Pogodba o obdelavi osebnih podatkov

1. Pogodbeni stranki

Upravljavec je naročnik, torej poslovni subjekt, ki v storitvi Terenska naročila vodi svojo organizacijo in vanjo vnaša podatke.

Obdelovalec je Nejc Gergič s.p., Adamičeva 52D, 2000 Maribor, Slovenija, matična številka 9857125000.

Pogodba je sklenjena v elektronski obliki in začne veljati, ko naročnik sprejme splošne pogoje poslovanja. Ločena podpisana pogodba ni potrebna; če jo naročnik vseeno potrebuje, jo na zahtevo pripravimo z enako vsebino.

2. Predmet, narava in namen obdelave

Obdelovalec osebne podatke obdeluje izključno zato, da upravljavcu zagotovi storitev zajema in vodenja naročil na terenu: shranjevanje in prikaz podatkov o strankah, ustvarjanje naročil in naročilnic, pošiljanje obvestil po e-pošti, izdelava varnostnih kopij ter tehnična podpora.

Obdelava traja ves čas veljavnosti naročniškega razmerja in še toliko časa, kolikor je določeno v 9. točki.

3. Vrste osebnih podatkov

• kontaktni podatki strank upravljavca: ime in priimek kontaktne osebe, naziv podjetja ali poslovalnice, e-poštni naslov, telefonska številka, naslov in kraj,
• vsebinski podatki: opombe o stranki, zgodovina naročil, dodeljene nagrade in ugodnosti,
• podatki o uporabnikih upravljavca: ime in priimek, e-poštni naslov, vloga, slika profila (neobvezno), zapisi o prijavah.

Storitev ni namenjena obdelavi posebnih vrst osebnih podatkov iz 9. člena GDPR (zdravstveni podatki, biometrija in podobno). Upravljavec se zavezuje, da jih v prosta besedilna polja ne bo vnašal.

4. Kategorije posameznikov

• kontaktne osebe pri strankah in poslovnih partnerjih upravljavca,
• zaposleni in pogodbeni sodelavci upravljavca, ki storitev uporabljajo.

5. Obveznosti obdelovalca

1. 1.Osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca. Uporaba storitve v skladu s splošnimi pogoji šteje za tako navodilo. Če je obdelava zahtevana s pravom EU ali Slovenije, obdelovalec upravljavca o tem obvesti pred obdelavo, razen če to isto pravo prepoveduje.
2. 2.Zagotavlja, da so osebe, ki so pooblaščene za obdelavo, zavezane k zaupnosti.
3. 3.Izvaja tehnične in organizacijske ukrepe iz 32. člena GDPR, opisane v 7. točki.
4. 4.Podobdelovalce najema pod pogoji iz 6. točke.
5. 5.Upravljavcu ob upoštevanju narave obdelave pomaga pri izpolnjevanju zahtevkov posameznikov iz III. poglavja GDPR.
6. 6.Upravljavcu pomaga pri izpolnjevanju obveznosti iz členov 32 do 36 GDPR, vključno z obveščanjem o kršitvah in oceno učinka.
7. 7.Po prenehanju storitve osebne podatke izbriše ali vrne, kot določa 9. točka.
8. 8.Upravljavcu da na voljo vse informacije, potrebne za dokazovanje skladnosti s tem členom, in omogoči revizije po 10. točki.
9. 9.Upravljavca nemudoma obvesti, če meni, da je posamezno navodilo v nasprotju z GDPR ali drugimi predpisi o varstvu podatkov.

6. Podobdelovalci

Upravljavec daje obdelovalcu splošno pisno odobritev za najem podobdelovalcev. Obdelovalec z vsakim sklene pogodbo z vsaj enakimi obveznostmi varstva podatkov, kot so v tej pogodbi, in za njihovo ravnanje odgovarja kot za svoje.

Ob uveljavitvi te pogodbe so podobdelovalci naslednji:

O nameravani zamenjavi ali dodatnem podobdelovalcu obdelovalec upravljavca obvesti po e-pošti najmanj 30 dni vnaprej. Upravljavec lahko v tem roku iz utemeljenih razlogov, povezanih z varstvom podatkov, ugovarja. Če rešitve ni mogoče najti, lahko upravljavec naročnino odpove in prejme sorazmerno vračilo neizkoriščenega dela plačanega obdobja.

7. Tehnični in organizacijski ukrepi

• Šifriranje prenosa: ves promet poteka prek HTTPS/TLS.
• Šifriranje v mirovanju: podatkovna baza in varnostne kopije so šifrirane.
• Ločenost naročnikov: podatki so ločeni na ravni baze z varnostjo na ravni vrstic (row-level security), tako da poizvedba enega naročnika ne more doseči podatkov drugega.
• Prijava brez gesel: dostop se potrjuje z enkratno kodo z omejeno veljavnostjo, zato ni shranjenih gesel, ki bi jih bilo mogoče razkriti.
• Nadzor dostopa: dostop do produkcijskega okolja ima samo ponudnik, in sicer po načelu najmanjših potrebnih pravic.
• Varnostne kopije: samodejne dnevne kopije, shranjene znotraj EU, z možnostjo obnovitve na točko v času.
• Beleženje: dostopi in spremembe se beležijo v obsegu, ki omogoča preiskavo incidenta.
• Posodabljanje: odvisnosti in platforma se redno posodabljajo z varnostnimi popravki.

8. Kršitev varstva osebnih podatkov

Obdelovalec upravljavca obvesti o vsaki kršitvi varstva osebnih podatkov brez nepotrebnega odlašanja in najpozneje v 48 urah po tem, ko zanjo izve. Obvestilo vsebuje opis narave kršitve, vrste in približno število prizadetih podatkov in posameznikov, verjetne posledice ter sprejete ali predlagane ukrepe.

Prijava nadzornemu organu in obveščanje posameznikov sta obveznost upravljavca; obdelovalec mu pri tem pomaga z vsemi razpoložljivimi informacijami.

9. Izbris in vračilo podatkov

Po prenehanju naročniškega razmerja obdelovalec podatke hrani še 90 dni, da lahko upravljavec obnovi naročnino ali zahteva izvoz. Izvoz obdelovalec pripravi na zahtevo, v strojno berljivi obliki. Po 90 dneh podatke trajno izbriše, vključno z varnostnimi kopijami v okviru njihovega rednega cikla obnavljanja.

Upravljavec lahko takojšen izbris zahteva tudi prej. Izjema velja le za podatke, ki jih mora obdelovalec hraniti po zakonu (na primer izdani računi).

10. Revizije in dokazovanje skladnosti

Obdelovalec upravljavcu na zahtevo posreduje informacije, potrebne za dokazovanje skladnosti s tem dokumentom. Upravljavec lahko enkrat letno, po predhodni napovedi najmanj 30 dni vnaprej in v delovnem času, opravi revizijo; stranki se dogovorita o obsegu, tako da revizija ne moti delovanja storitve in ne razkrije podatkov drugih naročnikov. Stroške revizije, ki jo upravljavec zahteva sam, nosi upravljavec.

11. Prenosi v tretje države

Podatki so shranjeni v Evropski uniji. Če pri podpori ali vzdrževanju pride do dostopa iz tretje države, ta temelji na standardnih pogodbenih klavzulah Evropske komisije oziroma na okviru EU-ZDA za zasebnost podatkov, skupaj z dodatnimi tehničnimi ukrepi.

12. Razmerje do drugih dokumentov

Ta pogodba je sestavni del splošnih pogojev poslovanja in ima pri vprašanjih obdelave osebnih podatkov pred njimi prednost. Za obdelavo, pri kateri je upravljavec ponudnik sam, velja politika zasebnosti.

Potrebujete podpisan izvod ali svojo predlogo pogodbe o obdelavi? Pišite na info@terenskanarocila.si in se dogovorimo.