Pogodba o obdelavi podatkov
Vsebina
1. Stranki in predmet
Ta pogodba (DPA) ureja obdelavo osebnih podatkov, ki jo pri izvajanju storitve Melona Asist opravlja IT Melona d.o.o., Lackova cesta 78a, 2000 Maribor, Slovenija (v nadaljevanju obdelovalec), za naročnika storitve (v nadaljevanju upravljavec).
Ker naročnik s storitvijo poveže svoj e-poštni predal, ta pa vsebuje osebne podatke tretjih oseb (strank, sodelavcev, poslovnih partnerjev), je za to vsebino upravljavec naročnik, obdelovalec pa jo obdeluje izključno po njegovih navodilih. Pogodba je sestavni del Splošnih pogojev in začne veljati z začetkom uporabe storitve.
2. Predmet in trajanje obdelave
| Element | Opis |
|---|---|
| Namen | razvrščanje e-pošte v mape, označevanje sporočil, ki čakajo odgovor, priprava osnutkov odgovorov, posredovanje po pravilih naročnika, poročanje o dejanjih |
| Vrste podatkov | e-naslovi in imena pošiljateljev in prejemnikov, zadeve, datumi, vsebina sporočil in priponk, oznake sporočil in map |
| Kategorije posameznikov | naročnikove stranke, poslovni partnerji, sodelavci in vsi drugi pošiljatelji oziroma prejemniki njegove pošte |
| Trajanje | za čas naročniškega razmerja; prekine se z izbrisom povezave nabiralnika ali računa |
| Način obdelave | avtomatizirana obdelava, vključno z uporabo jezikovnega modela; sporočila ostanejo v naročnikovem predalu, kopij vsebine obdelovalec ne shranjuje |
Storitev ni namenjena obdelavi posebnih vrst osebnih podatkov (zdravstveni, biometrični ipd.). Če naročnikova pošta take podatke vsebuje, se zaveda, da so obdelani v opisanem obsegu, in po potrebi uporabi zasebnostni način ali lasten jezikovni model.
3. Navodila upravljavca
Obdelovalec obdeluje podatke izključno po navodilih upravljavca. Za navodila se štejejo: uporaba storitve po Splošnih pogojih, nastavitve v aplikaciji (povezani nabiralniki, urnik, zasebnostni način, dovoljene domene za posredovanje) in pravila, ki jih upravljavec zapiše asistentu. Obdelovalec podatkov ne uporablja za svoje namene.
4. Obveznosti obdelovalca
- obdeluje podatke le v opisanem obsegu in po navodilih upravljavca;
- zagotavlja zaupnost — dostop imajo le osebe, ki ga potrebujejo, in so zavezane k zaupnosti;
- izvaja ustrezne tehnične in organizacijske ukrepe (6. točka);
- upravljavca nemudoma obvesti, če meni, da je navodilo v nasprotju z veljavnim pravom;
- pomaga upravljavcu pri izpolnjevanju njegovih obveznosti (7. in 8. točka).
5. Podobdelovalci
Upravljavec s sklenitvijo te pogodbe soglaša z uporabo naslednjih podobdelovalcev:
| Podobdelovalec | Namen | Lokacija obdelave |
|---|---|---|
| Hetzner Online GmbH | gostovanje aplikacije in baze | Helsinki, Finska (EU) |
| Anthropic PBC | jezikovni model (razvrščanje, pogovor, priprava osnutkov); podatkov ne uporablja za učenje modelov | ZDA (standardne pogodbene klavzule) |
| Stripe Payments Europe, Ltd. | plačila in računi (podatki o vsebini pošte se ne prenašajo) | Irska (EU), s prenosi v ZDA |
O nameravani zamenjavi ali dodajanju podobdelovalca obdelovalec obvesti upravljavca najmanj 30 dni prej. Če upravljavec nasprotuje, lahko naročniško razmerje prekine pred uveljavitvijo spremembe.
6. Varnostni ukrepi
- šifriran prenos podatkov (HTTPS, IMAP/SMTP prek TLS);
- gesla nabiralnikov shranjena šifrirano (AES-256-GCM), gesla računov zgoščena;
- dvojno potrjevanje (TOTP), obvezno za skrbniške račune;
- ločevanje podatkov med naročniki na ravni aplikacije;
- vsebina sporočil se ne shranjuje v bazo obdelovalca;
- redne varnostne kopije (hramba do 30 dni) in posodobitve sistemov;
- omejen in evidentiran dostop skrbnika do produkcijskega okolja.
7. Pomoč upravljavcu
Obdelovalec upravljavcu v razumnem obsegu pomaga pri: odgovorih na zahteve posameznikov (dostop, popravek, izbris), oceni učinkov v zvezi z varstvom podatkov in dokazovanju skladnosti. Večino zahtev lahko upravljavec izvede sam v aplikaciji.
8. Kršitve varnosti
Če obdelovalec zazna kršitev varnosti osebnih podatkov, upravljavca obvesti brez nepotrebnega odlašanja, najpozneje v 48 urah po seznanitvi, in mu posreduje znane podatke o naravi kršitve, prizadetih kategorijah podatkov, verjetnih posledicah in sprejetih ukrepih.
9. Izbris in vrnitev podatkov
Ob prekinitvi razmerja ali na zahtevo upravljavca obdelovalec izbriše osebne podatke, ki jih obdeluje v njegovem imenu. Ker vsebina pošte ostaja v upravljavčevem predalu, vrnitev podatkov ni potrebna. Izbris računa v aplikaciji nemudoma odstrani podatke iz baze; varnostne kopije se prepišejo najpozneje v 30 dneh.
10. Revizije in dokazila
Obdelovalec upravljavcu na zahtevo posreduje informacije, potrebne za dokazovanje skladnosti te pogodbe. Presoje na kraju samem so mogoče po predhodnem dogovoru, največ enkrat letno, razen ob utemeljenem sumu kršitve.
Sklepne določbe
Za to pogodbo velja pravo Republike Slovenije. V primeru neskladja s Splošnimi pogoji za vprašanja obdelave osebnih podatkov prevlada ta pogodba. Veljavna različica je vedno objavljena na tej strani z datumom zadnje spremembe.