Pogodba o obdelavi osebnih podatkov

Velja od: 18. 10. 2026

Stranki

Upravljavec: podjetje, ki na termini.si ustvari podjetje ali sklene naročnino (v nadaljevanju »podjetje«). Podatki podjetja so tisti, ki jih vpiše ob sklenitvi.

Obdelovalec: Računalniško programiranje, Gaj Škrjanc s.p., Jerova vas 32, 1290 Grosuplje, matična številka 7603886000, davčna številka 22677470 (v nadaljevanju »termini.si«).

Pogodba je sestavni del Pogojev uporabe in je sklenjena hkrati z njimi.

1. Predmet

Termini.si za podjetje zagotavlja spletno storitev za naročanje na termine. Pri tem v imenu podjetja obdeluje osebne podatke njegovih strank in zaposlenih. Ta pogodba določa, kako.

Podrobnosti obdelave so v Prilogi 1.

2. Trajanje

Pogodba velja, dokler podjetje uporablja termini.si. Po prenehanju velja točka 10.

3. Navodila podjetja

• Termini.si obdeluje osebne podatke samo po dokumentiranih navodilih podjetja. Navodila so ta pogodba in nastavitve ter dejanja, ki jih podjetje izvede v aplikaciji (npr. vnos, sprememba ali preklic termina).
• Termini.si podatkov ne uporablja za lastne namene, jih ne prodaja in jih ne posreduje tretjim osebam, razen kot določa točka 6 ali kadar to zahteva zakon. Če zakon zahteva posredovanje, termini.si o tem obvesti podjetje, razen če zakon to prepoveduje.
• Če termini.si meni, da je navodilo v nasprotju s predpisi o varstvu podatkov, na to opozori podjetje.

4. Zaupnost

Do podatkov ima dostop samo Gaj Škrjanc, in to le, kadar je potrebno za delovanje storitve, podporo ali odpravo napak. Če bo dostop dobil še kdo, ga termini.si pisno zaveže k zaupnosti.

5. Varnost

Termini.si izvaja tehnične in organizacijske ukrepe iz Priloge 2. Ukrepe lahko izboljša, ne sme pa znižati ravni zaščite.

6. Podobdelovalci

• Podjetje dovoljuje, da termini.si uporablja podobdelovalce iz Priloge 3.
• O dodajanju ali zamenjavi podobdelovalca termini.si podjetje obvesti po e-pošti najmanj 30 dni vnaprej. Podjetje lahko v tem času upravičeno ugovarja. Če se ne dogovorita, lahko podjetje naročnino odpove brez stroškov.
• Termini.si s podobdelovalci sklene pogodbe, ki jih zavezujejo k enaki ravni varstva podatkov, kot jo določa ta pogodba.
• Kadar podobdelovalec podatke prenaša izven EU, prenos temelji na sklepu Evropske komisije o ustreznosti (npr. okvir EU-ZDA za zasebnost podatkov) ali na standardnih pogodbenih klavzulah.

7. Pomoč pri pravicah posameznikov

• Če se posameznik (npr. stranka podjetja) obrne na termini.si z zahtevo glede podatkov, ki jih termini.si obdeluje za podjetje, jo termini.si brez odlašanja posreduje podjetju in je ne rešuje samostojno.
• Termini.si podjetju pomaga pri odgovoru, predvsem z izvozom, popravkom ali izbrisom podatkov. Stranke z računom lahko svoj račun izbrišejo same.

8. Kršitve varstva podatkov

• Če termini.si ugotovi kršitev varnosti, ki zadeva podatke podjetja (npr. nepooblaščen dostop ali izguba podatkov), o tem obvesti podjetje brez nepotrebnega odlašanja, najkasneje v 48 urah od ugotovitve.
• Obvestilo vsebuje, kaj se je zgodilo, katere podatke in približno koliko posameznikov zadeva, kakšne so verjetne posledice in kaj je termini.si naredil, da jih omeji.
• Podjetje se nato odloči, ali kršitev prijavi Informacijskemu pooblaščencu (rok 72 ur) in obvesti posameznike. Termini.si mu pri tem pomaga.

9. Druga pomoč in nadzor

• Termini.si podjetju na zahtevo posreduje informacije, ki jih potrebuje za dokazovanje skladnosti s to pogodbo, in pomaga pri oceni učinka na varstvo podatkov, če je ta potrebna.
• Podjetje lahko obdelavo preveri z vprašanji v pisni obliki. Pregled na kraju samem je mogoč po predhodnem dogovoru, največ enkrat letno, razen ob kršitvi. Stroške pregleda nosi podjetje.

10. Konec obdelave

Ko podjetje preneha uporabljati termini.si:

• lahko v 30 dneh zahteva izvoz svojih podatkov v obliki CSV,
• po 30 dneh termini.si podatke izbriše, razen tistih, ki jih mora hraniti po zakonu (npr. podatke za račune).

11. Obveznosti podjetja

Podjetje:

• ima za obdelavo podatkov svojih strank in zaposlenih ustrezno pravno podlago,
• stranke obvesti o obdelavi (npr. s svojo politiko zasebnosti ali s sklicem na politiko zasebnosti termini.si),
• v aplikacijo ne vpisuje posebnih vrst osebnih podatkov (npr. podatkov o zdravju), ker storitev zanje ni namenjena,
• skrbi, da dostop do zalednega dela imajo samo osebe, ki ga potrebujejo.

12. Končne določbe

Za pogodbo velja pravo Republike Slovenije. Če se pogodba in Pogoji uporabe glede varstva osebnih podatkov razlikujeta, velja ta pogodba.

Priloga 1: Podrobnosti obdelave

Priloga 2: Tehnični in organizacijski ukrepi

1. Vsa komunikacija s storitvijo je šifrirana (HTTPS/TLS).
2. Podatki so v bazi pri ponudniku Supabase v EU, šifrirani v mirovanju.
3. Dostop do podatkov v bazi je omejen s pravili na ravni vrstic: vsak uporabnik vidi samo podatke svojega podjetja oziroma svoje termine. Pravila se preverjajo s samodejnimi testi.
4. Zaposleni imajo v aplikaciji samo pravice, ki jim jih dodeli lastnik.
5. Gesla se hranijo samo v zgoščeni obliki. Prijava je mogoča z geslom ali z Google računom.
6. Povezave za upravljanje rezervacij v mailih so kriptografsko podpisane in časovno omejene.
7. Zaščita pred zlorabami: omejitev števila poskusov rezervacije in vabil.
8. Skrbniški ključi do baze so shranjeni samo na strežniku, nikoli v brskalniku ali v kodi.
9. Nepotrjene rezervacije se samodejno izbrišejo po 20 minutah. Rezervacije se 2 leti po terminu anonimizirajo. Ob izbrisu računa se osebni podatki anonimizirajo.
10. Pomembna dejanja v podjetju (npr. odstranitev zaposlenega, izbris računa) se zapišejo v dnevnik.
11. Vsaka sprememba kode gre pred objavo skozi samodejne teste.

Priloga 3: Podobdelovalci