Ugovor o obradi podataka (DPA)

Verzija 1.1 · Datum: 19.10.2026. · Sukladno GDPR čl. 28.

Napomena: Ovaj dokument predstavlja Data Processing Agreement između Klinike (kao voditelja obrade) i KlinikaHub (kao izvršitelja obrade). Svaka Klinika koja koristi Uslugu automatski pristaje na ovaj DPA registracijom računa. Za klinike koje zahtijevaju potpisanu verziju, dostupno je na zahtjev na privacy@klinika-hub.com.

Ugovorne strane

Voditelj obrade (Controller): Klinika koja koristi Uslugu, pravno lice ili fizička osoba koja samostalno obavlja medicinsku djelatnost i pohranjuje podatke pacijenata u sustavu
Izvršitelj obrade (Processor): KlinikaHub (usluga pohrane i upravljanja podacima)

1. Predmet obrade

Izvršitelj obrađuje osobne podatke u ime Voditelja isključivo za pružanje usluge upravljanja medicinskom ordinacijom.

2. Vrsta podataka i kategorije subjekata

Kategorije podataka

Kategorija	Primjeri
Identifikacijski	Ime, prezime, OIB, MBO, broj osobne
Kontakt	Telefon, email, adresa
Medicinski (posebna kategorija, Čl. 9 GDPR)	Dijagnoze, anamneza, terapije, nalazi, foto-dokumentacija
Financijski	Računi, plaćanja, paketi
Komunikacijski	WhatsApp/SMS/email poruke

Kategorije subjekata

Pacijenti Klinike (primarno)
Zaposlenici Klinike (user profili u sustavu)

3. Trajanje obrade

Obrada traje tijekom trajanja ugovora o pretplati + razdoblje retencije definirano u retention policy-ju.

4. Obveze Izvršitelja (KlinikaHub)

4.1 Obrada prema uputama

Izvršitelj obrađuje podatke isključivo prema pisanim uputama Voditelja. Korištenje Usluge kroz aplikaciju smatra se davanjem uputa.

4.2 Povjerljivost

Izvršitelj osigurava da svaka osoba koja ima pristup podacima (zaposlenici, podizvršitelji) ima obvezu povjerljivosti.

4.3 Sigurnost (Article 32)

Izvršitelj implementira sljedeće tehničke i organizacijske mjere:

Enkripcija u prijenosu (TLS 1.2+)
Bcrypt hash za lozinke
Rate limiting, account lockout, 2FA dostupan
Audit log svih ključnih akcija
Automatski backup svakih 6 sati na poslužitelju, kopije se čuvaju 7 dana
Multi-tenant izolacija (database-per-tenant)
Monitoring s realtime alerting-om
Redoviti security audit koda

4.4 Podizvršitelji (Article 28(2) i 28(4))

Izvršitelj koristi podizvršitelje navedene u popisu Sub-processors. Voditelj daje opću ovlast za korištenje tih podizvršitelja.

O promjenama popisa Izvršitelj obavještava Voditelja najmanje 30 dana unaprijed (email), s pravom Voditelja na prigovor i raskid ugovora ako se ne slaže.

4.5 Pomoć Voditelju u ostvarivanju prava subjekata

Izvršitelj pomaže Voditelju u odgovaranju na zahtjeve subjekata za ostvarivanje njihovih prava (pristup, ispravak, brisanje, portabilnost) putem tehničkih mjera:

API endpointi /api/gdpr/export/:contactId i /api/gdpr/erase/:contactId
Audit log pristupa podacima (/api/gdpr/audit-log)

4.6 Pomoć u slučaju povrede (Article 33)

U slučaju povrede koja uključuje podatke Voditelja, Izvršitelj obavještava Voditelja bez nepotrebnog odgađanja, ciljano unutar 24h od otkrivanja. Izvještaj uključuje:

Opis incidenta
Kategorije i približan broj subjekata pogođenih
Vjerojatne posljedice
Poduzete mjere

Detaljni protokol: Breach Response Plan.

4.7 Vraćanje ili brisanje podataka

Po prestanku pružanja usluga, Izvršitelj, prema izboru Voditelja:

Izvodi sve podatke u strojno čitljivom formatu (JSON) i šalje Voditelju
ILI briše/anonimizira sve podatke sukladno retention policy-ju i HR zakonima

Izvršitelj je dužan zadržati podatke prema zakonskoj obvezi (npr. fiskalne isprave 11 god), čak i nakon raskida, ali samo u ograničenoj svrsi (fiscal compliance).

4.8 Dostupnost informacija za reviziju

Izvršitelj Voditelju na pisani zahtjev daje informacije potrebne za dokaz usklađenosti s Article 28 GDPR-a. Voditelj ima pravo vršiti audit (samostalno ili preko trećeg auditora) uz prethodnu najavu od 30 dana, tijekom radnog vremena, ograničeno na jedanput godišnje, i na trošak Voditelja.

5. Obveze Voditelja (Klinika)

5.1 Pravna osnova

Voditelj osigurava pravnu osnovu za obradu podataka pacijenata (ugovor o liječenju, privola, zakonska obveza). Izvršitelj se oslanja na ovu potvrdu.

5.2 Pisane upute

Korištenje Usluge kroz aplikaciju smatra se davanjem uputa. Dodatne upute mogu se poslati emailom.

5.3 Vlastite sigurnosne mjere

Voditelj je odgovoran za:

Čuvanje pristupnih podataka zaposlenika (lozinke)
Postavljanje razina pristupa zaposlenika (role-based access)
Aktivaciju 2FA za admin račune (preporučeno)
Odjavu svih sesija kod sumnje na kompromitaciju
Pravilno informiranje pacijenata o obradi podataka

6. Odgovornost

Svaka strana odgovara za svoje radnje. Ako su obje odgovorne, dijelit će odgovornost sukladno svom doprinosu šteti.

Ograničenja iz Uvjeta korištenja (točka 9) primjenjuju se i na ovaj DPA.

7. Transfer podataka izvan EU

Izvršitelj primarno pohranjuje podatke unutar EU (Hetzner, Njemačka).

Izvršitelj ne prenosi osobne podatke izvan EU. Ako uvede pričuvnu kopiju na drugoj lokaciji, ona će biti unutar EU, a Voditelj će o tome biti obaviješten prije početka obrade.

8. Primjenjivo pravo

Ovaj DPA tumači se prema hrvatskom pravu i GDPR-u. Za sporove nadležan je sud u Zagrebu.

9. Izmjene DPA

Materijalne izmjene DPA-a najavljujemo Voditelju najmanje 30 dana unaprijed emailom. Voditelj ima pravo raskinuti ugovor u tom roku bez naknade ako se ne slaže.

10. Prioritet dokumenata

Ako postoji konflikt između ovog DPA i Uvjeta korištenja u odnosu na obradu osobnih podataka, prednost ima ovaj DPA.

Povijest verzija

v1.1 (19.10.2026.) Sigurnosne mjere i transfer izvan EU usklađeni sa stvarnim stanjem: pričuvne kopije samo na poslužitelju u EU, bez prijenosa u SAD
v1.0 (19.04.2026.) Početna verzija

Kontakt

Izvršitelj obrade:
KlinikaHub
Email: privacy@klinika-hub.com
DPO kontakt (budući): dpo@klinika-hub.com