OSNUTEK / DRAFT — for counsel review, not in forceTa stran je osnutek. Ne velja in ni ponudba. Na voljo je v slovenščini in angleščini; drugih 11 jezikov aplikacije (skupaj 13) dodamo po pregledu. Oznaka […] pomeni podatek, ki ga še vpišemo, oznaka Q vprašanje za odvetnika.
Pogodba o obdelavi osebnih podatkov
Po 28. členu GDPR, za poslovne uporabnike, katerih zaposlenih, strank in drugih oseb podatke obdelujemo.
1. Stranki in sklenitev
Upravljavec: podjetje, ki uporablja Bureo (družba, s.p. ali druga organizacija), »vi«.
Obdelovalec: PEACH WORLDS LTD, zasebna družba z omejeno odgovornostjo, registrirana v Angliji in Walesu, matična številka 14631680, sedež 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, Združeno kraljestvo, »mi«.
Ta pogodba je del pogojev uporabe. Velja za vse pakete, tudi brezplačnega, od trenutka, ko odprete račun in sprejmete pogoje. Q39
2. Predmet in trajanje
Osebne podatke obdelujemo za vas, dokler uporabljate Bureo, potem pa samo tako, kot določa točka 11.
3. Narava in namen
Podatke obdelujemo samo za storitev, ki jo uporabljate: vodenje knjig, izračun davkov in prispevkov, priprava oddaj in plačil, izdajanje računov, obračun plač, hramba in pregled dokumentov, podpisovanje, opomniki, povezave z drugimi storitvami in odgovori v klepetu.
Vrste podatkov in osebe, na katere se nanašajo, so v Prilogi 1.
4. Vaša navodila
Podatke obdelujemo samo po vaših dokumentiranih navodilih. Vaša navodila so ti pogoji, ta pogodba, vaše nastavitve in dejanja, ki jih potrdite v aplikaciji. Če menimo, da navodilo krši predpise o varstvu podatkov, vas o tem obvestimo in ga ne izvedemo.
Če zakon od nas zahteva drugačno obdelavo, vas o tem prej obvestimo, razen če zakon to prepoveduje.
5. Zaupnost
Vsi, ki imajo pri nas dostop do vaših podatkov, so zavezani k zaupnosti. Dostop je omejen na to, kar potrebujejo za svoje delo.
6. Varnost
Izvajamo ukrepe iz Priloge 2 in jih sproti prilagajamo tveganjem.
7. Pomoč vam
Glede na to, kar lahko vidimo in naredimo, vam pomagamo:
odgovarjati na zahteve oseb, ki uveljavljajo svoje pravice (dostop, popravek, izbris, prenosljivost in druge), predvsem z orodji za izvoz in urejanje v aplikaciji;
pri varnosti, obvestilih o kršitvah, ocenah učinka in posvetovanjih z nadzornim organom.
Če nam kdo pošlje zahtevo glede vaših podatkov, jo posredujemo vam in nanjo ne odgovorimo sami, razen če nas za to prosite.
8. Podobdelovalci Q41
Dajete nam splošno dovoljenje za uporabo podobdelovalcev. Trenutni seznam je na strani s podobdelovalci.
Vsaj [10] dni pred začetkom dela novega podobdelovalca vas obvestimo po e-pošti in v aplikaciji.
Iz utemeljenih razlogov varstva podatkov lahko ugovarjate. Takrat poskušamo najti rešitev. Če je ne najdemo, lahko prizadeto storitev prekinete, mi pa vrnemo vnaprej plačani znesek za neporabljeno obdobje.
Vsak podobdelovalec ima enake obveznosti varstva podatkov kot mi. Za njegovo delo vam odgovarjamo mi.
9. Prenosi zunaj EU
Osebne podatke prenesemo zunaj EU/EGP samo z zaščitnim ukrepom iz V. poglavja GDPR (sklep o ustreznosti ali standardne pogodbene klavzule). Na strani s podobdelovalci piše, kaj velja za katerega. Q28
10. Kršitve varstva osebnih podatkov
O kršitvi pri vaših podatkih vas obvestimo brez nepotrebnega odlašanja, ko zanjo izvemo, in si prizadevamo, da v 24 urah. Damo vam, kar potrebujete za svoje obvestilo: kaj se je zgodilo, kateri podatki in osebe, verjetne posledice ter kaj smo naredili in predlagamo. Dodatne podrobnosti sporočamo sproti. Q42
11. Ob koncu pogodbe Q40
Podatke lahko izvozite kadar koli, vsekakor pa pred koncem pogodbe (knjige in račune v običajnih oblikah, dokumente kot datoteke).
Po koncu:
vaše podatke, tudi kopije, izbrišemo v [90] dneh, razen če jih moramo hraniti po zakonu; ali
če nam tako naročite, hranimo arhiv samo za branje za roke, ki jih za hrambo vaših listin določa zakon, nato ga izbrišemo. [Privzeto: odloči lastnik.]Q24
Varnostne kopije se prepišejo v običajnem ciklu.
12. Revizije Q43
Damo vam informacije, ki jih potrebujete za preverjanje, ali izpolnjujemo to pogodbo, vključno s certifikati in revizijskimi poročili naših podobdelovalcev, kjer so na voljo.
Če to ne zadošča, nas lahko vi ali revizor, zavezan k zaupnosti, revidirate največ enkrat na leto, s 30-dnevno najavo in na vaše stroške, razen če revizija odkrije našo bistveno kršitev.
13. Evidence
Vodimo evidenco obdelav, ki jih izvajamo za vas (člen 30(2) GDPR).
14. Odgovornost
Odgovornost med nama urejajo pogoji uporabe in 82. člen GDPR. [Kako tu velja omejitev iz pogojev: odvetnik.]Q42
15. Podatki iz eDavkov
[Prostor za besedilo. Oddaja v eDavke prek nas še ni na voljo. Pogoje za podatke, prejete iz eDavkov in poslane vanje, dodamo pred začetkom.]Q3
16. Potrdilo FURS za davčno potrjevanje računov Q36
Če naložite svoje potrdilo FURS za davčno potrjevanje računov, ga:
hranimo šifrirano, samo na strežniku;
uporabimo samo za potrjevanje vaših računov in prijavo poslovnih prostorov pri FURS;
nikoli ne izvozimo, ne zapišemo v dnevnik in ne prikažemo;
prenehamo uporabljati in izbrišemo takoj, ko ga prekličete ali zamenjate.
Ni prijava v eDavke in nam ne daje dostopa do eDavkov.
17. Vrstni red dokumentov
Za osebne podatke ima ta pogodba prednost pred pogoji uporabe.
Priloga 1: podatki in osebe Q32Q44
Osebe
Podatki
Vaše stranke in dobavitelji ter njihove kontaktne osebe
imena, naslovi, davčne in identifikacijske številke za DDV, e-naslovi, telefonske številke, IBAN, računi, plačila
Vaši zaposleni in zunanji sodelavci
imena, naslovi, davčne številke, IBAN, podatki o zaposlitvi, plače, prispevki, evidence delovnega časa, odsotnosti; bolniška odsotnost (podatek o zdravju, 9. člen GDPR)
Družbeniki in delničarji vašega podjetja
imena, naslovi, davčne številke, deleži, sklepi
Osebe v dokumentih, ki jih naložite ali prejmete
imena, funkcije, podpisi, kontaktni podatki in drugo, kar vsebuje dokument
Osebe, ki jih povabite (računovodja, revizor, vlagatelji)
imena, e-naslovi, dostop in dejavnost
Vaši uporabniki
imena, e-naslovi, vloge, potrjena dejanja
Drugih posebnih vrst podatkov ali podatkov o kaznivih dejanjih ne pričakujemo. Zneske plač vidijo samo vloge, ki jim to dovolite, plačilne liste pa prejme vsak zaposleni neposredno.
Priloga 2: varnostni ukrepi
Že danes:
šifriranje pri prenosu; baza in varnostne kopije pri ponudniku v EU (Frankfurt), s šifriranjem v mirovanju pri ponudniku;
funkcije aplikacije tečejo v EU (Frankfurt);
podatki vsakega podjetja ločeni z varnostjo na ravni vrstic v bazi; vsaka zahteva teče kot prijavljena oseba; v brskalniku ni skupnega servisnega ključa;
vloge določajo, kdo kaj vidi in naredi; odobritelj in podpisnik sta vedno prijavljena oseba;
vse, kar odda, podpiše, pošlje, deli ali plača, čaka na potrditev, ki jo lahko da samo oseba, ki je dejanje pripravila, in ki je zavrnjena, če so se podatki vmes spremenili;
povezave prek zaslona za soglasje pri ponudniku, najprej samo za branje in z najožjim obsegom;
testi in predogledi samo z izmišljenimi podatki.
Gradimo pred zagonom (UNVERIFIED, dokler ni v uporabi):
šifrirana shramba samo na strežniku za žetone za dostop in potrdilo za davčno potrjevanje;
revizijska sled, ki razkrije vsako spremembo;
preizkus obnove iz varnostne kopije in roki hrambe;
varnostne glave na vseh straneh in opozorila ob napakah.
OSNUTEK / DRAFT — for counsel review, not in forceThis page is a draft. It is not in force and is not an offer. It is in Slovenian and English only for now; the app's other 11 languages (13 in all) follow after review. […] marks a detail still to be filled in, Q a question for counsel.
Data processing agreement
Under Article 28 of the GDPR, for business users whose employees', customers' and other people's data we process.
1. The parties and how this agreement is made
Controller: the business that uses Bureo (a company, an s.p. or another organisation), "you".
Processor: PEACH WORLDS LTD, a private limited company registered in England and Wales, company number 14631680, registered office 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom, "we".
This agreement is part of the terms of use. It applies on every plan, including Free, from the moment you create an account and accept the terms. Q39
2. Subject and duration
We process personal data for you while you use Bureo, and afterwards only as section 11 says.
3. Nature and purpose
We process data only to provide the service you use: keeping books, calculating taxes and contributions, preparing filings and payments, invoicing, payroll, storing and reviewing documents, signing, reminders, connections to other services, and answering questions in the chat.
The types of data and the people concerned are listed in Annex 1.
4. Your instructions
We process the data only on your documented instructions. Your instructions are these terms, this agreement, your settings and the actions you confirm in the app. If we think an instruction breaks data protection law, we tell you and do not carry it out.
If the law requires us to process data in another way, we tell you first, unless that law forbids it.
5. Confidentiality
Everyone who can access your data on our side is bound to confidentiality. Access is limited to what their work needs.
6. Security
We take the measures in Annex 2 and keep them up to date with the risks.
7. Helping you
Taking into account what we can see and do, we help you:
answer requests from people exercising their rights (access, correction, deletion, portability and others), mainly through the export and editing tools in the app;
with security, breach notices, impact assessments and consultations with the supervisory authority.
If someone sends a request about your data to us, we pass it to you and do not answer it ourselves, unless you ask us to.
8. Sub-processors Q41
You give us general authorisation to use sub-processors. The current list is on the sub-processor page.
We tell you at least [10] days before a new sub-processor starts, by e-mail and in the app.
You may object on reasonable data protection grounds. We then try to find a solution. If we can't, you may end the affected service and we refund the prepaid fees for the unused period.
Each sub-processor is bound by the same data protection obligations as we are. We remain responsible to you for its work.
9. Transfers outside the EU
We transfer personal data outside the EU/EEA only with a safeguard under Chapter V of the GDPR (an adequacy decision or the standard contractual clauses). The sub-processor page says which applies to each. Q28
10. Personal data breaches
We tell you without undue delay after we become aware of a breach of your data, and we aim to do so within 24 hours. We give you what you need for your own notice: what happened, which data and people, the likely consequences, and what we did and propose to do. We give further details as we learn them. Q42
11. When the contract ends Q40
You can export your data at any time, and in any case before the contract ends (books and invoices in common formats, documents as files).
After the end:
we delete your data within [90] days, including copies, unless the law requires us to keep it; or
if you instruct us, we keep a read-only archive for the periods the law sets for keeping your records, and then delete it. [Default: owner decides.]Q24
Backups are overwritten in their normal cycle.
12. Audits Q43
We give you the information you need to check that we meet this agreement, including our sub-processors' certifications and audit reports where available.
If that isn't enough, you or an auditor bound to confidentiality may audit us at most once a year, with 30 days' notice, at your cost, unless the audit finds a material breach by us.
13. Records
We keep a record of the processing we do for you (Article 30(2) GDPR).
14. Liability
Liability between us follows the terms of use and Article 82 of the GDPR. [How the cap in the terms applies here: counsel.]Q42
15. eDavki data
[Placeholder. Hosted filing in eDavki is not available yet. Terms for data received from and sent to eDavki will be added before it starts.]Q3
16. FURS certificate for fiscal receipts Q36
If you upload your FURS certificate for fiscal receipts, we:
keep it encrypted, on the server only;
use it only to verify your receipts and register your business premises with FURS;
never export, log or show it;
stop using it and delete it as soon as you revoke or replace it.
It is not an eDavki login and gives us no access to eDavki.
17. Order of documents
For personal data, this agreement takes precedence over the terms of use.
Annex 1: data and people Q32Q44
People
Data
Your customers and suppliers, and their contact persons
names, positions, signatures, contact details and whatever else the document contains
People you invite (accountant, auditor, investors)
names, e-mails, access and activity
Your own users
names, e-mails, roles, actions confirmed
We do not expect other special categories or criminal-offence data. Salary amounts are visible only to the roles you allow, and payslips go directly to each employee.
Annex 2: security measures
In place today:
encryption in transit; the database and backups at a provider in the EU (Frankfurt), with encryption at rest by the provider;
app functions run in the EU (Frankfurt);
each company's data separated by database row-level security; every request runs as the signed-in person; no shared service key in the browser;
roles decide who sees and does what; the approver and signer always come from the signed-in identity;
anything that files, signs, sends, shares or pays waits for a confirmation, which only the person who prepared it can give, and which is refused if the data changed meanwhile;
connections use the provider's own consent screen, read-only first, with the narrowest scope;
tests and previews use fictional data only.
Being built before launch (UNVERIFIED until shipped):
an encrypted, server-only store for access tokens and the fiscal certificate;
a tamper-evident audit log;
a backup restore drill and the retention clock;
security headers on every page and alerts on errors.