Pogodba o obdelavi podatkov po naročilu (AVV)

1. Pogodbeni stranki

1.1 Upravljavec je stranka, kot je navedena v glavni pogodbi, v naročilu ali v uporabniškem računu stranke (v nadaljevanju „stranka“).

1.2 Obdelovalec je družba SimpliServ GmbH, Gewerbepark West 2a, 8504 Preding, Avstrija, FN 676594t, Deželno sodišče za civilne zadeve Graz (Landesgericht für ZRS Graz), ID za DDV ATU83276107, ki jo zastopa direktor Luca Malli (v nadaljevanju „SimpliServ“).

1.3 SimpliServ stranki zagotavlja programsko opremo SimpliServ kot programsko opremo kot storitev (v nadaljevanju „glavna pogodba“: splošni pogoji poslovanja družbe SimpliServ GmbH skupaj z naročilom oz. individualno SaaS-pogodbo). Pri tem SimpliServ obdeluje osebne podatke v imenu stranke. Ta pogodba velja za vse dejavnosti, pri katerih SimpliServ, njegovi zaposleni ali podobdelovalci pridejo v stik z osebnimi podatki stranke.

2. Predmet in trajanje

2.1 SimpliServ obdeluje osebne podatke v imenu stranke z namenom zagotavljanja, delovanja in vzdrževanja programske opreme SimpliServ ter podpore stranki (podpora, nastavitev, uvoz podatkov, usposabljanje).

2.2 Pogodba velja, dokler velja glavna pogodba, in tudi po tem, dokler SimpliServ ne izbriše ali vrne vseh podatkov stranke v skladu s točko 12.

3. Vrsta, namen, vrste podatkov in posamezniki, na katere se nanašajo osebni podatki

3.1 Vrsta obdelave: zbiranje, shranjevanje, urejanje, spreminjanje, vpogled, uporaba, posredovanje (na pobudo stranke), omejitev in izbris.

3.2 Namen: delovanje funkcij, ki jih uporablja stranka, zlasti upravljanje strank in vozil, naročila in zahtevki, termini, ponudbe, računi in blagajna, plačila, skladišče in nabava, komunikacija s končnimi strankami (e-pošta, SMS, WhatsApp, telefon), razpored dela, evidentiranje delovnega časa in kadrovska dokumentacija, podpisi, analize ter funkcije, podprte z umetno inteligenco, kolikor jih stranka vklopi.

3.3 Vrste podatkov: osnovni in kontaktni podatki (ime, naslov, e-pošta, telefon, podjetje, ID za DDV); pogodbeni podatki, podatki o naročilih in vozilih (npr. registrska številka, identifikacijska številka vozila, zgodovina popravil); podatki o računih, plačilih in bančni podatki (IBAN, pooblastila SEPA, status plačil); vsebina komunikacije (sporočila, e-poštna sporočila, posnetki in prepisi klicev, kolikor so vklopljeni); podatki o zaposlenih stranke (razpored dela, delovni čas, odsotnosti, pogodbe o zaposlitvi, podatki o plačah in davkih, kolikor so evidentirani); podpisi, fotografije, dokumenti in datoteke, ki jih naloži stranka; podatki o dostopu in dnevniški podatki (uporabniški račun, naslov IP, čas, dejavnosti).

3.4 Posamezniki, na katere se nanašajo osebni podatki: končne stranke in potencialne stranke stranke, zaposleni in kandidati za zaposlitev pri stranki, dobavitelji in poslovni partnerji stranke ter njihove kontaktne osebe, uporabniki programske opreme.

3.5 Posebne vrste osebnih podatkov iz čl. 9 GDPR se ne obdelujejo načrtno. Če stranka evidentira takšne podatke (npr. bolniške odsotnosti), sama zagotovi pravno podlago.

4. Navodila

4.1 SimpliServ obdeluje podatke samo na podlagi dokumentiranih navodil stranke, razen če to od njega zahteva pravo EU ali države članice. V takem primeru SimpliServ stranko o tej zahtevi obvesti vnaprej, kolikor zakon to dopušča.

4.2 Navodila izhajajo iz te pogodbe, glavne pogodbe in nastavitev, ki jih stranka izvede v programski opremi. Posamezna navodila stranka daje v besedilni obliki (zadošča e-pošta).

4.3 Če SimpliServ meni, da je navodilo nezakonito, o tem nemudoma obvesti stranko in lahko izvedbo navodila do razjasnitve zadrži.

4.4 SimpliServ podatkov ne uporablja za lastne namene. Zlasti jih ne prodaja in jih ne uporablja za učenje modelov umetne inteligence. Dovoljene so anonimizirane statistike uporabe, ki jih ni mogoče povezati s posamezniki, za delovanje in izboljšanje programske opreme.

5. Kraj obdelave

5.1 Strežniki, podatkovne zbirke in varnostne kopije se nahajajo v Nemčiji. Posamezne storitve iz Priloge 1 lahko podatke obdelujejo tudi zunaj EU oz. EGP; zanje velja točka 5.2.

5.2 Prenos v tretjo državo se izvede samo, če so izpolnjeni pogoji iz čl. 44 in naslednjih GDPR (sklep o ustreznosti, zlasti okvir EU-US Data Privacy Framework, ali standardna pogodbena določila). Priloga 1 navaja zadevne podobdelovalce.

6. Zaupnost

6.1 Vse osebe, ki imajo pri SimpliServ dostop do podatkov, so se pisno zavezale k zaupnosti (varovanje podatkovne tajnosti po § 6 avstrijskega zakona o varstvu podatkov, DSG). Ta obveznost velja tudi po prenehanju njihovega dela.

6.2 Dostop do podatkov stranke imajo samo osebe, ki ga potrebujejo za opravljanje svojih nalog, zlasti za podporo na zahtevo stranke.

7. Tehnični in organizacijski ukrepi

7.1 SimpliServ izvaja ukrepe v skladu s čl. 32 GDPR, ki so opisani v Prilogi 2.

7.2 SimpliServ sme ukrepe prilagajati najnovejšemu tehnološkemu razvoju, dokler se raven zaščite ne zniža. Bistvene spremembe se dokumentirajo.

8. Podobdelovalci

8.1 Stranka odobri podobdelovalce, navedene v Prilogi 1. Storitve, označene kot neobvezne, se uporabljajo samo, če stranka vklopi pripadajočo funkcijo.

8.2 SimpliServ o novih ali zamenjanih podobdelovalcih obvesti najmanj 4 tedne vnaprej v besedilni obliki (po e-pošti, z obvestilom v programski opremi ali s posodobitvijo te strani). Stranka lahko v tem roku ugovarja iz utemeljenega razloga s področja varstva podatkov. Če stranki ne najdeta rešitve, lahko stranka glavno pogodbo za zadevno storitev izredno odpove.

8.3 SimpliServ vsakemu podobdelovalcu pogodbeno naloži enake obveznosti glede varstva podatkov, kot jih določa ta pogodba, in odgovarja za njihovo izpolnjevanje.

8.4 Za podobdelavo ne štejejo pomožne storitve brez dostopa do podatkov stranke (npr. telekomunikacije) ter storitve, za katere stranka sama sklene pogodbo in jih sama poveže. Za te storitve je odgovorna stranka sama.

9. Pomoč stranki

9.1 SimpliServ stranki z ustreznimi ukrepi pomaga pri obravnavi zahtev posameznikov, na katere se nanašajo osebni podatki (čl. 12 do 22 GDPR). Programska oprema v ta namen ponuja funkcije za prikaz, izvoz, popravek in izbris. Če se posameznik obrne neposredno na SimpliServ, SimpliServ zahtevo nemudoma posreduje stranki.

9.2 SimpliServ stranki pomaga pri zagotavljanju varnosti obdelave, pri uradnem obveščanju o kršitvah varstva osebnih podatkov, pri ocenah učinka v zvezi z varstvom podatkov in pri predhodnih posvetovanjih (čl. 32 do 36 GDPR).

9.3 Pomoč, ki presega funkcije programske opreme in običajne informacije, lahko SimpliServ zaračuna glede na vloženi trud, razen če izhaja iz kršitve s strani SimpliServ.

10. Kršitve varstva osebnih podatkov

10.1 SimpliServ stranko o kršitvi varstva osebnih podatkov obvesti brez nepotrebnega odlašanja, najpozneje v 24 urah po tem, ko se z njo seznani. Obvestilo vsebuje, kolikor so znani, podatke iz čl. 33(3) GDPR.

10.2 SimpliServ takoj sprejme ukrepe za zajezitev kršitve in ublažitev njenih posledic.

11. Dokazila in pregledi

11.1 SimpliServ stranki na zahtevo zagotovi informacije, potrebne za dokazovanje skladnosti s to pogodbo. Za to praviloma zadoščajo priloge, pisna pojasnila in certifikati podatkovnih centrov.

11.2 Stranka ali revizor, ki ga pooblasti in ki je zavezan k molčečnosti, sme izvajati preglede na kraju samem: ob najavi najmanj 14 dni vnaprej, med delovnim časom, brez motenja poslovanja, praviloma največ enkrat letno. Vsaka stranka sama krije svoje stroške.

12. Izbris in vračilo

12.1 Stranka lahko svoje podatke med trajanjem pogodbe kadar koli sama izvozi (npr. CSV, dokumenti PDF).

12.2 Po prenehanju glavne pogodbe SimpliServ izbriše podatke stranke v 90 dneh, razen če stranka pred tem zahteva njihovo izročitev ali zakon zahteva njihovo hrambo. Podatki v varnostnih kopijah se prepišejo z iztekom obdobja hrambe varnostnih kopij, najpozneje po nadaljnjih 90 dneh. Podatki blagajne se za zakonski rok hrambe arhivirajo na način, zaščiten pred spreminjanjem, in se izbrišejo šele po njegovem izteku.

12.3 Lastne obveznosti hrambe (npr. za račune in blagajniške podatke) stranka izpolni s pravočasnim izvozom. Na željo SimpliServ izbris potrdi v besedilni obliki.

13. Odgovornost in končne določbe

13.1 Za odgovornost se uporablja čl. 82 GDPR. Sicer veljajo pravila o odgovornosti iz glavne pogodbe.

13.2 V primeru nasprotij ima ta pogodba pri vprašanjih varstva podatkov prednost pred glavno pogodbo.

13.3 Spremembe zahtevajo besedilno obliko. Če je katera od določb neveljavna, ostale določbe ostanejo veljavne.

13.4 Uporablja se avstrijsko pravo z izključitvijo kolizijskih pravil. Pristojno sodišče je v Gradcu, kolikor to dopušča zakon.

13.5 Kontakt SimpliServ za varstvo podatkov: Luca Malli, direktor, datenschutz@simpliserv.com. Družbi SimpliServ GmbH trenutno ni treba imenovati pooblaščene osebe za varstvo podatkov.

Priloga 1: Podobdelovalci

Stranka odobri naslednje ponudnike storitev. „Vedno“ pomeni: storitev se uporablja za vsako stranko. „Neobvezno“ pomeni: storitev se uporablja samo, če stranka vklopi funkcijo.

Niso podobdelovalci

Storitve, ki jih stranka sama naroči in poveže, niso podobdelovalci SimpliServ. Mednje spadajo Stripe, Mollie in SumUp (plačila), Lexware, ZIR, VeloConnect, JTL-Wawi, WooCommerce, Shopify in Wix (vmesniki), DHL in Österreichische Post (pošiljanje), JobRad in preverjanja lizinga, pridobivanje bančnih podatkov ter Microsoft 365 (poštni predal stranke). Za te storitve stranka sklene lastno pogodbo s ponudnikom.

Lastno upravljanje

Ustvarjanje dokumentov PDF, iskanje, obvestila v realnem času, urejanje dokumentov, video termini in gostovanje e-pošte delujejo na lastnih strežnikih SimpliServ pri ponudniku Hetzner v Nemčiji.

Priloga 2: Tehnični in organizacijski ukrepi (čl. 32 GDPR)