Pogodba o obdelavi osebnih podatkov (DPA)

Zadnja posodobitev: avgust 2026 · v skladu s čl. 28 Uredbe (EU) 2016/679 (GDPR)

Na kratko. Podatki vaših strank so vaši, ne naši. Obdelujemo jih samo zato, da aplikacija dela, in samo po vaših navodilih. Ta dokument to obljubo zapiše tako, kot zahteva GDPR – potrebujete ga, če vas kdo vpraša, kdo hrani podatke vaših strank.

Ta pogodba ureja razmerje med naročnikom storitve Status200 (v nadaljevanju: upravljavec) in ponudnikom storitve Status 200, Davor Dragić s.p., Jakčeva ulica 5, 1000 Ljubljana (v nadaljevanju: obdelovalec), kadar obdelovalec v imenu upravljavca obdeluje osebne podatke fizičnih oseb (stranke salonov, zaposleni ipd.).

Pogodba stopi v veljavo z začetkom uporabe storitve in velja za čas trajanja naročnine.

1. Predmet in namen obdelave

Obdelovalec obdeluje osebne podatke izključno za namen izvajanja storitve Status200: upravljanja terminov, strank in zaposlenih ter pošiljanja opomnikov po SMS in e-pošti v imenu upravljavca.

2. Kategorije posameznikov in vrsta podatkov

  • Stranke salona: ime in priimek, telefonska številka, e-poštni naslov, zgodovina obiskov in storitev.
  • Zaposleni v salonu: ime in priimek, e-poštni naslov, telefonska številka, delovni urnik.
  • Lastnik/skrbnik računa: ime in priimek, e-poštni naslov, telefonska številka (za namen upravljanja računa).

Obdelovalec ne obdeluje posebnih kategorij osebnih podatkov (čl. 9 GDPR), razen če jih upravljavec sam vnese v prosta besedilna polja.

3. Obveznosti obdelovalca

Obdelovalec se zavezuje, da bo:

  • obdeloval podatke le po dokumentiranih navodilih upravljavca in za namen iz te pogodbe;
  • upravljavca nemudoma obvestil, če po njegovem mnenju kakšno navodilo krši GDPR ali drug predpis o varstvu podatkov;
  • upravljavca obvestil, kadar mu razkritje podatkov nalaga pravo EU ali države članice, razen če to obveščanje ta predpis prepoveduje;
  • zagotovil, da so osebe, pooblaščene za obdelavo, zavezane k zaupnosti;
  • izvajal ustrezne tehnične in organizacijske ukrepe v skladu s čl. 32 GDPR (šifriranje, nadzor dostopa, varnostne kopije);
  • upravljavcu pomagal pri izpolnjevanju obveznosti glede pravic posameznikov (čl. 15–22 GDPR);
  • po prenehanju pogodbe po izbiri upravljavca izbrisal ali vrnil vse osebne podatke;
  • upravljavcu dal na voljo vse informacije, potrebne za dokazovanje skladnosti s to pogodbo.

Dostop za podporo. Za reševanje prijavljenih težav lahko pooblaščena oseba obdelovalca začasno vstopi v upravljavčev račun in vidi iste podatke kot upravljavec sam. V aplikaciji je to označeno kot »Ogled kot«. Tak dostop je časovno omejen na eno uro, se zabeleži v dnevnik sprememb, upravljavec pa lahko o njem kadar koli zahteva izpis.

4. Obveznosti upravljavca

Upravljavec se zavezuje, da bo:

  • zagotovil ustrezno pravno podlago za zbiranje in obdelavo podatkov svojih strank;
  • posameznike obvestil o obdelavi podatkov v skladu s čl. 13 in 14 GDPR;
  • obdelovalca obveščal o vseh zahtevah posameznikov glede uveljavljanja pravic;
  • zagotovil točnost in ažurnost podatkov, ki jih vnese v sistem;
  • sam sklenil in vzdrževal razmerje s ponudnikom SMS storitev, ki ga izbere (glej 5. točko).

5. Podobdelovalci

Podobdelovalci so podjetja, ki jih obdelovalec uporablja za gostovanje in pošiljanje e-pošte. Upravljavec s to pogodbo daje splošno pisno dovoljenje za spodaj navedene podobdelovalce, s katerimi ima obdelovalec sklenjene ustrezne pogodbe po čl. 28 GDPR:

  • Cloudflare, Inc. (ZDA, z infrastrukturo tudi v EU) – gostovanje aplikacije, baza podatkov, omrežje CDN in zaščita obrazcev pred zlorabami.
  • SMTP2GO – dostava transakcijskih e-poštnih sporočil (vabila, ponastavitve gesla, obvestila).
  • Ponudniki potisnih obvestil – Google, Apple oz. Mozilla, glede na brskalnik posameznika, in samo kadar so potisna obvestila vklopljena.

SMS ponudnik ni podobdelovalec obdelovalca. Račun pri izbranem SMS ponudniku (npr. A1, BulkGate, textbee.dev) ima upravljavec sam in z njim tudi sam sklene pogodbo o obdelavi podatkov. Obdelovalec z njim nima pogodbenega razmerja, opravi pa oddajo sporočila: besedilo opomnika in telefonska številka prejemnika se do oddaje hranita v bazi obdelovalca, oddajo pa izvede strežnik obdelovalca z upravljavčevimi poverilnicami. SMS ponudnik je zato prejemnik, ki mu obdelovalec posreduje podatke po dokumentiranem navodilu upravljavca.

Obdelovalec bo upravljavca o vsaki zamenjavi podobdelovalca ali vključitvi novega obvestil vsaj 30 dni vnaprej po e-pošti. Upravljavec lahko v tem roku ugovarja; če ugovoru ni mogoče ugoditi, lahko naročnino odpove brez odpovednega roka, pri čemer mu obdelovalec vrne sorazmerni del že plačane naročnine za neizkoriščeno obdobje.

6. Mednarodni prenosi

Podatki se obdelujejo pretežno znotraj EU/EGP. Cloudflare, Inc. je družba s sedežem v ZDA, zato prenos k njej temelji na standardnih pogodbenih klavzulah (SCC, čl. 46 GDPR) – vzorčni pogodbi, ki jo je za takšne prenose potrdila Evropska komisija. Kadar obdelava pri drugem podobdelovalcu poteka zunaj EU/EGP, prenos temelji na sklepu Evropske komisije o ustreznosti (čl. 45 GDPR) ali na standardnih pogodbenih klavzulah (čl. 46 GDPR). Enako velja za dostavo potisnih obvestil, ki poteka prek strežnikov proizvajalca brskalnika zunaj EU; vsebina obvestila je pri tem šifrirana od strežnika obdelovalca do naprave posameznika.

7. Varnostni incidenti

V primeru kršitve varnosti osebnih podatkov bo obdelovalec upravljavca obvestil brez nepotrebnega odlašanja, najpozneje v 36 urah po zaznavi. Obvestilo vsebuje naravo incidenta, vrste zadevnih podatkov in sprejete ukrepe, da lahko upravljavec v svojem 72-urnem roku izpolni obveznost poročanja po čl. 33 GDPR.

8. Revizija in pregledi

Obdelovalec bo na zahtevo upravljavca predložil ustrezne dokaze o izpolnjevanju obveznosti iz te pogodbe, vključno s poročili o reviziji varnosti. Fizični nadzor je mogoč po predhodnem pisnem dogovoru.

9. Hramba in izbris po prenehanju

Izvoz podatkov (stranke v obliki CSV, koledar v obliki iCalendar oz. .ics) je upravljavcu na voljo v aplikaciji med trajanjem naročnine in še 30 dni po njenem prenehanju. Po tem roku bodo podatki trajno izbrisani, razen tistih, ki jih mora obdelovalec hraniti po zakonu.

10. Kontakt

Za vsa vprašanja v zvezi z obdelavo podatkov se obrnite na:
Status 200, Davor Dragić s.p.
Jakčeva ulica 5, 1000 Ljubljana, Slovenija
E-pošta: info@200.si
Telefon: +386 31 431 521