Pogodba o obdelavi osebnih podatkov

• Obdelovalec: EKOCLEAN, ekološke storitve, d.o.o., Podljubelj 259, 4290 Tržič, Slovenija, matična številka 6053955000, upravljavec storitve SpotDrop.
• Upravljavec: naročnik, torej podjetje ali posameznik, ki je sklenil naročniško razmerje za storitev SpotDrop, kot je opredeljen v svojem uporabniškem računu.

Upravljavec določa namene in sredstva obdelave podatkov o svojih strankah. Obdelovalec te podatke obdeluje izključno po njegovih navodilih.

Obdelovalec za upravljavca zagotavlja programsko opremo za sprejemanje rezervacij, obveščanje strank, vodenje urnika in evidence strank ter objavo javne strani. Obdelava obsega zbiranje, shranjevanje, vpogled, spreminjanje, posredovanje prejemnikom iz te pogodbe, izvoz in brisanje.

Obdelava traja ves čas naročniškega razmerja in se konča z izbrisom podatkov po poglavju o vračilu in izbrisu.

Obdelovalec podatke obdeluje samo po dokumentiranih navodilih upravljavca. Uporaba storitve, kot je opisana v splošnih pogojih in v nastavitvah nadzorne plošče, šteje za tako navodilo. Dodatna navodila upravljavec pošlje po e-pošti.

Če obdelovalec meni, da je navodilo v nasprotju s predpisi o varstvu podatkov, o tem upravljavca nemudoma obvesti in lahko izvršitev zadrži.

Če mora obdelovalec podatke obdelati zaradi predpisa, ki zanj velja, o tem upravljavca obvesti pred obdelavo, razen če isti predpis tako obvestilo prepoveduje.

Obdelovalec zagotavlja, da so vse osebe, ki imajo dostop do podatkov, zavezane k zaupnosti. Dostop do produkcijskih podatkov ima le nujen krog oseb in le v obsegu, ki ga potrebujejo za svoje delo.

Obdelovalec izvaja ukrepe po 32. členu Splošne uredbe, med drugim:

• šifriran prenos podatkov (TLS) in šifrirano hrambo pri ponudniku podatkovne baze,
• nadzor dostopa po načelu najmanjših pravic in ločene vloge v sistemu,
• beleženje dostopov in sprememb ter hrambo dnevniških zapisov,
• redne varnostne kopije in preizkuse njihove obnovitve,
• omrežno zaščito pred zlorabami in omejevanje pogostosti zahtevkov,
• ločena razvojna in produkcijska okolja,
• redno posodabljanje odvisnosti in pregled ranljivosti.

Upravljavec je odgovoren za varnost na svoji strani: za dodeljevanje in odvzemanje dostopov svojim zaposlenim, za močna gesla in za varnost naprav, s katerih dostopa do storitve.

Upravljavec s sklenitvijo te pogodbe daje splošno odobritev za vključitev naslednjih pod-obdelovalcev:

Obdelovalec s pod-obdelovalci sklene enake obveznosti glede varstva podatkov, kot so v tej pogodbi, in za njihovo ravnanje odgovarja kot za svoje.

O zamenjavi ali dodatku pod-obdelovalca obdelovalec upravljavca obvesti vsaj 30 dni vnaprej. Upravljavec lahko v tem roku ugovarja iz utemeljenega razloga, povezanega z varstvom podatkov. Če razhajanja ni mogoče odpraviti, lahko naročniško razmerje odpove brez odpovednega roka in prejme sorazmerni del vračila.

Podatki so shranjeni na strežnikih v Evropski uniji. Kadar posamezen pod-obdelovalec dostopa iz tretje države, je prenos urejen s standardnimi pogodbenimi klavzulami Evropske komisije po izvedbenem sklepu 2021/914, skupaj z dodatnimi tehničnimi ukrepi.

Obdelovalec upravljavcu v razumnem obsegu pomaga pri izpolnjevanju njegovih obveznosti, in sicer:

• pri odgovarjanju na zahteve posameznikov po poglavju III Splošne uredbe; nadzorna plošča omogoča vpogled, popravek, izvoz in izbris podatkov stranke, tako da lahko upravljavec večino zahtev reši sam,
• pri zagotavljanju varnosti obdelave po 32. členu,
• pri obveščanju o kršitvah varstva podatkov po 33. in 34. členu,
• pri oceni učinka po 35. členu in pri predhodnem posvetovanju po 36. členu, če sta potrebna.

Če zahtevo posameznika prejme obdelovalec, je ne rešuje sam, temveč jo brez odlašanja posreduje upravljavcu.

Obdelovalec upravljavca o kršitvi varstva osebnih podatkov obvesti brez nepotrebnega odlašanja, praviloma v 48 urah od trenutka, ko je zanjo izvedel. Obvestilo vsebuje opis narave kršitve, prizadete vrste in približno število podatkov, verjetne posledice in sprejete ali predlagane ukrepe.

Prijavo nadzornemu organu in obvestilo posameznikom opravi upravljavec, saj je to njegova obveznost. Obdelovalec mu pri tem zagotovi vse potrebne podatke.

Obdelovalec upravljavcu na pisno zahtevo da na voljo informacije, potrebne za dokaz izpolnjevanja obveznosti iz 28. člena Splošne uredbe.

Upravljavec lahko enkrat letno, ob najavi vsaj 30 dni vnaprej in ob spoštovanju poslovne skrivnosti, opravi revizijo ali jo naroči neodvisnemu revizorju, ki ni konkurent obdelovalca. Revizija ne sme motiti delovanja storitve niti razkriti podatkov drugih naročnikov. Stroške revizije nosi upravljavec, razen če revizija pokaže bistveno kršitev te pogodbe.

Po prenehanju naročniškega razmerja ima upravljavec 30 dni, da podatke izvozi iz nadzorne plošče v strojno berljivi obliki.

Po izteku tega roka obdelovalec podatke izbriše iz delovnih sistemov, iz varnostnih kopij pa najpozneje v 60 dneh. Izjema so podatki, ki jih mora obdelovalec hraniti po zakonu, na primer izdani računi; te hrani ločeno in jih ne uporablja za noben drug namen.

Vsaka stran odgovarja za škodo, ki nastane zaradi kršitve njenih obveznosti iz te pogodbe ali predpisov o varstvu podatkov. Omejitev odgovornosti iz splošnih pogojev velja tudi za to pogodbo, kolikor to dopušča zakon.

Upravljavec odgovarja za to, da ima za obdelavo podatkov svojih strank ustrezno pravno podlago, da svoje stranke o obdelavi ustrezno obvesti in da vsebina, ki jo vnese, ni nezakonita.

Ta pogodba velja, dokler traja naročniško razmerje, obveznosti glede zaupnosti in izbrisa pa tudi po njem.

Ob neskladju med to pogodbo in splošnimi pogoji glede obdelave osebnih podatkov velja ta pogodba.

Naročnik, ki potrebuje podpisan izvod, ga zahteva na [email protected].