Ugovor o obradi podataka

Verzija: 12. listopada 2026.

između

klijenta navedenog u Glavnom ugovoru, kao voditelja obrade

i

Essential Code GmbH, Glücksallee 8/Top 1, 3012 Wolfsgraben, Austrija, broj društva FN 605928x, registarski sud Landesgericht St. Pölten, kao izvršiteljice obrade

1. Odnos prema Glavnom ugovoru

1.1 Ovaj Ugovor uređuje obradu osobnih podataka koju izvršiteljica obrade provodi u ime voditelja obrade u vezi s Glasswiseom. Dopunjuje ugovor o korištenju Glasswisea i primjenjive uvjete, zajedno „Glavni ugovor”.

1.2 Ugovor razrađuje obveze iz članka 28. Uredbe (EU) 2016/679, „GDPR”, i austrijskog Zakona o zaštiti podataka, „DSG”. U slučaju proturječja o obradi osobnih podataka ovaj Ugovor ima prednost.

1.3 Svaka strana koja podatke obrađuje u vlastite svrhe za tu obradu djeluje u vlastitoj ulozi prema propisima o zaštiti podataka.

2. Predmet i trajanje

2.1 Predmet je pružanje softvera za digitalne etikete vina, QR kodove i GS1 Digital Links te povezanog hostinga, upravljanja računima, podrške, operativnih poruka, izrade dokumenata, preusmjeravanja i analize uporabe.

2.2 Obrada počinje aktivacijom usluge i traje do prestanka Glavnog ugovora. Obveze povjerljivosti, povrata, brisanja, dokazivanja i odgovornosti ostaju na snazi ako to proizlazi iz njihove prirode.

3. Priroda i svrha obrade

3.1 Osobni podaci obrađuju se samo koliko je potrebno za pružanje, zaštitu, održavanje i podršku Glasswisea. Radnje uključuju prikupljanje, bilježenje, organiziranje, pohranu, dohvat, uporabu, prijenos, stavljanje na raspolaganje, usklađivanje, ograničavanje i brisanje.

3.2 Svrhe su osobito:

• upravljanje korisničkim računima, organizacijama, ulogama i ovlastima
• izrada i isporuka digitalnih etiketa, QR odredišta, GS1 Digital Linkova i podatkovnih listova
• preusmjeravanje i tehnički potrebno bilježenje pristupa
• slanje transakcijskih i servisnih poruka
• analiza pogrešaka, sigurnost, sprječavanje zlouporabe i podrška
• dijeljenje objavljenih podataka e-etikete s E-Label Atlasom, vlastitom zajedničkom bazom e-etiketa društva Essential Code, kao dijela usluge kada ga voditelj obrade uključi

3.3 Obrada za vlastite svrhe izvršiteljice obrade nije obuhvaćena ovim Ugovorom te zahtijeva zasebnu pravnu osnovu i transparentnu obavijest.

4. Ispitanici i vrste podataka

4.1 Ispitanici mogu biti zaposlenici, članovi tijela, zastupnici i drugi korisnici voditelja obrade; poslovni partneri, punionice, proizvođači, uvoznici, distributeri i njihove kontaktne osobe; osobe koje pristupaju digitalnim etiketama ili povezanim poveznicama; te osobe koje traže podršku ili su navedene u dostavljenom sadržaju.

4.2 Podaci mogu obuhvaćati:

• identifikacijske i kontaktne podatke kao što su ime, poslovna adresa e-pošte, telefonski broj, poduzeće i funkcija
• podatke o računu, korisničkoj organizaciji, ulozi i ovlastima
• podatke o proizvodu, vinu, berbi, sastojcima, hranjivim vrijednostima, podrijetlu, operatoru i označivanju, ako su osobni podaci
• podatke o poveznicama, QR kodovima, pristupu i uporabi kao što su vrijeme, odredište, izvorna stranica, zemlja, vrsta uređaja te metapodaci preglednika i mreže
• podatke o porukama, podršci, pogreškama i zapisima
• tehničke identifikatore, identifikatore vanjskih usluga te podatke o pretplati i statusu
• datoteke, slike i sadržaj podatkovnih listova koje je učitao voditelj obrade

4.3 Posebne kategorije podataka iz članka 9. GDPR-a i podaci iz članka 10. GDPR-a nisu predviđeni. Ne smiju se unositi bez prethodnog pisanog sporazuma.

5. Upute i obveze voditelja obrade

5.1 Izvršiteljica obrade obrađuje podatke samo prema dokumentiranim uputama, osim ako pravo Unije ili Austrije zahtijeva drukčije. Ako je dopušteno, prije takve obrade obavještava voditelja obrade.

5.2 Glavni ugovor, korištenje predviđenih funkcija, zahtjevi za podršku i pisane upute čine dokumentirane upute. Bitno proširenje usluge, troška ili rizika može zahtijevati poseban sporazum.

5.3 Ako uputu smatra protupravnom, izvršiteljica obrade bez odgode obavještava voditelja obrade i može obustaviti izvršenje do razjašnjenja.

5.4 Voditelj obrade odgovoran je za zakonitost, transparentnost, smanjenje količine podataka, točnost, pravne osnove, privole i odgovore ispitanicima. Pristup daje samo ovlaštenim osobama i ne unosi podatke isključene točkom 4.3.

6. Obveze izvršiteljice obrade i povjerljivost

6.1 Ovlaštene osobe moraju biti obvezane povjerljivošću ili odgovarajućom zakonskom obvezom čuvanja tajne. Obveza traje i nakon prestanka njihova rada.

6.2 Izvršiteljica obrade primjenjuje i održava sve tehničke i organizacijske mjere koje zahtijeva članak 32. GDPR-a. Prilog 2 opisuje provedbu koja je trenutačno provjerena iz konfiguracije ili koda i ne ograničava tu obvezu utemeljenu na riziku. Pristup se ograničava na ono što je potrebno za rad, sigurnost i podršku.

6.3 Uzimajući u obzir prirodu obrade i raspoložive informacije, izvršiteljica obrade pomaže u ispunjavanju članaka 32. do 36. GDPR-a i primjenjivih obveza DSG-a.

6.4 Zahtjevi tijela koji se odnose na podatke voditelja obrade prosljeđuju se voditelju gdje je to zakonito. O obveznom otkrivanju obavještava se unaprijed ako zakon to dopušta.

7. Prava ispitanika i procjena učinka

7.1 Izvršiteljica obrade odgovarajućim mjerama pomaže kod zahtjeva za pristup, ispravak, brisanje, ograničenje, prenosivost i prigovor.

7.2 Zahtjev primljen izravno i povezan s podacima voditelja obrade prosljeđuje se bez nepotrebnog odgađanja. Odgovor u ime voditelja daje se samo prema dokumentiranoj uputi.

7.3 Na razuman zahtjev pružaju se raspoložive informacije za procjenu učinka i prethodno savjetovanje. Izvanredan dodatni rad može se naplatiti uz prethodni dogovor, osim ako proizlazi iz povrede izvršiteljice obrade.

8. Povrede osobnih podataka

8.1 Povreda koja utječe na podatke voditelja prijavljuje se bez nepotrebnog odgađanja, najkasnije 48 sati nakon što je izvršiteljica obrade za nju saznala. Nedovršena istraga ne odgađa početnu obavijest.

8.2 Obavijest, koliko je moguće, opisuje incident, zahvaćene podatke i osobe, vjerojatne posljedice, poduzete ili predložene mjere i kontaktnu točku. Nedostajuće informacije dostavljaju se bez nepotrebnog odgađanja.

8.3 Poduzimaju se razumne mjere ograničavanja, otklanjanja i istrage, a incident se dokumentira. Obavijest nije priznanje povrede obveze ili odgovornosti.

9. Podizvršitelji obrade

9.1 Voditelj obrade daje opće odobrenje za podizvršitelje iz Priloga 1.

9.2 O dodavanju ili zamjeni podizvršitelja izvršiteljica obrade obavještava najmanje 30 dana unaprijed. Voditelj može prigovoriti iz opravdanih razloga zaštite podataka u roku od 14 dana od primitka.

9.3 Strane nastoje pronaći razumno rješenje. Ako to nije moguće, izvršiteljica može uskratiti zahvaćenu funkciju ili voditelj može izvanredno otkazati zahvaćeni dio usluge. Ostala prava ostaju nepromijenjena.

9.4 Izvršiteljica obrade ugovorom ili drugim pravnim aktom dopuštenim pravom Unije ili države članice obvezuje svakog podizvršitelja na iste primjenjive obveze zaštite podataka, uključujući odgovarajuće tehničke i organizacijske mjere iz članka 32. GDPR-a. Izvršiteljica ostaje u cijelosti odgovorna voditelju prema članku 28. stavku 4. GDPR-a.

10. Obrada izvan EGP-a

10.1 Prijenos u treću zemlju ili međunarodnu organizaciju zahtijeva dokumentiranu uputu i usklađenost s poglavljem V. GDPR-a. Ako pravo Unije ili Austrije zahtijeva obradu, primjenjuje se točka 5.1, a primjenjivi uvjeti prijenosa ostaju nepromijenjeni.

10.2 Bez odluke o primjerenosti koristi se dopušten instrument, osobito standardne ugovorne klauzule Europske komisije, te prema potrebi dodatne mjere.

10.3 Prije prijenosa strane na temelju svojih stvarnih uloga utvrđuju odgovarajući modul standardnih ugovornih klauzula i ugovorne strane. Izvršiteljica sama sklapa klauzule kao izvoznik podataka kada su potrebne za prijenos između izvršitelja. U ime voditelja postupa samo kada to zahtijeva odgovarajući modul i kada je voditelj to zasebno dokumentirano odobrio. Informacije o instrumentu daju se na zahtjev uz zaštitu povjerljivosti i sigurnosti.

11. Povrat i brisanje

11.1 Po prestanku usluga izvršiteljica prema izboru voditelja vraća podatke u dostupnom uobičajenom formatu ili ih briše. Nakon povrata briše sve preostale kopije, uključujući kopije kod podizvršitelja, osim ako pravo Unije ili Austrije zahtijeva čuvanje.

11.2 Povrat ili izvoz dostupan je tijekom prijelaznog razdoblja i cijelog primjenjivog razdoblja preuzimanja. Brisanje se provodi tek nakon ispunjenja primjenjivih zaštitnih uvjeta za preuzimanje, uz poštovanje obveznih rokova čuvanja i zakonitih dokumentiranih uputa voditelja.

11.3 Podaci koji se čuvaju na temelju zakona i sigurnosne kopije koje privremeno ostaju do kraja potvrđenog ciklusa ograničavaju se, štite od ponovne uporabe i obrađuju samo u odgovarajuću svrhu čuvanja ili obnove.

12. Dokazi i revizije

12.1 Izvršiteljica daje informacije razumno potrebne za dokazivanje usklađenosti s člankom 28. GDPR-a.

12.2 Izvršiteljica dopušta potrebne revizije i inspekcije koje provodi voditelj ili neovisni revizor vezan povjerljivošću te u njima sudjeluje. U redovnom poslovanju predviđena je jedna revizija godišnje; dodatne su dopuštene kod opravdane sumnje, značajnog incidenta, zahtjeva nadležnog tijela ili druge potrebe za dokazivanjem usklađenosti. Pregled dokumenata i postojećih izvješća koristi se prvo kada je to izvedivo.

12.3 Revizija se u pravilu najavljuje dva tjedna unaprijed, provodi u radno vrijeme i ne smije nerazumno ometati rad, sigurnost, druge klijente ili povjerljive podatke. Troškove snosi voditelj, osim ako se utvrdi bitna povreda izvršiteljice. Ta pravila ne smiju spriječiti ni nerazumno odgoditi djelotvorna zakonska prava revizije ili hitne inspekcije nadležnog tijela.

12.4 Izvršiteljica obavještava voditelja ako smatra da revizija ili uputa krši propise o zaštiti podataka.

13. Odgovornost i red prvenstva

13.1 Odgovornost se uređuje člankom 82. GDPR-a i, koliko je zakonski dopušteno, pravilima odgovornosti iz Glavnog ugovora. Obvezna prava ispitanika i ovlasti nadzornih tijela ostaju nepromijenjeni.

13.2 Ništa ne ograničava odgovornost koja se prema primjenjivom pravu ne može ograničiti.

14. Pravo, nadležnost i završne odredbe

14.1 Primjenjuje se austrijsko pravo bez kolizijskih pravila i Konvencije UN-a o međunarodnoj prodaji robe.

14.2 U zakonski dopuštenoj mjeri isključivo je nadležan stvarno nadležni sud u St. Pöltenu, Austrija.

14.3 Izmjene zahtijevaju tekstualni oblik. Nevaljanost jedne odredbe ne utječe na ostale. Strane je zamjenjuju valjanom odredbom koja najbliže ostvaruje njezinu poslovnu i zaštitnu svrhu.

Prilog 1: Odobreni podizvršitelji obrade

Pružatelj	Svrha	Podaci	Lokacija ili regija i osnova prijenosa
Nhost AB, Tallåsstigen 4, 141 71 Segeltorp, Švedska	Autentifikacija, baza, pohrana objekata, pozadina i funkcije	Podaci o računu, organizaciji, ulozi, proizvodu, sadržaju, datotekama i zapisima	Produkcijska krajnja točka eu-central-1, Frankfurt; prijenosi izvan EGP-a zahtijevaju prethodnu pisanu suglasnost i temelje se na standardnim ugovornim klauzulama EU-a, osim ako je drukčije ugovoreno
Vercel, Inc.	Hosting administracije i isporuka digitalnih etiketa	Zahtjevi, zapisi, tehnički identifikatori i isporučeni sadržaj	Regija fra1, Frankfurt; moguća globalna obrada podrške i sigurnosti uz odgovarajuća jamstva, osobito standardne ugovorne klauzule
Dub Technologies, Inc., 2261 Market Street STE 5906, San Francisco, CA 94114, Sjedinjene Američke Države	Kratke poveznice, preusmjeravanja, zemljopisna pravila i statistika	Odredišni URL, identifikatori poveznice i korisničke organizacije, zemlja, uređaj i metapodaci zahtjeva	Sjedinjene Američke Države i druge zemlje u kojima posluju Dub ili njegovi podizvršitelji; za prijenose u zemlje bez odluke o primjerenosti primjenjuju se standardne ugovorne klauzule EU-a
AC PM LLC, 1 North Dearborn Street, 5th floor, Chicago, IL 60602, Sjedinjene Američke Države, Postmark	Transakcijska i servisna e-pošta	Adresa, ime, sadržaj, podaci predloška i mogući privici	Primarni podaci i poslužitelji u podatkovnom centru Deft izvan Chicaga i na Amazon Web Services; EU-SAD Okvir za privatnost podataka, a prema potrebi standardne ugovorne klauzule EU-a za uređene prijenose
PostHog Inc., 2261 Market St., #4008, San Francisco, CA 94114, Sjedinjene Američke Države	Analitika proizvoda i dijagnostika pogrešaka prema uputama voditelja; ovo odobrenje ne obuhvaća obradu za vlastite svrhe izvršiteljice	Identifikatori korisnika i korisničke organizacije, e-pošta, ime, događaji stranice i uporabe, kontekst pogreške	EU krajnja točka eu.i.posthog.com; podaci s hostingom u EU-u pohranjuju se i obrađuju u Njemačkoj; EU-SAD Okvir za privatnost podataka i standardne ugovorne klauzule EU-a
Gleap GmbH, Am Dorfplatz 3, 6858 Schwarzach, Austrija	Podrška, povratne informacije i dijagnostika prema uputama voditelja; ovo odobrenje ne obuhvaća obradu za vlastite svrhe izvršiteljice	Identifikator, ime, e-pošta, sadržaj podrške, pretplata i status	Hosting korisničkog sadržaja u Frankfurtu, Njemačka, ili NYC3, New York, Sjedinjene Američke Države, ovisno o odabranoj regiji; druga obrada može se odvijati izvan odabrane regije
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, Sjedinjene Američke Države	Turnstile zaštita od botova i zlouporabe	IP adresa, preglednik, uređaj, zahtjev i challenge podaci	Podaci se prvenstveno pohranjuju u Sjedinjenim Američkim Državama i EGP-u te im se može pristupati globalno; EU-SAD Okvir za privatnost podataka, a ako ta certifikacija prestane vrijediti standardne ugovorne klauzule s dodatnim mjerama
PDFMonkey, 49 rue de Ponthieu, Lot 41, 75008 Paris, Francuska	Izrada PDF podatkovnih listova	Podaci o proizvodu, vinu, operatoru, slike i dokumenti, ako su osobni podaci	Aplikacijski poslužitelji, pohrana datoteka i izrada dokumenata u Parizu, Francuska; baza podataka u Frankfurtu, Njemačka

Prilog 2: Tehničke i organizacijske mjere

Navedene su samo mjere provjerljive u sadašnjoj konfiguraciji ili kodu. Ne tvrdi se postojanje certifikata.

1. Enkripcija u prijenosu: Javno konfigurirane aplikacijske, API, pohrambene i webhook krajnje točke koriste HTTPS.
2. Autentifikacija: Za račune s e-poštom i lozinkom Nhost je konfiguriran tako da zahtijeva potvrdu e-pošte i lozinku od najmanje devet znakova. Konfigurirani su kratkotrajni pristupni i odvojeni tokeni za osvježavanje.
3. Autorizacija i odvajanje korisničkih organizacija: Ovlasti uzimaju u obzir uloge, članstvo računa i dodjelu korisničkoj organizaciji. Povlaštene pozadinske radnje koriste poslužiteljske ovlasti.
4. Zaštita produkcije: Razvojni način Hasura sustava je isključen, a konfigurirano Hasura CORS podrijetlo jest administracijska aplikacija.
5. Sprječavanje zlouporabe: Turnstile i ograničenja zahtjeva konfigurirani su za autentifikacijske tokove.
6. Cjelovitost vanjskih poziva: Dolazni događaji plaćanja i usluga provjeravaju se potpisima ili zajedničkim tajnama kada integracija to predviđa. Ulazi se provjeravaju prema definiranim shemama.
7. Regionalna konfiguracija: Produkcijska pozadina nalazi se u eu-central-1, a administracija i aplikacija etiketa koriste fra1.
8. Povjerljivost i najmanji pristup: Točka 6. ugovorno obvezuje osobe s administrativnim pristupom na povjerljivost i pristup prema potrebi.

Mjere koje ovdje nisu navedene uređene su obvezom koja se temelji na riziku iz točke 6.2 i ne prikazuju se kao zasebno provjerene ugovorne značajke.