Pogodba o obdelavi osebnih podatkov

Pogodbena obdelava skladno z 28. členom GDPR · Različica 1.0 · Velja od 1. 6. 2026 · Zadnja sprememba: 16. 6. 2026

Ta pogodba o obdelavi osebnih podatkov (v nadaljevanju: DPA) je sestavni del splošnih pogojev uporabe platforme anPOS in ureja obdelavo osebnih podatkov, ki jo ponudnik izvaja v imenu in za račun naročnika pri zagotavljanju platforme. DPA zagotavlja skladnost s členom 28(3) in (4) Splošne uredbe o varstvu podatkov (Uredba (EU) 2016/679 – GDPR) in z Zakonom o varstvu osebnih podatkov (ZVOP-2).

1. Predmet in trajanje obdelave

Obdelovalec obdeluje osebne podatke izključno za namen zagotavljanja in delovanja zakupljenih modulov platforme anPOS ter pripadajočih storitev (vzdrževanje, podpora, varnostne kopije) v skladu s splošnimi pogoji in navodili upravljavca. Obdelava traja toliko časa, kolikor traja naročniško razmerje, in se po njegovem prenehanju zaključi skladno z 9. točko te DPA.

Narava in namen obdelave: gostovanje, shranjevanje, vpogled, urejanje, strukturiranje, posredovanje in izbris osebnih podatkov v okviru funkcionalnosti platforme ter podpora uporabnikom. Obdelovalec do vsebine naročnika dostopa le, kadar je to potrebno za delovanje storitve ali za odpravo napak na podlagi zahtevka upravljavca.

2. Vrste osebnih podatkov in kategorije posameznikov

Glede na zakupljene module obdelovalec v imenu upravljavca obdeluje zlasti naslednje:

3. Obveznosti obdelovalca

Obdelovalec se zavezuje, da bo:

• osebne podatke obdeloval le po dokumentiranih navodilih upravljavca (vključno s temi splošnimi pogoji, nastavitvami platforme in zahtevki prek podpore), razen če obdelavo zahteva pravo EU ali Republike Slovenije;
• upravljavca nemudoma obvestil, če bi po njegovem mnenju navodilo kršilo GDPR ali druge predpise o varstvu podatkov;
• zagotovil, da so osebe, pooblaščene za obdelavo, zavezane k zaupnosti in dostopajo do podatkov le v obsegu, nujnem za izvajanje storitve;
• izvajal ustrezne tehnične in organizacijske ukrepe (32. člen GDPR) iz Priloge 1;
• upravljavcu pomagal pri izpolnjevanju njegovih obveznosti, in sicer pri odzivanju na zahteve posameznikov za uveljavljanje pravic (členi 12–22) ter pri zagotavljanju varnosti, priglasitvi kršitev, ocenah učinka in predhodnih posvetovanjih (členi 32–36), upoštevaje naravo obdelave in razpoložljive informacije;
• upravljavcu dal na voljo vse informacije, potrebne za dokazovanje skladnosti, ter omogočil revizije skladno s 8. točko;
• obdeloval podatke le na območju EU/EGP, razen ob pogojih iz 7. točke.

4. Obveznosti upravljavca

• Upravljavec jamči, da ima za vnos in obdelavo osebnih podatkov v platformi ustrezno pravno podlago ter da je posameznike ustrezno obvestil.
• Upravljavec je odgovoren za pravilnost in zakonitost svojih navodil ter za dodeljevanje in odvzem dostopov svojim uporabnikom.
• Upravljavec ne vnaša posebnih vrst osebnih podatkov, razen če za to obstaja zakonita podlaga in ustrezni zaščitni ukrepi.

5. Podobdelovalci

Upravljavec obdelovalcu podeljuje splošno pisno pooblastilo za najem podobdelovalcev za izvajanje posameznih dejavnosti obdelave. Aktualni seznam podobdelovalcev je v Prilogi 2. Obdelovalec z vsakim podobdelovalcem sklene pogodbo, ki nalaga enake obveznosti varstva podatkov kot ta DPA, in zanj v razmerju do upravljavca v celoti odgovarja.

O nameravani spremembi (dodajanju ali zamenjavi) podobdelovalca obdelovalec upravljavca obvesti najmanj 30 dni vnaprej. Upravljavec lahko v tem roku iz utemeljenih razlogov varstva podatkov spremembi pisno ugovarja; če ne ugovarja, se šteje, da s spremembo soglaša.

6. Pomoč pri pravicah posameznikov in obvestilo o kršitvah

Če se posameznik s svojo zahtevo za uveljavljanje pravic obrne neposredno na obdelovalca, ga obdelovalec brez nepotrebnega odlašanja preusmeri na upravljavca in zahteve ne obravnava sam, razen po navodilu upravljavca.

V primeru kršitve varnosti osebnih podatkov obdelovalec upravljavca obvesti brez nepotrebnega odlašanja, potem ko za kršitev izve, in mu zagotovi razpoložljive informacije, da lahko upravljavec izpolni svoje obveznosti priglasitve in obveščanja (33. in 34. člen GDPR).

7. Prenosi v tretje države

Obdelovalec osebnih podatkov ne prenaša v tretje države ali mednarodne organizacije, razen če to dovoli upravljavec ali zahteva pravo EU/RS. V primeru prenosa obdelovalec zagotovi ustrezne zaščitne ukrepe skladno s poglavjem V GDPR, zlasti standardna pogodbena določila, ki jih je sprejela Evropska komisija.

8. Revizije in dokazovanje skladnosti

Obdelovalec upravljavcu na zahtevo zagotovi informacije, potrebne za dokazovanje skladnosti s 28. členom GDPR, ter omogoči in prispeva k revizijam, vključno z inšpekcijami, ki jih izvede upravljavec ali pooblaščeni revizor. Revizije se izvajajo ob predhodni razumni najavi, v delovnem času in tako, da ne motijo poslovanja obdelovalca; podrobnosti in morebitne stroške stranki uskladita vnaprej.

9. Izbris ali vrnitev podatkov po prenehanju

Po prenehanju izvajanja storitev obdelave obdelovalec po izbiri upravljavca vse osebne podatke izbriše ali jih vrne upravljavcu (npr. z omogočenim izvozom) ter izbriše obstoječe kopije, razen če pravo EU ali Republike Slovenije zahteva njihovo hrambo. Upravljavec lahko podatke izvozi v roku 30 dni po prenehanju; po izteku tega roka obdelovalec podatke trajno izbriše.

10. Odgovornost in končne določbe

Vsaka stranka odgovarja za škodo, ki jo povzroči s kršitvijo svojih obveznosti iz te DPA in GDPR. Glede omejitev odgovornosti se uporabljajo določila splošnih pogojev, kolikor to dopuščajo kogentni predpisi. V primeru neskladja med to DPA in splošnimi pogoji glede obdelave osebnih podatkov prevlada ta DPA. Za vse, kar ni urejeno s to DPA, se uporabljajo splošni pogoji in pravo Republike Slovenije.

Priloga 1 – Tehnični in organizacijski ukrepi (TOM)

• Šifriranje prenosa: dostop do platforme izključno prek šifrirane povezave HTTPS/TLS.
• Nadzor dostopa: avtentikacija z geslom (shranjenim v zgoščeni obliki), dvostopenjska avtentikacija (2FA), dodeljevanje pravic po vlogah, ločitev podatkov po naročnikih (večnajemniška arhitektura).
• Beleženje (dnevniki): evidentiranje prijav in pomembnih varnostnih dogodkov.
• Varnostne kopije: redno izdelovanje varnostnih kopij in postopki obnovitve.
• Varnost aplikacije: zaščita pred ogroženostmi (CSRF, varnostne glave, omejevanje poskusov prijave), nadzorovan dostop osebja po načelu najmanjših pravic.
• Organizacijski ukrepi: zavezanost osebja k zaupnosti, nadzor nad podobdelovalci.

Priloga 2 – Seznam podobdelovalcev

Opomba: FURS (davčno potrjevanje računov) in javni register PRS/AJPES niso podobdelovalci, temveč ločeni upravljavci oziroma javni viri, s katerimi platforma izmenjuje podatke na podlagi zakona ali zahteve upravljavca.

Vprašanja glede obdelave podatkov naslovite na info@anpos.si.