Pogoji obdelave osebnih podatkov (DPA)

Priloga in sestavni del Pogojev uporabe storitve MojaDružina

Zadnja posodobitev: 29. september 2026

1. Namen in veljavnost DPA

Ti Pogoji obdelave osebnih podatkov (v nadaljevanju: »DPA«) so priloga in sestavni del Pogojev uporabe storitve MojaDružina (v nadaljevanju: »Pogoji uporabe«). Urejajo obdelavo osebnih podatkov, kadar uporabnik določa, katere zasebne družinske vsebine bo vnesel, za katere osebne ali družinske namene jih bo uporabljal in s katerimi povabljenimi člani jih bo delil, družba DATAFLOW pa te vsebine tehnično obdeluje za uporabnika.

Če med DPA in Pogoji uporabe obstaja neskladje glede obdelave družinskih vsebin, ima prednost ta DPA. S sprejemom Pogojev uporabe in tega DPA uporabnik daje družbi DATAFLOW dokumentirana navodila za obdelavo v obsegu, opisanem v tem DPA, svojih dejanjih in nastavitvah v aplikaciji ter morebitnih dodatnih pisnih navodilih, ki jih DATAFLOW sprejme.

2. Stranki in razmejitev vlog

Ponudnik je DATAFLOW, informacijske in podatkovne rešitve, d. o. o., Krpanova ulica 3, 6310 Izola – Isola, Slovenija, matična številka: 7447035000, davčna številka: 61888630. Kontakt: info@mojadruzina.si.

DATAFLOW kot upravljavec. DATAFLOW sam določa namene in bistvene načine obdelave podatkov uporabniških računov, prijave in avtentikacije, varnosti in preprečevanja zlorab, tehnične podpore, nujne komunikacije, uveljavljanja pogodbe, izpolnjevanja zakonskih obveznosti ter morebitnih prihodnjih plačil in trženja. Ta obdelava je opisana v Politiki zasebnosti in ni predmet določil tega DPA o obdelavi po navodilih uporabnika.

DATAFLOW kot obdelovalec. DATAFLOW nastopa kot pogodbeni obdelovalec, kadar po navodilih uporabnika hrani, prikazuje, povezuje, pretvarja, varnostno kopira, izvaža, posreduje upravičenim članom ali drugače tehnično obdeluje zasebne družinske vsebine. Uporabnik nastopa kot upravljavec, kolikor zanj glede take obdelave velja GDPR oziroma druga zakonodaja o varstvu osebnih podatkov.

Če uporabnik družinske vsebine obdeluje izključno v okviru osebne ali domače dejavnosti in zato po veljavni zakonodaji ne nastopa kot upravljavec, se določila tega DPA kljub temu uporabljajo kot pogodbene obveznosti DATAFLOW glede omejitve namena, zaupnosti, varnosti, pod-obdelovalcev, pomoči uporabniku ter izbrisa ali vrnitve vsebin.

3. Predmet in trajanje obdelave

Predmet obdelave je tehnično zagotavljanje storitve MojaDružina: ustvarjanje in urejanje družinskih dreves, uvoz in izvoz GEDCOM, hramba in prikaz fotografij, zgodb, spominov in komentarjev, povezovanje oseb in vsebin, sodelovanje povabljenih članov, iskanje, izvoz, varnostno kopiranje, obnova ter druge funkcije, ki jih uporabnik zahteva z uporabo aplikacije.

Obdelava traja od prvega vnosa ali uvoza družinske vsebine do njenega izbrisa oziroma prenehanja zagotavljanja storitve za uporabnika ali družino. Zaupnost, varovanje varnostnih kopij in obveznost dokončnega izbrisa veljajo do izbrisa vseh relevantnih kopij.

4. Narava in namen obdelave

Obdelava lahko obsega zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje, povezovanje, priklic, vpogled, uporabo, tehnično pretvorbo, posredovanje pooblaščenim uporabnikom, omejitev, varnostno kopiranje, obnovo, izvoz in izbris. Namen je izključno zagotavljanje zahtevanih funkcij ter varovanje razpoložljivosti, celovitosti in zaupnosti družinskih vsebin.

DATAFLOW družinskih vsebin ne uporablja za oglaševanje, prodajo podatkov, profiliranje ali usposabljanje splošnih modelov umetne inteligence. Če bi jih želel obdelovati za lastne, od uporabnikovih namenov neodvisne namene, bi moral za to zagotoviti ločeno pravno podlago in ustrezno obvestilo.

5. Vrste osebnih podatkov

Družinske vsebine lahko vsebujejo imena, priimke, prejšnje priimke in vzdevke; datume in kraje rojstva, poroke, smrti ter drugih dogodkov; spol in družinski status; sorodstvene in druge osebne povezave; naslove in kraje bivanja; fotografije in metapodatke; zgodbe, spomine, biografske zapise in komentarje; podatke GEDCOM; kontaktne podatke; podatke o izobrazbi, poklicu in dejavnostih; podatke o avtorstvu in spremembah ter druge podatke, ki jih uporabnik prostovoljno vnese.

Vsebina lahko vključuje posebne vrste osebnih podatkov iz 9. člena GDPR ali podatke o kazenskih obsodbah, če jih uporabnik vnese. Uporabnik takih podatkov ne sme vnesti brez ustrezne pravne podlage. DATAFLOW uporabnika k takemu vnosu ne spodbuja in teh podatkov ne uporablja za lastno sklepanje ali profiliranje.

6. Kategorije posameznikov

Obdelava se lahko nanaša na uporabnika, druge registrirane in povabljene člane družine, žive sorodnike in druge osebe v drevesu, mladoletne osebe, osebe na fotografijah ali v zgodbah in komentarjih, osebe v datotekah GEDCOM ter umrle osebe, kolikor so podatki o njih varovani ali razkrivajo informacije o živih posameznikih.

7. Dokumentirana navodila

DATAFLOW obdeluje družinske vsebine samo skladno s Pogoji uporabe in tem DPA, funkcijami in nastavitvami, ki jih uporabnik izbere v aplikaciji, ter drugimi sprejetimi dokumentiranimi navodili uporabnika.

Če obdelavo zahteva pravo Evropske unije ali države članice, DATAFLOW uporabnika pred obdelavo obvesti o pravni zahtevi, razen kadar zakon tako obvestilo prepoveduje zaradi pomembnih razlogov javnega interesa. Če DATAFLOW meni, da je uporabnikovo navodilo v nasprotju s predpisi o varstvu osebnih podatkov, uporabnika nemudoma obvesti in lahko izvršitev navodila zadrži do njegove potrditve, spremembe ali umika.

8. Obveznosti uporabnika

Uporabnik je odgovoren za zakonitost navodil in vsebin, določitev namena in pravne podlage, kadar zanj velja GDPR, točnost in sorazmernost podatkov, potrebna obvestila in dovoljenja, pravilno dodelitev dostopa povabljenim članom ter posebno previdnost pri podatkih otrok, posebnih vrstah podatkov in fotografijah.

9. Zaupnost

DATAFLOW zagotovi, da družinske vsebine obdelujejo samo ustrezno pooblaščene osebe, ki jih potrebujejo za svoje naloge, so zavezane k pogodbeni ali zakonski zaupnosti ter so seznanjene z obveznostmi varstva podatkov. Zaupnost velja tudi po prenehanju njihovega dela ali pooblastila.

Dostop osebja do posamezne vsebine je dovoljen samo, kadar je potreben za podporo, odpravo napake, varnostni incident, zakonsko obveznost ali drug dogovorjeni namen, in mora biti omejen na najmanjši potreben obseg.

10. Tehnični in organizacijski ukrepi

DATAFLOW ob upoštevanju stanja tehnike, stroškov, narave in obsega obdelave ter tveganj izvaja ukrepe, primerne tveganju. Ti vključujejo, kjer je ustrezno: šifrirano povezavo pri prenosu; kriptografsko zaščito gesel; preverjanje pristnosti in upravljanje dostopov; omejitev administrativnih pravic; ločevanje družin in njihovih dostopov; beleženje varnostnih dogodkov; zaščito pred nepooblaščenimi dostopi in spletnimi napadi; varnostne posodobitve; varnostne kopije in obnovo; postopke za incidente; preverjanje učinkovitosti ukrepov ter varen izbris.

DATAFLOW lahko ukrepe prilagodi tehnološkemu razvoju, če ne zniža celotne ravni varstva. Na zahtevo uporabniku zagotovi primeren povzetek, pri čemer lahko izpusti podrobnosti, katerih razkritje bi ogrozilo varnost.

11. Pod-obdelovalci

Uporabnik daje DATAFLOW splošno pisno dovoljenje za uporabo pod-obdelovalcev, potrebnih za gostovanje, infrastrukturo, varnost, varnostne kopije, e-poštne funkcije in podporo. Ob začetku veljavnosti DPA sta relevantna najmanj HITROST.COM za gostovanje, podatkovne baze, infrastrukturo in varnostne kopije ter Defiant, Inc. / Wordfence za varnost spletnega mesta, kolikor ima dostop do osebnih podatkov, ter Google Ireland Limited (Google Drive) za hrambo varnostnih kopij na ločeni lokaciji.

DATAFLOW uporabnika o vključitvi novega ali zamenjavi obstoječega pod-obdelovalca obvesti praviloma najmanj 15 dni vnaprej. Uporabnik lahko spremembi ugovarja iz utemeljenih razlogov varstva podatkov. Če razumne rešitve ni, lahko pred spremembo preneha uporabljati prizadeto funkcijo ali storitev ter zahteva izvoz oziroma izbris podatkov.

DATAFLOW pod-obdelovalcu naloži najmanj enake bistvene obveznosti varstva podatkov, kot veljajo po tem DPA, in ostane odgovoren za izpolnjevanje njegovih obveznosti skladno z veljavno zakonodajo in pogodbo.

12. Prenosi zunaj EGP

Družinskih vsebin ni dovoljeno prenesti zunaj Evropskega gospodarskega prostora brez izpolnitve pogojev iz poglavja V GDPR. Kadar ni sklepa o ustreznosti, DATAFLOW zagotovi ustrezne zaščitne ukrepe, kot so standardne pogodbene klavzule, in po potrebi sprejme dodatne ukrepe. Na zahtevo uporabniku zagotovi informacije o uporabljenem mehanizmu. Pri pod-obdelovalcu Google Ireland Limited (Google Drive) se podatki iz varnostnih kopij lahko obdelujejo tudi zunaj EGP; prenos temelji na sklepu Evropske komisije o ustreznosti (okvir EU–ZDA za zasebnost podatkov) oziroma na standardnih pogodbenih klavzulah.

13. Pomoč pri pravicah posameznikov

DATAFLOW ob upoštevanju narave obdelave uporabniku s primernimi ukrepi pomaga pri zahtevah za dostop, popravek, izbris, omejitev, prenosljivost, ugovor in druge pravice. Če zahtevo glede družinske vsebine prejme neposredno, jo brez nepotrebnega odlašanja posreduje pristojnemu uporabniku oziroma ga obvesti. DATAFLOW v imenu uporabnika ne odgovori, razen po pooblastilu ali če to zahteva zakon.

14. Pomoč pri skladnosti

DATAFLOW uporabniku ob upoštevanju narave obdelave in razpoložljivih informacij pomaga pri varnosti obdelave, obravnavi kršitev, obveščanju nadzornega organa in posameznikov, oceni učinka ter predhodnem posvetovanju z nadzornim organom. Dodatna pomoč, ki zahteva obsežno individualno delo in ne izhaja iz kršitve DATAFLOW, je lahko predmet predhodnega dogovora o razumnih stroških.

15. Kršitve varnosti osebnih podatkov

Ko DATAFLOW izve za kršitev varnosti, ki vpliva na družinske vsebine, uporabnika obvesti brez nepotrebnega odlašanja. Obvestilo vsebuje razpoložljiv opis narave kršitve, vrste prizadetih podatkov in posameznikov, približno število zapisov ali posameznikov, verjetne posledice, sprejete ali predlagane ukrepe in kontaktno točko. Manjkajoče informacije zagotovi postopoma brez nadaljnjega nepotrebnega odlašanja.

DATAFLOW sprejme razumne ukrepe za zajezitev kršitve, odpravo posledic, ohranitev relevantnih dokazov in preprečevanje ponovitve.

16. Vrnitev, izvoz in izbris

Med trajanjem pogodbe DATAFLOW omogoča razpoložljive možnosti izvoza, zlasti GEDCOM ter izvoz fotografij in zapisov v podprti obliki. Po prenehanju storitve oziroma na ustrezno dokumentirano zahtevo uporabniku omogoči izvoz oziroma vrnitev družinskih vsebin in jih izbriše, razen če zakon zahteva nadaljnjo hrambo.

Izbris računa posameznega člana ne pomeni samodejno izbrisa skupnih vsebin družine. Takšno navodilo se presodi glede na vloge in pravice pristojnih članov ter pravice prizadetih posameznikov.

Podatki se iz aktivnega sistema izbrišejo najpozneje v 30 dneh po potrditvi ustrezne zahteve oziroma prenehanju obdelave. Preostale kopije se izbrišejo ali izločijo iz redne uporabe z rotacijo varnostnih kopij praviloma najpozneje v nadaljnjih 30 dneh. Do izbrisa se ne uporabljajo za druge namene in ostanejo zaščitene.

17. Dokazovanje skladnosti in revizije

DATAFLOW uporabniku zagotovi informacije, razumno potrebne za dokazovanje izpolnjevanja 28. člena GDPR, praviloma z opisom varnostnih ukrepov, seznamom pod-obdelovalcev, relevantnimi politikami, potrdili, povzetki pregledov ali odgovori na pisna vprašanja.

Če to ne zadošča, lahko uporabnik ali neodvisen pooblaščen revizor opravi revizijo največ enkrat letno; pogosteje ob kršitvi, utemeljenem sumu pomembne neskladnosti ali zahtevi nadzornega organa. Revizija mora biti razumno napovedana, izvedena med delovnim časom in ne sme ogroziti varnosti, zasebnosti drugih uporabnikov ali poslovnih skrivnosti. Revizor mora biti zavezan k zaupnosti. Uporabnik krije svoje stroške, razen če je ugotovljena pomembna kršitev DPA s strani DATAFLOW.

18. Zahteve državnih organov

Če DATAFLOW prejme pravno zavezujočo zahtevo organa, preveri njeno veljavnost in razkrije samo zahtevani obseg podatkov. Uporabnika predhodno obvesti, če to dopušča zakon, oziroma naknadno, ko prepoved preneha in je obvestilo dovoljeno.

19. Odgovornost

Vsaka stranka odgovarja za svoje obveznosti in ravnanja skladno z GDPR, drugo veljavno zakonodajo, Pogoji uporabe in tem DPA. Nobeno določilo ne omejuje pravic posameznikov, pooblastil nadzornih organov ali odgovornosti, ki je po zakonu ni mogoče omejiti.

20. Spremembe DPA

DATAFLOW lahko DPA spremeni zaradi sprememb storitve, pod-obdelovalcev, varnostnih ukrepov ali zakonodaje. O bistvenih spremembah uporabnika obvesti v razumnem roku pred začetkom veljavnosti. Če uporabnik z bistveno spremembo ne soglaša, lahko pred njeno veljavnostjo preneha uporabljati storitev ter zahteva izvoz in izbris podatkov.

21. Končne določbe

DPA velja toliko časa, kolikor DATAFLOW za uporabnika obdeluje družinske vsebine. Za vprašanja, ki jih ne ureja, veljajo Pogoji uporabe, Politika zasebnosti, GDPR in pravo Republike Slovenije.

Kontakt za vprašanja o obdelavi osebnih podatkov: info@mojadruzina.si.