Zadnja izmjena: Verzija 3 · 28. kolovoza 2026.
Ovaj dokument objavljen je kao predložak na uvid. Ugovor se sklapa u smislu članka 28. stavka 3. Opće uredbe (EU) 2016/679 između kluba (voditelj obrade) i izvršitelja obrade SKLEPAJ.ME, obrt za proizvodnju i usluge, vl. Matija Kašner, Kutinska lipa 82, 44320 Kutina, OIB 05850582719, MB 97473090, broj obrtnice 03010201669, IBAN HR6424070001100394837 (OTP banka), e-pošta kontakt@dgtlsport.app i matijakasner@gmail.com. Sastavni je dio Sporazuma o suradnji o besplatnom testnom korištenju platforme dgtlsport i uređuje obradu osobnih podataka koju izvršitelj provodi u ime kluba.
Aplikacija je u testnoj fazi. Prije produkcijske uporabe klub i pružatelj usluge potpisuju Ugovor o obradi podataka (DPA), a ovi dokumenti mogu se dopuniti. Zbog obrade podataka djece o zdravlju uz profiliranje preporučuje se izrada Procjene učinka na zaštitu podataka (DPIA, čl. 35. GDPR-a) prije produkcijske uporabe AI funkcija.
Klub je voditelj obrade i samostalno određuje svrhe i sredstva obrade osobnih podataka koje unosi u aplikaciju te odgovara za zakonitost te obrade. Izvršitelj obrađuje osobne podatke isključivo u ime kluba i po njegovim uputama, u opsegu nužnom za pružanje, održavanje i razvoj aplikacije. Predmet, trajanje, priroda i svrha obrade, vrste osobnih podataka i kategorije ispitanika utvrđeni su u Prilogu 1.
Klub jamči da za svaku obradu ima valjanu pravnu osnovu prema članku 6. i, za posebne kategorije podataka, članku 9. Opće uredbe. Klub je isključivo odgovoran za: pribavljanje i evidenciju privola roditelja odnosno zakonskih skrbnika za obradu podataka maloljetnih igrača, uključujući zasebne privole za podatke o zdravlju i objavu fotografija; informiranje ispitanika (čl. 13. i 14.); točnost, potpunost i ažurnost unesenih podataka; postupanje po zahtjevima ispitanika; određivanje osoba s pristupom, opseg njihovih ovlasti i pravodobnu deaktivaciju računa; obavještavanje ispitanika o povredi osobnih podataka kada je propisano. Klub se obvezuje ne unositi podatke koji nisu nužni za svrhe iz Priloga 1. Upute se daju pisanim putem, uključujući e-poštom; korištenje aplikacije u skladu s njezinom namjenom smatra se dokumentiranom uputom kluba.
Izvršitelj obrađuje podatke isključivo na temelju dokumentiranih uputa kluba, osim ako je obrada propisana pravom EU-a ili Republike Hrvatske, o čemu obavještava klub prije obrade osim ako je takva obavijest zabranjena. Izvršitelj podatke ne koristi u vlastite svrhe, ne prodaje ih, ne ustupa trećima osim podizvršiteljima iz članka 5. niti ih kombinira s podacima drugih klubova. Osobe ovlaštene za obradu obvezane su na povjerljivost. Izvršitelj provodi mjere iz Priloga 2., primjerene riziku obrade podataka maloljetnika i podataka o zdravlju, pomaže klubu pri ispunjavanju obveza prema ispitanicima (izvoz, ispravak, anonimizacija) i obveza iz članaka 32. do 36. Opće uredbe. Na zahtjev stavlja na raspolaganje informacije za dokazivanje usklađenosti i omogućuje provjere uz najavu od najmanje 30 dana, najviše jednom godišnje osim u slučaju povrede podataka. Izvršitelj bez odgode obavještava klub ako smatra da neka uputa krši propise o zaštiti podataka.
Izvršitelj bez nepotrebne odgode, a najkasnije u roku od 48 sati od saznanja, obavještava klub o svakoj utvrđenoj povredi osobnih podataka. Obavijest sadrži opis prirode povrede, kategorije i približan broj zahvaćenih ispitanika i zapisa, vjerojatne posljedice te poduzete ili predložene mjere. Prijava povrede nadzornom tijelu i obavještavanje ispitanika obveza je kluba kao voditelja obrade, uz razumnu pomoć izvršitelja.
Klub daje opću suglasnost za angažiranje podizvršitelja nužnih za pružanje aplikacije; popis je u Prilogu 3. Izvršitelj obavještava klub o namjeri dodavanja ili zamjene podizvršitelja najmanje 15 dana unaprijed, a klub može uložiti obrazloženi prigovor; ako dogovor izostane, svaka stranka može raskinuti Sporazum bez naknade. S podizvršiteljima se ugovaraju obveze zaštite podataka koje nisu blaže od obveza iz ovog ugovora, a izvršitelj za njihovo postupanje odgovara kao za vlastito.
Osobni podaci kluba pohranjuju se na poslužiteljima unutar Europskog gospodarskog prostora. Ako pojedini podizvršitelj obrađuje podatke izvan EGP-a, izvršitelj osigurava odgovarajuće zaštitne mjere u smislu poglavlja V. Opće uredbe, u pravilu putem standardnih ugovornih klauzula Europske komisije; takvi podizvršitelji i mjere navedeni su u Prilogu 3.
Po prestanku Sporazuma izvršitelj omogućuje preuzimanje svih osobnih podataka u strojno čitljivom obliku u roku od 30 dana. Nakon isteka tog roka briše sve osobne podatke kluba, uključujući kopije, osim ako je čuvanje propisano pravom EU-a ili Republike Hrvatske, a na zahtjev izdaje pisanu potvrdu o brisanju. Sigurnosne kopije brišu se u redovitom ciklusu rotacije, najkasnije u roku od 90 dana od prestanka Sporazuma.
Izvršitelj smije obrađivati podatke u anonimiziranom i zbirnom obliku, iz kojeg nije moguće izravno ni neizravno identificirati klub, pojedinog igrača ni drugu osobu, radi razvoja i poboljšanja aplikacije te izrade referentnih vrijednosti. Takvi se podaci više ne smatraju osobnim podacima i njihova obrada nije ograničena ovim ugovorom.
Ugovor stupa na snagu danom potpisa i traje dok traje Sporazum, odnosno dok izvršitelj obrađuje osobne podatke u ime kluba. U slučaju nesuglasja između ovog ugovora i Sporazuma, u pitanjima zaštite osobnih podataka primjenjuje se ovaj ugovor. Prilozi 1., 2. i 3. čine sastavni dio ugovora. Primjenjuje se pravo Republike Hrvatske; ugovor se sastavlja u dva istovjetna primjerka.
Predmet obrade: pružanje i održavanje platforme dgtlsport za vođenje evidencija sportskog kluba. Trajanje: za vrijeme trajanja Sporazuma, uvećano za rok za preuzimanje i brisanje podataka iz članka 7. Priroda i svrha: pohrana, organizacija, strukturiranje, izmjena, uvid, uporaba i brisanje podataka radi vođenja kartoteke igrača, evidencije treninga i prisutnosti, evidencije utakmica i statistike, praćenja motoričkih mjerenja i tjelesnog razvoja, evidencije ozljeda i zdravstvene dokumentacije, obračuna članarina, komunikacije s roditeljima i skrbnicima, izrade izvještaja te sigurnosnog kopiranja. Kategorije ispitanika: maloljetni igrači (obrada zahtijeva privolu roditelja/skrbnika), punoljetni igrači, roditelji i zakonski skrbnici, korisnici aplikacije (administrator, glavni trener, uprava, treneri i asistenti) te treneri i drugi djelatnici kluba evidentirani u modulu Treneri. Vrste podataka: identifikacijski (ime i prezime, datum rođenja, spol, fotografija i oznake igrača na fotografijama; OIB, adresa, mjesto i država rođenja i državljanstvo za registraciju u savezu), kontaktni (ime skrbnika, odnos, e-pošta, telefon), sportski (pozicija, broj dresa, ekipa, prisutnost, nastupi, statistika), o zdravlju prema čl. 9. (liječnički pregledi i rokovi važenja, ozljede, tijek oporavka, antropometrijska i motorička mjerenja), financijski (zaduženja članarine, uplate, dugovanja), o opremi zaduženoj od kluba (vrsta, veličina, broj, količina, datumi, stanje pri povratu), o okupljanjima i reprezentativnim akcijama (naziv, termin, mjesto, status poziva), o trenerima (ime i prezime, datum rođenja, OIB, kontakt, licence i školovanje, dodjela ekipama) i podaci o korištenju (evidencija prijava i pristupa osjetljivim podacima). Obrada obuhvaća posebne kategorije podataka i podatke djece, zbog čega se primjenjuju pojačane mjere iz Priloga 2.
Odvajanje podataka: podaci svakog kluba odvojeni su na razini baze podataka, pristup se provjerava za svaki pojedinačni zapis, korisnik jednog kluba ni u jednom slučaju ne može pristupiti podacima drugog kluba, a odvojenost se automatski provjerava prije objave svake nove verzije aplikacije. Kontrola pristupa: pristup se dodjeljuje prema ulozi, dodijeljenim ekipama i pojedinačno odobrenim modulima; podaci o zdravlju dostupni su samo administratoru kluba i treneru pripadajuće ekipe, a svaki pristup se bilježi. Zaštita podataka maloljetnika: prije svake AI obrade imena i identifikacijski podaci zamjenjuju se pseudonimima, evidencija izmjena ne pohranjuje sadržaj osjetljivih podataka nego samo činjenicu izmjene, a aplikacija onemogućuje objavu fotografije za koju nije evidentirana privola. Sigurnost sustava: prijenos je zaštićen enkripcijom (TLS), podaci u bazi pohranjuju se enkriptirano, dokumenti i izvještaji dostupni su isključivo vremenski ograničenom poveznicom, pristupni ključevi čuvaju se odvojeno od koda, uz redovito sigurnosno kopiranje. Organizacijske mjere: pristup produkcijskim podacima ima isključivo vlasnik obrta, pristup podacima kluba radi podrške ostvaruje se samo na zahtjev ili uz obavijest klubu, uz vođenje evidencije kategorija obrade u ime voditelja obrade.
Na dan sklapanja ugovora izvršitelj angažira podizvršitelje za: poslužitelje i bazu podataka (pohrana svih podataka aplikacije, Europski gospodarski prostor), poslužiteljsku infrastrukturu aplikacije (isporuka aplikacije korisnicima, Europski gospodarski prostor), uslugu slanja e-pošte (slanje obavijesti kontaktima kluba) i uslugu umjetne inteligencije (obrada zahtjeva AI funkcija; podaci prethodno pseudonimizirani, uz iznimku fotografije zapisnika utakmice koja sadrži imena igrača i šalje se u izvornom obliku na zahtjev korisnika kluba). Točni nazivi pravnih osoba, sjedišta i primijenjene zaštitne mjere za prijenos izvan Europskog gospodarskog prostora upisuju se pri sklapanju ugovora i ažuriraju pri svakoj izmjeni, u skladu s člankom 5. ovog ugovora.
Ostali dokumenti