Pogodba o obdelavi osebnih podatkov (DPA)

1. Stranki, vloga in veljavnost

Obdelovalec je KOGENERA, soproizvodnja električne energije in toplote, d.o.o. (KOGENERA d.o.o.), Ulica Rakovške čete 19, Rakek, 1381 Rakek, Slovenija, matična številka 6245242000, ID za DDV SI34566155, kontakt: kontakt@planko.site. Upravljavec je poslovni uporabnik, ki uporablja Planko za obdelavo osebnih podatkov svojih strank, zaposlenih ali drugih posameznikov.

Ta DPA je sestavni del pogodbe o uporabi Planka in začne veljati, ko upravljavec sprejme pogoje ter začne obdelovalcu posredovati osebne podatke. V primeru neskladja glede varstva osebnih podatkov ima ta DPA prednost pred splošnimi pogoji.

2. Predmet, narava, namen in trajanje obdelave

Predmet obdelave je zagotavljanje, gostovanje, vzdrževanje, varovanje in podpora storitve Planko. Narava obdelave vključuje zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, vpogled, uporabo, prenos po navodilih, omejitev, izvoz, brisanje in obnovo iz varnostnih kopij. Namen je upravljanje terminov, strank, storitev, delovnega časa, vprašalnikov in komunikacij, ki jih določi upravljavec.

Obdelava traja za čas trajanja pogodbenega razmerja oziroma do vrnitve ali izbrisa osebnih podatkov po njegovem prenehanju.

3. Vrste podatkov in kategorije posameznikov

Vrste podatkov lahko obsegajo identifikacijske in kontaktne podatke, podatke o terminih in storitvah, komunikaciji, delovnem času, uporabniških računih, tehnične dnevnike, odgovore na vprašalnike ter, kadar jih uporabnik vnese, podatke o zdravstvenem stanju, alergijah, kontraindikacijah in drugih osebnih okoliščinah, relevantnih za izvedbo storitev.

Posebne vrste osebnih podatkov, zlasti podatki o zdravju, se lahko obdelujejo, kadar jih upravljavec vnese v Planko in je njihova obdelava zakonita. Podatki o kazenskih obsodbah in kaznivih dejanjih niso predvideni za obdelavo v okviru storitve.

Kadar upravljavec vklopi zavarovanje terminov s kartico, vrste podatkov obsegajo tudi Stripe identifikatorje stranke in plačilnega sredstva, znamko, zadnje štiri številke in veljavnost kartice, zapis o soglasju stranke (čas, IP-naslov, besedilo pooblastila, različica pogojev odpovedi) ter zgodovino nadomestil. Številk kartic obdelovalec ne obdeluje. Pogoje odpovedi, višino in zaračunavanje nadomestil določa upravljavec; obdelovalec je le programska oprema. Kartico obdelovalec po navodilih upravljavca odveže po zaključenem ali odpovedanem terminu oziroma 7 dni po njegovem začetku.

4. Dokumentirana navodila upravljavca

Obdelovalec osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca, vključno glede prenosov v tretje države, razen če obdelavo zahteva pravo Evropske unije ali države članice. V takem primeru obdelovalec upravljavca pred obdelavo obvesti o pravni zahtevi, če zakon tega ne prepoveduje.

Navodila predstavljajo pogodba, ta DPA, nastavitve v aplikaciji in dodatna zakonita pisna navodila. Če obdelovalec meni, da navodilo krši predpise o varstvu osebnih podatkov, o tem nemudoma obvesti upravljavca.

5. Zaupnost osebja

Obdelovalec zagotovi, da so osebe, pooblaščene za obdelavo osebnih podatkov, zavezane zaupnosti ali ustrezni zakonski obveznosti varovanja zaupnosti.

6. Tehnični in organizacijski ukrepi

Obdelovalec izvaja ustrezne tehnične in organizacijske ukrepe za zagotavljanje ravni varnosti, ki je primerna tveganju, v skladu s členom 32 GDPR. Ukrepi vključujejo zlasti zagotavljanje zaupnosti, celovitosti, razpoložljivosti in odpornosti sistemov ter sposobnosti pravočasne vzpostavitve razpoložljivosti in dostopa do osebnih podatkov.

Obdelovalec lahko tehnične in organizacijske ukrepe prilagaja tehnološkemu razvoju, če s tem ne zmanjša ravni varstva osebnih podatkov.

7. Podobdelovalci

Upravljavec daje obdelovalcu splošno pisno dovoljenje za vključitev podobdelovalcev v obdelavo osebnih podatkov, kadar je to potrebno za zagotavljanje pogodbeno dogovorjenih storitev.

Aktualni seznam podobdelovalcev, skupaj z namenom njihovega angažiranja, vrstami podatkov in lokacijami obdelave, obdelovalec objavlja na strani Podobdelovalci, ki je sestavni del tega DPA.

Program za izdajanje računov, ki ga upravljavec poveže v nastavitvah, je prejemnik, ki ga izbere upravljavec: račun izda in fiskalizira upravljavec s tem programom, obdelovalec pa mu na navodilo upravljavca le posreduje podatke o plačilih. Taki prejemniki so na seznamu označeni s pogojem »samo v podjetjih, ki povežejo …«.

Stripe je ponudnik plačil, ki ga izbere upravljavec; za regulirane namene (preprečevanje prevar, izpolnjevanje predpisov o plačilih) je samostojni upravljavec. Za klice, ki jih obdelovalec opravi na Stripe v imenu upravljavca (shranitev, odvezava in zaračunanje kartice), je Stripe tudi podobdelovalec, naveden na seznamu.

Obdelovalec upravljavca najmanj 5 dni vnaprej obvesti o nameravani vključitvi novega podobdelovalca ali zamenjavi obstoječega podobdelovalca. Upravljavec lahko v roku 5 dni od prejema obvestila pisno in utemeljeno ugovarja spremembi iz razlogov, povezanih z varstvom osebnih podatkov.

V primeru pravočasnega ugovora si stranki v dobri veri prizadevata najti razumno rešitev. Če rešitev ni mogoča in bi zaradi ugovora nadaljnja obdelava osebnih podatkov pri zadevnem podobdelovalcu pomenila nesprejemljivo tveganje za varstvo osebnih podatkov, lahko upravljavec odpove tisti del storitve, na katerega se sprememba nanaša, oziroma pogodbo, če nadaljevanje izvajanja storitev brez zadevnega podobdelovalca ni mogoče.

Obdelovalec s podobdelovalcem sklene pisni dogovor, s katerim podobdelovalcu naloži najmanj enake obveznosti varstva osebnih podatkov, kot izhajajo iz tega DPA in veljavne zakonodaje o varstvu osebnih podatkov, kolikor so te obveznosti glede na naravo storitve podobdelovalca relevantne. Obdelovalec ostaja upravljavcu odgovoren za izpolnjevanje obveznosti podobdelovalca v skladu z GDPR.

8. Prenosi v tretje države

Obdelovalec zagotovi, da se prenosi osebnih podatkov v tretje države ali mednarodne organizacije izvajajo v skladu s poglavjem V GDPR. Na zahtevo upravljavcu zagotovi informacije o uporabljenem mehanizmu prenosa.

9. Pomoč upravljavcu

Obdelovalec brez nepotrebnega odlašanja obvesti upravljavca o zahtevi posameznika, ki se nanaša na obdelavo osebnih podatkov, in mu v skladu z naravo obdelave ter razpoložljivimi informacijami pomaga pri izpolnjevanju obveznosti glede uveljavljanja pravic posameznikov.

Obdelovalec upravljavcu pomaga pri izpolnjevanju obveznosti iz členov 32, 33, 34, 35 in 36 GDPR, kolikor je to potrebno in primerno glede na naravo obdelave ter informacije, ki so obdelovalcu na voljo.

Obdelovalec na zahtevo posameznika ne odgovarja samostojno, razen če je k temu zavezan po zakonu.

10. Kršitve varstva osebnih podatkov

Obdelovalec brez nepotrebnega odlašanja po seznanitvi obvesti upravljavca o kršitvi varstva osebnih podatkov ter mu zagotovi informacije, ki so mu v zvezi s kršitvijo na voljo in so potrebne za izpolnjevanje obveznosti upravljavca po GDPR.

Obdelovalec v skladu z naravo obdelave in razpoložljivimi informacijami pomaga upravljavcu pri izpolnjevanju obveznosti iz členov 33 in 34 GDPR.

11. Revizije in dokazila

Obdelovalec upravljavcu zagotovi informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz 28. člena GDPR, ter omogoči in prispeva k revizijam, vključno z inšpekcijami, ki jih izvaja upravljavec ali njegov pooblaščeni revizor, v obsegu, ki ga zahteva GDPR.

12. Vrnitev in izbris podatkov

Po prenehanju izvajanja storitev obdelovalec na izbiro upravljavca osebne podatke vrne ali izbriše ter izbriše njihove obstoječe kopije, razen če zakon določa obveznost njihove hrambe.

Podatki v varnostnih kopijah se izbrišejo oziroma prepišejo v okviru rednega cikla varnostnih kopij, pri čemer se do izbrisa ne uporabljajo za druge namene.

13. Odgovornost in trajanje

Obdelovalec in upravljavec odgovarjata za izpolnjevanje svojih obveznosti v skladu z GDPR in veljavno zakonodajo.

Ta DPA velja za čas trajanja obdelave osebnih podatkov s strani obdelovalca. Po prenehanju obdelave se uporabljajo določbe tega DPA, ki morajo po svoji naravi veljati tudi po prenehanju, zlasti določbe glede zaupnosti ter vračila oziroma izbrisa osebnih podatkov.

14. Pravo in kontakti

Za ta DPA se uporablja pravo Republike Slovenije, kolikor ni drugače določeno z veljavno zakonodajo.

Vprašanja, obvestila in zahteve v zvezi s tem DPA se pošiljajo na kontakt@planko.site.