Obdelava osebnih podatkov in podobdelovalci (DPA)
Ta stran zaradi preglednosti povzema, kako družba Konsepto, oblikovanje in kreativne rešitve, d.o.o. (Konsepto d.o.o., Dunajska cesta 136, 1000 Ljubljana; podpora@dvadoma.si) obdeluje osebne podatke pri storitvi DvaDoma in katere podobdelovalce pri tem vključuje po členu 28 Splošne uredbe o varstvu podatkov (GDPR) in ZVOP-2. Stran dopolnjuje Politiko zasebnosti, ki je temeljni dokument o obdelavi.
1. Vloge
Za vse osebne podatke, ki se obdelujejo v storitvi DvaDoma (podatki računov, vsebina družine, podatki o otrocih vključno z zdravstvenimi ter podatki tretjih oseb iz imenika), je upravljavec Konsepto d.o.o. Starši storitev uporabljajo v okviru družinskega življenja (tako imenovana domača izjema iz člena 2(2)(c) GDPR), zato med uporabnikom in Konseptom ni razmerja upravljavec–obdelovalec po členu 28 in se ločena pogodba o obdelavi z uporabniki ne sklepa. Pravne podlage, nameni, roki hrambe in pravice posameznikov so opisani v Politiki zasebnosti.
2. Podobdelovalci in drugi prejemniki
| Prejemnik | Namen | Vloga | Lokacija / prenos |
|---|---|---|---|
| Hetzner Online GmbH | Gostovanje in šifrirane varnostne kopije | Podobdelovalec (člen 28) | Nemčija (EU) |
| Google (Gmail SMTP) | Transakcijska e-pošta | Podobdelovalec (člen 28) | Prenos v ZDA (DPF/SCC) |
Paddle.com Market Ltd pri plačilih ni podobdelovalec, temveč ločen samostojni upravljavec (pogodbeni prodajalec, Merchant of Record). Let’s Encrypt (izdajatelj TLS-potrdil) osebnih podatkov uporabnikov ne obdeluje. Brezpiškotna statistika obiska (Plausible CE) teče na lastni infrastrukturi in podatkov ne posreduje tretjim, zato pri njej ne gre za podobdelovalca.
3. Zaveze, ki jih Konsepto pridobi od podobdelovalcev (člen 28(3))
- obdelava le po dokumentiranih navodilih in izključno za zagotavljanje storitve;
- zaupnost oseb, ki obdelujejo podatke;
- ustrezni tehnični in organizacijski ukrepi (člen 32);
- vključitev nadaljnjih podobdelovalcev le pod enakimi obveznostmi;
- pomoč pri uveljavljanju pravic posameznikov ter pri obveznostih iz členov 32–36;
- izbris ali vrnitev podatkov po prenehanju storitve;
- omogočanje revizij in predložitev informacij za dokazovanje skladnosti.
4. Tehnični in organizacijski ukrepi (povzetek)
- šifriranje prenosa (TLS) in šifrirane varnostne kopije (AES-256) z ločeno shranjenim ključem;
- gesla samo kot kriptografski povzetek argon2id, nikoli v čistopisu;
- naslov IP se v aplikaciji shranjuje samo kot povzetek (hash); strežniški dnevniki dostopa ga iz varnostnih razlogov beležijo kratek čas, starejši zapisi pa se samodejno izbrišejo;
- dostop do vsebine družine izključno prek aktivnega članstva; datoteke zunaj spletnega korena;
- sistemski skrbnik ne vidi vsebine sporočil, dokumentov in zdravstvenih podatkov; ni impersonacije;
- žetoni za preverjanje, ponastavitev in povabila kot hash, enkratni in časovno omejeni; naročniška povezava koledarja je preklicljiva poverilnica;
- izrecna privolitev (člen 9(2)(a)) pred prvim shranjevanjem zdravstvenih podatkov otroka, zabeležena s časom in različico politike.
5. Mednarodni prenosi
Podatki praviloma mirujejo v EU (Hetzner, Nemčija). Do prenosa v ZDA pride pri Googlu; zanj se uporabljata Okvir EU-ZDA za zasebnost podatkov (Data Privacy Framework, Izvedbeni sklep (EU) 2023/1795) in/ali standardne pogodbene klavzule (SCC, člen 46 GDPR) z dopolnilnimi ukrepi.
6. Kršitve varstva podatkov
Ob kršitvi varstva osebnih podatkov Konsepto d.o.o. ravna skladno s členoma 33 in 34 GDPR: brez nepotrebnega odlašanja obvesti nadzorni organ (najpozneje v 72 urah), ob velikem tveganju pa tudi prizadete posameznike.
7. Trajanje obdelave
Obdelava traja, dokler je račun aktiven, in še toliko časa, kolikor je potrebno za izvoz oziroma izbris po prenehanju. Roki hrambe so določeni v Politiki zasebnosti (razdelek 11).
8. Kontakt
Vprašanja glede obdelave osebnih podatkov: podpora@dvadoma.si. Nadzorni organ: Informacijski pooblaščenec RS, Dunajska cesta 22, 1000 Ljubljana, gp.ip@ip-rs.si.