Pogodba o obdelavi osebnih podatkov
Upravljavec osebnih podatkov svojih zaposlenih ste vi, CertGuard je obdelovalec.
Zadnja sprememba: 20. 8. 2026
1. Pogodbeni stranki
Obdelovalec: Sašo Špacapan s.p., Tominčeva ulica 10, 5250 Solkan, Slovenija, matična številka 2405980500125, ID za DDV SI62073621 (v nadaljevanju »CertGuard«). Upravljavec: naročnik, ki je s CertGuard sklenil naročniško razmerje in v aplikaciji ustvaril organizacijo (v nadaljevanju »naročnik«). Ta pogodba je sklenjena v skladu s 28. členom Splošne uredbe o varstvu podatkov (GDPR) in je sestavni del splošnih pogojev uporabe.
2. Vloge pogodbenih strank
Naročnik je upravljavec osebnih podatkov svojih zaposlenih in sodelavcev ter določa namene in sredstva obdelave. CertGuard je obdelovalec in osebne podatke obdeluje izključno po dokumentiranih navodilih naročnika, kot izhajajo iz te pogodbe in uporabe aplikacije. CertGuard osebnih podatkov ne uporablja za lastne namene, jih ne prodaja in jih ne uporablja za profiliranje ali oglaševanje.
3. Predmet, narava in namen obdelave
Predmet obdelave je vodenje evidence obveznih usposabljanj, zdravniških pregledov in potrdil zaposlenih pri naročniku. Namen obdelave je izpolnjevanje obveznosti naročnika na področju varnosti in zdravja pri delu: spremljanje veljavnosti obveznosti, samodejno obveščanje odgovornih oseb pred potekom ter priprava pregledov in poročil za inšpekcijske postopke.
4. Trajanje obdelave
Obdelava traja ves čas trajanja naročniškega razmerja. Po prenehanju razmerja se podatki obravnavajo skladno z 9. členom te pogodbe.
5. Vrste osebnih podatkov
Ime in priimek zaposlenega, službeni e-naslov (neobvezno), delovno mesto (neobvezno), vrsta obveznosti, datum opravljanja in datum veljavnosti ter naložena potrdila o opravljenem usposabljanju ali pregledu. Poleg tega se obdelujejo podatki uporabniških računov naročnika: e-naslov in podatki o prijavi. CertGuard ne obdeluje posebnih vrst osebnih podatkov iz 9. člena GDPR: zdravstveni izvidi, diagnoze, ocene zmožnosti ali razlogi za omejitve se v aplikaciji ne zbirajo in jih naročnik vanjo ne sme vnašati. Pri zdravniških pregledih se obdelujeta izključno datum opravljanja in datum veljavnosti.
6. Kategorije posameznikov
Zaposleni in sodelavci naročnika, za katere naročnik vodi evidenco obveznosti, ter uporabniki, ki jim naročnik dodeli dostop do aplikacije.
7. Obveznosti obdelovalca
CertGuard: obdeluje osebne podatke le po navodilih naročnika; zagotavlja, da so osebe, ki podatke obdelujejo, zavezane k zaupnosti; izvaja tehnične in organizacijske ukrepe iz 8. člena te pogodbe; naročniku pomaga pri izpolnjevanju zahtev posameznikov glede njihovih pravic; naročnika brez nepotrebnega odlašanja obvesti o kršitvi varstva osebnih podatkov in mu da na voljo vse informacije, potrebne za izkazovanje skladnosti.
8. Varnostni ukrepi
Šifriran prenos podatkov (TLS) in šifrirano shranjevanje pri ponudnikih infrastrukture; ločenost podatkov med organizacijami, vsiljena na ravni podatkovne baze (row-level security), in ne le v aplikaciji; potrdila so shranjena v zasebnem prostoru, dostopna izključno prek časovno omejenih povezav; dostop do podatkov organizacije imajo le prijavljeni člani te organizacije; ločevanje pravic skrbnika in uporabnika z vpogledom; redno varnostno kopiranje pri ponudniku podatkovne baze.
9. Izbris in vračilo podatkov
Naročnik lahko kadar koli izvozi vse svoje podatke v strojno berljivi obliki skupaj z izvirnimi datotekami potrdil; izvoz je na voljo tudi, kadar naročnina ni aktivna. Ob zahtevi za izbris organizacije nastopi 30-dnevni odlog, v katerem lahko naročnik izbris prekliče. Po izteku odloga se vsi podatki organizacije, vključno z naloženimi potrdili, trajno izbrišejo. Zapisi o poslanih opomnikih se hranijo največ 24 mesecev in se nato samodejno izbrišejo. Ob izbrisu zaposlenega se izbrišejo tudi njegova potrdila.
10. Podobdelovalci
Naročnik soglaša z uporabo naslednjih podobdelovalcev: Supabase (gostovanje podatkovne baze in datotek, EU – Frankfurt); Vercel (gostovanje aplikacije); Resend (pošiljanje e-pošte); Stripe (obdelava plačil in izdaja računov); Anthropic PBC, ZDA (razbiranje podatkov s fotografije potrdila, samo kadar naročnik to funkcijo uporabi – glej 10.a člen). CertGuard z vsakim podobdelovalcem sklene pogodbo, ki zagotavlja enako raven varstva, kot jo določa ta pogodba. O nameravani zamenjavi ali dodatnem podobdelovalcu CertGuard naročnika obvesti vnaprej, naročnik pa lahko spremembi utemeljeno ugovarja.
10.a Razbiranje podatkov s fotografije potrdila
Aplikacija omogoča, da uporabnik fotografira potrdilo, iz slike pa se predlagajo podatki za vnos: ime zaposlenega, vrsta obveznosti, datum opravljanja in veljavnost. Funkcija je neobvezna in se uporabi samo takrat, ko uporabnik sam naloži sliko; sicer se nobena slika nikamor ne pošlje. Kadar se uporabi, se slika posreduje podobdelovalcu Anthropic PBC (ZDA), ki iz nje razbere podatke in vrne predlog. Anthropic slik ne uporablja za učenje svojih modelov in jih po zaključeni obdelavi ne hrani. Predlagani podatki se ne shranijo samodejno – uporabnik jih pred shranjevanjem preveri in potrdi. Sliko potrdila lahko naročnik ločeno pripne tudi kot prilogo k obveznosti; take priloge se hranijo pri ponudniku iz 10. člena (Supabase, EU) in se za razbiranje ne pošiljajo.
11. Kraj obdelave in prenosi v tretje države
Osebni podatki iz evidence usposabljanj se obdelujejo in hranijo na strežnikih v Evropski uniji (Frankfurt, Nemčija). Edini reden prenos izven Evropskega gospodarskega prostora nastane pri uporabi funkcije iz 10.a člena, ko se slika potrdila posreduje podobdelovalcu Anthropic PBC v Združene države; ta prenos se izvede na podlagi standardnih pogodbenih klavzul Evropske komisije. Če tudi drug podobdelovalec podatke obdeluje zunaj Evropskega gospodarskega prostora, se prenos izvede na enaki podlagi ali na drugi ustrezni pravni podlagi iz V. poglavja GDPR.
12. Pravice posameznikov
Naročnik kot upravljavec odgovarja za obravnavo zahtev posameznikov (dostop, popravek, izbris, omejitev, prenosljivost, ugovor). CertGuard mu pri tem pomaga z ustreznimi tehničnimi sredstvi: izvozom podatkov, urejanjem in izbrisom zapisov v aplikaciji. Če posameznik zahtevo naslovi neposredno na CertGuard, jo ta brez odlašanja posreduje naročniku.
13. Revizije in dokazovanje skladnosti
CertGuard naročniku na zahtevo da na voljo informacije, potrebne za izkazovanje izpolnjevanja obveznosti iz 28. člena GDPR, in omogoči revizijo, ki jo izvede naročnik ali od njega pooblaščen revizor, v razumnem obsegu in ob predhodnem dogovoru.
14. Kontakt za varstvo podatkov
Vprašanja glede varstva osebnih podatkov in uveljavljanje pravic: podpora@certguard.si. CertGuard glede na obseg in naravo obdelave ni zavezan k imenovanju pooblaščene osebe za varstvo podatkov.
15. Piškotki in merjenje obiska
Za delovanje aplikacije uporabljamo izključno nujno potrebne piškotke (prijavna seja). Ti ne zahtevajo privolitve. Če je na spletnem mestu vklopljeno merjenje obiska, se analitično orodje naloži šele po vaši izrecni privolitvi; do takrat se ne naloži noben skript tretje osebe in se ne shrani noben analitični piškotek. Vašo odločitev shranimo v lokalno shrambo brskalnika (localStorage), zato zavrnitev ne ustvari nobenega piškotka. Odločitev lahko kadar koli spremenite tako, da počistite podatke spletnega mesta v brskalniku.
Kje so moji podatki?
Na strežnikih v Evropski uniji (Frankfurt). Vsaka organizacija vidi izključno svoje podatke – ločevanje je zagotovljeno na ravni podatkovne baze, ne le v aplikaciji.
Kaj hranimo
Imena, službene e-naslove, delovna mesta, datume opravljanja in veljavnosti ter naložena potrdila.
Česa nikoli ne hranimo
Zdravstvenih izvidov, diagnoz ali razlogov. Pri zdravniškem pregledu hranimo le datum in veljavnost.