Pogodba o obdelavi osebnih podatkov

1. Stranki

• Upravljavec: podjetje ali podjetnik, ki je sprejel Splošne pogoje uporabe aplikacije Jedro+ (»uporabnik«).
• Obdelovalec: Sonja Žužek s.p., Prešernova cesta 21A, 1234 Mengeš, Slovenija, matična številka 9323228000, pooblaščena oseba Tim Kogej, tim.kogej@jedroplus.com (»ponudnik«).

2. Predmet in trajanje

Ponudnik obdeluje osebne podatke v imenu uporabnika izključno za zagotavljanje aplikacije Jedro+ v obsegu funkcij, ki jih uporabnik uporablja. Pogodba velja, dokler velja pogodba o uporabi, in do izbrisa podatkov po njenem koncu.

3. Narava in namen obdelave

Shranjevanje, organizacija, prikaz, pošiljanje sporočil (e-pošta, SMS), sprejem in prepis telefonskih klicev, priprava odgovorov z AI modeli, obdelava spletnih plačil, izvoz in izbris — za vodenje terminov in strank, opomnike, obvestila, marketinška sporočila, spletno naročanje, Chatbot+ in Receptionist+.

4. Vrste podatkov in posamezniki

• Stranke uporabnika: ime, priimek, e-pošta, telefon, spol, jezik, opombe, tip stranke, zgodovina terminov, storitve, cene in popusti, stanje plačil, soglasje za obveščanje in odjava.
• Klicatelji (Receptionist+): telefonska številka, posnetek in prepis pogovora, izid klica.
• Obiskovalci klepeta (Chatbot+): vsebina pogovora in podatki, ki jih vpišejo.
• Zaposleni uporabnika: ime, kontakt, urnik, odsotnosti, dodeljeni termini.

Posebne vrste osebnih podatkov se obdelujejo le, če jih uporabnik vnese (npr. v opombe); uporabnik zagotovi pravno podlago in jih omeji na nujno.

5. Obveznosti ponudnika

• Podatke obdeluje samo po dokumentiranih navodilih uporabnika, ki jih ta daje z uporabo in nastavitvami aplikacije. Če meni, da je navodilo v nasprotju s predpisi, ga o tem obvesti.
• Osebe, ki imajo dostop do podatkov, so zavezane k zaupnosti.
• Izvaja tehnične in organizacijske ukrepe iz točke 7.
• Uporabniku pomaga pri odgovarjanju na zahteve posameznikov (dostop, popravek, izbris, izvoz) in pri izpolnjevanju obveznosti iz 32. do 36. člena GDPR.
• O kršitvi varnosti osebnih podatkov uporabnika obvesti brez nepotrebnega odlašanja, najkasneje v 48 urah po seznanitvi, z vsemi podatki, ki jih ima.
• Uporabniku na zahtevo da informacije, potrebne za dokazovanje skladnosti, in omogoči razumne preglede (praviloma z dokumentacijo in pisnimi odgovori).

6. Podobdelovalci

Uporabnik daje splošno dovoljenje za podobdelovalce, navedene na strani »Podobdelovalci«. Ponudnik z vsakim sklene pogodbo z enakimi obveznostmi varstva podatkov in zanj odgovarja kot za svoje ravnanje.

O dodajanju ali zamenjavi podobdelovalca ponudnik uporabnika obvesti najmanj 30 dni vnaprej (po e-pošti ali v aplikaciji). Uporabnik lahko iz utemeljenih razlogov ugovarja; če rešitve ni, lahko pogodbo odpove brez stroškov.

Prenos v tretje države poteka le ob ustreznih zaščitnih ukrepih (standardne pogodbene klavzule, okvir EU-ZDA za zasebnost podatkov).

7. Tehnični in organizacijski ukrepi

• Šifriranje prenosa (TLS) in šifriranje shranjenih podatkov pri ponudniku baze.
• Baza podatkov, gostovanje, e-pošta in strežnik za avtomatizacije v EU.
• Ločevanje podatkov po podjetjih; pravila dostopa na ravni baze (RLS); pisanje podatkov le prek preverjenih strežniških poti.
• Dostop po vlogah (lastnik, administrator, zaposleni) in načelo najmanjših pooblastil; tajni ključi samo na strežniku.
• Omejevanje števila zahtev in zaščita pred zlorabami; podpisane povezave (npr. za odjavo).
• Redne varnostne kopije pri ponudniku baze; beleženje sprememb terminov in strank.
• Samodejni izbris posnetkov klicev po 90 dneh in podatkov po koncu pogodbe.

8. Obveznosti uporabnika

• Za obdelavo podatkov svojih strank, zaposlenih in klicateljev ima pravno podlago in jih o obdelavi obvesti (npr. v svoji politiki zasebnosti).
• Marketinška sporočila pošilja le strankam, pri katerih ima za to podlago, in spoštuje odjave.
• Pri Receptionist+ ohrani obvestilo o snemanju vklopljeno ali sam zagotovi zakonitost snemanja.
• Dostope do aplikacije daje le osebam, ki jih potrebujejo, in jih pravočasno odvzame.

9. Konec obdelave

Po koncu pogodbe lahko uporabnik podatke izvozi. Ponudnik jih 90 dni po koncu izbriše, vključno s kopijami pri podobdelovalcih v okviru njihovih rokov za varnostne kopije, razen če hrambo zahteva zakon.

10. Končne določbe

Za odgovornost veljajo določbe Splošnih pogojev uporabe, razen kadar GDPR določa drugače. Velja pravo Republike Slovenije. V primeru razhajanj med jezikovnimi različicami velja slovenska.