Ugovor o obradi podataka

Između vrtića i društva 4V3D OÜ, za grupnu uslugu Minute Mission. Verzija 1.0, 23. rujna 2026.

Ovo je hrvatski prijevod ugovora, objavljen kako biste ga mogli pročitati na vlastitom jeziku. Mjerodavni su engleski i estonski tekst, a estonski je onaj koji potpisuju klijenti u Estoniji. Ako se ovdje nešto razlikuje od engleskog teksta, vrijedi engleski tekst.

Kako sklopiti ovaj ugovor

Dva načina, s istim učinkom.

• Pri kupnji. Označite kućicu kojom prihvaćate ovaj ugovor, verziju 1.0. Verzija i datum bilježe se uz vaš račun, primjerak točno onog teksta koji ste prihvatili šaljemo vam e-poštom, a ostaje vam dostupan i na računu.
• Na papiru, ako vaša ustanova treba potpis. Zatražite ga na info@4v3d.ee i poslat ćemo vam isti tekst kao dokument, s tablicom za vaše podatke. Potpišite ga elektronički (kvalificiranim potpisom u smislu eIDAS-a, uslugom DocuSign, Adobe Sign ili vlastitim nacionalnim sustavom) i pošaljite natrag. Društvo 4V3D OÜ potpisuje istu datoteku i vraća vam je. Ugovor stupa na snagu s kasnijim od dvaju potpisa.

Izvršitelj obrade: 4V3D OÜ, matični broj 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonija. Zastupnik: Oskar Viil, član uprave. Kontakt: info@4v3d.ee.

1. Što ovaj ugovor obuhvaća

Vrtić (voditelj obrade) koristi se uslugom Minute Mission, mrežnom aplikacijom kojom upravlja 4V3D OÜ (izvršitelj obrade), u kojoj odgojiteljica vodi ploču s misijama i nagradama skupine. Za tu svrhu 4V3D OÜ obrađuje osobne podatke opisane u Prilogu II. u ime vrtića i prema njegovim uputama.

Ovaj ugovor sadržava sve ono što članak 28. stavak 3. Opće uredbe o zaštiti podataka (GDPR), kao i UK GDPR, zahtijeva da voditelj i izvršitelj obrade ugovore u pisanom obliku. Primjenjuje se bez obzira na to ima li vrtić poslovni nastan u EGP-u ili Ujedinjenoj Kraljevini.

2. Koje se pravo primjenjuje na vas

• Vrtić u EGP-u. Primjenjuje se Opća uredba. Primjenjuje se i odjeljak 3.
• Vrtić u Ujedinjenoj Kraljevini. Primjenjuju se UK GDPR i Data Protection Act 2018. Upućivanja na Opću uredbu u nastavku čitaju se kao upućivanja na UK GDPR, upućivanja na nadzorno tijelo kao upućivanja na Information Commissioner, a odjeljak 3 ne primjenjuje se.
• Vrtić bilo gdje drugdje. Na vas se primjenjuje vaše vlastito pravo zaštite podataka, a ove odredbe obvezuju 4V3D OÜ ugovorno. Društvo 4V3D OÜ ima poslovni nastan u Europskoj uniji, pa je za ovu obradu u svakom slučaju vezano Općom uredbom. Ništa ovdje ne umanjuje pravo koje vam daje vaše vlastito zakonodavstvo.

3. Standardne ugovorne klauzule Europske komisije

Ako vrtić ima poslovni nastan u EGP-u, stranke primjenjuju standardne ugovorne klauzule između voditelja obrade i izvršitelja obrade iz Priloga Provedbenoj odluci Komisije (EU) 2021/915, u njihovu službenom engleskom tekstu. Te su klauzule dio ovog ugovora, a prilozi u nastavku njihovi su prilozi. Klauzula 5 (pristupanje) ne primjenjuje se. U klauzuli 7.7 primjenjuje se mogućnost 2: opće pisano odobrenje podizvršitelja obrade, uz obavijest o svakoj promjeni 30 dana unaprijed. Ako su klauzule i ovaj ugovor u neskladu, prednost imaju klauzule.

4. Na što se svaka strana obvezuje

Društvo 4V3D OÜ obvezuje se da će:

• Osobne podatke obrađivati samo radi pružanja usluge i samo prema dokumentiranim uputama vrtića, uključujući upute o prijenosima u treću zemlju. Te su upute ovaj ugovor i način na koji vrtić koristi uslugu. Ako pravo Unije ili države članice od 4V3D OÜ zahtijeva drukčiju obradu, o tome će unaprijed obavijestiti vrtić, osim ako to pravo zabranjuje.
• Podatke nikada ne koristiti za vlastite svrhe, nikada ih ne prodavati, nikada ih ne upotrijebiti za treniranje ičega i nikada ih ne pokazati nikome izvan podizvršitelja obrade navedenih u Prilogu IV.
• Osigurati da su svi koji imaju pristup obvezani na povjerljivost.
• Održavati sigurnosne mjere iz Priloga III. i ne slabiti ih.
• Angažirati samo podizvršitelje obrade iz Priloga IV. Društvo 4V3D OÜ može nekoga dodati ili zamijeniti, a kontakt osobu vrtića o tome će pisano obavijestiti 30 dana unaprijed. Vrtić može prigovoriti u tih 30 dana; ako se prigovor ne uspije riješiti, vrtić može prekinuti uslugu i dobiva povrat za neiskorišteni dio mjeseca.
• Pomoći vrtiću da odgovori na zahtjev roditelja ili člana osoblja. Odgojiteljice i ravnatelj te podatke već mogu sami pregledati, ispraviti, izvesti i izbrisati u usluzi. Ako zahtjev umjesto toga stigne društvu 4V3D OÜ, prosljeđuje se kontakt osobi vrtića u roku od pet radnih dana i na njega se ne odgovara izravno.
• Pomoći vrtiću u ispunjavanju njegovih obveza iz članaka 32. do 36. (sigurnost, izvješćivanje o povredama, procjene učinka, prethodno savjetovanje), uzimajući u obzir ono što 4V3D OÜ stvarno zna.
• O povredi osobnih podataka obavijestiti kontakt osobu vrtića u roku od 24 sata od saznanja, s onim što je tada poznato, a ostalo kako se utvrdi.
• Po prestanku usluge izbrisati podatke u roku od 30 dana ili ih prije toga vratiti, ako vrtić to zatraži. Iz šifriranih sigurnosnih kopija nestaju u roku od 90 dana. Društvo 4V3D OÜ pisano potvrđuje kada ih više nema.
• Staviti na raspolaganje informacije potrebne za dokazivanje ispunjavanja ovih obveza i omogućiti reviziju. U praksi to znači pisane odgovore i dokumentaciju na zahtjev. Revizija na licu mjesta ili revizija koju provodi treća strana može se dogovoriti uz obavijest 30 dana unaprijed, o trošku vrtića, ne češće od jednom godišnje, osim ako je došlo do povrede.
• Odmah upozoriti vrtić ako se čini da neka uputa krši propise o zaštiti podataka.

Vrtić se obvezuje da će:

• Osigurati da za ovu obradu ima zakonitu osnovu i da su roditelji obaviješteni. Društvo 4V3D OÜ nema doticaja s roditeljima i to ne može učiniti umjesto vas.
• Podatke u usluzi ograničiti na ono što je opisano u Prilogu II. Posebno, u polje sa slobodnim tekstom nemojte upisivati prezime djeteta, podatke o zdravlju, procjenu djeteta ni bilo što o obiteljskim prilikama.
• Održavati podatke svog računa točnima i obavijestiti 4V3D OÜ o promjeni kontakt osobe.
• Upravljati računima vlastitog osoblja: ukloniti prijavu odgojiteljice kada ona odlazi.

5. Dvije stvari koje nisu obrada u vaše ime

Ovdje su izrečene jasno, da poslije nitko ne mora nagađati.

• Računi osoblja. Ime, adresa e-pošte i lozinka odgojiteljice ili ravnatelja potrebni su da usluga uopće radi, a o tome kako radi odlučuje 4V3D OÜ. Za tu usku svrhu 4V3D OÜ je voditelj obrade, a ne izvršitelj obrade, i primjenjuje se njegova vlastita politika privatnosti. Sve što se tiče djece obrada je u ime vrtića i obuhvaćeno je ovim ugovorom.
• Plaćanje. Ako vrtić plaća karticom, plaćanje obrađuje Stripe Payments Europe Ltd. Stripe prima naziv s računa, adresu, PDV broj, adresu e-pošte i podatke o kartici vrtića, a nijedan podatak o djetetu. Voditelj obrade tih podataka o plaćanju je 4V3D OÜ. Stripe stoga nije podizvršitelj obrade prema ovom ugovoru i nije naveden u Prilogu IV.

6. Trajanje, mjerodavno pravo i odgovornost

Ovaj ugovor traje sve dok 4V3D OÜ obrađuje podatke vrtića i ostaje na snazi nakon prestanka usluge do brisanja podataka.

Mjerodavno je estonsko pravo i nadležni su sudovi županije Harju, osim ako je vrtić javno tijelo čiji vlastiti propisi zahtijevaju nacionalno pravo i nacionalne sudove, u kojem se slučaju stranke o tome dogovore prije potpisivanja.

Odgovornost je uređena kako je navedeno u dokumentu Uvjeti korištenja usluge Minute Mission, koji ovaj ugovor dopunjuje, a ne zamjenjuje.

Prilog I. Stranke

Voditelj obrade: vrtić, utvrđen podacima koje navede pri kupnji ili unese u potpisani primjerak. Uloga: voditelj obrade podataka o djeci koji se vode na ploči skupine.

Izvršitelj obrade: 4V3D OÜ, matični broj 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonija. Kontakt: Oskar Viil, član uprave, info@4v3d.ee. Službenik za zaštitu podataka nije imenovan jer ga Opća uredba ovdje ne zahtijeva.

Svaka strana može promijeniti svoju kontakt osobu pisanom obavijesti drugoj strani.

Prilog II. Opis obrade

Prilog III. Sigurnosne mjere

• Podaci su u Europskoj uniji. Aplikacija i njezine sigurnosne kopije rade u podatkovnom centru društva Hetzner Online GmbH u Helsinkiju, Finska (s certifikatom ISO/IEC 27001). Servisna e-pošta šalje se preko društva Scaleway SAS u Francuskoj. Nema prijenosa u treću zemlju.
• Sve što je u prijenosu je šifrirano (HTTPS, uz primijenjen Content Security Policy). Lozinke se nikada ne pohranjuju, nego samo njihov hash, a i tokeni sesije pohranjuju se kao hash, pa kopija baze podataka nije skup ključeva koji rade.
• Svaka je skupina zaseban račun. Odgojiteljica vidi samo djecu u vlastitoj skupini. Ravnatelj ima jednu prijavu za sve svoje skupine i nema pristup ničijim drugima.
• Fotografije se na račun skupine ne mogu učitati, push obavijesti su isključene, a sličice djece ograničene su na zadani skup crteža.
• Dnevne šifrirane sigurnosne kopije, koje se čuvaju 14 dana na poslužitelju i 90 dana izvan njega. Šifrirane su javnim ključem koji sam poslužitelj nema, pa poslužitelj ne može pročitati vlastite sigurnosne kopije. Vraćanje iz sigurnosne kopije je isprobano.
• Pristup poslužitelju ima samo član uprave društva 4V3D OÜ. Nema zaposlenika, vanjskog suradnika ni agenta podrške s pristupom.
• Bez analitike, bez oglašivačkih alata i bez ikakvog praćenja. Jedino redovito izvješćivanje jest dnevni broj registracija, aktivnih računa i pogrešaka, u kojem nema imena.
• Ograničavanje broja pokušaja pri prijavi i registraciji te ograničenje od 30 dana na to koliko se unatrag misija može označiti obavljenom, kako pogreška ili zlouporaba ne bi mogle prepisati mjesece povijesti.
• Pisana sigurnosna revizija cijelog izvornog koda provedena je dvaput, od strane vanjskog modela, posljednji put 20. rujna 2026., a njezini su nalazi otklonjeni.

Prilog IV. Podizvršitelji obrade

Oba su u Europskoj uniji. Izvan EU-a nema nijednog podizvršitelja obrade, pa nema ni međunarodnog prijenosa koji bi trebalo procijeniti.