Pogodba o obdelavi osebnih podatkov

Data Processing Agreement (DPA) v skladu s čl. 28 GDPR · Zadnja sprememba: 19. 10. 2026

1. Stranki pogodbe

• Upravljavec: naročnik storitve eFascikel (v nadaljevanju: »naročnik«)
• Obdelovalec: IT TARMAN, računalniške storitve, d. o. o., Planina pod Golico 52, 4270 Jesenice (v nadaljevanju: »ponudnik«)

2. Predmet in trajanje

Ponudnik obdeluje osebne podatke v imenu naročnika za namen zagotavljanja storitve eFascikel (izdaja računov, vodenje poslovne dokumentacije, davčno potrjevanje računov, pošiljanje e-pošte, davčno poročanje). Obdelava traja, dokler naročnik storitev uporablja (v plačljivem ali brezplačnem paketu) oziroma dokler naročnik ne zahteva izbrisa podatkov (točka 8).

3. Kategorije osebnih podatkov

• Podatki o strankah naročnika: ime, naslov, davčna, e-pošta, telefon
• Podatki o zaposlenih naročnika (če jih vnese): ime, priimek, EMŠO, davčna številka, plačni podatki
• Finančni podatki: računi, plačila, bančni izpiski
• Podatki o operaterjih in blagajnikih (pri davčnem potrjevanju računov): ime in osebna davčna številka, ki se ob potrditvi računa pošlje FURS
• Povezan e-poštni nabiralnik: e-poštni naslov povezanega Google računa (Gmail) in dostopna žetona oziroma prijavni podatki SMTP (šifrirano), dnevnik pošiljanja (prejemniki, zadeva, čas, stanje)

4. Obveznosti ponudnika

• Obdeluje podatke izključno po dokumentiranih navodilih naročnika in za namen zagotavljanja storitve. Za dokumentirana navodila štejejo ta pogodba, Splošni pogoji uporabe in naročnikova uporaba storitve; naročnik ponudnika s tem tudi splošno pooblašča, da do podatkov naročnika — vključno z zapisi uporabe AI asistenta — dostopa v obsegu, ki je potreben za zagotavljanje in vzdrževanje storitve, odpravljanje napak, pomoč uporabnikom in varnost; če meni, da je navodilo v nasprotju z GDPR ali drugimi predpisi o varstvu podatkov, naročnika o tem nemudoma obvesti
• Zagotavlja zaupnost — dostop do podatkov imajo le pooblaščene osebe, ki so zavezane k zaupnosti
• Izvaja ustrezne tehnične in organizacijske ukrepe (čl. 32 GDPR)
• Vključi le podobdelovalce iz kategorij, navedenih v točki 6, za katere mu naročnik s to pogodbo daje splošno pisno dovoljenje (čl. 28(2) GDPR), in jih zaveže k enakim obveznostim varstva podatkov
• Pomaga naročniku pri odgovarjanju na zahteve posameznikov (čl. 12–23 GDPR), predvsem z orodji storitve (vpogled, popravek, izvoz, izbris)
• Pomaga naročniku pri izpolnjevanju obveznosti iz čl. 32–36 GDPR
• Naročniku da na voljo informacije, potrebne za dokazovanje skladnosti s čl. 28 GDPR, in omogoči preglede — predvsem s pisnimi odgovori in dokumentacijo, pregled na kraju samem pa po predhodnem dogovoru
• Podatke izbriše ali vrne na pisno zahtevo naročnika, kot določa točka 8 (z izjemo zakonsko zahtevane hrambe)

Zapise o uporabi storitve (vključno z zapisi uporabe AI asistenta) ponudnik za izboljševanje storitve in za izpolnjevanje svojih zakonskih obveznosti obdeluje kot samostojni upravljavec, v obsegu, opisanem v Politiki zasebnosti; pri tem uporablja le podatke, ki so za ta namen potrebni, in vsebine naročnika ne razkriva tretjim osebam.

5. Tehnični in organizacijski ukrepi

• Šifriranje: AES-256-GCM za občutljive podatke (EMŠO, davčne, digitalna potrdila in gesla zanje, prijavni podatki SMTP, dostopna žetona povezanega Gmaila)
• Nadzor dostopa: ločitev podatkov po najemnikih (multi-tenancy z tenantId)
• Avtentikacija: šifrirani sejni piškotki (iron-session), bcrypt gesla
• Prenos: HTTPS (TLS 1.2+), Cloudflare tunel
• Varnostno kopiranje: dnevno (02:00), s hrambo kopij do 90 dni (za obnovo storitve)
• Revizijska sled: dnevnik revizije za administrativne operacije

6. Podobdelovalci

Podatke o plačilu naročnine eFascikel (s kartico ali z nakazilom po predračunu) ponudnik obdeluje kot upravljavec za lastno poslovanje, ne v imenu naročnika; Revolut Payments UAB in Revolut Bank UAB sta v tabeli navedena zaradi preglednosti. Katere podatke o nakazilu shranimo in koliko časa, je opisano v Politiki zasebnosti (razdelka 2 in 4).

Naročnik s sprejetjem te pogodbe daje splošno pisno dovoljenje za vključitev podobdelovalcev iz zgornjih kategorij. Seznam podobdelovalcev je naročniku na voljo na zahtevo; o spremembah ga obvestimo vnaprej. Naročnik lahko spremembi ugovarja pred njeno uveljavitvijo; če se o rešitvi ne dogovorimo, lahko preneha uporabljati funkcije, ki jih sprememba zadeva (npr. AI asistenta). Za prenose zunaj EGP veljajo Standardne pogodbene klavzule (SCCs) v skladu s sklepom Komisije 2021/914.

Prejemniki, ki jih določi naročnik sam, niso podizvajalci ponudnika: FURS (davčno potrjevanje računov z naročnikovim potrdilom), prejemniki e-pošte, ki jo pošlje naročnik, in naročnikov lastni e-poštni ponudnik (strežnik SMTP ali Google Gmail). Ponudnik jim podatke posreduje po navodilu naročnika in v njegovem imenu.

7. Obvestilo o kršitvi varnosti

Ponudnik bo naročnika obvestil o kršitvi varnosti osebnih podatkov v 72 urah po odkritju, v skladu s čl. 33 GDPR. Obvestilo bo vključevalo naravo kršitve, prizadete kategorije podatkov, verjetne posledice in sprejete ukrepe.

8. Hramba in izbris podatkov

Ob prenehanju plačljive naročnine (tudi ob prehodu na brezplačni paket) podatki naročnika ostanejo shranjeni. Na pisno zahtevo naročnika — po e-pošti na [email protected] ali z izbrisom uporabniškega računa v nastavitvah — ponudnik podatke izbriše ali jih vrne naročniku v razumnem roku, praviloma v 30 dneh od zahteve. Hramba do zahteve je stalno navodilo naročnika, da lahko storitev uporablja naprej in do svojih podatkov dostopa.

Ko naročnik zahteva izbris ali izbriše uporabniški račun, ponudnik podatke naročnika izbriše v 30 dneh, iz varnostnih kopij pa v 90 dneh. Izbrišejo se tudi vsi uporabniki podjetja (sodelavci, blagajniki, računovodja), naložene datoteke, zgodovina pogovorov z AI asistentom in dnevniki revizije naročnika. Izjema so podatki, ki jih ponudnik hrani kot upravljavec za lastno poslovanje: računi za naročnino eFascikel (10 let, ZDDV-1) in zapis o izbrisu (ime podjetja, čas izbrisa, število izbrisanih zapisov; 2 leti).

Dokler uporabniški račun obstaja, ponudnik dnevnike revizije hrani 2 leti, zapise o izdaji, spremembi in izbrisu računov pa 10 let po koncu leta, v katerem so nastali (ZDavP-2, 38. člen).

Podatke, ki jih mora naročnik hraniti po zakonu (npr. izdane in prejete račune ter zapise o njihovih spremembah in izbrisu 10 let po ZDDV-1 in ZDavP-2), naročnik pred izbrisom izvozi sam (Nastavitve → Podjetje → Izvoz in izbris → »Prenesi ZIP«; izvoz ne vsebuje naloženih izvirnih datotek, ki jih naročnik hrani sam); ponudnik jih zanj po izbrisu ne hrani.

9. Kontakt

Za vprašanja v zvezi z obdelavo podatkov: [email protected]

10. Omejitev odgovornosti

Za odgovornost ponudnika po tej pogodbi veljajo omejitve iz točke 5 Splošnih pogojev uporabe, v obsegu, ki ga dopuščata GDPR (zlasti čl. 82) in drug prisilni predpis.