Aneks o obradi podataka (DPA)

Poslednje ažuriranje: 6. avgust 2026. (verzija 2026-08-06.1)

Ovaj Aneks o obradi podataka („DPA") čini sastavni deo Uslova korišćenja i uređuje obradu podataka o ličnosti koju WorkThroughLine („Obrađivač") vrši u ime organizacije korisnika („Rukovalac") pri pružanju usluge. Sačinjen je u skladu sa čl. 45 Zakona o zaštiti podataka o ličnosti Republike Srbije („ZZPL") i čl. 28 Opšte uredbe EU o zaštiti podataka („GDPR"). Prihvatanjem Uslova pri registraciji organizacije, administrator prihvata i ovaj DPA u ime Rukovaoca; prihvatanje se evidentira sa verzijom dokumenta.

1. Predmet i uloge

• Rukovalac: organizacija koja koristi Platformu i unosi sadržaj.
• Obrađivač: Nemanja Šili Todorović, Subotica, Republika Srbija - fizičko lice koje pruža uslugu WorkThroughLine dok privredno društvo nije osnovano. Kontakt: [email protected]. Puna adresa se dostavlja na zahtev Rukovaoca i nadzornom organu. Kada društvo bude osnovano, ono stupa na mesto obrađivača i njegovi puni podaci biće navedeni ovde, uz prethodno obaveštenje Rukovaocu.
• Predmet obrade: skladištenje, prikaz i obrada sadržaja koji Rukovalac unese u Platformu, isključivo radi pružanja usluge.

2. Vrste podataka i lica na koja se odnose

• Podaci članova tima: ime, poslovna e-adresa, uloga, avatar, aktivnosti u Platformi.
• Sadržaj rada: ciljevi, OKR, work item-i, komentari, dokumenti, prijave (intake).
• Discovery sadržaj: beleške sa intervjua i analiza, uključujući podatke sagovornika/kupaca koje Rukovalac unese (ime, kontakt, iskazi).
• Lica: zaposleni i saradnici Rukovaoca, te treća lica čije podatke Rukovalac unese (npr. sagovornici u intervjuima).

3. Uputstva Rukovaoca

Podatke obrađujemo samo po dokumentovanim uputstvima Rukovaoca - korišćenje funkcionalnosti Platforme smatra se uputstvom. Ne koristimo ih za sopstvene svrhe, ne prodajemo ih i ne koristimo za treniranje modela. Ako smatramo da neko uputstvo krši propise o zaštiti podataka, obavestićemo Rukovaoca bez odlaganja.

4. Obaveze i jemstva Rukovaoca

a) Nadzor rada zaposlenih

Platforma po svojoj prirodi beleži ko je i kada napravio ili izmenio stavku i prikazuje raspodelu isporučenog rada po osobi. To je funkcija sledljivosti, ne nadzorni sistem - ali se isti podaci mogu upotrebiti za praćenje učinka.

Rukovalac jemči da za svaku takvu upotrebu - praćenje učinka, disciplinski postupak, ocenjivanje ili odlučivanje o radnom statusu - ima osnov u propisima kojima se uređuje rad i u kolektivnom ugovoru, i da je zaposlene i saradnike o tome obavestio na način i u obimu koji ti propisi zahtevaju, uključujući posebne mere zaštite dostojanstva ličnosti i transparentnost sistema nadzora u radnoj sredini. Obrađivač pruža alat i vodi evidenciju izmena; svrhu nadzora određuje isključivo Rukovalac i za nju odgovara.

b) Podaci koji se ne unose u Platformu

Rukovalac se obavezuje da u slobodna tekstualna i prilagođena polja Platforme (opisi, komentari, transkripti intervjua, dokumenti, prilagođena polja tipa tekst) ne unosi jedinstveni matični broj građana niti posebno osetljive podatke o ličnosti - one kojima se otkriva rasno ili etničko poreklo, političko mišljenje, versko ili filozofsko uverenje, članstvo u sindikatu, genetičke i biometrijske podatke, podatke o zdravstvenom stanju, seksualnom životu ili seksualnoj orijentaciji.

Platforma za takve podatke nije predviđena i u njoj ne postoje posebne mere zaštite koje njihova obrada zahteva. Ako ih Rukovalac ipak unese, čini to kao rukovalac i na sopstvenu odgovornost; Obrađivač ima pravo da zatraži njihovo uklanjanje u primerenom roku.

Posebno upozorenje za javne funkcije. Platforma omogućava da Rukovalac svojom odlukom učini deo sadržaja javno dostupnim - javni portal organizacije i deljena mapa puta. Činjenje JMBG-a dostupnim neograničenom broju lica zakon izričito zabranjuje. Pre uključivanja bilo koje javne funkcije Rukovalac je dužan da proveri sadržaj koji se objavljuje. Nijedna funkcija Platforme ne objavljuje sadržaj sama - javno objavljivanje uvek zahteva izričitu radnju ovlašćenog lica Rukovaoca.

5. Poverljivost

Pristup podacima imaju samo lica kojima je to neophodno za pružanje usluge i koja su obavezana na poverljivost (ugovorom ili zakonom).

6. Bezbednosne mere

• Enkripcija u prenosu (TLS) na svim javnim vezama.
• Izolacija zakupaca na nivou aplikacije i na nivou baze (Row-Level Security - svaki upit je ograničen na organizaciju iz sesije).
• Kontrola pristupa po ulogama; lozinke se čuvaju isključivo heširane (bcrypt); sesije sa rotirajućim tokenima i detekcijom zloupotrebe.
• Administratori mogu izvesti dostupne organizacione podatke kao JSON i work item-e kao CSV; audit log pokriva ključne strategy, discovery i delivery izmene.
• Pristup produkcionoj infrastrukturi ograničen na ovlašćena lica, uz ključeve/2FA.

7. Podobrađivači

Rukovalac daje opštu saglasnost na angažovanje sledećih podobrađivača:

O nameri dodavanja ili zamene podobrađivača obavestićemo administratore najmanje 15 dana unapred; Rukovalac ima pravo prigovora. Google Analytics se koristi samo na marketinškim stranicama uz pristanak posetioca i nije podobrađivač za sadržaj Platforme.

8. Pomoć Rukovaocu

Uzimajući u obzir prirodu obrade, pomažemo Rukovaocu u odgovaranju na zahteve lica (pristup, ispravka, brisanje, prenosivost) - pre svega kroz funkcionalnosti Platforme, a po potrebi i neposredno. Pomažemo i pri proceni uticaja (DPIA) i prethodnim konsultacijama, u razumnoj meri.

9. Povreda podataka

O povredi podataka o ličnosti koja se tiče podataka Rukovaoca obavestićemo administratore Rukovaoca bez nepotrebnog odlaganja, a najkasnije u roku od 72 sata od saznanja, sa opisom povrede, verovatnim posledicama i preduzetim merama.

10. Brisanje i vraćanje podataka

• Tokom trajanja usluge Rukovalac može izvesti svoje podatke (izvoz) ili zatražiti pomoć pri izvozu.
• Šifrovane rezervne kopije rotiraju se po politici 14 dnevnih, 8 nedeljnih i 12 mesečnih snimaka; istekle kopije se trajno uklanjaju iz namenskog repozitorijuma.
• Rukovalac može izvesti dostupne podatke i zatražiti brisanje. Obavezujući postupak brisanja, rokovi čuvanja i puni podaci ugovorne strane biće definisani pre prvog plaćenog ugovora.

11. Provere

Na zahtev stavljamo Rukovaocu na raspolaganje informacije potrebne za dokazivanje usklađenosti sa ovim DPA i omogućavamo provere (audit) - po pravilu jednom godišnje, uz razumnu najavu i bez ugrožavanja podataka drugih zakupaca.

12. Prenosi podataka

Podaci se primarno obrađuju na serverima u EU (Amsterdam, Holandija). Holandija je članica Evropske unije i potpisnica Konvencije Saveta Evrope br. 108, pa se za nju primereni nivo zaštite pretpostavlja. Svaki prenos u treće zemlje (npr. opciona AI funkcija preko Anthropic-a) vrši se samo uz odgovarajuće mehanizme zaštite - odluku o adekvatnosti ili standardne ugovorne klauzule.

Pružalac hostinga ima sedište u SAD i njegov aneks o obradi predviđa mogućnost obrade u trećim državama. Za te slučajeve su u taj aneks ugrađene standardne ugovorne klauzule Evropske komisije (moduli 1, 2 i 3), sa holandskim nadzornim organom i holandskim pravom kao merodavnim za same klauzule. Njihov spisak podobrađivača je javan, a izmene se najavljuju unapred uz pravo prigovora.

Svaki podobrađivač iz tabele u tački 7 ima važeći ugovor o obradi sa ugrađenim standardnim ugovornim klauzulama. Resend i Cloudflare su uz to sertifikovani po EU-U.S. Data Privacy Framework, mehanizmu za koji je Evropska unija utvrdila primeren nivo zaštite, pa su kod njih klauzule rezervni a ne jedini osnov. Za Google su prihvaćeni njihovi uslovi obrade podataka sa istim klauzulama, a rezervne kopije koje odlaze na njihovo skladište šifrovane su pre slanja i Google nema ključ.

Odluke stranih organa. Odluku suda ili upravnog organa druge države kojom se od Obrađivača traži prenos ili otkrivanje podataka Rukovaoca izvršavamo samo ako se zasniva na međunarodnom sporazumu koji obavezuje Republiku Srbiju, kao što je sporazum o pružanju međunarodne pravne pomoći. Zahtev koji stigne mimo tog puta ne izvršavamo. O svakom takvom zahtevu obaveštavamo Rukovaoca bez odlaganja, osim ako je obaveštavanje zabranjeno propisom koji nas obavezuje.

Dokle to obećanje seže. Obavezuje nas, ali ne i infrastrukturu ispod nas, pa to kažemo otvoreno umesto da ostavimo utisak šire zaštite nego što postoji. Server na kom je baza iznajmljen je od pružaoca sa sedištem u SAD, koji po svojoj objavljenoj politici postupa po američkom pravnom postupku: osnovne podatke o pretplatniku i logove IP adresa daje na valjan zahtev, a sadržaj samo po nalogu za pretres. Zahteve iz drugih država upućuje na put međunarodne pravne pomoći, a svog pretplatnika - to smo mi - obaveštava o zahtevu, osim kada mu je obaveštavanje zabranjeno. Ako do takvog zahteva dođe i mi budemo obavešteni, obaveštavamo Rukovaoca pod istim uslovima.

Ovaj rizik se ne uklanja tehnički. Šifrovanje diska ne pomaže dok mašina radi, jer je disk tada montiran a ključ u memoriji. Uklanja se samo izborom pružaoca koji nije podložan takvom postupku, i to je odluka koju držimo otvorenom i o kojoj bismo Rukovaoce obavestili unapred.

13. Trajanje i merodavno pravo

DPA važi dok traje korišćenje usluge. Primenjuje se pravo Republike Srbije, uz primenu GDPR-a gde je relevantno. U slučaju nesaglasnosti između DPA i Uslova korišćenja u pitanjima obrade podataka, prednost ima DPA.