🤝 Ugovor o obradi podataka / Data Processing Agreement

1 Preambula

Ovaj Ugovor o obradi podataka (u daljem tekstu "DPA" ili "Ugovor") zaključuje se između:

Rukovaoca podataka ("Controller" ili "Vi" / "Vaša firma"):

• Naziv: kako je naveden u Vašem Order Form-u ili license aktivaciji
• Sedište: kako je registrovano u Vašoj državi

i

Obrađivača podataka ("Processor" ili "Mi" / "Planeta"):

• Planeta računari — PLANETA RAČUNARI (Aleksander Krsmanović)
• Sedište: Milice Pavlović 32/3/12, 32000 Čačak, Srbija
• Matični broj: 62397314 · PIB: 106 957 267
• Email: office@planeta-racunari.rs

Zajedno označeni kao "Strane", a pojedinačno "Strana".

Ovaj DPA dopunjuje Uslove korišćenja i u slučaju neslaganja sa ToS, odredbe ovog DPA prevazilaze za pitanja zaštite podataka.

2 Definicije

Pojmovi korišćeni u ovom Ugovoru imaju značenja iz GDPR-a (Uredba EU 2016/679) i srpskog ZZPL-a (Zakon o zaštiti podataka o ličnosti):

3 Pozadina i svrha

2.1 Konteks

Vi (Rukovalac) koristite QR vCard Pro plug-in koji ste licencirali od Planeta računari. Plug-in obrađuje lične podatke u sledećim scenarijima:

Scenario A — Skeniranje QR kartica: Kada posetilac skenira QR kod kreiran preko plug-ina, plug-in beleži tehničke podatke o skeniranju (datum, vreme, uređaj, hashovana IP adresa).

Scenario B — Contact Exchange: Ako ste uključili Contact Exchange funkciju, posetilac može slati Vama svoje podatke (ime, email, telefon, firma, poruka) preko forme na landing stranici.

Scenario C — Geografska lokacija (opciono): Ako ste uključili opciju "Geografska lokacija skenova", IP adresa posetioca se šalje servisu ip-api.com (treća strana) radi dobijanja gradskog/državnog nivoa lokacije.

2.2 Uloge Strana

Vi ste Rukovalac za sve lične podatke obrađene putem plug-ina na Vašem sajtu (scan podaci, Contact Exchange, geografska lokacija). Vi:

• Odlučujete koje funkcije plug-ina ćete uključiti
• Postavljate cookie banner i privacy notice na Vašem sajtu
• Pribavljate saglasnost subjekata podataka kada je potrebna
• Obrađujete zahteve subjekata za pristupu, brisanje, itd.

Mi smo Obrađivač u meri u kojoj obrađujemo podatke u Vaše ime, što uključuje:

• License server obrade (validacija ključa, brojanje aktivacija)
• Auto-update preuzimanje
• Eventualno: skladištenje podataka u našoj infrastrukturi ako koristite naš managed hosting (trenutno NIJE u ponudi, ali se može pojaviti)

ip-api.com je naš pod-obrađivač (vidi Sekciju 8) ako uključite geografsku lokaciju.

2.3 Šta NIJE u opsegu ovog DPA

Ovaj DPA NE pokriva sledeće — to su odvojeni odnosi:

• Naša obrada Vaših kupovnih podataka (email, name, billing) — to je naša obrada gde smo MI Rukovalac, vi ste subjekt. Pokriveno Privacy Policy-jem.
• Vaša obrada ličnih podataka Vaših zaposlenih ili kupaca van plug-ina — to je Vaš nezavisan posao.

4 Predmet, trajanje, priroda i svrha obrade

3.1 Predmet obrade

Obrada ličnih podataka u kontekstu Vašeg korišćenja QR vCard Pro plug-ina, uključujući:

• Skladištenje scan podataka u WordPress bazi na Vašem sajtu (NE u našoj infrastrukturi)
• Validaciju license key-a preko našeg servera
• Preuzimanje ažuriranja
• Opcionu geografsku obogaćivanje IP adresa

3.2 Trajanje

Obrada traje dok je license key aktivan i plug-in instaliran na Vašem sajtu. Posle:

• Deaktivacije license-a, ili
• Brisanja plug-ina, ili
• Isteka važenja licence (ako se uvede subscription model)

Naše obaveze obrađivača prestaju, izuzev za podatke koje moramo da čuvamo po zakonu (računovodstvo).

3.3 Priroda obrade

KLJUČNO: Veliki deo podataka NE prolazi kroz našu infrastrukturu. Naš license server prima samo:

• License key
• Domain aktivacije
• Verziju plug-ina
• Hashovanu IP adresu Vašeg servera (za fraud detection)

3.4 Svrhe obrade

• Operativna svrha: omogućiti QR kartica funkcionalnost i analitiku Vašeg poslovanja
• License compliance: verifikovati da koristite plug-in u skladu sa licencom
• Sigurnost: detekcija sumnjivih aktivnosti i fraud-a

5 Kategorije ličnih podataka i subjekata

4.1 Kategorije ličnih podataka koji se mogu obrađivati

Specijalne kategorije (rasa, religija, zdravlje, itd.) se NE obrađuju kroz plug-in. Ako Vi unesete takve podatke u QR karticu (npr. medicinske informacije), to je Vaša odgovornost — ne mi.

4.2 Kategorije subjekata

6 Naše obaveze kao Obrađivač

U skladu sa GDPR Članom 28(3), Mi se obavezujemo da:

5.1 Obrada samo po Vašim instrukcijama

Obrađujemo lične podatke samo po Vašim dokumentovanim instrukcijama, uključujući prenose ka trećim zemljama. Vaše instrukcije su sadržane u:

• Ovom DPA
• Konfiguraciji plug-ina (koje funkcije ste uključili)
• Direktnim pisanim instrukcijama upućenim na office@planeta-racunari.rs

Ako verujemo da Vaša instrukcija krši GDPR ili druge propise, odmah ćemo Vas obavestiti.

5.2 Poverljivost

Osiguravamo da osobe koje obrađuju Vaše podatke (Aleksander Krsmanović i bilo koji budući zaposleni):

• Su pod ugovornom obavezom poverljivosti
• Su prošli osnovni trening o GDPR-u
• Pristupaju podacima samo na need-to-know osnovi

5.3 Bezbednosne mere (Član 32 GDPR)

Implementiramo odgovarajuće tehničke i organizacione mere (TOMs) detaljno opisane u Aneksu 2 ovog DPA. Mere uključuju:

• TLS/HTTPS enkripciju za sav saobraćaj
• Bcrypt/argon2 hashovanje lozinki
• SHA256+salt hashovanje IP adresa (default)
• Redovne backup-ove
• 2FA za admin pristup
• Pristup po least-privilege principu

5.4 Pod-obrađivači (vidi Sekciju 8)

Možemo angažovati pod-obrađivače samo:

• Uz prethodnu opštu autorizaciju koju ste dali kroz prihvatanje ovog DPA
• Sa 30 dana najavom za nove pod-obrađivače
• Pod istim obavezama kao i sami

5.5 Pomoć oko prava subjekata

Pomažemo Vam u izvršavanju prava subjekata (pristup, ispravka, brisanje, prenosivost, prigovor, ograničenje obrade) tako što:

• Pružamo Vam tehničke alate u plug-inu za izvršavanje ovih prava (npr. brisanje scan podataka, eksport kontakata)
• Odgovaramo na Vaše zahteve za pristup nalozima/sistemima u roku od 5 radnih dana
• Brišemo podatke koje smo direktno obradili kada Vi tako zatražite

5.6 Obaveštavanje o prekršaju zaštite podataka

U slučaju prekršaja koji utiče na Vaše subjekte podataka, obaveštavamo Vas:

• U roku od 24 sata od saznanja o prekršaju
• Sa svim relevantnim informacijama: priroda prekršaja, broj pogođenih subjekata, kategorije podataka, mere koje smo preduzeli
• Pomažemo Vam da ispoštujete Vaše obaveze obaveštavanja prema nadležnom nadzornom organu (72-satni rok)

5.7 Pomoć oko DPIA i konsultacija

Pomažemo Vam kad treba da uradite Data Protection Impact Assessment (DPIA) ili konsultaciju sa nadzornim organom, dajući Vam tehničke informacije o obradi i bezbednosnim merama.

5.8 Brisanje ili vraćanje podataka

Po isteku ovog DPA (npr. deaktivacija licence, brisanje plug-ina), Mi ćemo:

• Brisati sve lične podatke koje smo Vam u ime obradili (sa license servera), osim podataka koji su tehnički preplitani sa Vašim računovodstvenim podacima (čuvaju se 10 godina po srpskom Zakonu o računovodstvu)
• Brisati backup kopije u roku od 30 dana (rotacija)
• Davati Vam izvod podataka koje smo držali, ako tako zatražite, u roku od 30 dana

5.9 Audit prava

Pristajemo da nam:

• Vi ili revizor po Vašem izboru (uz prethodnu najavu od 30 dana) možete proveriti našu usklađenost sa ovim DPA
• Audit se radi tokom radnog vremena, ne ometajući naše operacije
• Audit ne sme da otkriva poverljive podatke drugih klijenata
• Frekvencija: jednom godišnje (osim u slučaju opravdane sumnje u prekršaj)
• Troškove audita snosite Vi, osim ako audit otkrije materijalno nepoštovanje DPA

Alternativno: Pružamo Vam godišnji compliance izveštaj koji uključuje status TOMs, listu pod-obrađivača, i sažetak svih incidenata. Ovaj izveštaj se može koristiti umesto direktnog audita.

7 Vaše obaveze kao Rukovalac

6.1 Zakonski osnov

Vi garantujete da imate legitiman pravni osnov (Član 6 GDPR) za sve obrade koje vršite putem plug-ina:

• Pribavljate saglasnost gde je potrebno (npr. Contact Exchange)
• Imate legitiman interes gde se on primenjuje (npr. scan analitika)
• Pružate adekvatne privacy notice na svom sajtu

6.2 Privacy notice na Vašem sajtu

Obavezuje se da:

• Imate Vašu sopstvenu Privacy Policy koja jasno opisuje kako koristite QR vCard Pro plug-in
• Pominjete našu ulogu kao Obrađivača
• Listate ip-api.com kao pod-obrađivača (ako ste uključili geo lokaciju)
• Pribavljate eksplicitnu saglasnost za Contact Exchange forme (default check uvek otčekiran)

6.3 Cookies / tracking

• Implementirate cookie banner na svom sajtu ako koristite ne-essential cookies
• Pribavljate saglasnost za cookies pre nego što ih postavite

6.4 Vaši zahtevi nama

Vaše instrukcije nama moraju biti:

• U pisanoj formi (email)
• Razumne i u skladu sa zakonom
• Sa razumnim rokom za izvršavanje

6.5 Bezbednost na Vašoj strani

Vi ste odgovorni za:

• Bezbednost Vašeg WordPress okruženja (jake lozinke, 2FA, ažuriranje WP core/plug-ins)
• Bezbednost servera i hosting provider-a
• Sigurnu konfiguraciju plug-ina (npr. NE isključite IP hashing osim ako imate dobar razlog)

8 Bezbednosne mere

Detaljne Tehničke i organizacione mere (TOMs) su navedene u Aneksu 2. Svodno:

9 Pod-obrađivači

8.1 Lista trenutnih pod-obrađivača

Vidi Aneks 3 za kompletnu listu, ali sumarno:

8.2 Vaša prava na prigovor

Vi imate pravo da prigovorite na novog pod-obrađivača u roku od 14 dana od naše najave:

• Ako prigovorite, pokušaćemo da nađemo alternativno rešenje
• Ako rešenje nije moguće, imate pravo da otkažete licencu uz pun refund za neiskorišćeni deo

8.3 Promene pod-obrađivača

Najavićemo nove pod-obrađivače minimum 30 dana unapred:

• Email obaveštenjem
• Ažuriranjem Aneksa 3 ovog DPA na našem sajtu

8.4 Obaveze pod-obrađivača

Svaki pod-obrađivač je obavezan istim zaštitnim merama kao i mi:

• Pisani ugovor (DPA sa njima)
• TOMs ne ispod našeg nivoa
• Pravo audita

Ostajemo u potpunosti odgovorni Vama za radnje pod-obrađivača.

10 Međunarodni prenos podataka

9.1 Prenos van EU/EEZ

Neki naši pod-obrađivači su van EU/EEZ, posebno:

• ip-api.com (Australija): prenos uz Standard Contractual Clauses (SCCs) Evropske komisije 2021/914 (samo opcione city-level geo informacije, IP se ne čuva)

9.2 Pravna zaštita

Sve prenose vršimo uz:

• SCCs (Standard Contractual Clauses) kao osnov
• Transfer Impact Assessment (TIA) za visokorizične zemlje
• Dodatne mere ako su potrebne (enkripcija, anonimizacija)

9.3 Vaša pravu na žalbu

Možete podneti žalbu Vašem nacionalnom nadzornom organu ako smatrate da prenos krši Vaša prava.

11 Procedura prekršaja zaštite podataka

10.1 Vremenski rokovi

10.2 Sadržaj obaveštenja

Naše obaveštenje će sadržati:

• Priroda prekršaja
• Kategorije i približan broj pogođenih subjekata
• Kategorije i približan broj pogođenih zapisa podataka
• Verovatne posledice
• Mere koje smo preduzeli ili ćemo preduzeti

10.3 Vaša obaveza prema subjektima

Ako prekršaj ima visok rizik za prava subjekata podataka, Vi ste obavezni da:

• Obavestite subjekte podataka direktno (Član 34 GDPR)
• Obavestite nadzorni organ u roku od 72h (Član 33 GDPR)
• Mi Vam pomažemo sa tehničkim informacijama potrebnim za ove obaveze.

12 Trajanje i prekid

11.1 Stupanje na snagu

Ovaj DPA stupa na snagu:

• Click-through: kada otčekirate checkbox prilikom aktivacije licence ili u plug-in admin panelu
• Wet-signed: datumom potpisivanja obeju Strana

11.2 Trajanje

DPA traje:

• Dok je Vaša licenca aktivna, ILI
• Dok bilo koja Strana ne raskine pisanim obaveštenjem 30 dana unapred

11.3 Posle prekida

U roku od 30 dana od prekida:

• Brišemo Vaše podatke (osim onih koje moramo zakonski čuvati)
• Vraćamo Vam izvod podataka po Vašem zahtevu
• Obaveštavamo Vas o završetku brisanja

Naše obaveze poverljivosti traju i posle prekida.

13 Odgovornost

12.1 Naša odgovornost

U meri u kojoj sami uzrokujemo štetu kršenjem ovog DPA ili GDPR-a, odgovaramo Vama do iznosa ekvivalentnog 12 meseci license naknada koje ste platili (do maksimalno $399 za Agency tier).

12.2 Solidarnost prema subjektima

Po GDPR Članu 82(4), Rukovalac i Obrađivač mogu biti solidarno odgovorni subjektu podataka. U tom slučaju, imamo pravo na regresno potraživanje prema Vama u meri u kojoj je Vaša odgovornost.

12.3 Izuzeci

Naša odgovornost ne pokriva:

• Štetu zbog Vašeg lošeg konfigurisanja plug-ina
• Štetu zbog Vaše loše bezbednosti na Vašem sajtu
• Indirektne štete, gubitak profita, reputacionu štetu

14 Razno

13.1 Celokupan sporazum

Ovaj DPA + ToS + Privacy Policy predstavljaju celokupan sporazum između Strana o predmetu obrade podataka.

13.2 Delimična važnost

Ako se utvrdi da je neka odredba neprimenjiva, ostalo ostaje na snazi.

13.3 Komunikacija

Sva pravno relevantna komunikacija se vrši email-om:

• Vaš: na email iz Vaše licence
• Naš: office@planeta-racunari.rs

13.4 Verzioniranje

DPA može da se ažurira. Materijalne izmene najavljujemo 30 dana unapred. Vidite uvek najnoviju verziju na: https://planeta-racunari.rs/dpa/

15 Merodavno pravo i sporovi

14.1 Merodavno pravo

Pravo Republike Srbije se primenjuje na ovaj DPA, isključujući kolizione norme.

14.2 EU GDPR primenjivost

Kao GDPR ostaje primenljiv ako ste Rukovalac koji obrađuje podatke EU subjekata. Ova klauzula ne ograničava Vaša GDPR prava ili obaveze.

14.3 Sporovi

Sporovi se rešavaju prema Sekciji 15 Uslova korišćenja.

16 Prihvatanje DPA

15.1 Click-through prihvatanje (default)

Aktivacijom Vaše QR vCard Pro licence ili klikom na "Accept DPA" u plug-in admin panelu, prihvatate ovaj DPA u celosti.

Predizgled: Datum prihvatanja se beleži u našem license server-u sa Vašim license key-em.

15.2 Wet-signed verzija

Za Agency klijente ili klijente koji zahtevaju formalni potpisan DPA:

1. Pošaljite zahtev na office@planeta-racunari.rs sa naslovom "[REQUEST] Signed DPA" 2. Pošaljite podatke o Vašoj firmi (pun naziv, sedište, registracioni broj, ovlašćeno lice) 3. U roku od 5 radnih dana, šaljemo Vam PDF DPA-a sa našim potpisom 4. Vi potpisujete (eSign ili štampa-skener), vraćate 5. Razmenjujemo finalne kopije 6. Trošak: besplatno za Agency tier; €50 za niže tier-ove (administrativna naknada)

17 Kontakt

Pitanja o ovom DPA ili obrade podataka:

Planeta računari (Aleksander Krsmanović)

• Email: office@planeta-racunari.rs
• Veb sajt: https://planeta-racunari.rs
• Data Protection Officer (DPO): Nemamo formalno imenovanog DPO-a. Za sva pitanja u vezi sa zaštitom podataka, kontakt tačka je: Aleksander Krsmanović (office@planeta-racunari.rs)

18 ANEKS 1 — Detalji obrade

A1.1 Predmet i trajanje

Vidi Sekciju 3.1 i 3.2.

A1.2 Priroda i svrha

Vidi Sekciju 3.3 i 3.4.

A1.3 Tipovi ličnih podataka

A1.4 Kategorije subjekata

A1.5 Obaveze brisanja

19 ANEKS 2 — Tehničke i organizacione mere (TOMs)

A2.1 Pseudonimizacija i enkripcija (Član 32(1)(a))

A2.2 Poverljivost, integritet, dostupnost (Član 32(1)(b))

A2.3 Sposobnost obnavljanja (Član 32(1)(c))

A2.4 Redovno testiranje (Član 32(1)(d))

A2.5 Organizacione mere

A2.6 Incident response plan

`` T+0: Detekcija incidenta (alert, korisnička prijava, audit) T+15min: Trijaža (da li je stvarni incident? scope?) T+1h: Containment (isolovati pogođeni sistem) T+2h: Notifikacija svojih klijenata (email) T+24h: Detaljno obaveštenje sa svim faktima T+72h: Notifikacija nadzornog organa ako zahtevano T+30 dana: Post-mortem i mere prevencije ``

20 ANEKS 3 — Lista autorizovanih pod-obrađivača

Datum poslednje izmene: 21. maj 2026.

Napomena: Lista se ažurira sa najavom od 30 dana. Vidi Sekciju 8.