Pogodba o obdelavi osebnih podatkov
Data Processing Agreement (DPA) v skladu s čl. 28 GDPR · Zadnja posodobitev: oktober 2026
1. Stranki pogodbe
- Upravljavec: naročnik storitve eFascikel (v nadaljevanju: »naročnik«)
- Obdelovalec: IT TARMAN, programska oprema in svetovanje, d.o.o., Planina pod Golico 52, 4270 Jesenice (v nadaljevanju: »ponudnik«)
2. Predmet in trajanje
Ponudnik obdeluje osebne podatke v imenu naročnika za namen zagotavljanja storitve eFascikel (izdaja računov, vodenje poslovne dokumentacije, davčno poročanje). Obdelava traja za čas veljavnosti naročnine.
3. Kategorije osebnih podatkov
- Podatki o strankah naročnika: ime, naslov, davčna, e-pošta, telefon
- Podatki o zaposlenih naročnika (če jih vnese): ime, priimek, EMŠO, davčna številka, plačni podatki
- Finančni podatki: računi, plačila, bančni izpiski
4. Obveznosti ponudnika
- Obdeluje podatke izključno po navodilih naročnika in za namen zagotavljanja storitve
- Zagotavlja zaupnost — vsi zaposleni in pogodbeni sodelavci so zavezani k zaupnosti
- Izvaja ustrezne tehnične in organizacijske ukrepe (čl. 32 GDPR)
- Ne angažira podizvajalcev brez predhodnega pisnega soglasja naročnika (seznam podizvajalcev je naveden spodaj)
- Pomaga naročniku pri izpolnjevanju obveznosti iz čl. 32–36 GDPR
- Po prenehanju pogodbe izbriše ali vrne vse osebne podatke (z izjemo zakonsko zahtevane hrambe)
5. Tehnični in organizacijski ukrepi
- Šifriranje: AES-256-GCM za občutljive podatke (EMŠO, davčne, certifikati)
- Nadzor dostopa: ločitev podatkov po najemnikih (multi-tenancy z tenantId)
- Avtentikacija: šifrirani sejni piškotki (iron-session), bcrypt gesla
- Prenos: HTTPS (TLS 1.2+), Cloudflare tunel
- Varnostno kopiranje: dnevno (02:00), 90-dnevna retencija
- Revizijska sled: dnevnik revizije za administrativne operacije
6. Podizvajalci obdelave
| Podizvajalec | Namen | Lokacija |
|---|---|---|
| Cloudflare, Inc. | CDN, DDoS zaščita, tunel | Globalno (EU SCCs) |
| Revolut Payments UAB | Obdelava plačil naročnine s kartico | EU (Litva) |
| Revolut Bank UAB (Revolut Business) | Banka ponudnika: prejem nakazil po predračunu za naročnino; ponudnik promet svojega računa bere samo za branje, da nakazilo prepozna po sklicu in znesku (ime plačnika, IBAN, sklic, namen, znesek, datum) | EU (Litva) |
| OpenRouter, Inc. | AI prehod (gateway) — usmerja vse zahteve AI asistenta (klepet, branje prejetih dokumentov, bančni izpiski, pogodbe, pravni asistent) k spodaj navedenim gostiteljem modelov, z nastavitvijo data_collection: deny | ZDA (SCCs) |
| DeepInfra, Inc. / Fireworks AI, Inc. | Gostitelja klepetalnega AI modela | ZDA (SCCs) |
| Alibaba Cloud International | Gostitelj vizualnega AI modela za branje prejetih dokumentov, bančnih izpiskov in pogodb | Singapur (SCCs) |
| TypeSafe AI, Inc. | Model odločitve Jev (prek OpenRouter) — vrača izključno tipizirane odločitve (izbira, da/ne, ocena), nikoli prostega besedila; nikoli sam ne potrdi zapisa v bazo | ZDA (SCCs) |
Podatke o plačilu naročnine eFascikel (s kartico ali z nakazilom po predračunu) ponudnik obdeluje kot upravljavec za lastno poslovanje, ne v imenu naročnika; Revolut Payments UAB in Revolut Bank UAB sta v tabeli navedena zaradi preglednosti. Katere podatke o nakazilu shranimo in koliko časa, je opisano v Politiki zasebnosti (razdelka 2 in 4).
Naročnik s sprejetjem te pogodbe soglaša z navedenimi podizvajalci. Ponudnik bo naročnika obvestil o morebitnih spremembah vsaj 30 dni vnaprej.
7. Obvestilo o kršitvi varnosti
Ponudnik bo naročnika obvestil o kršitvi varnosti osebnih podatkov v 72 urah po odkritju, v skladu s čl. 33 GDPR. Obvestilo bo vključevalo naravo kršitve, prizadete kategorije podatkov, verjetne posledice in sprejete ukrepe.
8. Izbris podatkov
Ob prenehanju naročnine ponudnik izbriše vse podatke naročnika v 30 dneh, razen:
- Računi in davčna dokumentacija: hramba 10 let (ZDDV-1, čl. 86)
- Dnevniki revizije: hramba 2 leti
9. Kontakt
Za vprašanja v zvezi z obdelavo podatkov: [email protected]