Ugovor o obradi osobnih podataka

Prilog 1 Uvjetima za organizatore volontiranja, verzija 1.0, vrijedi od 22. listopada 2026.

Voditelj obrade: organizator volontiranja koji je prihvatio Uvjete za organizatore (podaci iz profila organizacije na platformi).

Izvršitelj obrade: Udruga Neutroni, Split, OIB 90079898621 (u daljnjem tekstu: Neutroni).

1. Predmet i trajanje

1.1. Neutroni u ime voditelja obrade obrađuje osobne podatke potrebne za sklapanje i vođenje ugovora o volontiranju, suglasnosti zakonskih zastupnika, evidencije sati, potvrda o volontiranju i obavijesti o prestanku ugovora na platformi Volonter.hr. Opis obrade nalazi se u Prilogu A.

1.2. Ugovor traje dok voditelj obrade koristi platformu i nakon toga dok Neutroni čuva podatke prema točki 9.

2. Upute voditelja obrade

2.1. Neutroni obrađuje podatke samo prema zabilježenim uputama voditelja obrade. Uputama se smatraju ovaj ugovor, Uvjeti za organizatore i radnje koje voditelj obrade poduzima na platformi (npr. slanje ugovora, potvrda sati, izdavanje potvrde).

2.2. Ako Neutroni smatra da je neka uputa protivna propisima o zaštiti podataka, bez odgađanja o tome obavještava voditelja obrade.

2.3. Neutroni ne koristi podatke voditelja obrade za vlastite svrhe. Iznimka su zbirni, anonimizirani podaci o radu platforme (npr. ukupan broj sati na platformi) iz kojih se ne može utvrditi pojedini volonter ni organizator.

2.4. Ako Neutroni prema pravu Unije ili Republike Hrvatske mora obraditi podatke bez upute (npr. na zahtjev nadležnog tijela), o tome obavještava voditelja obrade prije obrade, osim ako to zakon zabranjuje.

3. Povjerljivost

Neutroni podacima omogućuje pristup samo osobama kojima je to potrebno za rad platforme i koje su se obvezale na povjerljivost ili za koje vrijedi zakonska obveza povjerljivosti.

4. Sigurnost

Neutroni provodi tehničke i organizacijske mjere iz Priloga B (GDPR čl. 32.) i redovito ih preispituje. Mjere se mogu mijenjati samo tako da razina zaštite ne bude niža.

5. Podizvršitelji

5.1. Voditelj obrade daje opće odobrenje za podizvršitelje iz Priloga C.

5.2. O dodavanju ili zamjeni podizvršitelja Neutroni obavještava administratore organizacije najmanje 15 dana unaprijed. Voditelj obrade može u tom roku uložiti obrazloženi prigovor. Ako se prigovor ne riješi, voditelj obrade može raskinuti korištenje platforme bez troškova.

5.3. Neutroni s podizvršiteljima ima ugovore s istim obvezama zaštite podataka i odgovara voditelju obrade za njihov rad.

5.4. Prijenos podataka izvan Europskog gospodarskog prostora dopušten je samo uz odluku o primjerenosti ili standardne ugovorne klauzule Europske komisije (GDPR poglavlje V).

6. Prava ispitanika

6.1. Neutroni pomaže voditelju obrade odgovarati na zahtjeve volontera i zakonskih zastupnika (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor), prije svega funkcijama platforme.

6.2. Zahtjev koji stigne Neutronima, a odnosi se na podatke voditelja obrade, Neutroni bez odgađanja prosljeđuje voditelju obrade i ne odgovara na njega sam, osim kad je zahtjev očito usmjeren i Neutronima kao voditelju obrade za račun i iskaznicu.

7. Povreda osobnih podataka

7.1. Neutroni obavještava voditelja obrade o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja.

7.2. Obavijest sadrži ono što je u tom trenutku poznato: opis povrede, kategorije i približan broj ispitanika i zapisa, vjerojatne posljedice, poduzete i predložene mjere te kontakt osobu. Ostale informacije Neutroni dostavlja čim ih sazna.

7.3. Voditelj obrade odlučuje o obavještavanju Agencije za zaštitu osobnih podataka i ispitanika (GDPR čl. 33. i 34.). Neutroni mu u tome pomaže.

8. Pomoć voditelju obrade

Neutroni pomaže voditelju obrade u ispunjavanju obveza iz GDPR čl. 32. do 36., uključujući procjenu učinka na zaštitu podataka, tako da mu na zahtjev dostavi potrebne informacije o platformi.

9. Brisanje i vraćanje podataka

9.1. Nakon što organizacija prestane koristiti platformu, voditelj obrade u roku od 30 dana može preuzeti svoje ugovore, potvrde i evidenciju sati.

9.2. Voditelj obrade ovim ugovorom daje uputu da Neutroni nakon toga podatke iz Priloga A čuva do isteka roka čuvanja (5 godina od prestanka pojedinog ugovora o volontiranju), kako bi volonter i dalje imao pristup svojem ugovoru i potvrdi, a voditelj obrade dokaz o ispunjenju svojih obveza. Nakon isteka roka podaci se brišu ili trajno anonimiziraju.

9.3. Voditelj obrade može pisanim zahtjevom tražiti da Neutroni podatke vrati i obriše ranije, osim podataka koje Neutroni mora čuvati prema zakonu.

10. Dokazi i revizija

10.1. Neutroni na zahtjev voditelju obrade dostavlja informacije potrebne za dokazivanje ispunjavanja ovog ugovora.

10.2. Voditelj obrade ili revizor kojeg on ovlasti može provesti reviziju, uz najavu najmanje 30 dana unaprijed, najviše jednom godišnje (osim nakon povrede podataka), o svom trošku i tako da ne ugrozi podatke drugih organizatora.

11. Obveze voditelja obrade

Voditelj obrade odgovara za zakonitost obrade, za točnost podataka koje unosi i za upute koje daje. Ne unosi na platformu posebne kategorije podataka (npr. zdravstvene podatke volontera ili korisnika) osim kad za to ima pravnu osnovu i kad je to nužno za volontiranje.

12. Odgovornost i završne odredbe

12.1. Odgovornost stranaka uređuje se prema GDPR čl. 82.

12.2. U slučaju nesklada između ovog ugovora i drugih uvjeta platforme, za zaštitu osobnih podataka primjenjuje se ovaj ugovor.

12.3. Primjenjuje se pravo Republike Hrvatske.

---

Prilog A: Opis obrade

Prilog B: Tehničke i organizacijske mjere

Pohrana i pristup

• baza podataka u EU (Frankfurt), šifrirana u mirovanju; sav promet šifriran (TLS)
• pravila pristupa na razini svakog retka baze (Row Level Security): organizacija vidi samo svoje volontere, ugovore i sate, volonter samo svoje podatke
• osjetljivi podaci (datum rođenja, adresa, podaci zastupnika, ishod provjere identiteta) u zasebnoj shemi baze koja nije dostupna preko javnog sučelja, nego samo preko provjerenih funkcija
• dodjela ovlasti po stupcima za tablice s osobnim podacima
• administratorski pregled osobnih podataka traži upisan razlog i trajno se bilježi u revizijski zapis

Prihvaćanje dokumenata i dokazivost

• jednokratni kodovi čuvaju se samo kao sažetak (hash), vrijede ograničeno vrijeme i broj pokušaja je ograničen
• za svaki prihvaćeni ugovor i suglasnost bilježe se vrijeme, IP adresa, podaci o pregledniku i SHA-256 sažetak sadržaja; prihvaćeni ugovor se ne može mijenjati
• PDF dokumenti nose QR kod za provjeru vjerodostojnosti

Smanjenje podataka

• OIB se prikuplja samo radi jednoznačne identifikacije ugovorne strane, čuva se u zasebnoj zaštićenoj shemi i nikad se ne prikazuje na iskaznici, u QR kodu, u adresama stranica ni u zapisima
• slike osobnih isprava i selfiji se ne pohranjuju
• IP adrese za ograničenje broja zahtjeva čuvaju se samo kao sažetak, najviše 24 sata
• javna provjera iskaznice maloljetnika prikazuje samo "Valjana"

Organizacijske mjere

• pristup produkcijskoj bazi ima samo ovlaštena osoba Udruge Neutroni; ključevi se ne dijele i ne pohranjuju u kodu
• promjene baze prolaze pregled i automatske testove prije objave
• dnevne sigurnosne kopije baze kod pružatelja
• postupak za povredu podataka i kontakt sigurnost@volonter.hr

Prilog C: Podizvršitelji

Didit i Google nisu podizvršitelji za podatke iz ovog ugovora: koriste se samo za račun i provjeru identiteta, za koje je voditelj obrade Neutroni.