Data Processing Agreement (DPA) je dokument koji većina klijenata potpiše i zaboravi. U WMD-u je to operativni dokument koji direktno određuje kako se podaci kreću kroz infrastrukturu. Ovaj tekst objašnjava što DPA kod nas konkretno znači — i što se pod time ne podrazumijeva.
Što je DPA i zašto ga uopće imamo
Pod GDPR-om (članak 28) obrađivač osobnih podataka mora biti vezan ugovorom s voditeljem obrade. Kada klijent hosta web, mail ili aplikaciju kod nas, on je voditelj obrade (data controller) — WMD je obrađivač (data processor). DPA definira što smijemo raditi s tim podacima, što moramo, a što nikako ne.
Ključne stavke DPA-a u WMD-u:
- Obrađujemo podatke isključivo po uputi klijenta i samo za svrhu pružanja usluge.
- Ne dijelimo podatke s trećim stranama osim u slučaju obvezujućeg pravnog zahtjeva, o čemu klijenta informiramo kad god je to zakonski dopušteno.
- Svi zaposlenici i vanjski suradnici s pristupom sustavima vezani su ugovorom o povjerljivosti.
- Klijent ima pravo na revizijski uvid, izvještaje o incidentima, brisanje podataka nakon prestanka ugovora.
Što "ne dijelimo podatke" znači u praksi
Ovo je dio koji zaslužuje konkretizaciju jer se lako pretvori u marketinšku frazu.
Bez prodaje podataka
WMD ne prodaje, ne iznajmljuje i ne ustupa podatke o klijentima ili korisnicima klijentskih sustava trećim stranama. Nikad. Poslovni model je hosting i razvoj — ne monetizacija podataka.
Bez analitičkih tagova na klijentskim webovima
Ne ubacujemo vlastite trackere, piksele, SDK-ove ili reklamne skripte u infrastrukturu klijenata. Ako klijent želi analitiku (Plausible, Matomo, GA4), to se konfigurira eksplicitno i na njegovu odgovornost.
Logovi i podrška
Pristup logovima i bazama za potrebe podrške:
- Ograničen je na ljude koji stvarno rješavaju prijavu.
- Zapisuje se u audit trail s vremenom i razlogom pristupa.
- Ne izlazi iz sustava — podaci se ne kopiraju na privatne uređaje, ne šalju nešifriranom porukom, ne pohranjuju van infrastrukture.
Podugovaratelji (sub-processors)
GDPR traži da klijent zna tko još može doći u doticaj s podacima. WMD održava popis podugovaratelja (registrari, payment procesori, e-mail relay, CDN kod klijenata koji to traže). Izmjene popisa najavljujemo unaprijed kako klijent ima priliku uložiti prigovor ili prekinuti suradnju ako se ne slaže.
Zemljopisna lokacija podataka
Podaci koje hostamo fizički se nalaze u EU. Ovo nije kozmetička izjava — to znači da podaci ne prolaze kroz treće zemlje po default-u, nema Schrems II problema s automatskim transferima prema SAD-u, i CLOUD Act nije primjenjiv na infrastrukturu koju mi operirame.
Ako projekt traži data residency u konkretnoj državi EU, to se definira ugovorno i tehnički prije setupa, ne poslije.
Incident response i obavještavanje
GDPR (članak 33) traži da obrađivač bez odgode obavijesti voditelja obrade o povredi osobnih podataka. Kod nas to u praksi znači:
- Definirani interni postupak otkrivanja i klasifikacije incidenta.
- Prvi kontakt prema klijentu u roku od 24 sata od potvrde incidenta — ne čekamo rok od 72 sata koji klijent ima prema nadzornom tijelu, jer klijentu treba vremena za vlastiti odgovor.
- Tehnički izvještaj s opsegom, vrstom podataka, vremenskom linijom i mjerama ublažavanja.
- Suradnja u obavještavanju AZOP-a ili drugog nadzornog tijela ako klijent to zatraži.
Prestanak ugovora i brisanje
Kada ugovor prestaje, klijent bira što s podacima — izvoz i brisanje, ili prijenos novom davatelju usluge. Nakon dogovorenog roka, podaci se brišu iz produkcijskih sustava i iz backupa prema definiranom retention policy-ju. Certifikat o brisanju dostavljamo na zahtjev.
Što ovo znači za klijenta
Razlika između "imamo DPA" i "DPA radi kako treba" je operativna, ne papirna. U WMD-u DPA nije predložak koji smo kupili od agencije — pristupi, logovi, podugovaratelji, retention rokovi i procedure za incidente direktno su povezani s načinom na koji se infrastruktura dnevno operira.
Ako vas zanima konkretna verzija DPA-a za vaš slučaj ili trebate DPA za internu compliance proceduru (NIS2, ISO 27001, SOC 2), javite se — pošaljemo tekst koji je već usklađen s našom operativom, ne teoretski dokument koji treba naknadno popraviti.
