Ugovor o obradi osobnih podataka (DPA)

Zadnja izmjena: 16. lipnja 2026.

Ovaj Ugovor o obradi osobnih podataka (dalje: Ugovor) sklapa se sukladno članku 28. Uredbe (EU) 2016/679 (GDPR) i Zakonu o provedbi Opće uredbe o zaštiti podataka, te uređuje obradu osobnih podataka koju izvršitelj obavlja u ime voditelja prilikom pružanja usluge Fitovision. Ugovor je sastavni dio Uvjeta korištenja i smatra se prihvaćenim prihvaćanjem Uvjeta odnosno otvaranjem korisničkog računa teretane.

1. Strane

• Voditelj obrade: teretana (poslovni subjekt) koja koristi Fitovision i unosi te obrađuje podatke svojih članova.
• Izvršitelj obrade: Vision Group – obrt za ostalo računalno programiranje, vl. Matej Poznić.

2. Predmet, priroda, svrha i trajanje obrade

Izvršitelj obrađuje osobne podatke isključivo radi pružanja usluge Fitovision voditelju — upravljanje članstvom, evidencija dolazaka i kontrole pristupa, naplata članarina, komunikacija s članovima te povezane funkcionalnosti koje voditelj koristi. Obrada traje za vrijeme trajanja ugovornog odnosa između strana, odnosno dok voditelj koristi uslugu.

3. Vrste osobnih podataka i kategorije ispitanika

Kategorije ispitanika: članovi teretane (te po potrebi osoblje koje voditelj unese).

Vrste podataka: identifikacijski i kontaktni podaci (ime, prezime, e-mail, telefon), podaci o članstvu (vrsta, status i trajanje članarine), evidencija dolazaka i pristupa (datum/vrijeme, QR/RFID identifikator), podaci o plaćanjima (iznos, status, maskirani podaci kartice), te — ako voditelj koristi odgovarajuće funkcije — podaci o mjerenjima i napretku.

Posebne kategorije (čl. 9. GDPR-a): ako voditelj koristi funkcije koje uključuju podatke o zdravlju (npr. tjelesna mjerenja, alergije, planovi prehrane/treninga), te podatke voditelj obrađuje na vlastitu odgovornost i na odgovarajućoj pravnoj osnovi (u pravilu izričita privola ispitanika, čl. 9(2)(a)). Izvršitelj ih obrađuje isključivo radi pružanja funkcionalnosti, po uputama voditelja.

4. Obveze izvršitelja (čl. 28. st. 3.)

Izvršitelj se obvezuje da će:

• obrađivati osobne podatke isključivo prema dokumentiranim uputama voditelja (uključujući upute sadržane u uslugi), osim kada to nalaže pravo EU-a ili RH;
• osigurati da se osobe ovlaštene za obradu obvežu na povjerljivost;
• provoditi odgovarajuće tehničke i organizacijske mjere sigurnosti (čl. 32. — vidi točku 5.);
• poštovati uvjete za angažiranje podizvršitelja (točka 6.);
• u mjeri u kojoj je to moguće, pomagati voditelju u ispunjavanju zahtjeva ispitanika (čl. 12.–23.) te obveza iz čl. 32.–36. (sigurnost, obavještavanje o povredama, procjena učinka);
• nakon prestanka pružanja usluge izbrisati ili vratiti osobne podatke (točka 9.);
• staviti voditelju na raspolaganje sve informacije nužne za dokazivanje usklađenosti te omogućiti revizije (točka 10.).

5. Sigurnost obrade (čl. 32.)

Izvršitelj primjenjuje primjerene mjere zaštite, među ostalim: šifriranu komunikaciju (HTTPS/TLS), kontrolu pristupa po ulogama i načelo minimalnih ovlasti, zaštitu prijave (Cloudflare Turnstile), redovite sigurnosne kopije baze, te organizacijske mjere zaštite infrastrukture. Cjelovite podatke o platnim karticama izvršitelj ne pohranjuje — obrađuje ih platni pristupnik CorvusPay (PCI DSS).

6. Podizvršitelji (čl. 28. st. 2. i 4.)

Voditelj daje izvršitelju opće odobrenje za angažiranje podizvršitelja navedenih u nastavku. Svaki podizvršitelj obvezan je ugovorom na jednake obveze zaštite podataka. Izvršitelj će obavijestiti voditelja o namjeravanim promjenama (dodavanju/zamjeni), uz mogućnost prigovora.

• Amazon Web Services (AWS) — pohrana datoteka i poslužiteljska infrastruktura;
• Cloudflare — CDN, mrežna sigurnost i zaštita prijave;
• Corvus Pay d.o.o. (CorvusPay) — obrada kartičnih plaćanja;
• Zoho Corporation — usluga e-pošte (obavijesti, potvrde, podsjetnici);
• Expo — isporuka mobilne aplikacije i slanje push obavijesti.

7. Pomoć voditelju i prava ispitanika

Ako se zahtjev ispitanika (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor) zaprimi izravno kod izvršitelja, izvršitelj ga neće rješavati samostalno, već će bez nepotrebnog odgađanja obavijestiti voditelja i pružiti mu razumnu pomoć. Članovi teretane svoja prava ostvaruju kod teretane (voditelja).

8. Povreda osobnih podataka

Izvršitelj će bez nepotrebnog odgađanja nakon saznanja obavijestiti voditelja o svakoj povredi osobnih podataka te mu pružiti informacije potrebne za ispunjavanje obveza prijave nadzornom tijelu i ispitanicima (čl. 33.–34.).

9. Brisanje i povrat podataka

Po prestanku pružanja usluge izvršitelj će, prema izboru voditelja, izbrisati ili vratiti sve osobne podatke te izbrisati postojeće kopije, osim ako pravo EU-a ili RH zahtijeva pohranu (npr. računi prema poreznim propisima).

10. Revizije i inspekcije

Izvršitelj će voditelju, na razuman zahtjev i uz primjerenu najavu, staviti na raspolaganje informacije nužne za dokazivanje usklađenosti s ovim Ugovorom te omogućiti revizije, uključujući inspekcije, poštujući povjerljivost i sigurnost drugih korisnika.

11. Prijenos u treće zemlje

Pojedini podizvršitelji mogu obrađivati podatke izvan Europskog gospodarskog prostora. U tim slučajevima prijenos se temelji na odgovarajućim zaštitnim mjerama, prvenstveno standardnim ugovornim klauzulama Europske komisije.

12. Trajanje, odgovornost i mjerodavno pravo

Ovaj Ugovor stupa na snagu prihvaćanjem Uvjeta korištenja i traje dok traje pružanje usluge. Odgovornost strana uređena je GDPR-om i mjerodavnim pravom. Na ovaj se Ugovor primjenjuje pravo Republike Hrvatske, a za sporove je nadležan stvarno nadležni sud u Republici Hrvatskoj. Nadzorno tijelo je Agencija za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr.

Za pitanja vezana uz ovaj Ugovor ili obradu podataka: info@visiongroup.hr. Preporučuje se da voditelj zadrži kopiju ovog Ugovora za svoju evidenciju.