Prijeđi na sadržaj
Prijava Otvori račun

Ugovor o obradi osobnih podataka

Vrijedi od 13. rujna 2026.

Ovaj Ugovor o obradi osobnih podataka (u daljnjem tekstu: „Ugovor”) sklapa se u skladu s člankom 28. Opće uredbe o zaštiti podataka (EU) 2016/679 (u daljnjem tekstu: „GDPR”) i sastavni je dio Uvjeta korištenja usluge racunomat.hr. Prihvaćanjem Uvjeta pri registraciji Korisnik prihvaća i ovaj Ugovor.

1. Strane

Voditelj obrade je Korisnik usluge racunomat.hr (u daljnjem tekstu: „Voditelj”).

Izvršitelj obrade je Extreme Cloud d.o.o., Zagrebačka avenija 106, 10000 Zagreb, OIB 28624383698 (u daljnjem tekstu: „Izvršitelj”).

2. Predmet, trajanje, priroda i svrha obrade

2.1. Izvršitelj osobne podatke obrađuje u ime Voditelja isključivo radi pružanja usluge racunomat.hr: izdavanja računa i ponuda, fiskalizacije, slanja i zaprimanja eRačuna, vođenja evidencije kupaca, naplate i opomena, izvoza podataka, pregleda računa za kupce i drugih funkcija koje Voditelj koristi.

2.2. Obrada obuhvaća prikupljanje, pohranu, organizaciju, pregled, uporabu, prijenos prema tijelima i posrednicima potrebnima za pružanje usluge, izvoz i brisanje podataka.

2.3. Obrada traje dok traje ugovor o korištenju usluge i tijekom roka za izvoz podataka nakon njegova prestanka.

3. Kategorije ispitanika i vrste podataka

Ispitanici: kupci i potencijalni kupci Voditelja i njihove kontakt-osobe; primatelji ponuda, računa i opomena; dobavljači čiji se računi zaprimaju u uslugu; članovi tima Voditelja i druge osobe kojima Voditelj omogući pristup.

Podaci: ime i prezime ili naziv, OIB, adresa, adresa e-pošte, broj telefona, oznaka u mreži eRačuna, podaci iz računa, ponuda i ulaznih računa (stavke, iznosi, datumi, način plaćanja), podaci o uplatama i dugovanjima, bilješke koje Voditelj unese uz kupca te podaci o korisnicima usluge (ime, e-pošta, uloga, evidencija prijava i radnji).

Usluga nije namijenjena obradi posebnih kategorija osobnih podataka iz članka 9. GDPR-a i Voditelj ih u nju ne unosi.

4. Obveze Izvršitelja

Izvršitelj:

  1. obrađuje osobne podatke samo prema dokumentiranim uputama Voditelja — koje čine Uvjeti, ovaj Ugovor te postavke i radnje koje Voditelj izvrši u usluzi — osim ako obradu zahtijeva pravo Europske unije ili Republike Hrvatske; o takvoj obvezi obavještava Voditelja prije obrade, ako propis to ne zabranjuje;
  2. bez odgode obavještava Voditelja ako smatra da uputa krši propise o zaštiti podataka;
  3. osigurava da su se osobe ovlaštene za obradu obvezale na povjerljivost;
  4. primjenjuje tehničke i organizacijske mjere iz Priloga 1.;
  5. poštuje uvjete za angažiranje podizvršitelja iz točke 5.;
  6. uzimajući u obzir prirodu obrade, pomaže Voditelju u odgovaranju na zahtjeve ispitanika, prvenstveno funkcijama usluge za pregled, ispravak, izvoz i brisanje podataka;
  7. pomaže Voditelju u ispunjavanju obveza iz članaka 32. do 36. GDPR-a (sigurnost obrade, obavješćivanje o povredi, procjena učinka i prethodno savjetovanje);
  8. nakon prestanka ugovora s podacima postupa prema točki 7.;
  9. Voditelju stavlja na raspolaganje informacije potrebne za dokazivanje ispunjavanja ovog Ugovora i omogućuje reviziju prema točki 8.

5. Podizvršitelji

5.1. Voditelj daje opće odobrenje za angažiranje podizvršitelja. Izvršitelj s podizvršiteljem sklapa ugovor s obvezama zaštite podataka jednakima onima iz ovog Ugovora i Voditelju odgovara za njegovo postupanje.

5.2. Izvršitelj koristi sljedeće podizvršitelje:

  • pružatelj usluge smještaja poslužitelja (hosting), s poslužiteljima u Europskoj uniji — pohrana i obrada svih podataka usluge;
  • pružatelj usluge slanja e-pošte — dostava računa, ponuda, opomena i obavijesti koje Voditelj šalje iz usluge;
  • DB informatika d.o.o. (SUPER eRačun), Hrvatska — informacijski posrednik za slanje i zaprimanje eRačuna, kad Voditelj ne koristi vlastiti pristup kod posrednika.

5.3. O namjeravanom dodavanju ili zamjeni podizvršitelja Izvršitelj Voditelja obavještava e-poštom najmanje 30 dana unaprijed. Voditelj u tom roku može uložiti obrazloženi prigovor; ako se strane ne dogovore, Voditelj može otkazati pretplatu prije nego promjena stupi na snagu.

5.4. Nisu podizvršitelji, nego primatelji podataka na temelju zakona ili izbora Voditelja: Porezna uprava, kojoj se računi prijavljuju u postupku fiskalizacije; informacijski posrednik s kojim Voditelj ima vlastiti ugovor; pružatelj kartičnog plaćanja čije ključeve Voditelj unese za naplatu računa karticom.

6. Povreda osobnih podataka

Izvršitelj Voditelja obavještava o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati nakon što je za nju saznao. Obavijest sadrži informacije iz članka 33. stavka 3. GDPR-a koje su tada dostupne, a ostale se dostavljaju čim postanu poznate. Izvršitelj bez odgode poduzima mjere za ograničavanje posljedica povrede.

7. Brisanje i vraćanje podataka

7.1. Voditelj za trajanja ugovora u svakom trenutku može izvesti svoje podatke iz usluge (PDF i XML eRačuna, CSV).

7.2. Nakon prestanka ugovora podaci ostaju dostupni za izvoz najmanje 90 dana. Nakon toga ih Izvršitelj briše, osim ako pravo Europske unije ili Republike Hrvatske zahtijeva njihovu pohranu. Za čuvanje računa u rokovima iz poreznih i računovodstvenih propisa odgovara Voditelj.

8. Revizija

Voditelj može, uz najavu najmanje 30 dana unaprijed i najviše jednom godišnje (osim nakon povrede osobnih podataka), zatražiti informacije ili provesti reviziju usklađenosti obrade s ovim Ugovorom, sam ili putem neovisnog revizora obvezanog na povjerljivost. Revizija se provodi tako da ne ugrozi sigurnost i povjerljivost podataka drugih korisnika, a njezine troškove snosi Voditelj.

9. Prijenos u treće zemlje

Izvršitelj podatke obrađuje u Europskoj uniji. Prijenos u treću zemlju provodi se samo uz zaštitne mjere iz poglavlja V. GDPR-a.

10. Odgovornost i završne odredbe

Na odgovornost strana primjenjuju se Uvjeti korištenja i članak 82. GDPR-a. Ovaj Ugovor traje koliko i ugovor o korištenju usluge. U pitanjima zaštite osobnih podataka ovaj Ugovor ima prednost pred Uvjetima. Primjenjuje se pravo Republike Hrvatske.

Prilog 1. Tehničke i organizacijske mjere

  • šifrirana veza (HTTPS) za sav promet između preglednika i usluge;
  • lozinke pohranjene isključivo kao kriptografski sažetak;
  • dvofaktorska prijava, dostupna u svakom paketu;
  • uloge unutar tima (vlasnik, djelatnik, pripravnik, knjigovođa) s ovlastima provjeravanima na svakoj radnji i ruti;
  • odvajanje podataka svakog korisnika na razini upita prema bazi podataka, a ne samo u sučelju;
  • API tokeni pohranjeni kao otisak, s ovlastima po vrsti podataka i ograničenjem broja zahtjeva;
  • lozinka certifikata za fiskalizaciju pohranjena šifrirano, a datoteka certifikata izvan javno dostupnog dijela poslužitelja; privatni ključ ne sprema se u privremenu memoriju;
  • evidencija prijava u korisnički račun;
  • poveznice za pregled računa s nasumičnom tajnom oznakom, koje se mogu opozvati;
  • pristup produkcijskim podacima ograničen na osobe Izvršitelja kojima je potreban za održavanje i podršku, uz obvezu povjerljivosti.