Pogodba o obdelavi osebnih podatkov

Aplikacija »Trenerlog« · skladno s 28. členom GDPR · 15. oktober 2026

1. Pogodbeni stranki

Upravljavec: [NAZIV NAROČNIKA / KLUBA], [NASLOV], matična št. [MAT.ŠT.], davčna št. [DAV.ŠT.], zastopa [IME], v nadaljevanju »upravljavec«.

Obdelovalec: Concero d.o.o., Želimlje 83G, 1291 Škofljica, matična št. 3803848000, davčna št. SI82226288, zastopa Marijana Jagić Glavač, v nadaljevanju »obdelovalec«.

Stranki skleneta pogodbo o obdelavi osebnih podatkov v skladu s 28. členom GDPR in ZVOP-2.

2. Predmet, narava in namen obdelave

Obdelovalec za upravljavca obdeluje osebne podatke v okviru zagotavljanja storitve »Trenerlog« (SaaS) za:

• upravljanje seznama trenerjev, urnikov in sezone;
• evidentiranje opravljenih ur in odpovedi;
• pripravo mesečnega in sezonskega obračuna z DDV;
• hranjenje podatkov o blokadah za arhivske namene.

Narava: zbiranje, hramba, organizacija, vpogled, prikaz, izračun, izvoz, izbris.

Trajanje: za čas trajanja pogodbe o uporabi storitve in zakonsko predpisanih rokov hrambe po njenem prenehanju.

3. Vrste podatkov in kategorije posameznikov

Podrobnejši seznam je v Prilogi A. V splošnem:

• identifikacijski podatki trenerjev (ime, priimek, e-pošta);
• podatki o delovnem razmerju (urnik, postavka, sezona);
• finančni podatki (znesek, DDV stopnja);
• avditni podatki (časovni žigi blokad);
• podatki o uporabnikih pri naročniku (nadzorniki kluba).

4. Obveznosti obdelovalca

• obdelava izključno na dokumentirano navodilo upravljavca, vključno s prenosi v tretje države;
• zavezanost zaupnosti vseh oseb, pooblaščenih za obdelavo;
• izvajanje ukrepov varnosti iz 32. člena GDPR (Priloga B);
• pomoč upravljavcu pri izpolnjevanju pravic posameznikov (Poglavje III GDPR);
• pomoč pri izpolnjevanju obveznosti iz členov 32–36 GDPR;
• po prenehanju pogodbe izbris ali vrnitev vseh podatkov;
• zagotovitev informacij za dokazovanje skladnosti in omogočanje revizij.

5. Pod-obdelovalci

Aktualen seznam je v Prilogi C. Z vsakim pod-obdelovalcem ima obdelovalec pogodbo z enakovrednimi obveznostmi. O novih ali zamenjavi obvešča upravljavca najmanj 30 dni vnaprej. Upravljavec lahko ugovarja iz utemeljenih razlogov.

6. Pravice posameznikov

Obdelovalec brez nepotrebnega odlašanja obvesti upravljavca o vsaki zahtevi posameznika in mu pomaga pri odgovoru. Aplikacija Trenerlog vsebuje funkcionalnosti za izpolnjevanje pravic: izvoz v strojno berljivi obliki, popravek, izbris, blokado.

7. Tehnični in organizacijski ukrepi

Podrobno v Prilogi B. Vključujejo:

• šifriranje prenosa in hrambe;
• nadzor dostopov po načelu najmanjših pravic;
• 2FA za administratorje;
• redne varnostne kopije s testiranjem obnove;
• dnevniki dostopov;
• postopek odzivanja na incidente.

8. Kršitve varnosti osebnih podatkov

Obdelovalec upravljavca brez odlašanja, najpozneje v 48 urah, obvesti o vsaki kršitvi. Obvestilo vsebuje opis kršitve, verjetne posledice in sprejete ukrepe. Obdelovalec pomaga pri prijavi IP RS in obvestilu posameznikov.

9. Mednarodni prenosi

Brez prenosov izven EGP, razen ob izpolnjenih pogojih iz Poglavja V GDPR (sklep o ustreznosti ali SCC). Aktualen seznam pod-obdelovalcev z lokacijo obdelave je v Prilogi C.

10. Revizije

Upravljavec ima pravico enkrat letno s 30-dnevno najavo preveriti skladnost. Obdelovalec lahko izpolni zahtevo z aktualnimi certifikati skladnosti (ISO 27001, SOC 2).

11. Vrnitev ali izbris

Po prenehanju pogodbe obdelovalec po izbiri upravljavca:

• v 30 dneh izbriše iz produkcije, iz varnostnih kopij po standardni rotaciji (do 90 dni).

Pošlje pisno potrdilo o izbrisu.

12. Trajanje in spremembe

Pogodba začne veljati z dnem podpisa in velja, dokler obdelovalec obdeluje podatke za upravljavca. Spremembe so veljavne le v pisni obliki.

13. Odgovornost

Stranki ravnata v skladu z 82. členom GDPR. Vsaka stranka odgovarja za svoje kršitve.

14. Veljavno pravo in pristojnost

Slovensko pravo. Pristojno sodišče v Ljubljani.

Priloga A — Opis obdelave

A.1 Predmet

Zagotavljanje storitve »Trenerlog« (SaaS) za vodenje urnika trenerjev, evidence ur in obračun v športnih klubih.

A.2 Trajanje

Za čas trajanja pogodbe o uporabi storitve.

A.3 Narava in namen

Tehnično omogočanje storitve: gostovanje aplikacije, baz podatkov, varnostne kopije, podpora uporabnikom.

A.4 Kategorije osebnih podatkov

• Trenerji: ime, priimek, e-pošta, urnik, postavka, davčni status, opravljeni termini, status.
• Uporabniki pri upravljavcu: ime, priimek, e-pošta, vloga, dnevniki dostopa.
• Avditni podatki: časovni žigi blokad, sprememb, prijav.

A.5 Kategorije posameznikov

• Trenerji v športnem klubu upravljavca.
• Zaposleni ali pogodbeni izvajalci upravljavca z administratorskim dostopom.

Priloga B — Tehnični in organizacijski ukrepi

B.1 Šifriranje

• TLS 1.2+ za vse povezave.
• Šifriranje hrambe baze (AES-256) in varnostnih kopij.

B.2 Nadzor dostopa

• Načelo najmanjših pravic.
• 2FA za administratorske dostope.
• Periodični pregled dostopov (≥ 2× letno).

B.3 Razpoložljivost

• Cilj 99,5 % mesečno.
• Dnevne varnostne kopije, hramba 30 dni, mesečno testiranje obnove.
• DR načrt: RPO ≤ 24 ur, RTO ≤ 8 ur.

B.4 Spremljanje in dnevniki

• Dnevniki dostopov in administratorskih dejanj — hramba 12 mesecev.
• Sistem za zaznavanje napadov (WAF, rate-limiting).
• Spremljanje ranljivosti odvisnosti.

B.5 Razvoj

• Ločena okolja (razvoj/stage/produkcija).
• V razvoju anonimizirani podatki.
• Code review pred uvedbo.
• Penetracijski testi enkrat letno.

B.6 Organizacijski ukrepi

• Zaupnost zaposlenih, redno usposabljanje.
• Postopek odzivanja na incidente.
• Pogodbe s pod-obdelovalci z enakovrednimi obveznostmi.

Priloga C — Pod-obdelovalci

Seznam pod-obdelovalcev za izvajanje storitve. Spremembe javljamo najmanj 30 dni vnaprej.

Podpisi

Pogodba je sklenjena v dveh enakovrstnih izvodih.

Različica 1.0 · 15. oktober 2026