Ugovor o obradi podataka #

Datum stupanja na snagu: 13. rujna 2026.

Posljednje ažuriranje: 10. studenoga 2026.

Ovaj Ugovor o obradi podataka („DPA”) čini dio ugovora između korisnika („Voditelj obrade”) i EthicsPortala („Izvršitelj obrade”) za pružanje platforme za prijavu nepravilnosti EthicsPortal („Usluga”).

Prihvat organizacije uključuje ovaj DPA zajedno s Uvjetima usluge navedenima u istom zapisu o prihvatu. Ne uključuje javne DORA materijale. Financijski subjekt kojem su potrebni posebni DORA uvjeti mora sklopiti zasebnu pisanu DORA narudžbu koju potpisuju obje strane.

Mjerodavna je engleska verzija ovog DPA-a. Ovaj prijevod služi samo radi praktičnosti.

Trebate potpisanu kopiju? Obratite se na legal@ethicsportal.eu za supotpisanu PDF verziju ovog DPA-a za svoju evidenciju.

1. Strane #

Voditelj obrade: Organizacija koja se pretplaćuje na EthicsPortal i određuje svrhe i sredstva obrade osobnih podataka putem Usluge.

Izvršitelj obrade: EthicsPortal, trgovački naziv koji koristi Yaroslav Shmarov, samostalni poduzetnik (jednoosobowa działalność gospodarcza) registriran u Poljskoj (NIP: 5272755790), sa sjedištem na adresi ul. Obrzeżna 1A, 02-691 Varšava, Poljska. Kontakt: legal@ethicsportal.eu.

2. Opseg i svrha obrade #

Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade isključivo radi pružanja Usluge, što uključuje:

• Zaprimanje i pohranu prijava nepravilnosti
• Omogućivanje sigurne komunikacije između prijavitelja i osoba za rješavanje predmeta
• Upravljanje radnim tijekovima predmeta (dodjela, praćenje statusa, rješavanje)
• Generiranje zapisa aktivnosti i evidencije o usklađenosti
• Slanje obavijesti transakcijskom e-poštom osobama za rješavanje i administratorima organizacije

Izvršitelj obrade ne obrađuje osobne podatke obuhvaćene ovim DPA-om ni u koju svrhu osim pružanja Usluge prema uputama Voditelja obrade. Upravljanje računima, ugovaranje, naplata, sprječavanje prijevara i marketinške aktivnosti za vlastite poslovne svrhe Izvršitelja obrade nisu obuhvaćeni ovim DPA-om i opisani su u Obavijesti o privatnosti.

3. Vrste osobnih podataka koji se obrađuju #

4. Kategorije ispitanika #

• Prijavitelji nepravilnosti — osobe koje šalju prijave putem kanala za prijavu nepravilnosti (mogu biti anonimne)
• Osobe za rješavanje predmeta — osobe koje Voditelj obrade odredi za zaprimanje prijava i upravljanje njima
• Administratori organizacije — osobe koje upravljaju računom i postavkama Voditelja obrade na EthicsPortalu

5. Trajanje obrade #

Izvršitelj obrade obrađuje osobne podatke tijekom trajanja pretplate Voditelja obrade na Uslugu. Po prestanku:

• Voditelj obrade može izvesti svoje podatke prije isteka pretplate.
• Podaci iz prijava čuvaju se prema razdoblju čuvanja koje konfigurira Voditelj obrade (12, 24, 36, 48 ili 60 mjeseci nakon zatvaranja prijave) i zatim se trajno brišu. Prijava bez aktivnosti 18 mjeseci zatvara se automatski kako bi razdoblje čuvanja započelo.
• Prestanak pretplate prekida redoviti pristup Usluzi, ali sam po sebi ne poništava dokumentirane upute Voditelja obrade o čuvanju.
• Nakon završetka Usluge Izvršitelj obrade, prema izboru Voditelja obrade, vraća ili briše osobne podatke i postojeće kopije, osim ako pravo EU-a ili države članice zahtijeva pohranu. Voditelj može dati uputu prije ili nakon datuma prestanka putem dostupnih kontrola za brisanje organizacije ili pisanim zahtjevom.
• Dok se uputa ne izvrši, obrada je ograničena na sigurnu pohranu, povrat ili brisanje te obradu potrebnu prema pravu ili radi sigurnosti. Sigurnosne kopije istječu prema dokumentiranom ciklusu, trenutačno najkasnije 28 dana nakon brisanja iz produkcijskih sustava.

6. Obveze Izvršitelja obrade #

6.1 Upute za obradu #

Izvršitelj obrade obrađuje osobne podatke samo na dokumentirane upute Voditelja obrade, osim ako to ne zahtijeva pravo EU-a ili države članice. Ako nastane takav pravni zahtjev, Izvršitelj obrade obavijestit će Voditelja obrade prije obrade, osim ako pravo zabranjuje takvo obavješćivanje.

6.2 Povjerljivost #

Sve osobe ovlaštene za obradu osobnih podataka obvezale su se na povjerljivost ili podliježu odgovarajućoj zakonskoj obvezi povjerljivosti.

6.3 Sigurnosne mjere #

Izvršitelj provodi i održava sljedeće tehničke i organizacijske mjere. Stranica Sigurnost pruža aktualne operativne pojedinosti, ali ne mijenja ove ugovorene mjere, osim ako potpisana narudžba izričito uključi njezinu datiranu verziju:

• Nedeterministička enkripcija pri pohrani teksta prijava, kontaktnih podataka i poruka u predmetu
• Bez pohrane sirovih IP adresa prijavitelja u bazi podataka (jednosmjerno sažimanje samo za ograničavanje brzine)
• Automatsko uklanjanje metapodataka datoteka (EXIF, GPS, podaci o autoru)
• Kontrole pristupa temeljene na ulogama i ograničene na pojedinu organizaciju
• Revizijski zapisi samo s dodavanjem za određene događaje, ne za svako čitanje ili radnju
• Ograničavanje brzine za podnošenje prijava, provjeru ID-a slučaja i lozinke te stvaranje poruka
• HTTPS/TLS za sve veze
• Zaštitu od CSRF-a

Sigurnosne ranjivosti i prijave incidenata mogu se poslati na security@ethicsportal.eu. Upiti ispitanika i upiti o zaštiti podataka mogu se poslati na privacy@ethicsportal.eu.

6.4 Podizvršitelji obrade #

Voditelj obrade daje opće pisano odobrenje za podizvršitelje obrade navedene u odjeljku 8 i za promjene provedene u skladu s ovim odjeljkom.

Izvršitelj obrade obavijestit će Voditelja obrade e-poštom najmanje 30 dana prije dodavanja ili zamjene podizvršitelja obrade. Voditelj obrade može pisano prigovoriti u roku od 14 dana od obavijesti, iz opravdanih razloga povezanih sa zaštitom podataka. Ako stranke ne mogu riješiti prigovor, Voditelj obrade može raskinuti pogođenu Uslugu s učinkom od datuma promjene, a Izvršitelj obrade vratit će unaprijed plaćene naknade za neiskorišteno razdoblje. To je jedino pravno sredstvo Voditelja obrade u slučaju prigovora. Ako u roku od 14 dana ne bude zaprimljen prigovor, promjena se smatra prihvaćenom.

Ako podizvršitelja obrade treba zamijeniti ranije radi zaštite osobnih podataka ili održavanja rada Usluge, primjerice nakon sigurnosnog incidenta, prestanka njegove usluge ili kršenja njegovih obveza zaštite podataka, Izvršitelj obrade može angažirati zamjenu prije isteka roka obavijesti. Izvršitelj obrade obavijestit će Voditelja obrade bez nepotrebne odgode, a gore navedena prava prigovora i raskida primjenjuju se od te obavijesti.

Svaki podizvršitelj obrade vezan je pisanim uvjetima koji osobne podatke štite najmanje jednako kao ovaj Ugovor.

6.5 Prava ispitanika #

Izvršitelj obrade pomaže Voditelju obrade u odgovaranju na zahtjeve ispitanika koji ostvaruju svoja prava prema GDPR-u (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor) pružanjem potrebnih tehničkih mogućnosti unutar Usluge.

6.6 Obavješćivanje o povredi podataka #

U slučaju povrede osobnih podataka, Izvršitelj obrade obavijestit će Voditelja obrade bez nepotrebne odgode nakon saznanja o povredi. U mjeri u kojoj su tada dostupni, obavijest će uključivati:

• Opis prirode povrede
• Kategorije i približan broj pogođenih ispitanika
• Vjerojatne posljedice povrede
• Mjere poduzete ili predložene za rješavanje povrede

6.7 Procjene učinka na zaštitu podataka #

Izvršitelj obrade pomaže Voditelju obrade kod procjena učinka na zaštitu podataka i prethodnih savjetovanja s nadzornim tijelima, u mjeri u kojoj aktivnosti obrade Izvršitelja obrade zahtijevaju takvu pomoć.

6.8 Brisanje i povrat podataka #

Nakon završetka Usluge, Izvršitelj obrade će, prema izboru Voditelja obrade:

• Vratiti sve osobne podatke Voditelju obrade u formatima izvoza koje Usluga stavlja na raspolaganje u trenutku prestanka, uključujući PDF izvoze predmeta i povezane priloge, ili
• Izbrisati sve osobne podatke i potvrditi brisanje pisanim putem

osim ako pravo EU-a ili države članice ne zahtijeva daljnju pohranu. Voditelj može priopćiti svoj izbor prije ili nakon datuma prestanka putem dostupnih kontrola za brisanje organizacije ili pisanim zahtjevom. Do izvršenja obrada je ograničena kako je opisano u odjeljku 5, a šifrirane sigurnosne kopije izolirane su od redovite uporabe i istječu prema ondje opisanom ciklusu.

Ako Voditelj obrade razumno zahtijeva dodatni format prenosivosti za migraciju ili regulatorni pregled, Izvršitelj obrade procijenit će zahtjev u dobroj vjeri i, gdje je tehnički izvedivo, pružiti ga na temelju zasebnog pisanog zahtjeva.

6.9 Prava na reviziju #

Izvršitelj obrade stavlja Voditelju obrade na raspolaganje sve informacije potrebne za dokazivanje usklađenosti s obvezama iz članka 28. GDPR-a. Voditelj obrade može provoditi revizije, uključujući inspekcije, izravno ili putem ovlaštenog revizora, podložno razumnoj prethodnoj obavijesti (najmanje 30 dana) i tijekom uobičajenoga radnog vremena. Izvršitelj obrade surađivat će u takvim revizijama. Pisani sigurnosni upitnici ispunjavaju se u okviru te suradnje, a ne umjesto nje.

Kada je Voditelj obrade financijski subjekt u području primjene Uredbe (EU) 2022/2554 (DORA), suradnja, pristup, inspekcija, revizija i prava tijela specifična za DORA primjenjuju se samo u opsegu utvrđenom zasebnom pisanom DORA narudžbom koju su potpisale obje strane. Klasifikacija Voditelja regulatorna je procjena i sama po sebi ne mijenja ovaj DPA niti aktivira dodatne obveze.

Izvršitelj nema vlastiti ured ni podatkovni centar. Izravni predmet revizije su ova dokumentacija i aplikacija, a prava se ostvaruju na daljinu i uvidom u dokumente. Ne tvrdi se izravan pristup okruženjima dobavljača dok se potrebna prava ne provjere u potpisanoj DORA narudžbi.

6.10 Bez obrade sadržaja prijave umjetnom inteligencijom ili velikim jezičnim modelom #

Izvršitelj obrade obvezuje se da neće prenositi osobne podatke koji se obrađuju prema ovom DPA-u — uključujući sadržaj prijave, identitet prijavitelja, poruke osoba za rješavanje, priloge datoteka i unose u zapis aktivnosti — nijednom velikom jezičnom modelu, generativnoj usluzi umjetne inteligencije ni klasifikatoru temeljenom na umjetnoj inteligenciji, bilo da njime upravlja Izvršitelj obrade ili treća strana (uključujući, ali ne ograničavajući se na OpenAI, Anthropic, Google i Mistral). Usluga ne provodi kategorizaciju, trijažu, sažimanje, prevođenje ni predložene odgovore vođene umjetnom inteligencijom nad osobnim podacima. Voditelj obrade može se osloniti na ovu obvezu pri procjeni obveza o automatiziranom donošenju odluka prema Art. 22 GDPR-a i pri određivanju opsega otkrivanja podizvršitelja obrade u vlastitim obavijestima o privatnosti i procjenama učinka na zaštitu podataka. Svaka promjena ove obveze bila bi značajna promjena Usluge i bila bi priopćena Voditelju obrade prema odjeljku 6.4 (Podizvršitelji obrade) i odjeljku 11. (Trajanje i prestanak).

Ova obveza obuhvaća vlastitu obradu Izvršitelja obrade. Ona ne ograničava ono što Voditelj obrade čini s podacima koje preuzme. API Usluge ne vraća sadržaj prijave, identitet prijavitelja, poruke osoba za rješavanje, interne bilješke ni priloge, a zapis aktivnosti Usluge izostavlja aktivnosti prijavitelja i događaje povezane s porukama, bilješkama i osvetom. Kada Voditelj obrade, ili korisnik ili aplikacija koju on ovlasti, putem API-ja ili konektora preuzme druge podatke, poput imena članova ili unosa u zapis aktivnosti, i proslijedi ih asistentu umjetne inteligencije ili drugoj usluzi po vlastitom izboru, Izvršitelj obrade pruža te podatke prema uputi Voditelja obrade. Voditelj obrade odgovoran je za tu daljnju obradu, a pružatelj te usluge nije podizvršitelj obrade Izvršitelja obrade.

Vlastito statističko strojno prevođenje koje se u cijelosti izvodi na infrastrukturi pod kontrolom Izvršitelja obrade (nikakvi podaci ne napuštaju infrastrukturu Izvršitelja obrade, nema vanjskog poziva zaključivanja) nije obuhvaćeno ovim ograničenjem i može se koristiti za prevođenje poruka prijavitelja ili osoba za rješavanje kada to Voditelj obrade omogući.

Ova se obveza preispituje godišnje. Datum „Posljednje ažuriranje” na vrhu ovog DPA-a odražava najnoviju potvrdu. Ako Izvršitelj obrade u bilo kojem trenutku namjerava uvesti obradu osobnih podataka obuhvaćenih ovim DPA-om umjetnom inteligencijom ili velikim jezičnim modelom, Izvršitelj obrade obavijestit će Voditelja obrade u skladu s odjeljkom 6.4, a promjena će stupiti na snagu najranije nakon razdoblja obavijesti navedenog ondje.

6.11 Ključevi za enkripciju kojima upravlja korisnik (BYOK) #

Usluga trenutačno ne podržava ključeve za enkripciju kojima upravlja korisnik (BYOK, HYOK ili vanjska KMS integracija). Određena polja baze podataka šifrirana su na razini aplikacije ključevima Izvršitelja obrade; time nije potvrđeno šifriranje svih privitaka ni sigurnosnih kopija. To je opis trenutačne arhitekture; ne tvrdi da su korisnički ključevi pravno nespojivi s Direktivom 2019/1937 niti jamči da samo uništenje ključa briše svaku kopiju podataka. Vidjeti Sigurnost.

6.12 Odgovornost za osoblje, podizvršitelje obrade i infrastrukturu #

Podložno ograničenjima odgovornosti iz odjeljka 10, Izvršitelj obrade odgovoran je za:

• Osoblje. Radnje i propuste svojih zaposlenika i svih drugih osoba koje ovlasti za obradu osobnih podataka na temelju ovog DPA-a — od kojih je svaka vezana obvezom povjerljivosti iz odjeljka 6.2 — kao za vlastite radnje i propuste.
• Podizvršitelji obrade. Ispunjavanje obveza podizvršitelja obrade navedenih u odjeljku 8. Ako angažirani podizvršitelj obrade ne ispuni svoje obveze zaštite podataka, Izvršitelj obrade ostaje odgovoran Voditelju obrade za ispunjavanje obveza tog podizvršitelja obrade, u skladu s člankom 28. stavkom 4. GDPR-a.
• Infrastruktura. Usklađenost s obvezama sigurnosti i dostupnosti iz ovog DPA-a za infrastrukturu pod njegovom kontrolom. Ova raspodjela ne jamči zaštitu od svakog prekida ili napada; odgovornost zahtijeva povredu ovog DPA-a, Uvjeta ili primjenjivog prava i podliježe odjeljku 10. Ne obuhvaća kvarove u sustavima, uređajima ili mreži Voditelja ni događaje izvan razumne kontrole Izvršitelja.

7. Obveze Voditelja obrade #

Voditelj obrade odgovoran je za:

• Osiguravanje pravne osnove za obradu osobnih podataka putem Usluge
• Pružanje potrebnih obavijesti o privatnosti ispitanicima (EthicsPortal prikazuje obavijest o privatnosti na online obrascu za prijavu)
• Konfiguriranje odgovarajućih razdoblja čuvanja podataka unutar Usluge
• Određivanje ovlaštenih osoba za rješavanje i administratora
• Odgovaranje na zahtjeve ispitanika, uz pomoć Izvršitelja obrade kako je opisano gore

8. Podizvršitelji obrade #

Sljedeći su podizvršitelji obrade ovlašteni na datum stupanja na snagu ovog DPA-a:

Stripe se koristi za naplatu pretplata i obradu plaćanja. Ne koristi se za obradu prijava nepravilnosti ili podataka o predmetima te stoga nije podizvršitelj obrade za obradu obuhvaćenu ovim DPA-om. Obrada podataka o pretplati i naplati zasebno je opisana u Obavijesti o privatnosti. Ovisno o aktivnosti obrade, Stripe djeluje kao izvršitelj obrade za EthicsPortal ili kao neovisni voditelj obrade prema primjenjivim uvjetima i obavijesti o privatnosti Stripea.

Marketinška stranica koju isporučuje Cloudflare također nije dio obrade u ime Voditelja obrade prema ovom DPA-u. Njezina uloga za javnu stranicu zasebno je opisana u Obavijesti o privatnosti.

Bez podizvršitelja obrade umjetne inteligencije ili velikog jezičnog modela. Nijedan veliki jezični model, generativna usluga umjetne inteligencije ni klasifikator temeljen na umjetnoj inteligenciji nije podizvršitelj obrade Izvršitelja obrade. Osobni podaci obrađeni prema ovom DPA-u ne prenose se OpenAI-ju, Anthropicu, Googleu, Mistralu ni bilo kojem drugom pružatelju usluga zaključivanja umjetne inteligencije. Vidjeti odjeljak 6.10.

9. Međunarodni prijenosi podataka #

Temeljni podaci prijava i privitci smješteni su u EU-u kod Hetznera. Mailjet može primiti adresu e-pošte prijavitelja i ID slučaja ako prijavitelj odabere obavijesti e-poštom. Objavljeni lanci Mailjeta i AppSignala uključuju pružatelje izvan EGP-a; stvarni pristup i tokovi podataka moraju se provjeriti za konkretan račun. Za svaki ograničeni prijenos Izvršitelj će osigurati zakonit mehanizam i zaštitne mjere prema poglavlju V. GDPR-a te obavijestiti o bitnim promjenama prema odjeljku 6.4. Ne jamči se da svi podaci e-pošte i telemetrije ostaju u EGP-u.

10. Odgovornost #

Odgovornost svake strane prema ovom DPA-u podliježe ograničenjima odgovornosti utvrđenima u glavnom ugovoru o usluzi između strana. U najvećoj mjeri dopuštenoj zakonom, zahtjevi koji proizlaze iz ovog DPA-a ili su s njim povezani čine dio iste agregirane gornje granice odgovornosti koja se primjenjuje na Uslugu.

11. Trajanje i prestanak #

Ovaj DPA stupa na snagu kada Voditelj obrade počne koristiti Uslugu i ostaje na snazi sve dok Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade. Obveze iz ovog DPA-a nastavljaju vrijediti nakon prestanka u mjeri u kojoj je to nužno za dovršenje brisanja ili povrata osobnih podataka.

12. Mjerodavno pravo #

Ovaj se DPA uređuje prema pravu Republike Poljske, bez obzira na načela o sukobu zakona. Nadležni sudovi u Varšavi u Poljskoj nadležni su uz primjenu obveznih pravila o sudskoj nadležnosti za sporove koji proizlaze iz ovog DPA-a.

13. Voditelji obrade na koje se primjenjuje švicarski FADP #

Ako obrada Voditelja obrade putem Usluge podliježe švicarskom saveznom zakonu o zaštiti podataka od 25. rujna 2020. (FADP, SR 235.1), ovaj je DPA ujedno i ugovor kojim se obrada povjerava izvršitelju obrade prema članku 9. FADP-a, uz sljedeće prilagodbe:

• Upućivanja na GDPR uključuju FADP, a upućivanja na pravo EU-a ili države članice uključuju švicarsko pravo, u mjeri u kojoj se FADP primjenjuje na obradu.
• Tijelo nadležno za obradu Voditelja obrade prema FADP-u je Savezni povjerenik za zaštitu podataka i informiranje (FDPIC).
• Obavijest iz odjeljka 6.6 je obavijest izvršitelja obrade o povredi sigurnosti podataka prema članku 24. stavku 3. FADP-a, dana što je prije moguće kako bi Voditelj obrade mogao procijeniti vlastitu obvezu obavješćivanja FDPIC-a prema članku 24. stavku 1. FADP-a.
• Opće odobrenje podizvršitelja obrade iz odjeljka 6.4, uz prethodnu obavijest i pravo na prigovor, predstavlja prethodno odobrenje Voditelja obrade prema članku 9. stavku 3. FADP-a.
• Podaci o prijavama smješteni su u Njemačkoj (odjeljak 8). Švicarsko savezno vijeće priznaje da Njemačka osigurava primjerenu razinu zaštite podataka (Prilog 1. Uredbi o zaštiti podataka), pa taj smještaj ne zahtijeva dodatne zaštitne mjere prema članku 16. FADP-a. Svako drugo otkrivanje u inozemstvo tijekom obrade u ime Voditelja obrade provodi se samo prema državi s primjerenom razinom zaštite ili uz zaštitne mjere iz članka 16. stavka 2. FADP-a.
• Voditelj obrade u vlastitim informacijama ispitanicima navodi države podizvršitelja obrade iz odjeljka 8, trenutačno Njemačku, Francusku i Nizozemsku, kao države u koje se osobni podaci otkrivaju, u skladu s člankom 19. stavkom 4. FADP-a.

Kontakt #

Za pitanja o ovom DPA-u ili za zahtjev potpisane kopije:

EthicsPortal Yaroslav Shmarov ul. Obrzeżna 1A, 02-691 Varšava, Poljska legal@ethicsportal.eu

Posljednje ažuriranje: 10. studenoga 2026.