1. Pogodbeni stranki in sklenitev
Upravljavec: Naročnik, ki je sklenil Naročnino FrameCRM (v nadaljevanju: »Upravljavec«).
Obdelovalec: Pavlo Okhmak, samostojni podjetnik (fizična oseba, ki opravlja dejavnost), vpisan v češki obrtni register (živnostenský rejstřík), matična številka (IČO) 29485941, s sedežem (krajem poslovanja) Bezručova 4201, 430 03 Chomutov, Češka republika, ni zavezanec za DDV (v nadaljevanju: »Obdelovalec«).
Ta Pogodba o obdelavi osebnih podatkov (v nadaljevanju: »DPA«) je del Splošnih pogojev poslovanja. Upravljavec jo sprejme s potrditvijo soglasja ob registraciji v FrameCRM; podpis ni potreben. DPA izpolnjuje zahtevo po pogodbi iz čl. 28(3) Uredbe (EU) 2016/679 (GDPR).
Zavezujoča je češka različica te DPA. To slovensko besedilo je prevod, ki je na voljo zgolj v informativne namene; v primeru kakršnega koli neskladja prevlada češka različica. V zadevah varstva osebnih podatkov ima DPA prednost pred Splošnimi pogoji poslovanja.
2. Predmet, trajanje, narava in namen obdelave
- Predmet: obdelava osebnih podatkov, ki jih Upravljavec ali njegovi uporabniki vnesejo v FrameCRM.
- Trajanje: za čas trajanja Naročnine in nato do izbrisa podatkov v skladu z 10. členom.
- Narava obdelave: zbiranje (vključno s povpraševanji in rezervacijami s spletnega mesta ali spletnega obrazca za rezervacije Upravljavca, če se uporablja), shranjevanje, urejanje, prikazovanje, iskanje, spreminjanje, izvoz, priprava opomnikov in sporočil, ki jih uporabniki Upravljavca strankam pošljejo sami (npr. prek povezave WhatsApp), obvestila uporabnikom Upravljavca (prek Telegrama, če ga Upravljavec vklopi), izdajanje dokumentov, kot so računi, varnostno kopiranje in izbris.
- Namen: zagotavljanje storitve FrameCRM — evidenca strank, vozil, naročil, koledarja, opomnikov, ocen, računov, zaloge, plač in statistike Upravljavca.
3. Kategorije posameznikov, na katere se nanašajo osebni podatki, in osebnih podatkov
Posamezniki, na katere se nanašajo osebni podatki: stranke in zainteresirane osebe Upravljavca, njihove kontaktne osebe, zaposleni in drugi uporabniki Upravljavca.
Kategorije podatkov:
- identifikacijski in kontaktni podatki (ime, telefon, e-pošta, naslov);
- podatki o vozilu (znamka, model, registrska številka, VIN, stanje števca kilometrov);
- zgodovina naročil, termini, cene in evidence plačil, opombe;
- podatki za izdajo računov (ime ali naziv za račun, naslov, matična številka / identifikacijska številka za DDV);
- fotografije (predvsem vozil), ki lahko vsebujejo tudi druge osebne podatke;
- komunikacija s strankami in ocene;
- podatki o uporabnikih Upravljavca (ime, e-pošta, telefon, vloga, zapisi o prijavah, dnevnik dejavnosti) in, če Upravljavec uporablja obračun plač, njihova pravila plačila, zaslužki in izplačila.
Obdelava posebnih vrst podatkov (čl. 9 GDPR) ali podatkov v zvezi s kazenskimi obsodbami ni predvidena; Upravljavec takšnih podatkov v FrameCRM ne vnaša.
4. Obveznosti Upravljavca
Upravljavec je odgovoren za to, da ima za obdelavo pravno podlago, da je posameznike ustrezno obvestil, za točnost vnesenih podatkov ter za to, da so njegova navodila Obdelovalcu v skladu s predpisi. Upravljavec varuje podatke za dostop svojih uporabnikov.
5. Obveznosti Obdelovalca
Obdelovalec:
- obdeluje osebne podatke samo po dokumentiranih navodilih Upravljavca — za takšna navodila se štejejo Splošni pogoji poslovanja, ta DPA ter nastavitve in dejanja Upravljavca v aplikaciji —, tudi glede prenosov v tretje države; če meni, da je navodilo nezakonito, o tem takoj obvesti Upravljavca;
- zagotovi, da so se osebe, pooblaščene za obdelavo podatkov, zavezale k zaupnosti;
- sprejme tehnične in organizacijske ukrepe v skladu s čl. 32 GDPR (7. člen);
- upošteva pogoje za vključitev podobdelovalcev (6. člen);
- pomaga Upravljavcu pri odzivanju na zahteve posameznikov — zlasti s funkcijami aplikacije za iskanje, popravljanje, izvoz in izbris podatkov;
- pomaga Upravljavcu pri izpolnjevanju obveznosti iz čl. 32 do 36 GDPR, ob upoštevanju narave obdelave in razpoložljivih informacij;
- po prenehanju storitve podatke izbriše ali vrne (10. člen);
- Upravljavcu da na voljo informacije, potrebne za dokazovanje skladnosti, in omogoči revizije (11. člen);
- podatkov Upravljavca ne uporablja za lastne namene.
6. Podobdelovalci
Upravljavec daje splošno dovoljenje za vključitev podobdelovalcev. Na dan začetka veljavnosti te DPA so to:
| Podobdelovalec | Dejavnost | Lokacija / zaščitni ukrepi |
|---|---|---|
| Cloudflare, Inc. | Delovanje aplikacije (Workers), CDN, zaščita pred napadi | Globalno omrežje — DPF, standardne pogodbene klavzule |
| Supabase, Inc. | Podatkovna zbirka (PostgreSQL) in shramba datotek | Podatki shranjeni v EU (Frankfurt, Nemčija) — standardne pogodbene klavzule |
| Resend | Pošiljanje servisnih e-poštnih sporočil uporabnikom Upravljavca (npr. potrditev registracije, obvestila o plačilih) | ZDA — standardne pogodbene klavzule |
| Telegram | Obvestila za uporabnike Upravljavca (samo če jih Upravljavec vklopi) | Zunaj EU — uporaba je neobvezna |
| Maps/Places za iskanje naslovov in ocen (neobvezno) | Google Ireland Ltd. — DPF, standardne pogodbene klavzule |
Plačila Naročnine obdeluje Stripe; Stripe pa ne obdeluje osebnih podatkov strank Upravljavca.
Sporočila strankam prek WhatsAppa pošiljajo uporabniki Upravljavca iz svoje aplikacije WhatsApp (povezava za klepet, click-to-chat); WhatsApp (Meta) zato ni podobdelovalec Obdelovalca, za uporabo WhatsAppa s strani Upravljavca pa velja njegovo lastno razmerje z družbo Meta. Ko uporabnik dekodira VIN, se v brezplačno javno podatkovno zbirko NHTSA vPIC (U.S. Department of Transportation, ameriško ministrstvo za promet) pošlje samo VIN (brez kakršnih koli drugih podatkov), da se ugotovita znamka in model; naslovi studiev se lahko iščejo v OpenStreetMap (Nominatim).
O nameravani dodatni vključitvi ali zamenjavi podobdelovalca Obdelovalec Upravljavca obvesti po e-pošti najmanj 14 dni vnaprej. Upravljavec lahko iz utemeljenih razlogov, povezanih z varstvom podatkov, poda ugovor; če stranki ne najdeta rešitve, lahko Upravljavec Naročnino odpove z učinkom od dneva spremembe. Obdelovalec svojim podobdelovalcem naloži enake obveznosti glede varstva podatkov in ostaja odgovoren za njihovo izpolnjevanje.
Prenosi v tretje države potekajo le z zaščitnimi ukrepi iz poglavja V GDPR (sklepi o ustreznosti, standardne pogodbene klavzule).
7. Tehnični in organizacijski ukrepi
- šifriranje pri prenosu (HTTPS/TLS) in šifriranje shranjenih podatkov pri ponudniku podatkovne zbirke;
- prijava z gesli ali enkratnimi povezavami za prijavo (s časovno omejeno veljavnostjo), varne seje, vloge in dovoljenja uporabnikov v okviru računa;
- logično ločevanje podatkov posameznih naročnikov;
- dostop Obdelovalca do produkcijskih podatkov le v nujnem obsegu (podpora, odpravljanje napak), zaščiten z močnim preverjanjem pristnosti;
- redne varnostne kopije pri ponudniku podatkovne zbirke z možnostjo obnovitve;
- sprotne posodobitve programske opreme in odvisnosti, skrivnosti, ki se upravljajo zunaj izvorne kode;
- dnevniki operacij in varnostnih dogodkov;
- najmanjši obseg podatkov — v analitiko se ne pošiljajo nobeni osebni podatki strank;
- postopek odzivanja na varnostne incidente.
8. Kršitve varstva osebnih podatkov
Obdelovalec Upravljavca o kršitvi varstva osebnih podatkov obvesti brez nepotrebnega odlašanja, najpozneje v 48 urah po tem, ko se z njo seznani. Obvestilo vsebuje informacije iz čl. 33(3) GDPR, ki jih ima Obdelovalec na voljo, in se dopolni, ko so na voljo nadaljnje informacije. Obdelovalec sprejme razumne ukrepe za ublažitev posledic.
9. Zahteve posameznikov
Če Obdelovalec od posameznika prejme zahtevo v zvezi s podatki Upravljavca, jo brez nepotrebnega odlašanja posreduje Upravljavcu in nanjo sam ne odgovori, razen če ga Upravljavec za to pooblasti.
10. Izbris in vračilo podatkov
Med trajanjem Naročnine lahko Upravljavec podatke kadar koli izvozi in izbriše. Po prenehanju Naročnine Obdelovalec podatke hrani še 90 dni, v katerih jih Upravljavec lahko zahteva v strojno berljivi obliki. Nato Obdelovalec podatke trajno izbriše; kopije v varnostnih kopijah prenehajo obstajati v okviru kroženja varnostnih kopij najpozneje v nadaljnjih 30 dneh. To ne velja, kadar hrambo zahteva zakon.
11. Informacije in revizije
Obdelovalec Upravljavcu na zahtevo zagotovi informacije, potrebne za dokazovanje skladnosti s čl. 28 GDPR, praviloma v obliki pisnih odgovorov in dokumentacije. Upravljavec ali revizor, ki ga ta pooblasti in je zavezan k zaupnosti, lahko izvede revizijo ali pregled na kraju samem z najmanj 30-dnevno predhodno najavo, največ enkrat letno (razen pri preiskavi kršitve varstva osebnih podatkov ali na zahtevo nadzornega organa), na stroške Upravljavca.
12. Odgovornost in končne določbe
Za odgovornost strank se uporablja čl. 82 GDPR, sicer pa Splošni pogoji poslovanja. Ta DPA velja, dokler Obdelovalec obdeluje podatke Upravljavca. Zanjo se uporablja pravo Češke republike.
Kontakt za varstvo podatkov: info@frame-webs.com.