Ugovor o obradi podataka

1. Ugovorne strane i sklapanje Ugovora

Ovaj ugovor o obradi podataka (dalje: Ugovor) sklapaju tvrtka, obrt ili druga osoba koja InCRM koristi za svoje poslovanje (dalje: Korisnik), kao voditelj obrade, i BLOCKINCREMENT d.o.o., Dračevac 3D, 21000 Split, Hrvatska, OIB 57981785147 (dalje: Blockincrement), kao izvršitelj obrade. Ugovor uređuje obradu osobnih podataka koju Blockincrement obavlja za Korisnika dok mu pruža aplikaciju InCRM (app.incrm.app), uključujući AI asistenta Brainyja, javni API te web stranice i webshopove izrađene u InCRM-u. Sklapa se u elektroničkom obliku, kako to dopušta članak 28. stavak 9. Opće uredbe o zaštiti podataka (Uredba (EU) 2016/679, dalje: GDPR). Registracijom tvrtke u InCRM-u ili daljnjim korištenjem InCRM-a nakon objave ovog Ugovora Korisnik prihvaća Ugovor. Korisnik koji želi potpisani primjerak može ga zatražiti na info@blockincrement.co. Izrazi „osobni podaci”, „obrada”, „voditelj obrade”, „izvršitelj obrade”, „ispitanik” i „povreda osobnih podataka” imaju značenje iz članka 4. GDPR-a.

2. Predmet, trajanje, priroda i svrha obrade

Predmet obrade su osobni podaci koje Korisnik i njegovi korisnici unose u InCRM ili koji u InCRM stižu putem njegovih značajki, npr. primljena e-pošta, učitane datoteke te upiti, narudžbe i rezervacije s web stranica Korisnika. Priroda obrade: pohrana, organiziranje, pretraživanje, prikaz i izmjena podataka, slanje i primanje e-pošte, izrada ponuda, računa i drugih dokumenata, slanje e-računa i fiskalizacija kad ih Korisnik pokrene, obrada AI modelima kad Korisnik koristi Brainyja i druge AI značajke, izrada sigurnosnih kopija i brisanje. Svrha obrade je isključivo pružanje, održavanje, zaštita i podrška InCRM-a Korisniku. Blockincrement podatke Korisnika ne koristi u vlastite svrhe, ne prodaje ih, ne koristi ih za oglašavanje i na njima ne trenira AI modele. Trajanje: obrada traje dok Korisnik koristi InCRM, a nakon toga do vraćanja ili brisanja podataka prema odjeljku „Brisanje i vraćanje podataka”.

3. Vrste osobnih podataka i kategorije ispitanika

Vrste osobnih podataka ovise o tome što Korisnik unese, a obično su: • identifikacijski i kontaktni podaci (ime i prezime, naziv tvrtke, e-mail, telefon, adresa, OIB); • podaci o poslovnom odnosu (ponude, narudžbe, računi, plaćanja, ugovori, zadaci, termini, bilješke); • sadržaj e-pošte i privitaka, dokumenti i druge datoteke; • poruke u razgovorima s Brainyjem i ono što Brainy zapamti za korisnika; • podaci o korisnicima InCRM-a kod Korisnika (ime, e-mail, uloga, dozvole, prijave). Kategorije ispitanika: klijenti i potencijalni klijenti Korisnika i njihove kontakt osobe, dobavljači i poslovni partneri, zaposlenici i suradnici Korisnika, osobe koje se Korisniku javljaju e-poštom te posjetitelji web stranica i webshopova izrađenih u InCRM-u koji pošalju upit, narudžbu ili rezervaciju. Posebne kategorije osobnih podataka (npr. podaci o zdravlju) i podaci o kaznenim osudama obrađuju se samo ako ih Korisnik unese. Za njih Korisnik mora imati pravnu osnovu i sam procjenjuje je li InCRM, uključujući AI značajke opisane u ovom Ugovoru, primjeren za takvu obradu. Ugovor ne obuhvaća podatke za koje je Blockincrement sam voditelj obrade: podatke o Korisniku kao kupcu (registracija, naplata pretplate) i analitiku korištenja uz privolu, opisane na stranici Privatnost i kolačići.

4. Obveze i prava Korisnika

Korisnik je odgovoran za zakonitost obrade podataka koje unosi u InCRM: da za obradu ima pravnu osnovu, da je ispitanike o njoj obavijestio i da su podaci točni. Korisnik određuje tko u njegovoj tvrtki koristi InCRM i s kojim ulogama i dozvolama te se brine da njegovi korisnici čuvaju svoje pristupne podatke. Korisnik ima prava iz ovog Ugovora i GDPR-a, osobito pravo davati upute, uložiti prigovor na novog drugog izvršitelja obrade, dobiti informacije i provesti reviziju te zatražiti vraćanje ili brisanje podataka.

5. Upute Korisnika

Blockincrement osobne podatke obrađuje samo prema zabilježenim uputama Korisnika, uključujući one o prijenosu podataka u treće zemlje. Upute su ovaj Ugovor, postavke i radnje Korisnika i njegovih korisnika u InCRM-u (uključujući zahtjeve Brainyju i značajke koje uključe) te pisane upute koje Korisnik pošalje na info@blockincrement.co. Ako pravo Unije ili Republike Hrvatske od Blockincrementa zahtijeva obradu izvan tih uputa, Blockincrement o tom pravnom zahtjevu obavješćuje Korisnika prije obrade, osim ako to pravo takvo obavješćivanje zabranjuje. Blockincrement odmah obavješćuje Korisnika ako smatra da se nekom uputom krši GDPR ili drugi propis o zaštiti podataka.

6. Povjerljivost

Podacima Korisnika pristupaju samo osobe koje rade za Blockincrement i kojima je to potrebno za pružanje InCRM-a, podršku Korisniku, otklanjanje kvarova ili sigurnost. Blockincrement osigurava da su se te osobe obvezale na povjerljivost ili da podliježu zakonskoj obvezi povjerljivosti. Blockincrement podacima Korisnika ne pristupa izvan tih potreba.

7. Sigurnost obrade

Blockincrement primjenjuje tehničke i organizacijske mjere iz članka 32. GDPR-a, primjerene riziku obrade, a osobito: • šifriranje u prijenosu: aplikaciji, API-ju i web stranicama pristupa se preko HTTPS-a; • šifriranje u pohrani: datoteke i e-pošta u Amazon S3 pohranjuju se šifrirano (AES-256), a MongoDB Atlas prema svojoj dokumentaciji šifrira pohranu baze i njezinih snimki (AES-256); lozinke vanjskih poštanskih sandučića, pristupni podaci za e-račune i privatni ključevi certifikata za fiskalizaciju dodatno se šifriraju u aplikaciji algoritmom AES-256-GCM; • lozinke korisnika pohranjuju se samo kao bcrypt sažetak, a API ključevi kao SHA-256 sažetak; pristupni tokeni su kratkotrajni; • odvajanje podataka: svaki upit u bazu ograničen je na tvrtku korisnika, a privatni zapisi (npr. bilješke, Brainyjevo pamćenje) i na samog korisnika; • uloge i dozvole: Korisnik određuje što koji korisnik smije vidjeti i mijenjati, a ista pravila vrijede za Brainyja, koji izmjene samo predlaže i provodi ih tek kad ih korisnik potvrdi; • ograničenje broja zahtjeva prema API-ju i prijavi; • provjera svake učitane datoteke na zlonamjerni softver, uz izdvajanje zaraženih datoteka, i provjera dolazne e-pošte na viruse i neželjenu poštu; • tajne i ključevi čuvaju se u AWS Secrets Manageru, a ne u kodu; • snimke (sigurnosne kopije) baze podataka u MongoDB Atlasu; • automatski testovi koji se pokreću pri izmjenama koda provjeravaju, među ostalim, odvajanje podataka tvrtki i dozvole. Aplikacija i datoteke smješteni su u AWS regiji Frankfurt (eu-central-1). Blockincrement mjere preispituje i prilagođava razvoju usluge i rizicima.

8. Drugi izvršitelji obrade

Korisnik Blockincrementu daje opće pisano odobrenje za angažiranje drugih izvršitelja obrade. Trenutni popis, sa svrhom, vrstama podataka, lokacijom i osnovom prijenosa za svakoga, objavljen je na incrm.app/subprocessors i dio je ovog Ugovora. O svakoj planiranoj izmjeni u vezi s dodavanjem ili zamjenom drugog izvršitelja obrade Blockincrement obavješćuje Korisnika najmanje 30 dana unaprijed, e-poštom na adresu tvrtke u InCRM-u i objavom na popisu. Korisnik u tom roku može uložiti prigovor na info@blockincrement.co, uz razloge. Ako se strane o prigovoru ne dogovore, Korisnik može prestati koristiti InCRM prije nego što izmjena počne vrijediti, a Blockincrement mu na zahtjev vraća podatke prema odjeljku „Brisanje i vraćanje podataka”. Ako je zamjena drugog izvršitelja obrade hitno potrebna radi sigurnosti podataka ili nastavka rada InCRM-a, Blockincrement je može provesti i prije isteka tog roka. O tome bez odgađanja obavješćuje Korisnika, koji zadržava pravo prigovora. Blockincrement drugom izvršitelju obrade ugovorom nameće obveze zaštite podataka kakve su propisane ovim Ugovorom, osobito dovoljna jamstva za tehničke i organizacijske mjere, u skladu s člankom 28. stavkom 4. GDPR-a. Ako drugi izvršitelj obrade ne ispuni svoje obveze zaštite podataka, Blockincrement ostaje u cijelosti odgovoran Korisniku za izvršavanje obveza tog drugog izvršitelja obrade.

9. AI značajke

Brainy (AI asistent u InCRM-u), automatsko čitanje datoteka, sažeci e-pošte, pretraživanje, generiranje slika i izrada web stranica rade s AI modelima drugih izvršitelja obrade: • Brainy, čitanje datoteka, sažeci i pretraživanje prirodnim jezikom koriste model Claude preko Claude API-ja (Anthropic), a kad Claude API nije dostupan, isti model preko Amazon Bedrocka (AWS). Izrada web stranica zasad koristi Claude preko Amazon Bedrocka. • Pretraživanje po značenju koristi model Amazon Titan u Frankfurtu, a generiranje slika model Stability AI preko Amazon Bedrocka u regiji us-west-2 (SAD). • Glasovne poruke Brainyju u tekst pretvara Amazon Transcribe u Frankfurtu. Kad korisnik koristi te značajke, modelu se šalju njegova poruka i podaci potrebni za zadatak, npr. zapisi o klijentima, e-pošta, dokumenti ili sadržaj datoteka koje Brainy za taj zadatak pročita. Učitane datoteke i privitke e-pošte model čita i sam (prepoznaje tekst skeniranih dokumenata i slika te piše kratki sažetak) kako bi ih Brainy i pretraživanje mogli koristiti, dok tvrtka ima AI kredite. Obrada AI modelima nije ograničena na EU: Claude API zahtjeve obrađuje u više regija svijeta, a podatke pohranjuje u SAD-u; Amazon Bedrock zahtjeve za Claude obrađuje u globalnim profilima (bilo koja komercijalna AWS regija) ili u EU profilima. Lokacije su navedene na popisu drugih izvršitelja obrade. Prema ugovornim uvjetima Anthropica i AWS-a za Amazon Bedrock, ulazni podaci i odgovori ne koriste se za treniranje njihovih modela. Anthropic ulazne podatke i odgovore Claude API-ja prema svojim pravilima briše u roku od 30 dana, osim sadržaja označenog zbog kršenja pravila korištenja, koji čuva do dvije godine. Amazon Bedrock za neke modele čuva ulazne podatke i odgovore do 30 dana radi otkrivanja zlouporabe. Brainy radi s dozvolama korisnika s kojim razgovara, a podatke mijenja tek kad korisnik potvrdi izmjenu koju je Brainy predložio.

10. Prijenos podataka izvan EGP-a

Neki drugi izvršitelji obrade obrađuju podatke izvan Europskog gospodarskog prostora (EGP), ponajprije u SAD-u. Za svakoga su na popisu navedeni lokacija i osnova prijenosa. Prijenosi se temelje na: • odluci Europske komisije o primjerenoj razini zaštite u skladu s okvirom EU-a i SAD-a za privatnost podataka (Provedbena odluka Komisije (EU) 2023/1795), za primatelje certificirane prema tom okviru; • standardnim ugovornim klauzulama za prijenos osobnih podataka u treće zemlje (Provedbena odluka Komisije (EU) 2021/914), koje su dio ugovora o obradi drugih izvršitelja obrade, i za primatelje koji nisu certificirani, npr. Anthropic. Ovim Ugovorom Korisnik daje uputu za te prijenose. Ako osnova nekog prijenosa prestane vrijediti, Blockincrement primjenjuje drugu valjanu osnovu iz poglavlja V. GDPR-a ili o tome obavješćuje Korisnika kao o izmjeni drugih izvršitelja obrade.

11. Pomoć pri ostvarivanju prava ispitanika

Uzimajući u obzir prirodu obrade, Blockincrement pomaže Korisniku odgovarajućim tehničkim i organizacijskim mjerama da odgovori na zahtjeve ispitanika za ostvarivanje njihovih prava (pristup, ispravak, brisanje, ograničenje obrade, prenosivost, prigovor). Korisnik podatke može sam pregledati, ispraviti, izvesti i obrisati u InCRM-u i preko javnog API-ja, a ono što ne može sam, Blockincrement na zahtjev napravi za njega. Ako Blockincrement izravno zaprimi zahtjev ispitanika koji se odnosi na podatke Korisnika, bez nepotrebnog odgađanja prosljeđuje ga Korisniku i ne odgovara na njega sam, osim po uputi Korisnika.

12. Povrede osobnih podataka i druga pomoć

Blockincrement bez nepotrebnog odgađanja izvješćuje Korisnika nakon što sazna za povredu osobnih podataka koja se odnosi na podatke Korisnika, e-poštom na adresu tvrtke u InCRM-u. Obavijest sadrži, koliko je u tom trenutku poznato, opis povrede, kategorije i približan broj ispitanika i zapisa, vjerojatne posljedice, poduzete ili predložene mjere te kontakt za daljnje informacije. Ono što još nije poznato Blockincrement dostavlja naknadno, bez nepotrebnog odgađanja. Blockincrement pomaže Korisniku i u ispunjavanju obveza iz članaka 32. do 36. GDPR-a (sigurnost obrade, izvješćivanje nadzornog tijela i obavješćivanje ispitanika, procjena učinka na zaštitu podataka i prethodno savjetovanje), uzimajući u obzir prirodu obrade i informacije koje su mu dostupne. Nadzorno tijelo u Republici Hrvatskoj je Agencija za zaštitu osobnih podataka (AZOP).

13. Brisanje i vraćanje podataka

Dok koristi InCRM, Korisnik podatke može izvesti i obrisati u bilo kojem trenutku. Po prestanku korištenja InCRM-a Blockincrement, prema izboru Korisnika, vraća Korisniku podatke ili ih briše, zajedno s postojećim kopijama, osim ako pravo Unije ili Republike Hrvatske zahtijeva njihovu pohranu. Korisnik svoj izbor šalje na info@blockincrement.co. Blockincrement podatke vraća u uobičajenom strojno čitljivom obliku, a brisanje provodi u roku od 30 dana od zahtjeva. Podaci u sigurnosnim kopijama brišu se kad istekne razdoblje njihova čuvanja, a do tada se ne koriste. Korisnik je odgovoran prije brisanja izvesti podatke koje mora čuvati prema propisima, npr. račune i druge knjigovodstvene isprave.

14. Informacije i revizije

Blockincrement Korisniku na zahtjev stavlja na raspolaganje sve informacije potrebne za dokazivanje poštovanja obveza iz članka 28. GDPR-a, uključujući opis mjera iz ovog Ugovora te dostupna revizorska izvješća i certifikate drugih izvršitelja obrade. Blockincrement omogućuje revizije, uključujući inspekcije, koje provodi Korisnik ili drugi revizor kojeg Korisnik ovlasti, i doprinosi im. Reviziju je potrebno najaviti pisanim putem najmanje 30 dana unaprijed, osim nakon povrede osobnih podataka ili na zahtjev nadzornog tijela. Provodi se u radno vrijeme, bez pristupa podacima drugih korisnika InCRM-a i uz obvezu povjerljivosti revizora. Troškove revizije snosi Korisnik.

15. Završne odredbe

Blockincrement može izmijeniti ovaj Ugovor zbog promjene propisa ili usluge. O izmjenama koje utječu na prava Korisnika obavješćuje ga najmanje 30 dana unaprijed, na isti način kao o izmjenama drugih izvršitelja obrade. Datum zadnje izmjene i popis izmjena navedeni su na ovoj stranici. U pitanjima zaštite osobnih podataka ovaj Ugovor ima prednost pred drugim dogovorima Korisnika i Blockincrementa. Odgovornost ugovornih strana za štetu uređena je člankom 82. GDPR-a. Na Ugovor se primjenjuju pravo Republike Hrvatske, GDPR i Zakon o provedbi Opće uredbe o zaštiti podataka (Narodne novine, br. 42/2018). Kontakt za pitanja o zaštiti podataka i za sve obavijesti po ovom Ugovoru: info@blockincrement.co.

Popis izmjena

• 18. listopada 2026. — Anthropic dodan kao drugi izvršitelj obrade za AI značajke (Brainy). Prva objava Ugovora o obradi podataka i popisa drugih izvršitelja obrade.