1. Pogodbeni stranki in predmet
Pogodbo skleneta društvo, ki platformo uporablja (upravljavec), in 3RZ Rok Zupančič s.p., Stavča vas 1A, 8361 Dvor (obdelovalec). Velja od sprejema ob ustanovitvi društva na platformi do prenehanja uporabe in je sestavni del Pogojev uporabe. Predmet je obdelava osebnih podatkov, ki jih društvo vnese v platformo ali jih ta zanj zbere.
2. Vrsta obdelave, podatki in posamezniki
- Namen: vodenje registra članov, članarin, financ, komunikacije, koledarja aktivnosti, opravil, rezervacij in dokumentov društva.
- Posamezniki: člani, bivši člani, otroci in njihovi skrbniki, funkcionarji, plačniki računov in zunanji kupci.
- Podatki: ime, kontaktni podatki, datum rojstva, naslov, članstvo in članarine, prisotnost na aktivnostih, plačila, sporočila, priloge, opombe in drugo, kar vnese društvo.
- Posebne vrste podatkov (čl. 9): platforma ni namenjena zbiranju zdravstvenih ali drugih posebnih podatkov. Že članstvo v nekaterih društvih (verska, politična, sindikalna) razkriva posebne podatke; za podlago in vsebino prostih polj (npr. opomb) odgovarja društvo.
3. Obveznosti obdelovalca
- Podatke obdeluje samo po dokumentiranih navodilih društva (to pogodba in uporaba funkcij platforme) in za namen delovanja platforme.
- Zagotovi, da so osebe, ki imajo dostop do podatkov, zavezane k zaupnosti.
- Izvaja ustrezne varnostne ukrepe (čl. 32), opisane v razdelku 6.
- Za podizvajalce velja razdelek 4.
- Društvu v okviru možnosti pomaga pri odgovorih posameznikom (dostop, popravek, izbris, prenosljivost, ugovor) ter pri obveznostih po čl. 32–36. Zahtevo posameznika, ki se nanaša na podatke društva, posreduje društvu, ne da bi nanjo odgovoril sam.
- O kršitvi varstva podatkov obvesti društvo brez nepotrebnega odlašanja, praviloma v 48 urah po seznanitvi, z vsemi podatki, ki jih potrebuje za obvestilo nadzornemu organu (čl. 33). Obvestilo Informacijskemu pooblaščencu in posameznikom je obveznost društva.
- Ob prenehanju uporabe društvu omogoči izvoz podatkov še 30 dni — s funkcijami izvoza platforme (preglednice, dokumenti in priloge), na zahtevo pa tudi celoten izvoz v strojno berljivi obliki —, nato podatke izbriše; iz varnostnih kopij izginejo najkasneje v 12 mesecih. Podatkov, ki jih mora hraniti po zakonu, ne briše.
- Društvu da na zahtevo vse podatke, potrebne za dokazovanje skladnosti, in omogoči revizije, ki jih opravi društvo ali pooblaščenec, po predhodnem dogovoru in brez ogrožanja podatkov drugih društev.
- Če meni, da navodilo krši predpise o varstvu podatkov, o tem društvo takoj obvesti.
4. Podizvajalci
Društvo ponudniku splošno dovoljuje uporabo podizvajalcev s spodnjega seznama. O nameravani spremembi (nov podizvajalec ali zamenjava) ponudnik društvo obvesti vsaj 30 dni vnaprej po e-pošti ali v aplikaciji; društvo lahko v tem roku utemeljeno ugovarja ali uporabo preneha. Podizvajalci so vezani na enake obveznosti varstva podatkov; ponudnik odgovarja za njihovo ravnanje.
| Podizvajalec | Namen | Podatki | Država obdelave |
|---|---|---|---|
| WebiCom d.o.o. | gostovanje aplikacije, baze in datotek | vsi podatki na platformi | Slovenija |
| Resend, Inc. | pošiljanje e-pošte (obvestila, povabila, računi) | e-naslov, ime, vsebina sporočila in priponke | ZDA (pošiljanje iz EU) — standardna pogodbena določila in EU–ZDA okvir za zasebnost podatkov (DPF) |
| Amazon Web Services EMEA SARL (Amazon SES) | pošiljanje e-pošte (nadomešča Resend) | e-naslov, ime, vsebina sporočila in priponke | EU (Nemčija, Frankfurt) |
| A1 Slovenija, d. d. (mobilno omrežje); SMS prehod je naprava ponudnika | pošiljanje SMS sporočil | telefonska številka, besedilo sporočila | Slovenija |
| Ms3 d.o.o. (Lertify) | pošiljanje SMS sporočil (nadomešča lastni prehod) | telefonska številka, besedilo sporočila | Slovenija |
| Google (Gemini API) | branje slik prejetih računov pri vnosu knjižbe; le če društvo to izrecno vklopi in potrdi obvestilo, privzeto je izklopljeno | slika računa (lahko vsebuje osebne podatke) | ZDA in druge države Googlove infrastrukture — EU–ZDA okvir za zasebnost podatkov (DPF) in standardna pogodbena določila; plačljiv dostop, pri katerem Google vsebine ne uporablja za razvoj svojih storitev |
5. Prenosi v tretje države
Podatki se prenašajo zunaj Evropskega gospodarskega prostora le na podlagi sklepa o ustreznosti ali standardnih pogodbenih določil in dodatnih ukrepov, kjer so potrebni. Gostovanje in pošiljanje SMS potekata v Sloveniji, e-pošta prek Amazon SES v EU. Zunaj EGP podatke obdelujeta Resend (e-pošto pošilja iz EU, podatke hrani v ZDA) in Google pri branju računov, oba na podlagi standardnih pogodbenih določil in EU–ZDA okvira za zasebnost podatkov (DPF).
6. Tehnični in organizacijski ukrepi
- Šifriran prenos (HTTPS), gesla shranjena kot zgoščena vrednost, omejevanje poskusov prijave.
- Podatki društev so v aplikaciji logično ločeni; dostop v društvu je omejen po vlogah in pravicah, evidentirajo se spremembe pomembnih podatkov in dostopov.
- Dostop osebja ponudnika do podatkov društva (predstavitev uporabnika) je omejen na odpravljanje težav in podporo na zahtevo društva.
- Dnevne in mesečne varnostne kopije z nadzorom celovitosti (30 dni / 12 mesecev); odstranjene datoteke 30 dni v košu.
- Notranji postopek ob varnostnih incidentih (zaznava, ocena, ukrepi, evidenca kršitev) in obveščanje društev po e-pošti na naslov društva, kot določa razdelek 3.
7. Odgovornost in veljavnost
Za odgovornost veljajo določbe Pogojev uporabe in zakon. Pogodba velja, dokler ponudnik obdeluje podatke društva. Ob nasprotju med Pogoji in to pogodbo prevlada ta pogodba glede varstva osebnih podatkov. Kontakt: info@mojedrustvo.si.