Dodatak o obradi podataka

Prijevod radi praktičnosti. Pravno je mjerodavna engleska verzija; u slučaju nesuglasja prevladava engleski tekst.

Ovaj Dodatak o obradi podataka ("Dodatak") sastavni je dio Uvjeta i odredbi ("Uvjeti") između vas ("Kupac", "vi") i društva Smart Solution Labz LLC, društva s ograničenom odgovornošću osnovanog prema pravu savezne države Wyoming, Sjedinjene Američke Države ("Smart Solution Labz", "mi" ili "nas"). Primjenjuje se kad god u vezi s Uslugom obrađujemo osobne podatke u vaše ime, a namjera mu je ispuniti zahtjeve članka 28. stavka 3. Uredbe (EU) 2016/679 ("GDPR") te, gdje je primjenjivo, istovjetne odredbe UK GDPR-a i švicarskog Zakona o zaštiti podataka.

Pojmovi pisani velikim početnim slovom koji ovdje nisu definirani imaju značenje iz Uvjeta. "Voditelj obrade", "izvršitelj obrade", "podizvršitelj obrade", "osobni podaci", "obrada", "ispitanik", "povreda osobnih podataka" i "nadzorno tijelo" imaju značenje iz GDPR-a. "Podaci Radnog prostora" znače osobne podatke sadržane u Podacima kupca koje u vaše ime obrađujemo u vašem Radnom prostoru.

U slučaju nesuglasja, ovaj Dodatak ima prednost pred Uvjetima i Politikom privatnosti u pogledu obrade Podataka Radnog prostora; u svemu ostalom prednost imaju Uvjeti.

1. Uloge stranaka

Stranka	Uloga za Podatke Radnog prostora	Uloga za podatke o računu, naplati i radu Usluge
Vi (Kupac / poslodavac)	Voditelj obrade	Ispitanik / vlasnik računa
Smart Solution Labz LLC	Izvršitelj obrade	Voditelj obrade
Smartyn d.o.o. (Hrvatska)	Ne primjenjuje se - ne prima Podatke Radnog prostora i nije naš podizvršitelj	Prodavatelj Pretplata kupcima čija je država naplate Hrvatska, druga država članica EU-a, Sjedinjene Američke Države, Bosna i Hercegovina ili Srbija (poslovnim subjektima registriranima za PDV): zaseban voditelj obrade vlastite evidencije prodaje, računa i računovodstva; naš predstavnik u EU-u prema članku 27. GDPR-a (odjeljak 19.); nije naš izvršitelj obrade
Google LLC / Google Ireland Limited	Podizvršitelj	Naš izvršitelj obrade
Stripe	Ne primjenjuje se - ne prima Podatke Radnog prostora	Za kupce izvan tržišta društva Smartyn: Prodavatelj (evidentirani trgovac putem Linka) i zaseban voditelj obrade podataka o kupnji, plaćanju, potvrdi o plaćanju i porezu; naš ugovorni subjekt za te kupnje jest Stripe, LLC (Sjedinjene Američke Države). Za kupce društva Smartyn: pružatelj obrade plaćanja karticom za Smartyn (Stripe Payments Europe, Limited, a plaćanje izvršava Stripe Technology Europe, Limited). U svakom slučaju voditelj obrade ondje gdje svrhe određuje sam: praćenje i otkrivanje prijevara, sprječavanje financijskih gubitaka i sigurnosnih rizika, vlastito fakturiranje, usklađenost s propisima uključujući provjere protiv pranja novca i provjere identiteta klijenata, te razvoj vlastitih proizvoda
Scaleway S.A.S. (Francuska)	Podizvršitelj (dostava e-pošte koju Usluga šalje vašim klijentima)	Naš izvršitelj obrade za transakcijsku e-poštu (obavijesti o pretplati, podsjetnici)
E-RAČUNI d.o.o. (Hrvatska)	Ne primjenjuje se - ne prima Podatke Radnog prostora	Izvršitelj obrade za izdavanje računa u ime društva Smartyn d.o.o. i certificirani informacijski posrednik; prima vaše podatke za naplatu i stavke računa; nismo ga mi angažirali

Vi određujete svrhe i sredstva obrade Podataka Radnog prostora. To uključuje odluku koga pozivate u Radni prostor, što o toj osobi bilježite, primjenjuje li se na nju prijava putem lokacije, koliko dugo čuvate njezine zapise i kada se ti zapisi brišu. Mi osiguravamo mehanizam i postupamo po vašim uputama; te odluke ne donosimo umjesto vas i Podatke Radnog prostora ne koristimo za vlastite svrhe.

Za podatke o vašem računu, statusu vaše pretplate, vašem korištenju Usluge, dijagnostici i našoj komunikaciji s vama mi djelujemo kao voditelj obrade. Ta je obrada opisana u Politici privatnosti i nije uređena ovim Dodatkom. Zahtjeve za podršku rješavamo isključivo mi; nijedno drugo društvo nema pristup Podacima Radnog prostora radi podrške. Kupnja Pretplate zaseban je odnos s Prodavateljem za vašu državu naplate (Uvjeti, odjeljak 7.), koji ne prima Podatke Radnog prostora.

2. Predmet, trajanje, narav i svrha obrade

Predmet. Pružanje Usluge vama: aplikacije za upravljanje radnom snagom, evidenciju vremena, raspoređivanje i upravljanje klijentima.

Trajanje. Dok postoji vaš Radni prostor, uvećano za rokove iz odjeljaka 6. i 15.

Narav i svrha. Smještaj, pohrana, strukturiranje, pretraživanje, prikaz, prijenos, sigurnosno kopiranje, izračun (primjerice automatska podjela na redovne, noćne, vikend i prekovremene sate te obračun plaće izveden iz njih), dostava obavijesti i brisanje, u svakom slučaju u mjeri potrebnoj za pružanje Usluge i izvršavanje vaših uputa.

Radnje obrade koje ne provodimo. Podatke Radnog prostora ne prodajemo, ne koristimo ih za treniranje modela, ne koristimo ih za oglašavanje ni izradu profila i ne otkrivamo ih trećima osim podizvršiteljima navedenima u odjeljku 11. ili kada to nalaže zakon (odjeljak 8.5).

3. Kategorije ispitanika i osobnih podataka

Ova je tablica opis koji zahtijeva članak 28. stavak 3. točka (a) GDPR-a i odgovara našoj internoj mapi podataka.

Kategorija ispitanika	Kategorije osobnih podataka
Vaši Članovi (zaposlenici, suradnici, članovi tima)	Identifikacijski i kontaktni podaci (ime i prezime, adresa e-pošte, broj telefona), neobavezna kućna adresa (država, grad, poštanski broj, ulica), neobavezni datum rođenja i spol, identifikator zaposlenika, uloga i dopuštenja, satnica
Vaši Članovi (radna evidencija)	Evidencija radnog vremena (početak i završetak, podjela na redovne / noćne / vikend / prekovremene sate, oznaka plaćenog), lokacija prijave (GPS koordinate i radijus radnog mjesta) ako uključite prijavu putem lokacije, zahtjevi za odsutnost i godišnji odmor, zapisi o plaćanjima i obračunu plaće, dokumenti koje vi ili Član učitate u njegov personalni dosje (primjerice ugovori o radu), bilješke i komentari voditelja
Vaši Članovi (operativni zapisi)	Njihovo ime zabilježeno kao autor, uređivač, odobravatelj ili zaduženi za rezervacije, događaje, radne naloge, klijente, bilješke, zadatke i zapise povijesti promjena
Vaši klijenti i poslovni kontakti	Ime, broj telefona, adresa e-pošte, adrese, bilješke i privici koje o njima bilježite
Svaka osoba navedena u sadržaju koji učitate	Sve što odlučite unijeti u datoteke, fotografije, bilješke i privitke

Posebne kategorije. Usluga nije namijenjena posebnim kategorijama osobnih podataka (članak 9. GDPR-a) ni podacima o kaznenim osudama i kažnjivim djelima (članak 10.). Zapisi o odsutnosti u praksi mogu otkriti podatke o zdravlju ako bilježite razlog bolovanja, a personalni dokumenti mogu sadržavati sve što učitate. Vi odlučujete što unosite u Uslugu i odgovorni ste za dodatne zaštitne mjere koje takvi podaci zahtijevaju.

4. Vaše upute

4.1 Dokumentirane upute. Podatke Radnog prostora obrađujemo isključivo po vašim dokumentiranim uputama, uključujući u pogledu prijenosa u treću zemlju, osim ako se to od nas zahtijeva pravom Unije ili države članice kojem podliježemo; u tom ćemo vas slučaju obavijestiti prije obrade, osim ako to pravo takvu obavijest zabranjuje zbog važnih razloga javnog interesa. Vaše dokumentirane upute čine: (a) Uvjeti i ovaj Dodatak; (b) vaša konfiguracija i korištenje značajki Usluge, uključujući kontrole brisanja iz odjeljka 5.; i (c) svaka daljnja pisana uputa koju pisano prihvatimo.

4.2 Nezakonite upute. Obavijestit ćemo vas ako po našem mišljenju uputa krši GDPR ili druge propise Unije ili države članice o zaštiti podataka. Izvršenje upute možemo obustaviti dok se to pitanje ne razriješi. Nismo dužni davati vam pravne savjete, procjenjivati je li brisanje dopušteno prema vašim obvezama čuvanja niti provjeravati ima li Član pravo na brisanje nekog zapisa; to su vaše odluke kao voditelja obrade.

4.3 Osobe ovlaštene za davanje uputa. Uputa je valjano dana kada je putem Usluge izda korisnik kojem ste dodijelili ovlasti Administratora, ili pisano od osobe koju ste nam naznačili kao ovlaštenu. Odgovorni ste za ovlasti koje dodjeljujete unutar svojeg Radnog prostora i za sigurno čuvanje administratorskih pristupnih podataka. Postupamo prema ovlasti koju nam Usluga pokazuje; ne možemo znati je li interno odobrenje koje zahtijevate doista pribavljeno.

4.4 Pojedinci nam ne mogu davati upute o vašim podacima. Član koji od nas zatraži brisanje, izmjenu ili predaju zapisa koji se nalaze u vašem Radnom prostoru nije naš voditelj obrade. Po takvom zahtjevu nećemo postupiti; uputit ćemo pojedinca na vas i, kada to smatramo primjerenim, obavijestiti vas da je zahtjev podnesen. Postupak je opisan u odjeljku 8.

5. Kontrole brisanja u aplikaciji vaše su upute

5.1 Kontrole. Usluga Administratorima daje kontrole koje trajno brišu osobne podatke. Korištenje neke od njih dokumentirana je uputa koju nam dajete prema članku 28. stavku 3. točki (a) GDPR-a, dana u trenutku potvrde kontrole:

Kontrola	Što nam njome nalažete
Ukloni Člana - Arhiviraj	Da Članu odmah oduzmemo pristup Radnom prostoru i članstvo označimo arhiviranim. Ništa se ne briše; radnja je u svakom trenutku povratna.
Ukloni Člana - Izbriši podatke	Da odmah oduzmemo pristup te da nakon prozora od 40 dana, u kojem se radnja može otkazati, trajno izbrišemo personalni zapis tog Člana u vašem Radnom prostoru: profilna polja, bilješke voditelja, učitane personalne dokumente i pripadajuće datoteke te njegove vlastite zahtjeve za odsutnost i godišnji odmor.
Izbriši podatke - obriši i evidenciju rada	Zaseban prekidač unutar postupka Izbriši podatke, isključen prema zadanim postavkama, s vlastitim upozorenjem i vlastitom utipkanom potvrdom. Proširuje istu uputu na evidenciju radnog vremena Člana, povijest promjena te evidencije, privitke uz te zapise te zapise o plaćanjima i obračunu plaće.
Izbriši Radni prostor	Da izbrišemo Radni prostor i sve u njemu, uz mehanizam glasovanja i rokove opisane u Usluzi.
Prijenos vlasništva	Da ulogu vlasnika Radnog prostora prenesemo na drugog Člana, podložno odjeljku 6.4.

5.2 Dodatni koraci pri potvrdi nisu pravna provjera. Kontrole koje trajno brišu podatke traže od Administratora da utipka ime i prezime Člana, a prekidač za evidenciju rada traži drugu, zasebnu utipkanu potvrdu na vlastitom ekranu. To su zaštite od pogreške i od zlouporabe kompromitiranog administratorskog računa. One nisu provjera zakonitosti brisanja i ne smije ih se tako shvaćati. Ne procjenjujemo je li za zapise koje brišete još uvijek na snazi zakonski rok čuvanja.

5.3 Zadano je zadržavanje. Uklanjanje Člana nikada ne briše radnu evidenciju osim ako to uključite. Ako ne izaberete, Usluga podatke zadržava. Ništa u Usluzi ne briše Podatke Radnog prostora na vlastitu inicijativu, osim brisanja nakon prestanka ugovora iz odjeljka 15.

5.4 Vaše jamstvo. Jamčite da ste ovlašteni dati svaku takvu uputu, da ste prije davanja upute razmotrili vlastite obveze čuvanja te da davanje upute ne krši nijedan zakon, ugovor, sporazum s radničkim vijećem ni sudsku odluku koja se na vas primjenjuje. Obeštećenje koje ide uz to jamstvo uređeno je odjeljkom 17.

5.5 Naše ograničeno pravo odbijanja. Uputu smijemo odbiti ili odgoditi samo ako: (a) se primjenjuje odjeljak 4.2; (b) bi njezino izvršenje prekršilo pravnu obvezu koja nas obvezuje ili nalog nadležnog tijela ili suda koji nam je dostavljen; (c) je uputu dala osoba koja nije ovlaštena prema odjeljku 4.3; ili (d) bi izvršenje ugrozilo sigurnost ili cjelovitost Usluge za druge kupce. Ako to učinimo, reći ćemo vam i obrazložiti, osim ako je to zakonom zabranjeno.

6. Rokovi i što ostaje nakon brisanja

Usluga upute s nepovratnim učinkom ne izvršava odmah. Rokovi u nastavku zaštitni su mehanizmi od pogreške i od preuzimanja računa. Oni su dio Usluge, a ne obećanje da ćemo vaše podatke čuvati u bilo koju svrhu ili razdoblje dulje od njih.

6.1 Uklanjanje Člana (40 dana). Pristup se u oba načina oduzima odmah: Članu se ukidaju prava pristupa i prekidaju aktivne sesije. Arhivirano članstvo ostaje netaknuto i može se u svakom trenutku vratiti. Članstvo označeno za brisanje ulazi u rok za povrat od 40 dana tijekom kojeg svaki Administrator vašeg Radnog prostora može otkazati brisanje i u cijelosti vratiti članstvo. Točan datum prikazan je u Usluzi. Nakon isteka roka automatizirani postupak izvršava brisanje i ono se više ne može poništiti.

6.2 Što se trajno briše. Nakon isteka prozora u vašem Radnom prostoru brišemo: profilna polja i kontaktne podatke Člana, bilješke voditelja na njegovoj kartici, personalne dokumente priložene toj kartici i pripadajuće pohranjene datoteke te njegove vlastite zahtjeve za odsutnost i godišnji odmor. Ako ste uključili opciju za evidenciju rada, dodatno brišemo njegovu evidenciju radnog vremena i povijest promjena te evidencije, datoteke priložene tim zapisima te zapise o njegovim plaćanjima i obračunu plaće.

6.3 Što ostaje i zašto. Nakon dovršenog brisanja u vašem Radnom prostoru ostaje sljedeće, a vi ostajete voditelj obrade tih podataka:

• Minimalni zapis članstva ("tombstone" zapis) s imenom i prezimenom osobe te tehničkim oznakama koje opisuju uklanjanje, kako bi Usluga mogla ispravno prikazati povijesne unose i kako se postojeće poveznice ne bi prekinule. Ne sadrži kontaktne podatke, adresu, datum rođenja, spol, dopuštenja ni datoteke.
• Vaši operativni zapisi u kojima je osoba navedena imenom - rezervacije, događaji, radni nalozi, klijenti, bilješke, zadaci i zapisi povijesti promjena koje je ta osoba stvorila, uredila ili odobrila. To su vaši poslovni zapisi; ime zabilježeno u njima dio je zapisa i nikada se ne prepisuje. Usluga ime bivšeg Člana prikazuje prigušenim stilom, što je konvencija prikaza, a ne izmjena zapisa.
• Zapisnik o uklanjanjima opisan u odjeljku 6.5.
• Evidencija radnog vremena i obračuna plaće, osim ako ste uključili opciju za evidenciju rada.

6.4 Prijenos vlasništva (8 dana). Prijenos vlasništva nad Radnim prostorom zahtijeva kumulativno sve tri sljedeće pretpostavke: ponovnu autentifikaciju sadašnjeg vlasnika neposredno prije zahtjeva; izričit prihvat osobe koja vlasništvo preuzima; i razdoblje čekanja od 8 dana koje se ne može skratiti, ni tim prihvatom. Tijekom razdoblja čekanja sadašnji vlasnik može prijenos otkazati jednom radnjom iz bilo koje sesije. Ista tri zahtjeva primjenjuju se i kada se prijenos zatraži u sklopu brisanja vlasnikova vlastitog računa. Ako primatelj ne prihvati prije isteka razdoblja, prijenos propada i vlasništvo se ne mijenja.

6.5 Zapisnik o uklanjanjima. Svako uklanjanje, otkazivanje, ponovno aktiviranje i trajno brisanje bilježi se u zapisniku unutar vašeg Radnog prostora u koji mogu pisati samo naši poslužitelji, a Administratori ga mogu čitati. Svaki unos bilježi tko je postupao, prema kome, u kojem načinu uklanjanja, je li obuhvaćena evidencija rada, kada i s kojim ishodom. Nakon trajnog brisanja taj je zapisnik jedini preostali dokaz o tome tko ga je naložio. Zapisnik se čuva i ne briše se po uputi za brisanje, jer je tehnička i organizacijska mjera kojom obje strane mogu dokazati koje su upute dane i izvršene (članci 5. stavak 2., 28. stavak 3. točka (h) i 32. GDPR-a) te jer i mi i vi imamo legitiman interes moći postaviti, ostvariti ili obraniti pravne zahtjeve u vezi s time. Nadživljava brisanje Člana i prestanak vaše pretplate, a briše se kada se izbriše sam Radni prostor prema odjeljku 15.

6.6 Brisanje računa na zahtjev pojedinca. Osoba može izbrisati svoj osobni Clocker račun u aplikaciji ili na https://clocker.cloud/hr/delete-account/. To je uputa nama kao voditelju obrade njezinih podataka o računu. Nakon razdoblja počeka od 40 dana, tijekom kojeg ona račun može vratiti ponovnom prijavom, ta uputa briše njezine podatke za prijavu, Clocker račun iza njih i osobni profil kojim upravljamo mi. Njezin pristup svakom Radnom prostoru kojem je pripadala prestaje odmah, a ona se od tada više ne računa kao Korisnik vaše Pretplate; odjeljak 7. Uvjeta navodi kada se utvrđuje broj koji određuje vašu cijenu. To ne doseže ono što se o njoj čuva unutar vašeg Radnog prostora. Njezina kartica zaposlenika ostaje kod vas, s kontaktnim podacima na njoj, označena kao kartica obrisanog računa. Evidencija radnog vremena, obračuna plaće i personalni zapisi ostaju kakvi jesu, a isto vrijedi i za vaše operativne zapise u kojima se ona navodi. Vi ste voditelj obrade tih zapisa, a vaš vlastiti propis može od vas zahtijevati da ih čuvate. Uklanjanje osobe iz Radnog prostora i odabir onoga što se ondje briše vaša je odluka kao voditelja obrade; ne donosimo je umjesto vas, a izvršavamo je kao vašu uputu prema odjeljku 5. Svaki zahtjev koji ta osoba podnese u vezi s tim zapisima upućujemo vama (odjeljak 8.).

7. Povjerljivost

Osiguravamo da su se osobe ovlaštene za obradu Podataka Radnog prostora obvezale na povjerljivost ili podliježu odgovarajućoj zakonskoj obvezi čuvanja povjerljivosti. Pristup produkcijskim sustavima ograničen je na osoblje kojem je potreban za pružanje, osiguranje ili podršku Usluge i oduzima se kada više nije potreban. Istu obvezu ugovorom namećemo i svojim podizvršiteljima.

8. Zahtjevi ispitanika

8.1 Prvo vaši alati. Usluga je osmišljena tako da većinu zahtjeva možete riješiti sami: Administratori mogu čitati, ispravljati, izvoziti i brisati zapise u svojem Radnom prostoru bez našeg sudjelovanja.

8.2 Upućivanje. Ako nam se ispitanik izravno obrati u vezi s Podacima Radnog prostora, nećemo odgovoriti meritorno u vaše ime. Potvrdit ćemo primitak, reći osobi da je voditelj obrade njezin poslodavac ili organizacija koja vodi Radni prostor, uputiti je na vas i, kada to smatramo primjerenim i zakonitim, obavijestiti vas da je zahtjev podnesen.

8.3 Identitet. Identitet ispitanika ne provjeravamo u vaše ime. Kada raspolažemo podacima dostatnima za utvrđivanje na koji se Radni prostor zahtjev odnosi, to vam kažemo i ništa više.

8.4 Pomoć. Uzimajući u obzir narav obrade, pomažemo vam odgovarajućim tehničkim i organizacijskim mjerama, koliko je to moguće, u ispunjavanju vaše obveze odgovaranja na zahtjeve iz poglavlja III. GDPR-a. Kada se zahtjev ne može riješiti alatima u Usluzi, pružit ćemo razumnu pomoć; za pomoć koja je ponavljajuća, nerazmjerna ili zahtijeva inženjerski rad možemo naplatiti svoje razumne troškove.

8.5 Zahtjevi javnih tijela i tijela kaznenog progona. Ako primimo obvezujući zahtjev javnog tijela, suda ili tijela kaznenog progona za Podatke Radnog prostora: provjerit ćemo zahtjev i njegovu pravnu osnovu; osporiti ga ako smatramo da je nezakonit, preširok ili upućen pogrešnoj strani; uputiti podnositelja na vas kad god se zahtjev ispravno može uputiti vama kao voditelju obrade; otkriti samo nužni minimum; i obavijestiti vas prije otkrivanja, osim ako nam je to zakonom zabranjeno, u kojem ćemo vas slučaju obavijestiti čim zabrana to dopusti.

9. Pomoć kod vaših ostalih obveza

Uzimajući u obzir narav obrade i informacije koje su nam dostupne, pomažemo vam u osiguravanju usklađenosti s vašim obvezama iz članaka 32. do 36. GDPR-a: sigurnost obrade, izvješćivanje o povredama osobnih podataka, obavješćivanje ispitanika o povredi, procjene učinka na zaštitu podataka i prethodno savjetovanje s nadzornim tijelom. Ovaj Dodatak, Politika privatnosti i opis sigurnosti iz odjeljka 10. namijenjeni su kao dostatne informacije za provedbu procjene učinka vašeg korištenja Usluge; na razumna daljnja pitanja odgovorit ćemo pisano.

10. Sigurnosne mjere

Provodimo odgovarajuće tehničke i organizacijske mjere kako bismo osigurali razinu sigurnosti primjerenu riziku, uzimajući u obzir najnovija dostignuća, troškove provedbe te narav, opseg, kontekst i svrhe obrade. Ovaj je odjeljak opis koji zahtijevaju članak 28. stavak 3. točka (c) i članak 32. GDPR-a. Mjere se mogu mijenjati kako se Usluga razvija; ukupnu razinu sigurnosti nećemo smanjiti.

Područje	Mjera
Kontrola pristupa (izolacija Radnih prostora)	Svaki se zahtjev autorizira prema kriptografski potpisanim ovlastima koje nosi korisnikov token prijave. Sigurnosna pravila na poslužitelju te ovlasti provjeravaju pri svakom čitanju i pisanju, pa korisnik može doseći samo Radne prostore čiji je član, i to s pravima koja mu daje njegova uloga.
Oduzimanje pristupa	Uklanjanje Člana skida njegove ovlasti pristupa i opoziva postojeće tokene sesije, pa pristup prestaje odmah, a ne tek pri sljedećoj prijavi.
Poslužiteljski posredovane radnje nad članstvom	Uklanjanje članstva, otkazivanje, trajno brisanje i prijenos vlasništva mogu izvesti samo poslužiteljske funkcije koje ponovno provjeravaju ovlast; klijentska aplikacija to ne može izvesti izravno, a sigurnosna pravila odbijaju klijentske izmjene polja koja time upravljaju.
Zapisivanje revizijskog traga	Uklanjanja, otkazivanja, ponovna aktiviranja i trajna brisanja upisuju se u zapisnik po Radnom prostoru u koji se može samo dodavati i u koji piše samo poslužitelj (odjeljak 6.5). Zapisi povijesti promjena postoje za evidenciju vremena, rezervacije i zapise o klijentima.
Enkripcija	Podaci su šifrirani u prijenosu (TLS). Podatke u mirovanju šifrira naš pružatelj infrastrukture svojim standardnim upravljanjem ključevima.
Lokacija podataka	Baza podataka i pohrana datoteka s Podacima Radnog prostora smještene su u Europskoj uniji (Google Cloud regija europe-west3, Frankfurt). Podaci za autentifikaciju obrađuju se u Sjedinjenim Američkim Državama (odjeljak 14.).
Sprječavanje zlouporabe	Provjera vjerodostojnosti uređaja i aplikacije na mobilnim i web klijentima, ograničavanje broja zahtjeva i otkrivanje zlouporabe na razini infrastrukture.
Najmanje ovlasti	Administrativni pristup produkcijskim podacima ograničen je na osoblje kojem je potreban i oduzima se kada potreba prestane.
Otpornost i obnova	Upravljana, replicirana infrastruktura sa sigurnosnim kopijama na strani pružatelja; poslovi brisanja idempotentni su i nastavljaju se nakon greške umjesto da ostave djelomično obrisan zapis.
Testiranje	Izmjene sigurnosnih pravila i logike brisanja pregledavaju se i testiraju prije izdanja, a nakon svake se objave provjerava odgovaraju li objavljena pravila namjeravanima.

Pseudonimizacija i anonimizacija. Ne tvrdimo da su Podaci Radnog prostora pseudonimizirani ili anonimizirani. Namjerna je odluka u dizajnu Usluge da ime bivšeg Člana ostaje čitljivo na vašim zapisima (odjeljak 6.3).

11. Podizvršitelji

11.1 Opće odobrenje. Dajete nam opće pisano odobrenje za angažiranje podizvršitelja, podložno ovom odjeljku.

11.2 Trenutni podizvršitelji.

Podizvršitelj	Uloga	Mjesto obrade
Google LLC / Google Ireland Limited (Firebase, Google Cloud)	Smještaj, baza podataka, pohrana datoteka, poslužiteljske funkcije, autentifikacija, push obavijesti i dijagnostika padova, angažiran prema Google Cloud Data Processing Addendumu. Analitika korištenja (Google Analytics for Firebase, samo kada je korisnik dao privolu i nikada Podaci Radnog prostora) angažirana je zasebno prema Google Ads Data Processing Terms.	Europska unija (europe-west3) za bazu podataka i pohranu datoteka; Sjedinjene Američke Države za autentifikaciju; druge regije za obavijesti i dijagnostiku
Scaleway S.A.S. (Francuska)	Slanje e-pošte iz Usluge: podsjetnici i potvrde termina vašim klijentima, obavijesti o pretplati i podsjetnici. Prima adresu i ime primatelja, sadržaj poruke i privitke.	Europska unija (Pariz, fr-par)

Nijedno drugo društvo ne obrađuje Podatke Radnog prostora u naše ime. Sljedeći primatelji vaših podataka o naplati navedeni su radi transparentnosti; oni nisu podizvršitelji Podataka Radnog prostora i nijedan od njih te podatke ne prima:

Primatelj	Uloga	Mjesto obrade
Smartyn d.o.o. (Hrvatska)	Prodavatelj Pretplata u Hrvatskoj, EU-u, Sjedinjenim Američkim Državama, Bosni i Hercegovini te poslovnim subjektima registriranima za PDV u Srbiji: zaseban voditelj obrade vaših podataka za naplatu, računa i evidencije plaćanja. Ujedno naš predstavnik u EU-u prema članku 27. GDPR-a (odjeljak 19.); nije naš izvršitelj obrade.	Hrvatska (EU)
E-RAČUNI d.o.o. (Hrvatska)	Certificirani informacijski posrednik i izvršitelj obrade za Smartyn: izdaje i fiskalizira račune koje vam Smartyn šalje. Prima vaše podatke za naplatu i stavke računa. Nismo ga mi angažirali.	Hrvatska (EU)
Stripe - za kupce društva Smartyn: Stripe Payments Europe, Limited (ugovorni subjekt društva Smartyn) i Stripe Technology Europe, Limited (institucija za elektronički novac koju je odobrila Središnja banka Irske i koja izvršava plaćanje)	Obrada plaćanja karticom na računu društva Smartyn, kao izvršitelj obrade za Smartyn i kao voditelj obrade za svrhe koje određuje za vlastiti račun.	Irska (EU), uz prijenos društvu Stripe, LLC u Sjedinjenim Američkim Državama na temelju Okvira EU-SAD za privatnost podataka, a na temelju Standardnih ugovornih klauzula Europske komisije ako ta samocertifikacija prestane vrijediti
Stripe - za svakog drugog kupca: Stripe, LLC (Sjedinjene Američke Države), naš ugovorni subjekt za kupnje putem Linka	Prodavatelj (evidentirani trgovac putem Linka) i zaseban voditelj obrade podataka o kupnji, plaćanju, potvrdi o plaćanju i porezu koje mu date u njegovu postupku kupnje; potvrde o plaćanju i obavijesti o povratima šalje sam, iz Linka.	Sjedinjene Američke Države; Stripe, LLC samocertificiran je prema Okviru EU-SAD za privatnost podataka i na temelju njega prima osobne podatke, a Standardne ugovorne klauzule Europske komisije primjenjuju se ako ta samocertifikacija prestane vrijediti

11.3 Obveze koje namećemo. Sa svakim podizvršiteljem sklapamo pisani ugovor koji nameće obveze zaštite podataka koje su u biti jednako zaštitne kao one iz ovog Dodatka, a prema vama ostajemo u cijelosti odgovorni za ispunjenje obveza tog podizvršitelja.

11.4 Promjene i prigovor. O dodavanju ili zamjeni podizvršitelja obavijestit ćemo vas najmanje 30 dana unaprijed, e-poštom na adresu vašeg Računa ili putem Usluge. Ako imate razuman prigovor vezan uz zaštitu podataka, javite nam ga u tih 30 dana i u dobroj vjeri ćemo s vama tražiti rješenje. Ako rješenja nema, možete raskinuti pogođeni dio Usluge, a eventualni povrat unaprijed plaćenih naknada za razdoblje nakon raskida izvršava Prodavatelj prema vlastitim uvjetima.

12. Povrede osobnih podataka

Obavijestit ćemo vas bez nepotrebne odgode nakon što saznamo za povredu osobnih podataka koja pogađa Podatke Radnog prostora, a u svakom slučaju u roku od 48 sati od saznanja kada je vjerojatno da će povreda prouzročiti rizik za prava i slobode ispitanika. Obavijest će opisati, koliko je poznato u tom trenutku, narav povrede, kategorije i približan broj pogođenih ispitanika i zapisa, vjerojatne posljedice te poduzete ili predložene mjere. Daljnje informacije dostavljat ćemo kako naša istraga napreduje i pomoći ćemo vam s vašim obvezama izvješćivanja iz članaka 33. i 34. GDPR-a. Obavijest vama nije priznanje krivnje ni odgovornosti. Vaša je odgovornost, kao voditelja obrade, obavijestiti svoje nadzorno tijelo i, kada je to potrebno, pogođene pojedince.

13. Revizije i informacije

13.1 Informacije. Stavljamo vam na raspolaganje informacije potrebne za dokazivanje usklađenosti s člankom 28. GDPR-a, u obliku ovog Dodatka, Politike privatnosti, opisa sigurnosti iz odjeljka 10., izvješća neovisnih revizora i certifikata naših podizvršitelja u mjeri u kojoj ih smijemo dijeliti te pisanih odgovora na razuman sigurnosni upitnik, najviše jednom u razdoblju od 12 mjeseci.

13.2 Revizije. Kada te informacije doista nisu dostatne, vi ili neovisni revizor kojeg ovlastite (koji ne smije biti naš konkurent i mora biti obvezan na čuvanje povjerljivosti) možete revidirati našu obradu Podataka Radnog prostora, uz pisanu najavu od najmanje 30 dana, tijekom redovnog radnog vremena, najviše jednom u razdoblju od 12 mjeseci, bez nerazumnog ometanja Usluge ili podataka drugih kupaca i o vašem trošku. Možemo zatražiti dogovor o kraćem roku najave kada je reviziju naložilo nadzorno tijelo ili kada je došlo do povrede osobnih podataka.

13.3 Ograničenja opsega. Revizija se ne može protegnuti na prostore ili sustave naših podizvršitelja (za njih dostavljamo izvješća kojima raspolažemo), na podatke drugih kupaca ni na informacije čije bi otkrivanje prekršilo zakonsku ili ugovornu obvezu povjerljivosti.

14. Međunarodni prijenosi

Podaci Radnog prostora u bazi podataka i pohrani datoteka pohranjeni su u Europskoj uniji. Podatke za autentifikaciju (adresa e-pošte, sažetak lozinke, broj telefona kada se koristi za prijavu, identifikatori prijave putem vanjskih pružatelja te IP adrese i vremenske oznake događaja prijave) Google obrađuje u Sjedinjenim Američkim Državama, bez obzira na regiju baze podataka, jer se usluga autentifikacije nudi samo ondje. Push obavijesti i dijagnostika padova također se mogu obrađivati izvan Europskoga gospodarskog prostora. Mi imamo poslovni nastan u Sjedinjenim Američkim Državama i naše osoblje Usluzi pristupa odande.

Kada se osobni podaci prenose u treću zemlju ili im se iz nje pristupa, oslanjamo se na mehanizme prijenosa iz poglavlja V. GDPR-a. Kada je primatelj certificiran prema Okviru EU-SAD za privatnost podataka, prijenos se odvija na temelju te odluke o primjerenosti; kada nije, ili ako certifikacija bude povučena, ukinuta, opozvana ili na drugi način prestane vrijediti, primjenjuju se Standardne ugovorne klauzule Europske komisije (Modul dva, voditelj obrade prema izvršitelju obrade, između vas i nas; Modul tri, izvršitelj obrade prema izvršitelju obrade, između nas i naših podizvršitelja), zajedno s dopunskim mjerama opisanima u odjeljku 10. Nalažete nam provedbu tih prijenosa u mjeri potrebnoj za pružanje Usluge. Google LLC certificiran je prema Okviru EU-SAD za privatnost podataka i na temelju njega prima osobne podatke; Standardne ugovorne klauzule sklopljene između nas i Googlea u sklopu Google Cloud Data Processing Addenduma primjenjuju se ondje gdje Okvir ne vrijedi. Na zahtjev ćemo dostaviti dokumentaciju o prijenosima koju smijemo dijeliti.

15. Brisanje i povrat Podataka Radnog prostora

15.1 Izvezite podatke prije odlaska. Podatke Radnog prostora možete izvesti iz Usluge u svakom trenutku dok je Radni prostor aktivan, bez naknade, a Administrator može to i iz pauziranog Radnog prostora tijekom 80 dana iz odjeljka 15.2 (Uvjeti, odjeljak 19.). Učinite to prije raskida ili u tom roku; alati za izvoz mehanizam su povrata predviđen člankom 28. stavkom 3. točkom (g) GDPR-a. Usluge izvan standardnog izvoza, poput pretvorbe izvoza u format po vašem izboru ili migracije vaših podataka u drugi sustav u vaše ime, dogovaraju se i naplaćuju zasebno na zahtjev.

15.2 Nakon isteka Besplatnog probnog razdoblja ili Pretplate. Vaš Radni prostor i njegove Podatke kupca čuvamo 80 dana nakon isteka ili raskida, kako biste se u tom roku mogli pretplatiti ili ponovno pretplatiti i nastaviti ondje gdje ste stali te kako slučajan ili sporan raskid ne bi uništio vaše zapise; ako ste pri otkazu zatražili brisanje svojih podataka (Uvjeti, odjeljak 19.), Radni prostor umjesto toga brišemo s prestankom. Nakon tih 80 dana brišemo Radni prostor i njegove Podatke kupca, uključujući zapisnik o uklanjanjima.

15.3 Sigurnosne kopije. Primjerci obrisanih podataka mogu ograničeno vrijeme ostati u redovnim sigurnosnim kopijama koje se ciklički prepisuju. Dok postoje, podliježu ovom Dodatku i ne vraćaju se u Uslugu osim u sklopu oporavka cijelog sustava od katastrofe.

15.4 Što zadržavamo. Nakon brisanja zadržavamo samo: podatke koje obrađujemo kao voditelj obrade prema Politici privatnosti (podaci o računu, statusu pretplate i dijagnostici), zapise koje smo zakonom dužni čuvati te informacije potrebne za postavljanje, ostvarivanje ili obranu pravnih zahtjeva. Evidenciju računa i računovodstva o vašoj kupnji drži Prodavatelj (Smartyn d.o.o., odnosno Stripe za kupnje putem Linka) kao zaseban voditelj obrade, prema vlastitim obvezama čuvanja. Podatke Radnog prostora ne zadržavamo ni u koju drugu svrhu.

15.5 Ranije brisanje na zahtjev. Možete nam pisano naložiti brisanje Radnog prostora prije isteka roka od 80 dana i to ćemo učiniti u razumnom roku.

16. Vaše obveze kao voditelja obrade

Jamčite i obvezujete se da imate zakonitu osnovu za svaku radnju obrade koju provodite putem Usluge; da ste svojim Članovima dali informacije propisane člancima 13. i 14. GDPR-a, uključujući o prijavi putem lokacije ako je uključite te o tome da njihovo ime ostaje na vašim zapisima i nakon odlaska; da ste proveli svaku procjenu učinka, savjetovanje s radničkim vijećem ili postupak zastupanja radnika koji se zahtijeva u vašoj državi; da u Uslugu nećete unositi posebne kategorije osobnih podataka ni podatke o kaznenim osudama i kažnjivim djelima bez dodatnih zaštitnih mjera koje takvi podaci zahtijevaju; i da će vaše upute nama biti u skladu s propisima o zaštiti podataka.

17. Obeštećenje za vaše upute

U mjeri dopuštenoj zakonom, branit ćete, obeštetiti i zaštititi društvo Smart Solution Labz LLC te njegove direktore, zaposlenike i zastupnike od svakog zahtjeva, istrage, kazne, štete, gubitka ili razumnog troška (uključujući odvjetničke troškove) koji proizlazi iz ili je povezan s: uputom koju ste nam dali za brisanje ili zadržavanje Podataka Radnog prostora, uključujući svaku uputu danu putem kontrola brisanja iz odjeljka 5.; vašim propustom da poštujete vlastitu obvezu čuvanja; izostankom zakonite osnove za radnju obrade koju ste proveli putem Usluge; ili vašim propustom da obavijestite svoje Članove kako zahtijeva odjeljak 16. Ovo je uz obeštećenje iz odjeljka 17. Uvjeta.

18. Odgovornost

Odgovornost svake strane iz ovog Dodatka ili u vezi s njim podliježe isključenjima i ograničenjima odgovornosti iz Uvjeta. Ništa u ovom Dodatku ne ograničava odgovornost koja se prema mjerodavnom pravu ne može ograničiti, uključujući prava ispitanika iz članka 82. GDPR-a.

19. Predstavnik u EU-u

Smartyn d.o.o., Vladimira Nazora 1b, 40317 Podturen, Croatia (e-pošta: info@s-labz.com), naš je predstavnik u Europskoj uniji prema članku 27. GDPR-a. Vi i nadzorna tijela možete se obratiti predstavniku u vezi sa svim pitanjima obrade osobnih podataka, uz ili umjesto obraćanja nama. Predstavnik ne obrađuje osobne podatke u naše ime i nije naš izvršitelj obrade ni podizvršitelj; on je Prodavatelj Pretplata na tržištima navedenima u odjeljku 1., a tu ulogu ima u vlastito ime.

20. Trajanje, izmjene i prednost

Ovaj Dodatak stupa na snagu prihvatom Uvjeta i traje dok u vaše ime obrađujemo Podatke Radnog prostora. Odjeljci 6.5., 7., 12., 15., 17. i 18. nadživljavaju njegov prestanak. Dodatak možemo izmijeniti kada to zahtijeva zakon, nadzorno tijelo ili promjena u Usluzi; o bitnoj izmjeni obavijestit ćemo vas razumno unaprijed putem Usluge ili e-poštom. Ako se neka odredba utvrdi nevaljanom, ostatak ostaje na snazi. Ovaj je Dodatak dostupan na engleskom, hrvatskom, njemačkom, slovenskom, srpskom, bosanskom i ukrajinskom jeziku; mjerodavna je engleska verzija.

21. Kontakt

Kontakt za zaštitu podataka:
Smart Solution Labz LLC
30 N Gould St, Ste R, Sheridan, WY 82801, USA
Registar: Wyoming Secretary of State, broj upisa 2024-001386276
E-pošta: info@s-labz.com

Predstavnik u EU-u (članak 27. GDPR-a):
Smartyn d.o.o., Vladimira Nazora 1b, 40317 Podturen, Croatia
E-pošta: info@s-labz.com

Nadzorno tijelo za poslovni nastan predstavnika: Agencija za zaštitu osobnih podataka (AZOP). Pritužbu možete podnijeti i nadzornom tijelu svojeg uobičajenog boravišta ili mjesta rada.