Ugovor o obradi podataka (DPA)

Ovi predlošci slijede GDPR općenito. Ne tvrde da zadovoljavaju nacionalno pravo svake države. Agencija za zaštitu osobnih podataka (AZOP) navedena je kao primjer za čitatelje ovog jezika, a nadležnost i dalje slijedi glavno poslovno nastan voditelja obrade (članak 56. GDPR-a). Nadležnost i dalje slijedi glavno poslovno nastan voditelja obrade (članak 56. GDPR-a).

Između kupca usluge, kao voditelja obrade (Voditelj obrade),

i Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (Izvršitelj obrade).

Ovaj se sporazum primjenjuje kad Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade za uslugu na https://exemple-saas.example. Ne pokriva obradu za koju je sam pružatelj voditelj obrade.

1. Predmet, narav, trajanje

Izvršitelj obrade smješta, pohranjuje i prikazuje podatke potrebne za pružanje usluge te generira datoteke koje proizvod generira. Trajanje: ugovor, zatim brisanje ili vraćanje kako je u članku 8., osim ako propis koji se primjenjuje na Izvršitelja obrade zahtijeva dulju arhivu.

2. Dokumentirane upute

Izvršitelj obrade postupa samo prema dokumentiranim uputama Voditelja obrade, uključujući ovaj sporazum, osim ako pravo Unije ili države članice zahtijeva drukčije. U tom slučaju Izvršitelj obrade obavještava Voditelja obrade prije obrade, osim ako pravo zabranjuje obavijest.

3. Povjerljivost

Osobe ovlaštene za obradu podataka podložne su dužnosti povjerljivosti.

4. Sigurnost

Pružatelj provodi tehničke i organizacijske mjere koje su odgovarajuće prema članku 32. GDPR-a (kontrola pristupa, HTTPS, smanjenje podataka, profesionalni pružatelji), bez obećanja da je preostali rizik nestao. Kućica ISO 27001 ili SOC 2 nije označena: nijedna potvrda se ne tvrdi.

5. Podizvršitelji obrade

Voditelj obrade ovlašćuje podizvršitelje obrade u Prilogu 3. Izvršitelj obrade obavještava Voditelja obrade prije dodavanja ili zamjene. Voditelj obrade može uložiti prigovor u roku od 30 dana. Ako se prigovor ne riješi, Voditelj obrade može zaustaviti zahvaćenu obradu.

6. Pomoć

Izvršitelj obrade pomaže Voditelju obrade, koliko je moguće, sa zahtjevima ispitanika, sigurnošću, obavijestima o povredi i procjenama učinka, uzimajući u obzir narav obrade.

7. Povreda

Izvršitelj obrade obavještava Voditelja obrade o povredi osobnih podataka bez nepotrebnog odgađanja nakon što za nju sazna. Predložak ne izmišlja fiksni broj sati.

8. Brisanje i vraćanje

Na kraju usluge Izvršitelj obrade briše ili vraća podatke, prema izboru Voditelja obrade, i briše preostale kopije osim ako pravo zahtijeva pohranu.

9. Revizije

Voditelj obrade može provesti reviziju, uključujući putem ovlaštenog pregledavatelja vezanog povjerljivošću, uz razuman rok obavijesti, ne češće od jednom godišnje osim ako postoji povreda ili zahtjev tijela. Izvršitelj obrade može odbiti pregledavatelja koji je konkurent.

10. Prijenosi

Prijenosi izvan EU-a/EGP-a koriste mehanizam iz poglavlja V. GDPR-a. Prilog 3. ponavlja ono što pružatelj objavljuje. Ne dodaje mehanizam koji list označava kao nije priopćeno.

11. Odgovornost

Članak 82. GDPR-a primjenjuje se prema ispitanicima. Ugovor ne prebacuje vlastitu novčanu kaznu jedne stranke na drugu. Nacionalna fiksna naknada nije dodana.

Prilog 1. — Opis

• Predmet: usluga na https://exemple-saas.example.
• Operacije: smještaj, autentifikacija ondje gdje se koristi, pohrana, generiranje datoteka, podrška, zapisi.
• Osobe: korisnici Voditelja obrade i osoblje Voditelja obrade. Kategorije izvan toga predložak označava kao nije priopćeno.

Prilog 2. — Sigurnost

Pružatelj provodi tehničke i organizacijske mjere koje su odgovarajuće prema članku 32. GDPR-a (kontrola pristupa, HTTPS, smanjenje podataka, profesionalni pružatelji), bez obećanja da je preostali rizik nestao. Kućica ISO 27001 ili SOC 2 nije označena: nijedna potvrda se ne tvrdi.

Prilog 3. — Ovlašteni podizvršitelji obrade

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Irska (grupa Stripe, Inc., Sjedinjene Države) — Plaćanje i fakturiranje. Podaci o plaćanju, identifikatori transakcija, e-pošta za naplatu. Pružatelj ne pohranjuje pune brojeve kartica. Stripe Payments Europe postupa kao voditelj obrade ili izvršitelj obrade ovisno o tijeku; prijenosi unutar grupe pokriveni su standardnim ugovornim klauzulama.

1. Resend, Inc. (Resend) — Sjedinjene Države — Transakcijska e-pošta. Adrese e-pošte primatelja, predmet i tijelo poruka, zapisi slanja. Prijenos izvan EU-a pokriven standardnim ugovornim klauzulama.

1. Plausible Insights OÜ (Plausible) — Estonija — Mjerenje publike bez kolačića. Zbirni prikazi stranica, približna država, korisnički agent, referrer. Nema oglašavačkog kolačića. Obrada u EU-u (Estonija). Provjerite smještaj odabran na svom računu.

Napomena. Ova je datoteka predložak koji StackLégal generira iz podataka koje ste unijeli. Nije pravni savjet i nije potvrda o usklađenosti. Pregledajte ga, prilagodite svojoj stvarnoj djelatnosti i, ako je ulog velik (zdravstvo, financije, djeca, osjetljivi podaci, poslovni kupci), neka ga pročita odvjetnik.

Predložak od 6. listopada 2026. Samo struktura: Uredba (EU) 2016/679, posebno članci 12. do 14., 28., 32. i 82.; Direktiva 2011/83/EU o odustajanju kad je uključen potrošač; Uredba (EU) 2022/2065 (DSA) ako korisnici objavljuju sadržaj. Nijedan nacionalni propis ne navodi se kao da se primjenjuje posvuda.

Predložak ispunjen za: Atelier Exemple — https://exemple-saas.example