Dodatak o obradi podataka

Posljednje ažurirano: 29. listopada 2026.

Damper pruža društvo Studio 404 d.o.o., Gradišče 15C, 1360 Vrhnika, Slovenija, EU, matični broj 6835228000, PDV identifikacijski broj SI42531357 („Damper”, „mi”, „nas”), kontakt: [email protected].

Ovaj Dodatak o obradi podataka („DPA”) sastavni je dio Uvjeta korištenja sklopljenih između Vas („Korisnik”, voditelj obrade) i društva Studio 404 d.o.o. (izvršitelj obrade). Primjenjuje se na osobne podatke u Podacima korisnika koje Damper obrađuje pri pružanju Usluge i utvrđuje uvjete propisane člankom 28. Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka). Primjenjuje se automatski kada prihvatite Uvjete; potpis nije potreban.

1. Pojedinosti obrade

2. Obveze izvršitelja obrade

• Damper obrađuje osobne podatke isključivo prema zabilježenim uputama Korisnika: ovim Uvjetima i ovom DPA-u te Korisnikovu korištenju i konfiguraciji Usluge. Ako pravo Unije ili pravo države članice zahtijeva drukčiju obradu, o tome ćemo prethodno obavijestiti Korisnika, osim ako to pravo zabranjuje takvo obavješćivanje.
• Korisnika bez odgode obavještavamo ako, prema našem mišljenju, neka uputa krši propise o zaštiti podataka.
• Sve osobe ovlaštene za obradu Podataka korisnika obvezane su na čuvanje povjerljivosti.
• Provodimo tehničke i organizacijske mjere iz odjeljka 3.
• Uzimajući u obzir prirodu obrade, pomažemo Korisniku u ispunjavanju zahtjeva ispitanika (članci 12. do 23.) te u pogledu sigurnosti, izvješćivanja o povredama, procjena učinka na zaštitu podataka i prethodnog savjetovanja (članci 32. do 36.). Većinu zahtjeva moguće je riješiti izravno u Usluzi (primjerice brisanjem povratnih informacija); ako nam se ispitanik izravno obrati u vezi s Podacima korisnika, njegov zahtjev prosljeđujemo Korisniku.

3. Tehničke i organizacijske mjere

• Šifriranje u prijenosu: API, nadzorna ploča, widget i internetska stranica poslužuju se isključivo putem HTTPS-a (TLS). Aplikacija se s bazom podataka povezuje putem TLS-a, a API nalaže preglednicima korištenje isključivo HTTPS-a (HSTS, godinu dana).
• Šifriranje pohranjenih podataka: bazu podataka i pohranu datoteka šifrira naš pružatelj usluge hostinga (Railway). Vjerodajnice integracija (tokeni za Slack i X), prilagođena zaglavlja statusnih provjera, tajni ključevi za provjeru identiteta projekata, tajni ključevi za potpisivanje webhookova i tajni ključevi dvofaktorske autentifikacije dodatno su šifrirani u bazi podataka algoritmom AES-256-GCM.
• Vjerodajnice: lozinke i API ključevi pohranjuju se isključivo kao bcrypt sažeci, a API ključevi prikazuju se samo jednom. OAuth tokeni i kodovi za oporavak dvofaktorske autentifikacije pohranjuju se kao sažeci. Odlazni webhookovi potpisuju se (HMAC-SHA256) kako bi Korisnik mogao provjeriti da potječu od nas.
• Sigurnost prijave: dvofaktorska autentifikacija (aplikacija za autentifikaciju) dostupna je svakom korisniku, a tim je može zahtijevati za sve svoje članove. Sesije upotrebljavaju kolačić s oznakama HttpOnly i Secure koji istječe nakon 7 dana; uključivanjem, isključivanjem ili zamjenom dvofaktorske autentifikacije odjavljuju se ostale sesije korisnika. Zahtjevi kojima se mijenjaju podaci uz kolačić sesije prihvaćaju se samo s naše vlastite nadzorne ploče.
• Odvajanje: svaki se zahtjev autorizira u odnosu na jedan račun i projekte kojima korisnik smije pristupiti, a svaki je upit prema bazi podataka ograničen na njih.
• Zaštita od zlouporabe: ograničenja broja zahtjeva pri prijavi i registraciji, za API, AI značajke, prikupljanje pogrešaka i javne obrasce te za poruke e-pošte poslane iz javnih obrazaca.
• Tehnička zaštita privatnosti (privacy by design): javne ploče i stranice prije prikaza uklanjaju iz teksta koji unose korisnici adrese e-pošte, brojeve telefona, identifikatore plaćanja i porezne identifikatore te slične podatke. Povratne informacije za koje se čini da sadrže takve podatke ili koje dolaze iz internog izvora kao što je Slack inicijalno su privatne. Sedam dana nakon što je stavka povratnih informacija dovršena ili zatvorena, njezini osobni podaci (tekst, podaci za kontakt, tehnički kontekst i snimke zaslona) automatski se uklanjaju; to se ne odnosi na izvješća o pogreškama iz pozadinskih sustava.
• Praćenje pogrešaka: izvješća o pogreškama koja se šalju našem pružatelju usluge praćenja pogrešaka ne sadrže tijela zahtjeva, zaglavlja, kolačiće ni vrijednosti parametara upita, a korisnika identificiraju samo prema korisničkom ID-u.
• Dostupnost i oporavak: sigurnosna kopija baze podataka izrađuje se svakodnevno i sprema u pohranu u EU-u. Svaka se sigurnosna kopija pri izradi testno vraća, a zatim šifrira (age, X25519) ključem koji se čuva izvan naših sustava; sigurnosne kopije brišu se nakon 30 dana. Ako sigurnosna kopija ne stigne, upozorenje dobivaju osobe koje upravljaju Uslugom.
• Kontrola pristupa: pristup produkcijskim sustavima i podacima ograničen je na osobe koje upravljaju Uslugom.
• Pregledi: kod i konfiguraciju Usluge pregledavamo radi otkrivanja sigurnosnih problema, posljednji put u listopadu 2026., i otklanjamo utvrđene nedostatke.

Ove mjere preispitujemo kako se Usluga mijenja i možemo ih ažurirati, pod uvjetom da se ukupna razina zaštite ne smanji. Damper trenutačno nema sigurnosni certifikat treće strane (kao što su ISO 27001 ili SOC 2).

4. AI značajke

Usluga upotrebljava AI modele društava OpenAI i Anthropic. Nove povratne informacije automatski se sažimaju: model prima naslov, tekst i vrstu povratne informacije, paket ili razinu posjetitelja, adresu stranice, podatke o pregledniku i prikupljeni tehnički kontekst, zajedno s opisom projekta. Izvješća o pogreškama iz pozadinskih sustava automatski se trijažiraju: model prima naslov pogreške, servis, okruženje i izvadak iz zapisa. Kada korisnik to zatraži, modeli primaju i sadržaj stranice (sažeci stranica i zadaci sa sastanaka) ili naslov i opis zadatka (prijedlozi za plan razvoja). Rezultati se pohranjuju u Usluzi. Pružatelji AI usluga obrađuju te podatke kao naši podizvršitelji obrade; u skladu sa svojim uvjetima za API ne upotrebljavaju ih za treniranje svojih modela i čuvaju ih samo ograničeno razdoblje radi praćenja zlouporabe.

5. Podizvršitelji obrade

Korisnik daje opće odobrenje za podizvršitelje obrade navedene na stranici s podizvršiteljima obrade. Svakog od njih pisanim ugovorom obvezujemo na obveze zaštite podataka koje ne pružaju manju zaštitu od ovog DPA-a te ostajemo odgovorni Korisniku za izvršavanje njihovih obveza. Najmanje 30 dana prije nego što novi ili zamjenski podizvršitelj obrade započne obradu Podataka korisnika, o tome ćemo obavijestiti ažuriranjem te stranice i slanjem poruke e-pošte vlasniku svakog računa. Korisnik u tom roku može uložiti prigovor iz opravdanih razloga povezanih sa zaštitom podataka. U tom ćemo slučaju nastojati pronaći rješenje; ako ga ne pronađemo, Korisnik može raskinuti ugovor u dijelu Usluge na koji se to odnosi, a mi ćemo mu vratiti sve unaprijed plaćene naknade za razdoblje nakon raskida.

Integracije koje Korisnik poveže (kao što su Slack ili X), webhookovi koje konfigurira i adrese koje prati statusnim provjerama primaju podatke prema uputama Korisnika; oni su Korisnikovi vlastiti pružatelji usluga, a ne naši podizvršitelji obrade.

6. Međunarodni prijenosi

Podaci korisnika pohranjuju se u EU-u (odjeljak 1.). Kada mi ili neki podizvršitelj obrade prenosimo osobne podatke izvan EGP-a, prijenos se temelji na odluci o primjerenosti (uključujući Okvir za privatnost podataka EU-a i SAD-a za certificirane primatelje) ili na standardnim ugovornim klauzulama donesenima Provedbenom odlukom Komisije (EU) 2021/914, modul 3. (prijenos od izvršitelja obrade izvršitelju obrade), koje su, kada je to potrebno, upućivanjem uključene u ovaj DPA, zajedno s dodatnim mjerama kada se one zahtijevaju. Mehanizam za svakog podizvršitelja obrade naveden je na stranici s podizvršiteljima obrade.

7. Povrat i brisanje

• Korisnik može u bilo kojem trenutku izbrisati pojedine stavke u Usluzi te tijekom trajanja ugovora preuzeti svoje podatke putem API-ja i izvoza podataka u Postavkama.
• Kada vlasnik računa izbriše račun, račun se predviđa za brisanje i može se vratiti ponovnom prijavom u roku od 30 dana. Nakon isteka tih 30 dana Podaci korisnika brišu se, uključujući pohranjene datoteke, osim ako pravo Unije ili pravo države članice zahtijeva da ih zadržimo. Kopije u sigurnosnim kopijama brišu se kako sigurnosne kopije istječu, u roku od dodatnih 30 dana.
• Kada ugovor prestane iz drugog razloga, Podatke korisnika brišemo na isti način, u roku od 60 dana.
• Na zahtjev brisanje pisano potvrđujemo.

8. Povrede osobnih podataka

Korisnika obavještavamo bez nepotrebnog odgađanja, a u svakom slučaju u roku od 48 sati nakon što saznamo za povredu osobnih podataka koja se odnosi na Podatke korisnika. Obavijest se šalje na adresu e-pošte vlasnika računa i u njoj se, u mjeri u kojoj je to u tom trenutku poznato, opisuju priroda povrede, kategorije i približan broj dotičnih ispitanika i evidencija, vjerojatne posljedice te poduzete ili predložene mjere. Dodatne informacije dostavljamo čim postanu dostupne i pomažemo Korisniku u ispunjavanju njegovih obveza obavješćivanja.

9. Revizije

Na razuman zahtjev stavljamo na raspolaganje informacije potrebne za dokazivanje usklađenosti s člankom 28. Opće uredbe o zaštiti podataka: pisane odgovore na sigurnosne upitnike, opis naših mjera i relevantnu dokumentaciju o podizvršiteljima obrade. Zahtjevi se mogu podnijeti jednom godišnje te, dodatno, nakon povrede osobnih podataka ili kada to zahtijeva nadzorno tijelo. Ako te informacije nisu dostatne, Korisnik (ili neovisni revizor obvezan na čuvanje povjerljivosti koji nije naš konkurent) može provesti reviziju uz prethodnu najavu od najmanje 30 dana, tijekom radnog vremena, bez ometanja Usluge i bez pristupa podacima drugih korisnika Usluge, i to o trošku Korisnika. Revizije podizvršitelja obrade provode se na temelju njihovih vlastitih revizorskih izvješća i certifikata.

10. Obveze Korisnika

Korisnik je odgovoran za zakonitost svoje obrade, uključujući postojanje pravne osnove (i privole, kada je potrebna) za prikupljanje podataka putem widgeta i drugih svojih kanala, za informiranje svojih korisnika i posjetitelja (primjerice u vlastitoj obavijesti o privatnosti) te za sadržaj koji dostavlja ili objavljuje.

11. Odgovornost i redoslijed prednosti

Odgovornost na temelju ovog DPA-a podliježe ograničenjima iz Uvjeta korištenja, osim ako zakon to ne dopušta. Ako je ovaj DPA u pogledu zaštite podataka u suprotnosti s Uvjetima, prednost ima ovaj DPA; standardne ugovorne klauzule, kada se primjenjuju, imaju prednost pred oba dokumenta.

12. Kontakt

Zahtjevi u vezi sa zaštitom podataka i sigurnosni incidenti: [email protected]. Ako Vam je potreban potpisani primjerak ovog DPA-a, pišite na [email protected].