Zyflow, Obdelava podatkov za podjetja

Različica: 1.0 · Zadnja sprememba: 26. 10. 2026

Ta stran pojasnjuje, kdaj Zyflow za vas kot poslovno stranko storitve Zyflow for Businesses obdeluje osebne podatke, in vsebuje našo standardno pogodbo o obdelavi osebnih podatkov po 28. členu GDPR.

1. Na kratko

Pri storitvi Zyflow for Businesses, kot deluje danes, Zyflow v vašem imenu ne obdeluje osebnih podatkov, zato pogodba o obdelavi osebnih podatkov ni potrebna.

Gradnik na vašem spletnem mestu. Gradnik ne nastavlja piškotkov in na napravah obiskovalcev ničesar ne shranjuje. Za njegov prikaz so nujno potrebni naslovi IP obiskovalcev, ki jih Zyflow in njegov ponudnik gostovanja obdelujeta za lastne namene Zyflow (zagotavljanje in varovanje storitve). Statistika uporabe je anonimna: ne vsebuje naslovov IP, imen ali identifikatorjev, ki bi se ohranili med obiski, vi pa prejmete le skupne številke. Zyflow določa, kako to deluje, in je za to upravljavec. Obiskovalcem lahko to opišete z našim besedilom o zasebnosti za vaše spletno mesto.
Vaš račun in obračun. Podatke o vas in vaših sodelavcih, ki uporabljate partnerski portal, ter podatke za obračun Zyflow obdeluje kot upravljavec v skladu s politiko zasebnosti Zyflow.
Vaše vsebine. Za fotografije in besedila, ki jih naložite, velja licenca za vsebine iz točke 15.3 naših pogojev. Fotografij prepoznavnih oseb ne nalagajte brez njihove privolitve.

Če pogodbo kljub temu potrebujete, na primer ker jo zahteva vaša pooblaščena oseba za varstvo podatkov ali ker nam za posebno nastavitev pošljete podatke o gostih, pišite na legal@zyflow.eu. Podpisali bomo spodnjo pogodbo, dopolnjeno s podrobnostmi obdelave, ali se dogovorili za skupno upravljanje, če je to primerneje.

2. Standardna pogodba o obdelavi osebnih podatkov

Ta pogodba velja le, kadar in kolikor HERKO d.o.o. v povezavi s storitvijo Zyflow for Businesses obdeluje osebne podatke v imenu poslovne stranke. Je del pogodbe med stranko in družbo HERKO d.o.o. po splošnih pogojih uporabe Zyflow (točka 15).

2.1 Stranki in vlogi

Upravljavec: poslovna stranka, navedena v partnerskem portalu ali v podpisanem izvodu te pogodbe (v nadaljevanju: »vi«).
Obdelovalec: HERKO d.o.o., Pševska cesta 10, 4000 Kranj, Slovenija, matična številka 8830045000, identifikacijska številka za DDV SI56613555 (v nadaljevanju: »Zyflow«, »mi«). Kontakt za varstvo podatkov: legal@zyflow.eu.

2.2 Predmet, trajanje, narava in namen


Predmet	Obdelava, opisana v Prilogi 1 podpisanega izvoda.
Trajanje	Dokler vam Zyflow zagotavlja zadevno storitev, in še rok za izbris iz točke 2.10.
Narava	Shranjevanje, urejanje, prikazovanje in posredovanje podatkov v okviru storitve Zyflow for Businesses.
Namen	Zagotavljanje storitve Zyflow for Businesses po splošnih pogojih uporabe.
Vrste osebnih podatkov	Kot je navedeno v Prilogi 1 podpisanega izvoda.
Kategorije posameznikov	Kot je navedeno v Prilogi 1 podpisanega izvoda (na primer vaši gostje ali zaposleni).

Posebne vrste osebnih podatkov (9. člen GDPR) se po tej pogodbi ne obdelujejo.

2.3 Vaša navodila

Osebne podatke obdelujemo le po vaših dokumentiranih navodilih, tudi glede prenosov zunaj EU/EGP, razen če pravo EU ali Slovenije zahteva drugače; v tem primeru vas o tem pred obdelavo obvestimo, razen če zakon to prepoveduje. Vaša navodila so splošni pogoji uporabe, ta pogodba in vaša uporaba partnerskega portala. Če menimo, da navodilo krši predpise o varstvu podatkov, vas o tem nemudoma obvestimo.

2.4 Zaupnost

Vsi pri Zyflow, ki so pooblaščeni za obdelavo osebnih podatkov, so zavezani k zaupnosti.

2.5 Varnost

Izvajamo tehnične in organizacijske ukrepe, ki jih zahteva 32. člen GDPR. Povzeti so v Prilogi 2; sčasoma jih lahko izboljšamo, ne smemo pa jih znižati pod tam opisano raven.

2.6 Podobdelovalci

Dajete nam splošno pooblastilo za uporabo podobdelovalcev. Trenutni podobdelovalci so navedeni v Prilogi 3. O dodajanju ali zamenjavi podobdelovalca vas obvestimo vsaj 30 dni vnaprej; v tem roku lahko iz utemeljenih razlogov varstva podatkov ugovarjate, in če vašega ugovora ne moremo upoštevati, lahko zadevno storitev odpoveste. Vsakemu podobdelovalcu naložimo obveznosti varstva podatkov, ki niso manj stroge od te pogodbe, in vam odgovarjamo za njegovo delo.

2.7 Prenosi zunaj EU/EGP

Osebne podatke prenašamo zunaj EU/EGP le, če je v skladu s poglavjem V GDPR zagotovljena ustrezna raven varstva, zlasti s sklepom o ustreznosti (vključno z okvirom EU-ZDA za zasebnost podatkov) ali s standardnimi pogodbenimi klavzulami Evropske komisije.

2.8 Pomoč pri vaših obveznostih

Ob upoštevanju narave obdelave vam pomagamo:

odgovarjati na zahteve posameznikov, ki uveljavljajo svoje pravice (členi od 12 do 23 GDPR). Če se posameznik glede obdelave po tej pogodbi obrne neposredno na nas, njegovo zahtevo posredujemo vam;
izpolnjevati obveznosti iz členov od 32 do 36 GDPR (varnost, uradno obveščanje o kršitvah, ocene učinka v zvezi z varstvom podatkov in predhodno posvetovanje).

2.9 Kršitve varstva osebnih podatkov

O kršitvi varstva osebnih podatkov, ki zadeva podatke, obdelane po tej pogodbi, vas obvestimo brez nepotrebnega odlašanja in, kadar je mogoče, v 48 urah po tem, ko smo z njo seznanjeni. Obvestilo vsebuje informacije iz tretjega odstavka 33. člena GDPR, kolikor so na voljo, dodatne informacije pa posredujemo sproti.

2.10 Izbris in vračilo

Ob prenehanju storitve osebne podatke po vaši izbiri v 30 dneh izbrišemo ali vrnemo in izbrišemo obstoječe kopije, razen če nam pravo EU ali Slovenije nalaga njihovo hrambo. Morebitne kopije v varnostnih kopijah se izbrišejo v običajnem ciklu (najpozneje 30 dni pozneje) in se do takrat ne uporabljajo.

2.11 Informacije in revizije

Dajemo vam na voljo informacije, potrebne za dokazovanje skladnosti z 28. členom GDPR, ter omogočamo in prispevamo k revizijam, vključno s pregledi, ki jih izvajate vi ali revizor, ki ga pooblastite in je zavezan k zaupnosti. Revizije potekajo z vsaj 30-dnevno predhodno najavo, v delovnem času, največ enkrat letno, razen če to zahteva kršitev ali nadzorni organ, vsaka stranka pa krije svoje stroške.

2.12 Odgovornost in prednost določb

Odgovornost ureja 82. člen GDPR in, kolikor to dopušča zakon, točka 15.4 splošnih pogojev uporabe. Če je ta pogodba glede varstva podatkov v nasprotju s splošnimi pogoji uporabe, prevlada ta pogodba.

2.13 Pravo in pristojnost

Za to pogodbo se uporablja pravo Republike Slovenije. Pristojno je sodišče v Kranju.

Priloga 1: Podrobnosti obdelave

Izpolni se v podpisanem izvodu za konkretno obdelavo (vrste osebnih podatkov, kategorije posameznikov, rok hrambe). Standardne obdelave za Zyflow for Businesses danes ni (glejte točko 1).

Priloga 2: Tehnični in organizacijski ukrepi (povzetek)

Podatki so shranjeni v EU (Irska) pri našem ponudniku podatkovnih baz; šifriranje pri prenosu (TLS) in v mirovanju.
Dostop do produkcijskih sistemov je omejen na pooblaščene zaposlene Zyflow, z osebnimi računi in večfaktorsko avtentikacijo, kjer je na voljo.
Varnost na ravni vrstic v podatkovni bazi: poslovni uporabniki lahko berejo in spreminjajo le podatke svoje organizacije.
Ločeno testno in produkcijsko okolje; skrivnosti niso shranjene v izvorni kodi.
Beleženje skrbniškega dostopa; spremljanje napak s prikrivanjem občutljivih podatkov.
Najmanjši obseg podatkov že v zasnovi: gradnik ne uporablja piškotkov, shrambe na napravi ali trajnih identifikatorjev.

Priloga 3: Podobdelovalci

Podobdelovalec	Storitev	Lokacija
Supabase, Inc.	Podatkovna baza, avtentikacija, shramba datotek, zaledne funkcije	EU (Irska); matična družba v ZDA
Vercel, Inc.	Gostovanje partnerskega portala, gradnika in spletnih mest	Globalno omrežje, vključno z ZDA
Brevo (Sendinblue SAS)	Pošiljanje e-pošte	Francija (EU)
Sentry (Functional Software, Inc.)	Spremljanje napak	Podatkovna regija EU; družba v ZDA
Contabo GmbH	Gostovanje strežnikov za naše storitve zemljevidov in načrtovanja poti	Nemčija (EU)

Plačila obdeluje Stripe kot samostojni upravljavec po lastnih pogojih; Stripe ni naš podobdelovalec za vaše podatke.