Уговор о обради података и Безбедносна политика TablePlay Укључујући списак подобрађивача, техничке и организационе мере, responsible disclosure и изјаву о приступачности

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Верзија 1.0 Последње ажурирање: 10. јул 2026.

Напомена о правној провери Овај документ је сачињен за пословну употребу од стране TablePlay. Дозволите да коначно објављивање, међународна примена, актуелни добављачи, техничка организација и специфична правила по земљама буду периодично правно проверени.

Преглед садржаја Део A - Уговор о обради података Прилог 1 - Подобрађивачи Прилог 2 - Техничке и организационе мере Део B - Безбедност и Coordinated Vulnerability Disclosure Део C - Изјава о приступачности

Уговор о обради података и Безбедносна политика TablePlay

Страна 2 од 10

Део A - Уговор о обради података Члан 1 - Стране Овај уговор о обради података важи између пословног клијента TablePlay-а као Руковаоца и Jimani B.V., које послује под називом TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, као Обрађивача. Стране се заједнички означавају као Стране.

Члан 2 - Примењивост и настанак Овај уговор важи у мери у којој TablePlay обрађује личне податке по налогу и у корист Клијента и чини саставни део главног уговора. Настаје електронским прихватањем, потписивањем или стварним коришћењем Услуге. За обраде за које TablePlay самостално одређује сврхе и средства, TablePlay је руковалац и важи Изјава о приватности. У случају неусаглашености у погледу обраде у име Клијента, овај Уговор о обради података има предност над Општим условима.

Члан 3 - Предмет, трајање и природа TablePlay обрађује личне податке за функционалности везане за игру, сто, QR, резултате, ranglist (leaderboard), контролну таблу и подршку у контексту ресторана. Обрада траје током важења главног уговора и одређени ограничени период након тога ради брисања, враћања, ротације резервних копија, законских обавеза и правне заштите. Обрада може обухватати прикупљање, снимање, уређивање, структурирање, чување, увид, израчунавање, комбиновање у контексту ресторана, приказивање, слање, ограничавање, брисање и анонимизацију.

Члан 4 - Сврхе • Повезивање QR кодова са рестораном и столом. • Покретање и извршавање сесија игре. • Обрада привремених надимака, избора игре, одговора, резултата и исхода. • Омогућавање игара сто-против-стола и привремених ranglist-а (leaderboard). • Приказивање статистика везаних за ресторан. • Спречавање дуплих, преварних или технички неважећих сесија. • Техничка подршка, безбедност, континуитет и опоравак. • Брисање или анонимизација након истека рокова чувања.

Члан 5 - Категорије лица на која се подаци односе • Гости и играчи Клијента. • Контакт лица, корисници, запослени и помоћна лица Клијента. • Лица која се појављују у пријави подршке (support).

Члан 6 - Категорије личних података • Привремени надимак, број стола или јединствени ID стола и ID ресторана или локације. • ID сесије игре, изабрана игра, режим игре, одговори, радње, резултат, исход и рангирање. • Датум, време и привремено подешавање језика. • Технички подаци о сесији, IP, прегледачу и уређају уколико су присутни у безбедносним евиденцијама (logs).

Уговор о обради података и Безбедносна политика TablePlay

Страна 3 од 10 • Име и пословна е-пошта контакт лица и садржај питања упућених подршци (support). • Остали подаци који се уносе у оквиру договорене функционалности. TablePlay није намењен за посебне категорије података, податке о казненим делима, медицинске или биометријске податке или обимне директно препознатљиве профиле гостију. Клијент не даје налог за такву обраду без претходног писаног договора.

Члан 7 - Документована упутства Главни уговор, овај Уговор о обради података, подешавања клијентског портала и законити захтеви подршке (support) важе као упутства. TablePlay не обрађује податке за друге сврхе, осим у случају законских обавеза, самостално одређених сврха безбедности и правне заштите, или обраде након одговарајуће анонимизације. У случају претпоставке о незаконитом упутству, TablePlay о томе обавештава Клијента, осим ако је то законом забрањено, и може да обустави извршење. Додатна обимна упутства могу се посебно фактурисати.

Član 8 - Obaveze Klijenta Klijent garantuje za zakonitost, valjani pravni osnov, informisanje Gostiju, zakonita uputstva, minimizaciju podataka, internu bezbednost i zaštitu podataka za prijavu. Klijent je odgovoran za tačnost i kvalitet, ne zahteva prava imena Gostiju i ne koristi Podatke o igri za individualni marketing ili profilisanje bez samostalnog pravnog osnova. Bezbednosni incidenti i nezakonita uputstva prijavljuju se bez odlaganja.

Član 9 - Poverljivost Lica pod nadležnošću TablePlay-a dobijaju pristup isključivo u meri u kojoj je to neophodno, obavezana su na čuvanje poverljivosti i obrađuju podatke isključivo prema uputstvima. Ova obaveza ostaje na snazi i nakon prestanka ugovora. Dostavljanje trećim licima vrši se isključivo na osnovu ovog ugovora, glavnog ugovora ili zakona.

Član 10 - Bezbednost TablePlay preduzima odgovarajuće tehničke i organizacione mere, uzimajući u obzir stanje tehnike, troškove, prirodu, obim, kontekst, svrhu i rizik. Mere su navedene u Prilogu 2 i mogu se prilagođavati sve dok se opšti nivo zaštite bitno ne smanji. Nijedan sistem ne može da garantuje apsolutnu bezbednost.

Član 11 - Povrede podataka TablePlay obaveštava Klijenta bez nepotrebnog odlaganja nakon što sazna za povredu ličnih podataka koji se obrađuju u ime Klijenta. Gde je to moguće, dostavljaju se priroda, sistemi, kategorije podataka i lica na koja se podaci odnose, posledice, mere i kontakt informacije. Informacije mogu biti dostavljene u fazama. TablePlay istražuje, ograničava, čuva relevantne dokaze i sprovodi otklanjanje posledica. Klijent procenjuje zakonsku obavezu prijave, a TablePlay pruža razumnu podršku. Prijava ne predstavlja priznanje odgovornosti. Radovi izazvani okolnostima pod odgovornošću Klijenta mogu se sprovesti uz naknadu razumnih troškova.

Član 12 - Zahtevi lica na koja se podaci odnose Direktni zahtevi koji se odnose na ulogu Klijenta se, u načelu, prosleđuju. TablePlay reaguje samostalno isključivo na osnovu uputstva, u svojoj sopstvenoj ulozi ili u slučaju zakonske obaveze. TablePlay pruža razumnu podršku pri ostvarivanju prava na uvid, ispravku, brisanje, ograničenje, prenosivost i prigovor.

Ugovor o obradi podataka i Politika bezbednosti TablePlay

Strana 4 od 10

Pošto Gosti nemaju Nalog, identifikacija može biti ograničena. Restoran, sto, datum, vreme, nadimak i kontekst igre mogu biti potrebni. Podaci se ne dostavljaju ukoliko nije dovoljno utvrđeno da se odnose na podnosioca zahteva.

Član 13 - Podrška pri usklađenosti TablePlay pruža razumnu podršku u vezi sa bezbednošću, procenama povreda podataka, procenama uticaja na zaštitu podataka, prethodnim konsultacijama i neophodnom dokumentacijom. Obimna podrška izvan standardne usluge može se naplatiti, osim ako proizilazi iz propusta TablePlay-a.

Član 14 - Podobrađivači Klijent daje opštu saglasnost za podobrađivače navedene u Prilogu 1. TablePlay može ove podobrađivače dodavati, zamenjivati ili uklanjati i vodi ažurnu elektronsku listu. U slučaju novog bitnog podobrađivača, TablePlay o tome, u načelu, obaveštava trideset dana unapred. Klijent može u tom roku uložiti obrazložen prigovor na osnovu konkretnih razloga zaštite podataka. Strane traže dodatne garancije, ograničenje ili tehničku alternativu. Ukoliko ne postoji razumno rešenje, Klijent može raskinuti direktno pogođeni deo pre angažovanja podobrađivača. TablePlay nameće suštinski istovetne obaveze i ostaje odgovoran u meri u kojoj to predviđa Opšta uredba o zaštiti podataka (GDPR).

Član 15 - Međunarodni prenos podataka Lični podaci se, gde je to moguće, obrađuju u evropskom regionu. Podobrađivači ili povezana društva mogu biti osnovani izvan EEP-a ili imati pristup podacima izvan EEP-a. Gde je to potrebno, TablePlay koristi odluke o adekvatnosti, standardne ugovorne klauzule, dodatne mere ili druge važeće mehanizme. Na razuman zahtev, informacije se dostavljaju uz poštovanje poverljivosti.

Član 16 - Zahtevi nadležnih organa TablePlay dostavlja podatke isključivo nadležnim organima u slučaju zakonske obaveze. Gde je to dozvoljeno, Klijent se unapred obaveštava. TablePlay procenjuje nadležnost, obim i pravnu valjanost zahteva i ograničava dostavljanje podataka gde god je to moguće.

Član 17 - Revizije i informacije TablePlay stavlja na raspolaganje razumne informacije, uključujući bezbednosnu dokumentaciju, revizije, sertifikacije, upitnike ili izjave o uveravanju. Ako to nije dovoljno, Klijent može zahtevati reviziju najviše jednom po kalendarskoj godini, uz najavu od trideset dana, tokom radnog vremena, od strane nezavisnog stručnog lica koje je obavezano na čuvanje poverljivosti, bez štete za bezbednost, poverljivost ili druge klijente. Klijent snosi troškove osim ako se utvrdi bitna povreda koja se pripisuje TablePlay-u. TablePlay može zaštititi izvorni kod, druge podatke klijenata, detalje o ranjivostima i komercijalno osetljive informacije kada postoji dovoljna alternativa.

Član 18 - Vraćanje i brisanje Nakon prestanka, TablePlay briše ili vraća, po izboru Klijenta i u meri u kojoj je to tehnički i pravno moguće, podatke koji se obrađuju isključivo u ime Klijenta. Izbor se saopštava najkasnije u roku od trideset dana. U nedostatku izbora, TablePlay može izvršiti brisanje ili anonimizaciju u skladu sa standardnom politikom. Rezervne kopije mogu sadržati podatke najviše jedan mesec i koriste se isključivo za oporavak.

Ugovor o obradi podataka i Politika bezbednosti TablePlay

Strana 5 od 10

Zakonski obavezni, za pravnu zaštitu neophodni i anonimizovani podaci ne moraju se brisati.

Član 19 - Odgovornost Odredbe o odgovornosti iz Opštih uslova takođe se primenjuju. Svaka strana je odgovorna za sopstvene obaveze u vezi sa privatnošću. Klijent oslobađa TablePlay od odgovornosti za potraživanja koja proizilaze iz nezakonitih uputstava, nedostatka pravnog osnova, nedovoljnih informacija, nezakonite upotrebe Podataka o igri ili unosa zabranjenih osetljivih podataka, u meri u kojoj je to zakonom dozvoljeno.

Član 20 - Trajanje i prestanak Ovaj Ugovor o obradi podataka prestaje kada TablePlay više ne obrađuje lične podatke u ime Klijenta. Odredbe o čuvanju poverljivosti, bezbednosti, brisanju, odgovornosti i revizijama nastavljaju da se primenjuju u meri u kojoj njihova priroda to zahteva.

Član 21 - Pravo i sporovi Na ovaj Ugovor o obradi podataka primenjuje se holandsko pravo. Sporovi se rešavaju u skladu sa Opštim uslovima.

Prilog 1 - Podobrađivači Dobavljač

Usluga

Mogući podaci

Region / uloga

Supabase

Baza podataka, autentifikacija, skladištenje i pozadinski sistem Nalozi, podaci o stolovima, nadimci, sesije, rezultati Primarni i logovi EU region ukoliko je podešen; ključni podobrađivač

Vercel

Hosting, radno okruženje, isporuka sadržaja i IP adresa, logovanje podaci o zahtevima, pretraživaču, uređaju i aplikaciji EEP i potencijalno SAD; podobrađivač za hosting

Twilio SendGrid

Transakcioni i operativni e-mail Ime, e-mail adresa, informacije o nalogu, sadržaj i Međunarodno; status isporuke e-mailapodobrađivač za e-mail

OpenAI / drugi AI dobavljač Samo kod aktiviranih AI funkcija

Ograničeni podaci koji su neophodni za tu funkciju U zavisnosti od konfiguracije; potencijalni podobrađivač

Stripe

Poslovni podaci, računi, transakcije i status plaćanja Međunarodno; uloga se razlikuje po vrsti obrade

Plaćanja, fakturisanje i prevencija prevara

Google / Meta / LinkedIn Analitika i marketing nakon pristanka Podaci o veb-sajtu, uređaju, reklamama i konverzijama Međunarodno; obično nije podobrađivač za re

Aktuelna lista se objavljuje putem veb-sajta ili portala za klijente. U slučaju bitnog novog podobrađivača primenjuje se procedura obaveštavanja i prigovora iz člana 14. TablePlay ne dostavlja podatke o gostima koji se mogu identifikovati AI dobavljaču u svrhu opšteg obučavanja modela, osim ako se to naknadno izričito, zakonito i transparentno drugačije uredi.

Prilog 2 - Tehničke i organizacione mere 1. Bezbednost pristupa • Jedinstveni korisnički nalozi i bezbedna autentifikacija. • Heširane lozinke i ograničenje administratorskih prava. • Pristup na osnovu uloge i neophodnosti. • Ukidanje pristupa kada više nije potreban. • Dodatne mere autentifikacije gde je to primereno.

2. Logičko razdvajanje podataka • Razdvajanje između poslovnih Naloga i ovlašćenja vezanog za zakupca (tenant).

Ugovor o obradi podataka i Politika bezbednosti TablePlay

Strana 6 od 10 • Supabase Row Level Security gde je to tehnički primenljivo. • Ograničenje pristupa podacima drugih Klijenata. • Jedinstveni identifikatori stolova.

3. Transport i skladištenje • HTTPS i TLS bezbedne veze. • Bezbedna komunikacija između pretraživača, aplikacije, pozadinskog sistema i API-ja. • Skladištenje kod izabranih dobavljača u oblaku (cloud). • Ograničen pristup zaposlenih i ugovorna obaveza čuvanja poverljivosti. • Nema skladištenja lozinki u direktno čitljivom obliku.

4. Dostupnost, logovanje i oporavak • Rezervne kopije i mogućnosti oporavka gde je to primereno. • Praćenje tehničkih greška i relevantnih pokušaja prijavljivanja. • Detekcija i istraživanje neuobičajenog korišćenja. • Rezervne kopije se u načelu čuvaju najviše jedan mesec. • Logovi se u načelu čuvaju najviše jednu godinu, osim ako je duže potrebno zbog incidenta ili spora.

5. Обезбеђени развој и управљање добављачима • Управљање верзијама, преглед кода и контролисана имплементација где је то примерено. • Ограничавање тајних података и кључева у изворном коду. • Правовремена ажурирања релевантних компоненти. • Процена и отклањање пријављених рањивости. • Избор професионалних добављача, уговорни аранжмани и механизми преноса података.

6. Минимизација података и управљање инцидентима • Нема обавезних правих имена, е-адресе или броја телефона за Госте. • Привремени надимци и ограничена видљивост ранг-листе. • Брисање или анонимизација након истека рокова. • Интерни процес ескалације, истрага, евидентирање, процена обавезе пријављивања и мере санације.

Део Б - Безбедност и координисано откривање рањивости (Coordinated Vulnerability Disclosure) 1. Сврха и адреса за пријаву TablePlay придаје значај безбедности веб-сајта, Платформе, инфраструктуре и података. Могуће техничке рањивости могу се поверљиво пријавити путем support@tableplay.online са предметом Securitymelding - vertrouwelijk.

2. Садржај пријаве • Јасан опис рањивости. • Дотични домен, крајња тачка (endpoint), екран или систем.

Страница 7 од 10 • Кораци за репродукцију и могући утицај. • Ограничени снимци екрана или технички докази. • Коришћени прегледач, уређај или окружење. • Контакт подаци и, евентуално, предлог за безбедну комуникацију.

3. Дозвољене радње • Само радње које су неопходне за утврђивање постојања рањивости. • Утицај и увид у податке свести на најмању могућу меру. • Без измене, брисања или преузимања података трећих лица. • Без утицаја на доступност и прекид чим постоји довољно доказа. • Испитивање искључиво система који доказиво спадају под управљање TablePlay-а.

4. Недозвољене радње • Друштвени инжењеринг (social engineering), пхисхинг, физички напади, брута форс и credential stuffing. • Преузимање налога, ускраћивање услуге (denial-of-service), малвер или трајан приступ. • Измена, брисање, копирање или јавно откривање података. • Стварна манипулација плаћањима, рачунима, купонима или резултатима. • Испитивање спољних добављача без њиховог пристанка. • Оптерећујућа аутоматизована скенирања. • Јавно откривање пре него што је пружено разумно време за истрагу и санацију. • Уцена или изнуђивање плаћања путем претњи.

5. Одговор и јавно откривање TablePlay настоји да потврди пријем у року од пет радних дана, процени пријаву, по потреби постави питања, обавести подносиоца пријаве у главним цртама и што је пре разумно могуће ограничи верификовану рањивост. Време санације зависи од озбиљности, сложености, добављача и неопходних тестова. TablePlay не гарантује фиксан рок.

Детаљи се не објављују пре него што TablePlay да сагласност, договори се разуман датум или протекне најмање деведесет дана без разумног садржајног одговора или покушаја санације. Лични подаци, подаци за аутентификацију и exploit код се не објављују.

6. Нема опште bug bounty шеме и правни приступ TablePlay не примењује општи bug bounty програм, а пријава не даје право на исплату, ангажман или публицитет. TablePlay може, по сопственом нахођењу, изразити захвалност. TablePlay у начелу неће предузимати правне кораке против истраживача који поступа у доброј вери, у складу са овом политиком, без причињавања штете, поверљиво и без уцене. Ова изјава не важи у случају очигледно кажњивих, штетних, преварних или несразмерних радњи и не обавезује трећа лица или органе власти.

Страница 8 од 10

7. security.txt TablePlay може на адреси /.well-known/security.txt објавити технички фајл са адресом за пријаву, везом ка политици, језицима, датумом истека и, евентуално, кључем за шифровање. Овај фајл треба периодично проверавати и ажурирати.

Део Ц - Изјава о приступачности 1. Амбиција и референтни оквир TablePlay настоји да веб-сајт, регистрацију, кориснички портал и госте-игре учини употребљивим за широк круг корисника, укључујући особе са визуелним, аудитивним, моторичким или когнитивним сметњама. Где год је то разумно могуће, начела WCAG 2.2 нивоа AA користе се као технички и садржајни референтни оквир. Ово не представља гаранцију да је сваки део у свим околностима у потпуности усклађен.

2. Тренутни статус Целокупно окружење још увек није независно и свеобухватно ревидирано (аудитирано). TablePlay стога тренутно не тврди пуну формалну усклађеност са WCAG 2.2 AA. Могућа ограничења односе се на делове игре у реалном времену, временски притисак, drag-and-drop, анимације, спољне странице за плаћање или аутентификацију, преводе, старије приказе боја и функције намењене додиру (touch).

3. Мере • Семантички HTML и употребљиве ознаке где је то примерено. • Управљање тастатуром за неопходне функције и видљив фокус. • Довољан контраст и текст који се може скалирати. • Алтернативни текстови за информативне слике. • Никаква суштинска информација искључиво путем боје. • Разумљиве поруке о грешкама и конзистентна навигација. • Јасни дугмићи и линкови. • Подршка уобичајених прегледача и величина екрана. • Ограничење непотребне анимације. • Разумљив језик у гостинском окружењу. • Аутоматизовано и ручно тестирање где је могуће.

4. Игре и временски притисак Неке игре су по својој природи временски ограничене. Где је технички и садржајно могуће, TablePlay може понудити алтернативне режиме игре, продужена временска ограничења, мање покрета, визуелне алтернативе за звук и текст или симболе поред боје. Није сваки режим игре подједнако погодан за сваког корисника. Ресторани се подстичу да понуде више врста игара.

Уговор о обради података и Политика безбедности TablePlay

Страница 9 од 10

5. Одговорност пословног клијента Клијент остаје одговоран за физичку и оперативну доступност Локације, укључујући постављање QR кодова, читљивост штампаног материјала, алтернативну помоћ, доступност екрана, подршку особља и сопствени садржај. QR кодови се постављају доступно и видљиво, а где је разумно могуће, нуди се алтернатива Гостима који не могу самостално да скенирају.

6. Пријава и алтернативни приступ Проблеми са доступношћу могу се пријавити преко support@tableplay.online уз навођење странице или игре, уређаја, прегледача, помоћне технологије, описа и жељеног решења. TablePlay настоји да потврди пријем у року од пет радних дана и да достави суштински одговор у разумном року. Где је могуће, може се понудити информација путем е-поште, подршка, алтернативно упутство, ручна обрада или друга могућност играња.

7. Несразмеран терет и унапређење Прилагођавање може бити одложено када је технички неизводљиво, суштински угрожава безбедност, мења фундаментални карактер игре, зависи од спољног добављача или представља несразмеран организациони или финансијски терет. TablePlay у том случају разматра алтернативу. TablePlay може узети доступност у обзир приликом дизајна, тестирања, приоритизације, повратних информација корисника и спољних ревизија, и ажурирати ову изјаву.

8. Контакт TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Nederland - KvK 91644453 - Btw NL865722729B01 - support@tableplay.online.

Уговор о обради података и Политика безбедности TablePlay

Страница 10 од 10

Додатна листа подобрађивача Ова листа подобрађивача чини саставни део Уговора о обради података и Политике безбедности TablePlay. Актуелна листа може се мењати када се добављачи, региони или функције промене.

Добављач: Supabase Услуга: база података, аутентикација, складиштење и позадински систем (backend). Могући подаци: налози, подаци о столовима, надимци, сесије, резултати и логови. Регион / улога: примарно ЕУ-регион уколико је тако подешено; главни подобрађивач.

Добављач: Vercel Услуга: хостинг, извршно окружење (runtime), испорука садржаја и логовање. Могући подаци: IP-адреса, подаци о захтевима, прегледачу, уређају и апликацији. Регион / улога: ЕЕП и потенцијално САД; хостинг-подобрађивач.

Добављач: Twilio SendGrid Услуга: трансакционе и оперативне е-поруке. Могући подаци: име, е-адреса, информације о налогу, садржај и статус испоруке. Регион / улога: међународно; подобрађивач за е-пошту.

Добављач: OpenAI / други добављач вештачке интелигенције Услуга: само код активираних функција вештачке интелигенције. Могући подаци: ограничени подаци неопходни за функцију. Регион / улога: у зависности од конфигурације; потенцијални подобрађивач. TablePlay не доставља препознатљиве податке о гостима добављачу вештачке интелигенције за опште обучавање модела, осим ако се то касније изричито, законито и транспарентно другачије уреди.

Добављач: Stripe Услуга: плаћања, фактурисање и превара. Могући подаци: пословни подаци, фактуре, трансакције и статус плаћања. Регион / улога: међународно; улога се разликује по врсти обраде.

Добављач: Google / Meta / LinkedIn Услуга: аналитика и маркетинг након пристанка. Могући подаци: подаци о веб-сајту, уређају, огласима и конверзији. Регион / улога: међународно; по правилу није подобрађивач за податке о ресторанским играма.