Ugovor o obradi podataka o ličnosti

Verzija 1.7 · Važi od: 7. 11. 2026.

Pružalac usluge

U ovom dokumentu, lice iz ovog bloka se naziva Pružalac, a u ulozi obrađivača Obrađivač.

Ugovorne strane

1. Klijent, privredni subjekt koji je sa Pružaocem zaključio ugovor o korišćenju usluge stizem prihvatanjem Ponude i Uslova korišćenja, sa podacima navedenim u Ponudi, kao rukovalac (u daljem tekstu: Rukovalac), i

2. Pružalac naveden u bloku „Pružalac usluge” na početku ovog dokumenta, kao obrađivač (u daljem tekstu: Obrađivač).

Ovaj ugovor (u daljem tekstu: Ugovor o obradi) zaključuje se u pisanom ili elektronskom obliku, na isti način i zajedno sa Uslovima korišćenja usluge stizem (u daljem tekstu: Uslovi), i čini njihov sastavni deo. Pojmovi koji su definisani u Uslovima imaju isto značenje i u ovom Ugovoru o obradi.

Član 1. Pravni osnov i predmet

1.1. Ovim Ugovorom o obradi uređuje se obrada podataka o ličnosti koju Obrađivač vrši u ime Rukovaoca pri pružanju Usluge, u skladu sa članom 45. Zakona o zaštiti podataka o ličnosti („Službeni glasnik RS”, broj 87/2018; u daljem tekstu: ZZPL) i, kada se na Rukovaoca primenjuje, članom 28. Uredbe (EU) 2016/679 Evropskog parlamenta i Saveta (u daljem tekstu: GDPR).

1.2. Predmet, trajanje, priroda i svrha obrade, vrste podataka o ličnosti i vrste lica na koja se podaci odnose bliže su opisani u Prilogu 1. Tehničke, organizacione i kadrovske mere zaštite opisane su u Prilogu 2. Lista podobrađivača data je u Prilogu 3. Odredbe za Rukovaoce na koje se primenjuje GDPR date su u Prilogu 4.

1.3. Ovaj Ugovor o obradi se ne odnosi na podatke koje Obrađivač obrađuje kao rukovalac (podaci o Klijentu kao ugovornoj strani, njegovim kontakt osobama i fakturisanju, kao i podaci posetilaca internet stranice stizem.com), na koje se primenjuje Politika privatnosti Obrađivača.

Član 2. Uloge strana

2.1. Rukovalac određuje svrhu i način obrade podataka o ličnosti Korisnika aplikacije i svog osoblja u Usluzi i odgovoran je za zakonitost obrade, uključujući postojanje pravnog osnova (član 12. ZZPL) i obaveštavanje lica na koja se podaci odnose (član 23. ZZPL), za šta koristi politiku privatnosti Aplikacije koju Obrađivač pripremi po šablonu a Rukovalac odobri.

2.2. Obrađivač obrađuje podatke isključivo u ime i po nalogu Rukovaoca (član 46. ZZPL).

Član 3. Uputstva Rukovaoca

3.1. Obrađivač obrađuje podatke o ličnosti samo na osnovu pismenih uputstava Rukovaoca, uključujući uputstva u vezi sa prenosom podataka u druge države ili međunarodne organizacije, osim ako je Obrađivač zakonom obavezan da podatke obrađuje; u tom slučaju Obrađivač obaveštava Rukovaoca o toj zakonskoj obavezi pre započinjanja obrade, osim ako zakon zabranjuje davanje takve informacije zbog važnog javnog interesa (član 45. stav 4. tačka 1) ZZPL).

3.2. Strane saglasno utvrđuju da potpuna i konačna uputstva Rukovaoca čine: (a) Uslovi i ovaj Ugovor o obradi; (b) podešavanja i radnje koje Rukovalac i njegovo osoblje vrše u Pregledu za vlasnika (na primer unos, izmena, brisanje i izvoz podataka); (c) druga pismena uputstva Rukovaoca, uključujući elektronsku poštu, ako su u skladu sa Uslovima. Uputstva koja zahtevaju izmenu Usluge van njenog uobičajenog obima mogu biti predmet posebnog dogovora.

3.3. Obrađivač bez odlaganja upozorava Rukovaoca ako smatra da je neko uputstvo protivno ZZPL, GDPR-u ili drugom propisu o zaštiti podataka o ličnosti (član 45. stav 5. ZZPL), i može obustaviti postupanje po tom uputstvu do potvrde ili izmene od strane Rukovaoca.

3.4. Obrađivač ne koristi podatke o ličnosti iz Usluge u sopstvene svrhe, uključujući oglašavanje, profilisanje, prodaju, povezivanje sa podacima drugih klijenata ili obučavanje modela veštačke inteligencije. Obrađivač može koristiti zbirne tehničke podatke o radu Usluge (na primer broj zahteva, vreme odziva, greške) iz kojih se ne može utvrditi identitet lica, radi održavanja i unapređenja Usluge.

Član 4. Poverljivost

4.1. Obrađivač obezbeđuje da se svako fizičko lice koje je ovlašćeno da obrađuje podatke o ličnosti (zaposleni, angažovana lica) pismeno obavezalo na čuvanje poverljivosti ili da podleže zakonskoj obavezi poverljivosti (član 45. stav 4. tačka 2) ZZPL), i da pristup imaju samo lica kojima je to potrebno za pružanje Usluge, u obimu koji im je potreban.

Član 5. Bezbednost obrade

5.1. Obrađivač primenjuje tehničke, organizacione i kadrovske mere iz člana 50. ZZPL i člana 32. GDPR-a, opisane u Prilogu 2, uzimajući u obzir nivo tehnoloških dostignuća, troškove primene, prirodu, obim, okolnosti i svrhu obrade i rizike po prava i slobode lica.

5.2. Obrađivač može menjati mere iz Priloga 2, pod uslovom da se ukupni nivo zaštite ne smanji.

Član 6. Podobrađivači

6.1. Opšte ovlašćenje. Rukovalac ovim daje Obrađivaču opšte pismeno ovlašćenje da angažuje druge obrađivače (u daljem tekstu: podobrađivači) navedene u Prilogu 3, kao i nove podobrađivače u skladu sa ovim članom (član 45. stav 2. ZZPL, član 28. stav 2. GDPR).

6.2. Obaveštenje o promenama i prigovor. Obrađivač obaveštava Rukovaoca o nameravanom angažovanju novog ili zameni postojećeg podobrađivača najmanje 30 dana unapred, elektronskom poštom i objavom ažurirane liste na stizem.com/pravno/obrada-podataka, sa nazivom, sedištem, svrhom i lokacijom obrade. Rukovalac može u tom roku, iz opravdanih razloga koji se tiču zaštite podataka, pismeno izjaviti prigovor. Ako se strane ne dogovore o rešenju u roku od 30 dana od prigovora, Rukovalac može otkazati Ugovor bez otkaznog roka i bez troškova, a Obrađivač mu vraća srazmerni deo unapred plaćene naknade.

6.3. Hitna zamena. Ako je zamena podobrađivača hitna zbog bezbednosti ili prekida rada podobrađivača, Obrađivač može izvršiti zamenu i bez roka iz stava 2. ovog člana, uz obaveštenje Rukovaocu bez odlaganja; pravo na prigovor i otkaz iz stava 2. ostaje.

6.4. Iste obaveze. Obrađivač sa podobrađivačima zaključuje pismeni ugovor, uključujući i ugovor u elektronskom obliku, kojim podobrađivača obavezuje na obaveze zaštite podataka koje su u suštini iste kao obaveze iz ovog Ugovora o obradi (član 45. stav 7. ZZPL). Za podobrađivače čije se usluge pružaju isključivo po njihovim standardnim, nepromenljivim uslovima (u Prilogu 3 to je naznačeno za svakog od njih), Obrađivač je prihvatio te uslove, obezbeđuje da kroz njih teče samo onoliko podataka koliko je navedeno u Prilogu 3, i te uslove Rukovaocu stavlja na raspolaganje na zahtev. Izuzetak je Apple Push Notification service, koji Apple pruža kao uslugu prenosa obaveštenja po svojim nepromenljivim uslovima, bez ugovora o obradi: tu uslugu Obrađivač koristi samo uz izričit pristanak Korisnika aplikacije, samo za podatke iz Priloga 3, bez ikakvih podataka o terminu, i samo ako je Rukovalac nije isključio za svoju Aplikaciju; Rukovalac je upoznat sa ovim ograničenjem i daje uputstvo za taj prenos, a može ga u svakom trenutku isključiti pismenim zahtevom. Ako podobrađivač ne ispuni svoje obaveze, Obrađivač Rukovaocu odgovara za ispunjenje obaveza podobrađivača.

Član 7. Prenos podataka u druge države

7.1. Od zaključenja Ugovora, baza podataka Usluge i njene rezervne kopije nalaze se isključivo na serverima u državi članici Evropske unije, kod pružaoca smeštaja upisanog u Prilog 3. Obrada pojedinačnog zahteva u memoriji, pri njegovoj dostavi, može se vršiti i na serverima pružaoca smeštaja izvan EU, na osnovu i u obimu navedenom u Prilogu 3; tom prilikom se podaci ne čuvaju izvan EU. Države članice EU su članice Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka, pa se smatra da obezbeđuju primereni nivo zaštite (član 64. stav 2. ZZPL). Podaci se u druge države prenose samo u obimu i po osnovu navedenom u Prilogu 3 (na primer token uređaja, opšti tekst i nasumična oznaka, radi dostave obaveštenja o promeni ili otkazu termina).

7.2. Obrađivač prenosi podatke u drugu državu ili međunarodnu organizaciju samo ako je ispunjen jedan od uslova iz čl. 64. do 69. ZZPL, odnosno, za Rukovaoce na koje se primenjuje GDPR, u skladu sa Glavom V GDPR-a i Prilogom 4, i to samo u obimu i po osnovu navedenom u Prilogu 3. Prenos na osnovu člana 69. ZZPL vrši se samo u slučaju i pod uslovima navedenim u Prilogu 3.

7.3. Rukovalac daje uputstvo za prenose navedene u Prilogu 3. Za svaki novi prenos primenjuje se postupak iz člana 6. stav 2.

Član 8. Pomoć Rukovaocu u ostvarivanju prava lica

8.1. Obrađivač, uzimajući u obzir prirodu obrade, pomaže Rukovaocu odgovarajućim tehničkim i organizacionim merama da odgovori na zahteve za ostvarivanje prava lica iz Glave III ZZPL i Glave III GDPR-a (pristup, ispravka, brisanje, ograničenje obrade, prenosivost, prigovor) (član 45. stav 4. tačka 5) ZZPL).

8.2. Od dana kada Aplikacija počne da prima termine: (a) Pregled za vlasnika omogućava Rukovaocu da sam pronađe, ispravi, izveze i obriše podatke pojedinog Korisnika aplikacije; (b) Aplikacija omogućava Korisniku aplikacije da sam obriše svoje podatke; (c) postoji javna internet stranica na kojoj Korisnik aplikacije može zatražiti brisanje i kada Aplikaciju više nema. Dok neka od ovih radnji nije dostupna, Obrađivač je izvršava po pismenom uputstvu Rukovaoca u roku od 5 Radnih dana.

8.3. Zahtev lica na koje se podaci odnose koji se tiče Rukovaoca, a koji Obrađivač neposredno primi, Obrađivač prosleđuje Rukovaocu bez odlaganja, a najkasnije u roku od 3 Radna dana, i na njega sam ne odgovara, osim što podnosioca upućuje na Rukovaoca. Izuzetno: (a) brisanje koje Korisnik aplikacije izvrši u Aplikaciji, sa svog uređaja, Obrađivač sprovodi odmah, u ime Rukovaoca, na način iz Priloga 2 tačka 10; (b) zahtev podnet preko javne stranice za brisanje Rukovalac vidi u Pregledu za vlasnika i izvršava ga sam, a Obrađivač ga upozorava u skladu sa Prilogom 2 tačka 10.

Član 9. Povreda podataka o ličnosti

9.1. Obrađivač obaveštava Rukovaoca o povredi podataka o ličnosti koja se odnosi na podatke Rukovaoca bez nepotrebnog odlaganja, a najkasnije u roku od 48 časova od saznanja za povredu ili za osnovanu sumnju na povredu (član 52. stav 3. ZZPL i član 33. stav 2. GDPR propisuju obaveštavanje bez nepotrebnog odlaganja; rok od 48 časova je ugovorni), elektronskom poštom na adresu kontakt osobe Rukovaoca i telefonom na broj naveden u Ponudi.

9.2. Obaveštenje sadrži, u meri u kojoj su informacije dostupne: (a) opis prirode povrede, uključujući vrste podataka i približan broj lica i zapisa; (b) kontakt osobu Obrađivača; (c) opis verovatnih posledica; (d) opis preduzetih ili predloženih mera, uključujući mere za umanjenje štetnih posledica. Informacije koje nisu odmah dostupne Obrađivač dostavlja postupno, bez nepotrebnog odlaganja.

9.3. Obrađivač preduzima razumne mere da povredu otkloni i umanji posledice, dokumentuje povredu i pomaže Rukovaocu u ispunjavanju obaveze obaveštavanja Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti (u daljem tekstu: Poverenik), odnosno nadležnog nadzornog organa (član 52. ZZPL, član 33. GDPR), i lica na koja se podaci odnose (član 53. ZZPL, član 34. GDPR). Odluku o obaveštavanju Poverenika i lica donosi Rukovalac; Obrađivač ih ne obaveštava u ime Rukovaoca bez njegovog uputstva, osim ako ga na to obavezuje zakon.

9.4. Obaveštenje o povredi nije priznanje odgovornosti Obrađivača.

Član 10. Ostala pomoć Rukovaocu

10.1. Obrađivač, uzimajući u obzir prirodu obrade i informacije koje su mu dostupne, pomaže Rukovaocu u ispunjavanju obaveza iz člana 50. i čl. 52. do 55. ZZPL (bezbednost, povreda podataka, procena uticaja i prethodno mišljenje Poverenika), odnosno čl. 32. do 36. GDPR-a, naročito dostavljanjem opisa Usluge i mera iz Priloga 2.

10.2. Obrađivač vodi evidenciju radnji obrade koje vrši u ime Rukovaoca u skladu sa članom 47. stav 4. ZZPL i članom 30. stav 2. GDPR-a.

Član 11. Brisanje i vraćanje podataka

11.1. Rukovalac može u svakom trenutku izvesti podatke iz Pregleda za vlasnika, u skladu sa članom 13. Uslova.

11.2. Po prestanku Ugovora, Obrađivač postupa u skladu sa članom 14. stav 5. Uslova, koji čini odluku Rukovaoca u smislu člana 45. stav 4. tačka 7) ZZPL: Aplikacija prestaje da prima nove termine danom prestanka Ugovora; Rukovalac ima 30 dana da podatke izveze (vraćanje podataka); posle toga, a ne pre nego što Obrađivač dostavi potpuni izvoz zatražen u tom roku, Obrađivač briše sve podatke o ličnosti i njihove kopije iz produkcionih sistema u roku od 15 dana, a iz rezervnih kopija najkasnije u roku od narednih 30 dana, i to pismeno potvrđuje Rukovaocu.

11.3. Obrađivač ne briše podatke čije je čuvanje propisano zakonom; takve podatke čuva samo u roku i u svrhu propisanu zakonom i štiti ih u skladu sa ovim Ugovorom o obradi.

11.4. Rukovalac može pismeno zahtevati ranije brisanje ili da mu se podaci dostave u celosti pre brisanja, u skladu sa članom 14. st. 5. i 6. Uslova.

Član 12. Dokazivanje usklađenosti i kontrola

12.1. Obrađivač Rukovaocu na zahtev stavlja na raspolaganje sve informacije neophodne za dokazivanje ispunjenosti obaveza iz člana 45. ZZPL i člana 28. GDPR-a (član 45. stav 4. tačka 8) ZZPL), u roku od 15 dana, uključujući ažuran opis mera iz Priloga 2. Zahtevi se podnose u razumnim razmacima, po pravilu najviše dva puta u 12 meseci, osim posle povrede podataka koja se odnosi na Rukovaoca ili na zahtev nadzornog organa.

12.2. Ako informacije iz stava 1. ovog člana nisu dovoljne, ili ako to zahteva Poverenik ili drugi nadzorni organ, ili posle povrede podataka koja se odnosi na Rukovaoca, Rukovalac može sam ili preko nezavisnog revizora koji je obavezan na poverljivost i koji nije konkurent Obrađivača izvršiti kontrolu, uz sledeće uslove: (a) najava najmanje 30 dana unapred (osim u slučaju povrede podataka ili zahteva nadzornog organa); (b) najviše jednom u 12 meseci, osim u slučajevima iz ovog stava; (c) kontrola se po pravilu vrši pregledom dokumentacije i na daljinu, a u prostorijama Obrađivača samo ako je to neophodno za njenu svrhu; (d) u radno vreme, bez ometanja rada Usluge i bez pristupa podacima drugih klijenata; (e) troškove kontrole snosi Rukovalac, osim ako kontrola utvrdi povredu ovog Ugovora o obradi od strane Obrađivača koja utiče na bezbednost ili zakonitost obrade, ili je kontrola usledila posle povrede podataka za koju odgovara Obrađivač.

12.3. Kontrola kod podobrađivača vrši se kroz izveštaje, sertifikate i prava kontrole koja Obrađivaču pripadaju prema ugovoru sa podobrađivačem.

Član 13. Odgovornost

13.1. Svaka strana odgovara za štetu koju prouzrokuje povredom ZZPL, GDPR-a ili ovog Ugovora o obradi, u skladu sa članom 86. ZZPL i članom 82. GDPR-a, odnosno ZOO.

13.2. U odnosu između strana, odgovornost Obrađivača po ovom Ugovoru o obradi podleže ograničenjima iz člana 17. st. 2. i 5. Uslova, u meri u kojoj je to zakonom dozvoljeno. Ograničenje se ne primenjuje na prava lica na koja se podaci odnose prema stranama, niti na štetu prouzrokovanu namerno ili krajnjom nepažnjom.

13.3. Ako Obrađivač povredi ZZPL određujući svrhu i način obrade, smatra se rukovaocem u odnosu na tu obradu (član 45. stav 8. ZZPL).

Član 14. Trajanje i završne odredbe

14.1. Ovaj Ugovor o obradi važi dok traje Ugovor, a posle toga dok Obrađivač ima bilo koje podatke o ličnosti Rukovaoca.

14.2. U slučaju neslaganja između ovog Ugovora o obradi i Uslova, u pogledu obrade podataka o ličnosti primenjuje se ovaj Ugovor o obradi, a u slučaju neslaganja sa Standardnim ugovornim klauzulama iz Priloga 4, primenjuju se Standardne ugovorne klauzule.

14.3. Obrađivač može menjati ovaj Ugovor o obradi pod uslovima iz člana 19. Uslova. Izmena kojom bi se smanjio nivo zaštite podataka ili suzila prava Rukovaoca iz ovog Ugovora o obradi važi samo uz pismenu saglasnost Rukovaoca. Izmene liste podobrađivača vrše se po članu 6.

14.4. Merodavno pravo i nadležnost suda određuju se prema članu 21. Uslova, osim u delu u kome Standardne ugovorne klauzule iz Priloga 4 propisuju drugačije.

14.5. Kontakt Obrađivača za pitanja zaštite podataka: stefanglamoclija@gmail.com.

Prilog 1. Opis obrade

Prilog 2. Tehničke, organizacione i kadrovske mere zaštite

Mere su opisane na nivou koji odgovara obradi podataka o zakazivanju bez posebnih vrsta podataka. Obrađivač ih primenjuje najkasnije od dana kada Aplikacija Rukovaoca počne da prima termine; pre tog dana Usluga ne obrađuje podatke Korisnika aplikacije. Na podatke osoblja Rukovaoca, uključujući i podatke u test skupu iz tačke 2, mere iz tač. 1, 3, 7. i 8. primenjuju se od trenutka kada se ti podaci unesu u Uslugu; Obrađivač te podatke unosi lično, bez alata veštačke inteligencije, i ne zaključuje Ugovor pre nego što te mere primeni.

1. Kontrola pristupa sistemima

• Pristup produkcionim sistemima imaju samo imenovana lica Obrađivača kojima je to potrebno, sa ličnim nalogom; zajednički nalozi se ne koriste. Alati veštačke inteligencije nemaju pristup produkcionoj bazi podataka ni pristupnim podacima za nju, i podaci iz Usluge se ne unose u kanale za dopisivanje (chat) koji se koriste za razvoj.
• Dvofaktorska autentikacija za pristup hosting nalogu, repozitorijumima koda, Nalozima programera i administrativnim alatima.
• Pristup se ukida istog dana kada lice prestane da radi na Usluzi; spisak lica sa pristupom se proverava najmanje jednom u tri meseca.
• Prijava u Pregled za vlasnika: lozinka, ograničen broj pokušaja prijave; sesija ističe posle 30 dana neaktivnosti, a najkasnije posle 90 dana.

2. Razdvajanje podataka klijenata

• Podaci svakog Rukovaoca su logički razdvojeni: svaki zapis nosi identifikator klijenta, a svaki zahtev se proverava na nivou aplikacije; Aplikacija i Pregled za vlasnika jednog Rukovaoca ne mogu pristupiti podacima drugog.
• Test verzije Aplikacije koriste zaseban, test skup podataka, a ne podatke Rukovaoca iz produkcije.

3. Šifrovanje

• Sav saobraćaj između Aplikacije, Pregleda za vlasnika i servera šifruje se protokolom TLS 1.2 ili novijim.
• Baza podataka i rezervne kopije čuvaju se šifrovane (šifrovanje diska ili šifrovanje rezervnih kopija pre prenosa).
• Lozinke se čuvaju samo kao heš sa solju, algoritmom namenjenim lozinkama (scrypt).

4. Minimizacija podataka

• Aplikacija traži samo podatke potrebne za zakazivanje (Prilog 1) i ne traži otvaranje naloga.
• Podsetnici pred termin zakazuju se kao lokalna obaveštenja na samom uređaju Korisnika aplikacije i ne šalju se preko Apple-a, Google-a ni drugih lica.
• Obaveštenje o promeni ili otkazu termina koje izvrši osoblje Rukovaoca šalje se preko Apple Push Notification service, odnosno Firebase Cloud Messaging, bez podataka o terminu: Apple dobija samo token uređaja, opšti tekst „Imate obaveštenje o terminu” i nasumičnu oznaku, a Google samo token uređaja i nasumičnu oznaku (dok obaveštenja posreduje Expo, i Google dobija i opšti tekst), a stvarni tekst Aplikacija na uređaju preuzima neposredno sa servera Obrađivača. Na iOS uređajima se ova obaveštenja šalju samo Korisniku aplikacije koji je na to izričito pristao (Prilog 3).
• U zapisima o greškama beleži se samo vrsta greške i deo sistema u kome je nastala, bez sadržaja zahteva, napomena i podataka o ličnosti.

5. Rokovi čuvanja (automatsko brisanje, dnevno)

• IP adresa i potvrda uređaja (pri izdavanju identifikatora uređaja i uz termin) i drugi tehnički podaci o mreži za sprečavanje zloupotrebe: brišu se najkasnije posle 90 dana.
• Podaci Korisnika aplikacije (ime, broj telefona, napomene, identifikator uređaja): brišu se 24 meseca posle njegovog poslednjeg termina, a identifikator uređaja sa koga nije zakazan nijedan termin 24 meseca posle izdavanja, osim ako Rukovalac pismeno odredi kraći rok, koji Obrađivač primenjuje u roku od 5 Radnih dana.
• Blokada broja telefona i njen razlog: brišu se 12 meseci posle blokade, odnosno poslednjeg nedolaska ako je on kasniji, ili ranije, kada osoblje Rukovaoca ukine blokadu.
• Zapisi o prijavama u Pregled za vlasnika: 90 dana.
• Zahtev za brisanje podnet preko javne stranice: broj telefona se uklanja 30 dana posle izvršenja ili odbijanja zahteva, a zapis o zahtevu (datum, ishod, ko ga je potvrdio, bez broja telefona) briše se posle 12 meseci.
• Zapis o pristanku Korisnika aplikacije na obaveštenja preko Apple-a: dok postoji identifikator uređaja.
• Obaveštenja koja Obrađivač prikazuje vlasniku u Pregledu za vlasnika: najduže 90 dana; tekst obaveštenja o promeni ili otkazu termina koji Aplikacija preuzima sa servera: 30 dana.
• Zapisi o pomeranju termina radi ograničenja iz uslova korišćenja Aplikacije: 24 časa.

6. Dostupnost i rezervne kopije

• Dnevne rezervne kopije baze, šifrovane pre prenosa, čuvane najviše 30 dana, kod skladišta odvojenog od produkcione baze, u EU.
• Pružalac smeštaja pored toga vodi sopstvene kopije za vraćanje baze na raniji trenutak, najduže 30 dana, po svojim uslovima; i iz njih obrisani podaci nestaju najkasnije 30 dana posle brisanja.
• Postupak vraćanja iz rezervne kopije se proverava pre početka rada prve Aplikacije, a zatim najmanje jednom u šest meseci.
• Automatski nadzor dostupnosti, odvojen od pozadinskog sistema, koji preko javnog interneta proverava servis najmanje jednom u minuti i šalje upozorenje; zapisi nadzora se čuvaju najmanje 12 meseci.

7. Razvoj i promene

• Produkcioni podaci se ne koriste za razvoj ni testiranje.
• Zavisnosti softvera se redovno ažuriraju; kritične bezbednosne zakrpe se primenjuju bez nepotrebnog odlaganja.

8. Kadrovske mere

• Svako lice pre dobijanja pristupa podacima pismeno se obavezuje na poverljivost i upoznaje sa ovim merama.

9. Postupanje sa povredom

• Pisani postupak za odgovor na incident: utvrđivanje, ograničavanje, procena rizika, obaveštavanje Rukovaoca u roku iz člana 9, dokumentovanje.

10. Brisanje na zahtev

• Kada Korisnik aplikacije obriše svoje podatke iz Aplikacije, ili kada to uradi osoblje Rukovaoca u Pregledu za vlasnika, njegovi budući termini se otkazuju, a iz svih njegovih termina se odmah uklanjaju ime, broj telefona, napomene, IP adresa i potvrda uređaja; termin ostaje u kalendaru Rukovaoca bez podataka o licu. Zahtev podnet preko javne stranice za brisanje Rukovalac vidi u Pregledu za vlasnika i izvršava ga pošto proveri da broj telefona pripada podnosiocu (na primer pozivom na taj broj); ako zahtev nije obrađen u roku od 20 dana, Obrađivač na to upozorava Rukovaoca obaveštenjem u Pregledu za vlasnika, a kada uvede slanje elektronske pošte i elektronskom porukom, radi roka iz člana 21. ZZPL.
• Rezervne kopije se prepisuju u ciklusu iz tačke 6, pa podaci iz njih nestaju najkasnije 30 dana posle brisanja.

Prilog 3. Podobrađivači

Lista važi na dan 7. 11. 2026. Na taj dan nijedna Aplikacija nije u radu. Pružalac smeštaja (servera) za Aplikacije još nije angažovan; Obrađivač ga upisuje u ovu listu, sa nazivom, sedištem i lokacijom obrade u državi članici EU, pre zaključenja Ugovora sa prvim Klijentom, a posle toga ga menja samo po članu 6. Ažurna lista se objavljuje na stizem.com/pravno/obrada-podataka.

Napomena o listi Vlade. Na listi država sa primerenim nivoom zaštite koju je utvrdila Vlada Republike Srbije („Službeni glasnik RS”, broj 55/2019), SAD su navedene samo u okviru nekadašnjeg okvira „Privacy Shield”, koji više ne važi. Prenos primaocima koji učestvuju u EU-SAD Okviru za privatnost podataka Obrađivač zasniva na članu 64. stav 2. ZZPL, prema kome se primeren nivo zaštite smatra obezbeđenim u sektorima za koje je Evropska unija utvrdila primeren nivo zaštite. Ovo tumačenje nije potvrđeno odlukom Vlade ni mišljenjem Poverenika, a primaoci obaveze iz Okvira preuzimaju za podatke iz EU; zato se u SAD prenosi samo najmanji skup podataka naveden u tabeli.

Nisu podobrađivači za podatke Rukovaoca (navodi se radi potpunosti):

Prilog 4. Rukovaoci na koje se primenjuje GDPR

1. Ovaj Prilog se primenjuje ako se na obradu podataka Rukovaoca primenjuje GDPR (na primer Rukovalac ima sedište u državi članici EU ili EEP). U daljem tekstu „država članica” znači država članica EU ili EEP.

2. Prenos u Republiku Srbiju. Republika Srbija nema odluku Evropske komisije o primerenosti nivoa zaštite. Stoga se na svaki prenos podataka od Rukovaoca ka Obrađivaču, uključujući pristup podacima na serverima u EU sa teritorije Republike Srbije, primenjuju Standardne ugovorne klauzule koje je usvojila Evropska komisija Sprovedbenom odlukom (EU) 2021/914 od 4. juna 2021, Modul 2 (rukovalac ka obrađivaču) (u daljem tekstu: SUK), koje se ovim uključuju u Ugovor o obradi kao da su u celini navedene, uz sledeće:
   • Rukovalac je „izvoznik podataka”, a Obrađivač „uvoznik podataka”;
   • Klauzula 7 (klauzula o pristupanju) se primenjuje;
   • Klauzula 9(a): opcija 2 (opšte prethodno ovlašćenje), sa rokom od 30 dana iz člana 6. stav 2. ovog Ugovora o obradi;
   • Klauzula 11: opcija o nezavisnom telu za rešavanje sporova se ne primenjuje;
   • Klauzula 13: nadležni nadzorni organ je organ države članice u kojoj Rukovalac ima sedište; ako Rukovalac nema sedište u EU/EEP, a GDPR se na njega primenjuje po članu 3. stav 2. GDPR-a, nadležan je nadzorni organ države članice u kojoj je Rukovalac odredio predstavnika iz člana 27. GDPR-a;
   • Klauzula 17: merodavno je pravo države članice EU u kojoj Rukovalac ima sedište, a ako Rukovalac nema sedište u EU/EEP, pravo Irske;
   • Klauzula 18: nadležni su sudovi te države članice, odnosno Irske;
   • Aneks I SUK: strane i opis prenosa su dati u Ponudi i u Prilogu 1; Aneks II: mere iz Priloga 2; Aneks III: podobrađivači iz Priloga 3.

3. Obrađivač će pre prvog prenosa podataka Rukovaoca iz ovog Priloga izraditi procenu propisa i prakse Republike Srbije u pogledu pristupa organa vlasti podacima (Klauzula 14 SUK) i na zahtev je dostaviti Rukovaocu.

4. U slučaju neslaganja između SUK i ostalih odredaba Ugovora o obradi ili Uslova, primenjuju se SUK.

5. Pomoć oko obaveza po GDPR-u. Za Rukovaoce iz ovog Priloga, upućivanja na ZZPL u ovom Ugovoru o obradi odnose se i na odgovarajuće odredbe GDPR-a (čl. 28, 30, 32–36, Glava III).

6. Obaveštenja na iOS uređajima. Za Rukovaoce iz ovog Priloga Obrađivač ne šalje podatke Apple-u: podsetnici su lokalna obaveštenja na uređaju, a promenu ili otkaz termina Korisnik aplikacije na iOS uređaju vidi kada otvori Aplikaciju.