Pogodba o obdelavi podatkov (DPA)

Datum: julij 2026

Povezani dokumenti: za uporabo storitev veljajo naši splošni pogoji poslovanja; obdelava podatkov o računu je opisana v politiki zasebnosti.

1. Stranki in področje veljavnosti

Ta pogodba o obdelavi podatkov po členu 28 GDPR ("DPA") se sklene med:

• stranko kot upravljavcem v smislu člena 4(7) GDPR in
• Lanisce, razvoj programske opreme, d.o.o. (v nadaljevanju "ponudnik") kot obdelovalcem v smislu člena 4(8) GDPR.

Ta DPA velja, kolikor stranka uporablja gostovane nadzorne ravnine in se pri tem obdelujejo osebni podatki, vsebovani v podatkih gruče oz. nadzorne ravnine na infrastrukturi ponudnika.

Razmejitev:

• Pri samostojno gostovanem spremljanju ponudnik obdeluje izključno metapodatke o računu in heartbeat metapodatke kot samostojni upravljavec v skladu s politiko zasebnosti; ta DPA se v tem delu ne uporablja.
• Delavska vozlišča v lastnem Hetzner računu stranke so zunaj področja veljavnosti tega DPA; v tem delu ima stranka lastno, neposredno pogodbeno razmerje s Hetznerjem (glej splošne pogoje, razdelek 3).

2. Predmet, trajanje, narava in namen obdelave

Postavka	Opis
Predmet	Delovanje upravljanih Kubernetes nadzornih ravnin (etcd, apiserver, scheduler, controller-manager), vključno s shranjevanjem in varnostnim kopiranjem podatkov nadzorne ravnine
Trajanje	Čas trajanja pogodbe o uporabi (splošni pogoji); ta DPA preneha z njenim prenehanjem
Narava in namen	Gostovanje, shranjevanje, varnostno kopiranje in tehnično delovanje podatkov nadzorne ravnine za zagotavljanje storitve
Kategorije podatkov	Vsi osebni podatki, ki jih stranka shranjuje v podatkih nadzorne ravnine (zlasti etcd, npr. v objektih Kubernetes, ConfigMaps, Secrets); vsebino določa izključno stranka
Kategorije posameznikov	Določa jih izključno stranka (npr. zaposleni, stranke ali uporabniki stranke)

3. Navodila

• Ponudnik obdeluje osebne podatke izključno po dokumentiranih navodilih stranke (člen 28(3)(a) GDPR). Konfiguracija storitve s strani stranke (npr. ustvarjanje, spreminjanje in brisanje gruč ter njihovih vsebin) šteje za tako navodilo.
• Nadaljnja navodila morajo biti podana v besedilni obliki.
• Če ponudnik meni, da navodilo krši GDPR ali druge predpise o varstvu podatkov, o tem stranko obvesti brez nepotrebnega odlašanja.

4. Zaupnost

Ponudnik zagotavlja, da so se osebe, pooblaščene za obdelavo, zavezale k zaupnosti ali da zanje velja ustrezna zakonska obveznost molčečnosti (člen 28(3)(b) GDPR).

5. Varnost obdelave

Ponudnik izvaja vse tehnične in organizacijske ukrepe, potrebne v skladu s členom 32 GDPR. Trenutni ukrepi so opisani v prilogi "Tehnični in organizacijski ukrepi" na koncu tega dokumenta; lahko se nadalje razvijajo, dokler se raven varstva ne zniža.

6. Podobdelovalci

• Stranka podeljuje splošno dovoljenje za vključitev podobdelovalcev (člen 28(2) GDPR). Ponudnik stranko vnaprej obvesti o nameravanih spremembah (dodajanje ali zamenjava); stranka lahko ugovarja iz utemeljenih razlogov varstva podatkov.
• Ponudnik podobdelovalcem s pogodbo naloži enake obveznosti varstva podatkov, kot so določene v tem DPA (člen 28(4) GDPR).

Trenutno vključeni podobdelovalci:

Podobdelovalec	Namen	Lokacija
Hetzner Online GmbH, Nemčija	Gostovanje infrastrukture (podatkovna centra FSN1/NBG1)	Nemčija (EU)

Podatki se ne prenašajo zunaj EU/EGP. Delavska vozlišča v lastnem Hetzner računu stranke ne pomenijo podobdelave s strani ponudnika (glej razdelek 1).

7. Pomoč stranki

Ob upoštevanju narave obdelave in informacij, ki so mu na voljo, ponudnik stranki pomaga:

• z ustreznimi tehničnimi in organizacijskimi ukrepi pri izpolnjevanju pravic posameznikov (členi 12-23 GDPR) (člen 28(3)(e) GDPR),
• pri izpolnjevanju obveznosti iz členov 32-36 GDPR (varnost obdelave, obveščanje o kršitvah, ocena učinka v zvezi z varstvom podatkov, predhodno posvetovanje) (člen 28(3)(f) GDPR).

8. Obveščanje o kršitvah varstva osebnih podatkov

Ponudnik stranko o kršitvah varstva osebnih podatkov, ki zadevajo podatke, obdelovane v njenem imenu, obvesti brez nepotrebnega odlašanja po seznanitvi z njimi in zagotovi informacije, potrebne za obvestilo nadzornemu organu (člen 33 GDPR), kolikor so mu na voljo.

9. Izbris in vračilo

• Po prenehanju pogodbe o uporabi ponudnik izbriše vse osebne podatke, obdelovane v imenu stranke, razen če zakonske obveznosti hrambe določajo drugače (člen 28(3)(g) GDPR).
• Popoln izbris se v skladu s splošnimi pogoji izvede v 30 dneh po prenehanju pogodbe.
• Stranka lahko svoje podatke pred prenehanjem pogodbe izvozi prek funkcij, ki jih zagotavlja storitev.

10. Dokazila in revizije

• Ponudnik stranki da na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz člena 28 GDPR (člen 28(3)(h) GDPR).
• Revizije se izvajajo predvsem s pisnimi informacijami in predložitvijo ustrezne dokumentacije. Revizije na kraju samem so dopustne le, kolikor jih zakon obvezno zahteva, z razumnim vnaprejšnjim obvestilom, med običajnim delovnim časom in brez nesorazmernih motenj delovanja; stroške nosi stranka.

11. Odgovornost in prednost

• Odgovornost se ravna po razdelku o odgovornosti v splošnih pogojih (razdelek 12); zakonska odgovornost po členu 82 GDPR ostane nedotaknjena.
• V primeru neskladja med tem DPA in splošnimi pogoji ima ta DPA prednost v zadevah obdelave osebnih podatkov.

Priloga: Tehnični in organizacijski ukrepi (TOM)

• Infrastruktura v EU: Izključno infrastruktura v EU (Hetzner, Nemčija — FSN1/NBG1); podatki se ne prenašajo zunaj EU/EGP
• Šifriranje pri prenosu: TLS za vse končne točke storitev; omrežje znotraj gruče (CNI) uporabniških gruč je šifrirano z WireGuardom
• Šifriranje shranjenih podatkov: Kubernetes Secrets v etcd gostovanih gruč so shranjeni šifrirano na aplikacijski ravni (šifriranje secretbox z lastnim ključnim gradivom za vsako gručo); raven za masovne podatke shranjevalne gruče platforme se dodatno nahaja na blokovno šifriranih diskih (LUKS)
• Ločevanje najemnikov: Namenske nadzorne ravnine za vsako stranko, ločene organizacije OIDC po najemnikih, omrežne politike med delovnimi obremenitvami najemnikov
• Nadzor dostopa: Nadzor dostopa na podlagi vlog; večfaktorska avtentikacija oz. step-up preverjanje za občutljive operacije
• Varnostno kopiranje in obnovitev: Redne varnostne kopije s preizkušenimi, dokumentiranimi postopki obnovitve; varnostne kopije ostajajo izključno v EU; zunanja varnostna kopija je shranjena šifrirano (avtenticirano šifriranje) z rednimi samodejnimi preverjanji celovitosti; gradivo skrivnosti in ključev je shranjeno šifrirano
• Beleženje: Beleženje in revizijske sledi za administrativne dostope
• Osebje: Dostop osebja je omejen na to, kar je operativno potrebno

Ponudnik trenutno nima nobenih certifikatov (npr. ISO 27001) in jih ne zatrjuje.

---

To je prevod, pripravljen zaradi preglednosti. Merodajna je nemška različica te pogodbe o obdelavi podatkov. Za vprašanja piši na privacy@kubehz.io.