3. Dodatek o obdelavi podatkov (DPA)

Upravljavec storitve:

• Ponudnik: Envoo d.o.o., matična št. 6195407000, davčna št. SI45695539
• Sedež: Cesta dolomitskega odreda 10c, 1000 Ljubljana, Slovenija
• Kontakt: info@relayplan.com

3.1. Predmet in trajanje

• Obdelovalec obdeluje osebne podatke v imenu Upravljavca za namen zagotavljanja Storitve RelayPlan za čas trajanja pogodbe.

3.2. Narava in namen obdelave

• Gostovanje, shranjevanje, organizacija, dostop, prenos na zahtevo Upravljavca, varnostne kopije in podpora.

3.3. Vrste podatkov in kategorije posameznikov

• Podatki zaposlenih, pogodbenikov, uporabnikov sistema (ime, kontakt, delovne ure, dodelitve ipd.), dobaviteljev in drugih, ki jih Upravljavec vnese.

3.4. Obveznosti Obdelovalca

• Obdeluje izključno skladno z dokumentiranimi navodili Upravljavca.
• Zagotavlja zaupnost oseb, vključenih v obdelavo, ter ustrezne tehnične in organizacijske ukrepe (TOM).
• Pomoč pri izpolnjevanju obveznosti Upravljavca (pravice posameznikov, varnost incidentov, DPIA).
• Po prenehanju pogodbe po izbiri Upravljavca vrne ali izbriše osebne podatke, razen če zakon zahteva hrambo.

3.5. Podizvajalci

• Obdelovalec lahko angažira podizvajalce s predhodnim obvestilom Upravljavcu. Vsi podizvajalci morajo skleniti pisne pogodbe s standardi, ki niso nižji od teh.
• Aktualni seznam v Prilogi A.

3.6. Prenosi izven EGP

• Kadar podizvajalec ali sistem pomeni prenos izven EGP, se zagotovijo ustrezni mehanizmi (npr. SCC), ocena tveganj prenosa in dodatni ukrepi, kjer so potrebni.

3.7. Varnostni incidenti

• Obdelovalec brez nepotrebnega odlašanja obvesti Upravljavca o kršitvi varnosti osebnih podatkov, navede podatke v skladu z 33. členom GDPR in sodeluje pri obvladovanju incidenta.

3.8. Revizije

• Upravljavec lahko (razumno in ob predhodnem obvestilu) zahteva informacije o skladnosti ali izvede revizijo (1× letno ali ob utemeljenem sumu), brez razkritja poslovnih skrivnosti.

Priloga A – Seznam podizvajalcev (primer):

• Stripe Payments Europe, Ltd. – obračunavanje in plačila, EGP/ZDA (SCC).
• [Hetzner Online GmbH] – gostovanje, EU/EGP.
• [Email ponudnik] – Google.
• [Analitika] – Google.

Priloga B – Tehnični in organizacijski ukrepi (TOM) (povzetek):

• Šifriranje TLS, ločevanje najemnikov, RBAC, 2FA, revizijske sledi, redne varnostne kopije, nadzor dostopov, najmanjša potrebna pooblastila, varnost posodobitev.