Pogodba o obdelavi osebnih podatkov

1. Stranki

• Upravljavec: podjetje ali samostojni podjetnik, ki je registriral račun podjetja v WorkOrders (v nadaljevanju naročnik).
• Obdelovalec: UniCode, programske rešitve in programiranje, Sebastian Novak s.p., Štihova ulica 13, 1000 Ljubljana, matična številka 9021817000, davčna številka 64110273, e-naslov info@unicode.si (v nadaljevanju UniCode s.p.).

2. Predmet, narava in namen obdelave

Obdelovalec za naročnika zagotavlja spletno aplikacijo WorkOrders: gostovanje in shranjevanje podatkov, prikaz in izračune v aplikaciji, izdelavo dokumentov PDF, pošiljanje e-pošte in prenos podatkov v sisteme, ki jih naročnik poveže sam. Podatke obdeluje le za ta namen in le v obsegu, ki je potreben za delovanje storitve.

3. Trajanje

Pogodba velja, dokler velja pogodba o uporabi storitve, in še do izbrisa podatkov po njenem prenehanju (točka 11).

4. Vrste osebnih podatkov in posamezniki

Posebnih vrst osebnih podatkov iz 9. člena GDPR naročnik v aplikacijo ne vnaša.

5. Obveznosti obdelovalca

1. Podatke obdeluje le po dokumentiranih navodilih naročnika. Navodila so ta pogodba, pogoji uporabe ter nastavitve in dejanja naročnika v aplikaciji (na primer vnos, sprememba, izbris, povezava integracije). Če meni, da navodilo krši predpise o varstvu podatkov, naročnika o tem takoj obvesti.
2. Za zaupnost se zavežejo vse osebe, ki imajo dostop do podatkov.
3. Izvaja tehnične in organizacijske ukrepe iz Priloge 1 (32. člen GDPR) in jih posodablja s stanjem tehnike.
4. Naročniku pomaga pri odgovarjanju na zahteve posameznikov in pri izpolnjevanju obveznosti iz 32. do 36. člena GDPR (varnost, kršitve, ocena učinka, predhodno posvetovanje), upoštevajoč naravo obdelave in razpoložljive informacije.
5. Naročniku da na voljo informacije, potrebne za dokazovanje skladnosti s 28. členom GDPR (točka 12).

6. Podobdelovalci

Naročnik daje splošno pisno dovoljenje za vključitev podobdelovalcev. Ob tej pogodbi obdelovalec vključuje:

Strežnik in baza tečeta na infrastrukturi v Sloveniji, ki jo upravlja obdelovalec. O nameravani vključitvi ali zamenjavi podobdelovalca obdelovalec obvesti administratorja naročnika po e-pošti vsaj 30 dni vnaprej. Naročnik lahko v tem roku utemeljeno ugovarja; če se ne dogovorita, lahko pogodbo odpove brez stroškov. Podobdelovalcem obdelovalec naloži enake obveznosti varstva podatkov in zanje odgovarja.

Sistemi, ki jih naročnik poveže sam (na primer fin., Jira, Plane, naslovi webhookov), niso podobdelovalci obdelovalca: podatki gredo vanje po navodilu naročnika, razmerje s ponudnikom teh sistemov pa ureja naročnik.

7. Prenos v tretje države

Podatke obdelovalec hrani v Sloveniji. Prenos izven EGP je dovoljen le ob ustreznih zaščitnih ukrepih iz V. poglavja GDPR, kot pri podobdelovalcu iz točke 6.

8. Kršitve varstva podatkov

Obdelovalec naročnika o kršitvi varstva osebnih podatkov obvesti brez nepotrebnega odlašanja, najpozneje v 48 urah od seznanitve. Obvestilo vsebuje podatke iz člena 33(3) GDPR, kolikor so znani, in ukrepe za omejitev posledic.

9. Zahteve posameznikov

Zahteve posameznikov, ki jih prejme, obdelovalec posreduje naročniku in nanje ne odgovarja sam, razen po navodilu naročnika. Popravke in izbris naročnik izvede v aplikaciji; kar v aplikaciji ni mogoče, obdelovalec izvede na pisno zahtevo naročnika v razumnem roku.

10. Odgovornost

Za odgovornost veljajo pogoji uporabe in 82. člen GDPR. Naročnik odgovarja za zakonitost podatkov, ki jih vnese, in za obveščanje svojih zaposlenih in strank o obdelavi.

11. Vračilo in izbris podatkov

Ob prenehanju pogodbe lahko naročnik v 30 dneh zahteva izvoz podatkov v strojno berljivi obliki (JSON ali CSV) in dokumentov PDF. Obdelovalec nato podatke izbriše najpozneje v 30 dneh, iz varnostnih kopij pa izginejo v nadaljnjih 30 dneh, razen če pravo EU ali Slovenije zahteva hrambo. Naročnik je sam odgovoren za hrambo računov in drugih dokumentov, ki jih mora hraniti po davčnih predpisih.

12. Dokazila in revizije

Obdelovalec na zahtevo posreduje opis ukrepov in odgovore na vprašanja o obdelavi. Naročnik lahko enkrat letno, z najavo vsaj 30 dni vnaprej, na svoje stroške in z zavezo zaupnosti opravi revizijo ali jo zaupa neodvisnemu revizorju, ki ni konkurent obdelovalca. Revizija ne sme ogroziti varnosti podatkov drugih naročnikov.

13. Končne določbe

Pri vprašanjih varstva osebnih podatkov ima ta pogodba prednost pred pogoji uporabe. Za pogodbo velja pravo Republike Slovenije. Obdelovalec sme pogodbo spremeniti, kadar to zahtevajo predpisi ali sprememba storitve; o bistvenih spremembah obvesti naročnika vsaj 30 dni vnaprej.

Priloga 1: Tehnični in organizacijski ukrepi

• Šifriranje prenosa s TLS za vse povezave do aplikacije in API.
• Ločitev podatkov naročnikov: vsaka poizvedba v aplikaciji je omejena na podjetje prijavljenega uporabnika.
• Nadzor dostopa: vloge in pravice, dvostopenjska prijava (aplikacija avtentikator, koda po e-pošti, passkey), možnost obvezne dvostopenjske prijave za podjetje, pregled in preklic sej.
• Gesla zgoščena z bcrypt, žetoni za povezane sisteme šifrirani z AES-256-GCM, osvežitveni žeton v piškotku HttpOnly, kratkoživ dostopni žeton.
• Omejevanje števila poskusov prijave in zgodovina prijav.
• Revizijska sled pomembnih sprememb v aplikaciji.
• Baza ni dostopna iz interneta; dostop do strežnika imajo le pooblaščene osebe obdelovalca.
• Redne varnostne kopije, hranjene največ 30 dni, in redno posodabljanje programske opreme s popravki ranljivosti.
• Brez analitike in oglasnih sledilnikov v aplikaciji po prijavi.