Politika privatnosti

LexHR (u daljem tekstu: „LexHR", „mi") je digitalna kadrovska (HR) platforma namenjena firmama u Srbiji, koju operativno vodi preduzetnik Nataša Đokić Lukić PR LexTech, Starine Novaka 7/1, 34000 Kragujevac, Republika Srbija, matični broj 68831415, PIB 116019339 (dalje: „LexTech").

Ova Politika privatnosti objašnjava koje podatke o ličnosti prikupljamo, po kom pravnom osnovu i u koje svrhe ih obrađujemo, kome ih otkrivamo, koliko dugo ih čuvamo i koja prava imate u vezi sa njima. Primenjuje se na korišćenje veb sajta, aplikacije i svih pratećih usluga LexHR (dalje zajedno: „Usluga") i na obradu podataka o ličnosti u skladu sa Zakonom o zaštiti podataka o ličnosti Republike Srbije (dalje: „ZZPL"), usklađenim sa Opštom uredbom o zaštiti podataka (GDPR).

Korišćenjem Usluge potvrđujete da ste pročitali i razumeli ovu Politiku. Ako se ne slažete sa njom, molimo vas da ne koristite Uslugu.

LexHR u obradi podataka o ličnosti nastupa u dva različita svojstva, zavisno od toga o čijim je podacima reč:

Rukovalac podataka

Za podatke o predstavnicima naših klijenata (osoba koje kreiraju i koriste nalog — npr. vlasnik firme, HR menadžer, administrator), podatke posetilaca sajta i podatke o samom poslovnom odnosu (naplata, komunikacija, marketing uz saglasnost), LexTech je rukovalac (kontrolor) podataka — sami određujemo svrhu i način obrade i odgovaramo za nju.

Obrađivač podataka

Za podatke o zaposlenima koje naš klijent (poslodavac) unosi u platformu radi vođenja kadrovske evidencije (ime i prezime, JMBG, podaci o ugovoru, odsustvima, zaradi i slično), LexHR nastupa kao obrađivač, a naš klijent — poslodavac — je rukovalac tih podataka. Mi te podatke obrađujemo isključivo po uputstvu i u ime klijenta, u skladu sa Ugovorom o obradi podataka (DPA), koji je sastavni deo Uslova korišćenja. Ne koristimo podatke zaposlenih klijenta za sopstvene svrhe.

• Korisnik — fizičko lice koje kreira nalog ili koristi Uslugu u ime klijenta.
• Klijent / Poslodavac — pravno lice ili preduzetnik koji je zaključio pretplatu na Uslugu i koji, u svojstvu rukovaoca, unosi podatke o svojim zaposlenima.
• Zaposleni / Lice na koje se podaci odnose — fizičko lice čiji su podaci uneti u platformu od strane Klijenta (npr. zaposleni, angažovano lice).
• Podaci o ličnosti — svaki podatak koji se odnosi na fizičko lice čiji je identitet određen ili odrediv.
• Posebne kategorije podataka — podaci o zdravstvenom stanju, JMBG i drugi podaci koji uživaju pojačanu zakonsku zaštitu.

a) Podaci o nalogu i predstavniku klijenta

Ime i prezime, email adresa, broj telefona, naziv firme, PIB/MB, funkcija u firmi, lozinka (u heširanom obliku), istorija prijava i podešavanja naloga.

b) Podaci o zaposlenima koje klijent unosi u platformu

U svojstvu obrađivača, u ime klijenta obrađujemo podatke koje klijent samostalno unosi radi vođenja kadrovske evidencije, uključujući, prema potrebi:

• identifikacione podatke (ime, prezime, JMBG, datum rođenja, adresa prebivališta, kontakt podaci)
• podatke o radnom odnosu (pozicija, odeljenje, tip zaposlenja, ugovori, aneksi, probni rad, staž)
• podatke o odsustvima (godišnji odmor, bolovanje, porodiljsko i roditeljsko odsustvo)
• podatke o zaradi i naknadama
• podatke o disciplinskim i drugim radnopravnim postupcima (upozorenja, otkazi, viškovi)
• podatke o obukama, lekarskim pregledima i BZR rokovima
• dokumenta vezana za radni odnos (ugovori, rešenja, potvrde) i priloge koje klijent otpremi

Napominjemo da JMBG i podaci o zdravstvenom stanju (npr. bolovanje) spadaju u posebne kategorije podataka i obrađuju se sa pojačanim merama minimizacije opisanim u odeljku 6. Klijent je isključivo odgovoran za postojanje pravnog osnova za unos ovih podataka u platformu (npr. Zakon o radu, Zakon o evidencijama u oblasti rada).

c) Tehnički podaci i podaci o korišćenju

IP adresa, tip i verzija pregledača, operativni sistem, stranice koje posećujete, vreme pristupa, log fajlovi servera i podaci prikupljeni putem kolačića (vidi odeljak 13).

d) Podaci iz komunikacije sa AI asistentom

Pitanja koja postavite AI asistentu (Tamara — HR asistent, AI pravni asistent) i odgovarajući kontekst koji platforma automatski prilaže (videti odeljak 6).

e) Podaci o plaćanju

Pretplata se plaća uplatom na račun po profakturi. LexHR ne prikuplja niti obrađuje podatke platnih kartica — obrađujemo samo podatke potrebne za izdavanje profakture i računa (naziv i podaci Klijenta, iznos, status uplate).

Podatke obrađujemo po sledećim pravnim osnovima (čl. 12 ZZPL):

• Izvršenje ugovora — kreiranje i vođenje naloga, pružanje Usluge, obračun i naplata pretplate, tehnička i korisnička podrška.
• Legitimni interes — bezbednost platforme, sprečavanje zloupotreba, unapređenje Usluge, interna analitika korišćenja (u meri koja ne narušava vaša prava).
• Zakonska obaveza — knjigovodstvene i poreske obaveze, postupanje po zahtevima nadležnih organa.
• Saglasnost — marketinška komunikacija (newsletter, obaveštenja o novim funkcijama) — možete je povući u svakom trenutku.
• Za podatke zaposlenih klijenata — obrada se vrši po uputstvu Klijenta kao rukovaoca, u okviru DPA, radi izvršenja ugovora o pružanju Usluge između LexHR i Klijenta.

LexHR koristi veštačku inteligenciju (AI) za HR asistenta, pravnog asistenta, generisanje dokumenata i proveru usklađenosti internih akata. Pri tome primenjujemo princip minimizacije podataka: modelu se šalje samo ono što je nužno za konkretan odgovor.

Šta se, po pravilu, ne šalje AI modelu

Adresa prebivališta, JMBG, kontakt podaci (email, telefon), datum rođenja, podaci o zaradi, interne beleške i bankovni podaci zaposlenih se, po pravilu, ne prosleđuju AI modelima u okviru HR asistenta. Podaci o bolovanju prosleđuju se isključivo kao neutralna činjenica („odsustvo od–do"), bez razloga ili dijagnoze; trudnoća, porodiljsko i slična zaštićena stanja prosleđuju se kao opšta oznaka „posebna zakonska zaštita", bez daljih detalja. Tekst koji korisnik sam unese u chat obrađuje se onako kako je unet — korisnika savetujemo da u razgovor ne unosi osetljive zdravstvene detalje.

Pseudonimizacija i anonimizacija

Gde god je to moguće, podaci se AI modelu šalju u pseudonimizovanom ili anonimizovanom obliku: identifikatori kao što je JMBG se maskiraju pre slanja (uključujući i tekst otpremljenih dokumenata u AI pravnoj radionici), a podaci koji nisu potrebni za odgovor se uklanjaju iz konteksta. AI pravnom asistentu se, pored pitanja korisnika, prosleđuju samo tekstovi propisa iz naše baze znanja. AI odgovori koje platforma čuva u istoriji naloga vezuju se za nalog Klijenta, a ne za AI provajdera.

Ko je AI obrađivač

AI funkcionalnosti pružamo preko jednog obrađivača, u okviru njegovih komercijalnih uslova za poslovne korisnike koji isključuju korišćenje podataka Klijenata za treniranje modela:

• Google Cloud — Vertex AI, sa modelima proizvođača Anthropic (Claude) i Google (Gemini) — HR asistent, AI pravni asistent, AI pravna radionica, provera pravilnika i AI analize u okviru radnopravnih procedura. Obradu vrši Google Cloud kao obrađivač, u regionu Evropske unije, po Google Cloud ugovoru o obradi podataka; podaci poslati modelu ne koriste se za treniranje, ne zadržavaju se van obrade zahteva i, u skladu sa Google Cloud uslovima za modele partnera, ne dele se sa proizvođačem modela.

AI odgovori su pomoćni alat i ne predstavljaju pravni savet; konačnu odgovornost za HR i radnopravne odluke snosi Klijent (poslodavac).

Podatke delimo isključivo sa pažljivo odabranim pružaocima usluga koji nam pomažu da pružamo Uslugu, na osnovu ugovora o obradi podataka koji ih obavezuje na poverljivost i odgovarajuće mere zaštite:

• Supabase (u okviru Lovable Cloud) — hosting baze podataka, autentifikacija i skladištenje dokumenata; obrada u regionu Evropske unije.
• Lovable — platforma na kojoj se aplikacija razvija i isporučuje; obrada u regionu Evropske unije.
• Cloudflare — infrastruktura za isporuku aplikacije i mrežna bezbednost.
• Google Cloud (Vertex AI, modeli Anthropic Claude i Google Gemini) — AI funkcionalnosti opisane u odeljku 6; obrada u regionu Evropske unije.
• Provajder usluga slanja email obaveštenja (podsetnici, pozivnice, notifikacije).
• Nadležni državni organi — kada je to zakonska obaveza.

Podatke ne prodajemo trećim licima niti ih koristimo u svrhe koje nisu opisane ovde.

Naši pružaoci usluga (baza podataka, skladište, platforma za isporuku i AI obrađivač iz odeljka 6) obrađuju podatke na serverima u Evropskoj uniji. Države članice Evropske unije nalaze se na listi država za koje je Vlada Republike Srbije utvrdila da obezbeđuju primereni nivo zaštite podataka o ličnosti, pa se prenos vrši u skladu sa čl. 64 ZZPL, bez potrebe za posebnim odobrenjem. Podatke ne prenosimo u Sjedinjene Američke Države niti u druge države bez primerenog nivoa zaštite; ako bi se to ikada promenilo, prenos bi se vršio samo uz mere iz čl. 65 ZZPL (npr. standardne ugovorne klauzule) i uz izmenu ove Politike.

• Podatke naloga čuvamo dok postoji aktivna pretplata, a potom u razumnom roku radi zakonskih (npr. knjigovodstvenih) obaveza.
• Podatke zaposlenih klijenata čuvamo za vreme trajanja ugovora sa Klijentom, u skladu sa njegovim uputstvima; po raskidu ugovora, podaci se brišu ili vraćaju Klijentu u razumnom roku, osim ako propis zahteva duže čuvanje (npr. kadrovska evidencija po Zakonu o evidencijama u oblasti rada).
• Log fajlove i tehničke podatke čuvamo najduže 12 meseci, osim ako je duže čuvanje neophodno radi bezbednosne istrage.
• Podatke iz AI razgovora čuvamo u okviru istorije naloga dok nalog postoji, radi kontinuiteta korisničkog iskustva.

• Šifrovanje podataka u tranzitu (TLS/HTTPS) i u mirovanju u bazi podataka.
• Row-level security (RLS) i stroga izolacija podataka između klijenata (multi-tenant arhitektura) — jedan klijent ne može videti podatke drugog.
• Kontrola pristupa zasnovana na ulogama (admin, HR, direktor, zaposleni) unutar naloga klijenta.
• Redovan dnevni backup baze podataka uz mogućnost restauracije.
• Pseudonimizacija i maskiranje identifikatora (npr. JMBG) pre slanja podataka AI modelu.
• Beleženje administratorskih radnji LexTech nad nalozima klijenata.
• Ograničen pristup podacima samo zaposlenima i saradnicima LexHR kojima je to neophodno za obavljanje posla, uz obavezu poverljivosti.

Nijedan sistem nije apsolutno bezbedan, ali kontinuirano ulažemo u tehničke i organizacione mere kako bismo rizik sveli na najmanju moguću meru.

U skladu sa ZZPL, u odnosu na podatke za koje smo rukovalac (odeljak 2), imate pravo na:

• Pristup — da zatražite potvrdu da li obrađujemo vaše podatke i uvid u njih.
• Ispravku — da zatražite ispravku netačnih ili dopunu nepotpunih podataka.
• Brisanje — da zatražite brisanje podataka kada za to postoje zakonski uslovi.
• Ograničenje obrade — u zakonom predviđenim slučajevima.
• Prenosivost — da dobijete svoje podatke u strukturisanom, mašinski čitljivom formatu.
• Prigovor — na obradu zasnovanu na legitimnom interesu, uključujući direktni marketing.
• Povlačenje saglasnosti — u svakom trenutku, bez uticaja na zakonitost obrade izvršene pre povlačenja.

Zahtev možete uputiti na kontakt naveden u odeljku 17. Odgovorićemo najkasnije u zakonskom roku. Imate pravo i na pritužbu nadzornom organu (odeljak 16).

Ako ste zaposleni ili angažovano lice čiji je poslodavac klijent LexHR platforme, vaš poslodavac je rukovalac vaših podataka o ličnosti unetih u platformu, a LexHR ih obrađuje samo po njegovom uputstvu, kao obrađivač. Zahteve u vezi sa vašim pravima (pristup, ispravka, brisanje i dr.) potrebno je uputiti direktno vašem poslodavcu. LexHR će poslodavcu pružiti tehničku podršku za postupanje po takvim zahtevima. Izuzetno, ako nam se obratite direktno, prosledićemo vaš zahtev nadležnom poslodavcu i o tome vas obavestiti, osim ako propis nalaže drugačije.

Sajt i aplikacija koriste kolačiće (cookies) i slične tehnologije radi funkcionisanja platforme (npr. održavanje prijavljene sesije), pamćenja podešavanja (npr. izabrana tema) i, uz vašu saglasnost, analitike korišćenja. Neophodne kolačiće ne možete isključiti jer bez njih platforma ne može da funkcioniše; ostale kolačiće možete kontrolisati kroz podešavanja vašeg pregledača.

Usluga je namenjena poslovnim korisnicima i nije namenjena licima mlađim od 18 godina. Ne prikupljamo svesno podatke o ličnosti dece van konteksta zakonom predviđenih kadrovskih evidencija (npr. podaci o pripravnicima/maloletnim radnicima koje unosi poslodavac u skladu sa Zakonom o radu).

Ovu Politiku možemo povremeno ažurirati, npr. usled promena u Usluzi ili propisima. O značajnijim izmenama obavestićemo vas email porukom ili obaveštenjem u aplikaciji. Datum poslednje izmene naveden je na vrhu ove stranice.

Nadzorni organ za zaštitu podataka o ličnosti u Republici Srbiji je Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti (www.poverenik.rs). Imate pravo da mu se obratite pritužbom ako smatrate da je obrada vaših podataka izvršena suprotno ZZPL.

Za sva pitanja u vezi sa ovom Politikom privatnosti ili ostvarivanjem vaših prava, kontaktirajte nas:

• Email: lexhr@lexhr.rs
• Telefon: 067 773 6406
• Poštom: Nataša Đokić Lukić PR LexTech, Starine Novaka 7/1, 34000 Kragujevac, Republika Srbija

Pogledajte i naše Uslove korišćenja.