frontis

Pogodba o obdelavi osebnih podatkov

Različica 0 (osnutek) · velja od [[DATUM]] · del Pogojev uporabe storitve Frontis

Pogodbeni stranki:

  • Upravljavec: imetnik računa v storitvi Frontis (v nadaljevanju: vi)
  • Obdelovalec: [[PODJETJE]], [[NASLOV]], matična številka [[MATICNA]] (v nadaljevanju: mi)

Pogodba velja s sprejetjem Pogojev uporabe in ureja obdelavo po členu 28 Splošne uredbe o varstvu podatkov (GDPR).

1. Predmet, narava in namen

  • Predmet: za vas shranjujemo in prikazujemo podatke, ki jih obiskovalci vaše spletne strani oddajo prek obrazcev na strani.
  • Namen: da lahko odgovorite na povpraševanja.
  • Kaj obdelava obsega:
    • sprejem in shranjevanje oddaj
    • prikaz oddaj v vašem računu
    • obvestilo o novi oddaji po e-pošti na vaš naslov
    • izbris
  • Vrste podatkov: podatki, ki jih določajo polja vašega obrazca, običajno ime, e-naslov, telefon in sporočilo, ter čas oddaje in privolitve z različico obvestila o zasebnosti.
    • IP-naslov obiskovalca uporabimo samo za kratkotrajno omejitev števila oddaj in ga ne shranimo z oddajo. Števec zahtev se praviloma izbriše v 2 dneh.
  • Posamezniki, na katere se podatki nanašajo: obiskovalci vaše strani, ki oddajo obrazec.
  • Trajanje: dokler stran ali račun obstaja. Posamezno oddajo lahko kadar koli trajno izbrišete sami v storitvi (»Obrazci in oddaje« → »Izbriši«), vse oddaje strani pa z »Izbriši vse oddaje«.

2. Naše obveznosti

  1. Podatke obdelujemo samo po vaših navodilih, ki jih dajete z uporabo storitve (obrazec, nastavitve, izbris), in za noben drug namen. Izjema je obdelava, ki jo zahteva zakon, o čemer vas obvestimo, če zakon tega ne prepoveduje. Če menimo, da bi navodilo kršilo GDPR ali drug predpis o varstvu podatkov, vas o tem takoj obvestimo.
  2. Do podatkov imajo dostop samo osebe, ki so zavezane k zaupnosti.
  3. Izvajamo ustrezne tehnične in organizacijske ukrepe (člen 32 GDPR; Priloga 1).
  4. Podobdelovalci:
    • Uporabljamo jih na podlagi vašega splošnega pooblastila. Seznam: Seznam podobdelovalcev.
    • O dodajanju ali zamenjavi podobdelovalca vas obvestimo po e-pošti vsaj 15 dni prej. Ugovorite lahko z utemeljenim razlogom.
    • Če ugovoru ne moremo ugoditi, lahko pogodbo odpoveste z izbrisom računa.
    • Podobdelovalce zavezujemo k enakim obveznostim.
  5. Pomagamo vam pri odgovarjanju na zahteve posameznikov (dostop, popravek, izbris) in pri drugih obveznostih iz členov 32–36 GDPR, kolikor je to razumno glede na naravo storitve.
  6. O kršitvi varnosti osebnih podatkov vas obvestimo brez nepotrebnega odlašanja, najpozneje v 48 urah, ko zanjo izvemo. Obvestilo vsebuje podatke, ki jih potrebujete za morebitno prijavo Informacijskemu pooblaščencu.
  7. Ob izbrisu strani ali računa takoj izbrišemo vse oddaje te strani. Kopije v varnostnih kopijah baze se samodejno prepišejo v največ 7 dneh. Oddaje lahko kadar koli pregledate v storitvi in jih prenesete v strojno berljivi obliki (datoteka CSV, gumb »Prenesi CSV«).
  8. Na zahtevo vam damo informacije, ki dokazujejo izpolnjevanje te pogodbe. Pregled pri nas je mogoč po predhodnem dogovoru, največ enkrat letno, na vaše stroške.

3. Vaše obveznosti

  • Zagotovite zakonito podlago za zbiranje podatkov in obiskovalce obvestite o obdelavi. Storitev pod vsakim obrazcem prikaže obvestilo o zasebnosti in zahteva privolitev; za pravilnost podatkov o vašem podjetju v obvestilu poskrbite vi.
  • Prek obrazcev ne zbirajte posebnih vrst osebnih podatkov (npr. zdravstvenih), razen če je to nujno in zakonito.

4. Prenosi izven EGP

  • Oddaje so shranjene v EU; strežniške funkcije, ki jih sprejmejo, delujejo v EU [[PREVERI: Vercel Function Region = fra1]].
  • Če podobdelovalec obdeluje podatke izven EGP, prenos temelji na okviru EU-ZDA za zasebnost podatkov ali na standardnih pogodbenih klavzulah [[PREVERI: za vsakega ponudnika na seznamu]].

Priloga 1: tehnični in organizacijski ukrepi

  • Šifriranje med prenosom (HTTPS/TLS) in pri shranjevanju pri ponudnikih baze in shrambe [[PREVERI: Neon, Vercel Blob]].
  • Ločevanje: vsak račun vidi samo oddaje svojih strani; vsak dostop se preveri na strežniku.
  • Dostop do produkcijskih podatkov: samo skrbnik storitve, z dvostopenjsko prijavo pri ponudnikih [[PREVERI: vklopljeno pri vseh ponudnikih]].
  • Varnostne kopije baze z obnovo do 7 dni nazaj.
  • Dnevniki in poročila o napakah ne vsebujejo vsebine obrazcev, e-naslovov ali sporočil.
  • Zaščita pred zlorabo: omejitve števila zahtev in skrito polje proti robotom.
  • Gesla imetnikov računov so shranjena kot zgoščene vrednosti; prijava je zaščitena pred ugibanjem gesel.