Ugovor o obradi osobnih podataka

Prema članku 28. Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka). Verzija 1.0, listopad 2026.

1. Stranke

Voditelj obrade: ordinacija koja je otvorila račun na Smile Labu, s podacima navedenima u nadzornoj ploči (naziv, adresa, OIB, e-pošta) (dalje: Voditelj).

Izvršitelj obrade: LIMEN Group d.o.o., Ulica Varoš - Via Varos 67, 52100 Pula, OIB 85736498671 (dalje: Izvršitelj).

Ovaj ugovor sastavni je dio Uvjeta korištenja i sklapa se prihvaćanjem uvjeta pri otvaranju računa. U slučaju neslaganja između ovog ugovora i uvjeta, za pitanja obrade osobnih podataka vrijedi ovaj ugovor.

2. Predmet, priroda i svrha obrade

Izvršitelj u ime Voditelja obrađuje osobne podatke posjetitelja web stranice Voditelja koji koriste Smile Lab widget, u svrhu: (a) izrade simulacije osmijeha iz fotografije koju posjetitelj učita, (b) prikaza i privremene pohrane simulacije radi preuzimanja, (c) zaprimanja i prikaza zahtjeva za konzultacije u nadzornoj ploči Voditelja, (d) dokazivanja privole i zaštite usluge od zlouporabe.

Obrada obuhvaća prikupljanje, privremenu pohranu, prijenos podizvršitelju radi izrade simulacije, prikaz, čuvanje zahtjeva za konzultacije i brisanje.

3. Vrste podataka i kategorije ispitanika

Kategorije ispitanika: posjetitelji web stranice Voditelja, uključujući potencijalne i postojeće pacijente. Usluga nije namijenjena osobama mlađima od 16 godina, a widget traži potvrdu dobi.

4. Trajanje

Ovaj ugovor vrijedi dok traje pretplata Voditelja na uslugu. Odredbe o brisanju i povjerljivosti vrijede i nakon prestanka.

5. Obveze Izvršitelja

• Obrađuje osobne podatke samo prema dokumentiranim uputama Voditelja. Uputom se smatra korištenje usluge u skladu s Uvjetima korištenja i postavkama u nadzornoj ploči. Ako Izvršitelj smatra da je neka uputa protivna propisima, odmah će o tome obavijestiti Voditelja.
• Osigurava da su osobe ovlaštene za obradu obvezane na povjerljivost.
• Provodi tehničke i organizacijske mjere iz Priloga A.
• Angažira podizvršitelje samo pod uvjetima iz točke 6.
• Pomaže Voditelju, koliko je to moguće s obzirom na prirodu obrade, u odgovaranju na zahtjeve ispitanika (pristup, ispravak, brisanje, ograničenje, prigovor, prenosivost). Zahtjev ispitanika zaprimljen izravno kod Izvršitelja prosljeđuje Voditelju bez odgode, a na traženje Voditelja izvršava brisanje u roku od 7 dana.
• Pomaže Voditelju u ispunjavanju obveza iz članaka 32. do 36. Opće uredbe (sigurnost obrade, izvješćivanje o povredama, procjena učinka na zaštitu podataka), uzimajući u obzir prirodu obrade i informacije koje su mu dostupne.
• O povredi osobnih podataka obavještava Voditelja bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja, s opisom povrede, vjerojatnim posljedicama i poduzetim mjerama, kako bi Voditelj mogao ispuniti svoju obvezu prema nadzornom tijelu u roku od 72 sata.
• Nakon prestanka pružanja usluge briše sve osobne podatke obrađene u ime Voditelja u roku od 90 dana, osim ako propis nalaže njihovo čuvanje. U tom roku Voditelj može preuzeti zahtjeve za konzultacije iz nadzorne ploče, a na zahtjev mu ih dostavljamo u strojno čitljivom obliku (CSV).
• Stavlja Voditelju na raspolaganje informacije potrebne za dokazivanje usklađenosti s člankom 28. Opće uredbe i omogućuje revizije iz točke 8.

6. Podizvršitelji

Voditelj daje opće ovlaštenje za angažiranje podizvršitelja navedenih u Prilogu B. Izvršitelj obavještava Voditelja e-poštom o namjeravanoj promjeni ili dodavanju podizvršitelja najmanje 14 dana unaprijed. Voditelj može u tom roku uložiti obrazloženi prigovor. Ako se prigovor ne može riješiti, Voditelj može otkazati pretplatu s učinkom prije početka rada novog podizvršitelja, uz povrat razmjernog dijela plaćenog iznosa.

Izvršitelj svakom podizvršitelju ugovorom nameće obveze zaštite podataka koje su u bitnome jednake obvezama iz ovog ugovora i ostaje u potpunosti odgovoran Voditelju za rad podizvršitelja.

7. Prijenos podataka izvan EU/EGP-a

Poslužitelji Izvršitelja nalaze se u Europskoj uniji (Frankfurt). Za izradu simulacije fotografija se šalje servisu Google Gemini (plaćena usluga Gemini API). Prema uvjetima te usluge Google ne koristi poslane fotografije ni rezultate za poboljšanje svojih proizvoda ni za treniranje modela, a zapise čuva ograničeno vrijeme isključivo radi otkrivanja zlouporabe. Google podatke može obrađivati u bilo kojoj zemlji u kojoj ima postrojenja, uključujući SAD. Taj prijenos uređen je Googleovim Dodatkom o obradi podataka, koji uključuje standardne ugovorne klauzule Europske komisije, te Okvirom za zaštitu podataka EU-SAD, prema kojem je Google LLC certificiran. Izvršitelj neće prenositi podatke u treće zemlje izvan ovih okvira bez prethodne obavijesti Voditelju.

8. Revizija

Voditelj može jednom godišnje, uz najavu od 30 dana, zatražiti pisane odgovore o mjerama iz Priloga A i dokaze o njihovoj primjeni. Ako to nije dovoljno za dokazivanje usklađenosti, Voditelj ili revizor kojeg ovlasti, a koji nije konkurent Izvršitelja, može obaviti reviziju u radno vrijeme, na način koji ne ometa rad usluge, uz obvezu povjerljivosti. Troškove revizije snosi Voditelj, osim ako revizija utvrdi bitnu povredu ovog ugovora.

9. Obveze Voditelja

• Voditelj je odgovoran za zakonitost obrade, uključujući pravnu osnovu, informiranje posjetitelja o obradi (na primjer, u svojoj politici privatnosti, s poveznicom na politiku privatnosti Smile Laba) i procjenu učinka na zaštitu podataka ako je potrebna.
• Voditelj koristi zahtjeve za konzultacije samo za odgovor na njih i ne prenosi ih trećima bez pravne osnove.
• Voditelj čuva pristupne podatke za nadzornu ploču i ograničava pristup na osobe kojima je on potreban.

10. Odgovornost i završne odredbe

Svaka stranka odgovara za štetu koju prouzroči kršenjem svojih obveza iz ovog ugovora i Opće uredbe. Prema ispitanicima stranke odgovaraju u skladu s člankom 82. Opće uredbe. Ograničenje odgovornosti iz Uvjeta korištenja ne primjenjuje se na štetu koju Izvršitelj prouzroči namjerom ili krajnjom nepažnjom ni na kazne i zahtjeve ispitanika koji proizlaze iz Izvršiteljeva kršenja ovog ugovora. Na ovaj ugovor primjenjuje se pravo Republike Hrvatske. Nadležan je sud u Puli.

Prilog A: Tehničke i organizacijske mjere

Prilog B: Podizvršitelji

Zadnja izmjena popisa podizvršitelja: listopad 2026.