Članak 28. GDPR-a

Ugovor o obradi podataka

Ugovorni uvjeti za obradu osobnih podataka u radnim prostorima kupaca, s opisom obrade, mjerama zaštite i trenutačnim podizvođačima na jednom mjestu.

Verzija 1.1 · Stupa na snagu 14. kolovoza 2026.

Status ugovora

Ovaj DPA čini dio ugovora o usluzi HansaChata.

Postaje obvezujućim kada kupac prihvati Ugovor o usluzi ili narudžbu koja ga uključuje, prihvati ažurirane Uvjete korištenja ili mu na drugi način elektronički pristane. Kupac se identificira iz svoje narudžbe, pretplate, radnog prostora ili zapisa računa. Vlastoručni potpis nije potreban.

Kupac: voditelj obrade (ili izvođač obrade koji djeluje za drugog voditelja obrade)
HansaChat: izvođač obrade za osobne podatke kupca u radnom prostoru
HansaChat ostaje voditelj obrade za vlastite podatke naplate, računa, sigurnosti i pravne usklađenosti

Sažetak lokacija podataka

Primarni podaci radnog prostora pohranjuju se u Njemačkoj.

Produkcijske baze podataka aplikacije, prenesene datoteke i samostalno hostirana usluga poziva pokreću se na IONOS Cloudu u Njemačkoj. Sigurnosne kopije koje je HansaChat šifrirao prije prijenosa pohranjuju se u Frankfurtu i Stockholmu. Neobavezna dostava e-pošte i mobilnih push obavijesti uključuje podizvođače i lokacije navedene u Prilogu 3.

Šifrirane sigurnosne kopije ostaju osobni podaci prema GDPR-u jer HansaChat zadržava sredstva za njihovu obnovu. Obje lokacije sigurnosnih kopija, Frankfurt i Stockholm, unutar su EU-a.

Članak 28. GDPR-a

Stranke i opseg

Ovaj Ugovor o obradi podataka („DPA”) sklapaju navedene stranke i dopunjuje ugovor na temelju kojeg HansaChat pruža uslugu („Ugovor o usluzi”). „Osobni podatci kupca” su osobni podatci koje HansaChat obrađuje u ime kupca u vezi s uslugom.

Kupac / voditelj obrade: Fizička ili pravna osoba označena kao kupac u primjenjivoj narudžbi, pretplati, radnom prostoru ili zapisu računa HansaChata, uključujući njezine ovlaštene povezane osobe koje pokriva Ugovor o usluzi.
Izvođač obrade: Igor Tverdokhleb, koji posluje kao HansaChat, Barkentinenstr. 20, 23558 Lübeck, Njemačka · igor@hansa.chat

Ako je ovaj DPA u suprotnosti s Ugovorom o usluzi u pogledu obrade osobnih podataka kupca, ovaj DPA ima prednost. Ako su engleska i njemačka verzija u suprotnosti, njemačka verzija ima prednost.

1. Predmet, trajanje i uloge

Ovaj DPA uređuje obradu osobnih podataka kupca koju HansaChat provodi radi pružanja usluge. Predmet, priroda, svrha, vrste podataka, kategorije subjekata podataka i trajanje navedeni su u Prilogu 1.

Kupac određuje svrhe i bitna sredstva obrade sadržaja radnog prostora. HansaChat obrađuje te podatke u ime kupca. Ovaj DPA ne pokriva osobne podatke koje HansaChat obrađuje kao samostalni voditelj obrade radi naplate, administracije računa, sigurnosti usluge, sprječavanja zloupotreba, administracije podrške ili usklađenosti; ta je obrada opisana u Pravilima o privatnosti.

2. Dokumentirane upute i zakonitost

HansaChat smije obrađivati osobne podatke kupca isključivo na temelju dokumentiranih uputa kupca, uključujući Ugovor o usluzi, ovaj DPA, upotrebu i konfiguraciju usluge od strane kupca te naknadne upute poslane u pisanoj formi. HansaChat smije obrađivati podatke kada to zahtijeva pravo Unije ili države članice i obavijestit će kupca prije toga, osim ako to pravo zabranjuje takvu obavijest iz važnih razloga javnog interesa.

HansaChat će odmah obavijestiti kupca ako prema svom mišljenju neka uputa krši GDPR ili drugo primjenjivo pravo Unije ili države članice o zaštiti podataka te može obustaviti pogođenu uputu dok se ne potvrdi ili izmijeni.

3. Povjerljivost i pristup

HansaChat osigurava da je svaka osoba ovlaštena za obradu osobnih podataka kupca vezana povjerljivošću ili odgovarajućom zakonskom dužnošću te da pristup prima samo tamo gdje je to nužno za rad usluge, održavanje, otklanjanje poteškoća, sigurnost, sprječavanje zloupotreba, pravnu usklađenost ili podršku koju je zatražio kupac.

Tamo gdje se primjenjuje točka 3. njemačkog Zakona o zaštiti podataka telekomunikacijskih digitalnih usluga (TDDDG), HansaChat također štiti sadržaj i okolnosti komunikacija kao telekomunikacijsku tajnu. HansaChat ne smije stjecati znanje izvan onoga što je nužno za pružanje komunikacijske usluge ili zaštitu njezinih tehničkih sustava, a takvo znanje smije koristiti u druge svrhe samo tamo gdje to zakon izričito dopušta u vezi s telekomunikacijama.

Obveza povjerljivosti nastavlja se i nakon završetka rada osobe i nakon isteka Ugovora o usluzi.

4. Sigurnost obrade

Uzimajući u obzir stanje tehnike, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, HansaChat će održavati odgovarajuće tehničke i organizacijske mjere prema članku 32. GDPR-a. Trenutačne mjere opisane su u Prilogu 2 i na stranici Sigurnost.

HansaChat može ažurirati te mjere kako se tehnologija i rizici mijenjaju, pod uvjetom da ukupna razina zaštite nije materijalno smanjena tijekom Ugovora o usluzi.

5. Podizvođači obrade

Kupac daje HansaChatu opću pisano odobrenje za upotrebu podizvođača navedenih u Prilogu 3. HansaChat će nametnuti svakom podizvođaču bitno iste obveze zaštite podataka, ostati odgovoran za njegov rad prema ovom DPA-u i održavati popis ažurnim.

HansaChat će najmanje 30 dana unaprijed obavijestiti e-poštom kontakt računa kupca ili putem istaknute obavijesti u usluzi prije dodavanja ili zamjene podizvođača koji će obrađivati osobne podatke kupca. Kraće razdoblje može se koristiti kada je to nužno za suočavanje s hitnim sigurnosnim, pravnim ili rizikom dostupnosti; HansaChat će tada dati obavijest što je razumno moguće prije.

Kupac može uložiti prigovor tijekom razdoblja obavijesti iz razumnih razloga zaštite podataka. Stranke će se u dobroj vjeri truditi pronaći komercijalno razumno rješenje. Ako ga nema, kupac može raskinuti pogođenu uslugu prije nego što novi podizvođač počne s obradom, bez kazne za neiskorišteni unaprijed plaćeni period te usluge.

6. Lokacije obrade i međunarodni prijenosi

Primarna pohrana radnog prostora nalazi se u Njemačkoj. Šifrirane Restic sigurnosne kopije pohranjuju se u Frankfurtu i Stockholmu. Mrežna dostava i neobavezne prateće značajke mogu uključivati druge lokacije, kako je navedeno u Prilogu 3.

HansaChat ne smije prenositi osobne podatke kupca u treću državu ili međunarodnu organizaciju osim ako to ne naredi kupac, ako je to nužno za pružanje omogućene značajke usluge ili ako to zahtijeva zakon, i to samo uz ispunjenje zahtjeva poglavlja V. GDPR-a. Primjenjive mjere zaštite mogu uključivati odluku o primjerenosti, Standardne ugovorne klauzule Europske komisije te dopunske tehničke i organizacijske mjere.

7. Zahtjevi subjekata podataka i pomoć u usklađenosti

Ako HansaChat primi zahtjev subjekta podataka koji se odnosi na osobne podatke kupca, bez odgode će ga proslijediti kupcu i neće mu odgovoriti osim ako to kupac ne ovlasti ili to ne zahtijeva zakon.

Uzimajući u obzir prirodu obrade i dostupne informacije, HansaChat će kupcu razumno pomoći u ostvarivanju prava subjekata podataka i u obvezama kupca prema člancima 32. do 36. GDPR-a, uključujući sigurnost, procjenu povrede, procjene utjecaja na zaštitu podataka i prethodne konzultacije.

8. Povrede osobnih podataka

HansaChat će obavijestiti kupca bez nepotrebnog odgađanja nakon što sazna za povredu osobnih podataka koja pogađa osobne podatke kupca. Obavijest će sadržavati informacije dostupne HansaChatu koje kupac razumno treba za svoje obveze prema člancima 33. i 34. GDPR-a, a dodatne informacije mogu se dostavljati u fazama kako postaju dostupne.

HansaChat će poduzeti razumne korake za suzbijanje, istraživanje, otklanjanje i ublažavanje povrede te će surađivati s kupcem. Obavijest nije priznanje krivnje ni odgovornosti.

9. Povrat i brisanje

Prema izboru kupca, HansaChat će vratiti ili izbrisati osobne podatke kupca nakon završetka usluga obrade te izbrisati postojeće kopije, osim ako pravo Unije ili države članice ne zahtijeva zadržavanje. Kupac mora zatražiti povrat prije datuma brisanja radnog prostora; ako kupac ne da upute, bira se brisanje.

Otkazani plaćeni i probni radni prostori ostaju upotrebljivi tijekom tekućeg plaćenog ili probnog razdoblja, a zatim su 90 dana samo za čitanje, nakon čega se brišu. Brisanje na zahtjev vlasnika čini radni prostor samo-za-čitanje odmah i briše ga nakon razdoblja odgode od 30 dana, osim ako se zahtjev ne otkaže. Demo radni prostori brišu se nakon 24 sata. Besplatni radni prostori ostaju upisivi i brišu se nakon 90 dana bez trajno sačuvane poruke. Baze podataka radnih prostora i preneseni objekti uklanjaju se primjenjivim postupkom brisanja; izbrisani podaci radnog prostora istječu iz šifriranih sigurnosnih kopija prema rasporedu u Prilogu 2.

10. Informacije i auditi

HansaChat će učiniti dostupnima informacije razumno potrebne za dokazivanje usklađenosti s člankom 28. GDPR-a i ovim DPA-om. Kupac može provjeriti pokrivenu obradu samostalno ili putem neovisnog, kvalificiranog revizora vezanog povjerljivošću.

Auditi bi obično trebali početi dostupnom dokumentacijom i udaljenim pregledom. Inspekcija na lokaciji dostupna je kada je dokumentacija nedostatna ili postoje razumni pokazatelji neusklađenosti, uz razumnu prethodnu najavu i bez ugrožavanja drugih kupaca, sigurnosti ili poslovnih tajni. Kupac snosi razumne troškove audita, osim ako audit utvrdi materijalnu povredu od strane HansaChata. Ovlasti nadzornih tijela nisu ograničene.

11. Obveze kupca

Osigurati da se osobni podatci kupca prikupljaju i obrađuju zakonito te da su upute u skladu s primjenjivim pravom.
Osigurati potrebne obavijesti, odabrati valjanu pravnu osnovu te pribaviti sve nužne privole ili odobrenja predstavnika zaposlenika.
Konfigurirati pristup, pozivnice, kanale, zadržavanje, mobilne push obavijesti i integracije prikladno rizicima kupca.
Ne smještati podatke posebnih kategorija ili podatke o kaznenim djelima u HansaChat, osim ako je kupac procijenio nužnost, pravnu osnovu i mjere zaštite.
Održavati točne kontakte računa i bez odgode prijaviti sumnjive sigurnosne probleme ili probleme zaštite podataka na adresu igor@hansa.chat.

12. Trajanje, raskid i mjerodavni uvjeti

Ovaj DPA počinje kada postane obvezujućim prema odjeljku Status ugovora i ostaje na snazi sve dok HansaChat ne izbriše sve osobne podatke kupca. Ako HansaChat ne može ispuniti ovaj DPA, bez odgode će obavijestiti kupca. Kupac može obustaviti obradu ili raskinuti pogođenu uslugu ako se materijalna povreda ne otkloni u razumnom roku.

Odgovornost, mjerodavno pravo i nadležnost slijede Ugovor o usluzi, osim tamo gdje to zahtijeva obvezno pravo o zaštiti podataka. Ništa u ovom DPA-u ne ograničava prava subjekata podataka ni ovlasti nadležnog nadzornog tijela.

Članak 28. GDPR-a

Prilog 1 · Opis obrade

Predmet: Pružanje i rad komunikacijske usluge radnog prostora HansaChat u ime kupca.
Trajanje: Tijekom trajanja Ugovora o usluzi i razdoblja brisanja/povrata opisanog u točki 9. i Prilogu 2.
Priroda obrade: Prikupljanje, bilježenje, organiziranje, struktuiranje, pohrana, dohvat, pregledavanje, prikazivanje, prijenos između ovlaštenih korisnika, dostava e-poštom i push obavijestima, sigurnosno kopiranje, pristup podrške kada je potreban, ograničavanje, izvoz i brisanje.
Svrhe: Provjera autentičnosti; administracija radnog prostora i članstava; kanali i izravne poruke; dostava poruka, pretraživanje, reakcije, spominjanja, datoteke, pozivi i dijeljenje zaslona; obavijesti; sigurnost; podrška; kontinuitet; i brisanje.
Subjekti podataka: Osoblje kupca, suradnici, članovi radnog prostora, pozvani gosti, pozvanici, vanjski suradnici i svaka identificiriva osoba čije podatke korisnici smjeste u sadržaj radnog prostora.
Kategorije osobnih podataka: Imena, adrese e-pošte, podatci profila i uloga, hashevi zaporki i zapisi provjere autentičnosti, članstva u radnim prostorima, poruke i odgovori, datoteke, reakcije, spominjanja, metapodatci kanala i poziva, tokeni uređaja i push obavijesti, IP/metapodatci zahtjeva/sigurnosti te materijali podrške koje je dostavio kupac.
Učestalost: Kontinuirano za aktivne radne prostore, a u protivnome prema aktivnostima ovlaštenih korisnika, zakazanim sigurnosnim kopijama, poslovima zadržavanja ili uputama podrške.

Podatci posebnih kategorija i podatci o kaznenim djelima

HansaChat nije posebno dizajniran za podatke prema članku 9. ili članku 10. Korisnici mogu svejedno smjestiti takve podatke u poruke slobodnog formata ili datoteke. Kupac kontrolira hoće li se to dogoditi i mora utvrditi pravnu osnovu, nužnost, pravila pristupa i sve dodatne mjere zaštite. HansaChat primjenjuje ovaj DPA i mjere iz Priloga 2 na takve podatke, a da ih ne koristi u druge svrhe.

Članak 28. GDPR-a

Prilog 2 · Tehničke i organizacijske mjere

Ove mjere opisuju trenutačnu uslugu. To su proporcionalne mjere zaštite, a ne tvrdnja o šifriranju od kraja do kraja, neovisnoj certifikaciji ili objavljenom testu prodiranjem.

Pristup i povjerljivost

Pristup operatera prema načelu nužnog znanja, ograničen na rad, održavanje, otklanjanje poteškoća, sigurnost, pravnu usklađenost ili podršku koju je zatražio kupac.
Obveze povjerljivosti za osobe ovlaštene za obradu osobnih podataka kupca, uključujući telekomunikacijsku tajnost prema točki 3. TDDDG-a gdje je to primjenjivo.
Hashiranje zaporki s bcryptom i automatskim solima, neobavezna dvofaktorska provjera autentičnosti korisnika, šifrirani kolačići sesija, istek nakon neaktivnosti i ponovno generiranje identifikatora sesije nakon prijave.
Pravila pristupa na razini radnog prostora, javnih/privatnih kanala, izravnih poruka, članstava i uloga.

Izolacija i infrastruktura

Svaki radni prostor ima zasebnu bazu podataka aplikacije; besplatne i demo baze podataka mogu dijeliti temeljnu upravlanu uslugu baze podataka, dok plaćeni radni prostori dobivaju zasebnu upravlanu bazu podataka.
Primarne baze podataka, prenesene datoteke i samostalno hostirana medijska usluga LiveKit pokreću se na IONOS Cloudu u Njemačkoj.
Prenesene datoteke pohranjuju se zasebno u IONOS Object Storage s poslužiteljskim šifriranjem AES-256 u mirovanju.
Veze između klijenata i HansaChata koriste HTTPS/TLS. HansaChat nije šifriran od kraja do kraja i zadržava tehnički pristup tamo gdje to zahtijeva rad usluge.

Dostupnost, sigurnosne kopije i obnova

IONOS MariaDB DBaaS pruža sigurnosne kopije kojima upravlja pružatelj, zadržane sedam dana, uz točkastu obnovu (point-in-time).
HansaChat stvara komprimirane Restic snimke svakih šest sati i šifriraju ih prije prijenosa u objektnu pohranu sigurnosnih kopija.
Restic kopije drže se u Frankfurtu (Njemačka) i Stockholmu (Švedska). Sve se snimke zadržavaju 7 dana, zatim jedna dnevna 30 dana, jedna tjedna 12 tjedana i jedna mjesečna 12 mjeseci.
Izbrisani podaci radnog prostora istječu iz šifriranih sigurnosnih kopija prema ovom dokumentiranom rasporedu zadržavanja.

Nadzor i pregled

Operativno i sigurnosno zapisivanje pogrešaka, provjere autentičnosti, zahtjeva i signala za sprječavanje zloupotreba, uz ograničavanje osobnih podataka gdje je to izvedivo.
Istraživanje incidenata, suzbijanje, otklanjanje i obavještavanje kupaca prema točki 8.
Ovisnosti, konfiguracije i kontrole pristupa pregledavaju se kako se usluga mijenja; mjere se mogu ažurirati bez materijalnog smanjenja ukupne zaštite.
Poslovi brisanja provode životne cikluse radnih prostora navedene u točki 9, sa zasebnim istjecanjem šifriranih sigurnosnih kopija.

Pročitajte detaljnu stranicu Sigurnost

Članak 28. GDPR-a

Prilog 3 · Ovlašteni podizvođači

Navedeni subjekti mogu obrađivati osobne podatke kupca radi pružanja HansaChata. Neobavezne usluge obrađuju podatke samo kada se koristi odgovarajuća značajka.

IONOS Cloud GmbH

Usluga i podatci: Primarni hosting, upravljani MariaDB, Object Storage za prijenose, Kubernetes, mreža i samostalno hostirana infrastruktura poziva LiveKit. Obrađuje sve osobne podatke kupca potrebne za pružanje ključne usluge.
Lokacija obrade: Njemačka za primarne/aktivne usluge HansaChata.
Mjera zaštite: DPA prema članku 28.; obrada u odabranim njemačkim lokacijama IONOS-a; tehničke i organizacijske mjere pružatelja.

BunnyWay d.o.o. (bunny.net)

Usluga i podatci: CDN, DNS/proxy dostava, DDoS zaštita, ograničeni metapodatci zahtjeva i objektna pohrana za Restic-šifrirane sigurnosne kopije.
Lokacija obrade: Globalni rubni prijenos; šifrirane sigurnosne kopije u Frankfurtu (Njemačka) i Stockholmu (Švedska).
Mjera zaštite: DPA prema članku 28.; minimizacija podataka i šifrirani sadržaj sigurnosnih kopija; obrada i pohrana sigurnosnih kopija u EU/EGP te mjere zaštite prema poglavlju V. gdje je to potrebno.

Vercom S.A. (EmailLabs)

Usluga i podatci: Transakcijska i servisna e-pošta, uključujući pozivnice u radni prostor, potvrde i poruke za resetiranje zaporke. Obrađuje adresu primatelja, podatke pošiljatelja, sadržaj e-pošte i metapodatke o dostavi.
Lokacija obrade: Europski gospodarski prostor, pretežno Poljska, Njemačka i Irska prema dokumentaciji pružatelja.
Mjera zaštite: DPA prema članku 28. i obveze obrade u EGP-u.

Google Ireland Limited i Googleovi povezani subjekti (Firebase Cloud Messaging)

Usluga i podatci: Neobavezne mobilne push obavijesti. Obrađuje tokene uređaja, identifikatore radnog prostora/kanala/pošiljatelja te pregled poruke poslan u sadržaju obavijesti.
Lokacija obrade: Google i njegovi podizvođači mogu obrađivati globalno. Ova se obrada provodi samo za registrirane mobilne uređaje s push obavijestima.
Mjera zaštite: Firebase uvjeti o obradi i sigurnosti podataka; mehanizmi primjerenosti i/ili Standardne ugovorne klauzule Europske komisije s dopunskim mjerama gdje je to potrebno.

Usluge izvan ovog popisa podizvođača

Creem (naplata), administracija računa HansaChata te vlastiti sigurnosni/zapisnik usklađenosti HansaChata uređeni su Pravilima o privatnosti jer HansaChat određuje te svrhe kao voditelj obrade. Samostalno hostirani LiveKit poslužitelj dio je IONOS infrastrukture HansaChata i nije zaseban cloud podizvođač.

Primarne pravne i prateće reference

Ove poveznice podržavaju dužnu provjeru. Ne zamjenjuju niti sužavaju obveze u ovom DPA-u.

Kontakt za privatnost

Pitanja, upute ili zahtjevi za audit

Upute o zaštiti podataka, zahtjeve subjekata podataka, pitanja o incidentima i zahtjeve za audit pošaljite na adresu u nastavku. Navedite domenu radnog prostora i ovlašteni kontakt kupca.

igor@hansa.chat