Pogodba o obdelavi podatkov

Ta dokument je objavljen v več jezikih. V primeru neskladja med jezikovnimi različicami je zavezujoča poljska različica.

Različica 2.2 · Zadnja posodobitev: 29. oktober 2026

Pogodba o obdelavi osebnih podatkov v imenu upravljavca v skladu s členom 28 Splošne uredbe o varstvu podatkov (GDPR)

med stranko storitve formexposed kot upravljavcem (v nadaljnjem besedilu: »Stranka«) in LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska, NIP (poljska davčna številka) 7252266190, kot obdelovalcem (»mi«).

Uvodne opombe: o čem govori ta Pogodba

formexposed preverja kontaktne obrazce spletnih mest glede njihove zaščite pred neželeno pošto in zlorabami, jih spremlja in poroča o spremembah. Za večino podatkov, ki pri tem nastanejo, smo upravljavec sami: za račun stranke, obračun, varnost Storitve, dnevnike in preverjanja brez računa. Naša Politika zasebnosti opisuje to obdelavo; ta Pogodba zanjo ne velja.

Nekatere funkcije pa v Storitev prinesejo osebne podatke tretjih oseb, o teh podatkih pa odloča Stranka: kopije pristnih povpraševanj obiskovalcev njene spletne strani, naslove oseb, ki prejemajo njena opozorila, prijavne podatke testnega računa, kodo, ki nam jo da v obdelavo. Te podatke obdelujemo le v imenu Stranke. Zanje velja ta Pogodba. Za katere funkcije gre podrobno, je določeno v Prilogi 1 na koncu te Pogodbe.

Pogodba sledi členu 28(3) GDPR ter je po strukturi in vsebini oblikovana po vzoru standardnih pogodbenih klavzul Evropske komisije med upravljavci in obdelovalci (Izvedbeni sklep (EU) 2021/915). Ne prevzema jih dobesedno, temveč opisuje dejansko Storitev. Kjer obveznost iz člena 28 GDPR podrobneje opredelimo, se raven varstva iz Uredbe ne sme znižati.

§ 1 Predmet, obseg in vloge

(1) Predmet te Pogodbe je obdelava osebnih podatkov, ki jo izvajamo v imenu Stranke pri zagotavljanju Storitve v skladu z našimi Pogoji uporabe. Predmet, narava in namen obdelave, vrste osebnih podatkov in kategorije posameznikov, na katere se nanašajo osebni podatki, so za vsako funkcijo določeni v Prilogi 1.

(2) Ta Pogodba ne zajema obdelave, za katero smo upravljavec sami, zlasti računa stranke in članov delovnega prostora, prijave in varnosti računa, obračuna, podpore, dnevnikov, varnostnih kopij teh naših lastnih podatkov, brezplačnega preverjanja brez računa, preverjanj domen v računu, za katere Stranka še ni predložila dokazila o nadzoru, preverjanja potencialnih strank, študije, značke in tega, kar prenašata vtičnik za WordPress in razširitev za TYPO3: dnevnih številk, popisa vtičnikov in pri povezanem vtičniku za WordPress domen povezav iz blokiranih sporočil za zaščito roja (privzeto vklopljeno). Poleg tega ti podatki zaradi načina, kako so te razširitve zgrajene, ne vsebujejo vsebine, imen, naslovov ali naslovov IP obiskovalcev. Nasprotno pa so varnostne kopije, kolikor vsebujejo Podatke stranke, in dostop do Podatkov stranke za delovanje, odpravljanje napak in varnost del obdelave v imenu Stranke; zanje veljata § 7(3) in § 15(5).

(3) Stranka je upravljavec v smislu člena 4(7) GDPR za podatke iz Priloge 1. Če Stranka sama deluje kot obdelovalec za tretjo osebo, na primer agencija za svoje kliente, smo za te podatke podobdelovalec. Stranka v tem primeru zagotovi, da je ta Pogodba združljiva z obveznostmi iz njene lastne pogodbe, in nam navodila tretje osebe posreduje le prek sebe.

(4) Sklenitev: Pogodba se sklene ob registraciji skupaj s Pogoji uporabe, z vsako Stranko, tudi če ne uporablja nobene od funkcij iz Priloge 1. Sklene se v elektronski obliki; to izpolnjuje zahteve člena 28(9) GDPR. V ta namen shranimo prikazano različico, njeno kontrolno vsoto ter čas, naslov IP in identifikator brskalnika ob sprejetju.

§ 2 Opredelitev pojmov

Izrazi, kot so »osebni podatki«, »obdelava«, »upravljavec«, »obdelovalec« in »kršitev varstva osebnih podatkov«, imajo pomen iz člena 4 GDPR. Poleg tega:

Podatki stranke pomenijo osebne podatke, ki jih obdelujemo v imenu Stranke v skladu s Prilogo 1.
Podobdelovalec pomeni nadaljnjega obdelovalca, ki ga vključimo in ki pri tem obdeluje Podatke stranke (člen 28(2) in (4) GDPR).
Delovni prostor pomeni območje v Storitvi, v katerem Stranka upravlja svoje domene, nastavitve in člane. Vsi Podatki stranke so dodeljeni delovnemu prostoru.
Besedilna oblika pomeni vsako čitljivo izjavo na trajnem nosilcu podatkov, zlasti e-poštno sporočilo.
Dnevi pomenijo koledarske dneve. Če konec roka pade na soboto, nedeljo ali državni praznik na Poljskem, se rok izteče naslednji delovni dan.

§ 3 Trajanje

(1) Pogodba velja, dokler obdelujemo Podatke stranke. Začne se z registracijo in se ne konča le zato, ker se konča plačljivi paket: po odpovedi se račun nadaljuje kot brezplačni račun, z njim pa po potrebi tudi Podatki stranke. Konča se, ko je račun izbrisan in ne hranimo več nobenih Podatkov stranke, razen v varnostnih kopijah do njihovega izteka (§ 15).

(2) Obveznosti, ki po svoji naravi učinkujejo še naprej, ostanejo v veljavi tudi po prenehanju, zlasti zaupnost, izbris, dokazovanje in odgovornost.

(3) Redna odpoved zgolj te Pogodbe je izključena, ker brez nje ne bi bilo mogoče obdelovati nobenih Podatkov stranke, dokler obstaja račun. Če jo Stranka želi končati, izbriše svoj račun (§ 15(3)). Pravice do odpovedi iz § 9(3) in § 16 ter pravice do odpovedi po Pogojih uporabe ostanejo nedotaknjene.

§ 4 Navodila

(1) Podatke stranke obdelujemo le po dokumentiranih navodilih Stranke, tudi v zvezi s prenosom v tretjo državo ali mednarodno organizacijo. To ne velja, kadar nam obdelavo nalaga pravo Unije ali pravo države članice, ki velja za nas. V tem primeru Stranko pred obdelavo obvestimo o tej pravni zahtevi, razen če to pravo takšno obveščanje prepoveduje zaradi pomembnih razlogov javnega interesa (člen 28(3), drugi stavek, točka (a) GDPR).

(2) Navodila Stranke so izčrpno dokumentirana v tej Pogodbi, v Pogojih uporabe in v nastavitvah, ki jih Stranka izvede v Storitvi. Primeri: nastavitev preverjanja dostave je navodilo za sprejem in vrednotenje kopij e-poštnih sporočil iz obrazcev; ustvarjanje cilja opozoril je navodilo za pošiljanje obvestil tja; shranjevanje testnega računa je navodilo za prijavo z njim za pregled po prijavi. Storitev je zgrajena tako, da počne le to, kar predvidevajo te nastavitve.

(3) Nadaljnja navodila Stranka daje v besedilni obliki na contact@lukaswojcik.com ali prek okna za podporo. Do dajanja navodil so upravičeni lastnik in skrbniki delovnega prostora; navodila z nastavitvami v Storitvi daje tisti, ki mu njegova vloga dovoljuje izvesti nastavitev. Ustno navodilo Stranka brez nepotrebnega odlašanja potrdi v besedilni obliki; do takrat lahko z izvedbo počakamo, razen če navodilo zadeva izbris ali omejitev podatkov. Navodilo, ki presega dogovorjeni obseg storitev, obravnavamo kot zahtevo za spremembo storitev; lahko ga zavrnemo ali ga pogojimo s plačilom, ki ga vnaprej navedemo v besedilni obliki. Iz tega razloga ne zavrnemo navodila, ki zadeva obveznost po GDPR, na primer izbris.

(4) Če po našem mnenju navodilo krši zakonodajo, o tem takoj obvestimo Stranko (člen 28(3), drugi pododstavek, GDPR). Izvedbo lahko zadržimo, dokler Stranka navodila ne potrdi ali spremeni. Navodila, ki je očitno nezakonito, ne izvedemo. Nismo dolžni opraviti celovitega pravnega pregleda vsakega navodila; odgovornost za njegovo zakonitost ostane pri Stranki.

§ 5 Omejitev namena in kaj s Podatki stranke ne počnemo

(1) Podatke stranke obdelujemo le za namene iz Priloge 1 in le v obsegu, ki ga zahteva zadevna funkcija.

(2) Podatkov stranke ne uporabljamo za lastne namene. Zlasti jih ne analiziramo za oglaševanje, jih ne prodajamo, jih ne združujemo s podatki drugih strank v profile in jih ne uporabljamo za učenje jezikovnih modelov. Jezikovni model, ki pomaga pri posameznih funkcijah, teče na našem lastnem strežniku; nič se ne pošlje zunanji storitvi UI.

(3) Stranka nam dovoljuje, da iz Podatkov stranke pripravimo zbirne številke, ki jih ni več mogoče pripisati nobeni osebi, nobeni stranki ali nobeni domeni, na primer o dostavah, napakah ali rezultatih preverjanj. Združevanje je obdelava po tej Pogodbi; nastale številke niso več osebni podatki in niso več Podatki stranke. Iz njih ne poskušamo ponovno identificirati oseb.

§ 6 Obveznosti Stranke

(1) Stranka je odgovorna za zakonitost obdelave, ki nam jo naloži. To vključuje, da ima zanjo pravno podlago in da posameznike, na katere se nanašajo osebni podatki, obvesti v skladu s členoma 13 in 14 GDPR.

(2) Če Stranka uporablja preverjanje dostave, v svoji politiki zasebnosti obvesti obiskovalce svoje spletne strani, da se nam pošlje kopija e-poštnega sporočila iz obrazca. Storitev na strani domene prikaže predlog besedila za to; nadaljnji gradniki besedila so na voljo na strani Besedilo politike zasebnosti za Vašo spletno stran. Predlog ne nadomešča lastne presoje Stranke.

(3) Za pregled po prijavi Stranka ustvari namenski testni račun, ki ima le pravice, potrebne za branje navedenih strani, in ki ne prikazuje nobenih resničnih podatkov strank, pacientov, članov ali zaposlenih. Ne shrani prijavnih podatkov resnične osebe ali prijavnih podatkov, za uporabo katerih ni pooblaščena. Pravila uporabe so določena tudi v dokumentu Sprejemljiva uporaba in zloraba.

(4) Stranka prek Storitve ne daje v obdelavo posebnih vrst osebnih podatkov (člen 9 GDPR) ali osebnih podatkov v zvezi s kazenskimi obsodbami (člen 10 GDPR), kolikor se temu lahko izogne. Pri uporabi funkcije »Fix it for me« ne prilepi kode, ki vsebuje resnične osebne podatke, portale za kliente pa ustvari le za osebe, ki so poročilo naročile.

(5) Portali za kliente: za mesečno poročilo naročnikom je upravljavec Stranka, običajno agencija. Storitev pridobi potrditev vsakega naročnika prek potrditvene povezave (dvojna privolitev, double opt-in) in v vsakem e-poštnem sporočilu ponudi odjavo. Ali privolitev zajema vsebino poročila, presodi Stranka.

(6) Če Stranka odkrije napake ali nepravilnosti pri obdelavi, nas o tem brez nepotrebnega odlašanja obvesti.

(7) Če Stranka vdela značko, to ni obdelava v njenem imenu; s tem povezano obdelavo opisuje naša Politika zasebnosti. Stranka to omeni v svoji politiki zasebnosti.

§ 7 Zaupnost

(1) Dostop do Podatkov stranke omogočimo le osebam, ki jih potrebujejo za svoje naloge in ki so se zavezale k zaupnosti ali zanje velja ustrezna zakonska obveznost zaupnosti (člen 28(3), drugi stavek, točka (b) GDPR). Zaveza velja tudi po koncu njihovega dela.

(2) Trenutno Storitev upravlja lastnik sam. Če se pridružijo nadaljnje osebe, so pred prvim dostopom zavezane k zaupnosti in poučene o ravnanju z osebnimi podatki.

(3) V delovni prostor vpogledamo le, kolikor je to potrebno za delovanje, odpravljanje napak, podporo ali preprečevanje zlorab. Funkcija podpore »ogled kot stranka« je omejena na eno uro, blokira spremembe gesla, naslova, drugega faktorja, naročnine, izvoza in izbrisa ter se beleži; Stranka dostop vidi v svojem izvozu podatkov.

§ 8 Varnost obdelave

(1) Izvajamo tehnične in organizacijske ukrepe v skladu s členom 32 GDPR, ki zagotavljajo raven varnosti, ustrezno tveganju. Opisani so na strani Tehnični in organizacijski ukrepi. Ta stran je sestavni del te Pogodbe (Priloga 2) v različici, ki je tam objavljena v posameznem trenutku. Stranka se je z opisom lahko seznanila pred sklenitvijo Pogodbe. Ali ukrepi zagotavljajo ustrezno raven varnosti za obdelavo, ki nam jo Stranka zaupa, Stranka presodi na lastno odgovornost (člen 28(1) GDPR), zlasti preden vklopi funkcijo iz Priloge 1.

(2) Stran opisuje le ukrepe, ki so bili dejansko izvedeni. Kar je načrtovano, a še ni izvedeno, je tam izrecno označeno kot »načrtovano« in ni del ukrepov, h katerim se zavezujemo, dokler ni izvedeno.

(3) Ukrepe lahko prilagajamo tehničnemu napredku in razvoju Storitve, dokler se splošna raven varstva ne zniža. Vsako spremembo objavimo z novo številko različice in datumom na strani in v pregledu Spremembe pogodbenih dokumentov. Če sprememba brez nadomestila odpravi ali oslabi prej opisani ukrep, o tem Stranko dodatno obvestimo v besedilni obliki vsaj 30 dni vnaprej; Stranka lahko nato ugovarja kot v primeru novega podobdelovalca (§ 9(3)). Če je treba ukrep zaradi odvrnitve grožnje nadomestiti v kratkem roku, se to lahko zgodi brez predhodnega obvestila, če se raven varstva zaradi tega ne zniža; obvestilo nato sledi brez nepotrebnega odlašanja.

§ 9 Podobdelovalci

(1) Stranka nam daje splošno pisno dovoljenje za vključevanje podobdelovalcev (člen 28(2) GDPR). Podobdelovalci, ki jih trenutno vključujemo, z njihovim sedežem, namenom, podatki, krajem obdelave in podlago za morebiten prenos v tretjo državo, so navedeni na strani Podobdelovalci. Ta seznam je sestavni del te Pogodbe (Priloga 3) v različici, ki je tam objavljena. Za tam navedene podobdelovalce se šteje, da je dovoljenje dano.

(2) O vsaki nameravani dodaji ali zamenjavi podobdelovalca Stranko obvestimo vsaj 30 dni vnaprej po e-pošti na naslov imetnika računa. Obvestilo navaja podobdelovalca, njegov sedež, zadevno funkcijo, podatke, kraj obdelave in podlago za morebiten prenos. Hkrati je napovedana sprememba prikazana na strani s podobdelovalci in v pregledu sprememb.

(3) Stranka lahko v teh 30 dneh v besedilni obliki ugovarja, če ima za to objektiven razlog, povezan z varstvom podatkov; razlog navede v ugovoru. Nato skupaj s Stranko poiščemo rešitev, na primer tako, da zadevno funkcijo za Stranko še naprej izvajamo brez novega podobdelovalca ali jo izklopimo. Dokler rešitev ni najdena, novega podobdelovalca za Podatke stranke te Stranke ne uporabljamo; če to tehnično ni mogoče, se zadevna funkcija za Stranko začasno ustavi. Če rešitve ni, lahko Stranka odpove pogodbo za Storitev ali za prizadeto storitev z učinkom od datuma spremembe, če pa jo šele po tem datumu obvestimo, da rešitev ni mogoča, s takojšnjim učinkom v 14 dneh od tega obvestila. Za vnaprej plačano obdobje, ki ga zaradi tega ne more več uporabljati, vrnemo sorazmerni znesek. Naša pravica do redne odpovedi po Pogojih uporabe ostane nedotaknjena.

(4) Vsakemu podobdelovalcu s pogodbo naložimo enake obveznosti glede varstva podatkov, kot jih ta Pogodba nalaga nam, zlasti zadostna jamstva za izvedbo ustreznih tehničnih in organizacijskih ukrepov (člen 28(4), prvi stavek, GDPR). Vsakega podobdelovalca skrbno izberemo in preverimo, ali ta jamstva obstajajo, preden ga vključimo, ponovno, če bistveno spremeni svoje pogoje, sicer pa ob letnem pregledu naših ukrepov. Kadar podobdelovalec dokazila predloži le v obliki certifikata, revizijskega poročila ali svojih objavljenih pogojev, naše preverjanje opremo na ta dokazila, če so aktualna in povedna. Na zahtevo Stranki pošljemo kopijo pogodbe s podobdelovalcem ali njegovih pogojev glede varstva podatkov; poslovne skrivnosti in druge zaupne informacije, na primer cene, lahko pred tem zakrijemo.

(5) Če podobdelovalec ne izpolni svojih obveznosti glede varstva podatkov, Stranki za izpolnitev njegovih obveznosti odgovarjamo kot za lastno ravnanje (člen 28(4), drugi stavek, GDPR). Naša izbira podobdelovalca ne prenaša nobene odgovornosti na Stranko. Če podobdelovalec ne izpolni svojih pogodbenih obveznosti in to zadeva Podatke stranke, Stranko o tem brez nepotrebnega odlašanja obvestimo. Če smo dejansko izginili, pravno prenehali obstajati ali postali insolventni, ne da bi naše obveznosti prevzel pravni naslednik, mora Stranka imeti možnost od podobdelovalca zahtevati izbris ali vračilo Podatkov stranke; to se z vsakim podobdelovalcem dogovorimo, kolikor to dopušča (prim. klavzulo 7.7(e) standardnih pogodbenih klavzul 2021/915).

(6) Podobdelovalci niso uporabniki, ki se jim podatki pošiljajo le zato, ker jih Stranka sama nastavi kot cilj v Storitvi: storitve za klepet (kot so Slack, Discord, Microsoft Teams, Google Chat) in naslovi webhookov za opozorila. Nastavitev cilja je navodilo, da se obvestilo pošlje tja; za pogodbeno razmerje s temi ponudniki in morebitno podlago, potrebno za prenos v tretjo državo, je odgovorna Stranka. Naše lastne obveznosti po tej Pogodbi do trenutka predaje obvestila ostanejo nedotaknjene. Telegram je prav tako cilj, ki ga izbere Stranka, vendar deluje drugače: sporočilo pošljemo prek lastnega bota v klepet, ki ga je prejemnik sam povezal z botom, Telegram pa ga obdeluje zunaj Evropskega gospodarskega prostora. Z izbiro Telegrama nam Stranka izrecno naroči, da obvestila prenesemo tja (člen 28(3), drugi stavek, točka (a) GDPR); če bi bilo treba Telegram v tem pogledu opredeliti kot našega podobdelovalca, se izbira tega cilja hkrati šteje za posebno dovoljenje v skladu s členom 28(2) GDPR za ta namen. Na kateri podlagi iz poglavja V GDPR ta prenos poteka, še ni dokončno pojasnjeno; kdor se želi izogniti prenosu brez pojasnjene podlage, izbere drug cilj. Prav tako podobdelovalci niso ponudniki storitev, ki podatke zgolj prenašajo, na primer naš ponudnik internetnih storitev.

(7) Strežnike, podatkovno zbirko in računsko zmogljivost, tudi za jezikovni model, upravljamo sami na Poljskem. Noben ponudnik gostovanja ali oblačnih storitev ni vključen.

§ 10 Prenosi v tretje države

(1) Naši lastni strežniki, na katerih obdelujemo Podatke stranke, so na Poljskem; kadar Podatke stranke obdeluje podobdelovalec, je lokacija navedena v Prilogi 3. Prenos v državo zunaj Evropskega gospodarskega prostora poteka le, če so izpolnjeni pogoji iz členov 44 do 49 GDPR, in le po navodilih Stranke v skladu s § 4 ali podobdelovalcu, dovoljenemu v skladu s § 9.

(2) Podlaga za vsakega podobdelovalca (sklep o ustreznosti, na primer sklep za okvir EU-ZDA za zasebnost podatkov pri certificiranih uporabnikih, ali standardne pogodbene klavzule v skladu s členom 46(2)(c) GDPR) je navedena na seznamu podobdelovalcev. Kadar je na seznamu pri uporabniku navedeno »treba preveriti«, se mu Podatki stranke ne pošiljajo, dokler podlaga ni dokumentirana. Če vključimo podobdelovalca zunaj Evropskega gospodarskega prostora, za katerega ne velja sklep o ustreznosti, se z njim dogovorimo o standardnih pogodbenih klavzulah v skladu z Izvedbenim sklepom (EU) 2021/914 (modul 3: od obdelovalca do obdelovalca), predhodno ocenimo, ali pravo in praksa namembne države omogočata njihovo spoštovanje, sprejmemo morebitne potrebne dodatne ukrepe in zabeležimo rezultat. Stranka na zahtevo prejme povzetek te ocene.

(3) Za prenose na cilje, ki jih izbere Stranka sama (§ 9(6)), je za podlago odgovorna Stranka.

§ 11 Pomoč pri pravicah posameznikov, na katere se nanašajo osebni podatki

(1) Ob upoštevanju narave obdelave Stranki z ustreznimi tehničnimi in organizacijskimi ukrepi, kolikor je to mogoče, pomagamo pri odzivanju na zahteve posameznikov, na katere se nanašajo osebni podatki, v skladu s poglavjem III GDPR (člen 28(3), drugi stavek, točka (e) GDPR).

(2) Veliko tega lahko Stranka v Storitvi naredi sama: spremeni ali izbriše cilje opozoril, testne prijave in lastno blagovno podobo; spremeni ali izklopi poti obrazcev; prekliče portale za kliente (njihovi naročniki ostanejo shranjeni do izbrisa delovnega prostora); odstrani domeno skupaj z njenimi podatki; prenese izvoz podatkov. Kadar to ne zadostuje, pomagamo na zahtevo v besedilni obliki.

(3) Če se na nas obrne posameznik, na katerega se nanašajo osebni podatki, z zahtevo glede Podatkov stranke, nanjo vsebinsko ne odgovorimo sami, temveč jo brez nepotrebnega odlašanja, najpozneje pa v sedmih dneh po prejemu, posredujemo Stranki, kolikor jo lahko identificiramo, in osebi sporočimo, da smo to storili. Če Stranke ne moremo identificirati, osebi sporočimo, katere informacije potrebujemo, da jo najdemo.

(4) Eno omejitev navajamo odkrito: kopij e-poštnih sporočil iz obrazcev iz preverjanja dostave ne shranjujemo v podatkovni zbirki, e-poštno sporočilo pa se po uspešni obdelavi izbriše iz poštnega predala, v primeru napake pri prevzemu ali izbrisu pa z zamikom. Glede posameznega obiskovalca lahko zato običajno povemo le, da nobene vsebine ne hranimo več.

(5) Če izvemo, da so Podatki stranke netočni ali zastareli, o tem Stranko brez nepotrebnega odlašanja obvestimo. Stranka jih lahko nato sama popravi, izbriše ali omeji v Storitvi ali z navodilom nam.

§ 12 Pomoč pri varnosti, oceni učinka in posvetovanju

(1) Ob upoštevanju narave obdelave in informacij, ki so nam na voljo, Stranki pomagamo pri izpolnjevanju njenih obveznosti iz členov 32 do 36 GDPR: varnost obdelave, uradno obveščanje o kršitvah in sporočanje kršitev, ocena učinka v zvezi z varstvom podatkov in predhodno posvetovanje z nadzornim organom (člen 28(3), drugi stavek, točka (f) GDPR).

(2) V ta namen zagotavljamo zlasti opis ukrepov, seznam podobdelovalcev in na zahtevo dodatne informacije o tokovih podatkov in obdobjih hrambe. Našo lastno oceno tveganj Storitve objavljamo v dokumentu Ocena učinka v zvezi z varstvom podatkov; Stranka jo lahko uporabi za svojo lastno oceno.

(3) Za pomoč v skladu s §§ 11 in 12, ki je Stranka ne more zagotoviti sama s funkcijami Storitve ali z objavljenimi dokumenti, ki zahteva več kot štiri ure dela na koledarsko leto in ki ni posledica naše kršitve te Pogodbe ali GDPR, lahko za čas, ki presega to mejo, zaračunamo plačilo po urni postavki, ki jo vnaprej navedemo v besedilni obliki. Posredovanje zahtev in obveščanje o kršitvah sta vedno brezplačna. Pomoči, ki jo dolgujemo po zakonu, ne pogojujemo s plačilom ali dogovorom o plačilu.

§ 13 Kršitve varstva osebnih podatkov

(1) Če se seznanimo s kršitvijo varstva osebnih podatkov, ki zadeva Podatke stranke, o tem Stranko brez nepotrebnega odlašanja, po možnosti v 48 urah, obvestimo po e-pošti na naslov imetnika računa (člen 33(2) GDPR). S tem naj se ne skrajša 72-urni rok, ki ga mora Stranka upoštevati do nadzornega organa. S kršitvijo smo seznanjeni, ko z razumno gotovostjo ugotovimo, da varnostni incident zadeva Podatke stranke; vsak sum brez nepotrebnega odlašanja raziščemo. Enako velja za kršitev pri podobdelovalcu, ko nas ta o njej obvesti.

(2) Obvestilo vsebuje, kolikor so znane, informacije iz člena 33(3) GDPR: vrsto kršitve, vključno s časom ali obdobjem, v katerem se je zgodila, po možnosti s kategorijami in približnim številom zadevnih posameznikov, na katere se nanašajo osebni podatki, in zadevnih zapisov, kontaktno točko za dodatne informacije, verjetne posledice ter sprejete ali predlagane ukrepe. Kar ob prvem obvestilu še ni ugotovljeno, sporočimo brez nadaljnjega nepotrebnega odlašanja.

(3) Takoj sprejmemo ukrepe, potrebne za odpravo kršitve in ublažitev njenih posledic, in se s Stranko dogovorimo o nadaljnjih korakih. Vsako kršitev dokumentiramo z dejstvi, njenimi učinki in sprejetimi popravnimi ukrepi ter dokumentacijo na zahtevo damo na voljo Stranki.

(4) Uradno obvestilo nadzornemu organu ali sporočilo posameznikom, na katere se nanašajo osebni podatki, poda Stranka. Mi to storimo le po njenih navodilih.

(5) Prijave varnostnih ranljivosti, ki jih tretje osebe najdejo v Storitvi, sprejemamo na strani Varnost.

(6) Obvestilo in naše sodelovanje v skladu s tem oddelkom ne pomenita priznanja kršitve dolžnosti ali odgovornosti. Če kršitev zadeva tudi podatke, za katere smo upravljavec sami, za te podatke izpolnimo svoje lastne obveznosti iz členov 33 in 34 GDPR; pri tem Podatke stranke razkrijemo le, kolikor je to za ta namen potrebno.

§ 14 Dokazila in revizije

(1) Stranki damo na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz člena 28 GDPR, ter omogočamo revizije, vključno s pregledi, ki jih izvaja Stranka ali drug revizor, ki ga ona pooblasti, in prispevamo k njim (člen 28(3), drugi stavek, točka (h) GDPR).

(2) Izpolnjevanje obveznosti dokazujemo predvsem z dokumenti: z opisom ukrepov, seznamom podobdelovalcev, Evidenco dejavnosti obdelave, ki zajema obdelavo v imenu strank (člen 30(2) GDPR), pisnimi odgovori na vprašalnike in na zahtevo z izvlečki iz dnevnikov ali iz rezultatov testa obnovitve. Na vprašalnike odgovorimo v 30 dneh po prejemu, kadar obstaja razlog iz odstavka 4, pa tako hitro, kot to zahteva ta razlog. Zunanja revizijska poročila ali certifikati trenutno ne obstajajo; to navajamo, da nihče ne bi domneval, da obstajajo.

(3) Če dokumenti ne zadostujejo, lahko Stranka zahteva revizijo, tudi na kraju samem. Redno revizijo Stranka napove vsaj 30 dni vnaprej v besedilni obliki z navedbo njenega predmeta, pričakovanega trajanja in revizorja; poteka v običajnem delovnem času na Poljskem in je načrtovana tako, da se delovanje ne moti po nepotrebnem. Redne revizije na kraju samem potekajo največ enkrat na koledarsko leto; odstavek 4 ostane nedotaknjen.

(4) Brez fiksnega čakalnega roka, če obstaja nujen razlog. V primeru kršitve varstva osebnih podatkov, kadar obstajajo konkretni znaki kršitve te Pogodbe ali GDPR in kadar revizijo zahteva nadzorni organ, ne veljata niti 30-dnevni odpovedni rok za napoved niti omejitev na eno revizijo na leto. Revizija nato poteka takoj, ko to zahteva razlog in je organizacijsko izvedljivo.

(5) Stranka lahko pooblasti revizorja, ki je zavezan k zaupnosti in ki niti ne ponuja storitve, primerljive s storitvijo formexposed, niti ne dela za takšnega ponudnika. Od revizorjev lahko zahtevamo, da ne odnašajo ali beležijo skrivnosti drugih strank, prijavnih podatkov ali varnostnih podrobnosti. Stranka in njen revizor kot zaupno obravnavata, kar med revizijo izvesta o našem delovanju, in to uporabita le za preverjanje skladnosti s to Pogodbo in GDPR; razkrijeta jo lahko pristojnemu nadzornemu organu, svetovalcem, zavezanim k zaupnosti, in kolikor to zahteva zakon. Takšni dogovori ne smejo izničiti zakonskih pravic do revizije.

(6) Vsaka stranka pogodbe nosi svoje stroške revizije. Če naš skupni napor za revizije in vprašalnike posamezne Stranke preseže osem ur na koledarsko leto, lahko za čas, ki presega to mejo, zaračunamo plačilo po urni postavki, ki jo vnaprej navedemo v besedilni obliki, vendar ne, če revizija razkrije kršitev z naše strani ali poteka iz razloga iz odstavka 4, za katerega smo odgovorni mi. Same revizije ne pogojujemo s plačilom.

(7) Pooblastila nadzornih organov ostanejo nedotaknjena. Za nas pristojni nadzorni organ je predsednik Urada za varstvo osebnih podatkov (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Obe stranki pogodbe pristojnemu nadzornemu organu na zahtevo dasta na voljo informacije v skladu s tem oddelkom, vključno z rezultati revizij.

§ 15 Izbris in vračilo

(1) Med trajanjem Pogodbe veljajo obdobja hrambe iz Priloge 1. Izvaja jih nočni postopek, ki briše po enakih nastavitvah, kot so navedene v besedilih.

(2) Izbira med vračilom in izbrisom. Po koncu obdelave Stranka odloči, ali Podatke stranke vrnemo ali izbrišemo (člen 28(3), drugi stavek, točka (g) GDPR). Vračilo poteka z izvozom podatkov, ki ga Stranka lahko sama prenese v nastavitvah kot strojno berljivo datoteko, ali z naše strani na zahtevo v besedilni obliki v 30 dneh, pri čemer zajema tudi Podatke stranke, ki niso vsebovani v izvozu, kolikor jih je mogoče vrniti (odstavek 4). Izbris poteka z odstranitvijo domene, s katero se izbrišejo njeni podatki, ali z izbrisom računa, ki ga sproži Stranka sama. Če Stranka želi tako vračilo kot izbris, najprej prenese izvoz in nato izbriše.

(3) Če Stranka ne izbere in izbriše svoj račun, to šteje kot izbira izbrisa. Ob izbrisu računa se delovni prostori, katerih edini lastnik je Stranka, takoj izbrišejo v živem sistemu skupaj z vsemi Podatki stranke. Če ima delovni prostor nadaljnje člane, preide na člana, ki mu pripada najdlje, pri čemer imajo skrbniki prednost pred bralci, in se ne izbriše; ta član s tem postane Stranka za ta delovni prostor. Kdor tega ne želi, pred izbrisom odstrani druge člane ali domene. Če pogodba za račun preneha na drug način, na primer z našo odpovedjo po Pogojih uporabe, Stranko skupaj z obvestilom o odpovedi napotimo na izvoz, ki ga Stranka lahko prenese do konca pogodbe. Najpozneje 30 dni po koncu pogodbe izbrišemo račun skupaj s Podatki stranke; to se trenutno izvaja ročno.

(4) Vnaprej povemo, česa ni mogoče vrniti: prijavni podatki za pregled po prijavi niso del izvoza, ker jih spletni strežnik ne more dešifrirati (Priloga 1, točka 5); kopije iz preverjanja dostave po obdelavi ne obstajajo več; koda iz funkcije »Fix it for me« se sploh ne shranjuje.

(5) Varnostne kopije. Podatkovna zbirka se varnostno kopira vsako noč. Vsaka varnostna kopija se izbriše po 14 dneh. Podatki stranke, izbrisani v živem sistemu, do takrat ostanejo v starejših varnostnih kopijah; posamezni zapisi se v varnostni kopiji ne brišejo selektivno, ker mora biti varnostna kopija nespremenjena slika določenega trenutka. Do izteka so varnostne kopije zaščitene enako kot podatkovna zbirka sama in se uporabljajo le za obnovitev in testiranje obnovitve; ne preiskujejo se in ne analizirajo. Če moramo obnoviti varnostno kopijo, zahteve za izbris, podane po njenem datumu, kolikor zanje vemo, ponovno izvedemo, preden Storitev znova začne delovati. Zapis torej najpozneje 14 dni po izbrisu v živem sistemu izgine tudi iz varnostnih kopij.

(6) Po trenutnem stanju nimamo obveznosti hrambe Podatkov stranke. Če nastane zakonska obveznost hrambe po pravu Unije ali poljskem pravu, zadevne podatke namesto izbrisa omejimo, jih uporabljamo le za ta namen in jih izbrišemo, ko obveznost preneha.

(7) Na zahtevo izbris potrdimo v besedilni obliki v 30 dneh, pri čemer navedemo, kaj še obstaja v skladu z odstavkoma 5 in 6 in do kdaj.

§ 16 Kršitve, začasna ustavitev in odpoved

(1) Če iz kakršnega koli razloga ne moremo izpolniti obveznosti iz te Pogodbe, o tem Stranko brez nepotrebnega odlašanja obvestimo.

(2) Če kršimo to Pogodbo ali GDPR, lahko Stranka zahteva, da obdelavo zadevnih Podatkov stranke začasno ustavimo, dokler kršitev ni odpravljena. Če kršitev traja ali je resna, lahko Stranka pogodbo za Storitev odpove iz utemeljenega razloga, zlasti če kršitve ne odpravimo v enem mesecu po obvestilu o njej ali ne upoštevamo odločitve sodišča ali nadzornega organa v zvezi z njo. Vnaprej plačane pristojbine za obdobje po koncu pogodbe vrnemo sorazmerno.

(3) Če Stranka vztraja pri navodilu, ki ga v skladu s § 4(4) štejemo za nezakonito, lahko odpovemo pogodbo za prizadeto storitev, pod pogojem, da smo Stranko o tem predhodno obvestili in ta navodila v enem mesecu ne spremeni.

(4) Po odpovedi se uporablja § 15.

§ 17 Odgovornost

(1) Za škodo, ki jo utrpi posameznik, na katerega se nanašajo osebni podatki, se uporablja člen 82 GDPR. Te odgovornosti ne omejuje nobena pogodbena omejitev odgovornosti, vključno s tisto v Pogojih uporabe.

(2) Če je stranka pogodbe posamezniku, na katerega se nanašajo osebni podatki, plačala odškodnino v skladu s členom 82 GDPR, lahko od druge stranke pogodbe zahteva povračilo dela, ki ustreza deležu odgovornosti druge stranke pogodbe za škodo (člen 82(4) in (5) GDPR). Tudi tega regresa ne omejujejo omejitve odgovornosti v Pogojih uporabe.

(3) Za vse druge zahtevke med Stranko in nami po tej Pogodbi, na primer za povračilo lastne škode ali stroškov stranke pogodbe, se uporabljajo pravila o odgovornosti iz Pogojev uporabe, kolikor to dopušča zakon. Za podobdelovalce v skladu s § 9(5) odgovarjamo kot za lastno ravnanje. Globo, ki jo nadzorni organ izreče stranki pogodbe za njeno lastno kršitev, nosi ta stranka sama.

(4) Če posameznik, na katerega se nanašajo osebni podatki, ali nadzorni organ uveljavlja zahtevek proti stranki pogodbe, ta brez nepotrebnega odlašanja obvesti drugo stranko, obe pa sodelujeta pri pojasnitvi zadeve. Nobena stranka pogodbe brez soglasja druge ne prizna zahtevka, za katerega namerava od druge uveljavljati regres; soglasja ni mogoče odreči brez objektivnega razloga.

§ 18 Kontaktna točka in pooblaščena oseba za varstvo podatkov

(1) Vprašanja o varstvu podatkov v zvezi s to Pogodbo, navodila in obvestila Stranka naslovi na contact@lukaswojcik.com ali prek okna za podporo in strani Kontakt. Naša obvestila po tej Pogodbi se pošiljajo na e-poštni naslov imetnika računa; Stranka ga sproti posodablja.

(2) Pooblaščene osebe za varstvo podatkov nismo imenovali, ker po naši oceni pogoji iz člena 37(1) GDPR niso izpolnjeni. Če se to spremeni, bomo imenovanje objavili v tej Pogodbi.

§ 19 Končne določbe

(1) Prednost. Če je določba Pogojev uporabe ali drugega dogovora v nasprotju s to Pogodbo, ima ta Pogodba prednost v vseh zadevah, ki se nanašajo na obdelavo Podatkov stranke; lastni splošni pogoji Stranke se ne uporabljajo. Spremembe in dopolnitve te Pogodbe v posameznem primeru zahtevajo besedilno obliko in se morajo nanjo izrecno sklicevati; postanejo del te Pogodbe in imajo v obsegu svojih določb prednost pred njo. Če je ta Pogodba v nasprotju z obveznimi določbami GDPR, imajo prednost te določbe.

(2) Spremembe. To Pogodbo spremenimo le iz enega od naslednjih objektivnih razlogov: sprememba zakonodaje ali njene razlage s strani sodišč in organov, tudi z novimi standardnimi pogodbenimi klavzulami Evropske komisije; sprememba Storitve, njenih funkcij ali njene tehnične osnove; sprememba pri tretji osebi, potrebna za zagotavljanje Storitve; preprečevanje zlorab ali varnostnih tveganj; ali odprava napak in nejasnosti. Spremembe z navedbo spremenjenega besedila, razloga in načrtovanega datuma napovemo vsaj 30 dni vnaprej po e-pošti na naslov imetnika računa in v pregledu sprememb. Brez tega roka spremenimo le tisto, kar je izključno v korist Stranke, je zgolj jezikovne narave ali odpravlja očitne napake, kar zakon, sodišče ali organ zahteva v krajšem roku, in kar je potrebno za odvrnitev neposredne varnostne grožnje; tudi v teh primerih spremembo sporočimo čim prej in navedemo razlog. Molk ne pomeni soglasja. Kadar sprememba zahteva soglasje Stranke, ga pridobimo izrecno; brez njega se še naprej uporablja prejšnja različica, zakonske in pogodbene pravice do odpovedi pa ostanejo. Stranka lahko napovedani spremembi do začetka njene veljavnosti ugovarja v besedilni obliki; posledice urejajo določbe Pogojev uporabe o ugovoru zoper spremembo. Spremembe Prilog 2 in 3 urejata § 8(3) ter § 9(2) in (3). Vse različice so zabeležene v pregledu Spremembe pogodbenih dokumentov.

(3) Pravo, ki se uporablja, in pristojno sodišče. Uporablja se pravo, določeno v Pogojih uporabe; obvezne določbe GDPR ostanejo nedotaknjene. Pristojno sodišče urejajo Pogoji uporabe.

(4) Jezik. Pogodba je na voljo v vseh uradnih jezikih Evropske unije. V primeru razhajanj prevlada poljska različica.

(5) Če je katera od določb neveljavna, ostane preostanek Pogodbe veljaven. Neveljavno določbo nadomesti zakonska določba, ki je njenemu namenu najbližja; v dvomu pa določba, ki izpolnjuje zahteve člena 28(3) GDPR.

Priloga 1 – Obdelava v imenu Stranke

Ta priloga za vsako funkcijo opisuje predmet, naravo in namen obdelave, vrste osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, in izbris (člen 28(3), prvi stavek, GDPR). Če ni navedeno drugače, je narava obdelave: zbiranje, shranjevanje, priklic, prilagajanje, prenos na cilje, ki jih določi Stranka, in izbris. Kraj obdelave so naši lastni strežniki na Poljskem; kadar je vključen podobdelovalec, je to navedeno. Roki v zavitih oklepajih so nastavitve, po katerih dejansko deluje nočni postopek brisanja. Trajanje obdelave je trajanje te Pogodbe (§ 3); v tem času veljajo roki izbrisa, navedeni za vsako funkcijo. Obdelava poteka neprekinjeno, dokler Stranka uporablja funkcijo. Posebne vrste osebnih podatkov niso predmet obdelave; če kljub temu prek e-poštnih sporočil iz obrazcev pridejo v Storitev, se uporablja § 6(4).

1. Preverjanje dostave

Namen: preveriti, ali e-poštna sporočila iz obrazca Stranke prispejo in ali so pristna (SPF, DKIM, DMARC).

Delovanje: funkcija je neobvezna. Stranka v svoj obrazec vnese naslov kontrolnega poštnega predala kot skrito kopijo (Bcc). Zato se nam pošlje kopija vsakega e-poštnega sporočila iz obrazca, ne le kopije naših testnih oddaj, temveč tudi kopije pristnih povpraševanj njenih obiskovalcev. Samodejni prevzem prek IMAP prebere glave in največ prvih 8 KB besedila, e-poštno sporočilo dodeli domeni in po potrebi testni oddaji ter preveri značilnosti pristnosti. Po uspešni obdelavi se e-poštno sporočilo izbriše iz poštnega predala. V primeru napake pri prevzemu ali izbrisu lahko v poštnem predalu ostane do naslednjega uspešnega izvajanja.

Podatki: vsebina in glave e-poštnih sporočil iz obrazcev z vsem, kar vnesejo obiskovalci, na primer imenom, e-poštnim naslovom, telefonsko številko in sporočilom, ter naslovi pošiljatelja in prejemnika in tehničnimi informacijami o vključenih poštnih strežnikih.

Posamezniki, na katere se nanašajo osebni podatki: obiskovalci spletne strani Stranke, ki oddajo obrazec; prejemniki e-poštnih sporočil iz obrazcev pri Stranki.

Shranjeno in izbris: v podatkovni zbirki se shranijo le čas, dodelitev domeni, po potrebi identifikator testne oddaje in rezultati preverjanja pristnosti. Čas in dodelitev se hranita 180 dni; najnovejši rezultat preverjanja pristnosti se hrani pri domeni, dokler ga ne nadomesti naslednje e-poštno sporočilo ali dokler domena ni izbrisana. Rezultat preverjanja pristnosti vsebuje naslov IP poštnega strežnika, ki je sporočilo dostavil, in domeno naslova pošiljatelja; opozorilo to domeno navede le, če ne pripada spletnemu mestu. Vsebina in polni naslovi pošiljateljev-obiskovalcev se v podatkovni zbirki ne shranjujejo. Samo e-poštno sporočilo se po uspešni obdelavi izbriše iz poštnega predala, v primeru napake pri prevzemu ali izbrisu pa z zamikom.

Vključeni: ponudnik poštnih storitev (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za poštni predal; kopije ga dosežejo neposredno prek zapisov MX naše domene, ne s posredovanjem, glejte Podobdelovalci.

Omejitev: ujemanje potrjuje le, da je ustrezna kopija prispela v kontrolni poštni predal, ne pa prejema pri dejanskem prejemniku ali vnosa v CRM. Brez kontrolnega poštnega predala funkcija ni na voljo. Kopije ne smejo vsebovati posebnih vrst osebnih podatkov (§ 6(4)).

2. Portal za kliente in mesečno poročilo naročnikom

Namen: pošiljanje mesečnega poročila o obrazcih spletnega mesta v imenu Stranke, običajno agencije njenim lastnim klientom, in zagotavljanje portala s temi poročili.

Podatki: e-poštni naslov, jezik, čas in naslov IP naročila, čas potrditve (dvojna privolitev) in odjave; vsebina poročila (domena, rezultati preverjanj, številke).

Posamezniki, na katere se nanašajo osebni podatki: klienti in kontaktne osebe Stranke, ki se naročijo na poročilo.

Izbris: nepotrjena naročila po 30 dneh. Po odjavi se zapis o naročilu, potrditvi in odjavi hrani tri leta, da lahko Stranka dokaže privolitev. Vse se izbriše najpozneje skupaj z delovnim prostorom; sam preklic portala njegovih naročnikov ne izbriše.

Vključeni: ponudnik poštnih storitev (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za pošiljanje.

3. Opozorila, poročila in incidenti

Namen: dostava opozoril, povzetkov in poročil na cilje, ki jih nastavi Stranka, in upravljanje incidentov.

Podatki: e-poštni naslovi, naslovi webhookov in klepetalnih kanalov, ID klepeta Telegram, potem ko ga je prejemnik povezal; vsebina obvestil (domena, dogodek, čas, povezava v Storitev, pri opozorilih o preverjanju povezava do poročila, prek katere so rezultati in posnetki zaslona dostopni brez prijave; Telegram namesto povezave do poročila prejme le povezavo do strani domene v računu, ki zahteva prijavo); dnevnik pošiljanja; poskusi dostave eskalacij za vsak incident in cilj (število, časi, rezultat, napaka); ime ali e-poštni naslov osebe, ki potrdi incident, ter odgovorna oseba z rokom.

Posamezniki, na katere se nanašajo osebni podatki: zaposleni in izvajalci storitev Stranke, ki prejemajo opozorila ali obravnavajo incidente.

Izbris: cilji, dokler jih Stranka ne odstrani ali ne izbriše domene; dnevnik pošiljanja po 90 dneh; zbrana obvestila 30 dni po pošiljanju; incidenti, dokler niso razrešeni, in 180 dni po razrešitvi, skupaj z njihovimi poskusi dostave eskalacij.

Vključeni: ponudnik poštnih storitev (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za e-pošto; za storitve za klepet in webhooke ponudniki, ki jih izbere Stranka (§ 9(6)).

4. Preverjanje spletnih mest Stranke: osebe, ki so slučajno vidne

Namen: preverjanje in spremljanje obrazcev in njihove zaščite na domenah Stranke, za katere je predložila dokazilo o nadzoru. Dokler dokazila za domeno ni, jo preverjamo le pasivno in smo za ta preverjanja upravljavec sami; to je opisano v Politiki zasebnosti.

Podatki: pregled prebere javne strani domene: naslove URL strani, strukturo obrazcev (imena polj, vrste, oznake, atribute obveznosti in vidnosti, brez vrednosti; začetke vnaprej izpolnjenih skritih polj in podatkovnih atributov pregledovalnik prebere le med preverjanjem in jih ne shrani), vdelane skripte, zaščitne ukrepe. Naredi posnetke zaslona vidnega dela domače strani in obrazcev, pri aktivnih testnih oddajah pa tudi strani z odzivom; ti niso zakriti. Ti posnetki in prebrana vsebina strani lahko vsebujejo osebne podatke, ki jih Stranka objavlja sama, na primer imena in kontaktne podatke kontaktnih oseb, fotografije ali ocene. Naslove prejemnikov obrazcev shranimo le kot domeno. Za vsako preverjanje Storitev ustvari poročilo pod naključno povezavo, prek katere so rezultati in posnetki zaslona dostopni brez prijave, dokler preverjanje ni izbrisano; povezava se prikaže v računu in v opozorilih (točka 3). Kdor povezavo posreduje naprej, posreduje poročilo.

Posamezniki, na katere se nanašajo osebni podatki: osebe, katerih podatki so vidni na spletnem mestu Stranke.

Izbris: rezultati preverjanj, vključno s posnetki zaslona, največ 13 mesecev; najnovejše preverjanje se hrani, dokler je domena v računu. Ob odstranitvi domene se izbrišejo podatki domene, vključno s preverjanji, ugotovitvami in posnetki zaslona.

Opomba: jezikovni model na našem lastnem strežniku pomaga razvrstiti obrazce, katerih namena pravila sama ne morejo prepoznati. Obrazci, razvrščeni na ta način, se nikoli ne oddajo in se ne upoštevajo pri oceni ali presoji. Aktivne testne oddaje (največ pet na preverjanje) vsebujejo le označena testna besedila brez osebnih podatkov.

5. Prijavni podatki testnega računa za pregled po prijavi

Namen: branje obrazcev na največ petih straneh za prijavo, ki jo določi Stranka. Le za preverjene domene, le s strani lastnikov in skrbnikov delovnega prostora, le v plačljivih paketih. Testni račun se uporablja le pri celovitem preverjanju, ne pri preverjanjih v brskalniku (točka 6).

Podatki: naslov za prijavo, uporabniško ime in geslo testnega računa, informacije o prijavnih poljih; vse, kar je temu računu vidno na prebranih straneh, kolikor zadeva strukturo obrazcev.

Posamezniki, na katere se nanašajo osebni podatki: oseba, na ime katere se vodi testni račun, če je dodeljen osebi; osebe, katerih podatki so vidni v testnem računu.

Zaščita: uporabniško ime in geslo se na spletnem strežniku šifrirata z javnim ključem strežnika za preglede in vežeta na domeno. Dešifrira ju lahko le strežnik za preglede, in sicer med pregledom; spletni strežnik, podatkovna zbirka in varnostne kopije vsebujejo le šifrirano besedilo. Prijavni podatki se nikoli ne prikažejo, nikoli ne beležijo in nikoli ne izpišejo prek vmesnika; uporabniški vmesnik prikazuje le prvi znak in dolžino uporabniškega imena. Za prijavo se nič ne odda, ne izvede se noben aktivni test in ne naredi se noben posnetek zaslona; strani za odjavo, izbris ali preklic se ne obiskujejo.

Izbris: dokler Stranka ne odstrani prijavnih podatkov ali ne izbriše domene; odstranitev prepiše šifrirano besedilo in počisti čakajoča opravila. Kopija, priložena posameznemu opravilu pregleda, se počisti po izvedbi, morebitni ostanki pa najpozneje po eni uri.

6. Poti obrazcev in preverjanja v brskalniku

Namen: ponavljajoča se preverjanja, ali nastavljeni obrazci v pravem brskalniku delujejo do trenutka pred oddajo.

Podatki: naslovi obrazcev, selektorji, predhodni kliki in koraki preverjanja, izbira brskalnika, odgovorna oseba in rok; rezultati s stanjem, tehničnimi kategorijami napak, prečiščenimi sporočili o napakah, časi in posnetkom zaslona obrazca, na katerem so vnosna polja prekrita. Osebna povezava nastane predvsem prek odgovorne osebe in prek vsebine, ki jo Stranka sama zapiše v korake ali oznake.

Posamezniki, na katere se nanašajo osebni podatki: zaposleni pri Stranki, ki so jim dodeljeni obrazci.

Izbris: konfiguracije do izbrisa domene; Stranka jih lahko posamično spremeni ali izklopi, trenutno pa jih ne more posamično odstraniti. Rezultati po 13 mesecih.

Omejitev: preverjanja v brskalniku ničesar ne oddajo. Neodvisna druga sonda je v Storitvi predvidena, vendar trenutno ni nastavljena; brez nje ni potrditve z druge lokacije. Če bo nastavljena pri tretji osebi, se uporablja § 9.

7. »Fix it for me«

Namen: vstavljanje zaščitne komponente v kodo obrazca, ki jo prilepi Stranka.

Podatki: prilepljena koda, če vsebuje osebne podatke, na primer v komentarjih, vzorčnih vrednostih ali vnaprej vpisanih naslovih.

Posamezniki, na katere se nanašajo osebni podatki: osebe, katerih podatki se pojavljajo v kodi.

Obdelava in izbris: komponento vstavi jezikovni model na našem lastnem strežniku. Koda se obdeluje le za čas trajanja zahteve in se ne shrani. Storitev deluje brez prijavnih podatkov za sisteme Stranke in na njene strežnike ničesar ne namešča.

8. Lastna blagovna podoba (white-label)

Namen: prikaz blagovne znamke Stranke v poročilih in na portalu za kliente.

Podatki: ime podjetja, spletna stran, kontaktni podatki in logotip, po potrebi ime in kontaktni podatki kontaktne osebe.

Posamezniki, na katere se nanašajo osebni podatki: kontaktne osebe Stranke.

Izbris: dokler Stranka podatkov ne spremeni ali izbriše, najpozneje skupaj z delovnim prostorom.

9. Dopolnilne številke brez osebne povezave

Neobvezne številke napak obrazcev in polj razširitve za WordPress ne vsebujejo vnosov, imen polj ali identifikatorjev obiskovalcev in se hranijo 13 mesecev. Snemalnik poti obrazcev hrani korake v brskalniku Stranke največ 15 minut; lokalni dnevni števci ostanejo na njeni spletni strani največ 14 dni. Navajamo jih tukaj, da je slika popolna; zaradi načina, kako so zgrajeni, niso Podatki stranke.

10. Zaščita obrazcev (formconfirmed)

Ta točka velja le, če Stranka vklopi zaščito obrazcev (Pogoji uporabe, točka 5.7).

Namen: ocenjevanje oddaj prek obrazcev na spletnih mestih Stranke za prepoznavanje samodejnih oddaj.

Kako deluje: Ob odprtju strani z zaščitenim obrazcem skript v brskalniku obiskovalca pridobi podpisano nalogo z našega strežnika in jo reši (računski dokaz). Ob oddaji strežnik Stranke rezultat predloži našemu vmesniku za preverjanje. Preverimo podpis, starost, enkratno uporabo in domeno kontrolnega žetona ter druge signale, kot so čas izpolnjevanja, nevidno polje-past in množične zahteve z istega skrajšanega naslova. Če Stranka vklopi preverjanje vsebine, jezikovni model oceni besedilo sporočila, ki ga pošlje strežnik Stranke. Vrne se rezultat s priporočenim dejanjem in razlogi; kaj se zgodi z oddajo, odloči Stranka. Ni piškotkov, ni shranjevanja v brskalniku in ni prstnega odtisa naprave.

Podatki: naslov IP obiskovalca ob pridobitvi naloge in ob preverjanju, naslov in domena strani, časovni podatki in čas izpolnjevanja, ali je bilo polje-past izpolnjeno, identifikator brskalnika v dnevniku spletnega strežnika; le pri vklopljenem preverjanju vsebine besedilo sporočila.

Posamezniki, na katere se nanašajo osebni podatki: obiskovalci spletnih mest Stranke, ki odprejo stran z zaščitenim obrazcem ali tak obrazec oddajo.

Shranjevanje in izbris: naslov IP se shrani le skrajšan (IPv4 brez zadnjega bajta, IPv6 prvih 48 bitov) in kot zgoščena vrednost s ključem, ki se vsak dan zamenja, za eno uro; porabljeni kontrolni žetoni največ enajst minut; izidi preverjanj brez naslova IP in brez besedila (dejanje, rezultat, razlogi, domena, kategorija preverjanja vsebine) 30 dni; dnevne številke brez osebne povezave 400 dni; dnevnik spletnega strežnika 14 dni. Besedilo sporočila se obdeluje le v delovnem pomnilniku in se ne shranjuje, ne beleži v dnevnike in ne uporablja za učenje.

Kje: na naših lastnih strežnikih na Poljskem, jezikovni model na lastni strojni opremi; dodatnih podobdelovalcev ni.

Priloga 2 – Tehnični in organizacijski ukrepi

Ukrepi so opisani na strani Tehnični in organizacijski ukrepi. Ta stran je sestavni del te Pogodbe v različici, ki je objavljena v posameznem trenutku; spremembe ureja § 8(3).

Priloga 3 – Podobdelovalci

Dovoljeni podobdelovalci so navedeni na strani Podobdelovalci. Ta stran je sestavni del te Pogodbe v različici, ki je objavljena v posameznem trenutku; spremembe urejata § 9(2) in (3).

Odprto pred zagonom: predvideni ponudnik poštnih storitev je Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Pogodba o obdelavi podatkov, ki velja za to uporabo, dejanski kraji obdelave in ustrezna podlaga za prenos morajo biti še dokumentirani. Ta različica ne potrjuje niti sklenjene pogodbe niti certificiranja v okviru za zasebnost podatkov (Data Privacy Framework).

Različica

Različica 2.2 z dne 29. oktobra 2026, ki nadomešča različico 2.1. Spremenjeno: nova točka 10 v Prilogi 1 o zaščiti obrazcev formconfirmed; velja le, če jo Stranka vklopi. Nobena druga določba se ne spremeni.

Različica 2.1 z dne 22. oktobra 2026, ki nadomešča različico 2.0. Spremenjeno: v primeru razhajanj zdaj namesto nemške prevlada poljska različica; Pogodba je na voljo v vseh uradnih jezikih Evropske unije (jezikovna klavzula). Nobena druga določba se ne spremeni.

Različica 2.0 z dne 11. oktobra 2026, ki nadomešča različico z dne 9. oktobra 2026. Spremenjeno: struktura, ki sledi členu 28(3) GDPR, s sklicevanjem na standardne pogodbene klavzule 2021/915; Priloga 1 je popolna za vsako funkcijo in zdaj vključuje prijavne podatke za pregled po prijavi, poti obrazcev in omejitve preverjanja dostave; tehnični in organizacijski ukrepi ter seznam podobdelovalcev so ločene strani in so kot Prilogi 2 in 3 sestavni del Pogodbe; izbira med vračilom in izbrisom, varnostne kopije z iztekom in ponovno izvedbo zahtev za izbris, brez fiksnega čakalnega roka za nujne revizije, odgovornost za podobdelovalce kot za lastno ravnanje.

Kako Vam lahko pomagamo?