Pogodba o obdelavi osebnih podatkov

Ta pogodba ureja obdelavo osebnih podatkov, ki jo Dodana vrijednost d.o.o. izvaja za uporabnika storitve Puls. Sklenjena je na podlagi 28. člena Uredbe (EU) 2016/679, Splošne uredbe o varstvu podatkov, v nadaljevanju GDPR. Če Puls uporablja Vaša družba, ste upravljavec Vi, mi pa smo obdelovalec, ki podatke obdeluje po Vaših navodilih.

1. Pogodbeni stranki

Upravljavec je uporabnik storitve Puls, pravna oseba, ki je v aplikaciji odprla delovni prostor in ki odloča o namenu in sredstvih obdelave podatkov, ki jih vnaša v Puls.

Obdelovalec je Dodana vrijednost d.o.o., Ribnjak 56, 10000 Zagreb, Hrvaška, OIB 28795267248, vpisana v sodni register Trgovskega sodišča v Zagrebu. Naslov za vprašanja o varstvu podatkov je info@puls-value.com.

Obdelovalec osebne podatke obdeluje izključno za račun upravljavca in nima pravice odločati o namenih obdelave.

2. Predmet in trajanje obdelave

Predmet te pogodbe je obdelava osebnih podatkov, potrebna za zagotavljanje storitve Puls, kot je storitev opisana v Pogojih uporabe.

Obdelava traja, dokler traja naročnina na Puls. To vključuje preizkusno obdobje in obdobje, v katerem je dostop do delovnega prostora zaklenjen, uporabniški račun pa še obstaja. Po prenehanju storitve se ravna v skladu s 13. členom te pogodbe.

3. Narava in namen obdelave

Namen obdelave je zagotavljanje storitve Puls. To zajema gostovanje in obdelavo finančnih številk, uporabnikov in dokumentov upravljavca za prikaz načrta in realizacije, kazalnikov, strukture odhodkov, mesečnega komentarja in dokumenta poslovnega načrta ter za vodenje uporabniških računov, zaračunavanje naročnine in tehnično podporo.

Ko upravljavec poveže svoje poslovne knjige prek e-Računov ali naloži seznam odprtih postavk, obdelovalec iz teh odprtih postavk sestavi starostno strukturo dolgov po kupcu in dobavitelju do ravni dokumenta ter seznam kupcev, ki zamujajo s plačilom, za opomnike. Pri povezavi z e-Računi iz istih postavk sestavi tudi seznam največjih kupcev in dobaviteljev za paket za banko ter pregled obveznosti in pričakovanih prilivov, ki zapadejo v naslednjih 14 dneh, ki vsebuje seštevek po dnevu in vrsti obveznosti ter imena največjih kupcev in dobaviteljev.

Dejanja obdelave so zbiranje, beleženje, shranjevanje, vpogled, izračun, prikaz, izvoz na zahtevo uporabnika, izdelava varnostnih kopij in izbris.

Obdelovalec podatkov upravljavca ne uporablja za lastne namene, jih ne prodaja in jih ne uporablja za oblikovanje profilov.

4. Vrste osebnih podatkov

• Ime in priimek ter poslovni e-poštni naslov uporabnika delovnega prostora.
• Podatki o prijavi in zapisi o dostopu.
• Podatki o družbi in o zaračunavanju, vključno z imenom, naslovom, OIB in podatki o izdanih računih.
• Osebni podatki, ki se lahko pojavijo v opisih postavk v poslovnih knjigah, v nazivih poslovnih partnerjev in v podatku o številu zaposlenih.
• Imena največ desetih največjih kupcev in desetih največjih dobaviteljev po letu, s prometom, stanjem odprtih postavk in zapadlostjo, za tekoče in preteklo leto. Med njimi so lahko samostojni podjetniki in druge fizične osebe. Shrani se samo ime, brez šifre partnerja in brez OIB, in samo zadnji odčitek.
• Imena kupcev in dobaviteljev upravljavca z njihovimi odprtimi postavkami, iz povezave z e-Računi ali iz seznama odprtih postavk, ki ga naloži upravljavec. Med njimi so lahko samostojni podjetniki in druge fizične osebe. Shrani se samo ime, brez šifre partnerja in brez OIB, in samo zadnji odčitek.
• E-poštni naslovi kupcev, na katere uporabnik pošlje opomnik, in zapis o pošiljanju.
• Vsebina dokumentov in datotek, ki jih upravljavec naloži v Puls ali sestavi v Pulsu.
• Vprašanja, ki jih uporabnik vpiše AI-svetovalcu, in odgovori svetovalca. Pogovor vidi samo uporabnik, ki je vprašal, lahko pa vsebuje finančne podatke družbe in osebne podatke, ki jih vpiše uporabnik. Roki izbrisa so v razdelku 13.

5. Kategorije posameznikov, na katere se nanašajo osebni podatki

• Uporabniki delovnega prostora upravljavca.
• Zaposleni pri upravljavcu.
• Kupci, dobavitelji in drugi poslovni partnerji, navedeni v poslovnih knjigah.
• Osebe, navedene v dokumentih, ki jih upravljavec naloži v Puls ali sestavi v Pulsu.

6. Dokumentirana navodila

Obdelovalec obdeluje osebne podatke samo na podlagi dokumentiranih navodil upravljavca. Za navodila se štejejo ta pogodba, Pogoji uporabe in vsako dejanje, ki ga uporabnik sam sproži v aplikaciji, na primer uvoz podatkov, izdelava načrta, zahteva za komentar ali izvoz. Navodila zajemajo tudi prenos osebnih podatkov v tretjo državo ali mednarodno organizacijo, ki je dovoljen samo, če ga predvideva ta pogodba ali ga zahteva predpis Evropske unije ali Republike Hrvaške.

Če predpis Evropske unije ali predpis Republike Hrvaške obdelovalca zavezuje k obdelavi zunaj teh navodil, obdelovalec o tem obvesti upravljavca pred obdelavo, razen če ta predpis obveščanje izrecno prepoveduje.

Obdelovalec nemudoma obvesti upravljavca, če meni, da kakšno navodilo krši GDPR ali drug predpis o varstvu podatkov.

7. Zaupnost

Dostop do podatkov upravljavca imajo samo osebe, ki dostop potrebujejo za opravljanje dela. Vse take osebe so k varovanju zaupnosti zavezane s pogodbo ali z zakonsko obveznostjo, obveznost pa traja tudi po prenehanju njihovega sodelovanja.

8. Varnost obdelave po 32. členu GDPR

Obdelovalec izvaja naslednje tehnične in organizacijske ukrepe.

• Ves promet med brskalnikom in aplikacijo poteka po šifrirani povezavi (TLS).
• Podatki vsakega podjetja so ločeni tako, da en delovni prostor ne more videti podatkov drugega, pogovore z AI-svetovalcem pa vidi samo uporabnik, ki je vprašal.
• Gesla se shranjujejo v obliki, iz katere jih ni mogoče prebrati. Dostopni ključi za povezane storitve se shranjujejo šifrirano.
• Podatki se shranjujejo in obdelujejo na strežnikih v Evropski uniji.
• Podatkovna zbirka ima redne samodejne varnostne kopije in dokumentiran postopek obnove.
• Prijave in dostop do podatkov se beležijo v zapisih, ki se vodijo ločeno od teh podatkov.
• Velja načelo najmanjših pooblastil. Vsaka oseba in vsaka komponenta sistema dobi samo tista pooblastila, ki so potrebna za delo, ki ga opravlja.
• Dostop do strežnikov je omejen na pooblaščene osebe in zaščiten.
• Razvoj je ločen od produkcije in se ne dotika produkcijskih podatkov. Sistemi redno prejemajo varnostne posodobitve.

9. Podobdelovalci

Upravljavec daje splošno predhodno dovoljenje za vključitev podobdelovalcev. Seznam podobdelovalcev, ki so vključeni na dan različice te pogodbe, je v Prilogi 1.

Z vsakim podobdelovalcem obdelovalec dogovori obveznosti varstva podatkov, ki niso milejše od obveznosti iz te pogodbe, in upravljavcu odgovarja za delo podobdelovalca kot za svoje.

O nameri, da doda ali zamenja podobdelovalca, obdelovalec upravljavca obvesti najmanj 30 dni vnaprej, po e-pošti na naslov lastnika delovnega prostora in z objavo spremenjene Priloge 1 na tej strani. V tem roku lahko upravljavec vloži obrazložen ugovor. Če ugovor ostane nerešen, lahko upravljavec prekliče naročnino, preden sprememba začne veljati, dostop pa ostane aktiven do konca plačanega obdobja.

10. Prenosi zunaj Evropskega gospodarskega prostora

Podatki se obdelujejo v Evropski uniji. Prenos v tretjo državo se izvede samo k podobdelovalcem, navedenim v Prilogi 1, in samo s standardnimi pogodbenimi klavzulami Evropske komisije.

Če za kakšen prenos ti ukrepi niso več zadostni, obdelovalec prenos ustavi in o tem obvesti upravljavca.

11. Pomoč upravljavcu

Ob upoštevanju narave obdelave obdelovalec z ustreznimi tehničnimi in organizacijskimi ukrepi pomaga upravljavcu pri odgovarjanju na zahteve posameznikov, na katere se nanašajo osebni podatki, iz poglavja III GDPR, torej na zahteve za dostop, popravek, izbris, omejitev obdelave, prenosljivost in ugovor.

Če zahteva posameznika, na katerega se nanašajo osebni podatki, prispe neposredno k obdelovalcu, jo obdelovalec brez odlašanja posreduje upravljavcu in o njej ne odloča sam.

Obdelovalec pomaga upravljavcu tudi pri izpolnjevanju obveznosti iz členov od 32. do 36. GDPR, torej pri varnosti obdelave, uradnem obveščanju o kršitvi, oceni učinka v zvezi z varstvom podatkov in predhodnem posvetovanju z nadzornim organom, v obsegu, v katerem so informacije dostopne obdelovalcu.

12. Kršitev varstva osebnih podatkov

Obdelovalec upravljavca obvesti o vsaki kršitvi varstva osebnih podatkov brez nepotrebnega odlašanja, potem ko se z njo seznani, in sicer pravočasno, da lahko upravljavec izpolni svojo obveznost uradnega obvestila nadzornemu organu.

Obvestilo vsebuje opis narave kršitve, približno število prizadetih posameznikov, na katere se nanašajo osebni podatki, in zapisov, verjetne posledice, ukrepe, ki so bili sprejeti ali se predlagajo, ter kontaktno osebo pri obdelovalcu, pri kateri je mogoče dobiti dodatne informacije.

Obdelovalec vodi evidenco o kršitvah in sprejetih ukrepih ter jo na zahtevo da upravljavcu na vpogled.

13. Izbris ali vračilo podatkov

Po prenehanju storitve obdelovalec po izbiri upravljavca vrne podatke v strojno berljivi obliki ali jih izbriše, skupaj z obstoječimi kopijami.

Upravljavec svojo izbiro sporoči v roku 30 dni od prenehanja storitve. Po izteku tega roka, najpozneje pa 90 dni od prenehanja storitve, obdelovalec podatke izbriše.

Dokler uporabniški račun obstaja, podatki ostanejo shranjeni tudi takrat, ko je dostop zaklenjen zaradi izteka preizkusnega obdobja ali neplačane naročnine.

Pogovori z AI-svetovalcem ne čakajo na prenehanje storitve. Vsako sporočilo pogovora se izbriše 12 mesecev po nastanku, uporabnik pa ga lahko izbriše tudi prej. Z izbrisom uporabniškega računa se izbrišejo tudi vsi pogovori tega uporabnika, s prenehanjem dostopa do družbe pa njegovi pogovori o tej družbi.

Seznam največjih kupcev in dobaviteljev ne vodi zgodovine. Pri vsaki sinhronizaciji z e-Računi se nadomesti z novim odčitkom, izbriše pa se skupaj z drugimi podatki družbe.

Odprte postavke kupcev in dobaviteljev ne vodijo zgodovine. Vsak nov odčitek, iz povezave z e-Računi ali iz naloženega seznama, nadomesti prejšnjega, izbrišejo pa se skupaj z drugimi podatki družbe.

Izjema od izbrisa so podatki, ki jih mora obdelovalec hraniti po predpisih, predvsem izdani računi in podatki o davčnem potrjevanju računov. Te obdelovalec hrani do izteka zakonskega roka in jih ne obdeluje za noben drug namen.

Podatki v varnostnih kopijah se izbrišejo v rednem ciklu zamenjave teh kopij.

14. Revizija in nadzor

Obdelovalec da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz 28. člena GDPR, in omogoča revizije, vključno s pregledi, ki jih izvaja upravljavec ali revizor, ki ga upravljavec pooblasti.

Revizija se napove najmanj 30 dni vnaprej, izvaja se v delovnem času in na način, ki ne moti delovanja storitve. Revizija ne sme zajeti podatkov drugih uporabnikov. Stroške revizije nosi upravljavec, razen če revizija ugotovi bistveno kršitev te pogodbe.

15. Odgovornost

Odgovornost pogodbenih strank je urejena s Pogoji uporabe storitve Puls in s prisilnimi predpisi. Ta pogodba ne razširja niti ne zožuje omejitve odgovornosti iz Pogojev uporabe, razen tam, kjer GDPR določa drugače.

16. Merodajno pravo

Za to pogodbo se uporabljata pravo Republike Hrvaške in GDPR. Za spore je pristojno stvarno pristojno sodišče v Zagrebu.

17. Sprejetje, spremembe in različica

Ta pogodba se uporablja s sprejetjem Pogojev uporabe storitve Puls. Upravljavec jo sprejme ob odprtju računa s potrditvijo, ki nosi datum različice, mi pa beležimo, kdo je sprejel katero različico in kdaj. Poseben podpis ni potreben in ločenega postopka podpisovanja ni.

Nova različica te pogodbe velja od dneva objave, ki je hkrati datum različice. Upravljavca o njej obveščamo po e-pošti isti dan in z objavo na tej strani, ob prvi prijavi od tega dne pa Puls zahteva potrditev nove različice. Obveščanje o spremembi podobdelovalcev ureja razdelek 9.

Če je določba te pogodbe v nasprotju s Pogoji uporabe, se v vprašanjih obdelave osebnih podatkov uporablja ta pogodba.

Različica: 6. oktobra 2026. V tej različici je dopolnjen opis obdelave odprtih postavk kupcev in dobaviteljev (razdelki 3, 4 in 13), spremenjena sta seznama vrst podatkov in oseb (razdelka 4 in 5) in posodobljena je Priloga 1. Opis varnostnih ukrepov je zdaj splošnejši, ukrepi pa so enaki (razdelek 8). Razdelek 10 o prenosih je skrajšan. Drugo besedilo je enako kot v različici z dne 5. oktobra 2026. Nova različica sledi spremembi Pogojev uporabe, ker se oba dokumenta sprejemata skupaj.

Priloga 1. Seznam podobdelovalcev

Seznam velja na dan različice te pogodbe. Spremembe se napovedujejo v skladu z 9. členom te pogodbe.