PRAVILNIK O OBRADI I ZAŠTITI OSOBNIH PODATAKA

PRAVILNIK O OBRADI I ZAŠTITI
OSOBNIH PODATAKA

DiZ Media d.o.o.

Na temelju Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ - Opće uredbe o zaštiti podataka, Zakona o provedbi Opće uredbe o zaštiti podataka te drugih primjenjivih propisa, odgovorna osoba DiZ Media d.o.o., sa sjedištem na adresi Budačka Rijeka 75/A, Budačka Rijeka, 47242 Krnjak , OIB: 16387391217, zastupano po direktorici Danijeli Lucić, dana 07.07.2026. donosi sljedeći Pravilnik.

I. OPĆE ODREDBE

Članak 1.

(1) Ovim Pravilnikom uređuju se pravila prikupljanja, evidentiranja, korištenja, pohrane, dostavljanja, zaštite, ograničavanja, brisanja i drugog načina obrade osobnih podataka koje provodi DiZ Media d.o.o. (dalje: Društvo).

(2) Ovim Pravilnikom osobito se uređuju načela obrade, kategorije ispitanika i osobnih podataka, svrhe i pravne osnove obrade, ovlasti i odgovornosti ovlaštenih osoba, ostvarivanje prava ispitanika, rokovi čuvanja, postupanje u slučaju povrede osobnih podataka, tehničke i organizacijske mjere, videonadzor, kolačići, izvršitelji obrade i evidencije aktivnosti obrade.

(3) Odredbe se primjenjuju na sve radnike, agente, vanjske suradnike, članove uprave, vlasnike, izvršitelje obrade i druge osobe koje u okviru svojih poslova imaju pristup osobnim podacima.

(4) Pravilnik se primjenjuje na automatiziranu i neautomatiziranu obradu osobnih podataka ako oni čine ili su namijenjeni da čine dio strukturirane zbirke.

II. DEFINICIJE

Članak 2.

(1) Osobni podatak je svaki podatak koji se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi.

(2) Ispitanik je fizička osoba na koju se osobni podaci odnose.

(3) Obrada je svaki postupak ili skup postupaka na osobnim podacima, uključujući prikupljanje, bilježenje, organiziranje, strukturiranje, pohranu, prilagodbu, izmjenu, pronalaženje, uvid, uporabu, otkrivanje, dostavljanje, usklađivanje, ograničavanje, brisanje ili uništavanje.

(4) Voditelj obrade je osoba koja određuje svrhe i sredstva obrade. Voditelj obrade u smislu ovog Pravilnika je Društvo.

(5) Izvršitelj obrade je osoba koja obrađuje osobne podatke u ime Društva.

(6) Primatelj je osoba ili tijelo kojem se osobni podaci otkrivaju.

(7) Treća strana je osoba koja nije ispitanik, voditelj obrade, izvršitelj obrade niti osoba ovlaštena za obradu pod izravnom nadležnošću voditelja ili izvršitelja.

(8) Privola je dobrovoljno, posebno, informirano i nedvosmisleno izražavanje volje ispitanika kojim pristaje na obradu svojih podataka.

(9) Povreda osobnih podataka je kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima.

(10) Posebne kategorije osobnih podataka obuhvaćaju podatke o rasnom ili etničkom podrijetlu, političkim mišljenjima, vjeri, članstvu u sindikatu, genetske i biometrijske podatke, podatke o zdravlju te podatke o spolnom životu ili seksualnoj orijentaciji.

(11) Nadzorno tijelo je Agencija za zaštitu osobnih podataka Republike Hrvatske.

(12) Ovlaštena osoba je radnik, agent ili suradnik kojem je u skladu s poslovnom ulogom omogućen pristup određenim osobnim podacima.

III. NAČELA OBRADE

Članak 3.

(1) Društvo osobne podatke obrađuje zakonito, pošteno i transparentno, u posebne i zakonite svrhe, u opsegu nužnom za te svrhe te uz osiguranje točnosti, ograničenja pohrane, cjelovitosti i povjerljivosti.

(2) Podaci se ne prikupljaju za svaki slučaj niti se koriste za svrhe nespojive s prvotnom svrhom bez odgovarajuće pravne osnove.

(3) Društvo poduzima razumne mjere radi ispravka ili brisanja netočnih podataka.

(4) Podaci se čuvaju samo onoliko dugo koliko je potrebno ili propisano zakonom.

IV. KATEGORIJE ISPITANIKA I VRSTE PODATAKA

Članak 4.

(1) Društvo može obrađivati podatke radnika, kandidata za zapošljavanje, agenata i vanjskih suradnika, članova uprave i vlasnika, nalogodavaca, kupaca, prodavatelja, najmodavaca, najmoprimaca, zakupodavaca, zakupnika, vlasnika i suvlasnika nekretnina, opunomoćenika, predstavnika poslovnih partnera, dobavljača, korisnika internetske stranice, osoba koje kontaktiraju Društvo i drugih osoba uključenih u poslovanje.

Članak 5.

(1) Društvo, ovisno o svrsi, može obrađivati ime i prezime, OIB, datum i mjesto rođenja, državljanstvo, adresu, kontaktne podatke, podatke iz identifikacijskih isprava, bankovne podatke, podatke o zaposlenju i kvalifikacijama, podatke iz životopisa, podatke o plaći i radnom vremenu, podatke o nekretninama, zemljišnoknjižne i katastarske podatke, ugovore, punomoći, dozvole, fotografije i tlocrte, podatke o upitima, razgledavanjima, ponudama, pregovorima, komunikaciji, IP adresi, uređaju i korištenju internetske stranice.

(2) Posebne kategorije osobnih podataka obrađuju se samo kada postoji pravna osnova iz članka 9. Opće uredbe.

(3) Podaci o zdravlju radnika obrađuju se samo u opsegu potrebnom za izvršavanje prava i obveza iz radnog odnosa, socijalnog osiguranja i zaštite na radu.

V. IZVORI OSOBNIH PODATAKA

Članak 6.

(1) Osobni podaci u pravilu se prikupljaju izravno od ispitanika.

(2) Kada postoji pravna osnova, podaci se mogu prikupljati od nalogodavca, druge ugovorne strane, vlasnika ili suvlasnika, opunomoćenika, drugih agencija, iz zemljišnih knjiga i katastra, javnih evidencija, od javnih bilježnika, odvjetnika, banaka, osiguravatelja, državnih tijela, javno dostupnih internetskih stranica i drugih zakonitih izvora.

(3) Ako podaci nisu prikupljeni izravno od ispitanika, Društvo ispitaniku pruža informacije propisane Općom uredbom, osim kada se primjenjuje zakonska iznimka.

VI. SVRHE I PRAVNE OSNOVE OBRADE

Članak 7.

(1) Osobni podaci obrađuju se radi sklapanja i izvršavanja ugovora o posredovanju, posredovanja pri kupnji, prodaji, najmu ili zakupu, organizacije razgledavanja, povezivanja stranaka, razmjene ponuda, pregovora, pripreme dokumentacije, provjere nekretnina, naplate naknade, vođenja računovodstva, ispunjavanja obveza sprječavanja pranja novca, zapošljavanja, zaštite osoba i imovine, odgovaranja na upite i prigovore, vođenja CRM-a, naplate potraživanja, marketinga uz odgovarajuću osnovu, analitike, zaštite informacijskih sustava i drugih zakonitih poslovnih svrha.

Članak 8.

(1) Obrada se provodi na temelju privole, izvršavanja ugovora ili predugovornih radnji, zakonske obveze, zaštite životno važnih interesa, javnog interesa kada je primjenjivo ili legitimnog interesa Društva ili treće strane.

(2) Kada se obrada temelji na legitimnom interesu, Društvo prema potrebi provodi procjenu legitimnog interesa.

(3) Kada se obrada temelji na privoli, privola mora biti dobrovoljna, posebna, informirana, nedvosmislena i dokaziva.

(4) Privola se može povući u svakom trenutku bez utjecaja na zakonitost prethodne obrade.

VII. OBRADA PODATAKA KLIJENATA I STRANAKA

Članak 9.

(1) Društvo obrađuje podatke nalogodavaca i drugih osoba uključenih u posredovanje u opsegu potrebnom za pružanje usluge.

(2) Podaci se mogu evidentirati u CRM sustavu, elektroničkoj pošti, poslovnim aplikacijama, fizičkoj dokumentaciji i drugim sigurnim sustavima.

(3) Pristup imaju samo osobe kojima su podaci potrebni za obavljanje poslova.

(4) Podaci o interesu za nekretninu, parametrima pretrage, razgledavanjima i komunikaciji mogu se evidentirati radi pružanja usluge, dokazivanja posredničkih radnji i zaštite pravnih interesa.

VIII. RADNICI I KANDIDATI

Članak 10.

(1) Podaci radnika obrađuju se radi sklapanja i izvršavanja ugovora o radu, prijava na osiguranja, obračuna plaća, evidencije radnog vremena, ostvarivanja prava i obveza, edukacije, zaštite na radu, poreznih obveza i zaštite prava Društva.

(2) Pristup podacima radnika imaju samo ovlaštene osobe i ugovoreni izvršitelji obrade.

(3) Podaci kandidata obrađuju se radi provedbe postupka odabira.

(4) Podaci neodabranih kandidata brišu se po završetku postupka, osim ako postoji privola za dulje čuvanje.

(5) Ako postoji privola za buduće natječaje, podaci se čuvaju najdulje 12 mjeseci (slovima: dvanaest).

IX. OVLAŠTENE OSOBE I POVJERLJIVOST

Članak 11.

(1) Osobne podatke smiju obrađivati samo osobe ovlaštene u skladu s opisom poslova i dodijeljenim korisničkim pravima.

(2) Ovlaštene osobe podatke koriste samo u zakonite poslovne svrhe, čuvaju povjerljivost, ne otkrivaju ih neovlaštenima, koriste službene sustave, štite lozinke i odmah prijavljuju incidente.

(3) Ovlaštene osobe prema potrebi potpisuju izjavu o povjerljivosti.

(4) Obveza povjerljivosti traje i nakon prestanka radnog ili poslovnog odnosa.

(5) Neovlaštena uporaba ili otkrivanje podataka može predstavljati povredu radne ili ugovorne obveze.

X. IZVRŠITELJI OBRADE I PRIMATELJI

Članak 12.

(1) Društvo može povjeriti obradu knjigovodstvu, pružatelju CRM-a, hostingu, informatičkoj podršci, pružatelju elektroničke pošte, telefonskih usluga, zaštite na radu, arhiviranja, marketinga i drugim izvršiteljima.

(2) S izvršiteljem se sklapa ugovor ili drugi akt koji uređuje predmet, trajanje, prirodu i svrhu obrade, vrste podataka, kategorije ispitanika te prava i obveze Društva.

(3) Izvršitelj podatke obrađuje samo prema dokumentiranim uputama Društva.

(4) Podaci se mogu dostaviti drugim primateljima kada je to potrebno radi ugovora, zakonske obveze ili zaštite pravnih interesa.

XI. PRIJENOS IZVAN EGP-A

Članak 13.

(1) Ako se osobni podaci obrađuju izvan Europskog gospodarskog prostora, prijenos se provodi u skladu s Općom uredbom.

(2) Prijenos se može temeljiti na odluci o primjerenosti, standardnim ugovornim klauzulama, obvezujućim korporativnim pravilima, izričitoj privoli kada su ispunjeni uvjeti ili drugom dopuštenom mehanizmu.

(3) Društvo prema potrebi provodi procjenu prijenosa i dodatne zaštitne mjere.

XII. ROKOVI ČUVANJA I BRISANJE

Članak 14.

(1) Osobni podaci čuvaju se samo koliko je potrebno ili propisano zakonom.

(2) Ugovorna dokumentacija čuva se tijekom ugovornog odnosa i nakon toga prema zastarnim rokovima; računovodstvena i porezna dokumentacija prema posebnim propisima; dokumentacija iz područja sprječavanja pranja novca prema mjerodavnom zakonu; podaci kandidata do završetka postupka ili dulje uz privolu; marketinški podaci do povlačenja privole ili prigovora; podaci iz upita tijekom komunikacije i razumno vrijeme nakon nje; podaci potrebni za postupke do konačnog završetka i isteka povezanih rokova.

(3) Nakon isteka roka podaci se brišu, anonimiziraju, uništavaju ili se pristup trajno ograničava.

(4) Fizička dokumentacija uništava se na način koji onemogućava rekonstrukciju podataka.

XIII. PRAVA ISPITANIKA

Članak 15.

(1) Ispitanik ima pravo na pristup, ispravak, dopunu, brisanje kada su ispunjeni uvjeti, ograničenje obrade, prigovor, prenosivost kada su ispunjeni uvjeti, povlačenje privole, zaštitu od isključivo automatiziranih odluka koje proizvode značajne učinke te pravo na pritužbu nadzornom tijelu.

Članak 16.

(1) Zahtjev se podnosi e-mailom na [email protected], poštom na Budačka Rijeka 75/A, Budačka Rijeka, 47242 Krnjak ili osobno u poslovnim prostorijama.

(2) Društvo može zatražiti podatke radi potvrde identiteta.

(3) Odgovor se daje bez nepotrebnog odgađanja, najkasnije u roku od jednog mjeseca.

(4) Rok se može produljiti za dva mjeseca zbog složenosti ili broja zahtjeva, uz obavijest ispitaniku.

(5) Ako Društvo ne postupi po zahtjevu, ispitanika obavještava o razlozima i pravu na pritužbu.

(6) Postupanje je u pravilu besplatno, osim kod očito neutemeljenih ili pretjeranih zahtjeva.

XIV. EVIDENCIJE AKTIVNOSTI OBRADE

Članak 17.

(1) Društvo vodi evidenciju aktivnosti obrade kada je to propisano ili potrebno radi dokazivanja usklađenosti.

(2) Evidencija može sadržavati kontaktne podatke voditelja, svrhe, kategorije ispitanika i podataka, primatelje, prijenose u treće zemlje, rokove brisanja i opis sigurnosnih mjera.

(3) Za vođenje evidencije zadužena je osoba koju odredi odgovorna osoba Društva.

XV. SLUŽBENIK ZA ZAŠTITU PODATAKA

Članak 18.

(1) Društvo imenuje službenika za zaštitu podataka samo ako je to obvezno ili ako ga dobrovoljno odluči imenovati.

(2) Ako službenik nije imenovan, odgovorna osoba određuje osobu za koordinaciju pitanja zaštite podataka.

(3) Ta osoba se ne smatra automatski službenikom u smislu Opće uredbe, osim ako je formalno imenovana.

(4) Kontakt: Danijela Lucić, mob.: +385 91 731 2775; e-mail: [email protected]

XVI. VIDEONADZOR

Članak 19.

(1) Ako Društvo koristi videonadzor, obrada se provodi samo kada je nužna i opravdana radi zaštite osoba i imovine.

(2) Obuhvaćaju se samo prostori potrebni za tu svrhu, a područje snimanja mora biti jasno označeno.

(3) Obavijest mora sadržavati podatak da je prostor pod nadzorom, identitet voditelja i kontakt za ostvarivanje prava.

(4) Snimke pregledavaju samo ovlaštene osobe, a pristup se prema mogućnosti evidentira.

(5) Snimke se ne koriste za druge svrhe i čuvaju se najdulje šest mjeseci, osim kada su dokaz u postupku ili je propisan dulji rok.

(6) Videonadzor ne smije obuhvaćati prostorije za odmor, osobnu higijenu ili presvlačenje.

(7) Ako se videonadzor ne koristi, ovaj članak se ne primjenjuje.

XVII. KOLAČIĆI I INTERNETSKE TEHNOLOGIJE

Članak 20.

(1) Društvo može koristiti kolačiće radi pravilnog rada i sigurnosti stranice, pohrane postavki, analitike, mjerenja oglašavanja i prikaza oglasa.

(2) Nužni kolačići koriste se bez privole kada su potrebni za traženu uslugu.

(3) Analitički i marketinški kolačići koriste se samo uz prethodnu privolu.

(4) Korisniku se omogućava prihvat svih, odbijanje nenužnih, odabir kategorija te naknadna promjena ili povlačenje privole.

(5) Detaljan popis kolačića navodi se u Politici kolačića Društva.

XVIII. TEHNIČKE I ORGANIZACIJSKE MJERE

Članak 21.

(1) Društvo primjenjuje odgovarajuće tehničke i organizacijske mjere zaštite.

(2) Mjere mogu uključivati individualne račune, snažne lozinke, višefaktorsku autentifikaciju, ograničenje pristupa, antivirusnu i mrežnu zaštitu, enkripciju, sigurnosne kopije, ažuriranja, kontrolu pristupa prostorima, zaključavanje arhiva, sigurno uništavanje, edukaciju, povjerljivost, provjeru ovlasti i planove oporavka.

(3) Privatni uređaji, privatni e-mailovi i neodobrene aplikacije ne smiju se koristiti za poslovne podatke osim ako je izričito dopušteno.

(4) Dokumentacija s osobnim podacima ne smije se ostavljati bez nadzora na nezaštićenim mjestima.

XIX. POVREDA OSOBNIH PODATAKA

Članak 22.

(1) Svaka osoba koja sazna ili posumnja na povredu mora odmah obavijestiti odgovornu ili zaduženu osobu.

(2) Povredom se mogu smatrati gubitak dokumentacije, pogrešno slanje, neovlašten pristup, gubitak uređaja, objava podataka, zlonamjerni softver, neovlašteni pristup CRM-u i drugi sigurnosni incidenti.

(3) Društvo evidentira povredu, okolnosti, posljedice i poduzete mjere.

(4) Ako je vjerojatan rizik za prava i slobode, Društvo obavještava Agenciju bez nepotrebnog odgađanja, a ako je izvedivo najkasnije u roku od 72 sata.

(5) Ako je vjerojatan visok rizik, obavještavaju se i ispitanici, osim kada je ispunjena zakonska iznimka.

(6) Izvršitelj obrade mora bez nepotrebnog odgađanja obavijestiti Društvo.

XX. PROCJENA UČINKA

Članak 23.

(1) Prije obrade koja bi mogla prouzročiti visok rizik, Društvo provodi procjenu učinka na zaštitu podataka.

(2) Procjena se osobito razmatra kod sustavnog i opsežnog praćenja, opsežne obrade posebnih kategorija, novih tehnologija, automatiziranih odluka, opsežnog videonadzor i kombiniranja velikog broja izvora.

(3) Ako se visok rizik ne može ublažiti, Društvo se prije obrade savjetuje s nadzornim tijelom.

XXI. EDUKACIJA I NADZOR

Članak 24.

(1) Društvo osigurava da osobe s pristupom osobnim podacima budu upoznate s pravilima zaštite podataka.

(2) Edukacija se provodi pri početku rada, uvođenju novih sustava i prema potrebi.

(3) Društvo može provoditi unutarnje provjere usklađenosti, korisničkih ovlasti i sigurnosnih mjera.

(4) Svaka osoba dužna je surađivati u provedbi zaštite podataka.

XXII. POSLOVNA TAJNA I ODGOVORNOST

Članak 25.

(1) Osobni podaci kojima radnici i suradnici pristupaju smatraju se povjerljivima.

(2) Koriste se isključivo radi izvršavanja radnih, ugovornih i poslovnih obveza.

(3) Neovlašteno korištenje, kopiranje, dostavljanje ili objavljivanje smatra se povredom obveza.

(4) Društvo može poduzeti radnopravne, ugovorne, disciplinske ili sudske mjere.

(5) Osoba koja namjerno ili krajnjom nepažnjom prouzroči štetu može odgovarati u skladu s propisima.

XXIII. PRIJELAZNE I ZAVRŠNE ODREDBE

Članak 26.

(1) Ovaj Pravilnik objavljuje se na uobičajenom mjestu dostupnom osobama na koje se odnosi.

(2) Pravilnik stupa na snagu dana 07.07.2026.

(3) Stupanjem na snagu prestaju važiti prethodni interni akti koji uređuju isto pitanje, osim ako je određeno drukčije.

(4) Izmjene i dopune donose se na isti način kao Pravilnik.

(5) Ako je odredba protivna prisilnom propisu, primjenjuje se važeći propis, a ostale odredbe ostaju na snazi.

(6) Svi radnici, agenti i druge ovlaštene osobe dužni su upoznati se s Pravilnikom i postupati u skladu s njim.

U Budačkoj Rijeci, dana 07.07.2026.