Ugovorne strane

Voditelj obrade (Controller): Vi, kao korisnik LexBox usluge, u svojstvu odvjetnika/odvjetničkog ureda koji obrađuje podatke svojih klijenata.

Izvršitelj obrade (Processor): Bimbo Capital d.o.o., Zagreb, Hrvatska (kontakt: info@lexbox.ai)

1. Predmet i trajanje obrade

Ovaj Ugovor uređuje obradu osobnih podataka koju LexBox provodi u ime Korisnika u okviru pružanja usluge pravnog AI istraživanja i generiranja dokumenata putem platforme LexBox (app.lexbox.ai). Obrada traje za vrijeme trajanja pretplate.

2. Priroda i svrha obrade

LexBox obrađuje osobne podatke isključivo u svrhu:

- Obrada korisničkih upita putem AI modela
- Pretraživanje pravnih izvora na temelju upita
- Generiranje pravnih dokumenata
- Pohrana povijesti razgovora
- Obrada učitanih dokumenata za pretraživanje (vektorska ugradnja)

3. Kategorije osobnih podataka

LexBox može obrađivati podatke sadržane u korisničkim upitima i učitanim dokumentima: imena, adrese, OIB, podaci o postupcima, financijski podaci i ostalo što Korisnik unese. LexBox nije namijenjen za posebne kategorije podataka (čl. 9. GDPR-a).

4. Kategorije ispitanika

Klijenti Korisnika, protustranke, zaposlenici Korisnika i ostale fizičke osobe navedene u unesenim podacima.

5. Obveze LexBoxa

LexBox se obvezuje: obrađivati podatke isključivo prema uputama Korisnika; osigurati povjerljivost; poduzeti tehničke i organizacijske mjere zaštite (čl. 32. GDPR-a); pomagati u odgovorima na zahtjeve ispitanika; po prestanku usluge izbrisati ili vratiti sve podatke.

6. Pod-izvršitelji obrade

Pod-izvršitelj	Sjedište	Svrha	Lokacija podataka	Pravni temelj prijenosa
Scaleway SAS	Francuska	LLM inference	Pariz, Francuska	Unutar EGP-a
Mistral AI	Francuska	LLM inference (rezervni)	Pariz, Francuska	Unutar EGP-a
Voyage AI, Inc.	SAD	Vektorska ugradnja upita (embeddings)	SAD	DPF (preko MongoDB)
Supabase Inc.	SAD*	Baza podataka i autentikacija	EU regija (Frankfurt)	SCCs + DPA
Hetzner Online GmbH	Njemačka	Server hosting	Nürnberg, Njemačka	Unutar EGP-a
Resend Inc.	SAD	Email obavijesti	SAD	DPF + SCCs
Stripe Inc.	Irska/SAD	Obrada plaćanja	EU (Irska)	DPF + SCCs

*Supabase Inc. ima sjedište u SAD-u, ali podaci se pohranjuju u EU regiji (Frankfurt).

LexBox će obavijestiti Korisnika o promjenama pod-izvršitelja najmanje 30 dana unaprijed.

7. Prijenos podataka

Podaci se pohranjuju i obrađuju primarno unutar EGP-a (Hetzner Njemačka, Supabase EU regija, LLM modeli u Francuskoj). Tekst korisničkih upita privremeno se prenosi na Voyage AI (SAD) radi vektorske ugradnje; vraćeni embeddings pohranjuju se unutar EGP-a. Plaćanja i email obavijesti obrađuju se kod pružatelja sa sjedištem u SAD-u (Stripe, Resend). Za sve prijenose izvan EGP-a (Voyage AI, Supabase, Resend, Stripe) temelj je EU-US Data Privacy Framework sukladno čl. 45. GDPR-a ili Standardne ugovorne klauzule (SCC) prema Provedbenoj odluci Komisije (EU) 2021/914 sukladno čl. 46. GDPR-a.

8. Povreda osobnih podataka

LexBox će bez odgode, najkasnije u roku od 48 sati, obavijestiti Korisnika o povredi osobnih podataka s opisom prirode, kategorijama pogođenih ispitanika, posljedicama i poduzetim mjerama.

9. Povrat i brisanje podataka

Po prestanku pretplate, Korisnik može zatražiti izvoz podataka (30 dana) ili potpuno brisanje. LexBox potvrđuje brisanje u pisanom obliku.

10. Pravo na reviziju

Korisnik ima pravo provoditi revizije usklađenosti uz prethodni pisani zahtjev (30 dana). Troškove snosi Korisnik, osim ako revizija utvrdi kršenje.

Tehničke mjere zaštite

- TLS 1.2+ enkripcija u prijenosu
- AES enkripcija dokumenata u mirovanju
- LUKS enkriptirani vektorski storage
- HttpOnly cookies + JWT autentikacija (1h access token, 30d refresh token) uz CSRF zaštitu
- Hashiranje lozinki putem Supabase Auth (bcrypt)
- Row Level Security na bazi podataka
- Hetzner ISO 27001:2022 data centar (Nürnberg)