Pogodba o obdelavi osebnih podatkov

Med vrtcem in družbo 4V3D OÜ, za skupinsko storitev Minute Mission. Različica 1.0, 23. september 2026.

To je slovenski prevod pogodbe, objavljen zato, da jo lahko preberete v svojem jeziku. Veljata angleško in estonsko besedilo, estonsko pa je tisto, ki ga podpišejo stranke v Estoniji. Če se tukaj kar koli razlikuje od angleškega besedila, velja angleško besedilo.

Kako skleniti to pogodbo

Na dva načina, z enakim učinkom.

• Ob nakupu. Označite polje, s katerim sprejmete to pogodbo, različico 1.0. Različica in datum se zabeležita pri vašem računu, izvod natanko tistega besedila, ki ste ga sprejeli, vam pošljemo po e-pošti, ostane pa dosegljiv tudi v vašem računu.
• Na papirju, če vaša ustanova potrebuje podpis. Zaprosite nas zanj na info@4v3d.ee in poslali vam bomo isto besedilo kot dokument, s tabelo za vaše podatke. Podpišite ga elektronsko (s kvalificiranim podpisom po eIDAS, z DocuSign, Adobe Sign ali z lastno nacionalno rešitvijo) in ga pošljite nazaj. Družba 4V3D OÜ podpiše isto datoteko in vam jo vrne. Pogodba začne veljati s poznejšim od obeh podpisov.

Obdelovalec: 4V3D OÜ, matična številka 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonija. Zastopnik: Oskar Viil, član uprave. Kontakt: info@4v3d.ee.

1. Kaj ta pogodba ureja

Vrtec (upravljavec) uporablja Minute Mission, spletno aplikacijo, ki jo upravlja družba 4V3D OÜ (obdelovalec) in v kateri vzgojiteljica vodi tablo z misijami in nagradami skupine. V ta namen 4V3D OÜ obdeluje osebne podatke, opisane v Prilogi II, v imenu vrtca in po njegovih navodilih.

Ta pogodba vsebuje vse, kar člen 28(3) Splošne uredbe o varstvu podatkov (GDPR) in prav tako UK GDPR zahtevata, da se med upravljavcem in obdelovalcem dogovori v pisni obliki. Uporablja se ne glede na to, ali ima vrtec sedež v EGP ali v Združenem kraljestvu.

2. Katero pravo velja za vas

• Vrtec v EGP. Uporablja se Splošna uredba. Uporablja se tudi razdelek 3.
• Vrtec v Združenem kraljestvu. Uporabljata se UK GDPR in Data Protection Act 2018. Sklicevanja na Splošno uredbo v nadaljevanju se berejo kot sklicevanja na UK GDPR, sklicevanja na nadzorni organ kot sklicevanja na Information Commissioner, razdelek 3 pa se ne uporablja.
• Vrtec kjer koli drugje. Za vas velja vaše lastno pravo varstva podatkov, ta določila pa zavezujejo družbo 4V3D OÜ pogodbeno. Družba 4V3D OÜ ima sedež v Evropski uniji, zato jo pri tej obdelavi tako ali tako zavezuje Splošna uredba. Nič tukaj ne zmanjšuje pravice, ki vam jo daje vaše lastno pravo.

3. Standardna pogodbena določila Evropske komisije

Če ima vrtec sedež v EGP, stranki uporabljata standardna pogodbena določila med upravljavci in obdelovalci iz Priloge k Izvedbenemu sklepu Komisije (EU) 2021/915, v njihovem uradnem angleškem besedilu. Ta določila so del te pogodbe, spodnje priloge pa so njihove priloge. Klavzula 5 (pristop) se ne uporablja. Pri klavzuli 7.7 se uporablja možnost 2: splošno pisno dovoljenje za podobdelovalce, z obvestilom o vsaki spremembi 30 dni vnaprej. Če si klavzule in ta pogodba nasprotujejo, obveljajo klavzule.

4. Kaj se zaveže vsaka stran

Družba 4V3D OÜ se zavezuje, da bo:

• Osebne podatke obdelovala samo za izvajanje storitve in samo po dokumentiranih navodilih vrtca, tudi glede prenosov v tretjo državo. Ta navodila sta ta pogodba in način, kako vrtec uporablja storitev. Če bo morala družba 4V3D OÜ podatke po pravu Unije ali države članice obdelati drugače, bo o tem vnaprej obvestila vrtec, razen če to pravo tega ne prepoveduje.
• Podatkov nikoli ne uporabila za lastne namene, jih nikoli ne prodala, nikoli ne uporabila za učenje česar koli in jih nikoli ne pokazala nikomur zunaj kroga podobdelovalcev iz Priloge IV.
• Poskrbela, da so vsi, ki imajo dostop, zavezani k zaupnosti.
• Ohranjala varnostne ukrepe iz Priloge III in jih ne slabila.
• Uporabljala samo podobdelovalce iz Priloge IV. Družba 4V3D OÜ lahko katerega doda ali zamenja, pri čemer kontaktno osebo vrtca o tem pisno obvesti 30 dni vnaprej. Vrtec lahko v teh 30 dneh ugovarja; če ugovora ni mogoče razrešiti, lahko vrtec storitev prekine in dobi povrnjen neizkoriščeni del meseca.
• Vrtcu pomagala pri odgovoru na zahtevo starša ali zaposlenega. Vzgojiteljice in ravnatelj lahko te podatke v storitvi že sami pregledajo, popravijo, izvozijo in izbrišejo. Če zahteva vseeno prispe k družbi 4V3D OÜ, jo ta v petih delovnih dneh posreduje kontaktni osebi vrtca in nanjo ne odgovori sama.
• Vrtcu pomagala pri njegovih obveznostih iz členov 32 do 36 (varnost, obveščanje o kršitvah, ocene učinka, predhodno posvetovanje), ob upoštevanju tega, kar družba 4V3D OÜ dejansko ve.
• Kontaktno osebo vrtca o kršitvi varstva osebnih podatkov obvestila v 24 urah od seznanitve z njo, s tem, kar je takrat znano, preostalo pa sproti, ko se ugotovi.
• Ob koncu storitve podatke izbrisala v 30 dneh ali jih pred tem vrnila, če vrtec tako zahteva. Iz šifriranih varnostnih kopij izginejo v 90 dneh. Družba 4V3D OÜ pisno potrdi, ko jih ni več.
• Dala na voljo informacije, potrebne za dokazovanje izpolnjevanja teh obveznosti, in omogočila revizijo. V praksi to pomeni pisne odgovore in dokumentacijo na zahtevo. Revizijo na kraju samem ali revizijo tretje osebe je mogoče dogovoriti z obvestilom 30 dni vnaprej, na stroške vrtca, in sicer največ enkrat na leto, razen če je prišlo do kršitve.
• Vrtec takoj opozorila, če se zdi, da kakšno navodilo krši predpise o varstvu podatkov.

Vrtec se zavezuje, da bo:

• Poskrbel, da ima za to obdelavo pravno podlago in da so starši obveščeni. Družba 4V3D OÜ s starši nima stika in tega ne more storiti namesto vas.
• Podatke v storitvi omejil na to, kar opisuje Priloga II. Zlasti v polje s prostim besedilom ne vpisujte priimka otroka, zdravstvenih podatkov, ocene otroka ali česar koli o družinskih razmerah.
• Skrbel, da so podatki njegovega računa pravilni, in družbi 4V3D OÜ sporočil zamenjavo kontaktne osebe.
• Upravljal račune svojega osebja: odstranil prijavo vzgojiteljice, ko ta odide.

5. Dvoje, kar ni obdelava v vašem imenu

Tukaj je povedano naravnost, da pozneje nikomur ni treba ugibati.

• Računi osebja. Ime, e-poštni naslov in geslo vzgojiteljice ali ravnatelja so potrebni, da storitev sploh deluje, o tem, kako deluje, pa odloča družba 4V3D OÜ. Za ta ozki namen je 4V3D OÜ upravljavec in ne obdelovalec, velja pa njena lastna politika zasebnosti. Vse, kar zadeva otroke, je obdelava v imenu vrtca in je zajeto v tej pogodbi.
• Plačilo. Če vrtec plača s kartico, plačilo izvede Stripe Payments Europe Ltd. Stripe prejme ime za račun, naslov, identifikacijsko številko za DDV, e-poštni naslov in podatke o kartici vrtca, nobenega podatka o otroku pa ne. Upravljavec teh plačilnih podatkov je družba 4V3D OÜ. Stripe zato po tej pogodbi ni podobdelovalec in ga ni v Prilogi IV.

6. Trajanje, pravo in odgovornost

Ta pogodba velja, dokler družba 4V3D OÜ obdeluje podatke vrtca, in ostane v veljavi po koncu storitve, dokler podatki niso izbrisani.

Uporablja se estonsko pravo, pristojna pa so sodišča okrožja Harju, razen če je vrtec javni organ, čigar lastna pravila zahtevajo njegovo nacionalno pravo in sodišča; v tem primeru se stranki o tem dogovorita pred podpisom.

Odgovornost je urejena tako, kot določajo Pogoji uporabe Minute Mission, ki jih ta pogodba dopolnjuje in ne nadomešča.

Priloga I. Stranki

Upravljavec: vrtec, določen s podatki, ki jih navede ob nakupu ali vpiše v podpisani izvod. Vloga: upravljavec podatkov o otrocih, ki se vodijo na tabli skupine.

Obdelovalec: 4V3D OÜ, matična številka 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonija. Kontakt: Oskar Viil, član uprave, info@4v3d.ee. Pooblaščena oseba za varstvo podatkov ni imenovana, ker Splošna uredba tega tukaj ne zahteva.

Vsaka stran lahko svojo kontaktno osebo spremeni s pisnim obvestilom drugi strani.

Priloga II. Opis obdelave

Priloga III. Varnostni ukrepi

• Podatki so v Evropski uniji. Aplikacija in njene varnostne kopije tečejo v podatkovnem središču družbe Hetzner Online GmbH v Helsinkih na Finskem (s certifikatom ISO/IEC 27001). Storitvena e-pošta se pošilja prek družbe Scaleway SAS v Franciji. Prenosa v tretjo državo ni.
• Vse, kar potuje po omrežju, je šifrirano (HTTPS, z veljavnim Content Security Policy). Gesla se nikoli ne shranjujejo, shrani se le njihova zgoščena vrednost, prav tako so zgoščeni shranjeni žetoni sej, tako da kopija zbirke podatkov ni snop delujočih ključev.
• Vsaka skupina je ločen račun. Vzgojiteljica vidi samo otroke v svoji skupini. Ravnatelj ima eno prijavo za vse svoje skupine in nima dostopa do tujih.
• Fotografij v račun skupine ni mogoče naložiti, potisna obvestila so izklopljena, sličice otrok pa so omejene na nabor risb.
• Dnevne šifrirane varnostne kopije, ki se hranijo 14 dni na strežniku in 90 dni zunaj njega. Šifrirane so z javnim ključem, ki ga strežnik sam nima, zato strežnik svojih varnostnih kopij ne more prebrati. Obnovitev iz varnostne kopije je preizkušena.
• Dostop do strežnika ima samo član uprave družbe 4V3D OÜ. Dostopa nima noben zaposleni, pogodbenik ali agent podpore.
• Brez analitike, brez oglaševalskih orodij in brez kakršnega koli sledenja. Edino redno poročilo je dnevno število registracij, aktivnih računov in napak, v katerem ni imen.
• Omejevanje števila poskusov pri prijavi in registraciji ter omejitev 30 dni glede tega, kako daleč nazaj je misijo mogoče označiti kot opravljeno, da napaka ali zloraba ne moreta na novo napisati mesecev zgodovine.
• Pisni varnostni pregled celotne izvorne kode je dvakrat opravil zunanji model, nazadnje 20. septembra 2026, njegove ugotovitve pa so odpravljene.

Priloga IV. Podobdelovalci

Obe sta v Evropski uniji. Zunaj EU ni nobenega podobdelovalca, zato tudi ni mednarodnega prenosa, ki bi ga bilo treba oceniti.