Уговор о обради података
Овај Уговор о обради података („DPA“) чини саставни део Услова коришћења између привредног друштва Aweb Design SRL, CUI RO36215876, са седиштем на адреси Str. Crangasi, nr. 40, Bl. 11, Sc.1, Ap. 37 („Обрађивач“, „ми“), и Клијента („Руковалац“, „ви“). Примењује се када у ваше име обрађујемо личне податке у оквиру пружања Услуге и одражава захтеве из члана 28 Уредбе (ЕУ) 2016/679 („GDPR“), као и, где је применљиво, UK GDPR-а. Када је и сам Клијент обрађивач за руковаоца који је треће лице, овај DPA се примењује на одговарајући начин у ланцу обраде.
1. Улоге и предмет примене
У погледу личних података Крајњих купаца и других лица на која се подаци односе, а који се обрађују преко AI виџета и Радног простора, Клијент је руковалац (или обрађивач за сопственог руковаоца), а ми поступамо као обрађивач (или подобрађивач). Такве личне податке обрађујемо искључиво по документованим упутствима Клијента — укључујући упутства дата кроз конфигурацију и уобичајено коришћење Услуге — осим када смо на поступање обавезани правом Уније или државе чланице, у ком случају о томе унапред обавештавамо Клијента, осим ако такво обавештавање закон забрањује. Обавестићемо Клијента ако, по нашем мишљењу, неко упутство крши прописе о заштити података. У погледу наших сопствених података о налогу, наплати и безбедности поступамо као независни руковалац у складу са нашом Политиком приватности, а та обрада је изван оквира овог DPA.
2. Предмет, трајање, природа и сврха
Предмет, трајање, природа и сврха обраде, врсте личних података и категорије лица на која се подаци односе утврђени су у Анексу И. Обрада траје током периода важења Услова коришћења и током сваког додатног периода у којем смо обавезни или овлашћени да чувамо податке по овом DPA и важећим прописима.
3. Поверљивост
Обезбеђујемо да су лица овлашћена за обраду личних података обавезана одговарајућом обавезом чувања поверљивости и да податке обрађују само у мери неопходној за пружање Услуге.
4. Безбедност обраде
Узимајући у обзир стање технике, трошкове спровођења, као и природу, обим, околности и сврхе обраде, те ризике за физичка лица, примењујемо одговарајуће техничке и организационе мере како бисмо обезбедили ниво безбедности примерен ризику, у складу са чланом 32 GDPR. Те мере описане су у Анексу II и обухватају псеудонимизацију и редакцију личних података, шифровање у преносу (TLS) и у мировању, контроле приступа и вишефакторску аутентификацију, изолацију клијентских окружења, евидентирање, резервне копије и анонимизацију IP адреса.
5. Подобрађивачи
Клијент даје опште писано овлашћење да ангажујемо подобрађиваче за обраду личних података ради пружања Услуге. Наши актуелни подобрађивачи наведени су на https://ovebot.ai/sr/legal/sub-processors. Сваком подобрађивачу намећемо обавезе заштите података које пружају најмање исти ниво заштите као оне предвиђене овим DPA и остајемо у потпуности одговорни Клијенту за њихово поступање. Клијента обавештавамо најмање 30 дана пре додавања или замене подобрађивача; Клијент може у том року уложити приговор из оправданих разлога заштите података, а уговорне стране ће у доброј вери радити на решавању приговора, а ако то не успе, Клијент може раскинути део Услуге на који се приговор односи.
6. Права лица на која се подаци односе
Узимајући у обзир природу обраде, помажемо Клијенту одговарајућим техничким и организационим мерама, у мери у којој је то могуће, да одговори на захтеве лица на која се подаци односе у остваривању њихових права из Поглавља III GDPR (приступ, исправка, брисање, ограничење обраде, преносивост података и приговор). Услуга пружа самоуслужне алате којима Крајњи купци могу непосредно преузети или обрисати сопствени разговор. Ако примимо захтев који се односи на податке Клијента, прослеђујемо га Клијенту без непотребног одлагања и не одговарамо непосредно, осим по упутству Клијента или ако то закон налаже.
7. Помоћ у вези са безбедношћу, повредама и проценама утицаја
Узимајући у обзир природу обраде и информације које су нам доступне, помажемо Клијенту у испуњавању његових обавеза из чланова 32 до 36 GDPR, укључујући безбедност обраде, обавештавање о повреди података о личности, процену утицаја на заштиту података о личности и претходно консултовање надзорног органа.
8. Обавештавање о повреди података о личности
Обавештавамо Клијента без непотребног одлагања након што сазнамо за повреду података о личности која погађа личне податке Клијента, а у сваком случају благовремено како би Клијент могао да испуни сопствене рокове за обавештавање из чланова 33–34 GDPR. Обавештење описује, у мери у којој је познато, природу повреде, категорије и приближан број погођених лица на која се подаци односе и записа, вероватне последице, као и предузете или предложене мере. Предузимамо разумне кораке ради ублажавања и отклањања повреде. Такво обавештење не представља признање кривице нити одговорности.
9. Међународни преноси
Лични подаци се првенствено обрађују унутар ЕУ/EEA. Неки подобрађивачи (нарочито пружаоци LLM-а) налазе се у Сједињеним Државама. Када се лични подаци преносе изван ЕУ/EEA, пренос је покривен одлуком о адекватности, оквиром ЕУ-САД за заштиту података или Стандардним уговорним клаузулама Европске комисије (Спроведбена одлука (ЕУ) 2021/914) заједно са свим потребним допунским мерама, а за податке из Уједињеног Краљевства UK Додатком / IDTA. Копије одговарајућег инструмента преноса доступне су на захтев.
10. Провере
Клијенту стављамо на располагање информације неопходне за доказивање усклађености са чланом 28 GDPR и омогућавамо провере, укључујући инспекције, које спроводи Клијент или независни ревизор кога он овласти, као и доприносимо тим проверама. Провере се обављају уз разумно претходно обавештење, током радног времена, највише једном годишње (осим ако то захтева надзорни орган или ако је дошло до повреде), уз поштовање поверљивости и на начин који не омета наше пословање. Захтев за проверу можемо најпре испунити достављањем одговарајућих сертификата и извештаја.
11. Враћање и брисање података
По престанку Услуге, а по избору Клијента, бришемо или враћамо све личне податке обрађиване у име Клијента и бришемо постојеће копије, осим ако право Уније или државе чланице налаже њихово чување. Када брисање није одмах изводљиво (на пример, у резервним копијама), изолујемо податке од даље обраде и бришемо их у редовном циклусу ротације резервних копија. Аутоматизовано задржавање и анонимизација такође се примењују током целог периода важења, у складу са планом задржавања везаним за тарифни план и прозором задржавања који је Клијент подесио.
12. Забрањени подаци
Клијент не сме кроз Услугу достављати, и мора подесити свој виџет тако да не тражи нити прикупља, никакве посебне категорије података о личности (члан 9 GDPR), податке који се односе на кривичне пресуде и кажњива дела (члан 10 GDPR), идентификационе бројеве које издају државни органи, бројеве платних картица, приступне податке, биометријске или генетске податке, нити прецизну геолокацију.
Чет интерфејс прихвата слободан текстуални унос Крајњих купаца и ниједна уговорна страна не може спречити Крајњег купца да такве податке изнесе на сопствену иницијативу. Ми забрањене податке не тражимо, не захтевамо нити их свесно обрађујемо. Ако се они ипак доставе, примењујемо мере редакције и безбедности описане у одељку 4 и Анексу II како бисмо ограничили њихово прикупљање, а они се бришу или анонимизују у складу са одељком 11. Аутоматизована редакција открива структуриране обрасце — имејл адресе, бројеве телефона, IBAN-е, националне идентификационе бројеве и бројеве платних картица — и не може открити посебне категорије података изражене у слободном тексту. Када се на тај начин утврде забрањени подаци — бројеви платних картица, национални идентификациони бројеви и IBAN кодови — њихово уклањање је неповратно и изворна вредност се не чува ни у једном од наших система; имејл адресе и бројеви телефона, који не представљају забрањене податке, подлежу режиму описаном у Прилогу II. Изван тих мера не преузимамо никакву одговорност за забрањене податке које Крајњи купац одлучи да достави, или које Клијент достави или проузрокује да буду достављени. Као руковалац, Клијент остаје одговоран за информације о приватности представљене Крајњим купцима и за правни основ обраде коју наложи.
Ако било која уговорна страна сазна да су достављени забрањени подаци, о томе без непотребног одлагања обавештава другу страну, а ми податке бришемо по упутству Клијента.
13. Одговорност и редослед првенства
Одговорност сваке уговорне стране по овом DPA подлеже ограничењима и искључењима из Услова коришћења. У случају неслагања, редослед првенства је: (1) Стандардне уговорне клаузуле (где се примењују), (2) овај DPA, (3) Услови коришћења, (4) Политика приватности.
14. Меродавно право
На овај DPA примењују се исто право и иста надлежност као на Услове коришћења (право Румуније), осим када Стандардне уговорне клаузуле или принудни прописи о заштити података налажу другачије. Овај DPA састављен је на енглеском језику; преводи се пружају ради лакшег разумевања, а у случају неслагања меродавна је енглеска верзија.
Анекс И — Појединости о обради
- Предмет: пружање Услуге Ovebot за AI корисничку интеракцију.
- Трајање: период важења Услова коришћења увећан за важеће рокове задржавања.
- Природа и сврха: хостовање, пријем, чување, редакција, анализа и пренос личних података ради рада AI чет асистента, генерисања одговора и препорука, усмеравања предаје људском оператеру и везивања поруџбина за аналитику Клијента.
- Категорије лица на која се подаци односе: посетиоци сајта и Крајњи купци Клијента, као и његови Корисници.
- Категорије личних података: садржај разговора, IP адреса (скраћена после 90 дана), имејл адресе и бројеви телефона које Крајњи купац саопшти у тексту разговора или путем обрасца у чет-у, подаци поруџбине унети у образац у чет-у, идентификатори праћења поруџбина, референце производа на које је кликнуто и псеудонимни идентификатори колачића (ovebot_vid, ovebot_sid).
- Посебне категорије: не траже се и не обрађују се свесно — забрањене су према одељку 12. Сви такви подаци које Крајњи купац изнесе на сопствену иницијативу подлежу редакцији и бришу се или анонимизују у складу са одељком 11.
Анекс II — Техничке и организационе мере
- Аутоматизовано маскирање личних података утврђених у тексту разговора, које се примењује пре чувања и пре преноса језичком моделу (LLM). Бројеви платних картица, IBAN кодови и национални идентификациони бројеви уклањају се неповратно и не чувају се ни у једном од наших система. Имејл адресе и бројеви телефона замењују се ознакама и у сачуваном садржају разговора и у садржају који се преноси језичком моделу; изворна вредност чува се одвојено, у режиму псеудонимизације у смислу чл. 4(5) GDPR-а, и поново се повезује са поруком искључиво при приказу разговора овлашћеном особљу Клијента и при остваривању права на приступ од стране лица на које се подаци односе. Тако сачуване вредности бришу се заједно са разговором из којег потичу, у складу са одељком 11.
- Шифровање у преносу (TLS) и шифровање у мировању за похрањене податке и резервне копије.
- Изолација базе података по клијентском окружењу и ручно раздвајање Redis кључева ради спречавања цурења података између клијентских окружења.
- Контрола приступа, начело најмањих привилегија, вишефакторска аутентификација и листа дозвољених IP адреса за административни приступ.
- Анонимизација IP адреса после 90 дана; кључеви везивања у облику хеша са сољу бришу се после 90 дана.
- Задржавање везано за тарифни план уз аутоматизовану анонимизацију садржаја разговора по истеку прозора задржавања.
- Потписани, строго неопходни колачићи прве стране (без праћења трећих страна, без дигиталног отиска).
- Ревизорски трагови о потврди пристанка и обавештења о приватности, као и о радњама брисања према GDPR-у.
- Заказани послови чишћења, поступци израде резервних копија са периодичним тестирањем, евидентирање и праћење.
- Уговори са подобрађивачима којима се намећу истоврсне обавезе.
Анекс III — Подобрађивачи
Актуелна листа одобрених подобрађивача, њихова сврха, локација и гаранције за пренос воде се на https://ovebot.ai/sr/legal/sub-processors и чине саставни део овог DPA.
Последње ажурирање: 2026-07-17