1. Sprejem in področje uporabe

• DPA se sklene v elektronski obliki, Naročnik pa DPA sprejme skupaj s Pogoji uporabe - z registracijo, z označitvijo polja za sprejem Pogojev uporabe ali z nadaljnjo uporabo Platforme. Elektronska oblika izpolnjuje zahtevo iz člena 28(9) GDPR.
• DPA se uporablja, kolikor Ponudnik v imenu Naročnika obdeluje osebne podatke, vsebovane v Podatkih naročnika ("Osebni podatki").
• DPA se ne uporablja za podatke, ki jih Ponudnik obdeluje kot samostojni upravljavec - podatke za registracijo in upravljanje računa, za obračun in plačila, za varnost Platforme, za komunikacijo z Naročnikom in za statistiko spletnega mesta. Ti podatki so opisani v Politiki zasebnosti.
• Kadar je Naročnik fizična oseba, ki Platformo uporablja izključno za osebne ali domače namene, se GDPR morda ne uporablja (člen 2(2)(c) GDPR). V tem primeru se DPA uporablja smiselno.
• V primeru neskladja med DPA in Pogoji uporabe glede vprašanj varstva osebnih podatkov prevlada DPA.

2. Vloge in odgovornosti strank

• Naročnik je upravljavec, Ponudnik pa obdelovalec Osebnih podatkov. Kadar Naročnik obdeluje osebne podatke v imenu tretje osebe, Naročnik jamči, da je pridobil dovoljenje zadevnega upravljavca, Ponudnik pa v tem primeru deluje kot podobdelovalec.
• Naročnik je odgovoren za zakonitost obdelave: za obstoj pravne podlage, obveščanje posameznikov, na katere se nanašajo podatki, točnost podatkov in zakonitost navodil, ki jih daje.
• Naročnik jamči, da njegova navodila in Osebni podatki, ki jih posreduje, ne kršijo veljavnega prava ali pravic tretjih oseb.

3. Navodila Naročnika

• Ponudnik obdeluje Osebne podatke le na podlagi dokumentiranih navodil Naročnika, tudi v zvezi s prenosi podatkov v tretje države, razen če mu obdelavo nalaga pravo Unije ali pravo države članice. V tem primeru Ponudnik o tem obvesti Naročnika, razen če pravo to prepoveduje.
• Dokumentirana navodila Naročnika so: Pogoji uporabe, DPA, uporaba in nastavitve Platforme s strani Naročnika in njegovih Uporabnikov ter morebitna dodatna pisna navodila, o katerih se dogovorita obe stranki.
• Naročnik daje navodilo, da se Osebni podatki obdelujejo za zagotavljanje, vzdrževanje, varnost, odpravljanje napak, testiranje in izboljševanje Storitve, vključno z ustvarjanjem izvedenih podatkov (na primer vektorskih vložkov za iskanje), kolikor je to potrebno za te namene, ob varovanju zaupnosti in varnosti podatkov.
• Ponudnik nemudoma obvesti Naročnika, če meni, da navodilo krši GDPR ali drugo veljavno pravo s področja varstva podatkov. Ponudnik ni dolžan izvajati pravne presoje navodil Naročnika.
• Navodila, ki presegajo obseg Storitve, se izvršijo le, če se Ponudnik z njimi strinja, in se lahko zaračunajo posebej.

4. Zaupnost

• Ponudnik zagotovi, da so se osebe, pooblaščene za obdelavo Osebnih podatkov, zavezale k zaupnosti ali da zanje velja ustrezna zakonska obveznost zaupnosti.
• Dostop do Osebnih podatkov imajo le osebe, ki ga potrebujejo za opravljanje svojih nalog.

5. Varnost obdelave

• Ponudnik izvaja tehnične in organizacijske ukrepe v skladu s členom 32 GDPR, opisane v Prilogi 2, pri čemer upošteva najnovejši tehnološki razvoj, stroške izvajanja, naravo, obseg, okoliščine in namene obdelave ter tveganja za pravice posameznikov, na katere se nanašajo podatki.
• Ponudnik lahko ukrepe posodablja, pod pogojem, da se splošna raven varstva ne zniža.
• Naročnik je odgovoren za varnost v svoji sferi, vključno z varovanjem gesel, pravilno dodelitvijo pravic Uporabnikom, zaščito svojih naprav in pravočasnim odvzemom dostopa osebam, ki ga ne bi smele več imeti.

6. Podobdelovalci

• Naročnik Ponudniku daje splošno pisno dovoljenje za vključitev podobdelovalcev, navedenih v Prilogi 3, in novih podobdelovalcev pod pogoji iz tega razdelka.
• Ponudnik Naročnika o vsakem nameravanem dodajanju ali zamenjavi podobdelovalca obvesti najmanj 14 dni vnaprej, in sicer s posodobitvijo Priloge 3 in z obvestilom Skrbniku računa po e-pošti ali z obvestilom na Platformi.
• V tem roku lahko Naročnik iz utemeljenih razlogov, povezanih z varstvom podatkov, pisno ugovarja. Stranki ugovor obravnavata v dobri veri. Če rešitev ni dosežena, je edina pravica Naročnika, da pogodbo s pisnim obvestilom odpove pred začetkom veljavnosti spremembe. Prenehanje ureja razdelek 15 Pogojev uporabe in ne daje pravice do vračila plačanih zneskov.
• Kadar je zamenjava nujna, ker podobdelovalec preneha opravljati svojo storitev, zaradi varnostnega incidenta ali iz drugega nujnega razloga, jo lahko Ponudnik izvede brez predhodnega obvestila in o tem čim prej obvesti Naročnika.
• Ponudnik vsakemu podobdelovalcu naloži obveznosti varstva podatkov, ki so v bistvenem enakovredne obveznostim iz DPA, in Naročniku v skladu s členom 28(4) GDPR odgovarja za njihovo izpolnjevanje, ob upoštevanju omejitev iz razdelka 13 Pogojev uporabe.
• Kadar Naročnik uporablja lastne ključe ali račune za storitve tretjih oseb (na primer Google Cloud ali OpenAI) ali Platformo poveže s svojo banko, te tretje osebe obdelujejo podatke na podlagi svoje pogodbe z Naročnikom in niso podobdelovalci Ponudnika.

7. Prenosi zunaj EGP

• Ponudnik prenaša Osebne podatke zunaj Evropskega gospodarskega prostora le v skladu s poglavjem V GDPR - na podlagi sklepa Evropske komisije o ustreznosti (vključno z okvirom EU-ZDA za zasebnost podatkov za certificirane prejemnike), standardnih pogodbenih klavzul, ki jih je sprejela Evropska komisija, ali drugega ustreznega zaščitnega ukrepa.
• S sprejetjem DPA Naročnik daje navodilo in dovoljenje za prenose, navedene v Prilogi 3.

8. Pravice posameznikov, na katere se nanašajo podatki

• Platforma zagotavlja funkcije, s katerimi Naročnik sam obravnava zahteve posameznikov, na katere se nanašajo podatki, vključno z zahtevami za dostop, popravek, izbris in izvoz podatkov.
• Če Ponudnik prejme zahtevo neposredno od posameznika, na katerega se nanašajo podatki, jo posreduje Naročniku ali posameznika napoti na Naročnika in nanjo vsebinsko ne odgovori, razen če ga je za to pooblastil Naročnik ali če to zahteva zakon.
• Ob upoštevanju narave obdelave Ponudnik Naročniku zagotavlja razumno pomoč pri odzivanju na takšne zahteve. Pomoč, ki presega razpoložljive funkcije Platforme, se lahko zaračuna v višini razumnih stroškov.

9. Kršitve varnosti osebnih podatkov

• Ponudnik Naročnika brez nepotrebnega odlašanja obvesti, ko izve za kršitev varnosti, ki zadeva Osebne podatke.
• Obvestilo vsebuje informacije iz člena 33(3) GDPR, ki so na voljo v tistem trenutku: vrsto kršitve, kategorije in približno število zadevnih posameznikov, na katere se nanašajo podatki, in zadevnih zapisov, verjetne posledice ter sprejete ali predlagane ukrepe. Informacije se lahko posredujejo postopoma.
• Ponudnik sprejme razumne ukrepe za omilitev posledic kršitve.
• Obveščanje nadzornega organa in posameznikov, na katere se nanašajo podatki, je obveznost Naročnika kot upravljavca. Ponudnik mu zagotovi razumno pomoč z informacijami, s katerimi razpolaga.
• Obvestilo ali pomoč Ponudnika ne pomeni priznanja krivde ali odgovornosti.

10. Pomoč pri ocenah učinka

Ob upoštevanju narave obdelave in informacij, s katerimi razpolaga, Ponudnik Naročniku zagotavlja razumno pomoč pri ocenah učinka v zvezi z varstvom podatkov in pri predhodnem posvetovanju z nadzornim organom (člena 35 in 36 GDPR), predvsem z zagotavljanjem dokumentacije o Storitvi. Pomoč, ki presega razpoložljivo dokumentacijo, se lahko zaračuna v višini razumnih stroškov.

11. Vračilo in izbris podatkov

• Med trajanjem pogodbe lahko Naročnik Osebne podatke izvozi z razpoložljivimi funkcijami za izvoz. To je način vračila podatkov po členu 28(3)(g) GDPR.
• Po prenehanju pogodbe ima Naročnik v skladu z razdelkom 15.5 Pogojev uporabe 30 dni časa za izvoz podatkov. Po izteku tega roka Ponudnik v razumnem roku izbriše Osebne podatke iz svojih aktivnih sistemov.
• Podatki v varnostnih kopijah ter v okoljih za vzdrževanje in testiranje se izbrišejo ali prepišejo v okviru običajnega cikla obnavljanja teh kopij in okolij. Do takrat ostanejo zaščiteni v skladu z DPA in se aktivno ne obdelujejo.
• Obveznost izbrisa se ne uporablja za podatke, ki jih mora Ponudnik hraniti na podlagi prava Unije ali prava države članice.

12. Informacije in revizije

• Na razumno pisno zahtevo Ponudnik Naročniku da na voljo informacije, potrebne za dokazovanje skladnosti s členom 28 GDPR, vključno z DPA, opisom ukrepov iz Priloge 2, seznamom podobdelovalcev ter razpoložljivimi certifikati ali revizijskimi poročili podobdelovalcev.
• Če te informacije ne zadoščajo ali revizijo zahteva nadzorni organ, lahko Naročnik revizijo izvede sam ali prek neodvisnega revizorja, zavezanega k zaupnosti, pod naslednjimi pogoji: pisna zahteva najmanj 30 dni vnaprej; največ enkrat v 12 mesecih, razen v primeru kršitve varnosti ali na zahtevo nadzornega organa; v delovnem času in brez motenja poslovanja Ponudnika; brez dostopa do podatkov drugih Naročnikov in do izvorne kode; ob upoštevanju varnostnih pravil Ponudnika.
• Stroške revizije nosi Naročnik, vključno z razumnim nadomestilom za čas, ki ga porabi Ponudnik.
• Revizija podobdelovalcev se izvede s predložitvijo njihovih certifikatov, revizijskih poročil ali druge dokumentacije.

13. Odgovornost

• Odgovornost strank po DPA ureja razdelek 13 Pogojev uporabe, razen če kogentni predpisi določajo drugače. DPA ne omejuje pravic posameznikov, na katere se nanašajo podatki, po členu 82 GDPR.
• Naročnik Ponudniku povrne vso škodo, sankcije in stroške, ki izhajajo iz navodil Naročnika ali iz Osebnih podatkov, ki jih posreduje v nasprotju z veljavnim pravom, vključno s primeri, ko za obdelavo ni pravne podlage.

14. Trajanje in končne določbe

• DPA velja za čas veljavnosti Pogojev uporabe in dokler Ponudnik v imenu Naročnika obdeluje Osebne podatke.
• Ponudnik lahko DPA spremeni po postopku iz razdelka 20 Pogojev uporabe. Spremembe, ki so potrebne zaradi sprememb zakonodaje ali smernic nadzornega organa, lahko začnejo veljati z objavo.
• Za DPA se uporablja bolgarsko pravo. Spori se rešujejo v skladu z razdelkom 19 Pogojev uporabe.

Priloga 1. Opis obdelave

• Predmet: obdelava Osebnih podatkov pri zagotavljanju Storitve - platforme v oblaku za upravljanje gradbenih projektov.
• Trajanje: za čas veljavnosti pogodbe in do izbrisa podatkov v skladu z razdelkom 11.
• Narava in nameni: shranjevanje in gostovanje; organiziranje, strukturiranje, iskanje in prikazovanje; izračuni in generiranje dokumentov; obdelava z UI (prepoznavanje besedila, izluščanje podatkov, usklajevanje in vektorski vložki za iskanje); pošiljanje obvestil in dokumentov po e-pošti na pobudo Uporabnikov; vzdrževanje, varnost, odpravljanje napak, testiranje in izboljševanje Storitve.
• Kategorije posameznikov, na katere se nanašajo podatki: Uporabniki Naročnika (zaposleni in zastopniki); kontragenti Naročnika ter njihovi zastopniki in kontaktne osebe (stranke, dobavitelji, podizvajalci, projektanti, nadzorniki); delavci in druge osebe na gradbiščih; druge fizične osebe, katerih podatki so vsebovani v dokumentih in datotekah, ki jih naloži Naročnik.
• Kategorije osebnih podatkov: identifikacijski podatki (imena, položaj, podpis, podoba na fotografijah); kontaktni podatki (e-poštni naslov, telefonska številka, naslov); poklicni podatki (podjetje, vloga, kvalifikacije); finančni in poslovni podatki v dokumentih (računi, pogodbe, bančni računi, zneski), vključno s podatki samostojnih podjetnikov; podatki o opravljenih urah, prisotnosti in nalogah; fotografije in datoteke z gradbišč; tehnični podatki o uporabi Platforme (vnosi v revizijski dnevnik, naslov IP, čas dejanj); drugi osebni podatki, ki se jih Naročnik odloči vnesti.
• Posebne vrste podatkov: Platforma ni namenjena obdelavi posebnih vrst osebnih podatkov (člen 9 GDPR) ali podatkov v zvezi s kazenskimi obsodbami in kaznivimi dejanji (člen 10 GDPR). Naročnik takšnih podatkov ne vnaša, razen kadar je to potrebno in zakonito, in za to nosi polno odgovornost.
• Pogostost: neprekinjeno, za čas veljavnosti pogodbe.

Priloga 2. Tehnični in organizacijski ukrepi

Ponudnik izvaja najmanj naslednje ukrepe:

• Šifriranje med prenosom: ves promet do Platforme poteka prek varnega protokola HTTPS (TLS).
• Šifriranje v mirovanju: bazo podatkov in shrambo datotek v mirovanju šifrirajo ponudniki gostovanja. Ključi za zunanje storitve, ki jih vnese Naročnik, se hranijo dodatno šifrirani na ravni aplikacije (AES-256-GCM).
• Izolacija med Naročniki: logična izolacija na ravni zapisov - vsak zapis je povezan s podjetjem Naročnika in dostop je samodejno omejen nanj, samodejni pregledi kode pa zagotavljajo spoštovanje tega pravila.
• Nadzor dostopa: individualni uporabniški računi, vloge in pravice, ki jih upravlja Skrbnik računa; gesla se hranijo le v zgoščeni obliki (bcrypt).
• Zaščita pred zlorabami: omejevanje pogostosti zahtev in zaščita pred avtomatiziranimi registracijami.
• Sledljivost: revizijski dnevnik ustvarjanja, spreminjanja in brisanja zapisov.
• Razpoložljivost: redne varnostne kopije baze podatkov ter spremljanje napak in razpoložljivosti Platforme.
• Lokacija: baza podatkov in izvajalno okolje aplikacije gostujeta v EU (Irska); prepoznavanje besedila, obdelava modelov IFC in spremljanje napak se prav tako izvajajo v EU.
• Organizacijski ukrepi: dostop osebja do Osebnih podatkov le po načelu potrebe po seznanitvi, obveznosti zaupnosti in samodejni pregledi sprememb kode pred objavo.

Priloga 3. Podobdelovalci

Na dan zadnje posodobitve Ponudnik uporablja naslednje podobdelovalce:

• Vercel Inc.

  Dejavnost

  Gostovanje in izvajanje aplikacije

  Lokacija

  EU (Irska); možen dostop iz ZDA

  Podlaga za prenos

  Okvir EU-ZDA za zasebnost podatkov in/ali standardne pogodbene klavzule

• Supabase Inc.

  Dejavnost

  Gostovanje baze podatkov

  Lokacija

  EU (Irska); možen dostop iz ZDA

  Podlaga za prenos

  Standardne pogodbene klavzule

• Cloudflare, Inc.

  Dejavnost

  Shranjevanje datotek

  Lokacija

  Evropa; možen dostop iz ZDA

  Podlaga za prenos

  Okvir EU-ZDA za zasebnost podatkov in/ali standardne pogodbene klavzule

• Upstash, Inc.

  Dejavnost

  Predpomnjenje in omejevanje pogostosti zahtev

  Lokacija

  EU ali ZDA

  Podlaga za prenos

  Okvir EU-ZDA za zasebnost podatkov in/ali standardne pogodbene klavzule

• Railsware Products Studio LLC (Mailtrap)

  Dejavnost

  Pošiljanje e-pošte

  Lokacija

  ZDA

  Podlaga za prenos

  Okvir EU-ZDA za zasebnost podatkov in/ali standardne pogodbene klavzule

• Functional Software, Inc. (Sentry)

  Dejavnost

  Spremljanje napak

  Lokacija

  EU (Nemčija); možen dostop iz ZDA

  Podlaga za prenos

  Okvir EU-ZDA za zasebnost podatkov in/ali standardne pogodbene klavzule

• OpenAI

  Dejavnost

  Funkcionalnosti UI: prepoznavanje in izluščanje podatkov iz dokumentov, inteligentno iskanje in usklajevanje

  Lokacija

  ZDA

  Podlaga za prenos

  Standardne pogodbene klavzule

• Google Cloud EMEA Limited

  Dejavnost

  Prepoznavanje besedila v dokumentih (Cloud Vision) in obdelava modelov IFC (Cloud Run)

  Lokacija

  EU; možen dostop iz držav zunaj EU

  Podlaga za prenos

  Okvir EU-ZDA za zasebnost podatkov in/ali standardne pogodbene klavzule

• CompanyBook (companybook.bg)

  Dejavnost

  Poizvedbe o podjetjih po UIC

  Lokacija

  Bolgarija (EU)

  Podlaga za prenos

  Ni potrebna

Ponudnik uporablja tudi storitve, pri katerih deluje kot samostojni upravljavec - na primer Stripe za plačila naročnin, Google Analytics, Google Ads in Vercel Analytics za statistiko in oglaševanje ter Cloudflare Turnstile za zaščito pri registraciji. Te storitve so opisane v Politiki zasebnosti in Politiki piškotkov, njihovi ponudniki pa niso podobdelovalci po DPA.