Dodatek o obdelavi podatkov

Zadnja posodobitev: 29. oktober 2026

Damper zagotavlja družba Studio 404 d.o.o., Gradišče 15C, 1360 Vrhnika, Slovenija, EU, matična številka 6835228000, ID za DDV SI42531357 (»Damper«, »mi«, »nas«), kontakt: [email protected].

Ta Dodatek o obdelavi podatkov (»DPA«) je sestavni del Pogojev uporabe med vami (»Stranka«, upravljavec) in družbo Studio 404 d.o.o. (obdelovalec). Velja za osebne podatke v Podatkih stranke, ki jih Damper obdeluje pri zagotavljanju Storitve, in določa pogoje, ki jih zahteva 28. člen Uredbe (EU) 2016/679 (GDPR). Velja samodejno, ko sprejmete Pogoje; podpis ni potreben.

1. Podrobnosti obdelave

2. Obveznosti obdelovalca

• Damper obdeluje osebne podatke le po dokumentiranih navodilih Stranke: teh Pogojih in tem DPA ter na podlagi tega, kako Stranka uporablja in konfigurira Storitev. Če pravo Unije ali pravo države članice zahteva drugačno obdelavo, o tem Stranko predhodno obvestimo, razen če to pravo takšno obveščanje prepoveduje.
• Stranko nemudoma obvestimo, če po našem mnenju navodilo krši zakonodajo o varstvu podatkov.
• Vse osebe, pooblaščene za obdelavo Podatkov stranke, so zavezane k zaupnosti.
• Izvajamo tehnične in organizacijske ukrepe iz 3. poglavja.
• Ob upoštevanju narave obdelave Stranki pomagamo pri obravnavi zahtev posameznikov, na katere se nanašajo osebni podatki (od 12. do 23. člena), ter pri zagotavljanju varnosti, uradnem obveščanju o kršitvah, ocenah učinka v zvezi z varstvom podatkov in predhodnem posvetovanju (od 32. do 36. člena). Večino zahtev je mogoče obravnavati neposredno v Storitvi (na primer izbris povratne informacije); če se posameznik, na katerega se nanašajo osebni podatki, glede Podatkov stranke obrne neposredno na nas, zahtevo posredujemo Stranki.

3. Tehnični in organizacijski ukrepi

• Šifriranje med prenosom: API, nadzorna plošča, pripomoček in spletno mesto so dostopni le prek HTTPS (TLS). Aplikacija se s podatkovno zbirko povezuje prek TLS, API pa brskalnikom naroča uporabo izključno HTTPS (HSTS, eno leto).
• Šifriranje v mirovanju: podatkovno zbirko in shrambo datotek v mirovanju šifrira naš ponudnik gostovanja (Railway). Poverilnice integracij (žetoni Slack in X), glave po meri za preverjanja statusa, skrivnosti za preverjanje identitete projektov, skrivnosti za podpisovanje spletnih kljukov (webhooks) in skrivnosti dvostopenjskega preverjanja pristnosti so v podatkovni zbirki dodatno šifrirani z AES-256-GCM.
• Poverilnice: gesla in ključi API so shranjeni le kot zgoščene vrednosti bcrypt, ključi API pa so prikazani samo enkrat. Žetoni OAuth in obnovitvene kode za dvostopenjsko preverjanje pristnosti so shranjeni kot zgoščene vrednosti. Odhodni spletni kljuki (webhooks) so podpisani (HMAC-SHA256), tako da lahko Stranka preveri, da prihajajo od nas.
• Varnost prijave: dvostopenjsko preverjanje pristnosti (z aplikacijo za preverjanje pristnosti) je na voljo vsem uporabnikom, ekipa pa ga lahko zahteva za vse člane. Seje uporabljajo piškotek HttpOnly in Secure, ki poteče po 7 dneh; vklop, izklop ali zamenjava dvostopenjskega preverjanja pristnosti odjavi druge seje uporabnika. Zahteve, ki s piškotkom seje spreminjajo podatke, sprejemamo le z naše lastne nadzorne plošče.
• Ločevanje: vsaka zahteva je avtorizirana glede na en račun in projekte, do katerih ima uporabnik dostop, in vsaka poizvedba v podatkovni zbirki je omejena nanje.
• Zaščita pred zlorabami: omejitve števila zahtev pri prijavi in registraciji, pri API-ju, funkcijah UI, sprejemu napak in javnih obrazcih ter pri e-poštnih sporočilih, poslanih z javnih obrazcev.
• Vgrajeno varstvo podatkov: javne table in strani iz besedila, ki ga oddajo uporabniki, pred prikazom odstranijo e-poštne naslove, telefonske številke, plačilne in davčne identifikatorje ter podobne podatke. Povratne informacije, za katere je videti, da vsebujejo takšne podatke, ali ki izvirajo iz notranjega vira, kot je Slack, so sprva zasebne. Sedem dni po tem, ko je povratna informacija opravljena ali zaprta, se njeni osebni podatki (besedilo, kontaktni podatki, tehnični kontekst in posnetki zaslona) samodejno odstranijo; to ne velja za poročila o napakah iz zalednih sistemov.
• Spremljanje napak: poročila o napakah, poslana našemu ponudniku za spremljanje napak, ne vsebujejo vsebine zahtev, glav, piškotkov ali vrednosti poizvedb, uporabnika pa identificirajo le z ID-jem uporabnika.
• Razpoložljivost in obnovitev: podatkovna zbirka se vsak dan varnostno kopira v shrambo v EU. Vsaka varnostna kopija se ob izdelavi preizkusno obnovi in nato šifrira (age, X25519) s ključem, ki se hrani zunaj naših sistemov; varnostne kopije se izbrišejo po 30 dneh. Če varnostna kopija ne prispe, opozorilo prejmejo osebe, ki upravljajo Storitev.
• Nadzor dostopa: dostop do produkcijskih sistemov in podatkov je omejen na osebe, ki upravljajo Storitev.
• Pregledi: kodo in konfiguracijo Storitve pregledujemo glede varnostnih težav, nazadnje oktobra 2026, in ugotovljene težave odpravimo.

Te ukrepe pregledujemo ob spremembah Storitve in jih lahko posodobimo, če se skupna raven zaščite ne zniža. Damper trenutno nima varnostnega certifikata tretje osebe (kot sta ISO 27001 ali SOC 2).

4. Funkcije UI

Storitev uporablja modele UI ponudnikov OpenAI in Anthropic. Nove povratne informacije se samodejno povzamejo: model prejme naslov, besedilo in vrsto povratne informacije, paket ali raven obiskovalca, naslov strani, podatke o brskalniku in zajeti tehnični kontekst, skupaj z opisom projekta. Poročila o napakah iz zalednih sistemov se samodejno razvrstijo: model prejme naslov napake, storitev, okolje in izsek iz dnevnika. Kadar uporabnik to zahteva, modeli prejmejo tudi vsebino strani (povzetki strani in akcijske točke sestankov) ali naslov in opis naloge (predlogi za načrt razvoja). Rezultati se shranijo v Storitvi. Ponudniki UI te podatke obdelujejo kot naši podobdelovalci; v skladu s svojimi pogoji za API jih ne uporabljajo za učenje svojih modelov in jih hranijo le omejen čas za spremljanje zlorab.

5. Podobdelovalci

Stranka daje splošno pooblastilo za podobdelovalce, navedene na strani s podobdelovalci. Vsakega od njih s pisno pogodbo zavežemo k obveznostim glede varstva podatkov, ki ne zagotavljajo nižje ravni varstva kot ta DPA, in Stranki ostajamo odgovorni za njihovo izpolnjevanje obveznosti. Najmanj 30 dni preden nov ali nadomestni podobdelovalec začne obdelovati Podatke stranke, o tem obvestimo s posodobitvijo te strani in z e-poštnim sporočilom lastniku vsakega računa. Stranka lahko v tem roku iz utemeljenih razlogov, povezanih z varstvom podatkov, poda ugovor. V tem primeru si bomo prizadevali najti rešitev; če je ne najdemo, lahko Stranka odpove prizadeti del Storitve, mi pa ji povrnemo vnaprej plačane zneske za obdobje po odpovedi.

Integracije, ki jih poveže Stranka (kot sta Slack ali X), spletni kljuki, ki jih konfigurira, in naslovi, ki jih spremlja s preverjanji statusa, prejemajo podatke po navodilih Stranke; so lastni ponudniki Stranke in ne naši podobdelovalci.

6. Prenosi v tretje države

Podatki stranke so shranjeni v EU (1. poglavje). Kadar mi ali podobdelovalec osebne podatke prenesemo zunaj EGP, prenos temelji na odločitvi o ustreznosti (vključno z okvirom EU-ZDA za zasebnost podatkov za certificirane prejemnike) ali na standardnih pogodbenih klavzulah, sprejetih z Izvedbenim sklepom Komisije (EU) 2021/914, modul 3 (od obdelovalca do obdelovalca), ki so, kadar je to potrebno, s sklicevanjem vključene v ta DPA, skupaj z dodatnimi ukrepi, kadar so ti potrebni. Mehanizem za posameznega podobdelovalca je naveden na strani s podobdelovalci.

7. Vračilo in izbris

• Stranka lahko posamezne elemente v Storitvi kadar koli izbriše, svoje podatke pa lahko med trajanjem pogodbe pridobi prek API-ja in izvoza podatkov v Nastavitvah.
• Ko lastnik računa račun izbriše, je račun predviden za izbris in ga je mogoče obnoviti s ponovno prijavo v 30 dneh. Po izteku teh 30 dni se Podatki stranke, vključno s shranjenimi datotekami, izbrišejo, razen če pravo Unije ali pravo države članice od nas zahteva njihovo hrambo. Kopije v varnostnih kopijah se izbrišejo, ko varnostne kopije zapadejo, v nadaljnjih 30 dneh.
• Kadar pogodba preneha iz drugega razloga, Podatke stranke izbrišemo na enak način, v 60 dneh.
• Na zahtevo izbris pisno potrdimo.

8. Kršitve varstva osebnih podatkov

Stranko obvestimo brez nepotrebnega odlašanja, v vsakem primeru pa v 48 urah po tem, ko se seznanimo s kršitvijo varstva osebnih podatkov, ki zadeva Podatke stranke. Obvestilo pošljemo na e-poštni naslov lastnika računa in v njem, kolikor je takrat znano, opišemo vrsto kršitve, kategorije in približno število zadevnih posameznikov, na katere se nanašajo osebni podatki, ter zadevnih zapisov, verjetne posledice ter sprejete ali predlagane ukrepe. Dodatne informacije posredujemo, ko so na voljo, in Stranki pomagamo izpolniti njene lastne obveznosti uradnega obveščanja.

9. Revizije

Na utemeljeno zahtevo damo na voljo informacije, potrebne za dokazovanje skladnosti s 28. členom GDPR: pisne odgovore na varnostne vprašalnike, opis naših ukrepov in ustrezno dokumentacijo o podobdelovalcih. Zahteve je mogoče podati enkrat na leto, poleg tega pa po kršitvi varstva osebnih podatkov ali kadar to zahteva nadzorni organ. Kadar te informacije ne zadostujejo, lahko Stranka (ali neodvisni revizor, ki je zavezan k zaupnosti in ni naš konkurent) izvede revizijo z najmanj 30-dnevnim predhodnim obvestilom, v delovnem času, brez motenja Storitve ali dostopa do podatkov drugih strank in na stroške Stranke. Revizije podobdelovalcev se izvajajo na podlagi njihovih lastnih revizijskih poročil in certifikatov.

10. Obveznosti Stranke

Stranka je odgovorna za zakonitost svoje obdelave, vključno s tem, da ima pravno podlago (in privolitev, kadar je ta potrebna) za zbiranje podatkov prek pripomočka in drugih svojih kanalov, da obvešča svoje uporabnike in obiskovalce (na primer v lastnem obvestilu o zasebnosti), ter za vsebino, ki jo predloži ali objavi.

11. Odgovornost in vrstni red veljavnosti

Za odgovornost po tem DPA veljajo omejitve iz Pogojev uporabe, razen kadar zakon tega ne dopušča. Če je ta DPA glede varstva podatkov v nasprotju s Pogoji, prevlada ta DPA; standardne pogodbene klavzule, kadar se uporabljajo, prevladajo nad obema.

12. Kontakt

Zahteve v zvezi z varstvom podatkov in varnostni incidenti: [email protected]. Če potrebujete podpisan izvod tega DPA, pišite na [email protected].