Ugovor o obradi ličnih podataka (DPA): Normalius kao obrađivač, v1.0
Pravni okvir
| Jurisdikcija kontrolora | Propis |
|---|---|
| Bosna i Hercegovina | Zakon o zaštiti ličnih podataka, "Službeni glasnik BiH" 12/25 (ZZLP BiH) |
| Srbija | Zakon o zaštiti podataka o ličnosti, "Službeni glasnik RS" 87/2018 |
| Crna Gora | Zakon o zaštiti podataka o ličnosti Crne Gore |
Na obradu se primjenjuje zakon o zaštiti ličnih podataka države kontrolora. Obrađivač postupa po ovom DPA i po dokumentovanim uputama kontrolora. Pozivanja na članove u ovom DPA odnose se na ZZLP BiH; za kontrolora iz Srbije i Crne Gore primjenjuju se odgovarajuće odredbe zakona njegove države.
Strane
- Kontrolor: klijent iz Uslova za Pilot ISO 27001 (u daljem tekstu: Uslovi). Podaci kontrolora navode se u predračunu i u DPA koji strane potpisuju.
- Obrađivač: Pružalac iz Uslova, kompanija sa sjedištem u SAD čiji je proizvod Normalius; u ovom DPA: "Obrađivač" ili "Pružalac".
Identifikacioni podaci Pružaoca prikazani su iznad; na zahtjev ih šaljemo i u tekstualnom obliku na info@normalius.com. U DPA koji strane potpisuju identifikacioni podaci Pružaoca navode se u punom tekstualnom obliku.
Kontakt za sva pitanja o obradi podataka: info@normalius.com.
1. Predmet i trajanje
1.1. Obrađivač obrađuje lične podatke u ime kontrolora isključivo radi izvršenja Uslova: izrada dokumenata sistema upravljanja informacionom sigurnošću, pregled Lead Auditora i izvještaji.
1.2. DPA traje koliko i Uslovi, plus vrijeme potrebno za brisanje ili vraćanje podataka iz tačke 10.
1.3. Opis obrade (priroda, svrha, vrste podataka, kategorije lica) je u Prilogu 1 (ZZLP BiH čl. 30(3)).
2. Upute kontrolora
2.1. Obrađivač obrađuje lične podatke samo po dokumentovanim uputama kontrolora, uključujući upute o prijenosu u drugu državu, osim kad mu obradu nalaže zakon koji se na njega primjenjuje. U tom slučaju obrađivač kontrolora obavještava prije obrade, osim ako zakon to zabranjuje (ZZLP BiH čl. 30(4) a)).
2.2. Uslovi i ovaj DPA su cjelovite upute kontrolora. Dodatne upute se daju pisano (uključujući e-mail).
2.3. Obrađivač odmah obavještava kontrolora ako smatra da uputa krši propis o zaštiti podataka (ZZLP BiH čl. 30(4) i)).
2.4. Obrađivač ne određuje svrhu ni način obrade. Ako to učini, za tu obradu se smatra kontrolorom (ZZLP BiH čl. 30(10)).
3. Povjerljivost
Obrađivač osigurava da se svako lice ovlašteno za obradu (uključujući Lead Auditora) pisano obavezalo na povjerljivost ili da ga na to obavezuje zakon (ZZLP BiH čl. 30(4) b)).
4. Sigurnost obrade
4.1. Obrađivač primjenjuje tehničke i organizacione mjere iz Priloga 2 (ZZLP BiH čl. 34).
4.2. Prilog 2 razlikuje mjere koje se primjenjuju od planiranih. Planirane mjere nisu obaveza dok ne budu uvedene i dok obrađivač o tome ne obavijesti kontrolora.
5. Drugi obrađivači (podizvođači)
5.1. Kontrolor daje opće pisano odobrenje za angažovanje drugih obrađivača s liste iz Priloga 3 (ZZLP BiH čl. 30(2)).
5.2. Obrađivač kontrolora pisano obavještava o svakom planiranom dodavanju ili zamjeni drugog obrađivača, uključujući prelazak podizvođača iz statusa "planirano" u "aktivno", pravovremeno prije početka obrade kod tog obrađivača, tako da kontrolor može uložiti obrazložen prigovor prije nego što obrada počne. Ako se strane ne dogovore, kontrolor može raskinuti Uslove pisanim obavještenjem.
5.3. Obrađivač drugom obrađivaču ugovorom nameće iste obaveze zaštite podataka i ostaje kontroloru odgovoran za njegov rad (ZZLP BiH čl. 30(5)).
6. Pomoć kontroloru
6.1. Obrađivač, koliko priroda obrade dozvoljava, pomaže kontroloru da odgovori na zahtjeve nosilaca podataka (pristup, ispravka, brisanje, ograničenje, prenosivost, prigovor). Zahtjev koji stigne direktno obrađivaču prosljeđuje kontroloru bez nepotrebnog odgađanja i na njega ne odgovara sam (ZZLP BiH čl. 30(4) e)).
6.2. Obrađivač pomaže kontroloru oko sigurnosti, prijave povrede, procjene uticaja i prethodnog savjetovanja (ZZLP BiH čl. 30(4) f)).
7. Povreda ličnih podataka
7.1. Obrađivač kontrolora obavještava o povredi ličnih podataka bez nepotrebnog odgađanja nakon saznanja (ZZLP BiH čl. 35(2)), tako da kontrolor može ispuniti svoju obavezu obavještavanja nadzornog organa u roku od 72 sata (ZZLP BiH čl. 35(1)).
7.2. Obavještenje sadrži, koliko je poznato: opis povrede, kategorije i približan broj lica i zapisa, kontakt, moguće posljedice i preduzete ili predložene mjere. Što nije poznato dostavlja se naknadno.
7.3. Obrađivač ne prijavljuje povredu organu i ne obavještava lica u ime kontrolora, osim po pisanoj uputi kontrolora.
8. Prijenos van zemlje
8.1. Mjesto obrade svakog podizvođača navedeno je u Prilogu 3.
8.2. Prijenos u drugu državu ide samo na osnovu odluke o adekvatnosti ili odgovarajućih zaštitnih mjera koje predviđa zakon koji se primjenjuje (ZZLP BiH čl. 46–51).
8.3. Podaci kontrolora iz BiH, Srbije ili Crne Gore obrađuju se u EU (Austrija; Prilog 3), što je prijenos iz države kontrolora. Na njega se primjenjuju pravila o prijenosu iz zakona te države.
8.4. Obrađivač iz SAD. Obrađivač je kompanija sa sjedištem u SAD. Podaci iz Priloga 1 se dešifruju, čuvaju i obrađuju na virtuelnom serveru u EU (Prilog 3); izvan njega idu samo kao šifrovana arhiva preko e-mail provajdera pružaoca (Microsoft 365, u skladu s ugovorom o obradi podataka s Microsoftom). Obrađivač im pristupa kao kompanija iz SAD, pa strane taj pristup tretiraju kao prijenos u SAD. Obrađivač kontroloru na zahtjev daje činjenice potrebne za procjenu prijenosa (lokacija servera, ko pristupa podacima, šifrovanje, zahtjevi organa vlasti). Obrađivač obavještava kontrolora o svakom zahtjevu organa vlasti za pristup podacima kontrolora, osim kad mu je to zakonom zabranjeno. Zaštitnu mjeru za ovaj prijenos (po zakonu države kontrolora) strane navode u DPA koji potpisuju, prije prve obrade podataka iz Priloga 1.
8.5. Kontakt za sva pitanja o obradi i prijenosu podataka po ovom DPA: info@normalius.com.
9. Revizija i informacije
9.1. Obrađivač kontroloru daje sve informacije potrebne za dokaz da poštuje ovaj DPA i omogućava reviziju, uključujući inspekciju, od strane kontrolora ili revizora kojeg kontrolor ovlasti (ZZLP BiH čl. 30(4) h)).
9.2. Revizija se najavljuje pisano, u primjerenom roku unaprijed, i obavlja u radno vrijeme, na način koji ne ugrožava povjerljivost podataka drugih klijenata, osim nakon povrede ili na zahtjev nadzornog organa. Troškove revizije snosi kontrolor, osim ako revizija utvrdi bitnu povredu DPA-a.
10. Brisanje i vraćanje
10.1. Po prestanku usluge obrađivač, po izboru kontrolora, vraća ili briše sve lične podatke i briše postojeće kopije, osim kad zakon nalaže čuvanje (ZZLP BiH čl. 30(4) g)).
10.2. Rok: brisanje u roku od 30 dana od prestanka, a iz rezervnih kopija u roku od 90 dana. Obrađivač pisano potvrđuje brisanje.
10.3. Generisani dokumenti koje je kontrolor već preuzeo su kod kontrolora i nisu predmet brisanja kod obrađivača.
11. Evidencija obrađivača
Obrađivač vodi evidenciju aktivnosti obrade koje obavlja u ime kontrolora (ZZLP BiH čl. 32(2)). Izuzetak za subjekte s manje od 250 zaposlenih (ZZLP BiH čl. 32(5)) se ne koristi, jer obrada nije povremena.
12. Odgovornost
Odgovornost strana je ograničena po Uslovima (t. 9), osim kad prinudni propis kaže drugačije. Obrađivač prema nosiocu podataka odgovara za štetu samo ako nije poštovao obaveze koje zakon posebno propisuje obrađivačima ili je postupio protivno zakonitim uputama kontrolora (ZZLP BiH čl. 112(2)).
13. Prednost i izmjene
Za pitanja zaštite ličnih podataka ovaj DPA ima prednost nad Uslovima. Izmjene važe samo u pisanoj formi, uključujući elektronsku (ZZLP BiH čl. 30(9)).
Verzija ovog DPA: v1.0, objavljena 29.10.2026.
Prilog 1: Opis obrade
| Polje | Sadržaj |
|---|---|
| Priroda obrade | (1) prijem zahtjeva sa sajta: lice koje popunjava upitnik u ime kontrolora unosi odgovore u preglednik; preglednik cijeli zahtjev šifruje javnim ključem obrađivača i šalje ga na sajt; (2) privremeno čuvanje šifrovanog zahtjeva kod drugog obrađivača (Hostinger); (3) preuzimanje i dešifrovanje na virtuelnom serveru obrađivača, brisanje šifrovanog zahtjeva sa sajta; (4) čuvanje, unos u šablone, generisanje dokumenata; (5) pregled Lead Auditora; (6) isporuka paketa |
| Svrha | izrada dokumenata ISMS-a, izvještaja "Pregled prije audita: nalazi" i, nakon kapije zrelosti, izvještaja o spremnosti za kontrolora |
| Kategorije lica | zaposleni kontrolora i lica angažovana kod kontrolora koja se imenuju u ulogama ISMS-a (npr. uprava, ISMS menadžer, vlasnici rizika i imovine, administratori); kontakt osobe kod dobavljača kontrolora, ako ih kontrolor navede |
| Vrste podataka | ime i prezime, funkcija i uloga, poslovni e-mail i telefon, organizaciona jedinica; u uzorku zapisa za izvještaj o spremnosti: podaci koje zapis sadrži (npr. evidencija obuka, pregledi pristupa) |
| Posebne kategorije | ne obrađuju se. Kontrolor ih ne unosi u upitnik i uklanja ih iz uzorka zapisa prije dostave |
| Trajanje | trajanje Uslova + rok iz tačke 10. Šifrovani zahtjev na sajtu: do potvrđenog preuzimanja na virtuelni server, najduže 30 dana od slanja (automatsko brisanje) |
| Tok i mjesto obrade | (a) preglednik korisnika: nacrt upitnika samo u localStorage uređaja; pri slanju se cijeli zahtjev šifruje (RSA-OAEP-256 + AES-256-GCM, ključ RSA 4096 bita) prije slanja; (b) Hostinger: samo šifrovani zahtjev, van javnog web direktorija, bez ključa za dešifrovanje; (c) virtuelni server obrađivača kod drugog obrađivača Evolushost (Evolus IT Solutions GmbH), data centar u Austriji (EU): jedino mjesto s privatnim ključem; dešifrovanje, čuvanje i generisanje u zaštićenom folderu zasebnog korisničkog naloga, odvojeno od sistema za razvoj softvera. Kad se obrada preseli kod drugog podizvođača, kontrolor dobija obavještenje iz tačke 5.2; (d) interni prenos i predaja: gotov paket se s virtuelnog servera šalje kao ZIP arhiva šifrovana AES-256 e-poštom isključivo na fiksnu internu adresu pružaoca (nikad na adresu kontrolora) preko e-mail provajdera pružaoca (Prilog 3); lozinka se nikad ne šalje e-poštom; poruka nosi samo broj zahtjeva, bez naziva kontrolora. Kontroloru paket predaje pružalac zasebno, na način dogovoren s kontrolorom |
| Ko obrađuje | Pružalac preko osoba ovlaštenih za obradu, pod obavezom povjerljivosti; Lead Auditor (pregled paketa prije predaje, pod obavezom povjerljivosti). Softver i asistenti s umjetnom inteligencijom (AI) ne dobijaju podatke kontrolora |
Prilog 2: Tehničke i organizacione mjere
Tabela razlikuje mjere koje se primjenjuju od planiranih. Planirane mjere nisu obaveza dok ne budu uvedene (tačka 4.2).
A. Prijem zahtjeva (sajt i Hostinger)
| Mjera | Status |
|---|---|
| Šifrovanje cijelog zahtjeva u pregledniku prije slanja: AES-256-GCM (nasumičan ključ i IV po zahtjevu, dodatni autentifikovani podaci: id, oznaka ključa, vrijeme), ključ omotan RSA-OAEP (SHA-256), javni ključ RSA 4096 bita ugrađen u sajt | primjenjuje se |
| Hostinger čuva samo šifrovani zahtjev; server provjerava format, ali zahtjev nikad ne dešifruje; Hostinger nema privatni ključ | primjenjuje se |
| Šifrovani zahtjevi van javnog web direktorija, s ograničenim pravima pristupa fajlu | primjenjuje se |
| Brisanje šifrovanog zahtjeva sa sajta nakon potvrđenog preuzimanja; automatsko brisanje zahtjeva starijeg od 30 dana | primjenjuje se |
| Preuzimanje i brisanje zahtjeva samo uz tajni token; token van javnog web direktorija | primjenjuje se |
| HTTPS obavezan; zahtjevi primaju samo sa sajta normalius.com; ograničenje broja zahtjeva po IP adresi; zaštita od automatskog slanja; najveća veličina zahtjeva 256 KB | primjenjuje se |
| Sadržaj zahtjeva se ne upisuje u logove aplikacije | primjenjuje se |
Nacrt upitnika samo u localStorage uređaja korisnika; ne šalje se dok korisnik ne pošalje zahtjev i automatski se briše nakon uspješnog slanja | primjenjuje se |
B. Dešifrovanje i obrada (virtuelni server obrađivača)
| Mjera | Status |
|---|---|
| Privatni ključ postoji samo na virtuelnom serveru, u folderu zasebnog korisničkog naloga | primjenjuje se |
| Dešifrovani podaci i izrađeni dokumenti samo u zaštićenom folderu tog naloga, s pravima pristupa samo za taj nalog, odvojeno od sistema za razvoj softvera | primjenjuje se |
| Aplikacija za obradu zahtjeva dostupna samo lokalno na serveru, ne s interneta | primjenjuje se |
| Softver i asistenti s umjetnom inteligencijom nemaju pristup zaštićenom folderu | primjenjuje se |
| Generisani dokumenti nose status NACRT dok ih Lead Auditor ne pregleda | primjenjuje se |
| Šifrovanje diska virtuelnog servera | planirano |
C. Organizacione mjere
| Mjera | Status |
|---|---|
| Podaci kontrolora ne unose se u sisteme za razvoj softvera, logove ni radne bilješke (koristi se samo broj zahtjeva) | primjenjuje se |
| Lead Auditor pristupa podacima samo uz pisanu obavezu povjerljivosti | primjenjuje se |
| Interni prenos paketa: ZIP arhiva šifrovana AES-256, samo na fiksnu internu adresu pružaoca, lozinka nikad e-poštom, u poruci samo broj zahtjeva; predaja kontroloru zasebno | primjenjuje se |
D. Planirane mjere
| Mjera | Status |
|---|---|
| Pohrana u EU oblaku (AWS, regija Frankfurt), šifrovanje ključem po klijentu | planirano |
| Predaja paketa kontroloru preko vremenski ograničenog linka | planirano |
| Automatsko brisanje unosa nakon 365 dana i izlaza nakon 90 dana; do tada važi rok iz tačke 10 | planirano |
Prilog 3: Drugi obrađivači
Puna lista s lokacijom i statusom objavljena je na stranici "Podizvođači" na normalius.com (verzija v1.0 od 29.10.2026; verzija na dan potpisa prilaže se uz potpisani DPA). Aktivni od 29.10.2026: Hostinger (hosting sajta i privremeno skladište šifrovanih zahtjeva), Evolushost (virtuelni server u Austriji, EU, na kojem se zahtjevi dešifruju i obrađuju) i Microsoft 365 (e-pošta pružaoca: predračun, komunikacija i interni prenos šifrovane arhive, u skladu s ugovorom o obradi podataka s Microsoftom). Ostali su planirani. Stripe (plaćanje karticom, kad bude dostupno) ne obrađuje podatke iz Priloga 1.