Pogodba o obdelavi osebnih podatkov za vivotempo

Preambula

Bergx2 GmbH, Hochriesstr. 46, 85560 Ebersberg, Nemčija (v nadaljevanju „obdelovalec“), upravlja aplikacijo programske opreme kot storitve vivotempo za upravljanje dopustov, evidentiranje delovnega časa, bolniške odsotnosti in druge kadrovske naloge. Pri njeni uporabi obdeluje osebne podatke v imenu stranke (v nadaljevanju „upravljavec“) v smislu 8. točke 4. člena in 28. člena GDPR. Ta pogodba določa obveznosti in pravice obeh strank v skladu s tretjim odstavkom 28. člena GDPR.

1. člen Predmet in trajanje obdelave

(1) Predmet. Obdelovalec upravljavcu zagotavlja vivotempo kot programsko opremo kot storitev. Pri tem obdeluje osebne podatke, opisane v Prilogi 1, izključno po navodilih upravljavca.

(2) Trajanje. Pogodba velja od sklenitve pogodbe o vivotempo (glavna pogodba po splošnih pogojih) in preneha z njenim prenehanjem. Obveznosti vračila in izbrisa (10. člen) ter zaupnosti (drugi odstavek 5. člena) veljajo tudi po tem.

2. člen Vrsta in namen obdelave

(1) Obdelovalec obdeluje podatke za naslednje namene:

• Zagotavljanje vivotempo: upravljanje dopustov in odsotnosti, evidentiranje delovnega časa v brskalniku in na terminalu, bolniške odsotnosti, zdravstvena nagrada, poročila in izvozi za obračun plač
• Prijava in zaščita dostopov: geslo, drugi faktor, ključi za dostop (passkeys) in identifikacija na terminalu
• Pošiljanje obvestil v aplikaciji in po e-pošti
• Delovanje, varnost, analiza napak in podpora

(2) Obdelava za lastne namene obdelovalca, na primer za oglaševanje, profiliranje ali prodajo podatkov, se ne izvaja.

3. člen Vrste podatkov in kategorije posameznikov, na katere se nanašajo osebni podatki

(1) Podrobnosti so navedene v Prilogi 1. Posamezniki so zaposleni pri upravljavcu, tudi nekdanji, ter druge osebe, ki jim upravljavec omogoči dostop do vivotempo.

(2) Posebne vrste osebnih podatkov (9. člen GDPR). Glede na uporabljene funkcije vivotempo obdeluje podatke o zdravju (bolniške odsotnosti z obdobjem in po potrebi potrdili) in biometrične podatke (značilnost obraza, izračunana iz posnetka kamere za identifikacijo na terminalu, samo če upravljavec vklopi ta način identifikacije; sam posnetek se ne shrani). Upravljavec zagotovi, da za to obstaja pravna podlaga; za prepoznavanje obraza je praviloma potrebna prostovoljna privolitev zaposlenih. vivotempo omeji dostop do teh podatkov na vloge, ki jih pooblasti upravljavec.

4. člen Obveznosti in pravice upravljavca

(1) Odgovornost in navodila. Upravljavec je odgovoren za zakonitost obdelave (24. člen GDPR). Za navodila štejejo ta pogodba in nastavitve, ki jih upravljavec opravi v vivotempo, na primer vloge, pravice, vklopljene funkcije in roki hrambe. Druga navodila daje v pisni obliki, tudi elektronsko.

(2) Obveščanje zaposlenih. Upravljavec obvesti posameznike o obdelavi v skladu s 13. in 14. členom GDPR.

(3) Preverjanje. Upravljavec preveri, ali so ukrepi iz Priloge 2 primerni za njegovo obdelavo, in obdelovalcu sporoči morebitne pomisleke.

5. člen Obveznosti obdelovalca

(1) Navodila. Obdelovalec obdeluje podatke samo po dokumentiranih navodilih upravljavca, razen če to zahteva pravo Unije ali države članice; v tem primeru upravljavca pred obdelavo obvesti o tej zahtevi, razen če to pravo prepoveduje. Če meni, da je navodilo nezakonito, o tem nemudoma obvesti upravljavca (tretji odstavek 28. člena GDPR).

(2) Zaupnost. Vse osebe, ki imajo dostop do podatkov, so se pred začetkom dela zavezale k zaupnosti (točka (b) tretjega odstavka 28. člena GDPR).

(3) Varnost. Obdelovalec izvaja tehnične in organizacijske ukrepe iz Priloge 2 (32. člen GDPR) in jih prilagaja najnovejšemu tehnološkemu razvoju, ne da bi znižal raven zaščite.

(4) Pomoč. Obdelovalec pomaga upravljavcu pri izpolnjevanju obveznosti iz 32. do 36. člena GDPR, zlasti pri pravicah posameznikov (7. člen), uradnem obveščanju o kršitvah varstva podatkov (8. člen) in oceni učinka v zvezi z varstvom podatkov.

(5) Pooblaščena oseba za varstvo podatkov. Pooblaščena oseba za varstvo podatkov obdelovalca je Zsu Sernc-Urban, dosegljiva na zgoraj navedenem naslovu ali po e-pošti na info@bergx2.de z zadevo „Datenschutz“.

6. člen Podobdelovalci

(1) Odobritev. Upravljavec odobri podobdelovalce, navedene v Prilogi 3 (drugi odstavek 28. člena GDPR).

(2) Spremembe. O nameravani vključitvi ali zamenjavi podobdelovalca obdelovalec obvesti upravljavca v pisni obliki najmanj 30 dni vnaprej, in sicer na e-poštne naslove skrbnikov uporabniškega računa stranke.

(3) Ugovor. Upravljavec lahko v tem roku ugovarja spremembi iz pomembnega razloga v zvezi z varstvom podatkov. Če stranki ne najdeta sporazumne rešitve, lahko upravljavec glavno pogodbo izredno odpove.

(4) Zaveza. Obdelovalec vsakega podobdelovalca pogodbeno zaveže k obveznostim iz te pogodbe (četrti odstavek 28. člena GDPR).

(5) Tretje države. Prenos v države zunaj EU ali EGP se izvede le, če so izpolnjeni pogoji iz 44. do 49. člena GDPR, zlasti na podlagi sklepa o ustreznosti, tudi okvira EU-ZDA za varstvo podatkov (EU-US Data Privacy Framework), ali standardnih pogodbenih klavzul Evropske komisije.

7. člen Pravice posameznikov

(1) Obdelovalec z ustreznimi tehničnimi in organizacijskimi ukrepi pomaga upravljavcu pri uresničevanju pravic iz poglavja III GDPR (dostop, popravek, izbris, omejitev, prenosljivost, ugovor). V ta namen vivotempo med drugim ponuja funkcije za urejanje, izvoz in brisanje podatkov.

(2) Če se posamezniki obrnejo neposredno na obdelovalca, ta zahtevo nemudoma posreduje upravljavcu in nanjo odgovori samo po njegovem navodilu.

8. člen Uradno obveščanje o kršitvah varstva osebnih podatkov

(1) Obdelovalec upravljavca brez nepotrebnega odlašanja, po možnosti v 24 urah po seznanitvi, obvesti o vsaki kršitvi varstva osebnih podatkov na svojem področju odgovornosti ali pri podobdelovalcu.

(2) Obvestilo se v pisni obliki pošlje skrbnikom uporabniškega računa stranke in vsebuje, kolikor je znano, podatke iz tretjega odstavka 33. člena GDPR: vrsto in obseg kršitve, število prizadetih posameznikov, verjetne posledice in sprejete ukrepe.

(3) Uradno obveščanje nadzornega organa (33. člen GDPR) in posameznikov (34. člen GDPR) je naloga upravljavca; obdelovalec mu pri tem pomaga z vsemi potrebnimi informacijami.

9. člen Dokazila in nadzor

(1) Obdelovalec upravljavcu na zahtevo zagotovi vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz te pogodbe, zlasti aktualno različico prilog 2 in 3 ter certifikate in revizijska poročila upravljavcev podatkovnih centrov.

(2) Upravljavec se lahko po predhodni najavi najmanj štiri tedne vnaprej prepriča o izvajanju ukrepov, tudi na kraju samem v običajnem delovnem času. Nadzor ne sme nesorazmerno motiti delovanja in brez posebnega razloga poteka največ enkrat v koledarskem letu. Revizorji morajo biti zavezani k zaupnosti.

10. člen Vračilo in izbris

(1) V času trajanja pogodbe lahko upravljavec sam ureja in briše podatke v vivotempo ter nastavlja roke hrambe za časovne vnose in bolniške odsotnosti.

(2) Po prenehanju glavne pogodbe obdelovalec podatke po izbiri upravljavca vrne (izvoz v običajni, strojno berljivi obliki) ali izbriše, najpozneje 30 dni po prenehanju pogodbe, razen če obstaja zakonska obveznost hrambe.

(3) Varnostne kopije se prepišejo v rednem ciklu varnostnega kopiranja, najpozneje po 30 dneh. Na zahtevo obdelovalec izbris pisno potrdi.

(4) Zakonske obveznosti hrambe obdelovalca, na primer za računovodske listine po § 257 nemškega trgovinskega zakonika (HGB) in § 147 nemškega davčnega zakonika (AO), ostanejo nespremenjene.

11. člen Odgovornost in končne določbe

(1) Za odgovornost veljajo določbe glavne pogodbe (splošnih pogojev) in 82. člen GDPR.

(2) Spremembe te pogodbe zahtevajo pisno obliko, tudi elektronsko. Obdelovalec napove nove različice najmanj 30 dni pred začetkom njihove veljavnosti (glej „Veljavnost“).

(3) Če je ta pogodba v nasprotju z glavno pogodbo, ima pri vprašanjih varstva podatkov prednost ta pogodba.

(4) Če bi bile posamezne določbe neveljavne, to ne vpliva na veljavnost preostalih določb.

(5) Uporablja se nemško pravo, z izključitvijo Konvencije Združenih narodov o pogodbah o mednarodni prodaji blaga. Kolikor zakon dopušča, je pristojno sodišče na sedežu obdelovalca.

Priloga 1: Opis obdelave

• Predmet: zagotavljanje vivotempo kot programske opreme kot storitve, vključno z gostovanjem, hrambo podatkov, prijavo, obvestili in podporo
• Trajanje: trajanje glavne pogodbe in največ 30 dni po njem za vračilo in izbris
• Vrsta obdelave: zbiranje, beleženje, shranjevanje, urejanje, prilagajanje, vpogled, analiza, omogočanje dostopa pooblaščenim uporabnikom, izbris
• Posamezniki: zaposleni pri upravljavcu (tudi nekdanji), skrbniki in drugi uporabniki, ki jim upravljavec omogoči dostop
• Osnovni podatki: ime, e-poštni naslov, kadrovska številka, oddelek, vloga, datum zaposlitve in odhoda, država dela, časovni pas, profilna slika
• Odsotnosti: zahtevki za dopust in odločitve s komentarji, stanje dopusta in prenos, druge odsotnosti
• Delovni čas: začetek, konec, odmori, popravki, čas in terminal registracije, dodatki in salda
• Podatki o zdravju (9. člen GDPR): bolniške odsotnosti z obdobjem in naloženimi potrdili, dnevi bolniške za zdravstveno nagrado
• Podatki za prijavo: e-poštni naslov, geslo (samo kot zgoščena vrednost), drugi faktor (e-poštni naslov ali Threema ID), javni ključi ključev za dostop
• Identifikacija na terminalu: PIN, ID kartice NFC, koda QR, ID naprave Bluetooth; na željo upravljavca značilnost obraza kot vektor značilnosti (biometrični podatki v smislu 9. člena GDPR)
• Dnevniki: dnevnik sprememb s časom in osebo, ki je ukrepala, tehnični strežniški dnevniki (naslov IP, čas, zahtevani naslov)
• Obvestila: obvestila v aplikaciji in po e-pošti
• Lokacija hrambe: podatkovna zbirka in shramba datotek pri Supabase v EU (podatkovni center v Parizu, Francija), strežniške funkcije pri Vercel v EU (regija Pariz)
• Tretje države: Vercel Inc. in Supabase Inc. imata sedež v ZDA; dostop od tam, na primer za delovanje in podporo, je mogoč in zavarovan z okvirom EU-ZDA za varstvo podatkov ter standardnimi pogodbenimi klavzulami. Za Threema GmbH (Švica) obstaja sklep Evropske komisije o ustreznosti.

Priloga 2: Tehnični in organizacijski ukrepi (32. člen GDPR)

Naslednji ukrepi veljajo za vivotempo. Podrobnosti izvedbe, na primer konfiguracije, iz varnostnih razlogov niso javno opisane; upravljavec jih prejme na utemeljeno zahtevo v okviru 9. člena.

• Nadzor fizičnega dostopa: strežniki so v podatkovnih centrih ponudnikov storitev (Amazon Web Services prek Supabase, Vercel) s certificirano fizično varnostjo, med drugim po ISO/IEC 27001 in SOC 2. Poslovni prostori obdelovalca so zavarovani pred nepooblaščenim dostopom; obiskovalci se tam gibljejo samo v spremstvu.
• Nadzor dostopa do sistemov: prijava z osebnim računom in geslom, po izbiri z drugim faktorjem (koda po e-pošti, Threema, ključ za dostop) in zaklepom po petih neuspešnih poskusih; terminali se prijavijo z lastnim ključem naprave; upravni dostop do ponudnikov storitev ima le nekaj pooblaščenih oseb.
• Nadzor dostopa do podatkov: ločevanje strank na ravni podatkovne zbirke (row level security); stopnjevane vloge (zaposleni, vodja ekipe, kadrovska služba, skrbnik) s podrobnimi pravicami; podatki o zdravju in značilnosti za identifikacijo samo za pooblaščene vloge; avtomatizirani testi pravil dostopa ob vsaki spremembi.
• Nadzor ločevanja: podatki različnih strank se obdelujejo logično ločeno; vsak dostop je vezan na posamezno stranko.
• Šifriranje: vse povezave so šifrirane s TLS; podatkovna zbirka in shramba datotek sta šifrirani v mirovanju; gesla se shranjujejo samo kot zgoščene vrednosti.
• Nadzor vnosa: spremembe podatkov zaposlenih, zahtevkov, časovnih vnosov in nastavitev se beležijo v dnevnik s časom in osebo, ki je ukrepala; popravki časovnih vnosov ostanejo sledljivi.
• Nadzor prenosa: podatki se prenašajo samo šifrirano; izvozi in poročila so na voljo samo pooblaščenim vlogam; brez pogodbene podlage se podatki ne posredujejo.
• Nadzor naročil: pogodbe o obdelavi podatkov z vsemi podobdelovalci (Priloga 3) in njihovo redno preverjanje.
• Razpoložljivost in odpornost: delovanje pri ponudnikih storitev z redundantno infrastrukturo in stalnim nadzorom; redne varnostne kopije podatkovne zbirke; ob prekinitvi povezave terminali registracije shranijo in jih pozneje prenesejo.
• Obnovljivost: varnostne kopije omogočajo obnovo podatkov po incidentu.
• Preverjanje in ocenjevanje: imenovana pooblaščena oseba za varstvo podatkov, določen postopek ob kršitvah varstva podatkov, avtomatizirani testi pred vsako objavo, redna varnostna preverjanja pravil dostopa.
• Najmanjši obseg podatkov in izbris: nastavljivi roki hrambe za časovne vnose in bolniške odsotnosti, vračilo in izbris po prenehanju pogodbe v skladu z 10. členom.

Priloga 3: Podobdelovalci

Stanje na dan 14. 10. 2026

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, ZDA: gostovanje aplikacije in strežniških funkcij (regija Pariz, Francija) ter dostava spletne strani; obdeluje vse podatke pri obdelavi zahtev in strežniške dnevnike. Podlaga: pogodba o obdelavi podatkov, okvir EU-ZDA za varstvo podatkov, standardne pogodbene klavzule.
• Supabase Inc., ZDA: podatkovna zbirka, prijava in shramba datotek v podatkovnem centru v Parizu (Francija, Amazon Web Services); obdeluje vse podatke, navedene v Prilogi 1. Podlaga: pogodba o obdelavi podatkov, okvir EU-ZDA za varstvo podatkov, standardne pogodbene klavzule.
• Scaleway SAS, Pariz, Francija: pošiljanje e-pošte (obvestila, kode, povezave); obdeluje e-poštni naslov, ime in vsebino sporočila. Podlaga: pogodba o obdelavi podatkov.
• Threema GmbH, Churerstrasse 82, 8808 Pfäffikon SZ, Švica: dostava prijavnih kod prek Threema, samo če uporabniki izberejo Threema kot drugi faktor; obdeluje Threema ID in kodo. Podlaga: sklep Evropske komisije o ustreznosti za Švico.

E-pošta poleg tega poteka prek storitve za posredovanje, ki jo upravlja Bergx2 GmbH sama. Drugi ponudniki storitev brez dostopa do podatkov iz vivotempo, na primer za plačila uporabniškega računa stranke (Mollie), za podatke o praznikih ali za preverjanje identifikacijske številke za DDV (VIES), niso podobdelovalci v smislu te pogodbe.

Veljavnost

Ta pogodba postane sestavni del pogodbe s sklenitvijo glavne pogodbe (registracija po splošnih pogojih); zadostuje sklenitev v elektronski obliki (deveti odstavek 28. člena GDPR).

Poleg tega lahko skrbniki stranke pogodbo izrecno sprejmejo v uporabniškem računu stranke. Pri tem se shranijo različica, datum in čas, oseba, ki sprejme, stranka in kontrolna vsota sprejete različice.

Nove različice obdelovalec napove v pisni obliki najmanj 30 dni pred začetkom njihove veljavnosti; v uporabniškem računu stranke so skrbniki zaprošeni za ponovni sprejem.

Na željo stranke se pogodba lahko dodatno podpiše lastnoročno ali s kvalificiranim elektronskim podpisom; elektronski sprejem s tem ostane nespremenjen.

Različice

• Različica 1.0 z dne 14. 10. 2026: prva različica