Pogodba o obdelavi osebnih podatkov (GDPR, 28. člen)

Različica 0.9 · 7. 10. 2026. Sklenjena med upravljavcem (delodajalec, ki uporablja storitev Velja – podatki iz registracije) in obdelovalcem (Velja, velja.si). Sklene se elektronsko s potrditvijo ob registraciji in je del Pogojev uporabe.

1. Predmet in trajanje

Obdelovalec za upravljavca obdeluje osebne podatke delavcev (tujcev), kontaktnih oseb in dokumentov v obsegu, potrebnem za vodenje postopka zaposlitve državljana tretje države (priprava vloge za enotno dovoljenje, roki, komunikacija). Pogodba traja, dokler traja uporaba storitve.

2. Vrste podatkov in posameznikov

Delavci: identifikacijski podatki, državljanstvo, potni list, poklic, kvalifikacije, naslov, telefon, jezik, sporočila; podatki o kazenskih obsodbah (potrdilo o nekaznovanosti) – posebna ureditev v 7. členu. Kontaktne osebe delodajalca: ime, e-pošta, telefon.

3. Navodila upravljavca

Obdelovalec obdeluje podatke samo po dokumentiranih navodilih upravljavca (uporaba storitve, nastavitve, ta pogodba), tudi glede prenosov v tretje države, razen če to zahteva pravo EU ali Slovenije – takrat upravljavca obvesti pred obdelavo, če obveščanje ni prepovedano.

4. Zaupnost

Osebe, pooblaščene za obdelavo pri obdelovalcu, so zavezane k zaupnosti (pogodbeno). Dostop je omejen na najmanjši potrebni obseg; vsak dostop do občutljivih dokumentov se beleži.

Ukrepi iz dokumenta Varnost: TLS, šifriranje v mirovanju pri gostitelju, gesla scrypt, 2FA, ločena shramba in izbris potrdil o nekaznovanosti, dnevnik dogodkov (revizijska sled: kdo, kdaj, kateri dokument), kopije v EU, preizkušanje in posodobitve. Obdelovalec ukrepe prilagaja tveganju in stanju tehnike.

6. Podobdelovalci

Upravljavec daje splošno dovoljenje za podobdelovalce iz seznama. O nameravani spremembi obdelovalec obvesti upravljavca vsaj 30 dni prej po e-pošti; upravljavec lahko ugovarja; ob ugovoru, ki ga ni mogoče rešiti, lahko upravljavec odpove pogodbo brez stroškov. Obdelovalec podobdelovalcem naloži enake obveznosti in ostane odgovoren upravljavcu.

Potrdila o nekaznovanosti se shranjujejo v ločeni shrambi z dnevnikom dostopov, dostop ima samo upravljavec in pooblaščeno osebje obdelovalca za tehnično podporo na zahtevo. Datoteka se izbriše 30 dni po oddaji vloge (ali po navodilu upravljavca prej); ohrani se zapis »predloženo, datum«. Modeli umetne inteligence dokument preberejo samo za preverjanje (datum, apostille, prevod, oseba); vsebina se ne uporablja za učenje modelov (pogodbeno jamstvo ponudnika).

8. Pomoč upravljavcu

Obdelovalec pomaga pri odgovarjanju na zahteve posameznikov (čl. 12–22), pri oceni učinka (čl. 35) in pri obveščanju o kršitvah: kršitev varnosti sporoči upravljavcu brez nepotrebnega odlašanja, najpozneje v 48 urah od seznanitve, z opisom, posledicami in ukrepi.

9. Izbris in vrnitev

Po koncu storitve upravljavec v 30 dneh izvozi podatke (mapa primera PDF, Excel); nato obdelovalec podatke izbriše, razen kjer zakon zahteva hrambo (računi). Izbris potrdi na zahtevo.

10. Revizije

Obdelovalec da upravljavcu na voljo informacije za dokazovanje skladnosti (ta dokument, opis ukrepov, dnevniki za njegove podatke) in omogoči revizijo enkrat letno ali ob utemeljenem sumu, z 20-dnevno napovedjo, na stroške upravljavca, brez posega v podatke drugih strank.

11. Prenosi v tretje države

Ponudnik umetne inteligence (Anthropic) lahko podatke obdeluje v ZDA na podlagi standardnih pogodbenih klavzul in DPA ponudnika; obdelovalec izbere nastavitev obdelave v EU, kjer je na voljo. Drugi podobdelovalci so v EU.

12. Odgovornost in pravo

Smiselno veljajo Pogoji uporabe (8. člen). Pravo Republike Slovenije; sodišče v Ljubljani.