1. Uvod i tko smo mi
Festina Technology d.o.o. za informatičke usluge (u nastavku: „Festina Technology”, „Lexandro”, „mi”, „nas” ili „naš”) pruža B2B SaaS platformu Lexandro za pravnu analizu potpomognutu umjetnom inteligencijom.
Lexandro pravnim osobama i profesionalnim korisnicima, uključujući odvjetničke urede, pravne odjele, financijske institucije, trgovačka društva i druge organizacije, omogućuje analizu pravnih dokumenata, upravljanje predmetima te pretraživanje dokumenata, propisa, sudske prakse i drugog pravnog sadržaja.
Ovom Politikom privatnosti objašnjavamo:
- koje osobne podatke obrađujemo;
- u koje ih svrhe obrađujemo;
- na kojoj pravnoj osnovi provodimo obradu;
- s kime osobni podaci mogu biti podijeljeni;
- koliko dugo čuvamo osobne podatke;
- koje mjere zaštite primjenjujemo; i
- kako možete ostvariti svoja prava.
Osobne podatke obrađujemo u skladu s Uredbom (EU) 2016/679 – Općom uredbom o zaštiti podataka (GDPR), hrvatskim propisima o provedbi GDPR-a i, gdje je primjenjivo, Uredbom (EU) 2024/1689 o utvrđivanju usklađenih pravila o umjetnoj inteligenciji (AI Act), kako je izmijenjena i važeća.
Mrežna stranica platforme: www.lexandro.ai/hr
Kontakti za pitanja o privatnosti i ostvarivanje prava:
Poštanska adresa: Festina Technology d.o.o., Trg Sant'Elena – Piazza Sant'Elena 1, 52211 Bale – Valle, Republika Hrvatska
2. Naša uloga u obradi osobnih podataka
Ovisno o okolnostima obrade, Festina Technology može nastupati kao voditelj obrade ili kao izvršitelj obrade.
2.1. Festina Technology kao voditelj obrade
Nastupamo kao voditelj obrade kada sami određujemo svrhe i sredstva obrade osobnih podataka, primjerice kada obrađujemo podatke:
- posjetitelja mrežne stranice Lexandro;
- osoba koje od nas zatraže ponudu ili demonstraciju platforme;
- predstavnika potencijalnih i postojećih poslovnih klijenata;
- korisnika koji otvaraju ili koriste korisnički račun;
- osoba koje kontaktiraju korisničku ili tehničku podršku;
- primatelja newslettera i marketinških poruka; i
- dobavljača, partnera i drugih poslovnih kontakata.
Na takve se obrade ova Politika privatnosti neposredno primjenjuje.
2.2. Festina Technology kao izvršitelj obrade
Kada poslovni klijent koristi Lexandro za učitavanje, pohranu, pretraživanje ili analizu dokumenata i drugih sadržaja koji sadržavaju osobne podatke, poslovni klijent u pravilu nastupa kao voditelj obrade, a Festina Technology kao izvršitelj obrade.
U toj ulozi osobne podatke obrađujemo:
- isključivo prema dokumentiranim uputama poslovnog klijenta;
- radi pružanja ugovorenih funkcionalnosti platforme;
- u skladu s ugovorom o obradi osobnih podataka (DPA); i
- uz primjenu ugovorenih tehničkih i organizacijskih mjera zaštite.
Poslovni klijent odgovoran je za zakonitost prikupljanja podataka, određivanje pravne osnove, informiranje ispitanika i postupanje po njihovim zahtjevima. Festina Technology pruža potrebnu tehničku i organizacijsku podršku u skladu s DPA-om i primjenjivim propisima.
3. Koje osobne podatke obrađujemo
3.1. Podaci koje nam izravno dajete
Ovisno o načinu korištenja mrežne stranice i platforme, možemo obrađivati sljedeće kategorije podataka:
| Kategorija | Primjeri |
|---|---|
| Identifikacijski podaci | ime i prezime |
| Kontaktni podaci | poslovna e-adresa, telefonski broj, adresa |
| Organizacijski podaci | naziv organizacije, odjel, radno mjesto ili funkcija |
| Geografski podaci | država ili poslovna lokacija |
| Podaci o korisničkom računu | korisnički profil, organizacijska uloga, pristupne dozvole i status računa |
| Ugovorni i poslovni podaci | podaci o pretplati, poslovnom odnosu, ponudi i ugovoru |
| Komunikacijski podaci | sadržaj upita, zahtjeva za podršku, povratnih informacija i druge komunikacije |
| Marketinški podaci | privola, odabrane komunikacijske postavke i evidencija odjave |
3.2. Sadržaj koji se obrađuje putem platforme
Poslovni korisnici u platformu mogu unositi ili učitavati:
- pravne i poslovne dokumente;
- podatke o predmetima;
- pitanja i upute upućene AI asistentu;
- rezultate analize i odgovore AI asistenta;
- bilješke, oznake i druge podatke povezane s predmetima; i
- osobne podatke svojih klijenata, zaposlenika, protivnih stranaka, svjedoka i drugih osoba.
Takvi sadržaji mogu uključivati identifikacijske, financijske, ugovorne, radnopravne i druge osobne podatke, a ovisno o dokumentu i posebne kategorije osobnih podataka ili podatke povezane s kaznenim osudama i kažnjivim djelima.
Kada te podatke obrađujemo kao izvršitelj obrade, klijent određuje svrhu, pravnu osnovu, opseg i trajanje obrade.
Korisnici ne bi trebali u platformu unositi osobne podatke koji nisu potrebni za konkretnu pravnu ili poslovnu svrhu.
3.3. Tehnički metapodaci
Radi rada, dijagnostike, održavanja i sigurnosti sustava automatski možemo bilježiti ograničene tehničke metapodatke, uključujući:
- vrstu izvršene operacije;
- interni identifikator zahtjeva;
- internu korisničku i organizacijsku oznaku;
- vremensku oznaku;
- HTTP statusni kod;
- trajanje zahtjeva; i
- kod i lokaciju pogreške u programskom kodu, ako je do pogreške došlo.
U dijagnostičke logove namjerno ne bilježimo:
- sadržaj pitanja i uputa upućenih AI asistentu;
- sadržaj odgovora AI asistenta;
- sadržaj učitanih pravnih dokumenata; ni
- osobne podatke trećih osoba sadržane u dokumentima.
Ovo ograničenje odnosi se na dijagnostičke logove. Dokumenti, pitanja, odgovori i drugi operativni sadržaji mogu se obrađivati i pohranjivati u za to predviđenim dijelovima platforme u opsegu potrebnom za pružanje ugovorene usluge.
3.4. Kolačići i slične tehnologije
Putem mrežne stranice možemo prikupljati podatke o uređaju, pregledniku i načinu korištenja stranice korištenjem kolačića i sličnih tehnologija.
Nužni kolačići koriste se kada su potrebni za rad, sigurnost i osnovne funkcionalnosti stranice. Analitičke, funkcionalne i marketinške kolačiće koristimo samo kada za to postoji odgovarajuća pravna osnova, uključujući privolu kada je ona potrebna.
Detaljnije informacije dostupne su u našoj Politici kolačića i alatu za upravljanje postavkama kolačića.
4. Svrhe i pravne osnove obrade
| Svrha obrade | Pravna osnova |
|---|---|
| Pružanje platforme i ugovorenih funkcionalnosti | članak 6. stavak 1. točka (b) GDPR-a – izvršavanje ugovora ili poduzimanje radnji prije sklapanja ugovora |
| Otvaranje i upravljanje korisničkim računima | članak 6. stavak 1. točka (b) GDPR-a |
| Autentifikacija, kontrola pristupa i upravljanje ovlastima | članak 6. stavak 1. točke (b) i (f) GDPR-a |
| Obrada upita, zahtjeva za ponudu i korisnička podrška | članak 6. stavak 1. točke (b) ili (f) GDPR-a, ovisno o odnosu s korisnikom |
| Zaštita sustava, sprječavanje zlouporabe i vođenje sigurnosnih zapisa | članak 6. stavak 1. točka (f) GDPR-a – legitimni interes zaštite platforme, korisnika i poslovanja |
| Dijagnostika, uklanjanje pogrešaka i poboljšavanje pouzdanosti platforme | članak 6. stavak 1. točka (f) GDPR-a, uz primjenu minimizacije podataka |
| Slanje newslettera i marketinških poruka | članak 6. stavak 1. točka (a) GDPR-a – privola, odnosno legitimni interes kada je takva obrada dopuštena posebnim propisima |
| Vođenje poslovne, porezne i računovodstvene dokumentacije | članak 6. stavak 1. točka (c) GDPR-a – ispunjavanje pravnih obveza |
| Postavljanje, ostvarivanje ili obrana pravnih zahtjeva | članak 6. stavak 1. točka (f) GDPR-a |
| Razvoj novih funkcionalnosti na temelju anonimiziranih ili agregiranih podataka | legitimni interes, pod uvjetom da se rezultat više ne može povezati s određenom osobom |
Kada se obrada temelji na privoli, privolu možete povući u bilo kojem trenutku putem postavki korisničkog računa ili slanjem poruke na privacy@lexandro.ai ili privacy@festina.ai.
Povlačenje privole ne utječe na zakonitost obrade provedene prije njezina povlačenja.
5. Umjetna inteligencija i automatizirana obrada
Lexandro koristi sustave umjetne inteligencije radi analize, strukturiranja, sažimanja i pretraživanja pravnih dokumenata te generiranja odgovora na korisničke upite.
U vezi s uporabom umjetne inteligencije primjenjuju se sljedeća načela:
- Korisnik je obaviješten da komunicira s AI sustavom. AI funkcionalnosti jasno su predstavljene kao takve.
- AI ne donosi autonomne pravne odluke. Rezultati predstavljaju pomoćne analize, prijedloge ili nacrte koje korisnik mora samostalno provjeriti.
- Rezultati mogu sadržavati pogreške. AI sustavi mogu proizvesti netočne, nepotpune ili nepostojeće navode, uključujući pogrešne pravne izvore ili zaključke.
- Obvezna je stručna provjera. Svaki rezultat koji se koristi za pružanje pravnog savjeta, donošenje odluke, sklapanje pravnog posla ili podnošenje sudskog ili upravnog podneska treba provjeriti kvalificirana osoba.
- Platforma nije zamjena za odvjetnički ili drugi stručni pravni savjet. Odgovornost za konačnu procjenu i uporabu rezultata ostaje na korisniku.
- Podaci korisnika ne koriste se za treniranje javno dostupnih AI modela. Pružatelji AI modela odabiru se i konfiguriraju tako da, prema ugovorenim uvjetima pružanja usluge, podatke poslane putem odgovarajućih poslovnih ili API usluga ne koriste za treniranje svojih modela.
- Ne provodimo automatizirano donošenje odluka s pravnim ili usporedivo značajnim učinkom u smislu članka 22. GDPR-a. Ako poslovni klijent rezultate platforme koristi u vlastitom procesu odlučivanja, odgovoran je za procjenu zakonitosti takve uporabe i osiguravanje odgovarajućeg ljudskog nadzora.
6. S kime dijelimo osobne podatke
Osobne podatke ne prodajemo.
Osobne podatke možemo učiniti dostupnima sljedećim kategorijama primatelja:
6.1. Pružatelji usluga i podizvršitelji
Možemo koristiti pružatelje usluga koji podatke obrađuju u naše ime i prema našim dokumentiranim uputama, uključujući:
| Kategorija pružatelja | Uobičajena lokacija obrade |
|---|---|
| Pružatelji infrastrukture u oblaku i pohrane podataka | Europski gospodarski prostor |
| Pružatelji semantičkog pretraživanja i vektorske pohrane | Europski gospodarski prostor |
| Pružatelji AI modela za obradu i generiranje teksta | Europski gospodarski prostor ili druga ugovorena lokacija uz odgovarajuće zaštitne mjere |
| Pružatelji modela za izradu vektorskih reprezentacija | EGP ili Sjedinjene Američke Države uz odgovarajući mehanizam prijenosa |
| Pružatelji dijagnostičkih i sigurnosnih alata | EGP ili Sjedinjene Američke Države uz odgovarajući mehanizam prijenosa |
| Pružatelji analitike korištenja | Europski gospodarski prostor |
| Pružatelji autentifikacije, komunikacijskih i poslovnih alata | EGP ili druga ugovorena lokacija uz odgovarajuće zaštitne mjere |
| Pružatelji upravljanja logovima | Europski gospodarski prostor |
S pružateljima koji nastupaju kao izvršitelji ili podizvršitelji sklapamo odgovarajuće ugovore o obradi podataka.
Aktualni popis konkretnih podizvršitelja dostupan je na zahtjev upućen na privacy@lexandro.ai ili privacy@festina.ai. Poslovne klijente o materijalnim promjenama podizvršitelja obavještavamo u skladu s DPA-om.
6.2. Drugi primatelji
Podatke možemo podijeliti i:
- s nadležnim tijelima ako je to propisano zakonom ili potrebno radi postupanja po zakonitom i obvezujućem zahtjevu;
- s odvjetnicima, revizorima, računovođama i drugim profesionalnim savjetnicima vezanima obvezom povjerljivosti;
- s povezanim društvima, ako za to postoji odgovarajuća pravna osnova i poslovna potreba;
- u vezi sa statusnom promjenom, ulaganjem, prodajom poslovanja ili imovine, uz odgovarajuće mjere povjerljivosti; i
- s drugim osobama kada ste za to dali izričitu privolu ili zatražili takvo dijeljenje.
7. Međunarodni prijenosi osobnih podataka
Primarnu infrastrukturu nastojimo smjestiti unutar Europskog gospodarskog prostora, uključujući podatkovne centre u Frankfurtu, Njemačka.
Ako se osobni podaci prenose primatelju izvan EGP-a, osiguravamo odgovarajući mehanizam prijenosa, primjerice:
- odluku Europske komisije o primjerenosti;
- standardne ugovorne klauzule Europske komisije iz Provedbene odluke (EU) 2021/914;
- EU–US Data Privacy Framework, kada je primatelj valjano certificiran i taj je mehanizam primjenjiv; ili
- drugo odstupanje ili zaštitnu mjeru dopuštenu GDPR-om.
Kada je potrebno, provodimo procjenu učinka prijenosa i primjenjujemo dodatne tehničke, ugovorne ili organizacijske mjere.
Kopiju relevantnih zaštitnih mjera možete zatražiti putem privacy@lexandro.ai ili privacy@festina.ai. Određeni dijelovi dokumentacije mogu biti zatamnjeni radi zaštite poslovnih tajni i sigurnosno osjetljivih informacija.
8. Sigurnost osobnih podataka
Primjenjujemo tehničke i organizacijske mjere primjerene prirodi podataka, opsegu obrade i procijenjenim rizicima, uključujući:
- enkripciju podataka u mirovanju primjenom standarda AES-256;
- enkripciju podataka u prijenosu primjenom TLS-a 1.2 ili novijeg i HSTS-a;
- kontrolu pristupa temeljenu na korisničkim ulogama i ovlastima – RBAC;
- višefaktorsku autentifikaciju – MFA, gdje je primjenjiva;
- organizacijsko odvajanje podataka različitih poslovnih klijenata;
- bilježenje i nadzor sigurnosno relevantnih događaja;
- sigurnosne kopije i postupke oporavka;
- upravljanje ranjivostima i definirane rokove za primjenu sigurnosnih zakrpa;
- periodično preispitivanje pristupnih prava;
- obveznu sigurnosnu obuku zaposlenika i suradnika; i
- vanjsko penetracijsko testiranje, planirano tijekom druge polovice 2026. godine.
Pristup osobnim podacima dopušten je samo osobama kojima je potreban za obavljanje poslova i koje su obvezane ugovornim ili zakonskim obvezama povjerljivosti.
Nijedan informacijski sustav nije apsolutno siguran. Naše su mjere usmjerene na smanjivanje rizika na razinu primjerenu prirodi i okolnostima obrade.
Ako dođe do povrede osobnih podataka, postupit ćemo u skladu s obvezama obavješćivanja nadležnog tijela, poslovnog klijenta i ispitanika, ovisno o našoj ulozi i procijenjenom riziku.
9. Koliko dugo čuvamo podatke
Osobne podatke čuvamo samo onoliko dugo koliko je potrebno za svrhu zbog koje su prikupljeni, osim kada je dulje čuvanje potrebno radi ispunjavanja zakonske obveze ili postavljanja, ostvarivanja ili obrane pravnih zahtjeva.
| Kategorija podataka | Predviđeni rok čuvanja |
|---|---|
| Operativni podaci korisnika, uključujući dokumente, predmete i AI rezultate | za vrijeme trajanja ugovornog odnosa i dodatnih 30 dana radi izvoza ili migracije podataka, osim ako je ugovoreno drukčije |
| Deaktivirani korisnički račun | osobni podaci brišu se ili anonimiziraju u roku od 30 dana od deaktivacije, osim podataka koje smo obvezni dulje čuvati |
| Dijagnostički logovi | od 30 do 90 dana, ovisno o sustavu i sigurnosnoj potrebi |
| Infrastrukturni i sigurnosni revizijski zapisi | u pravilu do jedne godine |
| Upiti korisničkoj podršci | za vrijeme potrebno za rješavanje upita i nakon toga u skladu s primjenjivim rokovima zastare |
| Marketinški podaci | do povlačenja privole, odjave ili uspješnog prigovora, uz zadržavanje minimalne evidencije odjave |
| Poslovni, ugovorni i računovodstveni podaci | za vrijeme poslovnog odnosa i najmanje 11 godina od isteka godine na koju se dokumentacija odnosi, odnosno dulje ako to zahtijeva primjenjivi propis ili konkretan pravni postupak |
Po isteku primjenjivog roka podaci se sigurno brišu, anonimiziraju ili izdvajaju iz aktivnih sustava. Podaci mogu ograničeno vrijeme ostati u sigurnosnim kopijama, zaštićeni od redovne uporabe, do njihova redovitog prepisivanja ili brisanja.
10. Vaša prava
Pod uvjetima propisanima GDPR-om imate sljedeća prava:
| Pravo | Opis |
|---|---|
| Pravo na pristup | možete dobiti potvrdu obrađujemo li vaše podatke, informacije o obradi i kopiju osobnih podataka |
| Pravo na ispravak | možete zatražiti ispravak netočnih i dopunu nepotpunih podataka |
| Pravo na brisanje | možete zatražiti brisanje kada podaci više nisu potrebni, kada povučete privolu ili kada za obradu više ne postoji odgovarajuća pravna osnova |
| Pravo na ograničenje obrade | možete zatražiti privremeno ograničavanje uporabe podataka u slučajevima propisanima GDPR-om |
| Pravo na prenosivost | za podatke koje ste nam dali, a koji se automatizirano obrađuju na temelju privole ili ugovora, možete zatražiti strukturirani, uobičajeno upotrebljav i strojno čitljiv format |
| Pravo na prigovor | možete uložiti prigovor na obradu koja se temelji na legitimnom interesu, uzimajući u obzir okolnosti koje se odnose na vašu situaciju |
| Prigovor na izravni marketing | u svakom se trenutku možete usprotiviti obradi za potrebe izravnog marketinga |
| Pravo na povlačenje privole | privolu možete povući u bilo kojem trenutku, bez utjecaja na zakonitost prethodne obrade |
| Prava povezana s automatiziranim odlučivanjem | imate prava iz članka 22. GDPR-a kada su ispunjene pretpostavke za njihovu primjenu |
Pojedina prava nisu apsolutna i mogu biti ograničena ako postoje pravne obveze, prava drugih osoba, obveza čuvanja povjerljivosti ili druge zakonom propisane okolnosti.
Kako podnijeti zahtjev
Zahtjev možete poslati:
- na privacy@lexandro.ai;
- na privacy@festina.ai; ili
- poštom na adresu Festina Technology d.o.o., Trg Sant'Elena – Piazza Sant'Elena 1, 52211 Bale – Valle, uz naznaku „Zahtjev ispitanika”.
Na zahtjev odgovaramo bez nepotrebnog odgađanja, a najkasnije u roku od mjesec dana od njegova primitka. Rok se, uz obavijest ispitaniku, može produljiti za dodatna dva mjeseca ako je to potrebno zbog složenosti ili broja zahtjeva.
Podnošenje zahtjeva u pravilu je besplatno. Ako su zahtjevi očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, možemo naplatiti razumnu naknadu ili odbiti postupiti po zahtjevu, u skladu s GDPR-om.
Radi sprječavanja neovlaštenog otkrivanja podataka možemo zatražiti dodatne informacije potrebne za potvrdu identiteta podnositelja zahtjeva.
Korisnici B2B platforme
Ako Lexandro koristite kao zaposlenik, član, vanjski suradnik ili druga ovlaštena osoba poslovnog klijenta, a zahtjev se odnosi na podatke koje taj klijent obrađuje putem platforme, zahtjev prvenstveno uputite svojem poslodavcu ili organizaciji koja vam je omogućila pristup.
Festina Technology će kao izvršitelj obrade pružiti potrebnu tehničku podršku prema uputama poslovnog klijenta.
Pritužba nadzornom tijelu
Ako smatrate da se vaši osobni podaci obrađuju protivno propisima, možete podnijeti pritužbu Agenciji za zaštitu osobnih podataka:
Agencija za zaštitu osobnih podataka – AZOP
Ulica Metela Ožegovića 16, 10000 Zagreb
E-adresa: azop@azop.hr
Mrežna stranica: www.azop.hr
Prije podnošenja pritužbe možete nam se obratiti kako bismo pokušali razjasniti i riješiti problem.
11. Podaci drugih osoba
Ako nam dostavljate osobne podatke druge osobe, odgovorni ste osigurati da za takvo dostavljanje i obradu postoji odgovarajuća pravna osnova te da je osoba primjereno informirana o obradi, osim ako je primjenjivim propisima dopuštena iznimka.
Poslovni klijenti osobito su odgovorni za zakonitost podataka sadržanih u dokumentima i predmetima koje unose u platformu te za određivanje odgovarajućih korisničkih ovlasti.
12. Maloljetnici
Lexandro je namijenjen profesionalnim i poslovnim korisnicima te nije namijenjen osobama mlađima od 18 godina.
Ne prikupljamo svjesno podatke maloljetnika radi otvaranja samostalnih korisničkih računa. Podaci maloljetnika mogu se pojaviti u pravnim dokumentima koje poslovni klijent obrađuje putem platforme, pri čemu poslovni klijent određuje pravnu osnovu i svrhu takve obrade.
13. Poveznice na vanjske stranice
Naša mrežna stranica ili platforma mogu sadržavati poveznice na mrežne stranice i usluge trećih osoba. Festina Technology nije odgovoran za njihove postupke obrade podataka. Preporučujemo da prije korištenja vanjske usluge pročitate njezinu politiku privatnosti.
14. Izmjene Politike privatnosti
Ovu Politiku možemo povremeno izmijeniti radi usklađivanja s promjenama usluge, tehnologije, načina obrade ili primjenjivih propisa.
Ažurirana verzija bit će objavljena na mrežnoj stranici uz naznačen datum primjene. O materijalnim izmjenama korisnike možemo obavijestiti e-poštom, obaviješću unutar platforme ili na drugi primjeren način.
Ako je za novu ili izmijenjenu obradu potrebna privola, zatražit ćemo je prije početka takve obrade. Nastavak korištenja platforme sam po sebi neće se smatrati privolom kada propisi zahtijevaju izričitu privolu.
15. Kontakt
Za pitanja o ovoj Politici, obradi osobnih podataka ili ostvarivanju prava možete se obratiti na bilo koju od sljedećih adresa:
Privatnost i zahtjevi ispitanika
Opći, poslovni i korisnički upiti
Poštanska adresa
Festina Technology d.o.o. za informatičke usluge
Trg Sant'Elena – Piazza Sant'Elena 1
52211 Bale – Valle
Republika Hrvatska
OIB: 52690938227
MBS: 130160969
Mrežna stranica: www.lexandro.ai/hr
© 2026. Festina Technology d.o.o. Sva prava pridržana.