Pogodba o obdelavi podatkov (AVV)

Standardne pogodbene klavzule

Uradno besedilo v skladu z EUR-Lex (CELEX 32021D0915), priloga k sklepu. Izbrane možnosti so označene z [izbira: …], neizbrane pa so prečrtane; sicer je besedilo nespremenjeno.

Poglavje II: Obveznosti pogodbenih strank

Ključ 6: Opis obdelave

Podrobnosti o postopkih ### obdelave, zlasti kategorije osebnih podatkov in namene, za katere se osebni podatki obdelujejo v imenu upravljavca, so navedene v Prilogi II.

Ključ 7: Obveznosti pogodbenih strank

7.1. Navodila

a) Obdelovalec obdeluje osebne podatke le na podlagi dokumentiranih navodil upravljavca, razen če je k obdelavi zavezan v skladu z zakonodajo Unije ali zakonodajo države članice, ki velja zanj. V takem primeru obdelovalec pooblastil obvesti upravljavca o teh pravnih zahtevah pred začetkom obdelave, razen če zadevna zakonodaja tega ne prepoveduje zaradi pomembnega javnega interesa. Upravljavec lahko med celotnim trajanjem obdelave osebnih podatkov izda dodatna navodila. Ta navodila je treba vedno dokumentirati.

b) Obdelovalec nemudoma obvesti upravljavca, če meni, da navodila, ki jih je dal upravljavec, kršijo Uredbo (EU) 2016/679, Uredbo (EU) 2018/1725 ali veljavne določbe Unije ali držav članic o varstvu podatkov.

7.2. Omejitev namena

Obdelovalec obdeluje osebne podatke le za posebne namene, navedene v Prilogi II, razen če ne prejme dodatnih navodil od upravljavca.

7.3. Trajanje obdelave osebnih podatkov

Podatke obdelovalec obdeluje le za obdobje, navedeno v Prilogi II.

7.4. Varnost obdelave

a) Obdelovalec sprejme vsaj tehnične in organizacijske ukrepe, navedene v Prilogi III, da zagotovi varnost osebnih podatkov. To vključuje zaščito podatkov pred kršitvijo varnosti, ki - bodisi nenamerno bodisi nezakonito - povzroči uničenje, izgubo, spremembo ali nepooblaščeno razkritje podatkov oziroma nepooblaščen dostop do njih (v nadaljnjem besedilu: »kršitev varstva osebnih podatkov«). Pri ocenjevanju ustrezne ravni zaščite stranke ustrezno upoštevajo stanje tehnike, stroške izvedbe, vrsto, obseg, okoliščine in namene obdelave ter tveganja za posameznike, na katere se nanašajo osebni podatki.

b) Obdelovalec podatkov svojemu osebju omogoči dostop do osebnih podatkov, ki so predmet obdelave, le v obsegu, ki je nujno potreben za izvajanje, upravljanje in nadzor pogodbe. Obdelovalec zagotovi, da so se osebe, pooblaščene za obdelavo prejetih osebnih podatkov, zavezale k zaupnosti ali da zanje velja ustrezna zakonska obveznost varovanja tajnosti.

7.5. Občutljivi podatki

Če obdelava zadeva osebne podatke, iz katerih je razvidno rasno ali etnično poreklo, politična mnenja, verska ali svetovnonazorska prepričanja ali članstvo v sindikatu, ali genetske podatke ali biometrične podatke za namene nedvoumne identifikacije fizične osebe, podatke o zdravju, spolnem življenju ali spolni usmerjenosti osebe ali podatke o kazenskih obsodbah in kaznivih dejanjih (v nadaljevanju »občutljivi podatki«), obdelovalec uporablja posebne omejitve in/ali dodatna jamstva.

7.6. Dokumentacija in spoštovanje klavzul

a) Pogodbeni stranki morata biti sposobni dokazati spoštovanje teh klavzul.

b) Obdelovalec mora zahtevke upravljavca v zvezi z obdelavo podatkov v skladu s temi klavzulami obravnavati nemudoma in na ustrezen način.

c) Obdelovalec podatkov upravljavcu zagotovi vse informacije, ki so potrebne za dokazovanje spoštovanja obveznosti, določenih v teh klavzulah in ki izhajajo neposredno iz Uredbe (EU) 2016/679 in/ali Uredbe (EU) 2018/1725. Na zahtevo upravljavca pooblaščeni obdelovalec omogoči tudi pregled dejavnosti obdelave, ki jih zajemajo te klavzule, v ustreznih časovnih presledkih ali ob znakih nespoštovanja ter pri takšnem pregledu sodeluje. Pri odločitvi o pregledu ali preverjanju lahko upravljavec upošteva ustrezna potrdila izvajalca obdelave.

d) Upravljavec lahko pregled opravi sam ali pooblasti neodvisnega preglednika. Pregledi lahko vključujejo tudi inšpekcijske preglede v prostorih ali fizičnih objektih obdelovalca in se po potrebi izvedejo z ustreznim predhodnim obvestilom.

e) Stranki na zahtevo pristojnemu nadzornemu organu oziroma organom posredujeta informacije iz te klavzule, vključno z rezultati pregledov.

7.7. Uporaba podizvajalcev

a) MOŽNOST 2: SPLOŠNO PISNO DOVOLJENJE: Obdelovalec ima splošno dovoljenje upravljavca za imenovanje podizvajalcev, ki so navedeni na dogovorjenem seznamu. Obdelovalec podatkov najmanj 30 dni vnaprej izrecno in v pisni obliki obvesti upravljavca o vseh nameravanih spremembah tega seznama z dodajanjem ali zamenjavo podizvajalcev ter s tem upravljavcu zagotovi dovolj časa, da pred pooblastitvijo zadevnega podizvajalca za obdelavo podatkov ugovarja tem spremembam. Obdelovalec podatkov upravljavcu zagotovi potrebne informacije, da lahko ta uveljavi svojo pravico do ugovora. [Izbirno: možnost 2, rok 30 dni; dogovorjeni seznam je v Prilogi IV]

b) Če obdelovalec podatkov pooblasti podizvajalca za izvajanje določenih dejavnosti obdelave (v imenu upravljavca), mora to pooblastilo potekati na podlagi pogodbe, ki podizvajalcu nalaga v bistvu enake obveznosti glede varstva podatkov kot tiste, ki veljajo za obdelovalca v skladu s temi klavzulami. Obdelovalec podatkov zagotovi, da podizvajalec izpolnjuje obveznosti, ki veljajo za obdelovalca podatkov v skladu s temi klavzulami ter v skladu z Uredbo (EU) 2016/679 in/ali Uredbo (EU) 2018/1725.

c) Obdelovalec na zahtevo upravljavca zagotovi kopijo takšnega sporazuma o podizvajanju in morebitnih kasnejših sprememb. Če je to potrebno za zaščito poslovnih skrivnosti ali drugih zaupnih informacij, vključno z osebnimi podatki, lahko obdelovalec pred posredovanjem kopije prekrije besedilo sporazuma.

d) Obdelovalec podatkov v celoti odgovarja upravljavcu za to, da podizvajalec izpolnjuje svoje obveznosti v skladu s pogodbo, sklenjeno z obdelovalcem podatkov. Obdelovalec podatkov obvesti upravljavca, če podizvajalec ne izpolnjuje svojih pogodbenih obveznosti.

e) Obdelovalec podatkov se s podizvajalcem dogovori o klavzuli o tretjem upravičencu, v skladu s katero ima upravljavec - v primeru, da obdelovalec podatkov dejansko ali pravno ne obstaja več ali je nesolventen - ima pravico odpovedati pogodbo o podizvajalstvu in podizvajalcu naročiti, naj osebne podatke izbriše ali vrne.

7.8. Mednarodni prenosi podatkov

a) Vsak prenos podatkov s strani obdelovalca v tretjo državo ali mednarodno organizacijo se izvede izključno na podlagi dokumentiranih navodil upravljavca ali zaradi izpolnjevanja posebne določbe v skladu s pravom Unije ali pravom države članice, ki velja za obdelovalca, in mora biti v skladu s poglavjem V Uredbe (EU) 2016/679 ali Uredbe (EU) 2018/1725.

b) Upravljavec se strinja, da v primerih, ko obdelovalec v skladu s klavzulo 7.7 za izvajanje določenih dejavnosti obdelave (v imenu upravljavca) uporabi podizvajalca obdelave in te dejavnosti obdelave vključujejo prenos osebnih podatkov v smislu poglavja V Uredbe (EU) 2016/679, lahko obdelovalec in podizvajalec zagotovita skladnost s poglavjem V Uredbe (EU) 2016/679 zagotovita z uporabo standardnih pogodbenih klavzul, ki jih je Komisija sprejela v skladu s členom 46(2) Uredbe (EU) 2016/679, če so izpolnjeni pogoji za uporabo teh standardnih pogodbenih klavzul.

Ključ 8: Podpora upravljavcu

a) Obdelovalec podatkov nemudoma obvesti upravljavca o vsaki zahtevi, ki jo je prejel od posameznika, na katerega se nanašajo osebni podatki. Na zahtevo ne odgovori sam, razen če ga k temu ni pooblastil upravljavec.

b) Ob upoštevanju vrste obdelave obdelovalec podatkov pomaga upravljavcu pri izpolnjevanju njegove obveznosti, da odgovori na zahtevke posameznikov, na katere se nanašajo osebni podatki, za uveljavljanje njihovih pravic. Pri izpolnjevanju svojih obveznosti v skladu s točkama a in b obdelovalec podatkov upošteva navodila upravljavca.

c) Poleg obveznosti obdelovalca, da pomaga upravljavcu v skladu s klavzulo 8, točka b, obdelovalec ob upoštevanju narave obdelave podatkov in informacij, ki so mu na voljo, pomaga upravljavcu tudi pri izpolnjevanju naslednjih obveznosti:

• 1) obveznost izvedbe ocene posledic predvidenih postopkov obdelave za varstvo osebnih podatkov (v nadaljevanju »ocena posledic za varstvo podatkov«), če se predvideva, da bo določena oblika obdelave povzročila visoko tveganje za pravice in svoboščine fizičnih oseb;
• 2) obveznost posvetovanja s pristojnim nadzornim organom (organi) pred obdelavo, če iz ocene vpliva na varstvo osebnih podatkov izhaja, da bi obdelava povzročila visoko tveganje, če upravljavec ne sprejme ukrepov za zmanjšanje tveganja;
• 3) obveznost zagotavljanja, da so osebni podatki vsebinsko točni in ažurni, tako da obdelovalec nemudoma obvesti upravljavca, če ugotovi, da so osebni podatki, ki jih obdeluje, netočni ali zastareli;
• 4) obveznosti v skladu s členom 32 Uredbe (EU) 2016/679. [Izbirno: možnost 1]

d) Pogodbeni stranki v Prilogi III določita ustrezne tehnične in organizacijske ukrepe za podporo, ki jo obdelovalec zagotavlja upravljavcu pri izvajanju te klavzule, ter področje uporabe in obseg potrebne podpore.

Ključ 9: Prijava kršitev varstva osebnih podatkov

V primeru kršitve ### varstva osebnih podatkovobdelovalec sodeluje z upravljavcem in mu nudi ustrezno podporo, da lahko upravljavec izpolni svoje obveznosti v skladu s členoma 33 in 34 Uredbe (EU) 2016/679 ali, če je to primerno, členov 34 in 35 Uredbe (EU) 2018/1725, pri čemer obdelovalec upošteva vrsto obdelave in informacije, ki jih ima na voljo.

9.1. Kršitev varstva podatkov, ki jih obdeluje upravljavec

V primeru kršitve varstva osebnih podatkov v zvezi s podatki, ki jih obdeluje upravljavec, obdelovalec podatkov pomaga upravljavcu na naslednji način:

a) pri takojšnjem prijavljanju kršitve varstva osebnih podatkov pristojnemu(-im) nadzornemu(-im) organu(-om), takoj ko se upravljavec seznani s kršitvijo, če je to ustrezno (razen če kršitev varstva osebnih podatkov po vsej verjetnosti ne bo povzročila tveganja za osebne pravice in svoboščine fizičnih oseb);

b) pri pridobivanju naslednjih informacij, ki jih je v skladu s členom 33(3) Uredbe (EU) 2016/679 treba navesti v obvestilu upravljavca, pri čemer morajo te informacije vsebovati vsaj naslednje: [izbira: možnost 1]

• 1) vrsto osebnih podatkov, če je mogoče, z navedbo kategorij in približnega števila prizadetih oseb ter kategorij in približnega števila prizadetih naborov osebnih podatkov;
• 2) verjetne posledice kršitve varstva osebnih podatkov;
• 3) ukrepe, ki jih je upravljavec sprejel ali predlagal za odpravo kršitve varstva osebnih podatkov, ter, če je to primerno, ukrepe za ublažitev morebitnih škodljivih učinkov.

Če in v kolikor ni mogoče vseh teh informacij posredovati hkrati, prvotno obvestilo vsebuje informacije, ki so na voljo v tistem trenutku, dodatne informacije pa se posredujejo brez neupravičenega odlašanja, takoj ko so na voljo;

c) pri izpolnjevanju obveznosti v skladu s členom 34 Uredbe (EU) 2016/679, da je treba posameznika, na katerega se nanašajo osebni podatki, nemudoma obvestiti o kršitvi varstva osebnih podatkov, če se pričakuje, da bo ta kršitev povzročila visoko tveganje za pravice in svoboščine fizičnih oseb. [Izbirno: možnost 1]

9.2. Kršitev varstva podatkov, ki jih obdeluje pooblaščeni obdelovalec

V primeru kršitve varstvaosebnih podatkov v zvezi s podatki,ki jih obdeluje pooblaščeni obdelovalec, ta o tem nemudoma obvesti upravljavca, takoj ko se o kršitvi seznani. To obvestilo mora vsebovati vsaj naslednje informacije:

a) opis vrste kršitve (po možnosti z navedbo kategorij ter približnega števila prizadetih oseb in približnega števila prizadetih zapisov);

b) kontaktne podatke kontaktne točke, pri kateri je mogoče pridobiti dodatne informacije o kršitvi varstva osebnih podatkov;

c) predvidene posledice ter sprejete ali predlagane ukrepe za odpravo kršitve varstva osebnih podatkov, vključno z ukrepi za ublažitev morebitnih škodljivih učinkov.

Če in v kolikor ni mogoče vseh teh informacij posredovati hkrati, prvotno obvestilo vsebuje informacije, ki so na voljo v tistem trenutku, dodatne informacije pa se posredujejo brez neupravičenega odlašanja, takoj ko so na voljo.

Stranki v Prilogi III določita vse druge podatke, ki jih mora obdelovalec dati na voljo, da bi pomagal upravljavcu pri izpolnjevanju njegovih obveznosti v skladu s členoma 33 in 34 Uredbe (EU) 2016/679. [Izbirno: možnost 1]

Priloga I: Seznam strank

Obdelovalec podatkov

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Švica, UID CHE-220.381.580, ki ga zastopa Günter Reichelt, predsednik upravnega odbora. Kontakt: privacy@mail.transpareo.com.

Pooblaščenec za varstvo podatkov in zastopnik v EU v skladu s členom 27 Splošne uredbe o varstvu podatkov (GDPR): DGD Deutsche Gesellschaft für Datenschutz, prof. dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 München, Nemčija, info@mail.dg-datenschutz.de.

Podjetje Transpareo ima sedež v Švici, za katero velja sklep Komisije o ustreznosti (2000/518/ES). Podatki se nahajajo v Nemčiji.

Upravljavci

Podjetje Transpareo te klavzule sklene posamično z vsakim upravljavcem. Upravljavec je bodisi:

1. stranka, ki uporablja platformo Transpareo v skladu s splošnimi pogoji poslovanja (SPP). Ime, naslov in kontaktna oseba so podatki, ki jih stranka navede ob sklenitvi pogodbe prek platforme in jih vzdržuje v svojem računu; kontaktna oseba je imetnik računa. Ključne določbe se štejejo za dogovorjene ob sklenitvi te pogodbe (točka 14 Splošnih pogojev poslovanja).
2. dobavitelj, ki prek strani za dobavitelje posreduje povpraševanje svojim dobaviteljem. Odgovorna oseba je podjetje, na katerega je usmerjena povezava, prek katere se povpraševanje posreduje, kot je navedeno v povpraševanju. Kontaktna oseba je tista, ki posreduje povpraševanje, z imenom in e-poštnim naslovom, ki ju pri tem navede. Dobavitelj sprejme določbe tako, da jih ob posredovanju sprejme v imenu svojega podjetja; Transpareo shrani sprejeto različico in čas posredovanja skupaj s posredovano povezavo. Zanj veljajo tudi pogoji uporabe za dobavitelje.

Transpareo imenuje pooblaščenca za varstvo podatkov odgovorne osebe, takoj ko ga ta imenuje.

Splošni pogoji poslovanja ali pogoji uporabe za dobavitelje predstavljajo glavno pogodbo. Klavzule se sklenejo v elektronski obliki (člen 28(9) Splošne uredbe o varstvu podatkov); datum pristopa je trenutek sklenitve.

Priloga III: Tehnični in organizacijski ukrepi

Šifriranje in psevdonimizacija

• Vse povezave so šifrirane s protokolom TLS.
• Pristopni podatki in druge zaupne informacije (PIN, ključi za enkratne kode, SMTP-pristopi, API-ključi) so v bazi podatkov shranjeni v šifrirani obliki z AES-256-GCM, z ločenim ključem za vsako delovno okolje.
• Varnostne kopije so šifrirane.
• Statistika obiskovalcev shranjuje IP-naslove le kot hash vrednost s skrivnim ključem. Ogledi strani dobaviteljev se v njej ne upoštevajo.

Ločitev

• Vsaka stranka ima lastno bazo podatkov.

Fizična varnost

• Strežniki in objektni pomnilniki se nahajajo v podatkovnih centrih podjetja Hetzner Online GmbH v Falkensteinu v Nemčiji, ki so certificirani po standardu ISO 27001.

Identifikacija in avtorizacija

• Gesla se shranjujejo le kot bcrypt-hash.
• Dvostopenjska prijava z enkratno kodo ali varnostnim ključem je na voljo vsem uporabnikom; stranka jo lahko zahteva za svoje delovno okolje.
• Seja se zaključi po določenem času brez aktivnosti, ki ga nastavi stranka (privzeta nastavitev je osem ur).
• V delovnem prostoru veljajo vloge in pooblastila, ki jih dodeli stranka.
• Zaposleni v podjetju Transpareo odprejo delovni prostor le s prijavo v imenu stranke, kar se zabeleži v dnevniku platforme in v varnostnem dnevniku delovnega prostora.
• Stran dobavitelja: Povezava vsebuje naključni ključ iz 16 znakov (80 bitov); brez PIN-kode stran ne prikaže ničesar iz podatkovnega niza. Po petih napačnih PIN-kodah je povezava blokirana za 15 minut. Stran sprejme največ 120 obiskov na minuto na eno IP-naslov. Ob odblokiranju seje dobi ta nova identifikacijska številka. Stran je blokirana za iskalnike in svojega naslova ne posreduje zunanjim stranem.

Evidentiranje

• Spremembe v podatkovnih zapisih in postopki na strani dobavitelja se evidentirajo z datumom in uro, izvajalcem ter IP-naslovom ter se hranijo pet let, prijave in drugi varnostni dogodki pa eno leto.
• Dnevniki strežnika se izbrišejo po 14 dneh.

Celovitost

• Slike dobaviteljev se brez metapodatkov hranijo v zaščitenem območju zunaj javnega pomnilnika, dokler jih ne prevzame pregled. Odgovor spremeni zapis šele po pregledu.
• Objavljene različice gesel so kriptografsko podpisane.

Razpoložljivost in obnovitev

• Vsake štiri ure se baza podatkov in datoteke vsakega aktivnega delovnega prostora varnostno kopirajo, šifrirajo in shranijo ločeno od strežnikov v objektnem pomnilniku v Nemčiji. Lokalne kopije se izbrišejo po štirih dneh. Varnostne kopije v objektnem pomnilniku se hranijo 90 dni, nato pa se v roku 30 dni dokončno izbrišejo.
• Storitve in strežniki se nenehno nadzorujejo; varnostne posodobitve se redno nameščajo.
• Transpareo redno preverja te ukrepe in jih prilagaja najnovejšim tehnološkim dosežkom.

Podpora odgovorne osebe (klavzuli 8 in 9)

• Stranka lahko na platformi pregleduje, popravlja in izbriše podatke svojega delovnega prostora. Dobavitelj na strani za dobavitelje vidi odgovore na svoje posredovane podatke in lahko prekliče vsako posredovano povezavo.
• Zahtevke posameznikov, na katere se nanašajo osebni podatki, ki jih prejme Transpareo, Transpareo nemudoma posreduje upravljavcu.
• Obvestila v skladu s klavzulama 7.7 in 9.2 se pošiljajo po e-pošti imetniku računa stranke ter na e-poštni naslov, ki ga dobavitelj navede ob posredovanju. Kontaktna točka v skladu s klavzulo 9.2, točka b, je privacy@mail.transpareo.com.
• Obvestilo v skladu s točko 9.2 dodatno navaja čas kršitve in njenega odkritja ter prizadeta delovna področja ali povezave.

Švicarski dodatek

Ta dopolnitev je dodatna klavzula v skladu s klavzulo 2, točka b. Če obdelava podatkov sodi v področje uporabe švicarskega zveznega zakona o varstvu podatkov (DSG):

1. se sklici na Uredbo (EU) 2016/679 hkrati štejejo za sklice na ustrezne določbe DSG, in sicer člen 28 GDPR na člen 9 DSG, člen 32 na člen 8, člena 33 in 34 na člen 24, člena 35 in 36 na člena 22 in 23, poglavje V na člene 16 do 18, pravice posameznikov, na katere se nanašajo osebni podatki, na člene 25 do 32 DSG ter občutljivi podatki iz klavzule 7.5 na osebne podatke, ki jih je treba posebej zaščititi, v skladu s členom 5(c) DSG;
2. je pristojni nadzorni organ Zvezni pooblaščenec za varstvo podatkov in javno dostopnost (EDÖB); pristojnosti nadzornih organov v skladu z GDPR ostajajo nespremenjene;
3. se kot pravo države članice šteje tudi švicarsko pravo.

Stanje: 8. oktober 2026