Zadnja posodobitev: 30. 10. 2026
Pogodba o obdelavi osebnih podatkov
1. Stranki in namen
Ta pogodba o obdelavi osebnih podatkov (DPA) je sklenjena med naročnikom Računov kot upravljavcem in Igor Kvartuh s.p., Slovenija, kot obdelovalcem. Dopolnjuje pogoje uporabe in ureja obdelavo osebnih podatkov, ki jo obdelovalec izvaja v imenu upravljavca, v skladu s 28. členom Splošne uredbe o varstvu podatkov (GDPR) in Zakonom o varstvu osebnih podatkov (ZVOP-2).
DPA je sklenjena, ko upravljavec sprejme pogoje uporabe. Če se DPA in pogoji uporabe razlikujejo glede varstva osebnih podatkov, velja DPA.
2. Predmet, narava in namen obdelave
Obdelovalec obdeluje osebne podatke samo, kolikor je potrebno za izvajanje storitve Računi: gostovanje, shranjevanje, prikaz, izdaja in pošiljanje računov, davčno potrjevanje, sprejem plačil in pošte, uvoz bančnega prometa, podpora, varnostne kopije in brisanje.
3. Trajanje
Obdelava traja, dokler velja pogodba o uporabi storitve, in po njenem prenehanju še toliko časa, kolikor je potrebno za vračilo ali izbris podatkov po 13. točki.
4. Vrste podatkov in posameznikov
| Kupci naročnika | ime in priimek ali naziv, naslov, davčna številka, e-naslov, IBAN, podatki o računih, plačilih in odprtih zneskih. |
|---|---|
| Poslovni partnerji in dobavitelji | naziv, kontaktne osebe, naslov, davčna številka, e-naslov, IBAN in prejeti računi. |
| Zaposleni naročnika | ime, priimek, davčna številka, e-naslov in dejanja v aplikaciji. |
| Pošiljatelji pošte | e-naslov, vsebina sporočila in priloge. |
| Posebne vrste podatkov | Računi niso namenjeni obdelavi posebnih vrst osebnih podatkov. Upravljavec jih ne sme vnašati, razen če so nujni za vsebino računa. |
5. Navodila upravljavca
Obdelovalec obdeluje osebne podatke samo po dokumentiranih navodilih upravljavca. Navodila so pogoji uporabe, ta DPA in nastavitve, ki jih upravljavec izbere v aplikaciji. Če po mnenju obdelovalca navodilo krši predpise, o tem takoj obvesti upravljavca. Obdelovalec lahko podatke obdeluje brez navodil samo, kadar to zahteva pravo EU ali Slovenije; o tem upravljavca obvesti, razen če zakon to prepoveduje.
6. Obveznosti upravljavca
- zagotavlja pravno podlago za obdelavo in obvesti posameznike po 13. in 14. členu GDPR;
- skrbi za točnost podatkov, ki jih vnese;
- odgovarja posameznikom pri uresničevanju njihovih pravic;
- obdelovalcu ne daje navodil, ki bi bila v nasprotju s predpisi.
7. Zaupnost
Obdelovalec zagotovi, da so osebe, ki imajo dostop do osebnih podatkov, zavezane k zaupnosti s pogodbo ali po zakonu, in da dostop dobijo samo, kolikor ga potrebujejo za delo.
8. Tehnični in organizacijski ukrepi
Obdelovalec ob upoštevanju tveganj izvaja ukrepe iz 32. člena GDPR, med drugim:
- šifriran prenos podatkov (HTTPS/TLS) in šifrirano hrambo pri ponudniku infrastrukture;
- šifriran certifikat za davčno potrjevanje;
- ločevanje podatkov po naročniku in pravila dostopa do vrstic v bazi;
- dvostopenjsko prijavo (2FA) in omejevanje poskusov prijave;
- omejen in beležen dostop do produkcijskih sistemov;
- redne varnostne kopije baze;
- nadzor napak in varnostnih dogodkov;
- redno posodabljanje programske opreme.
Obdelovalec lahko ukrepe spreminja, če raven zaščite ne pade pod raven ob sklenitvi DPA.
9. Podobdelovalci
Upravljavec daje splošno pisno dovoljenje za uporabo spodnjih podobdelovalcev. Obdelovalec s podobdelovalci sklene pogodbe z enakimi obveznostmi varstva podatkov, kot jih določa ta DPA, in odgovarja za njihovo izpolnjevanje.
| Ponudnik | Namen | Podatki | Lokacija / prenos |
|---|---|---|---|
| Supabase | baza, prijava, shramba datotek | vsi podatki aplikacije in datoteke | AWS eu-central-1 (Frankfurt) |
| Google Cloud Run | gostovanje aplikacije | zahteve in tehnični dnevniki | europe-west3 (Frankfurt) |
| Resend | pošiljanje in sprejem e-pošte | e-naslovi, vsebina sporočil, priloženi računi in prejeta pošta | DPA/SCC po potrebi |
| Stripe | plačila s kartico in plačilni terminal | znesek, račun, podatki o plačilu | EU/ZDA, DPA/SCC/DPF |
| Google Gemini API | predlog videza računa iz naložene slike računa | slika prve strani računa | globalno (tudi zunaj EU/EGP), DPA/SCC in DPF |
| Sentry | napake in zmogljivost | tehnični metapodatki o napakah | EU/ZDA, DPA/SCC/DPF po potrebi |
O dodajanju ali zamenjavi podobdelovalca obdelovalec obvesti upravljavca najmanj 15 dni prej v aplikaciji ali po e-pošti. Upravljavec lahko v tem roku utemeljeno ugovarja. Če stranki ne najdeta rešitve, lahko upravljavec pogodbo odpove pred zamenjavo.
FURS ni podobdelovalec: podatke za davčno potrjevanje prejme kot samostojni organ po zakonu.
10. Prenosi v tretje države
Kadar podobdelovalec osebne podatke obdeluje zunaj EU/EGP, obdelovalec zagotovi ustrezen mehanizem prenosa po V. poglavju GDPR: sklep o ustreznosti (vključno z EU-U.S. Data Privacy Framework), standardne pogodbene klavzule Evropske komisije ali drug veljaven mehanizem.
11. Pomoč upravljavcu
- Obdelovalec upravljavcu pomaga pri odgovarjanju na zahteve posameznikov. Zahtevo, ki jo prejme neposredno, brez odlašanja posreduje upravljavcu in nanjo ne odgovarja sam.
- Obdelovalec upravljavcu pomaga pri oceni učinka na varstvo podatkov in predhodnem posvetovanju z Informacijskim pooblaščencem, kadar je to potrebno.
12. Kršitve varstva osebnih podatkov
Obdelovalec upravljavca o kršitvi varstva osebnih podatkov obvesti brez nepotrebnega odlašanja, najpozneje v 48 urah po tem, ko je zanjo izvedel. Obvestilo vsebuje, kolikor je znano: opis kršitve, vrste in približno število prizadetih posameznikov in zapisov, verjetne posledice, sprejete ukrepe in kontaktno osebo. Obdelovalec upravljavcu pomaga pri prijavi kršitve organu in obveščanju posameznikov.
13. Vračilo in izbris podatkov
Upravljavec lahko svoje podatke kadar koli izvozi. Po prenehanju pogodbe obdelovalec podatke hrani še 30 dni za izvoz, nato jih izbriše iz produkcijskih sistemov, razen če pravo EU ali Slovenije zahteva nadaljnjo hrambo. Iz varnostnih kopij se podatki izbrišejo v ciklu prepisovanja kopij. Na zahtevo obdelovalec pisno potrdi izbris.
14. Revizije in dokazila
Obdelovalec upravljavcu na zahtevo da vse informacije, potrebne za dokazovanje skladnosti s to DPA. Upravljavec lahko revizijo opravi sam ali prek neodvisnega revizorja, ki je zavezan k zaupnosti, z najmanj 30-dnevno najavo, največ enkrat letno in na svoje stroške, razen po kršitvi varstva podatkov ali na zahtevo organa.
15. Odgovornost
Za odgovornost strank iz te DPA veljajo omejitve iz pogojev uporabe, razen kadar 82. člen GDPR ali drug prisilni predpis določa drugače.
16. Veljavnost in pravo
DPA velja, dokler obdelovalec obdeluje osebne podatke v imenu upravljavca. Za DPA velja pravo Republike Slovenije, za spore je pristojno sodišče, ki ga določajo pogoji uporabe.