Pogodba o obdelavi osebnih podatkov (Stay Invoices)
po členu 28 Splošne uredbe o varstvu podatkov (Uredba (EU) 2016/679, GDPR) in Zakonu o varstvu osebnih podatkov (ZVOP-2)
Različica 1.0, velja od 1. 11. 2026.
Oznaka [OB REGISTRACIJI] pomeni podatek, ki ga storitev zajame ob registraciji naročnika.
1. Stranki
Upravljavec (naročnik storitve Stay Invoices): naziv, sedež, davčna številka oziroma ID za DDV, oseba, ki sprejme pogoje, in kontakt za varstvo podatkov [OB REGISTRACIJI].
Obdelovalec: BeFly, oddaja nepremičnin, d.o.o., Ljubljanska cesta 38B, 1293 Šmarje - Sap, matična številka 7475039000, ID za DDV SI51807742, vpisana v sodni register pri Okrožnem sodišču v Ljubljani, osnovni kapital 7.500 EUR, vplačan v celoti, ki jo zastopa direktor Samo Mušič. Kontakt za varstvo podatkov: [email protected]. Pooblaščena oseba za varstvo podatkov ni imenovana, ker po členu 37(1) GDPR in prvem odstavku 45. člena ZVOP-2 ni obvezna.
2. Uvod
2.1 Stranki sta sklenili pogodbo o uporabi storitve Stay Invoices po Pogojih uporabe Stay Invoices (v nadaljevanju Pogoji uporabe). Ta pogodba je njihov sestavni del in ima glede varstva osebnih podatkov prednost pred njimi.
2.2 Pri izvajanju storitve obdelovalec v imenu upravljavca obdeluje osebne podatke, zato stranki urejata obveznosti po členu 28(3) GDPR.
3. Pojmi
Pojmi »osebni podatek«, »obdelava«, »upravljavec«, »obdelovalec«, »posameznik, na katerega se nanašajo osebni podatki«, »kršitev varstva osebnih podatkov« in »nadzorni organ« imajo pomen iz člena 4 GDPR. Podobdelovalec je drug obdelovalec, ki ga obdelovalec vključi v obdelavo podatkov upravljavca. Delovni dan je dan od ponedeljka do petka, razen praznikov in dela prostih dni v Republiki Sloveniji.
4. Predmet
4.1 Obdelovalec iz računov, ki jih upravljavec vodi v programu Bentral, ustvari račune v računovodskem programu (ERP) upravljavca, ob sklenitvi v programu Minimax; ko bodo na voljo, tudi v drugih programih, ki jih upravljavec izbere v nastavitvah storitve (npr. e-računi).
4.2 Opis obdelave je v Prilogi 1.
4.3 Upravljavec v nastavitvah storitve izbere, ali obdelovalec račun v ERP ustvari kot osnutek (privzeto) ali v imenu upravljavca sproži tudi njegovo izdajo. Izbira je dokumentirano navodilo upravljavca po členu 28(3)(a) GDPR. Spremeni jo lahko le uporabnik upravljavca z vlogo lastnik; obdelovalec vsako spremembo zapiše v revizijsko sled. Obdelovalec načina ne spremeni sam. Izdajatelj računa in zavezanec za davčno potrjevanje je upravljavec; odgovoren je za vsebino, pravočasno izdajo, davčno potrditev, izročitev in hrambo računov.
4.4 Bentral in ERP upravljavca nista podobdelovalca obdelovalca. Z njima ima upravljavec svojo pogodbo; obdelovalec do njiju dostopa s poverilnicami in po navodilu upravljavca.
5. Navodila upravljavca
5.1 Obdelovalec obdeluje osebne podatke samo po dokumentiranih navodilih upravljavca, tudi glede prenosov v tretje države, razen če to od njega zahteva pravo EU ali Republike Slovenije; v tem primeru upravljavca pred obdelavo obvesti, razen če pravo to prepoveduje (člen 28(3)(a) GDPR).
5.2 Dokumentirana navodila so: ta pogodba, Pogoji uporabe, nastavitve, ki jih upravljavec izbere v storitvi (enote, preslikave, besedilo postavke najema, načini plačila, način izdaje računov), in pisna navodila na [email protected].
5.3 Če obdelovalec meni, da je navodilo v nasprotju s predpisi o varstvu podatkov, upravljavca o tem nemudoma obvesti in lahko izvedbo odloži, dokler ga upravljavec ne potrdi ali spremeni.
6. Obveznosti upravljavca
6.1 Upravljavec jamči, da ima za obdelavo podatkov gostov pravno podlago (člen 6 GDPR) in da je posameznikom dal informacije po členih 13 in 14 GDPR, tudi o vključitvi obdelovalca.
6.2 Upravljavec prenaša v storitev le podatke, potrebne za pripravo računov; posebnih vrst osebnih podatkov (člen 9 GDPR) ne prenaša.
6.3 Upravljavec skrbi za varnost svojih dostopnih podatkov in določa ter odvzema vloge svojim uporabnikom.
7. Plačilo
Obdelava po tej pogodbi je vključena v naročnino. Pomoč po 11. in 12. členu in revizije po 14. členu so brezplačne, razen kadar je zahteva očitno pretirana; takrat obdelovalec upravljavcu vnaprej pošlje ponudbo za razumne stroške. Pomoč, ki je potrebna zaradi kršitve obdelovalca, je vedno brezplačna.
8. Zaupnost
8.1 Obdelovalec zagotovi, da so se osebe, pooblaščene za obdelavo, zavezale k zaupnosti oziroma zanje velja zakonska obveznost zaupnosti (člen 28(3)(b) GDPR). Dostop imajo le osebe, ki ga potrebujejo za izvajanje storitve.
8.2 Stranki varujeta nejavne informacije, ki jih izvesta v zvezi s to pogodbo, še 3 leta po njenem prenehanju; osebne podatke brez časovne omejitve. To ne velja za informacije, ki so javne brez kršitve pogodbe, ali katerih razkritje zahteva zakon, sodišče ali pristojni organ.
9. Varnost obdelave
9.1 Obdelovalec izvaja tehnične in organizacijske ukrepe po členu 32 GDPR, opisane v Prilogi 2.
9.2 Ukrepe redno preverja in jih lahko posodobi, če se raven varnosti ne zniža. O bistvenih spremembah obvesti upravljavca.
10. Podobdelovalci
10.1 Upravljavec s sprejemom te pogodbe daje splošno pisno dovoljenje za vključitev podobdelovalcev (člen 28(2) GDPR). Ob sklenitvi so dovoljeni podobdelovalci iz Priloge 3. Ponudnika e-pošte in plačil obdelovalec uporablja le za lastne podatke (uporabniki, obračun) in podatkov gostov ne prejmeta, zato nista podobdelovalca. Upravljavec v sporočila podpori in v pisna navodila po 5.2 ne vključuje podatkov gostov. Če jih vseeno vključi, jih obdelovalec obdeluje po tej pogodbi in jih iz e-pošte izbriše, ko je zadeva rešena.
10.2 O vsaki nameravani dodaji ali zamenjavi podobdelovalca obdelovalec upravljavca obvesti po e-pošti najmanj 30 dni pred začetkom obdelave.
10.3 Upravljavec lahko v tem roku iz utemeljenih razlogov varstva podatkov ugovarja. Če stranki v 15 dneh ne najdeta rešitve, lahko upravljavec naročnino odpove brez odpovednega roka in stroškov; obdelovalec mu vrne sorazmerni del vnaprej plačane naročnine.
10.4 V nujnih primerih (prenehanje ali varnostni incident pri podobdelovalcu) sme obdelovalec podobdelovalca zamenjati s krajšim rokom obvestila; pravica do ugovora ostane.
10.5 Obdelovalec s podobdelovalcem sklene pisno pogodbo z enakimi obveznostmi varstva podatkov (člen 28(4) GDPR) in upravljavcu za podobdelovalca v celoti odgovarja.
11. Pravice posameznikov
11.1 Obdelovalec z ustreznimi ukrepi pomaga upravljavcu odgovarjati na zahteve posameznikov po poglavju III GDPR (člen 28(3)(e) GDPR).
11.2 Zahtevo, ki jo prejme neposredno od posameznika, obdelovalec v 3 delovnih dneh posreduje upravljavcu in nanjo sam ne odgovori, razen po njegovem navodilu.
12. Pomoč pri skladnosti
Obdelovalec ob upoštevanju narave obdelave pomaga upravljavcu pri obveznostih iz členov 32 do 36 GDPR (člen 28(3)(f) GDPR): z opisom obdelave, podobdelovalcev in ukrepov za oceno učinka (DPIA), pri predhodnem posvetovanju z Informacijskim pooblaščencem RS in pri obveščanju o kršitvah po 13. členu.
13. Kršitev varstva osebnih podatkov
13.1 Obdelovalec upravljavca o kršitvi, ki zadeva njegove podatke, obvesti brez nepotrebnega odlašanja, najpozneje v 48 urah, potem ko je zanjo izvedel.
13.2 Obvestilo vsebuje, kolikor je to tedaj mogoče, informacije iz člena 33(3) GDPR: naravo kršitve s kategorijami in približnim številom posameznikov in zapisov, kontaktno osebo, verjetne posledice ter sprejete ali predlagane ukrepe. Kar še ni znano, obdelovalec posreduje postopno.
13.3 Obdelovalec nemudoma sprejme razumne ukrepe za omejitev kršitve in ohrani dokaze. Posameznikov brez soglasja upravljavca ne obvešča, razen če to zahteva zakon.
13.4 Obvestilo nadzornemu organu (člen 33 GDPR) in posameznikom (člen 34 GDPR) je obveznost upravljavca.
14. Revizije
14.1 Obdelovalec da upravljavcu na voljo informacije, potrebne za dokaz izpolnjevanja obveznosti iz člena 28 GDPR, in omogoča revizije, ki jih izvede upravljavec ali revizor, ki ga ta pooblasti (člen 28(3)(h) GDPR).
14.2 Najprej obdelovalec na zahtevo predloži pisno dokumentacijo (opis ukrepov, seznam podobdelovalcev, njihova potrdila, kjer obstajajo).
14.3 Revizija na kraju samem ali oddaljena tehnična revizija je mogoča največ enkrat v koledarskem letu, z obvestilom najmanj 30 dni vnaprej, med običajnim delovnim časom, brez nesorazmernega posega v poslovanje in brez dostopa do podatkov drugih naročnikov. Omejitev ne velja ob kršitvi, utemeljenem sumu kršitve ali na zahtevo nadzornega organa.
14.4 Zunanji revizor podpiše izjavo o zaupnosti in ne sme biti konkurent obdelovalca. Če revizija pokaže bistveno kršitev obdelovalca, nosi stroške obdelovalec.
15. Prenos izven EGP
15.1 Obdelovalec podatkov upravljavca ne prenaša v tretje države ali mednarodne organizacije izven Evropskega gospodarskega prostora (EGP) in to zahteva tudi od podobdelovalcev.
15.2 Prenos izven EGP je dovoljen le s predhodnim pisnim soglasjem upravljavca in ob pogojih iz poglavja V GDPR.
16. Trajanje, vračilo in izbris
16.1 Pogodba začne veljati s sprejemom Pogojev uporabe in velja, dokler traja naročnina. S prenehanjem naročnine preneha samodejno.
16.2 Upravljavec lahko pred prenehanjem podatke izvozi v obliki CSV ali JSON; na zahtevo, podani v 30 dneh po prenehanju, mu izvoz zagotovi obdelovalec.
16.3 Obdelovalec po izteku 30 dni od prenehanja naročnine, najpozneje pa v nadaljnjih 7 dneh, izbriše vse osebne podatke upravljavca, razen če pravo EU ali Republike Slovenije zahteva nadaljnjo hrambo (člen 28(3)(g) GDPR). Iz varnostnih kopij se podatki izbrišejo v rednem kroženju, najpozneje 30 dni po izbrisu; do tedaj jih varuje ta pogodba in se ne uporabljajo.
16.4 Poverilnice za Bentral in ERP upravljavca obdelovalec izbriše ob prenehanju naročnine. Izbris na zahtevo pisno potrdi.
16.5 Hramba izdanih računov za davčne namene je obveznost upravljavca in poteka v njegovem ERP.
17. Evidenca dejavnosti obdelave
Obdelovalec vodi evidenco dejavnosti obdelave, ki jih izvaja za upravljavce (člen 30(2) GDPR), in jo na zahtevo da na voljo nadzornemu organu.
18. Podatki upravljavca
18.1 Podatki, ki jih upravljavec prenese v storitev, in računi, ki jih storitev ustvari, ostanejo njegovi. Obdelovalec jih ne uporablja za lastne namene, jih ne prodaja in jih ne uporablja za učenje modelov umetne inteligence.
18.2 Obdelovalec sme uporabljati anonimizirane in agregirane podatke o delovanju storitve (število računov, napake pri prenosu), iz katerih ni mogoče prepoznati posameznika ali upravljavca.
19. Odgovornost
19.1 Za škodo, ki jo utrpijo posamezniki, stranki odgovarjata po členu 82 GDPR. Nobena določba te pogodbe ne omejuje pravic posameznikov ali odgovornosti strank do posameznikov in nadzornega organa.
19.2 Med strankama obdelovalec odgovarja le, če ni izpolnil obveznosti, ki jih GDPR nalaga obdelovalcem, ali je ravnal zunaj zakonitih navodil upravljavca ali v nasprotju z njimi (člen 82(2) GDPR). Stranka, ki je plačala odškodnino tudi za delež druge, ima pravico do povračila (člen 82(5) GDPR).
19.3 Sicer velja omejitev odgovornosti iz 7. točke Pogojev uporabe. Velja tudi za škodo zaradi kršitve varstva osebnih podatkov ali zaupnosti po 8. členu, povzročeno iz lahke malomarnosti. Omejitev ne velja za škodo, povzročeno z naklepom ali iz hude malomarnosti (prvi odstavek 242. člena Obligacijskega zakonika).
19.4 Za vsebino in pravočasnost računov (osnutkov in izdanih računov) velja 7. točka Pogojev uporabe.
20. Višja sila
20.1 Stranka ne odgovarja za neizpolnitev, ki jo povzroči dogodek zunaj njenega nadzora, ki ga ob sklenitvi ni bilo mogoče predvideti ali se mu izogniti.
20.2 Višja sila ne odvezuje obdelovalca varnostnih ukrepov iz 9. člena niti obveščanja o kršitvi iz 13. člena, takoj ko je to mogoče. Če višja sila traja dlje kot 30 dni, lahko vsaka stranka naročnino odpove brez odpovednega roka.
21. Sklenitev in spremembe
21.1 Pogodba se sklene v elektronski obliki s sprejemom Pogojev uporabe; to izpolnjuje zahtevo po pisni obliki iz člena 28(9) GDPR. Obdelovalec hrani zapis o sprejemu (čas, uporabnik, različica), upravljavec pa lahko pogodbo kadar koli prenese kot PDF.
21.2 Obdelovalec lahko pogodbo spremeni z obvestilom po e-pošti najmanj 30 dni pred začetkom veljavnosti. Če sprememba zmanjšuje pravice upravljavca ali raven varstva podatkov, lahko upravljavec pred tem naročnino odpove brez stroškov. Seznam podobdelovalcev se spreminja po 10. členu.
22. Pravo in pristojnost
Za pogodbo velja pravo Republike Slovenije. Za spore je pristojno stvarno pristojno sodišče v Ljubljani. Pristojnost nadzornih organov in pravice posameznikov ostanejo nespremenjene.
23. Končne določbe
Če je katera določba neveljavna, to ne vpliva na druge; stranki jo nadomestita z veljavno, ki je po namenu najbližja. Določbe 8., 16., 19. in 22. člena veljajo tudi po prenehanju. Priloge so sestavni del pogodbe.
Priloga 1 – Opis obdelave
| Element | Opis |
|---|---|
| Namen | računi (osnutki ali izdani, po izbiri upravljavca) v ERP upravljavca iz računov v Bentralu |
| Narava | branje iz Bentrala, preslikava enot, postavk in načinov plačila, prenos v ERP prek API in, če ga upravljavec izbere, sprožitev izdaje računa v ERP, zapis o prenosu in izdaji, izbris |
| Posamezniki | gostje nastanitev upravljavca |
| Podatki | ime gosta, država, prodajni kanal, številka rezervacije, datum prihoda in odhoda, postavke računa (tudi število oseb in nočitev, kadar jih navaja Bentral), zneski, način plačila |
| Posebne vrste podatkov | se ne obdelujejo |
| Pogostost | ob vsakem prenosu, ki ga sproži upravljavec ali njegova nastavitev |
| Trajanje | v času naročnine; izbris po izteku 30 dni od prenehanja, najpozneje v nadaljnjih 7 dneh, iz varnostnih kopij najpozneje 30 dni po izbrisu (16. člen) |
| Kraj | EU: strežnik pri Hetzner Online GmbH v podatkovnem centru Falkenstein, Nemčija (Priloga 3), in nočne varnostne kopije na računalniku obdelovalca v Sloveniji |
Podatke uporabnikov računa (e-pošta, ime, vloga, čas prijave) obdelovalec obdeluje kot upravljavec po politiki zasebnosti, ne po tej pogodbi.
Priloga 2 – Tehnični in organizacijski ukrepi (člen 32 GDPR)
Izvedeno v storitvi:
- gesla uporabnikov le kot zgoščen zapis scrypt s soljo; sejni žetoni in žetoni vabil le kot zgoščen zapis SHA-256,
- sejni piškotek HttpOnly, Secure in SameSite=Lax; seja poteče 14 dni po prijavi, odjava jo izbriše na strežniku,
- dostop po vlogah (lastnik, računovodja, operater); vsak dostop do podatkov naročnika zahteva prijavo in članstvo pri tem naročniku,
- podatkovna baza za prijavo dostopna le lastniku procesa (pravice 0600),
- storitev račun v ERP izda samo, če je lastnik upravljavca v nastavitvah izbral takojšnjo izdajo; sicer ustvari le osnutek. Način lahko spremeni le lastnik, po potrditvi opozorila; sprememba se zapiše v revizijsko sled in se po e-pošti sporoči lastnikom. Izdaja se ne ponovi samodejno. Storitev istega računa iz Bentrala ne ustvari dvakrat ter izdanega računa ne more spremeniti ali izbrisati.
Tehnično: storitev teče na strežniku pri Hetzner Online GmbH v podatkovnem centru Falkenstein (Nemčija); gesla za Bentral in ERP so na strežniku šifrirana z AES-GCM, ključ je v ločeni datoteki, ki ni v podatkovni bazi in ne v nočnih varnostnih kopijah podatkovnih baz, je pa v dnevnih posnetkih celotnega strežnika pri ponudniku gostovanja; ves promet do storitve teče prek TLS (HTTPS z HSTS); dostop do strežnika je mogoč samo s ključem SSH; vsako noč se naredi varnostna kopija podatkovnih baz, ki se prenese na računalnik obdelovalca v Sloveniji in se ob prenosu preveri (celovitost in različice) in nato hrani le šifrirana (age, X25519), ključ za dešifriranje je ločeno v sistemski shrambi gesel tega računalnika; nočne varnostne kopije se hranijo 30 dni; ponudnik gostovanja dodatno hrani dnevne posnetke strežnika v podatkovnem centru Falkenstein do 7 dni. Dostop do storitve je z osebnim računom in geslom; vloge (lastnik, računovodja, operater) omejijo, kdo lahko pošilja in ureja nastavitve; spremembe nastavitev in razrešitve pošiljanj se zapisujejo v revizijsko sled.
Vloge v storitvi so lastnik, računovodja in operater. Lastnik in računovodja sta uporabnika naročnika. Operater je zaposleni BeFly d.o.o., ki upravlja storitev; zanj velja zaveza k zaupnosti iz 8.1.
Organizacijsko: zaveza k zaupnosti oseb z dostopom; redne posodobitve in varnostni popravki.
Priloga 3 – Odobreni podobdelovalci
| Podobdelovalec | Sedež | Namen | Kraj obdelave | Podatki |
|---|---|---|---|---|
| Hetzner Online GmbH | Industriestr. 25, 91710 Gunzenhausen, Nemčija | gostovanje strežnikov in podatkovne baze; dnevni posnetki strežnika | podatkovni center Falkenstein, Nemčija | vsi podatki iz Priloge 1 |