OCR product+legal review — F2 (MC #900175)

Izvor: Securion mobile audit (MC #900156), Nalaz 2 (VISOK): cloud OCR ekstrakcija računa implementirana i AKTIVNA (extractReceipt → POST /expenses/extract-receipt, auto-fill forme) a Impl-spec §5 traži "separate product + legal review" (GDPR, data residency, BA data sovereignty) PRIJE Phase 2 OCR-a. MC #106109 je razvojni ticket, ne review. READ-ONLY analiza, bez izmjena koda.

Scope (lexicon)

Utvrditi KOJI OCR provider backend stvarno koristi (apps/api extract-receipt implementacija — provider, region obrade, retencija).
GDPR/DPA analiza: pravni osnov, prenos u treće zemlje, rezidencija za HR (EU) i BA/RS tržišta.
Verdikt: SMIJE ostati uključen / USLOVI / feature-flag OFF do ispunjenja.
Preporuka teksta za DPA/privacy policy ako ostaje.

Acceptance

Report u ~/system/evidence/900175/ s provider-činjenicama citiranim iz koda (fajl:linija)
Jasna GO / NO-GO / USLOVI odluka
CEO eskalacija samo ako NO-GO