Pogodba o obdelavi osebnih podatkov

1. Predmet, trajanje in navodila

1. Obdelovalec obdeluje osebne podatke izključno za izvajanje storitve Upify, kot je opisana v Prilogi A, in samo po dokumentiranih navodilih upravljavca. Navodilo so tudi nastavitve, ki jih upravljavec izbere v nadzorni plošči.
2. Pogodba traja, dokler traja pogodba o uporabi storitve.
3. Če obdelovalec meni, da je navodilo v nasprotju z GDPR ali drugim predpisom, upravljavca o tem nemudoma obvesti in lahko izvedbo zadrži.
4. Če obdelovalca k obdelavi zavezuje pravo EU ali države članice, upravljavca o tem obvesti pred obdelavo, razen če takšno obveščanje ta predpis prepoveduje.

2. Zaupnost in osebje

1. Dostop do osebnih podatkov imajo samo osebe, ki ga potrebujejo za izvajanje storitve, in so zavezane k zaupnosti (pogodbeno ali zakonsko).
2. Obdelovalec te osebe seznani z veljavnimi pravili varstva podatkov in nadzoruje njihov dostop.

3. Varnost obdelave (člen 32 GDPR)

Obdelovalec izvaja tehnične in organizacijske ukrepe iz Priloge B, ki so primerni glede na tveganje. Ukrepe lahko posodablja, pri čemer raven varnosti ne sme pasti pod dogovorjeno.

4. Podobdelovalci

1. Upravljavec daje splošno pisno odobritev za uporabo podobdelovalcev, naštetih v Prilogi C.
2. O nameravani zamenjavi ali dodatku podobdelovalca obdelovalec obvesti upravljavca po e-pošti najmanj 30 dni vnaprej. Upravljavec lahko v tem roku iz utemeljenih razlogov, povezanih z varstvom podatkov, ugovarja; če rešitve ni, lahko pogodbo odpove brez odpovednega roka in brez stroškov.
3. Obdelovalec s podobdelovalcem sklene pogodbo z enakimi obveznostmi, kot jih ima sam, in upravljavcu odgovarja za njegovo ravnanje.

5. Pomoč upravljavcu

1. Pravice posameznikov. Če zahtevo za dostop, popravek, izbris, omejitev ali prenosljivost prejme obdelovalec, je ne rešuje sam, ampak jo brez odlašanja posreduje upravljavcu in mu pri odzivu pomaga (izvoz ali izbris podatkov v nadzorni plošči oziroma na zahtevo).
2. Kršitve varnosti. O kršitvi varstva osebnih podatkov obdelovalec obvesti upravljavca brez nepotrebnega odlašanja, najkasneje v 48 urah po tem, ko zanjo izve, in mu posreduje znane podatke o naravi kršitve, obsegu, posledicah in ukrepih.
3. DPIA. Obdelovalec upravljavcu na zahtevo pomaga pri oceni učinka in predhodnem posvetovanju z nadzornim organom, v obsegu, ki ustreza naravi obdelave in podatkom, s katerimi razpolaga.

6. Izbris in vračilo podatkov

1. Po prenehanju storitve obdelovalec po izbiri upravljavca podatke vrne v strojno berljivi obliki ali izbriše, in sicer najkasneje v 30 dneh po prenehanju.
2. Izjema so podatki, ki jih mora obdelovalec hraniti po pravu EU ali države članice; ti se hranijo ločeno in samo za ta namen.
3. Varnostne kopije se prepišejo v okviru rednega cikla, najkasneje v 30 dneh.
4. Trgovine na Shopifyju. Ob odstranitvi aplikacije pomočnik takoj preneha delovati in dostopni žeton trgovine se izbriše. Ko Shopify po odstranitvi pošlje zahtevo za izbris podatkov trgovine (praviloma 48 ur pozneje), obdelovalec samodejno izbriše vse podatke te trgovine. Zahteve kupcev za izbris, ki jih posreduje Shopify, obdelovalec izvede samodejno; zahteve za dostop posreduje upravljavcu (5. točka). Oznaka obiskovalca, ki jo Shopify shrani kot atribut košarice v naročilo upravljavca (_upify_vid), je v Shopifyju pod nadzorom upravljavca; obdelovalec je iz že oddanih naročil ne more izbrisati.

7. Dokazila in revizije

1. Obdelovalec upravljavcu na zahtevo da na voljo vse informacije, potrebne za dokaz skladnosti s členom 28 GDPR.
2. Upravljavec lahko enkrat letno (ali po kršitvi varnosti) izvede revizijo, praviloma z vprašalnikom, po dogovoru pa tudi z ogledom, napovedanim vsaj 14 dni vnaprej, v delovnem času in brez motenja poslovanja. Stroške revizije nosi upravljavec, razen če se ugotovijo bistvene kršitve.

8. Prenosi izven EU

1. Osebni podatki se hranijo na strežnikih v EU.
2. Če posamezni podobdelovalec obdeluje podatke tudi zunaj EU, se prenos izvede na podlagi standardnih pogodbenih klavzul Evropske komisije ali druge ustrezne podlage iz poglavja V GDPR, skupaj z dodatnimi zaščitnimi ukrepi. Podrobnosti so v Prilogi C.

9. Končne določbe

1. Ob nasprotju med to pogodbo in splošnimi pogoji glede obdelave osebnih podatkov velja ta pogodba.
2. Za pogodbo velja pravo Republike Slovenije; pristojno je sodišče v Ljubljani.
3. Odgovornost strank ureja člen 82 GDPR, sicer pa določbe o odgovornosti iz splošnih pogojev.

Priloga A: opis obdelave

Priloga B: tehnični in organizacijski ukrepi

1. Šifriranje prenosa. Ves promet do storitve in nadzorne plošče teče prek HTTPS (TLS).
2. Nadzor dostopa. Dostop do nadzorne plošče je zaščiten z geslom in sejo; gesla so shranjena v zgoščeni obliki. Administrativni dostop ima najmanjše možno število oseb.
3. Ločevanje podatkov. Podatki vsakega naročnika so ločeni na ravni računa; pomočnik dela izključno s podatki svoje trgovine. Dostop do pomočnika je omejen na trgovino naročnika.
4. Omejevanje zlorab. Omejevanje hitrosti zahtev, zaščita obrazcev pred roboti, beleženje napak.
5. Ločeno testno okolje. Razvoj poteka v ločenem okolju z ločeno bazo; produkcijskih podatkov ne uporabljamo za testiranje.
6. Odpornost in obnova. Storitev teče na platformi z redundanco in samodejnimi varnostnimi kopijami baze.
7. Najmanjši obseg. Zbiramo samo podatke, potrebne za delovanje; kupcem odsvetujemo vnašanje občutljivih podatkov v klepet.
8. Brez učenja modelov. Podatkov upravljavca in kupcev ne uporabljamo za učenje ali razvoj jezikovnih modelov. Jezikovni model uporabljamo prek plačljive storitve Google Gemini API, pri kateri Google pozivov in odgovorov ne uporablja za izboljšanje svojih izdelkov.

Priloga C: podobdelovalci

Za prenose zunaj EU veljajo standardne pogodbene klavzule Evropske komisije. Seznam velja na dan zadnje posodobitve te strani. Spremembe objavimo tukaj in o njih obvestimo naročnike po e-pošti (4. točka).