Pogodba o obdelavi
osebnih podatkov

01 Stranki pogodbe

02 Predmet in trajanje

BookWell (obdelovalec) obdeluje osebne podatke strank salona v imenu in po navodilih lastnika salona (upravljavca) za namen delovanja rezervacijskega sistema.

Pogodba velja za čas trajanja naročnine na storitev BookWell. Po prenehanju naročnine se podatki izbrišejo v skladu z določili 12. člena te pogodbe.

03 Vrsta in namen obdelave

Vrste osebnih podatkov

• Identifikacijski podatki strank: ime in priimek
• Kontaktni podatki: elektronski naslov, telefonska številka
• Podatki o rezervacijah: datum, čas, vrsta storitve
• Vsebina pogovorov z AI asistentom (v obsegu, potrebnem za izvajanje storitve)

Namen obdelave

• Upravljanje in potrjevanje rezervacij strank salona
• Pošiljanje potrditvenih in obvestilnih e-poštnih sporočil
• Prikaz terminov v skrbniškem panelu upravljavca
• Zagotavljanje delovanja AI asistenta za rezervacije

Kategorije posameznikov

Stranke salona, ki opravljajo rezervacije prek BookWell AI asistenta ali skrbniškega panela.

04 Obveznosti obdelovalca (BookWell)

BookWell se zavezuje, da bo:

• Osebne podatke obdeloval izključno po dokumentiranih navodilih upravljavca in za namene iz 3. člena
• Zagotovil, da so osebe, pooblaščene za obdelavo podatkov, zavezane k zaupnosti
• Sprejel in vzdrževal ustrezne tehnične in organizacijske varnostne ukrepe (8. člen)
• Upravljavca takoj obvestil, če meni, da navodilo krši GDPR ali drugo pravo EU
• Upravljavcu pomagal pri izpolnjevanju obveznosti glede pravic posameznikov (9. člen)
• Po prenehanju storitve podatke izbrisal ali vrnil po izbiri upravljavca (12. člen)
• Upravljavcu dal na voljo vse informacije, potrebne za dokazovanje skladnosti
• Omogočil revizije in preglede v razumnem obsegu (11. člen)

05 Obveznosti upravljavca

Lastnik salona (upravljavec) se zavezuje, da bo:

• Strankam zagotovil ustrezne informacije o obdelavi podatkov (zasebnostna politika salona)
• Imel veljavno pravno osnovo za zbiranje in posredovanje osebnih podatkov strank BookWell
• BookWell takoj obvestil o kakršnih koli zahtevah strank glede uveljavljanja GDPR pravic
• Zagotovil točnost in ažurnost podatkov, ki jih vnese v sistem
• Upošteval omejitve namena obdelave, določene v tej pogodbi
• BookWell obvestil o vseh okoliščinah, ki bi lahko vplivale na obdelavo podatkov

06 Podobdelovalci

Upravljavec z podpisom te pogodbe (oz. začetkom uporabe storitve) dovoljuje BookWell uporabo naslednjih podobdelovalcev. BookWell zagotavlja, da so vsi podobdelovalci zavezani z enakovrednimi obveznostmi varstva podatkov.

Podobdelovalec	Namen	Lokacija	Politika
Anthropic, PBC	Obdelava besedil AI asistenta (Claude)	ZDA (SCC)	anthropic.com/legal/privacy
Twilio SendGrid	Pošiljanje potrditvenih in obvestilnih e-poštnih sporočil	ZDA (SCC)	twilio.com/legal/privacy
Stripe, Inc.	Obdelava plačil naročnin	ZDA (SCC)	stripe.com/privacy
PostgreSQL gostovanje	Shramba podatkov o terminih in salonih	EU	Dostopno na zahtevo

BookWell bo upravljavca obvestil o vsakem načrtovanem dodajanju ali zamenjavi podobdelovalca vsaj 14 dni vnaprej. Upravljavec ima pravico ugovarjati spremembi v tem roku.

07 Prenos podatkov izven EU

Nekateri podobdelovalci (Anthropic, SendGrid, Stripe) imajo sedež v Združenih državah Amerike. Prenosi podatkov v te države temeljijo na:

• Standardnih pogodbenih klavzulah EU (SCC) — skladno z Izvedbenim sklepom Komisije (EU) 2021/914
• EU–US Data Privacy Framework — za podobdelovalce, ki so certificirani po tem okviru

BookWell zagotavlja, da so vsi prenosi podatkov v tretje države ustrezno zavarovani in skladni z zahtevami GDPR (poglavje V).

08 Varnostni ukrepi

BookWell skladno z GDPR čl. 32 zagotavlja naslednje tehnične in organizacijske ukrepe:

• Šifriranje v prenosu: Vsi podatki se prenašajo prek HTTPS/TLS
• Šifriranje v mirovanju: Podatkovna baza je šifrirana
• Nadzor dostopa: Dostop do podatkov je omejen na pooblaščeno osebje po principu najmanjših privilegijev
• Gesla: Shranjena z bcrypt algoritmom (delovni faktor ≥ 10)
• Seje: Zaščitene z varnimi sesjami in samodejno potečejo po 24 urah
• Rate limiting: Zaščita pred bruteforce in DOS napadi
• Beleženje: Dostopi in spremembe podatkov se beležijo
• Varnostne posodobitve: Redno posodabljanje odvisnosti in sistemskih komponent

09 Pravice posameznikov

Ko stranka salona uveljavlja pravice po GDPR (dostop, popravek, izbris, prenosljivost, ugovor), upravljavec obvesti BookWell. BookWell se zavezuje, da bo:

• Upravljavcu pomagal pri odgovoru na zahtevo v razumnem roku (najkasneje v 72 urah)
• Zagotovil tehnična orodja za izvoz, popravek ali izbris podatkov posameznika
• V primeru zahteve za izbris podatke dejansko izbrisal iz vseh sistemov v 30 dneh

Lastniki salonov (upravljavci) lahko svoje GDPR pravice uveljavljajo neposredno prek obrazca na /privacy ali z zahtevo na info@bookwell.si.

10 Kršitve varnosti podatkov

V primeru ugotovljene kršitve varnosti osebnih podatkov bo BookWell:

• Upravljavca obvestil v 24 urah po ugotovitvi kršitve (upravljavec ima nato 72 ur za obvestitev URADY)
• Posredoval vse razpoložljive informacije o naravi kršitve, vrstah in okvirnem številu prizadetih podatkov ter posameznikov
• Opisal verjetne posledice kršitve in ukrepe za njeno odpravo
• Kršitev evidentiral v notranjem registru (tabela breach_log)

11 Revizije in pregledi

Upravljavec ima pravico do revizije skladnosti BookWell z obveznostmi iz te pogodbe. Revizija se izvede:

• Na pisno zahtevo upravljavca z vsaj 30-dnevnim odpovednim rokom
• Na stroške upravljavca, razen kadar revizija razkrije kršitve s strani BookWell
• Z minimalnim vplivom na delovanje BookWell storitve

Kot alternativo reviziji na kraju samem lahko BookWell predloži veljavno potrdilo o neodvisni varnostni reviziji (npr. ISO 27001, SOC 2) ali izpolnjen vprašalnik o varnosti.

12 Prenehanje pogodbe

Po prenehanju naročnine (odpoved, neplačilo ali druga prekinitev) BookWell:

• V roku 30 dni izbriše ali anonimizira vse osebne podatke strank salona
• Na zahtevo upravljavca podatke pred brisanjem izvozi v CSV ali JSON formatu
• Ohrani davčne in finančne zapise za obdobje, ki ga zahteva slovenska zakonodaja (6 let)
• Upravljavcu pisno potrdi dokončno brisanje podatkov

Podatki, ki jih je upravljavec sam prenesel ali shranil drugje, niso predmet te obveznosti.

13 Kontakt in DPO

Za vsa vprašanja v zvezi s to pogodbo, obdelavo podatkov ali uveljavljanjem pravic:

BookWell.si
E-pošta: info@bookwell.si
Naslov: Ljubljana, Slovenija

Upravljavec ima pravico vložiti pritožbo pri Informacijskem pooblaščencu RS:
www.ip-rs.si · gp.ip@ip-rs.si