Vrijedi od 25. rujna 2026. · verzija 1.0

Ugovor o obradi osobnih podataka

Sklapaju ga organizator koji prihvaća Opće uvjete za organizatore (voditelj obrade) i OUTMORE d.o.o., Augusta Šenoe 2, Ivanovec, 40000 Čakovec, OIB 76989405930 (izvršitelj obrade). Ugovor je sastavni dio Općih uvjeta.

1. Predmet, priroda i svrha obrade

Izvršitelj za voditelja obrađuje osobne podatke u sustavu PERO radi vođenja prijava na događanja voditelja. To uključuje primanje prijava, upute za uplatu, evidenciju uplata, izdavanje i provjeru ulaznica, slanje poruka, izvještaje i izvoze te povezivanje s vanjskim servisima koje voditelj uključi. Obrada obuhvaća prikupljanje, pohranu, prikaz, slanje, izvoz, anonimizaciju i brisanje.

2. Trajanje

Obrada traje koliko i Opći uvjeti, a nakon njihova prestanka do brisanja ili povrata podataka prema točki 10.

3. Vrste podataka i kategorije ispitanika

• platitelji i prijavitelji: ime i prezime, e-mail, telefon, adresa, podaci za račun (tvrtka i OIB kad se traži R1 račun), iznos, uplate, poziv na broj, prihvaćene verzije uvjeta, privole;
• sudionici: ime i prezime, e-mail kad je upisan, ulaznica i njezin identifikator, vrijeme ulaza, potvrda dobi;
• odgovori iz prijavnog obrasca koje voditelj sam definira. Mogu uključivati posebne kategorije podataka ako ih voditelj traži; za to je odgovoran voditelj;
• primatelji poruka: e-mail, sadržaj i stanje dostave poruka;
• osoblje voditelja u mjeri u kojoj se pojavljuje u zapisniku radnji.

4. Obveze izvršitelja

Izvršitelj:

1. obrađuje podatke samo po dokumentiranim uputama voditelja. Uputama se smatraju ovaj ugovor, postavke koje voditelj unese u sustav i njegove pisane upute. Iznimka je obrada koju nalaže pravo EU ili Republike Hrvatske, o kojoj izvršitelj unaprijed obavještava voditelja kad to smije;
2. odmah obavještava voditelja ako smatra da uputa krši propise o zaštiti podataka;
3. osigurava da su osobe ovlaštene za obradu obvezane na povjerljivost;
4. provodi tehničke i organizacijske mjere iz Priloga 1 (čl. 32. Opće uredbe);
5. poštuje uvjete za angažiranje podizvršitelja iz točke 6;
6. pomaže voditelju u odgovaranju na zahtjeve ispitanika, uključujući funkcije sustava za izvoz, ispravak i anonimizaciju podataka prijave. Zahtjeve koji stignu izvršitelju prosljeđuje voditelju bez odgađanja;
7. pomaže voditelju u ispunjavanju obveza iz čl. 32. do 36. Opće uredbe: sigurnost, povrede, procjena učinka, prethodno savjetovanje;
8. po prestanku usluge briše ili vraća podatke prema točki 10;
9. voditelju daje informacije potrebne za dokazivanje usklađenosti i omogućuje revizije prema točki 9.

5. Obveze voditelja

Voditelj osigurava pravnu osnovu za obradu, obavještava ispitanike (obavijest o privatnosti događanja), određuje rokove čuvanja u postavkama događanja i ne unosi podatke koji mu nisu potrebni. Voditelj odgovara za zakonitost svojih uputa i za podatke koje sam izveze iz sustava.

6. Podizvršitelji

Voditelj daje opće ovlaštenje za angažiranje podizvršitelja navedenih u Prilogu 2. Izvršitelj o namjeravanom dodavanju ili zamjeni podizvršitelja obavještava voditelja e-mailom najmanje 14 dana unaprijed. Voditelj u tom roku može iz opravdanih razloga prigovoriti. Ako se strane ne dogovore, voditelj može otkazati Opće uvjete bez otkaznog roka. Izvršitelj s podizvršiteljem sklapa ugovor s jednakim obvezama zaštite podataka i odgovara voditelju za njegov rad.

7. Prijenos izvan EGP-a

Podaci se pohranjuju u EU (Njemačka). Prijenos u treće zemlje dopušten je samo uz jamstva iz poglavlja V. Opće uredbe: odluku o primjerenosti, uključujući okvir EU–SAD za privatnost podataka, ili standardne ugovorne klauzule.

8. Povreda osobnih podataka

Izvršitelj voditelja obavještava o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije 48 sati nakon što je za nju saznao. Obavijest opisuje prirodu povrede, kategorije i približan broj ispitanika i zapisa, vjerojatne posljedice, poduzete i predložene mjere te kontakt osobu. Podatke koji nisu odmah poznati dostavlja naknadno. Obavijest nadzornom tijelu (72 sata) i ispitanicima šalje voditelj, a izvršitelj mu u tome pomaže.

9. Informacije i revizije

Izvršitelj na zahtjev dostavlja opis mjera, popis podizvršitelja i druge informacije potrebne za dokazivanje usklađenosti. Reviziju na licu mjesta voditelj najavljuje najmanje 30 dana unaprijed, najviše jednom godišnje, osim nakon povrede ili na zahtjev nadzornog tijela. Troškove revizije snosi voditelj.

10. Prestanak

Po prestanku usluge voditelj ima 30 dana za izvoz podataka. Nakon toga izvršitelj briše ili anonimizira osobne podatke voditelja, osim ako propis nalaže njihovo čuvanje. Podaci u šifriranim sigurnosnim kopijama nestaju istekom ciklusa kopija od 14 dana. Na zahtjev izvršitelj pisano potvrđuje brisanje.

11. Odgovornost i završne odredbe

Odgovornost prema ispitanicima uređuje čl. 82. Opće uredbe. U ostalom vrijede Opći uvjeti. Kod proturječja u pitanjima zaštite podataka prednost ima ovaj ugovor. Kontakt izvršitelja za zaštitu podataka: info@outmore.hr.

Prilog 1 · Tehničke i organizacijske mjere

• Šifriranje u prijenosu: HTTPS na svim adresama, HSTS, stroga pravila sadržaja (CSP) i sigurnosna zaglavlja.
• Pristup: individualni računi osoblja, lozinke najmanje 10 znakova pohranjene kao scrypt sažetak, kolačić sjednice __Host- (HttpOnly, Secure, SameSite), opoziv svih sjednica pri promjeni lozinke, ograničenje pokušaja prijave.
• Ovlasti: uloge po organizaciji i po događanju. Ovlasti se provjeravaju na poslužitelju pri svakom zahtjevu.
• Zapisnik: radnje nad prijavama, uplatama, ulaznicama i postavkama bilježe se s izvršiteljem i vremenom.
• Najmanje podataka: QR kod ulaznice sadrži samo zaštićeni identifikator, bez imena i e-maila. Privatne poveznice su nasumične i opozive.
• Rok čuvanja: plaćene i otkazane prijave sustav sam anonimizira nakon roka koji voditelj postavi za događanje (zadano 90 dana od njegova završetka). Prijave s otvorenim dugom ili otvorenim zahtjevom ispitanika čekaju odluku voditelja. Iznosi i računi ostaju radi zakonskih obveza.
• Poslužitelj: Hetzner, Njemačka. Vatrozid s otvorenim samo nužnim priključcima, pristup administraciji poslužitelja samo SSH ključem, aplikacija radi pod zasebnim korisnikom, redovita sigurnosna ažuriranja.
• Kopije i dostupnost: šifrirane kopije baze svakih 15 minuta i pune kopije svakih 6 sati na odvojenoj lokaciji (Hetzner Storage Box). Čuvaju se 14 dana, a probni povrat se provjerava. Nadzor dostupnosti, diska, memorije i starosti kopija s dojavom e-mailom.
• Organizacija: pristup produkcijskim podacima imaju samo ovlaštene osobe izvršitelja, samo kada je potrebno za podršku ili održavanje. Postoji postupak za povrede podataka.

Prilog 2 · Podizvršitelji

Brevo i Minimax obrađuju podatke samo za organizatore koji ih sami povežu. Ako organizator ugovor s njima sklopi na svoje ime, oni su njegovi izvršitelji, a ne podizvršitelji pružatelja.