Ugovor o obradi podataka

Zadnje ažurirano 21. kolovoza 2026.

Ovaj Ugovor o obradi podataka („DPA”) dio je ugovora koji uređuje korisnikovu uporabu Salisee („glavni ugovor”). Primjenjuje se kada Samir Caus, koji posluje pod nazivom SaliSea, na adresi c/o POSTFLEX PFX-744-129, Emsdettener Straße 10, 48268 Greven, Njemačka („Salisea”), obrađuje osobne podatke korisnika u njegovo ime.

Sklapanjem glavnog ugovora korisnik sklapa i ovaj DPA u svoje ime te, kada je primjenjivo, u ime voditelja obrade koje je ovlašten zastupati. Pojmovi koji ovdje nisu definirani imaju značenje iz glavnog ugovora ili primjenjivog prava zaštite podataka.

1. Pojmovi i uloge

„Osobni podaci korisnika” su osobni podaci koji se u ime korisnika unose u Saliseu, pohranjuju u njoj, šalju putem nje ili na drugi način obrađuju u vezi s uslugom.

„Pravo zaštite podataka” znači GDPR i drugo pravo zaštite podataka primjenjivo na obradu prema glavnom ugovoru.

Korisnik je voditelj obrade, a Salisea izvršitelj obrade osobnih podataka korisnika. Ako korisnik obrađuje podatke za drugog voditelja, korisnik je izvršitelj, a Salisea podizvršitelj obrade. Svaka strana ispunjava obveze koje se primjenjuju na njezinu ulogu.

Salisea je zaseban voditelj obrade za osobne podatke koje obrađuje u vlastite svrhe, uključujući upravljanje računima, sigurnost, servisne obavijesti te postavljanje i obranu pravnih zahtjeva, kako je opisano u Pravilima privatnosti.

2. Upute korisnika

Salisea obrađuje osobne podatke korisnika samo:

radi pružanja, zaštite, održavanja i podrške usluzi prema glavnom ugovoru;
putem značajki, postavki, integracija i radnji koje postavi ili pokrene korisnik ili njegov ovlašteni korisnik;
prema dodatnim uputama iz ovog DPA-a ili drugoj pisanoj uputi koju strane prihvate; ili
kada obradu zahtijeva pravo Unije ili države članice, o čemu će Salisea obavijestiti korisnika prije obrade, osim ako zakon zabranjuje takvu obavijest.

Korisnik nalaže Salisei izvršavanje prijenosa i angažiranje podizvršitelja opisanih u ovom DPA-u. Salisea će korisnika odmah obavijestiti ako smatra da uputa krši pravo zaštite podataka. Salisea može obustaviti zahvaćenu obradu dok strane ne riješe problem.

Korisnik je odgovoran za zakonitost, točnost i opseg svojih uputa i osobnih podataka korisnika, uključujući pružanje potrebnih obavijesti i utvrđivanje valjane pravne osnove.

3. Pojedinosti obrade

Predmet, priroda, svrha i trajanje obrade te ispitanici i kategorije osobnih podataka opisani su u Prilogu 1.

Obrada traje tijekom glavnog ugovora i razdoblja brisanja iz odjeljka 10., osim ako pravo zaštite podataka zahtijeva drukčije.

4. Povjerljivost i pristup

Salisea će osigurati da su osobe ovlaštene za obradu osobnih podataka korisnika obvezane povjerljivošću i da podacima pristupaju samo kada je to potrebno za njihove dužnosti. Salisea primjenjuje pristup prema ulozi i načelu najmanjih ovlasti kada ga usluga podržava.

5. Sigurnost

Uzimajući u obzir stanje tehnike, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, Salisea održava primjerene tehničke i organizacijske mjere namijenjene zaštiti osobnih podataka korisnika od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa. Trenutačne mjere opisane su u Prilogu 2.

Korisnik je odgovoran za sigurno postavljanje računa, ovlasti, pravila prosljeđivanja, integracija i uređaja te za čuvanje vlastitih zakonski obveznih evidencija i sigurnosnih kopija.

6. Podizvršitelji obrade

Korisnik daje Salisei opće odobrenje za uporabu podizvršitelja iz Priloga 3. te za imenovanje zamjenskih ili dodatnih podizvršitelja.

Salisea će svakom podizvršitelju nametnuti obveze zaštite podataka koje u bitnom pružaju najmanje jednaku zaštitu kao obveze Salisee prema ovom DPA-u, u mjeri relevantnoj za usluge podizvršitelja. Salisea ostaje odgovorna korisniku za izvršavanje tih obveza.

Salisea će korisnika obavijestiti najmanje 15 dana prije nego što novi podizvršitelj počne obrađivati osobne podatke korisnika, u pravilu e-poštom ili obavijesti u usluzi. Korisnik u tom roku može uložiti prigovor iz opravdanih razloga zaštite podataka. Strane će u dobroj vjeri tražiti komercijalno razumno rješenje. Ako ga nema, korisnik može prestati koristiti zahvaćenu značajku ili bez naknade raskinuti zahvaćenu uslugu prije početka obrade novog podizvršitelja.

Korisnik sam omogućuje integracije. Kada pružatelj integracije obrađuje podatke izravno za korisnika putem njegova računa ili prema njegovim uputama, taj pružatelj može biti samostalan izvršitelj korisnika, a ne podizvršitelj Salisee.

7. Međunarodni prijenosi

Salisea može obrađivati osobne podatke korisnika u Europskom gospodarskom prostoru i svugdje gdje posluje ovlašteni podizvršitelj. Salisea će osigurati da se prijenos na koji se primjenjuje poglavlje V. GDPR-a temelji na zakonitom mehanizmu prijenosa.

Kada se primjenjuje odluka o primjerenosti, prijenos se može temeljiti na toj odluci, uključujući Okvir za zaštitu podataka između EU-a i SAD-a kada je primjenjiv. Kada odluka o primjerenosti ne postoji, Salisea će primijeniti standardne ugovorne klauzule Europske komisije ili drugu zakonitu zaštitnu mjeru te dodatne mjere kada ih zahtijeva pravo zaštite podataka.

Ako korisnik iz EGP-a prenosi osobne podatke korisnika Salisei u državu koja nije priznata kao primjerena i ne primjenjuje se drugi zakonit mehanizam, modul voditelj–izvršitelj standardnih ugovornih klauzula donesenih Provedbenom odlukom Komisije (EU) 2021/914 uključuje se u ovaj DPA. Podaci u ovom DPA-u i njegovim prilozima ispunjavaju odgovarajuće priloge tim klauzulama. Primjenjuje se neobavezna klauzula o pristupanju; ne primjenjuje se neobavezni tekst o neovisnom rješavanju sporova; a nadležno nadzorno tijelo i mjerodavno pravo države članice određuju se prema klauzulama 13. i 17. standardnih ugovornih klauzula.

8. Pomoć i zahtjevi ispitanika

Uzimajući u obzir prirodu obrade i informacije koje su joj dostupne, Salisea će pružiti razumnu pomoć u vezi s:

zahtjevima ispitanika za ostvarivanje prava;
sigurnošću, prijavom povreda, procjenama učinka na zaštitu podataka i prethodnim savjetovanjem prema člancima 32.–36. GDPR-a; i
informacijama razumno potrebnima za dokazivanje usklađenosti s člankom 28. GDPR-a.

Ako Salisea primi zahtjev ispitanika koji se odnosi na osobne podatke korisnika, uputit će osobu korisniku i neće odgovoriti u njegovo ime ako to nije naloženo ili zakonski obvezno. Korisnik ostaje odgovoran za odgovor na zahtjev.

9. Povrede osobnih podataka

Salisea će bez nepotrebnog odgađanja obavijestiti korisnika nakon saznanja za povredu osobnih podataka korisnika. Obavijest će sadržavati informacije koje su Salisei razumno dostupne i koje su korisniku potrebne za ispunjavanje obveza prijave. Salisea može pružati informacije postupno te će poduzeti razumne korake za ograničavanje, istragu i ublažavanje povrede.

Obavijest prema ovom odjeljku nije priznanje krivnje ili odgovornosti.

10. Povrat i brisanje

Tijekom trajanja ugovora korisnik može preuzeti osobne podatke korisnika putem dostupnih značajki usluge. Prije zatvaranja računa korisnik treba izvesti podatke koje želi zadržati.

Nakon prestanka Salisea će izbrisati ili anonimizirati podatke računa u roku od 30 dana, a osobne podatke korisnika u radnom prostoru u roku od 90 dana, osim ako korisnik zatraži ranije brisanje kada je ono tehnički dostupno ili pravo Unije ili države članice zahtijeva čuvanje. Izvorne datoteke e-pošte i privici brišu se najkasnije 90 dana nakon primitka.

Salisea ne obećava arhivu sigurnosnih kopija. Podaci koji privremeno ostanu u redovima za brisanje ili sustavima pohrane bit će izdvojeni iz redovite uporabe i izbrisani prema primjenjivom ciklusu brisanja.

11. Revizije

Na pisani zahtjev Salisea će pružiti informacije razumno potrebne za dokazivanje usklađenosti s ovim DPA-om, uključujući relevantna izvješća vanjskih revizija ili certifikate koji su joj dostupni.

Ako te informacije nisu dovoljne, korisnik može provesti jednu reviziju u svakom razdoblju od 12 mjeseci te dodatne revizije kada ih zahtijeva nadzorno tijelo ili nakon obrazložene povrede osobnih podataka. Revizija se provodi uz razumnu prethodnu najavu, u uobičajeno radno vrijeme, putem kvalificiranog neovisnog revizora obvezanog povjerljivošću, bez nerazumnog ometanja ili pristupa podacima drugog korisnika. Korisnik snosi troškove revizije osim ako se utvrdi bitna povreda Salisee.

12. Opće odredbe

Ako je ovaj DPA u sukobu s glavnim ugovorom u vezi s obradom osobnih podataka korisnika, DPA ima prednost. Standardne ugovorne klauzule imaju prednost pred oba dokumenta kada se primjenjuju i postoji sukob.

Odgovornost iz ovog DPA-a podliježe odredbama o odgovornosti glavnog ugovora u mjeri dopuštenoj pravom zaštite podataka. Izmjene ovog DPA-a slijede postupak izmjena glavnog ugovora, osim što Salisea može unijeti izmjene propisane pravom zaštite podataka ili izmjene koje bitno ne umanjuju zaštitu osobnih podataka korisnika.

Pitanja o ovom DPA-u možete poslati na privacy@salisea.com.

Prilog 1. Pojedinosti obrade

Predmet i svrha: Pružanje usluge Salisea za upravljanje smještajem, uključujući upravljanje objektima i jedinicama, raspoloživost i kalendare, zaprimanje upita, usmjeravanje e-pošte, rezervacije, komunikaciju s gostima, operativne tijekove, neobavezne obavijesti i integracije te neobavezno AI izdvajanje, prepoznavanje jezika, prevođenje i izradu nacrta odgovora.

Priroda obrade: Prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba, dohvat, uvid, uporaba, prijenos, usklađivanje, ograničenje, brisanje i druga obrada pokrenuta putem usluge.

Trajanje: Trajanje glavnog ugovora i razdoblja brisanja iz odjeljka 10.

Ispitanici: Vlasnici, zaposlenici, suradnici i ovlašteni korisnici korisnika; mogući, trenutačni i bivši gosti; pošiljatelji upita i primatelji poruka; kontakti objekta, pružatelji usluga i druge osobe čije podatke korisnik unese.

Osobni podaci: Imena, kontaktni podaci, identifikatori računa i prijave, uloge i ovlasti, sadržaj upita i poruka, datumi boravka, sastav grupe, podaci rezervacije i objekta, raspoloživost, kalendarski zapisi, podaci o zahtjevu za plaćanje i referenci transakcije, povijest komunikacije, zaglavlja i usmjeravanje e-pošte, tehnički i sigurnosni podaci, identifikatori integracija, AI ulazi i rezultati, radnje pregleda i podaci podrške.

Osjetljivi podaci: Usluga nije namijenjena posebnim kategorijama podataka, podacima o kaznenim osudama, identifikacijskim ispravama ili podacima platnih kartica. Korisnik ne smije unositi takve podatke osim ako ih određena značajka Salisee izričito traži i strane su potvrdile primjerene zaštitne mjere.

Učestalost: Kontinuirano ili kada korisnik ili njegov ovlašteni korisnik pokrene obradu tijekom trajanja ugovora.

Prilog 2. Tehničke i organizacijske mjere

šifrirani prijenos putem HTTPS/TLS-a;
sažimanje lozinki i sigurni HTTP-only kolačići sesije;
ovlasti ograničene na radni prostor, provjera uloga, ograničene dozvole integracija i kratkotrajni pristupni tokeni gdje je primjenjivo;
CSRF zaštita, provjera unosa, ograničavanje prometa i kontrole namijenjene sprječavanju neovlaštenog pristupa ili pristupa drugom radnom prostoru;
ograničeni produkcijski pristupni podaci i tajne vezane uz okruženje;
zapisi i revizijski tragovi sigurnosno relevantnih i korisnički odobrenih radnji;
rokovi čuvanja i automatizirano brisanje izvornih datoteka e-pošte i privitaka;
ljudski pregled prije slanja AI nacrta odgovora ili radnji koje utječu na rezervaciju;
sigurnosna ažuriranja i ažuriranja ovisnosti, istraga incidenata te uklanjanje pristupa kada više nije potreban; i
logičko odvajanje radnih prostora korisnika unutar zajedničke infrastrukture usluge.

Prilog 3. Odobreni podizvršitelji

Podizvršitelj	Usluga i obrada	Mjesto obrade
Cloudflare, Inc. i povezana društva	Hosting, dostava sadržaja, sigurnost, Workers, D1, R2, KV, Queues, Email Routing i Email Service, operativni zapisi i neobavezni Workers AI	Cloudflareova globalna mreža i lokacije usluge prema primjenjivim uvjetima obrade podataka
Google LLC i povezana društva	Neobavezna Google prijava i Google Places pretraživanje adresa	Lokacije opisane u primjenjivim Googleovim uvjetima usluge i obrade podataka
Telegram Messenger Inc. i relevantna povezana društva	Neobavezne obavijesti iznajmljivaču kada korisnik poveže Salisea bota	Lokacije opisane u primjenjivim Telegramovim uvjetima i dokumentaciji o privatnosti