Aneks o obradi podataka (DPA)

Poslednje ažuriranje: 4. avgust 2026. (verzija 2026-08-04.2)

Ovaj Aneks o obradi podataka („DPA") čini sastavni deo Uslova korišćenja i uređuje obradu podataka o ličnosti koju WorkThroughLine („Obrađivač") vrši u ime organizacije korisnika („Rukovalac") pri pružanju usluge. Sačinjen je u skladu sa čl. 45 Zakona o zaštiti podataka o ličnosti Republike Srbije („ZZPL") i čl. 28 Opšte uredbe EU o zaštiti podataka („GDPR"). Prihvatanjem Uslova pri registraciji organizacije, administrator prihvata i ovaj DPA u ime Rukovaoca; prihvatanje se evidentira sa verzijom dokumenta.

1. Predmet i uloge

Rukovalac: organizacija koja koristi Platformu i unosi sadržaj.
Obrađivač tokom besplatne beta faze: WorkThroughLine (kontakt: [email protected]). Puni podaci ugovornog obrađivača biće uneti pre prvog plaćenog ugovora.
Predmet obrade: skladištenje, prikaz i obrada sadržaja koji Rukovalac unese u Platformu, isključivo radi pružanja usluge.

2. Vrste podataka i lica na koja se odnose

Podaci članova tima: ime, poslovna e-adresa, uloga, avatar, aktivnosti u Platformi.
Sadržaj rada: ciljevi, OKR, work item-i, komentari, dokumenti, prijave (intake).
Discovery sadržaj: beleške sa intervjua i analiza, uključujući podatke sagovornika/kupaca koje Rukovalac unese (ime, kontakt, iskazi).
Lica: zaposleni i saradnici Rukovaoca, te treća lica čije podatke Rukovalac unese (npr. sagovornici u intervjuima).

3. Uputstva Rukovaoca

Podatke obrađujemo samo po dokumentovanim uputstvima Rukovaoca - korišćenje funkcionalnosti Platforme smatra se uputstvom. Ne koristimo ih za sopstvene svrhe, ne prodajemo ih i ne koristimo za treniranje modela. Ako smatramo da neko uputstvo krši propise o zaštiti podataka, obavestićemo Rukovaoca bez odlaganja.

4. Poverljivost

Pristup podacima imaju samo lica kojima je to neophodno za pružanje usluge i koja su obavezana na poverljivost (ugovorom ili zakonom).

5. Bezbednosne mere

Enkripcija u prenosu (TLS) na svim javnim vezama.
Izolacija zakupaca na nivou aplikacije i na nivou baze (Row-Level Security - svaki upit je ograničen na organizaciju iz sesije).
Kontrola pristupa po ulogama; lozinke se čuvaju isključivo heširane (bcrypt); sesije sa rotirajućim tokenima i detekcijom zloupotrebe.
Administratori mogu izvesti dostupne organizacione podatke kao JSON i work item-e kao CSV; audit log pokriva ključne strategy, discovery i delivery izmene.
Pristup produkcionoj infrastrukturi ograničen na ovlašćena lica, uz ključeve/2FA.

6. Podobrađivači

Rukovalac daje opštu saglasnost na angažovanje sledećih podobrađivača:

Podobrađivač	Svrha	Lokacija
Bluehost	Iznajmljeni server (VPS) na kom rade aplikacija, API i baza podataka	EU (Amsterdam, Holandija)
Cloudflare, Inc.	DNS, zaštita i posredovanje saobraćaja	globalno (EU tačke prisustva)
Resend, Inc.	Slanje transakcionih e-poruka (pozivnice, dobrodošlica, resetovanje lozinke) - obrađuje ime i poslovnu e-adresu člana tima	SAD
Google LLC (Drive)	Off-site disaster-recovery kopije; sadržaj baze i runtime konfiguracija čuvaju se isključivo u restic-šifrovanom repozitorijumu	SAD / globalno
Functional Software, Inc. (Sentry, opciono)	Dijagnostika produkcionih grešaka kada je integracija uključena; bez podrazumevanog slanja PII i bez lokalnih promenljivih	SAD / izabrani region
Slack Technologies (Salesforce) i Microsoft (Teams)	Obaveštenja u kanal radnog prostora Rukovaoca ili u lični chat člana tima - samo ako Rukovalac (odnosno član tima) sam poveže integraciju unošenjem webhook adrese. Prenose se ime osobe koja je izvršila radnju, oznaka i naziv stavke i link, ne i ceo sadržaj. Webhook adresa i tokeni čuvaju se šifrovano (AES-256-GCM).	SAD / globalno
Anthropic	AI funkcije preko Claude Code / MCP - samo ako ih Rukovalac sam poveže sopstvenim API ključem. U tom toku sadržaj ka modelu šalje klijent Rukovaoca, pod uslovima i planom koje je Rukovalac zaključio sa pružaocem. AI funkcije ugrađene u Platformu ne šalju sadržaj eksternom modelu.	SAD

O nameri dodavanja ili zamene podobrađivača obavestićemo administratore najmanje 15 dana unapred; Rukovalac ima pravo prigovora. Google Analytics se koristi samo na marketinškim stranicama uz pristanak posetioca i nije podobrađivač za sadržaj Platforme.

7. Pomoć Rukovaocu

Uzimajući u obzir prirodu obrade, pomažemo Rukovaocu u odgovaranju na zahteve lica (pristup, ispravka, brisanje, prenosivost) - pre svega kroz funkcionalnosti Platforme, a po potrebi i neposredno. Pomažemo i pri proceni uticaja (DPIA) i prethodnim konsultacijama, u razumnoj meri.

8. Povreda podataka

O povredi podataka o ličnosti koja se tiče podataka Rukovaoca obavestićemo administratore Rukovaoca bez nepotrebnog odlaganja, a najkasnije u roku od 72 sata od saznanja, sa opisom povrede, verovatnim posledicama i preduzetim merama.

9. Brisanje i vraćanje podataka

Tokom trajanja usluge Rukovalac može izvesti svoje podatke (izvoz) ili zatražiti pomoć pri izvozu.
Šifrovane rezervne kopije rotiraju se po politici 14 dnevnih, 8 nedeljnih i 12 mesečnih snimaka; istekle kopije se trajno uklanjaju iz namenskog repozitorijuma.
Rukovalac može izvesti dostupne podatke i zatražiti brisanje. Obavezujući postupak brisanja, rokovi čuvanja i puni podaci ugovorne strane biće definisani pre prvog plaćenog ugovora.

10. Provere

Na zahtev stavljamo Rukovaocu na raspolaganje informacije potrebne za dokazivanje usklađenosti sa ovim DPA i omogućavamo provere (audit) - po pravilu jednom godišnje, uz razumnu najavu i bez ugrožavanja podataka drugih zakupaca.

11. Prenosi podataka

Podaci se primarno obrađuju na serverima u EU (Amsterdam, Holandija). Svaki prenos u treće zemlje (npr. opciona AI funkcija preko Anthropic-a) vrši se samo uz odgovarajuće mehanizme zaštite (odluka o adekvatnosti ili standardne ugovorne klauzule).

12. Trajanje i merodavno pravo

DPA važi dok traje korišćenje usluge. Primenjuje se pravo Republike Srbije, uz primenu GDPR-a gde je relevantno. U slučaju nesaglasnosti između DPA i Uslova korišćenja u pitanjima obrade podataka, prednost ima DPA.

Vidi i: Uslovi korišćenja · Obrada podataka o ličnosti · DPA · Polisa kolačića · Otkazivanje i povraćaj