Ugovor o obradi podataka (DPA)

Ovaj Ugovor o obradi podataka o ličnosti (dalje: „DPA") uređuje obradu podataka o ličnosti koju preduzetnik Nataša Đokić Lukić PR LexTech, Starine Novaka 7/1, 34000 Kragujevac, Republika Srbija, matični broj 68831415, PIB 116019339 (dalje: „Obrađivač", „LexHR") vrši u ime i po uputstvu Klijenta koji koristi LexHR platformu (dalje: „Rukovalac", „Klijent"), u svojstvu poslodavca podataka svojih zaposlenih i drugih angažovanih lica.

DPA predstavlja sastavni deo Uslova korišćenja LexHR platforme i primenjuje se automatski, bez potrebe za posebnim potpisivanjem, na svakog Klijenta koji kreira nalog i unosi podatke o zaposlenima u platformu — u skladu sa čl. 45 Zakona o zaštiti podataka o ličnosti Republike Srbije (dalje: „ZZPL"), usklađenim sa čl. 28 GDPR. Ako pravni odnos sa Klijentom (npr. Premium plan sklopljen po dogovoru) predviđa poseban pisani ugovor o obradi podataka, taj poseban ugovor ima prednost nad ovim dokumentom u delu u kojem se razlikuju.

Za opis toga koje podatke LexHR prikuplja i po kom osnovu za sopstvene potrebe, vidi Politiku privatnosti.

Pojmovi „podatak o ličnosti", „obrada", „rukovalac", „obrađivač", „lice na koje se podaci odnose", „povreda podataka o ličnosti" i „posebne kategorije podataka" imaju značenje utvrđeno ZZPL. Dodatno:

• Podaci o zaposlenima — podaci o ličnosti zaposlenih, angažovanih i drugih fizičkih lica koje Klijent unosi u platformu radi vođenja kadrovske evidencije.
• Pod-obrađivač — treće lice koje LexHR angažuje da u njegovo ime obrađuje Podatke o zaposlenima (Prilog 2).
• TOM — tehničke i organizacione mere zaštite podataka opisane u Prilogu 3.

LexHR obrađuje Podatke o zaposlenima isključivo radi pružanja Usluge Klijentu, u obimu i na način opisan u Prilogu 1, i to isključivo po dokumentovanom uputstvu Klijenta. Konfiguracija i korišćenje funkcionalnosti platforme od strane Klijenta (npr. koje module i module obrade Klijent aktivira, koje podatke unosi) smatraju se takvim uputstvom.

Ako LexHR smatra da je uputstvo Klijenta u suprotnosti sa ZZPL ili drugim primenjivim propisom, o tome će odmah obavestiti Klijenta i može obustaviti izvršenje tog uputstva do razjašnjenja.

Priroda i svrha obrade, vrste podataka o ličnosti i kategorije lica na koje se podaci odnose detaljno su opisani u Prilogu 1 ovog DPA. LexHR primenjuje princip minimizacije podataka u svim tokovima, uključujući AI funkcionalnosti, kako je detaljnije opisano u Politici privatnosti.

5.1 Poverljivost

LexHR obezbeđuje da su lica ovlašćena da obrađuju Podatke o zaposlenima (zaposleni i saradnici LexHR) preuzela obavezu poverljivosti ili su podvrgnuta odgovarajućoj zakonskoj obavezi čuvanja tajne.

5.2 Bezbednosne mere

LexHR primenjuje tehničke i organizacione mere navedene u Prilogu 3, u skladu sa čl. 50 ZZPL, uzimajući u obzir prirodu, obim, kontekst i svrhu obrade, kao i rizike po prava fizičkih lica.

5.3 Pomoć Klijentu

LexHR, uzimajući u obzir prirodu obrade i dostupne informacije, pomaže Klijentu da:

• odgovori na zahteve zaposlenih za ostvarivanje njihovih prava (pristup, ispravka, brisanje, ograničenje, prenosivost, prigovor) — putem funkcionalnosti platforme ili po posebnom zahtevu;
• izvrši procenu uticaja na zaštitu podataka o ličnosti (DPIA), kada je to primenjivo na obradu koju Klijent vrši putem platforme;
• postupi po eventualnim konsultacijama ili zahtevima nadzornog organa u vezi sa obradom Podataka o zaposlenima.

5.4 Evidencija i dostupnost informacija

LexHR na razuman zahtev Klijenta stavlja na raspolaganje informacije neophodne da Klijent dokaže usklađenost sa svojim obavezama rukovaoca u vezi sa ovim DPA.

Klijent daje LexHR opšte odobrenje da angažuje pod-obrađivače navedene u Prilogu 2 radi pružanja Usluge. LexHR:

• ugovorom obavezuje svakog pod-obrađivača na iste ili suštinski slične obaveze zaštite podataka kao što su predviđene ovim DPA;
• ostaje u potpunosti odgovoran Klijentu za izvršenje obaveza pod-obrađivača koje je angažovao;
• obaveštava Klijenta o svakoj nameravanoj izmeni liste pod-obrađivača (dodavanje ili zamena) najmanje 15 dana unapred, putem email obaveštenja ili obaveštenja u aplikaciji, čime se Prilog 2 ažurira.

Ako Klijent ima opravdan prigovor na novog pod-obrađivača po osnovu zaštite podataka, može ga izneti u roku iz prethodnog stava; strane će nastojati da spor reše u dobroj veri, a ako to ne uspe, Klijent može raskinuti pretplatu u delu na koji se prigovor odnosi, bez naknade štete LexHR.

LexHR obaveštava Klijenta bez nepotrebnog odlaganja, a najkasnije u roku od 48 časova od saznanja, o svakoj povredi bezbednosti podataka o ličnosti koja se odnosi na Podatke o zaposlenima, sa raspoloživim informacijama o prirodi povrede, pogođenim kategorijama i približnom broju lica, verovatnim posledicama i preduzetim ili predloženim merama. Ovaj rok Klijentu ostavlja vreme da ispuni svoju obavezu obaveštavanja nadzornog organa u zakonskom roku od 72 časa (čl. 53 ZZPL), gde je to primenjivo.

Pod-obrađivači iz Priloga 2 obrađuju podatke u Evropskoj uniji. Države članice Evropske unije nalaze se na listi država za koje je Vlada Republike Srbije utvrdila da obezbeđuju primereni nivo zaštite, pa se prenos vrši u skladu sa čl. 64 ZZPL. LexHR ne prenosi Podatke o zaposlenima u Sjedinjene Američke Države ni u druge države bez primerenog nivoa zaštite; svaki takav budući prenos zahtevao bi mere iz čl. 65 ZZPL (npr. standardne ugovorne klauzule) i prethodno obaveštenje Klijenta po odeljku 6.

Klijent, kao rukovalac Podataka o zaposlenima, garantuje i obavezuje se da:

• ima valjan pravni osnov za obradu svih podataka koje unosi u platformu, uključujući posebne kategorije podataka (JMBG, podaci o zdravstvenom stanju) u skladu sa Zakonom o radu, Zakonom o evidencijama u oblasti rada i ZZPL;
• obavesti svoje zaposlene o obradi njihovih podataka putem LexHR platforme (npr. kroz interno obaveštenje o obradi podataka) i, gde je to zakonom predviđeno, pribavi njihovu saglasnost;
• daje LexHR samo uputstva koja su u skladu sa primenjivim propisima;
• obezbedi tačnost i ažurnost podataka koje unosi;
• samostalno odgovara za odluke koje donosi na osnovu podataka i AI predloga iz platforme.

LexHR Klijentu, na pisani zahtev i uz razumnu najavu, omogućava uvid u informacije i dokumentaciju neophodnu da se dokaže poštovanje obaveza iz ovog DPA (npr. sažetak bezbednosnih mera, sertifikate ili izveštaje trećih strana ako postoje), i doprinosi reviziji, uključujući inspekcije, koju vrši Klijent ili revizor kojeg je Klijent ovlastio, u razumnom obimu koji ne ugrožava bezbednost ili poverljivost podataka drugih klijenata LexHR (multi-tenant okruženje). Troškove takve revizije snosi Klijent, osim ako se revizijom utvrdi bitna povreda ovog DPA od strane LexHR.

Odgovornost svake od strana za povredu ovog DPA uređuje se odredbama o ograničenju odgovornosti iz Uslova korišćenja. Svaka strana odgovara drugoj strani za štetu prouzrokovanu povredom svojih obaveza po ovom DPA ili primenjivim propisima o zaštiti podataka o ličnosti, u skladu sa opštim pravilima o odgovornosti za štetu.

Ovaj DPA važi za vreme trajanja pretplate Klijenta na Uslugu i prestaje istovremeno sa prestankom Uslova korišćenja. Po prestanku, LexHR postupa po odeljku 15 Uslova korišćenja (izvoz i brisanje Sadržaja Klijenta, uključujući Podatke o zaposlenima), osim u meri u kojoj je zakonom obavezan da određene podatke čuva duže.

• Ovaj DPA čini sastavni deo Uslova korišćenja; u slučaju neusklađenosti između ovog DPA i Uslova korišćenja u pogledu obrade podataka o ličnosti, primenjuje se ovaj DPA.
• LexHR može ažurirati ovaj DPA radi usklađivanja sa izmenama propisa ili uvođenjem novih pod-obrađivača, na način predviđen odeljkom 16 Uslova korišćenja.
• Na ovaj DPA primenjuje se pravo Republike Srbije; za sporove je nadležan sud naveden u Uslovima korišćenja.

Predmet i trajanje obrade

Obrada Podataka o zaposlenima od strane LexHR traje za vreme pružanja Usluge Klijentu, radi vođenja kadrovske evidencije i sprovođenja radnopravnih procedura putem platforme.

Priroda i svrha obrade

Skladištenje, organizovanje, pretraga, izmena, generisanje dokumenata, slanje notifikacija, izrada izveštaja i, u okviru AI funkcionalnosti, obrada radi generisanja odgovora i predloga — sve u svrhu pružanja funkcionalnosti kadrovske evidencije i radnopravnih procedura opisanih u Uslovima korišćenja.

Kategorije lica na koje se podaci odnose

Zaposleni, angažovana lica i kandidati Klijenta čije podatke Klijent unese u platformu.

Vrste podataka o ličnosti

• identifikacioni podaci (ime, prezime, JMBG, datum rođenja, adresa, kontakt podaci);
• podaci o radnom odnosu (pozicija, odeljenje, tip zaposlenja, ugovori, aneksi, staž);
• podaci o odsustvima, uključujući bolovanje, porodiljsko i roditeljsko odsustvo;
• podaci o zaradi i naknadama;
• podaci o disciplinskim i drugim radnopravnim postupcima;
• podaci o obukama, lekarskim pregledima i BZR rokovima;
• prilozi i dokumenta koje Klijent otpremi u platformu.

Napomena: JMBG i podaci o zdravstvenom stanju obrađuju se sa pojačanim merama minimizacije opisanim u Politici privatnosti (odeljak 6) — u AI tokovima se, po pravilu, ne prosleđuju modelu, osim neutralne činjenice o postojanju odsustva.

Klijent unapred odobrava angažovanje sledećih pod-obrađivača, u obimu opisanom u Politici privatnosti (odeljci 6 i 7):

• Supabase (u okviru Lovable Cloud) — hosting baze podataka, autentifikacija i skladištenje dokumenata; obrada u regionu Evropske unije.
• Lovable — platforma na kojoj se aplikacija razvija i isporučuje; obrada u regionu Evropske unije.
• Cloudflare — infrastruktura za isporuku aplikacije i mrežna bezbednost.
• Google Cloud — Vertex AI, sa modelima proizvođača Anthropic (Claude) i Google (Gemini) — sve AI funkcionalnosti (HR asistent, pravni asistent, AI radionica, provera pravilnika, AI analize); obradu vrši Google Cloud kao pod-obrađivač, u regionu Evropske unije, po Google Cloud ugovoru o obradi podataka, bez korišćenja podataka za treniranje i bez deljenja sa proizvođačem modela; podaci se šalju pseudonimizovani gde god je to moguće (Politika privatnosti, odeljak 6).
• Provajder usluga slanja email obaveštenja (podsetnici, pozivnice, notifikacije).

• šifrovanje podataka u tranzitu (TLS/HTTPS) i u mirovanju u bazi podataka;
• row-level security (RLS) i stroga logička izolacija podataka između klijenata (multi-tenant arhitektura);
• kontrola pristupa zasnovana na ulogama (admin, HR, direktor, zaposleni) unutar naloga Klijenta;
• autentifikacija korisnika i upravljanje nalozima kroz Supabase Auth;
• pseudonimizacija i maskiranje identifikatora (npr. JMBG) pre slanja podataka AI modelu;
• beleženje administratorskih radnji LexHR nad nalozima Klijenata;
• redovan dnevni backup baze podataka uz mogućnost restauracije;
• ograničen pristup podacima samo zaposlenima i saradnicima LexHR kojima je to neophodno za obavljanje posla, uz obavezu poverljivosti;
• princip minimizacije podataka u AI tokovima, uključujući isključivanje posebnih kategorija podataka iz konteksta koji se šalje AI modelima, osim u meri opisanoj u Politici privatnosti;
• postupak za otkrivanje, procenu i prijavu povreda bezbednosti podataka o ličnosti.

Za pitanja u vezi sa ovim DPA, uključujući zahteve iz odeljka 10, kontaktirajte nas:

• Email: lexhr@lexhr.rs
• Telefon: 067 773 6406
• Poštom: Nataša Đokić Lukić PR LexTech, Starine Novaka 7/1, 34000 Kragujevac, Republika Srbija

Pogledajte i Uslove korišćenja i Politiku privatnosti.