Uslovi za Pilot ISO 27001 (founding), v1.0

Ugovorne strane

Pružalac: kompanija sa sjedištem u SAD čiji je proizvod Normalius (normalius.com); u ovim Uslovima: "Pružalac" (u tekstu i "pružalac").

Identifikacioni podaci Pružaoca prikazani su iznad; na zahtjev ih šaljemo i u tekstualnom obliku na info@normalius.com. Kontakt: info@normalius.com. U predračunu i u ugovoru koji strane potpisuju identifikacioni podaci Pružaoca navode se u punom tekstualnom obliku.

Klijent: firma koja zatraži predračun po ovim Uslovima i uplati iznos iz predračuna. Podaci klijenta (pravni naziv, sjedište, identifikacioni broj, zastupnik) navode se u predračunu.

1. Predmet

1.1. Pružalac klijentu pruža uslugu "Pilot ISO 27001 (founding)", koja obuhvata:

a) paket dokumenata za sistem upravljanja informacionom sigurnošću po ISO/IEC 27001:2022 + Amd 1:2024, izrađen softverom na osnovu podataka koje daje klijent, na jeziku koji klijent izabere: bosanski, srpski (latinica ili ćirilica; srpska verzija je ijekavska i sadržajno ista kao bosanska), hrvatski ili engleski. Jezik ili jezici paketa obuhvaćeni cijenom i rok isporuke navode se u predračunu prije uplate;

b) DNS/TLS dokaz (pregled javno dostupnih DNS i TLS postavki domena klijenta);

c) izvještaj o pregledu dokumentacije, koji potpisuje Lead Auditor s kojim pružalac sarađuje;

d) izvještaj o spremnosti za Stage 1, koji Lead Auditor potpisuje tek kad klijent prođe kapiju zrelosti iz tačke 6.3; do tada klijent dobija izvještaj "Pregled prije audita: nalazi", koji ne nosi ocjenu spremnosti;

e) pristup platformi Normalius u paketu Business za prvu ugovornu godinu, od dana kad pružalac platformu pisano stavi na raspolaganje. Do tada se usluge iz a) do d) pružaju bez platforme (isporuka dokumenata u DOCX formatu).

1.2. Usluga je pregled prije audita, a ne certifikacija. Pružalac nije certifikaciono tijelo i ne izdaje certifikat. Odluku o certifikatu donosi isključivo akreditovano certifikaciono tijelo (CB) koje klijent sam izabere i plati. Svaki izvještaj iz tačke 1.1 c) i d) nosi tekst: "Pregled prije audita, nije certifikacija." Izvještaj je stručno mišljenje na dan pregleda, a ne audit CB-a.

1.3. Usluga nije pravna usluga, revizija ni savjetovanje o uvođenju mjera. Izvještaji Lead Auditora sadrže samo nalaze (klauzula, dokaz, odstupanje, ozbiljnost) i ne propisuju rješenja.

1.4. Klijent je upoznat s ukupnim putem do certifikata: naknada certifikacionom tijelu (okvirna procjena 3.000–8.000 € za 10–50 zaposlenih, plaća je klijent direktno CB-u), interni rad klijenta (okvirna procjena 80–200 h) i trajanje od 4 do 6 mjeseci. Ovo su procjene, a ne obaveze pružaoca.

1.5. Ograda. Pružalac ne daje pravni savjet i usluga ne zamjenjuje savjet advokata ni pravnika. Dokumenti su nacrti izrađeni softverom; dok ih Lead Auditor ne pregleda imaju status NACRT (tačka 2). Pregled Lead Auditora je pregled prije audita, a ne certifikacija ni audit certifikacionog tijela. Pregled prije audita, nije certifikacija. Sve odluke koje dokumenti traže (opseg, prihvatanje rizika, pravni osnov obrade, imenovanja) donosi i za njih odgovara uprava klijenta (tačka 6.1 b)). Garancija pružaoca je samo ona iz tačke 8 i ne obuhvata certifikat ni ishod audita.

2. Statusi dokumenata

2.1. Svaki dokument ima jedan od tri statusa:

- NACRT: izrađen softverom, nije ga pregledao Lead Auditor. Nosi vodeni žig "NACRT, nije validirao auditor".

- U_VALIDACIJI: predat Lead Auditoru na pregled.

- VALIDIRANO: Lead Auditor je pregledao dokument i potpisao izvještaj. Status VALIDIRANO znači da je pregled obavljen, a ne da je dokument prihvatio CB.

2.2. Dokument ili paket se ne označava kao "spreman" i ne izvozi kao paket za CB dok nije VALIDIRAN i dok klijent nije prošao kapiju zrelosti iz tačke 6.3.

2.3. Dokumente usvaja uprava klijenta. Podnožje svakog dokumenta glasi: "Nacrt pripremljen softverom. Odluke i odgovornost su uprave."

3. Cijena i plaćanje

3.1. Cijena za prvu ugovornu godinu: 1.490 EUR. Cijena za svaku sljedeću ugovornu godinu: 1.490 EUR, koliko iznosi paket Business na godišnjem obračunu. Cijena je iznos koji pružalac fakturiše i naplaćuje; pružalac na nju ne dodaje PDV (vidi t. 3.4).

3.2. Način plaćanja. Plaćanje se obavlja po predračunu u EUR, bankovnim transferom ili, kad bude dostupno, karticom preko platnog procesora Stripe. Način plaćanja navodimo u predračunu. Kad se plaća karticom, podatke kartice obrađuje Stripe; pružalac ne prima pun broj kartice (politika privatnosti, t. 5).

3.3. Plaćanje je 100% avansno, u roku navedenom u predračunu. Rad na isporuci počinje danom kad je uplata evidentirana na računu pružaoca, odnosno danom kad platni procesor potvrdi uplatu. Troškove konverzije valute i naknade banke klijenta snosi klijent.

3.4. Porezi. Pružalac je kompanija iz SAD i nije registrovan za PDV u BiH, Srbiji ni Crnoj Gori. Pružalac na fakturi ne obračunava PDV. Poreske obaveze koje klijent ima po propisima svoje države u vezi s ovom uslugom (npr. obračun PDV-a na usluge primljene od inostranog lica, ako se primjenjuje) snosi klijent.

4. Trajanje, obnova i raskid

4.1. Ugovor se zaključuje na godinu dana od dana prijema uplate i automatski se obnavlja za po godinu dana, osim ako jedna strana pisano otkaže ugovor prije isteka tekuće ugovorne godine.

4.2. Svaka strana može raskinuti ugovor pisanim obavještenjem ako druga strana bitno povrijedi ugovor i ne otkloni povredu u primjerenom naknadnom roku navedenom u pisanom upozorenju.

4.3. Pružalac može raskinuti ugovor s trenutnim dejstvom ako klijent zatraži od pružaoca ili Lead Auditora da navede netačne podatke ili da dokument označi statusom koji ne odgovara stvarnom stanju.

4.4. Posljedice prestanka ugovora:

a) klijent zadržava trajnu, neisključivu licencu za korištenje dokumenata isporučenih do dana prestanka, za vlastite potrebe;

b) šabloni, katalozi i softver ostaju vlasništvo pružaoca;

c) lični podaci se brišu ili vraćaju po Ugovoru o obradi ličnih podataka (DPA), tačka 10;

d) plaćeni iznosi se ne vraćaju, osim kad prestanak skrivi pružalac namjerno ili krajnjom nepažnjom.

5. Rezervna isporuka

5.1. Okidač. Rezervna isporuka nastupa ako pružalac klijentu pisano saopći da obustavlja razvoj ili pružanje platforme Normalius, ili ako platforma iz tačke 1.1 e) ne bude stavljena na raspolaganje do 1.3.2027.

5.2. Sadržaj. Klijent u tom slučaju dobija:

(1) kompletan šablonski paket u DOCX formatu, izrađen za klijenta;

(2) izvještaj o pregledu dokumentacije;

(3) izvještaj o spremnosti, koji potpisuje Lead Auditor, nakon što klijent prođe kapiju zrelosti iz tačke 6.3 (do tada izvještaj "Pregled prije audita: nalazi");

(4) 12 mjeseci ažuriranja šablona e-mailom od dana okidača (nova verzija dokumenta kad se promijeni propis na koji se dokument poziva).

5.3. Rezervnom isporukom pružalac u potpunosti ispunjava obavezu iz tačke 1.1. Plaćeni iznos se ne vraća.

5.4. Ako stavke (2) ili (3) ne mogu biti isporučene jer pružalac nema Lead Auditora, pružalac bez nepotrebnog odgađanja angažuje drugog Lead Auditora za ISO/IEC 27001 s istim uslovima nezavisnosti iz tačke 7.

6. Obaveze klijenta

6.1. Klijent:

a) daje tačne i potpune podatke i obavještava pružaoca o promjenama;

b) usvaja dokumente odlukom uprave i sam donosi sve odluke koje dokumenti traže (opseg, prihvatanje rizika, pravni osnov obrade, imenovanja);

c) imenuje kontakt osobu i obezbjeđuje učešće ISMS menadžera i uprave na intervjuu za izvještaj o spremnosti (do 60 minuta);

d) obezbjeđuje Lead Auditoru uzorak zapisa (do 10 zapisa) za izvještaj o spremnosti;

e) sam bira CB i sam s njim ugovara audit.

6.2. Zapisi. Klijent vodi zapise o radu kontrola (npr. pregledi pristupa, backup testovi, obuke, incidenti, interni audit, pregled uprave). Za kapiju zrelosti potrebni su zapisi za najmanje 90 dana, ili duži period ako ga traži izabrani CB (praksa certifikacionih tijela, a ne zahtjev norme). Izvještaj o spremnosti za Stage 1 Lead Auditor potpisuje tek kad klijent prođe kapiju zrelosti iz tačke 6.3.

6.3. Kapija zrelosti. Bez nje nema paketa za CB, oznake "spreman" ni garancije iz tačke 8. Uslovi su:

(a) zapisi o radu kontrola za najmanje 90 dana, ili duži period ako ga traži izabrani CB (primjenjuje se duži od ta dva perioda);

(b) interni audit cijelog opsega s nalazima;

(c) pregled uprave sa svim ulazima iz ISO/IEC 27001 9.3.2, potpisan od uprave;

(d) obuka i svijest za najmanje 90% zaposlenih;

(e) najmanje jedan ciklus praćenja ciljeva iz 6.2 standarda;

(f) svaka korektivna mjera iz 10.2 zatvorena ili planirana.

6.4. Interni audit ne smije izvoditi ISMS menadžer za klauzule 4–10. Pružalac nudi vanjski interni audit kao posebnu uslugu, po cijeni navedenoj u posebnoj ponudi.

6.5. Pružalac ne odgovara za posljedice netačnih ili nepotpunih podataka klijenta, ni za odluke uprave klijenta.

7. Nezavisnost Lead Auditora (ISO/IEC 17021-1)

7.1. Lead Auditor koji pregleda dokumente klijenta ne učestvuje u certifikacionom auditu klijenta niti u odluci o njegovoj certifikaciji tokom ugovora i 24 mjeseca nakon posljednje usluge klijentu. Pravilo se zasniva na zahtjevima nepristrasnosti iz standarda ISO/IEC 17021-1.

7.2. Pružalac ne preporučuje određeni CB, ne prima proviziju od CB-a i ne daje tvrdnje o toku, trajanju ni ishodu audita kod bilo kojeg CB-a. Klijent može dobiti neutralnu listu akreditovanih CB-ova, bez rangiranja.

7.3. Saglasnost za izuzeće. Klijent bira jednu opciju (bez zadane vrijednosti):

☐ DA. Saglasan sam da Lead Auditor certifikacionom tijelu ili tijelima za koja radi dostavi naziv klijenta, identifikacioni broj i datum posljednje usluge, isključivo da bi se Lead Auditor izuzeo od audita i certifikacije klijenta 24 mjeseca. Podaci se ne koriste ni u koju drugu svrhu.

☐ NE. Ne dajem saglasnost. U tom slučaju se Lead Auditor sam izuzima od svake dodjele koja se odnosi na klijenta, bez otkrivanja naziva klijenta.

Izbor ne utiče na cijenu ni na obim usluge. Saglasnost se može povući pisanim obavještenjem; povlačenje ne dira dostave obavljene prije povlačenja.

7.4. Klijent obavještava pružaoca ako izabrani CB angažuje Lead Auditora iz tačke 7.1, da bi se izuzeće provelo.

8. Garancija

8.1. Pružalac garantuje samo potpunost i formalnu ispravnost generisanih dokumenata: da paket sadrži dokumente koje ISO/IEC 27001:2022 navodi kao obavezne za opseg klijenta i da svaki dokument ima elemente propisane specifikacijom pružaoca (verzija, vlasnik, datum, odobrenje, reference). Garancija važi samo ako je klijent prošao kapiju zrelosti iz tačke 6.3.

8.2. Ako dokument ne ispunjava tačku 8.1, pružalac ga ispravlja bez naknade, bez nepotrebnog odgađanja nakon pisane prijave klijenta. To je jedini pravni lijek po ovoj garanciji.

8.3. Pružalac ne garantuje ishod audita ni dobijanje certifikata. Ne garantuje ni da će CB prihvatiti dokumente bez nalaza.

9. Ograničenje odgovornosti

9.1. Ukupna odgovornost pružaoca po svim osnovama iz ugovora ograničena je na iznos koji je klijent platio pružaocu za uslugu u 12 mjeseci prije događaja iz kojeg zahtjev proizlazi.

9.2. Pružalac ne odgovara za posrednu štetu, izgubljenu dobit, gubitak poslovne prilike, ni za novčane kazne i druge mjere koje organi izreknu klijentu. Pružalac ne odgovara ni za odluku certifikacionog tijela, nalaze audita ni za to da li klijent dobije, zadrži ili izgubi certifikat.

9.3. Ograničenja iz tačaka 9.1 i 9.2 ne važe u mjeri u kojoj ih mjerodavno pravo ne dozvoljava, a naročito:

a) za štetu prouzrokovanu namjerno ili krajnjom nepažnjom;

b) za smrt ili tjelesnu povredu;

c) za odgovornost prema nosiocima podataka koju prinudno propisuje zakon o zaštiti ličnih podataka (npr. Zakon o zaštiti ličnih podataka, "Službeni glasnik BiH" 12/25, čl. 112);

d) u mjeri u kojoj ih isključuje drugi prinudni propis.

9.4. Pružalac ne odgovara za sadržaj dokumenata u dijelu koji se zasniva na netačnim ili nepotpunim podacima klijenta, ni za to da li klijent dokumente primjenjuje u praksi.

9.5. Odgovornost za povrede zaštite ličnih podataka uređuje DPA, u okviru ograničenja iz ove tačke, osim kad prinudni propis kaže drugačije (npr. Zakon o zaštiti ličnih podataka, "Službeni glasnik BiH" 12/25, čl. 112).

10. Zaštita podataka i povjerljivost

10.1. Kad pružalac obrađuje lične podatke u ime klijenta (npr. podatke zaposlenih u dokumentima), pružalac je obrađivač, a klijent kontrolor. Obradu uređuje Ugovor o obradi ličnih podataka (DPA), objavljen na normalius.com, koji je sastavni dio ovih Uslova.

10.2. Za podatke o korisničkim nalozima, naplati i komunikaciji s klijentom pružalac je kontrolor; o tome klijenta informiše Politika privatnosti objavljena na normalius.com.

10.3. Strane čuvaju kao povjerljive sve nejavne informacije druge strane tokom ugovora i nakon njegovog prestanka, sve dok te informacije ne postanu javno dostupne bez povrede ovih Uslova.

10.4. Pružalac smije koristiti agregirane i anonimizovane podatke iz kojih se ne može utvrditi klijent ni pojedinac, za razvoj šablona i proizvoda.

10.5. Pružalac naziv klijenta javno navodi (npr. kao referencu) samo uz posebnu pisanu saglasnost klijenta.

11. Intelektualno vlasništvo

11.1. Šabloni, katalozi, softver i metodologija pripadaju pružaocu. Dokumenti ne sadrže tekst ISO standarda zaštićen autorskim pravom.

11.2. Klijent dobija licencu iz tačke 4.4 a).

12. Promjena propisa

Kad se promijeni propis na koji se dokument poziva, pružalac u roku od 30 dana od objave dostavlja novu verziju dokumenta. Novu verziju usvaja uprava klijenta.

13. Mjerodavno pravo i rješavanje sporova

13.1. Mjerodavno pravo. Na ugovor se primjenjuje pravo države u kojoj klijent ima sjedište na dan zaključenja ugovora, prema upisu u registar privrednih subjekata te države:

a) klijent sa sjedištem u Bosni i Hercegovini: pravo entiteta ili distrikta u kojem je klijent registrovan, prema sjedištu upisanom u rješenju o registraciji: Federacija BiH, Republika Srpska ili Brčko distrikt BiH. Državni propisi BiH koji se primjenjuju na cijeloj teritoriji (npr. Zakon o zaštiti ličnih podataka) važe uz pravo entiteta ili distrikta;

b) klijent sa sjedištem u Srbiji: pravo Republike Srbije;

c) klijent sa sjedištem u Crnoj Gori: pravo Crne Gore.

Konvencija UN o ugovorima o međunarodnoj prodaji robe (Beč, 1980) se ne primjenjuje.

13.2. Nadležnost. Spor koji strane ne riješe dogovorom u roku od 30 dana rješava stvarno i mjesno nadležni sud prema sjedištu klijenta iz t. 13.1.

13.3. U ovoj fazi usluga se nudi firmama sa sjedištem u Bosni i Hercegovini, Srbiji i Crnoj Gori. Usluga je namijenjena samo firmama (B2B).

14. Završne odredbe

14.1. Ugovor se zaključuje prihvatanjem ponude u pisanoj formi (potpisom ili uplatom po predračunu koji upućuje na ove Uslove). Zahtjev za predračun poslan kroz sajt nije zaključenje ugovora.

14.2. Izmjene važe samo u pisanoj formi. Ako je neka odredba ništava, ostale odredbe ostaju na snazi.

14.3. Verzija ovih Uslova: v1.0, objavljena 29.10.2026. Mjerodavan je tekst na bosanskom jeziku.