# OCR product+legal review — F2 (MC #900175)

<!-- ALAI-MC:900175:BEFORE -->
# OCR product+legal review — F2 (MC #900175)

**Izvor:** Securion mobile audit (MC #900156), Nalaz 2 (VISOK): cloud OCR ekstrakcija računa implementirana i AKTIVNA (`extractReceipt` → `POST /expenses/extract-receipt`, auto-fill forme) a Impl-spec §5 traži *"separate product + legal review"* (GDPR, data residency, BA data sovereignty) PRIJE Phase 2 OCR-a. MC #106109 je razvojni ticket, ne review. READ-ONLY analiza, bez izmjena koda.

## Scope (lexicon)
1. Utvrditi KOJI OCR provider backend stvarno koristi (`apps/api` extract-receipt implementacija — provider, region obrade, retencija).
2. GDPR/DPA analiza: pravni osnov, prenos u treće zemlje, rezidencija za HR (EU) i BA/RS tržišta.
3. Verdikt: SMIJE ostati uključen / USLOVI / feature-flag OFF do ispunjenja.
4. Preporuka teksta za DPA/privacy policy ako ostaje.

## Acceptance
- [ ] Report u `~/system/evidence/900175/` s provider-činjenicama citiranim iz koda (fajl:linija)
- [ ] Jasna GO / NO-GO / USLOVI odluka
- [ ] CEO eskalacija samo ako NO-GO