "MVT" ili "Izvršitelj obrade") provodi u ime poslovnog korisnika FUDO sustava (dalje: "Voditelj obrade" ili "Platitelj").

1.2. Ovaj DPA čini sastavni dio ugovornog odnosa za FUDO sustav i namijenjen je ispunjenju zahtjeva članka 28. stavaka 3. i 4. Uredbe (EU) 2016/679 (dalje: "GDPR").

1.3. DPA se primjenjuje kada i u mjeri u kojoj MVT obrađuje osobne podatke u ime Voditelja obrade kroz FUDO web, mobilne aplikacije, FUDO Central, povezane IoT funkcije, integracije, AI funkcije, pohranu, podršku i druge ugovorene FUDO usluge.

1.4. Osobni podaci koje MVT obrađuje za vlastite potrebe, primjerice podatke o poslovnom kontaktu, ugovoru, naplati, računu, sigurnosti i vlastitoj pravnoj usklađenosti, nisu predmet ovog DPA-a nego Politike privatnosti FUDO-a.

2. Definicije

2.1. Pojmovi osobni podaci, obrada, voditelj obrade, izvršitelj obrade, ispitanik, povreda osobnih podataka, nadzorno tijelo i drugi GDPR pojmovi imaju značenje iz GDPR-a.

2.2. Korisnički osobni podaci znači osobne podatke koje Voditelj obrade ili njegovi Korisnici unose, prenose, generiraju ili na drugi način obrađuju kroz FUDO i koje MVT obrađuje u ime Voditelja obrade.

2.3. Podizvršitelj znači treću osobu koju MVT angažira za obradu Korisničkih osobnih podataka u ime Voditelja obrade.

2.4. FUDO sustav ima značenje iz Općih uvjeta i uključuje FUDO web, iOS, Android, FUDO Central, IoT funkcije, integracije, AI funkcije i povezane usluge.

3. Uloge i odgovornosti stranaka

3.1. Voditelj obrade određuje svrhe i bitna sredstva obrade osobnih podataka svojih zaposlenika, suradnika i drugih osoba čije podatke obrađuje kroz FUDO.

3.2. MVT djeluje kao Izvršitelj obrade i obrađuje Korisničke osobne podatke samo prema dokumentiranim uputama Voditelja obrade, osim ako je obrada obvezna prema pravu Europske unije ili Republike Hrvatske.

3.3. Ako Platitelj sam djeluje kao izvršitelj obrade za drugog voditelja, MVT se u relevantnom opsegu smatra podizvršiteljem, a Platitelj jamči da ima ovlaštenje relevantnog voditelja za angažiranje MVT-a i davanje uputa iz ovog DPA-a.

3.4. Voditelj obrade odgovoran je za:

• zakonitost obrade;
• pravnu osnovu i, kada je potrebno, uvjete za obradu posebnih kategorija podataka;
• transparentno informiranje ispitanika;
• poštovanje načela minimizacije, točnosti i ograničenja pohrane;
• upravljanje Korisnicima i ovlastima pod svojom kontrolom;
• procjenu je li FUDO prikladan za njegovu konkretnu svrhu obrade.

4. Dokumentirane upute

4.1. Dokumentirane upute Voditelja obrade uključuju:

• ovaj DPA i njegove priloge;
• Opće uvjete FUDO-a;
• konfiguraciju i radnje ovlaštenih Korisnika kroz FUDO;
• zahtjeve poslani kroz službeni ticket sustav ili s ovlaštene poslovne adrese;
• zasebno potpisane ugovore, ponude i tehničke upute prihvaćene od MVT-a.

4.2. Ako MVT smatra da neka uputa krši GDPR ili drugi primjenjivi propis o zaštiti podataka, bez nepotrebnog odgađanja obavijestit će Voditelja obrade i može obustaviti izvršenje te upute dok se pitanje ne razjasni.

4.3. Ako je MVT zakonom obvezan obrađivati podatke mimo upute Voditelja obrade, MVT će, kada to zakon dopušta, o takvom zahtjevu obavijestiti Voditelja obrade prije obrade.

5. Ograničenje svrhe i povjerljivost

5.1. MVT obrađuje Korisničke osobne podatke samo u svrhu pružanja, hostinga, održavanja, sigurnosti, tehničkog razvoja, podrške i izvršenja ugovorenih FUDO funkcija.

5.2. Osobe ovlaštene za pristup Korisničkim osobnim podacima podliježu ugovornoj ili zakonskoj obvezi povjerljivosti.

5.3. Pristup se ograničava prema načelu najmanjih potrebnih ovlasti i pruža samo osobama kojima je potreban za konkretan tehnički, sigurnosni ili podržni zadatak.

6. Priroda i opseg obrade

6.1. Obrada kroz FUDO može uključivati prikupljanje, bilježenje, strukturiranje, pohranu, izmjenu, dohvat, uvid, prijenos, organizaciju, arhiviranje, sigurnosno kopiranje, ograničavanje i brisanje osobnih podataka.

6.2. Primarna svrha obrade je digitalizacija HACCP i drugih poslovnih evidencija, upravljanje radnim procesima, korisnicima, lokacijama, dokumentima, IoT podacima, analizom i drugim funkcijama koje Voditelj obrade aktivira u FUDO sustavu.

6.3. Detalji obrade navedeni su u Prilogu II. - Opis obrade.

7. Posebne kategorije osobnih podataka

7.1. FUDO može omogućiti pohranu fotografije ili skena sanitarne iskaznice zaposlenika. Takav dokument može sadržavati podatke koji se odnose na zdravlje i time predstavljati posebnu kategoriju osobnih podataka iz članka 9. GDPR-a.

7.2. Voditelj obrade odgovoran je utvrditi zakonitu pravnu osnovu i odgovarajući uvjet za obradu takvih podataka te ograničiti pristup osobama kojima je potreban.

7.3. MVT primjenjuje odgovarajuće tehničke i organizacijske mjere, ali ne određuje treba li Voditelj obrade određeni podatak uopće prikupljati niti koliko ga dugo mora čuvati prema sektorskom propisu.

8. Sigurnost obrade

8.1. Uzimajući u obzir stanje tehnike, trošak provedbe, prirodu, opseg, kontekst i svrhe obrade te rizike za ispitanike, MVT provodi primjerene tehničke i organizacijske mjere sukladno članku 32. GDPR-a.

8.2. Te mjere detaljnije su opisane u Prilogu III. - Tehničke i organizacijske mjere.

8.3. MVT može mijenjati pojedine tehničke mjere i tehnologije radi održavanja, modernizacije ili povećanja sigurnosti, pod uvjetom da se ukupna razina zaštite ne smanjuje na materijalno nepovoljan način bez opravdanog razloga.

9. Podizvršitelji obrade

9.1. Voditelj obrade daje MVT-u opće pisano odobrenje za angažiranje podizvršitelja navedenih u Prilogu IV. - Popis podizvršitelja.

9.2. MVT će Voditelja obrade obavijestiti o namjeri dodavanja ili zamjene podizvršitelja najmanje 30 dana unaprijed, putem e-maila, FUDO sustava ili objavom na mjestu koje je razumno dostupno Platitelju, kako bi Voditelj obrade mogao podnijeti obrazloženi prigovor vezan uz zaštitu osobnih podataka.

9.3. MVT će s podizvršiteljem ugovoriti obveze zaštite podataka koje su u bitnom usporedive s obvezama MVT-a iz ovog DPA-a u dijelu koji se odnosi na uslugu podizvršitelja.

9.4. MVT ostaje odgovoran Voditelju obrade za izvršenje obveza podizvršitelja u opsegu koji proizlazi iz članka 28. GDPR-a.

9.5. Ako Voditelj obrade pravodobno podnese opravdan prigovor na novog podizvršitelja, stranke će pokušati pronaći razumno rješenje. Ako to nije moguće, MVT može omogućiti alternativnu tehničku opciju ako je razumno dostupna ili omogućiti prestanak pogođene funkcionalnosti ili ugovornog odnosa bez utjecaja na već nastale obveze.

10. AI podizvršitelji i obrada putem Mistral AI-a

10.1. Za određene AI i OCR funkcije MVT može koristiti Mistral AI kao podizvršitelja obrade.

10.2. Takve funkcije mogu uključivati obradu računa, otpremnica, tekstualnih podataka, upravljačke upite i druge korisnički inicirane AI funkcije.

10.3. MVT koristi konfiguraciju usluge namijenjenu poslovnoj obradi u kojoj se sadržaj poslan radi izvršenja FUDO funkcije ne koristi za treniranje modela i nije namijenjen trajnoj pohrani kod Mistral AI-a nakon izvršenja zahtjeva. Ako Mistral AI promijeni raspoložive kontrole, MVT će prilagoditi konfiguraciju ili uvjete korištenja kako bi se održala razina zaštite koju je MVT ugovorio s Voditeljem obrade.

10.4. Voditelj obrade ne smije namjerno slati posebne kategorije osobnih podataka u AI funkciju ako za takvu obradu nema odgovarajuću pravnu osnovu i ako funkcija nije prikladna za takvu vrstu podataka.

11. Međunarodni prijenosi

11.1. MVT nastoji koristiti EGP/regionalnu obradu gdje je dostupna i primjerena, uključujući AWS infrastrukturu u Frankfurtu za primarno FUDO okruženje.

11.2. Ako podizvršitelj ili njegov daljnji podizvršitelj obrađuje osobne podatke izvan EGP-a u zemlji bez odluke o primjerenosti, MVT će osigurati da se koristi zakonom dopušten mehanizam prijenosa, primjerice standardne ugovorne klauzule Europske komisije i, gdje je potrebno, dodatne zaštitne mjere.

11.3. Voditelj obrade ovlašćuje MVT na prijenose koji su nužni za ugovorene usluge pod uvjetima iz ovog članka.

12. Pomoć Voditelju obrade i prava ispitanika

12.1. Ako MVT zaprimi zahtjev ispitanika koji se odnosi na podatke koje obrađuje u ime Voditelja obrade, MVT neće samostalno odlučivati o zahtjevu osim ako je na to zakonski obvezan.

12.2. MVT će zahtjev proslijediti Voditelju obrade i, uzimajući u obzir prirodu obrade, pružiti razumnu tehničku pomoć kako bi Voditelj obrade mogao odgovoriti na zahtjev za pristup, ispravak, brisanje, ograničenje, prenosivost ili prigovor.

12.3. MVT će, u mjeri razumnoj i dostupnoj, pomoći Voditelju obrade u ispunjavanju obveza povezanih s:

• sigurnošću obrade;
• procjenom učinka na zaštitu podataka;
• prethodnim savjetovanjem s nadzornim tijelom;
• prijavom povrede osobnih podataka;
• komunikacijom prema ispitanicima u slučaju povrede.

13. Povreda osobnih podataka

13.1. MVT će Voditelja obrade obavijestiti bez nepotrebnog odgađanja nakon što sazna za povredu osobnih podataka koja se odnosi na Korisničke osobne podatke pod kontrolom MVT-a.

13.2. Obavijest će, u mjeri u kojoj su informacije dostupne, uključivati:

• opis prirode povrede;
• poznate ili procijenjene kategorije i broj pogođenih ispitanika i zapisa;
• moguće posljedice;
• poduzete ili planirane mjere;
• kontaktnu točku za dodatne informacije.

13.3. Ako sve informacije nisu odmah dostupne, MVT ih može dostaviti u fazama bez nepotrebnog odgađanja.

13.4. Obavijest o incidentu ne predstavlja priznanje odgovornosti MVT-a za incident.

14. Revizije i dokazivanje usklađenosti

14.1. MVT će Voditelju obrade staviti na raspolaganje informacije koje su razumno potrebne za dokazivanje usklađenosti s člankom 28. GDPR-a i ovim DPA-om.

14.2. Voditelj obrade može, u razumnim intervalima i uz prethodnu najavu, zatražiti reviziju obrade obuhvaćene ovim DPA-om.

14.3. Revizija se prvo treba provesti pregledom dokumentacije, upitnika, certifikata i drugih dostupnih dokaza. Inspekcija na lokaciji može se tražiti samo kada se razumno ne može postići dovoljna razina provjere drugim putem ili kada postoje konkretne naznake ozbiljne povrede obveza.

14.4. Revizija ne smije neopravdano ugrožavati sigurnost, povjerljivost, poslovanje MVT-a ili prava drugih korisnika.

14.5. Ako revizija nije posljedica dokazane povrede MVT-a i zahtijeva značajan dodatni rad, MVT može naplatiti razumne troškove uz prethodni dogovor.

15. Pohrana i sigurnosne kopije

15.1. Aktivni FUDO podaci u pravilu se drže dostupnima za dvije poslovne godine, nakon čega se mogu premjestiti u arhivu prema funkcionalnosti i ugovoru Platitelja.

15.2. MVT trenutačno izrađuje sigurnosne kopije baze podataka približno svakih 12 sati i cjelovitog sustava približno svakih 7 dana, uz ciklus čuvanja do 2 mjeseca.

15.3. Sigurnosne kopije služe za oporavak i otpornost sustava te se ne smatraju zasebnom korisničkom arhivom.

15.4. MVT može izmijeniti tehnički postupak izrade sigurnosnih kopija ako održava primjerenu razinu sigurnosti i oporavka.

16. Prestanak obrade, povrat i brisanje podataka

16.1. Po prestanku ugovornog odnosa MVT prestaje s redovnom obradom Korisničkih osobnih podataka, osim obrade potrebne za zatvaranje usluge, izvoz/povrat, sigurnost, brisanje ili ispunjenje zakonske obveze.

16.2. Voditelj obrade odgovoran je prije prestanka ugovora preuzeti podatke koje mora čuvati nakon prestanka, koristeći dostupne izvozne funkcije ili uz dogovor s MVT-om.

16.3. MVT će podatke iz aktivnih FUDO sustava izbrisati najkasnije u roku od 30 dana od prestanka ugovornog odnosa, osim ako ih mora čuvati temeljem prava Europske unije ili Republike Hrvatske.

16.4. Rezidualne kopije u rotacijskim sigurnosnim kopijama mogu ostati do isteka redovnog backup ciklusa, najdulje do 2 mjeseca. Takve kopije nisu dostupne za redovnu uporabu, zaštićene su i brišu se ili prepisuju po isteku ciklusa.

16.5. Ako Voditelj obrade prije brisanja zatraži razumno izvediv povrat podataka u dostupnom formatu, MVT će surađivati u okviru standardnih funkcija ili prema zasebno ugovorenoj usluzi.

17. Neusklađenost i prestanak DPA-a

17.1. Ako MVT bitno prekrši ovaj DPA, Voditelj obrade može zatražiti obustavu pogođene obrade dok MVT ne otkloni neusklađenost.

17.2. Ako se ozbiljna neusklađenost ne otkloni u razumnom roku, Voditelj obrade može raskinuti ugovorni odnos u dijelu koji se odnosi na pogođenu obradu, ne dovodeći u pitanje druga prava prema zakonu i ugovoru.

17.3. MVT može odbiti ili obustaviti uputu koja je nezakonita i, ako Voditelj obrade ustraje na nezakonitoj uputi, može raskinuti ugovorni odnos u relevantnom dijelu.

18. Mjerodavno pravo i rješavanje sporova

18.1. Na ovaj DPA primjenjuje se pravo Republike Hrvatske.

18.2. Stranke će spor pokušati riješiti pregovorima, zatim mirenjem pri Hrvatskoj gospodarskoj komori, a ako mirenje ne uspije, arbitražom pred Stalnim arbitražnim sudištem pri Hrvatskoj gospodarskoj komori prema Zagrebačkim pravilima, sa sjedištem arbitraže u Zagrebu.

18.3. Ovaj članak ne ograničava ovlasti nadležnih nadzornih tijela ni prava ispitanika koja proizlaze iz GDPR-a.

PRILOG I. - STRANKE

Voditelj obrade

Poslovni subjekt koji je prihvatio FUDO ponudu, Opće uvjete i ovaj DPA te koristi FUDO za obradu osobnih podataka svojih zaposlenika, suradnika ili drugih ispitanika.

Podaci o Voditelju obrade određuju se prema korisničkom računu, ponudi, računu, narudžbi ili drugoj ugovornoj dokumentaciji.

Izvršitelj obrade

MVT Solutions Group d.o.o.
Podolje 11A, 10000 Zagreb, Hrvatska
OIB: 85300439344
Korespondencija: Radnička cesta 34, 10000 Zagreb, Hrvatska
E-mail: info@fudoplatform.com

PRILOG II. - OPIS OBRADE

Kategorije ispitanika

Ovisno o načinu korištenja FUDO-a:

• zaposlenici i radnici Voditelja obrade;
• vanjski suradnici;
• ovlaštene osobe Organizacije;
• kontaktne osobe dobavljača ili kupaca ako se njihovi podaci nalaze u dokumentima koji se obrađuju;
• druge osobe čije podatke Voditelj obrade zakonito unese u FUDO.

Kategorije osobnih podataka

Mogu uključivati:

• ime i prezime;
• poslovni e-mail;
• kontaktni telefon;
• korisničku ulogu i ovlasti;
• fotografiju ili sken sanitarne iskaznice;
• podatke sadržane u HACCP i drugim radnim evidencijama;
• podatke sadržane u računima, otpremnicama i drugim poslovnim dokumentima;
• tehničke identifikatore povezane s korisničkim računom i uređajem;
• druge podatke koje Voditelj obrade unese koristeći ugovorene funkcionalnosti.

Posebne kategorije podataka

Moguće je da se obrađuju podaci o zdravlju sadržani u sanitarnoj iskaznici ili drugom dokumentu koji Voditelj obrade zakonito unese u FUDO. MVT ne zahtijeva unos drugih posebnih kategorija podataka osim ako je određena funkcija izričito namijenjena takvoj obradi.

Priroda obrade

Prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, dohvat, uvid, izmjena, prijenos, analiza, arhiviranje, sigurnosno kopiranje, ograničavanje i brisanje, prema uputama Voditelja obrade.

Svrha obrade

• digitalizacija HACCP evidencija i poslovnih procesa;
• upravljanje radnim zadacima, lokacijama i korisnicima;
• pohrana i prikaz poslovnih dokumenata;
• obrada IoT očitanja;
• izvještavanje i analiza;
• AI/OCR obrada na zahtjev korisnika;
• pružanje tehničke podrške i održavanje sustava.

Trajanje obrade

Za vrijeme trajanja ugovornog odnosa i do završetka postupka brisanja nakon prestanka, uključujući redovni ciklus sigurnosnih kopija kako je opisano u ovom DPA-u.

Učestalost obrade

Kontinuirano ili povremeno, ovisno o korištenju FUDO sustava i aktiviranim funkcionalnostima.

PRILOG III. - TEHNIČKE I ORGANIZACIJSKE MJERE

MVT primjenjuje mjere primjerene riziku, uključujući:

1. Sigurnost prijenosa

   • HTTPS/TLS za web i API komunikaciju;
   • kriptirani prijenos podataka između podržanih komponenti.

2. Kontrola pristupa

   • individualni korisnički računi;
   • upravljanje ulogama i ovlastima;
   • ograničen administrativni pristup infrastrukturnim resursima;
   • višefaktorska autentikacija za administrativne sustave gdje je dostupna i primjerena.

3. Povjerljivost osoblja

   • pristup samo ovlaštenim osobama;
   • ugovorne ili zakonske obveze povjerljivosti;
   • ukidanje pristupa kada više nije potreban.

4. Otpornost i dostupnost

   • AWS infrastruktura u EU;
   • sigurnosne kopije baze približno svakih 12 sati;
   • sigurnosne kopije cjelovitog sustava približno svakih 7 dana;
   • ciklus čuvanja sigurnosnih kopija do 2 mjeseca;
   • nadzor i tehnička upozorenja za kritične probleme.

5. Upravljanje promjenama i održavanje

   • redovite nadogradnje aplikacije i infrastrukture;
   • sigurnosne zakrpe prema procjeni rizika;
   • dokumentiranje važnih konfiguracija i postupaka.

6. Evidentiranje i nadzor

   • tehnički logovi i zapisi događaja u opsegu potrebnom za sigurnost, dijagnostiku i pouzdanost;
   • alati za praćenje grešaka i rušenja aplikacija.

7. Minimizacija i ograničenje pohrane

   • tehničko ograničavanje pristupa i podataka prema svrsi;
   • arhiviranje i brisanje u skladu s ugovorenim rokovima;
   • brisanje aktivnih podataka nakon prestanka ugovora u rokovima iz DPA-a.

8. Postupanje s incidentima

   • procjena i ograničavanje incidenta;
   • obavještavanje Voditelja obrade bez nepotrebnog odgađanja kada se radi o povredi Korisničkih osobnih podataka;
   • dokumentiranje i sanacija relevantnih događaja.

9. AI obrada

   • korištenje poslovne konfiguracije AI pružatelja;
   • isključivanje korištenja korisničkog sadržaja za treniranje modela kada je takva kontrola dostupna i ugovorena;
   • ograničenje prijenosa na podatke potrebne za izvršenje korisnički pokrenute funkcije;
   • izbjegavanje trajne AI pohrane sadržaja kada se koristi FUDO konfiguracija za prolaznu obradu.

PRILOG IV. - POPIS PODIZVRŠITELJA OBRADE

MVT je ovlašten koristiti sljedeće podizvršitelje, ovisno o funkcionalnosti koju Voditelj obrade koristi:

Napomena: Google Analytics, Google reCAPTCHA, Apple App Store i Google Play mogu obrađivati podatke i u svojstvu samostalnih voditelja ili prema vlastitim pravilima, ovisno o konkretnoj funkciji. Njihova uloga nije nužno podizvršitelj obrade Korisničkih osobnih podataka unutar FUDO sustava.