norelaNatrag na prijavu

Ugovor o obradi podataka (DPA)

Verzija: 2026-08-19

Ovo je nacrt izrađen uz pomoć AI alata, a ne pravni savjet. Prije konačne objave, pregledat će ga hrvatski odvjetnik za zaštitu podataka. Ovaj ugovor prihvaćate klikom pri registraciji — isti mehanizam prihvata (click-to-accept) koriste, primjerice, Stripe i GitHub za svoje DPA-ove, i smatra se valjanim sklapanjem ugovora po čl. 28(3) GDPR-a.

1. Stranke

Ovaj ugovor sklapaju: terapeut koji se registrira na norelu, kao voditelj obrade (controller) podataka svojih klijenata, i Ivan Vrdoljak / norela, kao izvršitelj obrade (processor).

2. Predmet i trajanje

Predmet ovog ugovora je obrada osobnih podataka koju norela provodi u ime terapeuta kroz pružanje aplikacije. Ugovor vrijedi za cijelo trajanje korištenja norele i dodatnih 90 dana nakon otkaza pretplate (grace period za izvoz), do trajnog brisanja podataka. Odgovornost ugovornih strana iz ovog ugovora podliježe istim ograničenjima odgovornosti kao u Uvjetima korištenja §6.

3. Priroda i svrha obrade

Pohrana, prikaz, izmjena i brisanje kliničke dokumentacije, termina i podataka o plaćanjima klijenata terapeuta, isključivo u svrhu omogućavanja terapeutu vođenja njegove prakse kroz aplikaciju.

4. Vrste podataka i kategorije ispitanika

Ispitanici: klijenti terapeuta. Podaci: identifikacijski podaci (ime, kontakt), demografski podaci, i klinička dokumentacija (bilješke, anamneza) — posebna kategorija podataka o zdravlju (čl. 9 GDPR-a).

5. Obveze izvršitelja obrade (norela)

U skladu s čl. 28(3) GDPR-a, norela:

  • obrađuje osobne podatke isključivo po dokumentiranim uputama voditelja obrade (kroz samu funkcionalnost aplikacije koju terapeut koristi);
  • osigurava da su osobe ovlaštene za obradu podataka obvezane na povjerljivost;
  • poduzima tehničke i organizacijske mjere iz čl. 32 (enkripcija posebnih kategorija podataka na razini stupca, izolacija podataka po tenantu na razini baze, argon2id hashing lozinki, dvofaktorska autentikacija, zapisnik sigurnosno relevantnih radnji);
  • ne angažira daljnjeg izvršitelja obrade (pod-izvršitelja) bez prethodne opće ili posebne pisane suglasnosti voditelja obrade — opća suglasnost data je popisom u §6 dolje, uz obvezu norele da obavijesti terapeuta o svakoj namjeravanoj promjeni;
  • vodeći računa o prirodi obrade, pomaže voditelju obrade odgovarajućim tehničkim i organizacijskim mjerama u ispunjavanju obveze odgovaranja na zahtjeve za ostvarivanje prava ispitanika (aplikacija omogućava izvoz i alat za brisanje podataka klijenta izravno terapeutu);
  • pomaže voditelju obrade u osiguravanju usklađenosti s obvezama iz čl. 32–36 (sigurnost, prijava povreda, DPIA), uzimajući u obzir prirodu obrade i informacije dostupne izvršitelju;
  • po prestanku pružanja usluga, na zahtjev voditelja obrade briše ili vraća sve osobne podatke, i briše postojeće kopije, osim ako pravo Unije ili države članice zahtijeva pohranu (v. §8 dolje o retenciji);
  • stavlja voditelju obrade na raspolaganje sve informacije nužne za dokazivanje usklađenosti s obvezama iz ovog članka;
  • ako smatra da uputa voditelja obrade krši GDPR ili druge odredbe o zaštiti podataka Unije ili države članice, o tome odmah obavještava voditelja obrade (čl. 28(3), zadnja rečenica).

6. Pod-izvršitelji (popis, čl. 28(2))

Terapeut daje opću suglasnost za sljedeće pod-izvršitelje, svi unutar EU/EGP-a:

  • Hetzner (Njemačka) — hosting aplikacije.
  • Scaleway (EU) — managed baza podataka.
  • Stripe (Irska) — obrada plaćanja pretplate (ne obrađuje podatke klijenata terapeuta).
  • Brevo (Francuska) — transakcijski email.

norela će terapeuta unaprijed pisano obavijestiti o svakoj namjeravanoj promjeni ili dodatku ovom popisu, najmanje 14 dana prije nego promjena stupi na snagu. Terapeut u tom roku može uložiti prigovor; izostane li prigovor do isteka roka, smatra se da je suglasan. Ako terapeut uloži prigovor, a norela i terapeut ne postignu drugo rješenje, terapeut može zatvoriti račun sukladno §7 Uvjeta korištenja.

7. Prijenos podataka izvan EU/EGP-a

Svi pod-izvršitelji navedeni u §6 nalaze se unutar EU/EGP-a — norela trenutno ne prenosi osobne podatke izvan EU/EGP-a. Ako bi u budućnosti bilo potrebno angažirati pod-izvršitelja izvan EU/EGP-a, norela će prije bilo kakvog prijenosa: (a) unaprijed pisano obavijestiti terapeuta, uz razumnu priliku prigovora u skladu s §6 gore, i (b) osigurati valjan mehanizam prijenosa (npr. EU standardne ugovorne klauzule ili odluku o primjerenosti).

8. Retencija i brisanje

Detaljno objašnjeno u Politici privatnosti §6. Ukratko: podaci ostaju dostupni za izvoz 90 dana nakon otkaza pretplate, potom se trajno brišu (čl. 28(3)(g)) automatiziranim postupkom. Financijski/računovodstveni zapisi vezani uz naplatu pretplate čuvaju se dulje po zasebnoj zakonskoj obvezi (čl. 17(3)(b)) i ne sadrže klinički sadržaj klijenata. Terapeut je odgovoran izvesti podatke prije proteka roka ako mu trebaju radi vlastite zakonske obveze čuvanja dokumentacije, po propisima jurisdikcije u kojoj obavlja praksu.

Ovaj 90-dnevni rok je norelina komercijalna pogodnost (grace period za izvoz/reaktivaciju), ne uvjet za izvršenje čl. 28(3)(g) obveze brisanja — na terapeutov zahtjev norela briše podatke i prije isteka tog roka (v. Uvjeti korištenja §7).

9. Prijava povrede osobnih podataka

U slučaju povrede osobnih podataka koja pogađa podatke obrađivane po ovom ugovoru, norela obavještava terapeuta bez nepotrebnog odgađanja, u pravilu unutar 24–48 sati od otkrivanja, s informacijama dostatnim da terapeut ispuni svoje obveze prema čl. 33/34 GDPR-a.

10. Revizija

norela stavlja terapeutu na raspolaganje dokumentaciju o poduzetim tehničkim i organizacijskim mjerama radi dokazivanja usklađenosti s ovim ugovorom, na pisani zahtjev, do jednom godišnje (ili češće ako to zahtijeva stvarni nalaz povrede ili sumnja na neusklađenost). norela je solo-operater bez posebnog ureda za reviziju — ova odredba pokriva dokumentacijski uvid, ne fizički (on-site) audit.

11. Prihvat

Ovaj ugovor smatra se sklopljenim prihvatom pri registraciji (potvrdni okvir uz Uvjete korištenja i Politiku privatnosti). Datum i verzija prihvata bilježe se uz vaš račun.