> Ugovor o obradi podataka prema članku 28. GDPR-a za korisnike EthicsPortala. Pokriva opseg, sigurnosne mjere, podizvršitelje obrade i međunarodne prijenose. Source: https://ethicsportal.eu/hr/dpa/ Updated: 2026-09-23 --- # Ugovor o obradi podataka **Datum stupanja na snagu:** 13. rujna 2026. **Posljednje ažuriranje:** 13. rujna 2026. Ovaj Ugovor o obradi podataka („DPA”) čini dio ugovora između korisnika („Voditelj obrade”) i EthicsPortala („Izvršitelj obrade”) za pružanje platforme za prijavu nepravilnosti EthicsPortal („Usluga”). Prihvat organizacije uključuje ovaj DPA zajedno s Uvjetima usluge navedenima u istom zapisu o prihvatu. Ne uključuje javne DORA materijale. Financijski subjekt kojem su potrebni posebni DORA uvjeti mora sklopiti zasebnu pisanu DORA narudžbu koju potpisuju obje strane. Mjerodavna je engleska verzija ovog DPA-a. Ovaj prijevod služi samo radi praktičnosti. > **Trebate potpisanu kopiju?** Obratite se na [legal@ethicsportal.eu](mailto:legal@ethicsportal.eu) za supotpisanu PDF verziju ovog DPA-a za svoju evidenciju. --- ## 1. Strane **Voditelj obrade:** Organizacija koja se pretplaćuje na EthicsPortal i određuje svrhe i sredstva obrade osobnih podataka putem Usluge. **Izvršitelj obrade:** EthicsPortal, trgovački naziv koji koristi Yaroslav Shmarov, samostalni poduzetnik (jednoosobowa działalność gospodarcza) registriran u Poljskoj (NIP: 5272755790), sa sjedištem na adresi ul. Obrzeżna 1A, 02-691 Varšava, Poljska. Kontakt: [legal@ethicsportal.eu](mailto:legal@ethicsportal.eu). --- ## 2. Opseg i svrha obrade Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade isključivo radi pružanja Usluge, što uključuje: - Zaprimanje i pohranu prijava nepravilnosti - Omogućivanje sigurne komunikacije između prijavitelja i osoba za rješavanje predmeta - Upravljanje radnim tijekovima predmeta (dodjela, praćenje statusa, rješavanje) - Generiranje zapisa aktivnosti i evidencije o usklađenosti - Slanje obavijesti transakcijskom e-poštom osobama za rješavanje i administratorima organizacije Izvršitelj obrade ne obrađuje osobne podatke obuhvaćene ovim DPA-om ni u koju svrhu osim pružanja Usluge prema uputama Voditelja obrade. Upravljanje računima, ugovaranje, naplata, sprječavanje prijevara i marketinške aktivnosti za vlastite poslovne svrhe Izvršitelja obrade nisu obuhvaćeni ovim DPA-om i opisani su u [Obavijesti o privatnosti](/privacy/). --- ## 3. Vrste osobnih podataka koji se obrađuju | Kategorija podataka | Primjeri | Primijenjena zaštita | |---|---|---| | Identitet prijavitelja (neobvezno) | Ime, adresa e-pošte, telefonski broj | Da (nedeterministički) | | Sadržaj prijave | Opis prijavljene zabrinutosti | Da (nedeterministički) | | Sadržaj komunikacije | Poruke između prijavitelja i osobe za rješavanje | Da (nedeterministički) | | Prilozi datoteka | Dokumenti, slike, audio, video koje prenose prijavitelji | Uklanjanje metapodataka za podržane formate; ne jamči se svako polje | | Pristupni kodovi | Nasumične oznake predmeta za pronalaženje; lozinke prijavitelja zasebno se pohranjuju kao hash | Oznaka pohranjena za pronalaženje; lozinka hashirana | | Podaci osoba za rješavanje i administratora | Ime, adresa e-pošte, uloga, članstvo u organizaciji | Ne (operativni podaci) | | Unosi u zapis aktivnosti | Vremenske oznake, identitet sudionika, vrsta radnje | Ne (zapisi ključni za cjelovitost) | | Tehnički podaci | Jednosmjerno sažete IP adrese za ograničavanje brzine | Pseudonimizirano; tretira se kao osobni podatak kada se primjenjuje GDPR | --- ## 4. Kategorije ispitanika - **Prijavitelji nepravilnosti** --- osobe koje šalju prijave putem portala (mogu biti anonimne) - **Osobe za rješavanje predmeta** --- osobe koje Voditelj obrade odredi za zaprimanje prijava i upravljanje njima - **Administratori organizacije** --- osobe koje upravljaju računom i postavkama Voditelja obrade na EthicsPortalu --- ## 5. Trajanje obrade Izvršitelj obrade obrađuje osobne podatke tijekom trajanja pretplate Voditelja obrade na Uslugu. Po prestanku: - Voditelj obrade može izvesti svoje podatke prije isteka pretplate. - Podaci iz prijava čuvaju se prema razdoblju čuvanja koje konfigurira Voditelj obrade (12, 24, 36, 48 ili 60 mjeseci nakon zatvaranja prijave) i zatim se trajno brišu. Prijava bez aktivnosti 18 mjeseci zatvara se automatski kako bi razdoblje čuvanja započelo. - Prestanak pretplate prekida redoviti pristup Usluzi, ali sam po sebi ne poništava dokumentirane upute Voditelja obrade o čuvanju. - Nakon završetka Usluge Izvršitelj obrade, prema izboru Voditelja obrade, vraća ili briše osobne podatke i postojeće kopije, osim ako pravo EU-a ili države članice zahtijeva pohranu. Voditelj može dati uputu prije ili nakon datuma prestanka putem dostupnih kontrola za brisanje organizacije ili pisanim zahtjevom. - Dok se uputa ne izvrši, obrada je ograničena na sigurnu pohranu, povrat ili brisanje te obradu potrebnu prema pravu ili radi sigurnosti. Sigurnosne kopije istječu prema dokumentiranom ciklusu, trenutačno najkasnije 28 dana nakon brisanja iz produkcijskih sustava. --- ## 6. Obveze Izvršitelja obrade ### 6.1 Upute za obradu Izvršitelj obrade obrađuje osobne podatke samo na dokumentirane upute Voditelja obrade, osim ako to ne zahtijeva pravo EU-a ili države članice. Ako nastane takav pravni zahtjev, Izvršitelj obrade obavijestit će Voditelja obrade prije obrade, osim ako pravo zabranjuje takvo obavješćivanje. ### 6.2 Povjerljivost Sve osobe ovlaštene za obradu osobnih podataka obvezale su se na povjerljivost ili podliježu odgovarajućoj zakonskoj obvezi povjerljivosti. ### 6.3 Sigurnosne mjere Izvršitelj provodi i održava sljedeće tehničke i organizacijske mjere. Stranica [Sigurnost](/security/) pruža aktualne operativne pojedinosti, ali ne mijenja ove ugovorene mjere, osim ako potpisana narudžba izričito uključi njezinu datiranu verziju: - Nedeterministička enkripcija pri pohrani teksta prijava, kontaktnih podataka i poruka u predmetu - Bez pohrane sirovih IP adresa prijavitelja u bazi podataka (jednosmjerno sažimanje samo za ograničavanje brzine) - Automatsko uklanjanje metapodataka datoteka (EXIF, GPS, podaci o autoru) - Kontrole pristupa temeljene na ulogama i ograničene na pojedinu organizaciju - Revizijski zapisi samo s dodavanjem za određene događaje, ne za svako čitanje ili radnju - Ograničavanje brzine za podnošenje prijava, provjeru pristupnog koda i stvaranje poruka - HTTPS/TLS za sve veze - Zaštitu od CSRF-a Sigurnosne ranjivosti i prijave incidenata mogu se poslati na [security@ethicsportal.eu](mailto:security@ethicsportal.eu). Upiti ispitanika i upiti o zaštiti podataka mogu se poslati na [privacy@ethicsportal.eu](mailto:privacy@ethicsportal.eu). ### 6.4 Podizvršitelji obrade Izvršitelj obrade koristi podizvršitelje obrade navedene u odjeljku 8. Izvršitelj obrade obavijestit će Voditelja obrade najmanje 30 dana prije dodavanja ili zamjene podizvršitelja obrade. Voditelj obrade može prigovoriti promjeni; ako se rješenje ne postigne, Voditelj obrade može raskinuti ugovor. ### 6.5 Prava ispitanika Izvršitelj obrade pomaže Voditelju obrade u odgovaranju na zahtjeve ispitanika koji ostvaruju svoja prava prema GDPR-u (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor) pružanjem potrebnih tehničkih mogućnosti unutar Usluge. ### 6.6 Obavješćivanje o povredi podataka U slučaju povrede osobnih podataka, Izvršitelj obrade obavijestit će Voditelja obrade bez nepotrebne odgode nakon saznanja o povredi. U mjeri u kojoj su tada dostupni, obavijest će uključivati: - Opis prirode povrede - Kategorije i približan broj pogođenih ispitanika - Vjerojatne posljedice povrede - Mjere poduzete ili predložene za rješavanje povrede ### 6.7 Procjene učinka na zaštitu podataka Izvršitelj obrade pomaže Voditelju obrade kod procjena učinka na zaštitu podataka i prethodnih savjetovanja s nadzornim tijelima, u mjeri u kojoj aktivnosti obrade Izvršitelja obrade zahtijevaju takvu pomoć. ### 6.8 Brisanje i povrat podataka Nakon završetka Usluge, Izvršitelj obrade će, prema izboru Voditelja obrade: - Vratiti sve osobne podatke Voditelju obrade u formatima izvoza koje Usluga stavlja na raspolaganje u trenutku prestanka, uključujući PDF izvoze predmeta i povezane priloge, ili - Izbrisati sve osobne podatke i potvrditi brisanje pisanim putem osim ako pravo EU-a ili države članice ne zahtijeva daljnju pohranu. Voditelj može priopćiti svoj izbor prije ili nakon datuma prestanka putem dostupnih kontrola za brisanje organizacije ili pisanim zahtjevom. Do izvršenja obrada je ograničena kako je opisano u odjeljku 5, a šifrirane sigurnosne kopije izolirane su od redovite uporabe i istječu prema ondje opisanom ciklusu. Ako Voditelj obrade razumno zahtijeva dodatni format prenosivosti za migraciju ili regulatorni pregled, Izvršitelj obrade procijenit će zahtjev u dobroj vjeri i, gdje je tehnički izvedivo, pružiti ga na temelju zasebnog pisanog zahtjeva. ### 6.9 Prava na reviziju Izvršitelj obrade stavlja Voditelju obrade na raspolaganje sve informacije potrebne za dokazivanje usklađenosti s obvezama iz članka 28. GDPR-a. Voditelj obrade može provoditi revizije, uključujući inspekcije, izravno ili putem ovlaštenog revizora, podložno razumnoj prethodnoj obavijesti (najmanje 30 dana) i tijekom uobičajenoga radnog vremena. Izvršitelj obrade surađivat će u takvim revizijama. Pisani sigurnosni upitnici ispunjavaju se u okviru te suradnje, a ne umjesto nje. Kada je Voditelj obrade financijski subjekt u području primjene Uredbe (EU) 2022/2554 (DORA), suradnja, pristup, inspekcija, revizija i prava tijela specifična za DORA primjenjuju se samo u opsegu utvrđenom zasebnom pisanom DORA narudžbom koju su potpisale obje strane. Klasifikacija Voditelja regulatorna je procjena i sama po sebi ne mijenja ovaj DPA niti aktivira dodatne obveze. Izvršitelj nema vlastiti ured ni podatkovni centar. Izravni predmet revizije su ova dokumentacija i aplikacija, a prava se ostvaruju na daljinu i uvidom u dokumente. Ne tvrdi se izravan pristup okruženjima dobavljača dok se potrebna prava ne provjere u potpisanoj DORA narudžbi. ### 6.10 Bez obrade sadržaja prijave umjetnom inteligencijom ili velikim jezičnim modelom Izvršitelj obrade obvezuje se da se osobni podaci koji se obrađuju prema ovom DPA-u --- uključujući sadržaj prijave, identitet prijavitelja, poruke osoba za rješavanje, priloge datoteka i unose u zapis aktivnosti --- **ne prenose nijednom velikom jezičnom modelu, generativnoj usluzi umjetne inteligencije ni klasifikatoru temeljenom na umjetnoj inteligenciji**, bilo da njime upravlja Izvršitelj obrade ili treća strana (uključujući, ali ne ograničavajući se na OpenAI, Anthropic, Google i Mistral). Usluga ne provodi kategorizaciju, trijažu, sažimanje, prevođenje ni predložene odgovore vođene umjetnom inteligencijom nad osobnim podacima. Voditelj obrade može se osloniti na ovu obvezu pri procjeni obveza o automatiziranom donošenju odluka prema Art. 22 GDPR-a i pri određivanju opsega otkrivanja podizvršitelja obrade u vlastitim obavijestima o privatnosti i procjenama učinka na zaštitu podataka. Svaka promjena ove obveze bila bi značajna promjena Usluge i bila bi priopćena Voditelju obrade prema odjeljku 6.4 (Podizvršitelji obrade) i odjeljku 11. (Trajanje i prestanak). Vlastito statističko strojno prevođenje koje se u cijelosti izvodi na infrastrukturi pod kontrolom Izvršitelja obrade (nikakvi podaci ne napuštaju infrastrukturu Izvršitelja obrade, nema vanjskog poziva zaključivanja) nije obuhvaćeno ovim ograničenjem i može se koristiti za prevođenje poruka prijavitelja ili osoba za rješavanje kada to Voditelj obrade omogući. Ova se obveza preispituje godišnje. Datum „Posljednje ažuriranje” na vrhu ovog DPA-a odražava najnoviju potvrdu. Ako Izvršitelj obrade u bilo kojem trenutku namjerava uvesti obradu osobnih podataka obuhvaćenih ovim DPA-om umjetnom inteligencijom ili velikim jezičnim modelom, Izvršitelj obrade obavijestit će Voditelja obrade u skladu s odjeljkom 6.4, a promjena će stupiti na snagu najranije nakon razdoblja obavijesti navedenog ondje. ### 6.11 Ključevi za enkripciju kojima upravlja korisnik (BYOK) Usluga trenutačno ne podržava ključeve za enkripciju kojima upravlja korisnik (BYOK, HYOK ili vanjska KMS integracija). Određena polja baze podataka šifrirana su na razini aplikacije ključevima Izvršitelja obrade; time nije potvrđeno šifriranje svih privitaka ni sigurnosnih kopija. To je opis trenutačne arhitekture; ne tvrdi da su korisnički ključevi pravno nespojivi s Direktivom 2019/1937 niti jamči da samo uništenje ključa briše svaku kopiju podataka. Vidjeti [Sigurnost](/security/#data-encryption). ### 6.12 Odgovornost za osoblje, podizvršitelje obrade i infrastrukturu Podložno ograničenjima odgovornosti iz odjeljka 10, Izvršitelj obrade odgovoran je za: - **Osoblje.** Radnje i propuste svojih zaposlenika i svih drugih osoba koje ovlasti za obradu osobnih podataka na temelju ovog DPA-a --- od kojih je svaka vezana obvezom povjerljivosti iz odjeljka 6.2 --- kao za vlastite radnje i propuste. - **Podizvršitelji obrade.** Ispunjavanje obveza podizvršitelja obrade navedenih u odjeljku 8. Ako angažirani podizvršitelj obrade ne ispuni svoje obveze zaštite podataka, Izvršitelj obrade ostaje odgovoran Voditelju obrade za ispunjavanje obveza tog podizvršitelja obrade, u skladu s člankom 28. stavkom 4. GDPR-a. - **Infrastruktura.** Usklađenost s obvezama sigurnosti i dostupnosti iz ovog DPA-a za infrastrukturu pod njegovom kontrolom. Ova raspodjela ne jamči zaštitu od svakog prekida ili napada; odgovornost zahtijeva povredu ovog DPA-a, Uvjeta ili primjenjivog prava i podliježe odjeljku 10. Ne obuhvaća kvarove u sustavima, uređajima ili mreži Voditelja ni događaje izvan razumne kontrole Izvršitelja. --- ## 7. Obveze Voditelja obrade Voditelj obrade odgovoran je za: - Osiguravanje pravne osnove za obradu osobnih podataka putem Usluge - Pružanje potrebnih obavijesti o privatnosti ispitanicima (EthicsPortal prikazuje obavijest o privatnosti na obrascu za slanje prijave na portalu) - Konfiguriranje odgovarajućih razdoblja čuvanja podataka unutar Usluge - Određivanje ovlaštenih osoba za rješavanje i administratora - Odgovaranje na zahtjeve ispitanika, uz pomoć Izvršitelja obrade kako je opisano gore --- ## 8. Podizvršitelji obrade Sljedeći su podizvršitelji obrade ovlašteni na datum stupanja na snagu ovog DPA-a: | Podizvršitelj obrade | Svrha | Lokacija | |---|---|---| | [Hetzner Online GmbH](https://www.hetzner.com) | Smještaj aplikacije, baze podataka i pohrana priloga | Nürnberg, Njemačka (EU) | | [Mailjet (Sinch)](https://www.mailjet.com) | Transakcijska e-pošta, uključujući obavijesti prijaviteljima koji odaberu e-poštu | Francuska (EU) | | [AppSignal B.V.](https://www.appsignal.com) | Nadzor pogrešaka i performansi aplikacije | Nizozemska (EU) | Stripe se koristi za naplatu pretplata i obradu plaćanja. Ne koristi se za obradu prijava nepravilnosti ili podataka o predmetima te stoga nije podizvršitelj obrade za obradu obuhvaćenu ovim DPA-om. Obrada podataka o pretplati i naplati zasebno je opisana u [Obavijesti o privatnosti](/privacy/). Ovisno o aktivnosti obrade, Stripe djeluje kao izvršitelj obrade za EthicsPortal ili kao neovisni voditelj obrade prema primjenjivim uvjetima i obavijesti o privatnosti Stripea. Marketinška stranica koju isporučuje Cloudflare također nije dio obrade u ime Voditelja obrade prema ovom DPA-u. Njezina uloga za javnu stranicu zasebno je opisana u [Obavijesti o privatnosti](/privacy/). **Bez podizvršitelja obrade umjetne inteligencije ili velikog jezičnog modela.** Nijedan veliki jezični model, generativna usluga umjetne inteligencije ni klasifikator temeljen na umjetnoj inteligenciji nije podizvršitelj obrade Izvršitelja obrade. Osobni podaci obrađeni prema ovom DPA-u ne prenose se OpenAI-ju, Anthropicu, Googleu, Mistralu ni bilo kojem drugom pružatelju usluga zaključivanja umjetne inteligencije. Vidjeti odjeljak 6.10. --- ## 9. Međunarodni prijenosi podataka Temeljni podaci prijava i privitci smješteni su u **EU-u** kod Hetznera. Mailjet može primiti adresu e-pošte i pristupni kod prijavitelja ako on odabere obavijesti e-poštom. Objavljeni lanci Mailjeta i AppSignala uključuju pružatelje izvan EGP-a; stvarni pristup i tokovi podataka moraju se provjeriti za konkretan račun. Za svaki ograničeni prijenos Izvršitelj će osigurati zakonit mehanizam i zaštitne mjere prema poglavlju V. GDPR-a te obavijestiti o bitnim promjenama prema odjeljku 6.4. Ne jamči se da svi podaci e-pošte i telemetrije ostaju u EGP-u. --- ## 10. Odgovornost Odgovornost svake strane prema ovom DPA-u podliježe ograničenjima odgovornosti utvrđenima u glavnom ugovoru o usluzi između strana. U najvećoj mjeri dopuštenoj zakonom, zahtjevi koji proizlaze iz ovog DPA-a ili su s njim povezani čine dio iste agregirane gornje granice odgovornosti koja se primjenjuje na Uslugu. --- ## 11. Trajanje i prestanak Ovaj DPA stupa na snagu kada Voditelj obrade počne koristiti Uslugu i ostaje na snazi sve dok Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade. Obveze iz ovog DPA-a nastavljaju vrijediti nakon prestanka u mjeri u kojoj je to nužno za dovršenje brisanja ili povrata osobnih podataka. --- ## 12. Mjerodavno pravo Ovaj se DPA uređuje prema pravu Republike Poljske, bez obzira na načela o sukobu zakona. Nadležni sudovi u Varšavi u Poljskoj nadležni su uz primjenu obveznih pravila o sudskoj nadležnosti za sporove koji proizlaze iz ovog DPA-a. --- ## Kontakt Za pitanja o ovom DPA-u ili za zahtjev potpisane kopije: **EthicsPortal** Yaroslav Shmarov ul. Obrzeżna 1A, 02-691 Varšava, Poljska [legal@ethicsportal.eu](mailto:legal@ethicsportal.eu)