Ugovor o obradi podataka
Kako Nordvec obrađuje podatke u ime vaše organizacije, u skladu s člankom 28. GDPR‑a.
Zadnje ažurirano: 2026-05-16
Pregled
Ovaj Ugovor o obradi podataka (DPA) čini dio ugovora između Nordveca (izvršitelja obrade) i vaše organizacije (voditelja obrade). Uređuje način na koji obrađujemo osobne podatke u vaše ime u skladu s člankom 28. GDPR‑a.
Opseg obrade
Nordvec obrađuje podatke isključivo kako bi pružio ugovorene usluge. To uključuje imena zaposlenika, e‑adrese i sadržaj dokumenata i poruka koje vaša organizacija poveže s platformom. Dokumenti se pohranjuju u podatkovnim centrima u EU‑u, generiranje se odvija u Francuskoj, a embeddanje u Berlinu; popis uključenih obrađivača nalazi se u našem registru podizvršitelja obrade.
Aktivnosti obrade podataka
Kada vaša organizacija poveže izvore podataka s Nordvecom, sadržaj dokumenata prolazi sljedeću obradu: (1) Izvlačenje i normalizacija teksta iz izvornog formata, (2) Semantičko razlaganje na strukturirane segmente za indeksiranje, (3) Generiranje vektorskih embeddanja putem treće strane – AI pružatelja usluga, navedenog u našem registru podizvršitelja obrade zajedno s obvezama obuke koje smo verificirali za njega i datumom te verifikacije, te (4) Pohrana dobivenih vektorskih reprezentacija i tekstualnih segmenata u našoj bazi podataka u EU‑u za semantičko pretraživanje. Izvorni sadržaj dokumenata pohranjuje se kako bi se omogućilo točno navođenje izvora i pripisivanje u rezultatima pretraživanja. Nordvec ne koristi sadržaj dokumenata za obuku AI modela.
Automatizirano skeniranje sadržaja
Nordvec tijekom unosa provodi automatizirano skeniranje sadržaja dokumenata na temelju uzoraka kako bi otkrio moguće vjerodajnice i API ključeve, kao što su pristupni ključevi pružatelja usluga u oblaku, autentifikacijski tokeni i privatni ključevi. Ovo skeniranje nije destruktivno: nijedan sadržaj se ne mijenja niti uklanja. Otkriveni uzorci označavaju se u sustavu kako bi bili vidljivi administratorima vaše organizacije. Svrha ovog skeniranja je podržati sigurnosni položaj vaše organizacije pružanjem uvida u izloženost vjerodajnica unutar sinkroniziranih dokumenata. Skeniranje ne predstavlja jamstvo otkrivanja, a vaša organizacija i dalje je odgovorna za upravljanje osjetljivim sadržajem unutar svojih izvornih sustava.
Sigurnosne mjere
Primjenjujemo odgovarajuće tehničke i organizacijske mjere: AES‑256 enkripciju za podatke u mirovanju, TLS 1.3 za podatke u prijenosu, sigurnost na razini redaka uz izolaciju podataka po tenantu, kontrole pristupa temeljene na ulogama, redovita penetracijska testiranja i kontinuirani nadzor. Cjelokupna infrastruktura hostana je u podatkovnim centrima u EU s certifikatom ISO 27001.
Zadržavanje podataka
Sadržaj dokumenata, vektorske ugradnje i povezani metapodaci čuvaju se tijekom trajanja ugovora o pružanju usluge. Kada se izvor podataka odspoji ili vaša organizacija izbriše pojedine dokumente, svi povezani podaci, uključujući vektorske ugradnje, tekstualne segmente i pohranjeni sadržaj, trajno se uklanjaju iz naših sustava. Brisanje je kaskadno i uključuje napuštene objekte pohrane. Nakon prestanka ugovora o pružanju usluge svi se podaci brišu u roku od 30 dana, osim ako primjenjivo pravo zahtijeva dulje razdoblje čuvanja.
Podizvršitelji obrade
Nordvec vodi registar podizvršitelja obrade za svaki subjekt uključen u pružanje usluge. Za svakog od njih bilježi pravno ime, zemlju osnivanja, matično društvo, lokaciju obrade, svrhu, kategorije osobnih podataka i pravnu osnovu za prijenos iz Poglavlja V. Registar se generira iz koda koji se dostavlja svakom pružatelju usluga i ponovno se verificira pri svakoj promjeni, tako da se niti jedan podizvršitelj ne može uključiti a da se ne pojavi u registru. Trenutno obuhvaća baze podataka i objektno pohranjivanje, AI generiranje i embeddanje, keširanje, transakcijske e‑poruke, DNS i isporuku sadržaja te praćenje grešaka. Kopija je dostupna na zahtjev i dostavlja se tijekom nabave za poduzeća. Obavijestit ćemo vas najmanje 30 dana prije nego što novi podizvršitelj započne s obradom, a imate pravo prigovora.
Međunarodni prijenosi
Pohrana, generiranje i embeddanje odvijaju se u podatkovnim centrima u EU‑u. Ako je neki od obrađivača u lancu osnovan izvan EGP‑a ili ima matično društvo izvan EGP‑a, na tog obrađivača primjenjuje se pravna osnova za prijenos iz Poglavlja V: naš registar podizvršitelja obrade navodi osnovu za svaki unos zajedno s datumom verifikacije, tako da to možete provjeriti po obrađivaču umjesto da se oslanjate na općenitu izjavu ovdje.
Obavijest o povredi podataka
Obavijestit ćemo te u roku od 24 sata od otkrivanja kršenja zaštite osobnih podataka. Pomažemo ti u ispunjavanju obveza obavještavanja o kršenju prema člancima 33. i 34. GDPR‑a, uključujući obavijesti nadzornom tijelu i pogođenim subjektima podataka.
Prava ispitanika
Sljedeća prava dostupna su kao samostalne opcije unutar platforme Nordvec: pristup i prenosivost podataka (čl. 15., 20.) putem JSON izvoza u Postavkama, brisanje (čl. 17.) putem brisanja računa s atomskim kaskadnim uklanjanjem, ispravak (čl. 16.) putem uređivanja profila i sadržaja te ograničenje (čl. 18.) putem prekidača izvora i postavki prijenosa.
Brisanje i zadržavanje podataka
Nakon raskida ugovora, svi osobni podaci brišu se u roku od 30 dana. Tijekom trajanja ugovora, brisanja u vašim izvornim sustavima automatski se sinkroniziraju putem webhookova/sinkronizacije. Privremeno izbrisani podaci brišu se nakon 30 dana. Nakon potpunog brisanja računa, svi podaci (razgovori, dokumenti, embeddanja, tokeni integracija) brišu se atomski.
Prava revizije
Imate pravo na reviziju našeg poštovanja ovog ugovora. Na raspolaganju vam stavljamo: ovaj DPA i našu dokumentaciju o usklađenosti, DPIA za obradu AI‑om, registar obrade iz članka 30. te naš registar podizvršitelja obrade s navedenom pravnom osnovom za prijenos za svakog obrađivača. Trenutno nemamo trećestranu certifikaciju. Naše kontrole objavljujemo pojedinačno na našoj stranici o povjerenju, svaku povezanu s kodom koji je implementira, a izvozimo ih u formatu OSCAL kako biste ih mogli učitati u vlastite alate za reviziju.
Kontakt
Za upite povezane s DPA‑om, zahtjeve za pristup podacima ispitanika ili zahtjev za trenutačni popis podizvršitelja, javi nam se na legal@nordvec.com. Službenik za zaštitu podataka: dpo@nordvec.com.