Pogodba o obdelavi osebnih podatkov

Priloga k Splošnim pogojem poslovanja · velja od 2026-10-06 · slovenski prevod; prednost ima češka različica

Ta pogodba po členu 28 Uredbe (EU) 2016/679 (v nadaljnjem besedilu: »Splošna uredba o varstvu podatkov«) se sklene med Organizacijo, ki uporablja platformo Negotiq (v nadaljnjem besedilu: »Upravljavec«), in družbo SynQflows, s.r.o., matična številka 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (v nadaljnjem besedilu: »Obdelovalec«), ter je sestavni del Splošnih pogojev poslovanja. Sklene se s sprejetjem Splošnih pogojev poslovanja in velja ves čas trajanja Pogodbe. Izrazi z veliko začetnico imajo pomen, opredeljen v Splošnih pogojih poslovanja.

1. Predmet in obseg obdelave

2. Navodila Upravljavca

1. Obdelovalec obdeluje osebne podatke samo po dokumentiranih navodilih Upravljavca, tudi kar zadeva prenose v tretje države. Navodila so podana s Splošnimi pogoji poslovanja, to pogodbo in nastavitvami Platforme; z nastavitvijo Integracije (Naslov za prejem e-pošte, povezava s sistemom ERP, Webhook, Ključ API za agenta tretje osebe) Upravljavec daje navodilo za obdelavo v obsegu, ki ga Integracija zahteva. Nadaljnja navodila daje Skrbnik Organizacije v besedilni obliki.
2. Če Obdelovalec meni, da je navodilo v nasprotju s Splošno uredbo o varstvu podatkov ali drugimi predpisi o varstvu osebnih podatkov, o tem nemudoma obvesti Upravljavca in navodila do njegovega odziva ni dolžan izvršiti.
3. Če pravo Unije ali pravo države članice od Obdelovalca zahteva obdelavo, o tem predhodno obvesti Upravljavca, razen če to pravo to prepoveduje (točka (a) člena 28(3) Splošne uredbe o varstvu podatkov).
4. Obdelovalec osebnih podatkov Upravljavca ne obdeluje za lastne namene. Anonimizirani in združeni statistični podatki (člen 11(2) Splošnih pogojev poslovanja) ne vsebujejo osebnih podatkov. Vpise v Revizijsko verigo, Potrdila in Zapise AP2 Obdelovalec obdeluje kot samostojni upravljavec v skladu s Politiko zasebnosti, ne pa po tej pogodbi.
5. Upravljavec odgovarja za zakonitost obdelave, za obveščanje posameznikov, na katere se nanašajo osebni podatki, ter za to, da je upravičen osebne podatke vnesti na Platformo in odobriti dostop do povezanih sistemov.

3. Obveznosti Obdelovalca

1. Obdelovalec zagotovi, da so se osebe, pooblaščene za obdelavo osebnih podatkov, zavezale k zaupnosti ali zanje velja ustrezna zakonska obveznost zaupnosti.
2. Obdelovalec izvaja tehnične in organizacijske ukrepe iz člena 32 Splošne uredbe o varstvu podatkov, navedene v Prilogi 1. Ukrepe lahko spremeni, če se s tem ne zniža skupna raven varnosti.
3. Obdelovalec pomaga Upravljavcu pri odzivanju na zahteve posameznikov, na katere se nanašajo osebni podatki, predvsem z orodji Platforme (izvoz podatkov v formatu JSON, popravek, izbris uporabniškega računa Uporabnika ali Organizacije). Zahtevo, ki jo prejme neposredno od posameznika, na katerega se nanašajo osebni podatki, brez nepotrebnega odlašanja posreduje Upravljavcu in nanjo sam vsebinsko ne odgovori.
4. Obdelovalec pomaga Upravljavcu pri izpolnjevanju obveznosti iz členov 32 do 36 Splošne uredbe o varstvu podatkov (varnost, uradno obveščanje o kršitvah, ocena učinka in predhodno posvetovanje), pri čemer upošteva naravo obdelave in informacije, ki so mu na voljo.

4. Drugi obdelovalci

1. Upravljavec Obdelovalcu daje splošno dovoljenje za zaposlitev drugih obdelovalcev. Trenutni seznam:

   Drugi obdelovalec	Dejavnost	Lokacija, zaščitni ukrepi
   Railway Corporation	gostovanje aplikacije in podatkovne baze, varnostne kopije	ZDA / EU; standardne pogodbene klavzule (modul 3) ali EU-U.S. Data Privacy Framework
   Anthropic, PBC	pretvorba nestrukturiranih cenikov v preglednice (samo pri uporabi funkcije)	ZDA; standardne pogodbene klavzule (modul 3); brez učenja modelov na podatkih
   ponudnik prejema e-pošte (konkretni ponudnik bo na ta seznam dodan pred zagonom funkcije)	prejem sporočil, poslanih na Naslove za prejem e-pošte, in njihovo posredovanje Platformi	bo navedeno skupaj s ponudnikom; prenosi zunaj EGP samo z zaščitnimi ukrepi v skladu s členom 7
   ponudnik e-poštne storitve (SMTP)	dostava računov, opominov in obvestil o delovanju storitve (naslov prejemnika in vsebina sporočila)	EU

2. Obdelovalec Upravljavca o vsaki nameravani dodatni zaposlitvi ali zamenjavi drugega obdelovalca obvesti najmanj 14 dni vnaprej na Platformi ali po e-pošti Skrbniku Organizacije. V tem roku lahko Upravljavec iz utemeljenih razlogov v zvezi z varstvom osebnih podatkov poda ugovor. Stranki si bosta prizadevali najti rešitev; če je ne najdeta, lahko Upravljavec Pogodbo brez sankcij odpove z učinkom pred zaposlitvijo drugega obdelovalca.
3. Obdelovalec drugim obdelovalcem s pogodbo naloži enake obveznosti glede varstva osebnih podatkov, kot jih ima sam po tej pogodbi, vključno z zadostnimi jamstvi za izvajanje tehničnih in organizacijskih ukrepov, in Upravljavcu ostane odgovoren za izpolnjevanje njihovih obveznosti (člen 28(4) Splošne uredbe o varstvu podatkov).
4. Sistemi, ki jih izbere Upravljavec sam (povezani sistemi ERP, viri podatkov o izdelkih, končne točke Webhookov in agenti tretjih oseb), niso drugi obdelovalci Obdelovalca; Obdelovalec jim podatke posreduje po navodilu Upravljavca.

5. Kršitev varstva osebnih podatkov

1. Obdelovalec Upravljavca o kršitvi varstva osebnih podatkov uradno obvesti brez nepotrebnega odlašanja, najpozneje v 48 urah po tem, ko se je s kršitvijo seznanil, po e-pošti Skrbniku Organizacije in na Platformi.
2. Obvestilo vsebuje informacije iz člena 33(3) Splošne uredbe o varstvu podatkov, ki so na voljo Obdelovalcu (vrsta kršitve, kategorije in približno število posameznikov, na katere se nanašajo osebni podatki, ter zapisov, kontaktna točka, verjetne posledice ter sprejeti ali predlagani ukrepi); informacije, ki še niso znane, se posredujejo postopoma.
3. Obdelovalec nemudoma sprejme ukrepe za odpravo kršitve in ublažitev njenih posledic, sodeluje z Upravljavcem in kršitev dokumentira. Obvestilo ne pomeni priznanja odgovornosti.

6. Informacije in revizije

1. Obdelovalec Upravljavcu da na voljo informacije, potrebne za dokazovanje skladnosti s členom 28 Splošne uredbe o varstvu podatkov, predvsem z dokumentom Varnost in zaupanje in z odgovori na razumen varnostni vprašalnik.
2. Če te informacije ne zadostujejo, Obdelovalec omogoči revizijo, ki jo izvede Upravljavec ali neodvisni revizor, zavezan k zaupnosti, ki ni konkurent Obdelovalca, in sicer po obvestilu najmanj 30 dni vnaprej, največ enkrat v koledarskem letu (razen v primeru kršitve ali na zahtevo nadzornega organa), na stroške Upravljavca, brez dostopa do podatkov drugih strank in brez ogrožanja njihove varnosti.
3. Preiskovalna pooblastila nadzornih organov ostanejo nespremenjena.

7. Prenosi zunaj EGP

1. Prenosi v tretje države se izvajajo samo z zaščitnimi ukrepi v skladu s poglavjem V Splošne uredbe o varstvu podatkov.
2. Kadar Obdelovalec prenese osebne podatke drugemu obdelovalcu v tretji državi, za katero ni sklepa o ustreznosti (ali kadar prejemnik ni certificiran v okviru EU-U.S. Data Privacy Framework), z njim sklene standardne pogodbene klavzule v skladu z Izvedbenim sklepom Komisije (EU) 2021/914, modul 3 (prenos med obdelovalci), oceni pravno okolje države prejemnika in sprejme dodatne ukrepe (zlasti šifriranje med prenosom in v mirovanju ter najmanjši obseg podatkov).
3. Upravljavec s tem takšne prenose dovoljuje. Obdelovalec na zahtevo zagotovi kopijo zaščitnih ukrepov; poslovni pogoji so lahko v njej prikriti.

8. Izbris in vračilo podatkov

1. V času trajanja Pogodbe lahko Upravljavec kadar koli izvozi podatke Organizacije v formatu JSON in podatke sam izbriše.
2. Po prenehanju Pogodbe Obdelovalec po izbiri Upravljavca osebne podatke v 30 dneh vrne (izvoz) ali izbriše, vključno s kopijami, razen če predpisi zahtevajo njihovo nadaljnjo hrambo. Varnostne kopije se v rednem ciklu prepišejo najpozneje v 90 dneh; do takrat so zaščitene in se ne uporabljajo.
3. Sporočila, prejeta na Naslov za prejem e-pošte, se samodejno izbrišejo po 90 dneh. Obdelovalec dostopne podatke za povezani sistem preneha uporabljati takoj po odstranitvi povezave in jih izbriše najpozneje v skladu z odstavkom 2.
4. Ta člen se ne uporablja za zapise iz drugega in tretjega stavka člena 2(4).

9. Odgovornost, prednost in pravo, ki se uporablja

Odgovornost se presoja po členu 82 Splošne uredbe o varstvu podatkov in po Splošnih pogojih poslovanja, vključno z njihovimi omejitvami v obsegu, ki ga dopušča zakon. V zadevah varstva osebnih podatkov ima ta pogodba prednost pred Splošnimi pogoji poslovanja. Za to pogodbo se uporablja pravo Češke republike.

Priloga 1 — Tehnični in organizacijski ukrepi

• Šifriranje in psevdonimizacija: šifriranje vse komunikacije (TLS) in šifriranje shranjenih podatkov pri ponudniku gostovanja; dostopni podatki za povezane sisteme in skrivni ključi za podpisovanje Webhookov, šifrirani z AES-256-GCM; gesla kot zgoščene vrednosti Argon2id; obnovitvene kode, seje prijave in ključi API, shranjeni samo kot zgoščene vrednosti; psevdonimizacija vpisov v Revizijsko verigo po izbrisu uporabniškega računa.
• Nadzor dostopa: dostop na podlagi vlog, ki jih upravlja Skrbnik Organizacije; ločevanje podatkov Organizacij, uveljavljeno na ravni aplikacije; priloge samo pooblaščenim osebam in vedno za prenos; dostop do produkcijskega okolja samo pooblaščenemu osebju Obdelovalca, zavezanemu k zaupnosti.
• Zaščita uporabniških računov in sej: piškotki HttpOnly, Secure in SameSite; preverjanje izvora (Origin) pri zahtevah, ki spreminjajo podatke; začasno zaklepanje uporabniškega računa po ponavljajočih se neuspešnih poskusih prijave; sprememba gesla zaključi vse seje; omejitve števila zahtev pri API.
• Celovitost in preverljivost: Revizijska veriga s kriptografsko povezanimi vpisi, katerih spremembo ali izbris preprečuje sprožilec v podatkovni bazi; podpisi Ed25519 Mandatov, Potrdil in Zapisov AP2; Webhooki, podpisani s HMAC-SHA256.
• Razpoložljivost in obnova: redne varnostne kopije podatkovne baze; varnostne kopije se prepišejo najpozneje v 90 dneh.
• Najmanjši obseg podatkov in izbris: sporočila na Naslovu za prejem e-pošte 90 dni; operativni dnevniki največ 90 dni; pri potencialnih dobaviteljih samo splošni kontakti podjetij; samodejni uvoz e-pošte samo od Preverjenih pošiljateljev.
• Varen razvoj: avtomatizirani testi varnostnih invariant (ločevanje Organizacij, meje Agentov, zaupnost omejitev) ob vsaki spremembi; odvisnosti, vezane na natančne različice; Agenti vsebine datotek ne obravnavajo kot navodil.
• Incidenti in pregled: obravnavanje incidentov in uradno obveščanje v skladu s členom 5; kanal za prijavo ranljivosti; redni pregled učinkovitosti ukrepov.

Podrobnejši opis je v dokumentu Varnost in zaupanje.