Opomba: Zavezujoča različica te pogodbe o obdelavi osebnih podatkov je nemški izvirnik, dostopen na
/rechtliches/avv. Ta slovenski prevod je zgolj informativne narave. V primeru razhajanj prevlada nemška različica.
Pogodba o obdelavi osebnih podatkov (DPA) za Screenway
Ta različica je zavezujoča in se lahko veljavno sklene z elektronskim sprejemom v portalu za stranke (glej razdelek »Veljavnost«).
Preambula
Bergx2 GmbH upravlja platformo Screenway kot programsko opremo kot storitev (SaaS) za upravljanje digitalnih zaslonov. V okviru uporabe storitve Bergx2 GmbH obdeluje osebne podatke po naročilu stranke v smislu člena 4, točka 8, in člena 28 Uredbe (EU) 2016/679 (Splošna uredba o varstvu podatkov, GDPR). Ta pogodba podrobneje ureja obveznosti in pravice obeh pogodbenih strank v skladu s členom 28(3) GDPR.
§ 1 Predmet in trajanje obdelave
(1) Predmet. Bergx2 GmbH daje stranki na voljo platformo Screenway kot programsko opremo kot storitev. V okviru uporabe Bergx2 GmbH obdeluje osebne podatke stranke, podrobneje opisane v Prilogi 1, izključno po njenih navodilih.
(2) Trajanje. Pogodba začne veljati s sklenitvijo temeljne glavne pogodbe (pogodba o storitvi Screenway) in preneha z njenim prenehanjem. Obveznosti glede izbrisa/vračila (§ 10) in zaupnosti (§ 5, odst. 2) veljajo tudi po izteku pogodbe.
§ 2 Vrsta in namen obdelave
(1) Bergx2 GmbH obdeluje osebne podatke, opisane v Prilogi 1, za naslednje namene:
- zagotavljanje platforme Screenway kot SaaS za digitalne zaslone
- dodeljevanje lokacij zaslonov strankinim računom
- prikazovanje vsebin, ki jih je naložila stranka, na končnih napravah
- avtentikacija sodelavcev stranke ob prijavi
- zagotavljanje podpore, analize napak in spremljanja storitve
(2) Obdelava za lastne namene Bergx2 GmbH (npr. trženje, oblikovanje profilov, prodaja tretjim osebam) ne poteka.
§ 3 Vrsta osebnih podatkov in kategorije posameznikov
Konkreten seznam je v Prilogi 1. Povzetek:
- vrsta podatkov: podatki o računu, prijavni podatki, podatki o lokacijah zaslonov, vsebine, ki jih je naložila stranka (praviloma niso osebni podatki)
- kategorije posameznikov: sodelavci strank (za prijavo in dodelitev računov)
V standardnem delovanju Screenwaya se posebne vrste osebnih podatkov v smislu člena 9 GDPR ne obdelujejo. Če stranka takšne podatke kljub temu naloži, se to zgodi zunaj kategorij, ki jih ureja ta pogodba, in na lastno odgovornost stranke.
§ 4 Obveznosti in pravice upravljavca (stranke)
(1) Pravica do navodil. Stranka ostaja odgovorna za zakonitost obdelave (člen 24 GDPR). Bergx2 GmbH obdeluje podatke izključno po dokumentiranih navodilih stranke. Ta pogodba velja kot splošno navodilo; posamezna navodila so mogoča prek komunikacijskih kanalov, opredeljenih v pogodbi o storitvi.
(2) Evidentiranje. Bergx2 GmbH dokumentira postopke, pomembne za navodila, v interni revizijski sledi sistema ISMS (zgodovina zahtevkov za spremembe, register incidentov, register dobaviteljev).
(3) Obveznosti obveščanja. Stranka je dolžna posameznike (svoje sodelavce) v skladu s členom 13 GDPR obvestiti o obdelavi podatkov s strani Bergx2 GmbH.
§ 5 Obveznosti obdelovalca (Bergx2 GmbH)
(1) Vezanost na navodila. Bergx2 GmbH obdeluje podatke izključno po dokumentiranih navodilih stranke. Če je navodilo po mnenju Bergx2 GmbH nezakonito, bo Bergx2 GmbH stranko o tem nemudoma obvestila (člen 28(3), točka h, GDPR).
(2) Zaupnost. Bergx2 GmbH vse osebe, ki sodelujejo pri obdelavi, pred začetkom dela zaveže k zaupnosti (člen 28(3), točka b, GDPR). To poteka z izjavami o zaupnosti (NDA) ob zaposlitvi oziroma naročilu in je dokumentirano v sistemu ISMS podjetja Bergx2 (register zaposlenih).
(3) Tehnični in organizacijski ukrepi. Bergx2 GmbH izvaja ukrepe, opisane v Prilogi 2, ki ustrezajo stanju tehnike in zagotavljajo raven zaščite, primerno tveganju (člen 32 GDPR).
(4) Podobdelovalci. Bergx2 GmbH uporablja podobdelovalce, navedene v Prilogi 3. Pogoji in mehanizem sprememb so v § 6.
(5) Podpora. Bergx2 GmbH podpira stranko pri izpolnjevanju njenih obveznosti po členih 32–36 GDPR, zlasti pri odgovarjanju na zahteve posameznikov (§ 7) in pri obveščanju o kršitvah varstva podatkov (§ 8).
(6) Dokazila. Bergx2 GmbH da stranki na zahtevo na voljo informacije in dokumentacijo, potrebne za preverjanje (člen 28(3), točka h, GDPR). Nadaljnji načini revizije so v § 9.
§ 6 Podobdelovalci
(1) Odobritev. S sklenitvijo te pogodbe stranka na splošno odobri uporabo podobdelovalcev, navedenih v Prilogi 3 (člen 28(2), prvi stavek, GDPR).
(2) Obvestilo o spremembah. Bergx2 GmbH stranko o nameravanih spremembah seznama podobdelovalcev (dodajanje ali zamenjava) obvesti najmanj 30 dni pred začetkom veljavnosti v besedilni obliki (e-pošta na kontaktni naslov za varstvo podatkov, naveden v pogodbi o storitvi).
(3) Pravica do ugovora. Stranka lahko spremembi iz utemeljenih razlogov ugovarja v 30-dnevnem roku. V primeru ugovora Bergx2 GmbH s stranko išče sporazumno rešitev; če ta ne uspe, ima stranka pravico do izredne odpovedi pogodbe o storitvi.
(4) Zaveza. Bergx2 GmbH vsakega podobdelovalca s svoje strani pogodbeno zaveže k obveznostim, dogovorjenim v tej pogodbi (člen 28(4) GDPR).
§ 7 Sodelovanje pri pravicah posameznikov
Bergx2 GmbH stranko, kolikor je mogoče, z ustreznimi tehničnimi in organizacijskimi ukrepi podpira pri izpolnjevanju pravic posameznikov iz poglavja III GDPR (dostop, popravek, izbris, omejitev, prenosljivost podatkov, ugovor).
Konkretno: Bergx2 GmbH zahteve, ki jih posamezniki naslovijo neposredno na Bergx2 GmbH, nemudoma posreduje stranki in ji da možnost odgovora. Bergx2 GmbH sama odgovori le na izrecno navodilo stranke.
§ 8 Obveščanje o kršitvah varstva podatkov
(1) Bergx2 GmbH stranko nemudoma, najpozneje v 24 urah po seznanitvi, obvesti o vsaki ugotovljeni kršitvi varstva podatkov na področju odgovornosti Bergx2 GmbH ali podobdelovalca, ki zadeva osebne podatke stranke.
(2) Obvestilo se pošlje pisno (e-pošta na strankin kontaktni naslov za varstvo podatkov) in vsebuje minimalne navedbe iz člena 33(3) GDPR (vrsta in obseg kršitve, število prizadetih, verjetne posledice, sprejeti protiukrepi).
(3) Bergx2 GmbH lastne kršitve varstva podatkov interno dokumentira v
registru incidentov (glej incidents/incidents.md sistema ISMS podjetja
Bergx2, postopek v skladu z
documents/verfahren/incident-management-verfahren.md).
(4) Obveznost obveščanja pristojnega nadzornega organa po členu 33 GDPR in po potrebi posameznikov po členu 34 GDPR ostaja pri stranki kot upravljavcu. Bergx2 GmbH stranko pri teh obvestilih podpira z vsemi potrebnimi informacijami.
§ 9 Pravice do revizije in nadzora
(1) Dokazila. Bergx2 GmbH da stranki na zahtevo na voljo informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz te pogodbe, zlasti vsakokrat veljavno različico tehničnih in organizacijskih ukrepov (Priloga 2) in seznama podobdelovalcev (Priloga 3) ter po potrebi izvlečke iz certifikatov.
(2) Nadzor na kraju samem. Stranka ima pravico, da se o spoštovanju tehničnih in organizacijskih ukrepov prepriča na kraju samem na sedežu Bergx2 GmbH ali na lokacijah obdelave. Termine je treba pisno napovedati najmanj štiri tedne vnaprej; nadzori morajo biti omejeni na potrebno mero in ne smejo nesorazmerno motiti poslovanja. Največ en nadzor na koledarsko leto, razen ob utemeljenem razlogu.
(3) Priznavanje certifikatov. Če je Bergx2 GmbH certificirana po ISO/IEC 27001:2022 (certificiranje v pripravi) ali predloži enakovredne neodvisne preglede tretjih oseb, to nadomesti strankin nadzor na kraju samem, če področje uporabe certifikata zajema predmet pogodbe.
§ 10 Izbris in vračilo po prenehanju pogodbe
(1) Ob prenehanju pogodbe o storitvi bo Bergx2 GmbH — po izbiri stranke — z osebnimi podatki ravnala na enega od naslednjih načinov:
- popolno vračilo (izvoz v strukturirani, splošno uporabljani in strojno berljivi obliki) ali
- popoln izbris (varno prepisovanje v skladu s stanjem tehnike), in
sicer v 30 dneh po prenehanju pogodbe.
(2) Varnostne kopije, ki vsebujejo osebne podatke, se v skladu s Prilogo 2 (tehnični in organizacijski ukrepi, življenjski cikel varnostnih kopij) zaradi rotacije najpozneje po petih tednih v celoti prepišejo. Bergx2 GmbH končni izbris na zahtevo pisno dokumentira.
(3) Zakonske obveznosti hrambe ostajajo nespremenjene (npr. obračunski podatki po § 257 nemškega trgovinskega zakonika (HGB) in § 147 nemškega davčnega zakonika (AO)).
§ 11 Odgovornost in končne določbe
(1) Odgovornost. Veljajo določbe glavne pogodbe (pogodba o storitvi Screenway) in člen 82 GDPR. Pri kršitvi te pogodbe vsakokrat odgovorna stranka odgovarja posamezniku.
(2) Pisna oblika. Spremembe in dopolnitve zahtevajo besedilno obliko.
(3) Salvatorična klavzula. Če bi bile posamezne določbe neveljavne, veljavnost ostalih ostane nespremenjena.
(4) Veljavno pravo in sodna pristojnost. Velja nemško pravo z izključitvijo Konvencije ZN o pogodbah o mednarodni prodaji blaga. Sodna pristojnost je München.
Priloga 1: Opis obdelave
| Kategorija | Vsebina |
|---|---|
| Predmet | Zagotavljanje platforme SaaS Screenway, vključno z gostovanjem, prenosom podatkov, avtentikacijo in upravljanjem prikaza |
| Trajanje | Aktivno trajanje pogodbe + 30 dni prehodnega obdobja za izvoz/izbris |
| Vrsta obdelave | Zbiranje, zajemanje, shranjevanje, spreminjanje, poizvedovanje, prikazovanje, prenašanje, izbris |
| Namen | Izvajanje pogodbeno dogovorjene storitve Screenway |
| Posamezniki | Sodelavci stranke, ki jim je dodeljen prijavni/upravljalski dostop do Screenwaya |
| Kategorije podatkov | Podatki o računu (ime, službeni e-naslov, vloga), prijavni podatki (zgoščena vrednost gesla, sejni piškotki, IP-naslov), podatki o lokacijah zaslonov (oznaka, po potrebi naslov lokacije), vsebine, ki jih je naložila stranka (praviloma niso osebni podatki — trženjsko gradivo, obvestila itd.) |
| Posebne vrste podatkov (člen 9 GDPR) | V standardnem delovanju se ne obdelujejo |
| Regija gostovanja | Izključno Evropska unija — Hetzner Nürnberg (primarno) + Hetzner Helsinki (zrcalna varnostna kopija) |
| Prenos v tretje države | Ni ga |
Priloga 2: Tehnični in organizacijski ukrepi (TOM)
Naslednji ukrepi ustrezajo členu 32 GDPR in so kategorizirani tako, kot to določajo nadzorni organi in v panogi običajni standard pogodb o obdelavi po GDPR. Ukrepi so dokumentirani v sistemu upravljanja informacijske varnosti (ISMS) podjetja Bergx2 po ISO/IEC 27001:2022 in se interno podrobno vodijo. Konkretne podrobnosti izvedbe (modeli proizvajalcev, konfiguracijski parametri, lokacije posameznih komponent, mehanizmi ključev) se iz varnostnih razlogov v tej javno dostopni pogodbeni prilogi ne razkrivajo. Na utemeljeno zahtevo stranke v okviru njene pravice do revizije po § 9 da Bergx2 GmbH ustrezna podrobna dokazila na voljo v okviru pisnega dogovora o zaupnosti.
1. Zaupnost (člen 32(1), točka b, GDPR)
| Ukrep | Izvedba |
|---|---|
| Nadzor fizičnega dostopa | Večstopenjski fizični nadzor dostopa na sedežu z mehansko protivlomno zaščito po ustreznih standardih DIN, varnostno zasteklitvijo, samodejno zaklepajočimi se vrati, kamersko podprtim predhodnim nadzorom vstopa brez prenosa v zunanja omrežja in večfaktorsko avtentikacijo na najbolj notranji ravni zaklepanja. Dostopna pooblastila se dodeljujejo po načelu potrebne prisotnosti poimensko omejenemu krogu oseb in dokumentirajo v vodenem registru ključev z revizijsko sledjo izdaje/vračila. Reprodukcija ključev je mogoča le z odobritvijo najemodajalca prek certificiranih ključavničarjev. Obiskovalci vstopajo v poslovne prostore le v spremstvu. |
| Nadzor dostopa (sistemi) | Nadzor dostopa na podlagi vlog (RBAC) v vseh produkcijskih sistemih; večfaktorska avtentikacija (MFA) za skrbniške dostope; zavezujoča politika gesel po stanju tehnike; dostop do strežnikov na podlagi ključev oziroma certifikatov brez gesla; obvezno usmerjanje skrbniških dostopov prek internega navideznega zasebnega omrežja (VPN). |
| Nadzor dostopa (podatki) | Ločevanje najemnikov po strankinem računu na ravni podatkovne baze; pravila dostopa na ravni zapisov (Row-Level-Security); revizijsko varna beleženja vseh bralnih in pisalnih dostopov do osebnih podatkov. |
| Psevdonimizacija | Kjer je združljivo z namenom obdelave, se interne obdelave psevdonimizirajo. Kot KPI informacijske varnosti je vzpostavljeno periodično naključno preverjanje nenamernih pojavitev pravih imen. |
| Šifriranje | Šifriranje prenosa po stanju tehnike za vse zunanje povezave z redno rotacijo certifikatov. Močno šifriranje v mirovanju za medije varnostnih kopij in diske končnih naprav. Občutljivi dostopni podatki (gesla, žetoni, ključi) se upravljajo izključno po internem postopku, ki ustreza stanju tehnike; podrobnosti se iz varnostnih razlogov ne razkrivajo. |
2. Celovitost (člen 32(1), točka b, GDPR)
| Ukrep | Izvedba |
|---|---|
| Nadzor vnosa | Strežniška validacija vseh vnosov; revizijsko varni zapisi; pravice pisanja izključno prek avtenticiranih in avtoriziranih programskih vmesnikov. |
| Nadzor posredovanja | Obvezno šifriranje prenosa za vse zunanje povezave; nobenega posredovanja podatkov brez dokumentirane pogodbene podlage. |
| Nadzor naročil | Pogodbe o obdelavi z vsemi podobdelovalci (glej Prilogo 3); strukturiran proces upravljanja dobaviteljev s periodičnim ponovnim ocenjevanjem. |
3. Razpoložljivost in odpornost (člen 32(1), točka b, GDPR)
| Ukrep | Izvedba |
|---|---|
| Varnostne kopije | Dnevna inkrementalna varnostna kopija produkcijskih sistemov z geografsko ločenim zrcaljenjem znotraj Evropske unije; hrani se več različic; načrtovani preizkusi obnovitve v četrtletnem ritmu. |
| Razpoložljivost | Arhitektura cloud-first z gostovanjem v podatkovnih centrih, certificiranih po ISO/IEC 27001, z rezervo zasilnega napajanja; neprekinjeno spremljanje z opredeljenimi potmi eskalacije. |
| Neprekinjeno poslovanje | Preverjen načrt neprekinjenega poslovanja, vključno z analizo vpliva na poslovanje; polna zmožnost dela od doma za funkcije, ki temeljijo na znanju; dokumentirani časi ponovnega zagona po sistemih. |
| Odpornost končnih naprav | Nadomestna končna naprava kot rezerva ob okvari; zadostne rezerve avtonomije baterij za kratkotrajne izpade elektrike. |
4. Postopki rednega preverjanja, ocenjevanja in vrednotenja (člen 32(1), točka d, GDPR)
| Ukrep | Izvedba |
|---|---|
| Sistem upravljanja informacijske varnosti (ISMS) | Vzpostavljen ISMS po ISO/IEC 27001:2022 z izjavo o uporabnosti glede kontrol Priloge A; certificiranje v pripravi. |
| Upravljanje varstva podatkov | Voden register dejavnosti obdelave; imenovane pooblaščene osebe za varstvo podatkov; periodični pregledi dejavnosti obdelave. |
| Ozaveščanje | Strukturirana in dokazana usposabljanja o ozaveščenosti in varstvu podatkov za vse zaposlene z obveznimi moduli, specifičnimi za vloge. |
| Upravljanje tveganj | Najmanj letna ocena tveganj z odobritvijo najvišjega vodstva; načrt obravnave tveganj z dodeljenimi ukrepi. |
| Upravljanje dobaviteljev | Zavezujoča politika in postopki za dobavitelje; obveznost pogodbe o obdelavi za vse obdelovalce; periodični pregledi dobaviteljev. |
| Odzivanje na incidente | Dokumentiran postopek upravljanja incidentov z opredeljenimi potmi obveščanja, stopnjami eskalacije in preverjanjem učinkovitosti. |
| Upravljanje popravkov | Voden register popravkov s sledljivo uporabo popravkov. |
| Vodstveni pregled | Najmanj letna ocena s strani najvišjega vodstva na podlagi kvantitativnih KPI. |
| Interna revizija | Letna neodvisna interna revizija sistema ISMS z dokumentiranimi ugotovitvami in korektivnimi ukrepi. |
5. Življenjski cikel varnostnih kopij in izbris
Osebni podatki v varnostnih kopijah se z opredeljeno rotacijo varnostnih kopij v nekaj tednih v celoti prepišejo.
Ob prenehanju pogodbe se končni izbris podatkov na produktivnih sistemih izvede v 30 dneh; rotacija varnostnih kopij nato podatke v nekaj tednih izloči iz zaloge.
Konkretna obdobja hrambe po generacijah varnostnih kopij se razkrijejo na utemeljeno zahtevo v okviru pravice do revizije (§ 9).
Priloga 3: Seznam podobdelovalcev
Stanje: 25. 5. 2026.
| Št. | Podobdelovalec | Sedež | Namen obdelave | Obdelovani podatki | Certifikati / pogodba o obdelavi |
|---|---|---|---|---|---|
| 1 | Hetzner Online GmbH | Industriestraße 25, 91710 Gunzenhausen, Nemčija — podatkovni centri v Nemčiji in na Finskem (EU) | Gostovanje produkcijske in varnostne infrastrukture Screenwaya | Vsi podatki, navedeni v Prilogi 1; izključno šifrirani v mirovanju in med prenosom | Certificiran po ISO/IEC 27001 + ISO/IEC 9001; pogodbo o obdelavi je Bergx2 GmbH aktivno sprejela; seznam podizvajalcev gostitelja je javno dostopen na www.hetzner.com/AV/subunternehmer.pdf |
Opomba k drugim dobaviteljem podjetja Bergx2: Bergx2 GmbH za lastno poslovanje (interna komunikacija, upravljanje izvorne kode, pisarniška in produktivnostna orodja) uporablja druge ponudnike SaaS. Ti ne obdelujejo podatkov strank iz platforme Screenway in zato niso podobdelovalci v smislu te pogodbe. Na utemeljeno zahtevo stranke v okviru njene pravice do revizije (§ 9) bo Bergx2 GmbH razkrila popoln seznam lastnih dobaviteljev.
Veljavnost
Ta pogodba s sprejemom v portalu za stranke s časovnim žigom in oznako različice postane veljaven sestavni del pogodbe o storitvi Screenway (člen 28(9) GDPR: pisno, tudi v elektronski obliki).
Zapis o sprejemu Bergx2 GmbH revizijsko varno arhivira v zaledju za stranke in obsega najmanj:
- oznako različice te pogodbe (glej spodnjo tabelo različic)
- datum in uro sprejema
- identiteto osebe, ki je sprejela (ID uporabnika strankinega računa)
- identiteto stranke (ID računa/pogodbe)
- zgoščeno vrednost sprejete pogodbene različice (kriptografsko dokazilo celovitosti)
Ob posodobitvi te pogodbe stranka najmanj 30 dni pred začetkom veljavnosti prejme obvestilo v besedilni obliki ter ob naslednji prijavi v portal za stranke poziv k ponovnemu sprejemu.
Neobvezen fizični ali kvalificiran elektronski podpis: če stranka — npr. zaradi internih zahtev skladnosti — želi dodatno sopodpisovanje, se pogodba lahko sopodpiše fizično ali s kvalificiranim elektronskim podpisom (Uredba eIDAS (EU) št. 910/2014) med pogodbenima strankama. V tem primeru pripravo zagotovi stranka. Elektronski sprejem v portalu za stranke ostaja nespremenjen in sam po sebi pomeni sklenitev pogodbe, skladno z GDPR.
Različice
| Različica | Datum |
|---|---|
| 1.0 | 25. 5. 2026 |