Ta pogodba je sestavni del Splošnih pogojev poslovanja in velja med naročnikom (upravljavec) in [Ime in priimek] s.p., GudWeb, [Ulica in hišna številka], [poštna številka in kraj], Slovenija (obdelovalec), skladno s 28. členom Splošne uredbe o varstvu podatkov (GDPR) in Zakonom o varstvu osebnih podatkov (ZVOP-2). Različica: 2026-10-01.
1. Predmet, narava in namen
Obdelovalec za upravljavca hrani in obdeluje osebne podatke kupcev, ki uporabljajo konfigurator, oddajo povpraševanje ali sprejmejo ponudbo, ter podatke uporabnikov upravljavca, izključno za izvajanje storitve Configli.
2. Vrste podatkov in posameznikov
- Posamezniki: kupci in potencialni kupci upravljavca, zaposleni in pogodbeni sodelavci upravljavca (uporabniki, monterji).
- Podatki: ime in priimek, elektronski naslov, telefon, naslov ali kraj, sporočilo, izbrana konfiguracija in cena, IP naslov, vrsta naprave, fotografije in podpisi na delovnih nalogih.
- Posebne vrste osebnih podatkov se ne obdelujejo.
3. Trajanje
Obdelava traja, dokler traja naročnina. Po prenehanju obdelovalec podatke vrne (izvoz) ali izbriše v 60 dneh, razen če zakon zahteva hrambo.
4. Obveznosti obdelovalca
- obdeluje podatke samo po dokumentiranih navodilih upravljavca; navodila so te pogodbe in nastavitve v nadzorni plošči,
- zagotavlja, da so osebe z dostopom zavezane k zaupnosti,
- izvaja ukrepe iz Priloge 2,
- upravljavcu pomaga pri odgovorih na zahteve posameznikov, pri oceni učinka in posvetovanjih z nadzornim organom,
- upravljavca brez nepotrebnega odlašanja, najpozneje v 48 urah od seznanitve, obvesti o kršitvi varstva podatkov z opisom, posledicami in ukrepi,
- vodi evidenco dejavnosti obdelave za upravljavca,
- omogoči revizije in upravljavcu zagotovi informacije za dokazovanje skladnosti.
5. Podobdelovalci
Upravljavec splošno dovoljuje uporabo podobdelovalcev iz Priloge 1. O dodajanju ali zamenjavi obdelovalec obvesti upravljavca vsaj 30 dni vnaprej; upravljavec lahko utemeljeno ugovarja in pogodbo odpove. Obdelovalec s podobdelovalci sklene pogodbe z enakimi obveznostmi varstva podatkov.
6. Prenos izven EGP
Podatki se hranijo v EU. Prenos izven EGP je dovoljen le ob ustreznih zaščitnih ukrepih iz poglavja V GDPR.
Priloga 1: Podobdelovalci
| Podobdelovalec | Namen | Lokacija |
|---|---|---|
| Ponudnik gostovanja strežnikov in baze (npr. Hetzner Online GmbH) | gostovanje aplikacije, baze in datotek | EU (Nemčija ali Finska) |
| Ponudnik pošiljanja e-pošte (npr. Sendinblue SAS, Brevo) | obvestila in potrdila po e-pošti | EU (Francija) |
| Stripe Payments Europe Ltd. | plačila naročnine (samo podatki naročnika) | EU (Irska) |
Končni seznam ponudnikov se objavi ob zagonu storitve; spremembe se napovejo 30 dni vnaprej.
Priloga 2: Tehnični in organizacijski ukrepi
- šifriran prenos (TLS 1.2+), HSTS, varnostne glave,
- ločevanje podatkov po naročnikih na ravni vsake poizvedbe, vloge in pravice uporabnikov,
- gesla, zgoščena z Argon2id; seje v piškotkih HttpOnly, v bazi le zgoščene,
- omejevanje zahtev, zaščita pred CSRF, preverjanje vhodnih podatkov, varno nalaganje datotek,
- dnevna varnostna kopija baze in datotek v EU, hramba 14 dni, preizkus obnove,
- revizijska sled dejanj skrbnikov, dostop do produkcije samo pooblaščenim osebam z dvostopenjsko prijavo,
- redne posodobitve odvisnosti in pregled ranljivosti,
- brisanje podatkov kupcev na zahtevo (GDPR) neposredno v nadzorni plošči.
