Ugovor o obradi osobnih podataka (čl. 28. Opće uredbe o zaštiti podataka)

Ovaj Ugovor sklapaju tvrtka koja koristi Operitivo, kao voditelj obrade, i Semicolon d.o.o., Rakovčeva ulica 60, 52100 Pula, OIB 03411437372, koji pruža uslugu Operitivo, kao izvršitelj obrade (zajedno: Stranke).

Ugovor je dio Uvjeta korištenja. Sklopljen je kad tvrtka prihvati Uvjete korištenja i ovaj Ugovor; u ime tvrtke prihvaća ga vlasnik računa tvrtke u Operitivu. Za svaku tvrtku postoji jedan Ugovor, bez obzira na broj njezinih korisnika i poslovnica.

Ugovor se odnosi na osobne podatke koje Operitivo obrađuje u ime tvrtke, opisane u Prilogu II., uključujući podatke o njezinim korisnicima i radnicima, dok tvrtka koristi uslugu i nakon toga dok se podaci ne izbrišu ili ne vrate (klauzula 10. točka (d)). Ne odnosi se na podatke za koje je Semicolon d.o.o. sam voditelj obrade: podatke za prijavu i kontakt za naplatu vlasnika računa, pretplatu i njezino plaćanje te zapise o prijavama i sigurnosti; za njih vrijedi Politika privatnosti.

Ugovor čine ove Uvodne odredbe, Klauzule u odjeljcima I. do III., Dodatne odredbe i prilozi I. do IV. Klauzule su izrađene prema standardnim ugovornim klauzulama iz Provedbene odluke Komisije (EU) 2021/915 od 4. lipnja 2021. i preuzimaju njezin službeni tekst, s odredbama koje se odnose na Uredbu (EU) 2016/679.

U pitanjima obrade osobnih podataka ovaj Ugovor ima prednost pred Uvjetima korištenja i Politikom privatnosti.

Tvrtka ovaj Ugovor može u svakom trenutku ispisati ili spremiti kao PDF s ove stranice. Ranije verzije šaljemo na zahtjev poslan na info@operitivo.com.

Svrha je ovih Klauzula osiguravanje usklađenosti s člankom 28. stavcima 3. i 4. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka).

Voditelji obrade i izvršitelji obrade s popisa u Prilogu I. suglasili su se s ovim Klauzulama kako bi se osigurala usklađenost s člankom 28. stavcima 3. i 4. Uredbe (EU) 2016/679.

Ove se Klauzule primjenjuju na obradu osobnih podataka kako je navedeno u Prilogu II.

Prilozi od I. do IV. čine sastavni dio Klauzula.

Ovim se Klauzulama ne dovode u pitanje obveze voditelja obrade iz Uredbe (EU) 2016/679.

Ove Klauzule same po sebi ne osiguravaju usklađenost s obvezama povezanima s međunarodnim prijenosima iz poglavlja V. Uredbe (EU) 2016/679.

Ove Klauzule nisu standardne ugovorne klauzule iz Provedbene odluke (EU) 2021/915, nego su izrađene prema njima: klauzula 5. nije preuzeta, a klauzula 7.7. nema točku (e). Ostale klauzule i točke imaju iste brojeve kao u toj Odluci.

Dodatne odredbe i prilozi ne smiju izravno ili neizravno proturječiti Klauzulama niti dovoditi u pitanje temeljna prava ili slobode ispitanika.

Ako se u ovim Klauzulama upotrebljavaju termini definirani u Uredbi (EU) 2016/679, ti termini imaju isto značenje kao i u toj uredbi.

Ove se Klauzule tumače u svjetlu odredaba Uredbe (EU) 2016/679.

Ove se Klauzule ne smiju tumačiti na način koji je protivan pravima i obvezama iz Uredbe (EU) 2016/679 ili na način kojim se dovode u pitanje temeljna prava ili slobode ispitanika.

U slučaju proturječnosti između ovih Klauzula i odredaba povezanih sporazuma između Stranaka koji postoje u trenutku kada su ove Klauzule dogovorene ili su sklopljeni nakon toga, ove Klauzule imaju prednost.

Detalji postupaka obrade, a posebno kategorije osobnih podataka i svrhe za koje se osobni podaci obrađuju u ime voditelja obrade, navode se u Prilogu II.

Izvršitelj obrade odmah obavješćuje voditelja obrade o svakom zahtjevu koji zaprimi od ispitanika. Izvršitelj obrade sam ne odgovara na taj zahtjev, osim ako ga za to ne ovlasti voditelj obrade.

Izvršitelj obrade pomaže voditelju obrade u ispunjavanju njegovih obveza da odgovori na zahtjeve ispitanika da ostvare svoja prava, uzimajući u obzir prirodu obrade. Pri ispunjavanju svojih obveza u skladu s točkama (a) i (b) izvršitelj obrade pridržava se uputa voditelja obrade.

Uz obvezu da pomaže voditelju obrade u skladu s Klauzulom 8. točkom (b), izvršitelj obrade pomaže voditelju obrade i u osiguravanju usklađenosti sa sljedećim obvezama, uzimajući u obzir prirodu obrade i informacije koje su dostupne izvršitelju obrade:

Stranke u Prilogu III. utvrđuju odgovarajuće tehničke i organizacijske mjere s pomoću kojih izvršitelj obrade pomaže voditelju obrade u primjeni ove Klauzule te opseg i razmjere potrebne pomoći.

U slučaju povrede osobnih podataka izvršitelj obrade surađuje s voditeljem obrade i pomaže mu u poštovanju obveza iz članaka 33. i 34. Uredbe (EU) 2016/679, uzimajući u obzir prirodu obrade i informacije koje su dostupne izvršitelju obrade.

Ne dovodeći u pitanje odredbe Uredbe (EU) 2016/679, ako izvršitelj obrade prekrši obveze iz ovih Klauzula, voditelj obrade može naložiti izvršitelju obrade da prekine obradu osobnih podataka dok izvršitelj obrade ne osigura pridržavanje ovih Klauzula ili do raskida ugovora. Izvršitelj obrade bez odgode obavješćuje voditelja obrade ako se zbog bilo kojeg razloga ne može pridržavati ovih Klauzula.

Voditelj obrade ima pravo raskinuti ugovor u mjeri u kojoj se to odnosi na obradu osobnih podataka u skladu s ovim Klauzulama ako je:

Izvršitelj obrade smije raskinuti ugovor u mjeri u kojoj se to odnosi na obradu osobnih podataka u skladu s ovim Klauzulama ako, nakon što je obavijestio voditelja obrade da njegove upute krše primjenjive pravne zahtjeve iz Klauzule 7.1. točke (b), voditelj obrade ustrajava na poštovanju tih uputa.

Nakon raskida ugovora izvršitelj obrade mora, prema izboru voditelja obrade, izbrisati sve osobne podatke koje je obrađivao u ime voditelja obrade i potvrditi voditelju obrade da je to učinio, ili vratiti voditelju obrade sve osobne podatke i izbrisati sve kopije, osim ako je pravom Unije ili države članice propisana obveza pohrane osobnih podataka. Dok se podaci ne izbrišu ili ne vrate, izvršitelj obrade nastavlja osiguravati usklađenost s ovim Klauzulama.

Tvrtka odgovara za to da ima pravnu osnovu za obradu osobnih podataka koje unosi u Operitivo ili koje Operitivo za nju prima, i da je ispitanike obavijestila o obradi (čl. 6., 13. i 14. Opće uredbe).

Dokumentirane upute tvrtke iz klauzule 7.1. su Uvjeti korištenja, ovaj Ugovor i radnje koje tvrtka i njezini korisnici izvrše u Operitivu, kao što su unos klijenta, slanje ponude e-poštom, izdavanje računa ili povezivanje s Minimaxom. Ostale upute tvrtka daje pisano na info@operitivo.com.

Tvrtka određuje koji njezini korisnici imaju pristup Operitivu i s kojom ulogom, i odgovara za njihove radnje u Operitivu.

Tvrtka u slobodna tekstualna polja (bilješke, opisi, napomene) ne unosi osjetljive podatke iz klauzule 7.5., ni dijagnozu ni druge podatke o zdravlju u napomenu uz bolovanje. Jedini podatak o zdravlju koji Operitivo predviđa je bolovanje, koje se bilježi kao vrsta odsutnosti radnika i kao status radnika (Prilog II.); tvrtka ga obrađuje kao poslodavac, na temelju propisa o radu (čl. 9. st. 2. t. (b) Opće uredbe).

Obavijest iz klauzule 9.2. Operitivo šalje najkasnije 48 sati nakon što sazna za povredu, e-poštom vlasniku računa i administratorima tvrtke. Ako sve informacije još nisu poznate, prva obavijest sadrži one koje jesu, a ostale šaljemo čim ih saznamo.

Nadzorno tijelo i ispitanike o povredi obavješćuje tvrtka kao voditelj obrade (čl. 33. i 34. Opće uredbe). Operitivo joj u tome pomaže prema klauzuli 9., a umjesto nje ih obavješćuje samo ako ga ona na to pisano ovlasti.

Obavijest iz klauzule 7.7. točke (a) šaljemo e-poštom vlasniku računa i administratorima tvrtke, prikazujemo je u aplikaciji i upisujemo u popis promjena u Prilogu IV., najmanje 30 dana prije nego novi podizvršitelj obrade počne obrađivati podatke tvrtke. Obavijest navodi podizvršitelja obrade, njegovu zadaću, gdje obrađuje podatke i na kojoj se osnovi podaci prenose izvan Europskog gospodarskog prostora, ako se prenose.

Tvrtka prigovor daje pisano na info@operitivo.com prije isteka tog roka. Na prigovor Operitivo za tu tvrtku ne koristi novog podizvršitelja obrade, na primjer tako da joj isključi funkciju koja ga treba. Ako to nije moguće, tvrtka do dana promjene može raskinuti ugovor bez troškova, a Operitivo joj vraća neiskorišteni dio unaprijed plaćene pretplate. Do tada podaci te tvrtke ne dolaze do novog podizvršitelja obrade.

Informacije iz klauzule 7.6. točke (c) dajemo najprije kao dokumentaciju: opis mjera iz Priloga III., izvješća SOC 2 ili ISO 27001 podizvršitelja obrade, koliko ih oni dopuštaju dati, i odgovore na upitnik tvrtke.

Ako dokumentacija nije dovoljna, tvrtka može provesti reviziju na daljinu ili u prostorijama Semicolon d.o.o., najavljenu najmanje 30 dana unaprijed, u pravilu jednom godišnje. Kad postoje naznake kršenja ovog Ugovora ili reviziju traži nadzorno tijelo, ne vrijedi ni ograničenje na jednu reviziju godišnje ni rok od 30 dana, nego se revizija najavljuje u razumnom roku.

Reviziju provodi tvrtka sama ili revizor kojeg ona izabere, a koji se pisano obvezao na povjerljivost. Revizija ne obuhvaća podatke drugih tvrtki.

Ugovor traje dok tvrtka koristi Operitivo i nakon toga dok Operitivo ne izbriše ili ne vrati njezine podatke prema ovoj točki.

Tijekom korištenja usluge i 30 dana nakon njezina prestanka tvrtka svoje podatke može preuzeti iz Operitiva (na primjer PDF računa i ponuda). Na pisani zahtjev poslan u tom roku Operitivo joj šalje izvoz svih njezinih podataka u strojno čitljivom obliku (CSV ili JSON), s njezinim datotekama. To je vraćanje podataka iz klauzule 10. točke (d).

Najkasnije 60 dana nakon prestanka korištenja usluge Operitivo briše podatke tvrtke iz baze podataka i spremišta datoteka s kojima usluga radi i e-poštom to potvrđuje vlasniku računa.

Nakon toga podaci tvrtke ostaju još samo u ovim kopijama, dok ne nestanu:

Zapisi kod podizvršitelja obrade (poslane e-poruke, izvješća o greškama, zapisi rada poslužitelja) brišu se istekom njihovih rokova čuvanja.

Na pisanu uputu tvrtke danu prije isteka roka iz točke 5.2. Operitivo umjesto brisanja čuva arhivu njezinih računa i drugih zapisa koje tvrtka mora čuvati po zakonu, samo za čitanje, do isteka zakonskog roka čuvanja svakog zapisa. Prije toga Operitivo prekida veze tvrtke s Minimaxom i drugim povezanim uslugama, pa se arhiva više ne mijenja. Za to vrijeme ovaj Ugovor i dalje vrijedi za tu arhivu.

Bez takve upute Operitivo ne čuva podatke tvrtke nakon rokova iz ove točke. Čuvanje računa i poslovne dokumentacije obveza je tvrtke (čl. 66. st. 18. i čl. 108. Općeg poreznog zakona, čl. 82. Zakona o porezu na dodanu vrijednost, čl. 10. i 13. Zakona o računovodstvu i čl. 35. Zakona o fiskalizaciji), pa ih tvrtka preuzima prije brisanja.

Popis podizvršitelja obrade mijenja se prema klauzuli 7.7. i točki 3. ovih Dodatnih odredaba.

Ostale izmjene ovog Ugovora Operitivo najavljuje e-poštom vlasniku računa i u aplikaciji najmanje 30 dana prije nego stupe na snagu, sa sažetkom izmjena. Izmjena za tvrtku vrijedi kad je prihvati. Tvrtka koja izmjenu ne prihvati može do dana stupanja izmjene na snagu raskinuti ugovor bez troškova, a Operitivo joj vraća neiskorišteni dio unaprijed plaćene pretplate.

Na ovaj Ugovor primjenjuje se pravo Republike Hrvatske. Za sporove je nadležan sud određen Uvjetima korištenja. Mjerodavan je hrvatski tekst; engleski i njemački tekst su prijevodi.

Naziv, OIB i adresa: tvrtka koja je prihvatila ovaj Ugovor, kako je upisana u Operitivu (Postavke, podaci o tvrtki).

Osoba za kontakt: vlasnik računa tvrtke u Operitivu, na adresi e-pošte svog korisničkog računa. Obavijesti iz ovog Ugovora dobivaju i administratori tvrtke.

Službenik za zaštitu podataka: ako ga je tvrtka imenovala, njegove podatke javlja na info@operitivo.com.

Prihvaćanje: vlasnik računa prihvaća Ugovor u Operitivu, a Operitivo bilježi datum i verziju koju je prihvatio.

Naziv: Semicolon d.o.o., OIB 03411437372

Adresa: Rakovčeva ulica 60, 52100 Pula, Hrvatska

Osoba za kontakt: Bojan Dragojević, direktor, info@operitivo.com

Službenik za zaštitu podataka: nije imenovan; čl. 37. Opće uredbe ga za Semicolon d.o.o. ne propisuje.

Prihvaćanje: Semicolon d.o.o. Ugovor prihvaća objavom na ovoj stranici, a s pojedinom tvrtkom vrijedi od dana kad ga ta tvrtka prihvati.

klijenti tvrtke i njihove kontakt osobe

potencijalni klijenti i osobe koje se tvrtki jave upitom

primatelji ponuda, računa i drugih dokumenata tvrtke

osobe koje potpisuju radne naloge i osobe koje se vide na fotografijama s terena

radnici tvrtke i korisnici njezina računa u Operitivu

kontakt osobe dobavljača i osobe navedene u dokumentima dobavljača (skenirani računi dobavljača i zaprimljeni eRačuni)

ime i prezime, OIB ili PDV identifikacijski broj, adresa, e-pošta i telefon

IBAN, iznosi, način i status plaćanja

sadržaj ponuda, poslova, radnih naloga, računa, upita, bilješki i priloženih dokumenata

vozila tvrtke (registracijska oznaka, broj šasije, kilometraža, registracija i osiguranje) i radni nalozi na kojima su korištena

mjesta usluge (adrese, koordinate i napomene o pristupu) te nekretnine i oprema klijenata

potpisi na radnim nalozima, s imenom, e-poštom, IP adresom i uređajem potpisnika, i fotografije s terena

podaci o radnicima: korisnički račun, uloga, radno mjesto, satnica, dodijeljeni poslovi i vrijeme rada na nalozima, raspored, godišnji odmor i druge odsutnosti

za korisnike koji izdaju račune: OIB operatera, koji se šalje uz fiskalizirani račun, a kad ih Operitivo upisuje u Minimax kao blagajnike i spol

podaci o dobavljačima i stavkama sa skeniranih računa dobavljača i zaprimljenih eRačuna

Usluga nije namijenjena obradi osjetljivih podataka iz klauzule 7.5., osim jednog: bolovanje, koje se bilježi kao vrsta odsutnosti radnika (s datumima) i kao status radnika, bez dijagnoze, a podatak je koji se odnosi na zdravlje. Tvrtka ga obrađuje kao poslodavac, na temelju propisa o radu (čl. 9. st. 2. t. (b) Opće uredbe). Vide ga samo korisnici čija uloga smije vidjeti radnike, a odsutnosti i sam radnik; Operitivo ga ne koristi ni za što drugo. Dijagnozu ni druge podatke o zdravlju tvrtka ne upisuje ni u napomenu uz bolovanje (točka 1.4. Dodatnih odredaba).

Potpisi i fotografije nisu biometrijski podaci, jer se ne obrađuju posebnim tehničkim sredstvima koja omogućuju jedinstvenu identifikaciju osobe (čl. 4. t. 14. i uvodna izjava 51. Opće uredbe).

Ostale osjetljive podatke tvrtka ne unosi (točka 1.4. Dodatnih odredaba).

pohrana podataka i njihov prikaz u web i mobilnoj aplikaciji

pohrana datoteka (fotografije, prilozi, skenirani računi, PDF dokumenti)

izrada PDF dokumenata

slanje e-pošte i push obavijesti

fiskalizacija računa kod Porezne uprave i slanje eRačuna preko informacijskog posrednika kojeg tvrtka izabere

prepoznavanje teksta na skeniranim računima dobavljača i izdvajanje stavki iz njih i iz popisa materijala koji radnik izdiktira ili upiše, s pomoću jezičnog modela umjetne inteligencije

praćenje grešaka, korisnička podrška i sigurnosne kopije

prijenos podataka u usluge koje tvrtka sama poveže, kao što su Minimax ili Google kalendar, na njezinu uputu

Pružanje usluge Operitivo tvrtki prema Uvjetima korištenja: vođenje klijenata, upita, ponuda, poslova, radnih naloga, računa, skladišta, vozila, opreme, radnika i kalendara, izdavanje i fiskalizacija računa, slanje i primanje eRačuna te podrška korisnicima tvrtke.

Dok tvrtka koristi Operitivo, a nakon toga do brisanja ili vraćanja podataka prema točki 5. Dodatnih odredaba; za arhivu koju tvrtka zatraži prema točki 5.6. do isteka zakonskih rokova čuvanja.

Predmet, priroda i trajanje obrade kod svakog podizvršitelja obrade navedeni su u Prilogu IV. Podizvršitelj obrade obrađuje podatke samo za zadaću navedenu ondje i samo dok traje obrada kod Operitiva, osim zapisa iz točke 5.5. Dodatnih odredaba.

Aplikaciji se pristupa samo preko HTTPS-a (TLS). Aplikacija se s bazom podataka, spremištem datoteka, Poreznom upravom i podizvršiteljima obrade povezuje šifriranim vezama (TLS), a s Poreznom upravom i uz certifikat tvrtke.

Baza podataka, spremište datoteka i sigurnosne kopije šifrirani su u pohrani kod pružatelja (Prilog IV.).

Certifikat za fiskalizaciju i njegovu lozinku, ključeve informacijskog posrednika za eRačun, lozinku za Minimax i pristup Google kalendaru aplikacija dodatno šifrira (AES-256-GCM) ključem koji se ne čuva u bazi podataka.

Lozinke korisnika spremaju se samo kao sažetak (bcrypt).

Sigurnosne kopije baze podataka šifriraju se (AES-256) prije nego se pohrane na odvojenoj lokaciji.

Svaki zapis u bazi podataka pripada jednoj tvrtki, a aplikacija pri svakom zahtjevu prijavljenog korisnika čita i mijenja samo zapise njegove tvrtke; iznimka je klijentova poveznica za potpis, opisana u sljedećoj točki.

Datoteke tvrtke (fotografije s terena, potpisani radni nalozi, prilozi, skenirani računi) su u privatnom spremištu, u mapi te tvrtke. Otvaraju se kroz aplikaciju nakon provjere prijave i dozvole, preko poveznica koje mobilna aplikacija dobiva potpisane na 6 sati, ili, za radni nalog poslan klijentu na potpis, preko klijentove poveznice za potpis, koja bez prijave otvara potpisani radni nalog i fotografije tog naloga. Javno su dostupne samo slike koje tvrtka stavi u izgled ponude (na primjer logotip) i profilne slike korisnika.

Prijava lozinkom, uz potvrdu adrese e-pošte, ili Google računom.

Aplikacija svaki zahtjev prijavljenog korisnika na poslužitelju ograničava na podatke njegove tvrtke; iznimka je klijentova poveznica za potpis radnog naloga. Unutar tvrtke svaki korisnik ima ulogu (administrator, prodaja, računovođa, radnik), koja ograničava pristup većini podataka: za glavne dijelove aplikacije (računi, ulazni računi, ponude, upiti, klijenti, poslovi, skladište, radnici, zadaci, termini, tim i postavke) aplikacija na poslužitelju provjerava i smije li to njegova uloga. Dijelovi koji još nemaju takvu provjeru (na primjer oprema, nekretnine i aktivnosti klijenata te popis radnika na radnom nalogu, koji pokazuje njihove kontakte i satnice) dostupni su svim korisnicima tvrtke.

Promjena ili ponovno postavljanje lozinke završava prijave tog korisnika na drugim uređajima.

Pristup produkcijskoj bazi podataka i spremištu datoteka danas ima samo direktor Semicolon d.o.o.; pristup probnim verzijama aplikacije i njihovim kopijama baze opisan je u točki 5.4. Dodatnih odredaba. Druga osoba dobiva ga tek nakon pisane obveze na povjerljivost i samo u mjeri potrebnoj za njezin posao.

Podacima tvrtke pristupamo samo radi pružanja usluge, podrške koju tvrtka zatraži ili otklanjanja greške.

Greške aplikacije šalju se u sustav za praćenje grešaka bez IP adrese i kolačića korisnika. Prije slanja iz zapisa o grešci brišu se OIB-i, vrijednosti polja s poreznim ili PDV brojem i spolom, PDV brojevi u upitima prema VIES-u i Minimaxu te jednokratni kodovi i tokeni zapisani u poveznici kao parametri. Token zapisan u samoj putanji poveznice (na primjer u poveznici za potpis radnog naloga ili za prihvaćanje pozivnice) se ne briše.

Snimka sesije bilježi se samo za dio grešaka (10 %), sa skrivenim tekstom i slikama; adrese stranica i zahtjeva u snimci ne prolaze to brisanje, pa u njima može ostati OIB ili PDV broj (na primjer pri provjeri PDV broja).

Za račun koji izdaje Operitivo aplikacija bilježi korisnika koji ga je izdao i vrijeme izdavanja. Za račun izdan kroz Minimax bilježi operatera (blagajnika) kojeg Minimax upiše na račun, s njegovim OIB-om, kad ga Minimax vrati, korisnika Operitiva s tim OIB-om ako ga ima točno jedan, i dan izdavanja koji javi Minimax. Za storno napravljen izravno u Minimaxu i potvrđen u Operitivu operater se ne bilježi.

Pružatelj baze podataka omogućuje vraćanje baze u stanje iz ranijeg trenutka unutar svog roka za oporavak.

Svaki dan izrađujemo šifriranu kopiju baze podataka na odvojenoj lokaciji (Cloudflare R2): dnevne čuvamo 7 dana, tjedne 4 tjedna, a mjesečne i ručne 12 mjeseci.

Promjene strukture baze podataka uvodimo tako da prethodna verzija aplikacije i dalje radi, a stupce i tablice uklanjamo tek u kasnijoj, zasebnoj promjeni.

Svaka promjena koda prolazi automatske testove i pregled prije objave.

Mjere iz ovog Priloga preispitujemo kad se mijenja usluga ili podizvršitelj obrade, a najmanje jednom godišnje.

Zahtjevi ispitanika: tvrtka u aplikaciji sama pronalazi, ispravlja i briše podatke klijenata, upita, radnika i drugih zapisa i preuzima njihove dokumente. Što ne može sama, na njezin zahtjev napravimo mi bez nepotrebne odgode, tako da može odgovoriti u roku iz čl. 12. st. 3. Opće uredbe.

Zahtjev ispitanika koji stigne izravno nama prosljeđujemo tvrtki i sami na njega ne odgovaramo (klauzula 8. točka (a)).

Procjena učinka i savjetovanje s nadzornim tijelom: na zahtjev tvrtke dajemo opis obrade, mjera i podizvršitelja obrade koji joj za to trebaju.

Obavijest o povredi: uz podatke iz klauzule 9.2. navodi kad je povreda nastala i kad smo za nju saznali, koje funkcije i podizvršitelje obrade obuhvaća i što tvrtka može sama poduzeti, na primjer promijeniti lozinke.

Postupak kod povrede: utvrđujemo opseg, zaustavljamo povredu i čuvamo zapise, obavještavamo tvrtke kojih se tiče u roku iz točke 2.1. Dodatnih odredaba i bilježimo svaku povredu s činjenicama, posljedicama i poduzetim mjerama.