ClubBasket – Pogodba o obdelavi podatkov
Nazadnje posodobljeno: 22. oktober 2026.
1. Stranki, področje uporabe in prednost določb
Ta pogodba (»DPA«) je del podpisanega naročila med klubom, opredeljenim v njem (»upravljavec«), in PSG, Borut Grauf s.p., Pod gonjami 85, 2391 Prevalje, Slovenija, matična številka 8519471000, identifikacijska številka za DDV SI54246679 (»obdelovalec«).
Velja za osebne podatke, obdelane v imenu kluba pri zagotavljanju ClubBasket, vključno z dogovorjenim gostovanim spletnim mestom. Ne spreminja vlog pri obdelavi, ki jo ponudnik izvaja za lastne namene, kot je opisano v Obvestilu o zasebnosti.
Izrazi GDPR imajo pomen iz Uredbe (EU) 2016/679. Ta DPA prevlada nad nasprotujočimi poslovnimi določbami glede obdelave osebnih podatkov. Obvezne določbe prava imajo prednost.
2. Dokumentirana navodila in odgovornosti
Obdelovalec obdeluje osebne podatke le po dokumentiranih navodilih upravljavca, vključno s to DPA, naročilom ter pooblaščenimi nastavitvami in dejanji v storitvi. To velja tudi za mednarodne prenose. Če pravo EU ali države članice zahteva drugačno obdelavo, obdelovalec pred obdelavo obvesti upravljavca, razen če zakon takšno obvestilo prepoveduje.
Upravljavec določa zakonite namene in pravne podlage, zagotavlja potrebna obvestila, določi navodila za hrambo in nadzira pooblaščene uporabnike. Opredeliti mora vsak dodatni pogoj za posebne vrste podatkov in ne sme naročiti nezakonite obdelave.
Obdelovalec upravljavca nemudoma obvesti, če meni, da navodilo krši veljavno pravo varstva podatkov. Med iskanjem pojasnila ali zakonite alternative lahko začasno ustavi zadevno obdelavo ob sorazmernem varstvu podatkov in neprekinjenosti storitve.
3. Zaupnost in varnost
Osebe, pooblaščene za obdelavo, morajo zavezovati obveznosti zaupnosti ali ustrezna zakonska dolžnost. Dostop je omejen na potrebe njihove vloge.
Obdelovalec izvaja ustrezne tehnične in organizacijske ukrepe po 32. členu, ob upoštevanju tveganj, vključno s tveganji glede otrok in zdravstvenih podatkov. Ukrepe opisuje Priloga B. Obdelovalec jih lahko izboljšuje, vendar med obdelavo ne sme bistveno zmanjšati dogovorjene ravni varstva.
4. Podobdelovalci in prenosi
Upravljavec daje splošno pisno dovoljenje za ponudnike s Seznama podobdelovalcev, ob upoštevanju tam navedenih namenov in pogojev. Pred imenovanjem dodatnega ali nadomestnega podobdelovalca obdelovalec vsaj 14 dni vnaprej pisno navede njegovo nalogo, lokacijo in predlagani datum začetka.
Upravljavec lahko v tem roku ugovarja iz utemeljenih razlogov varstva podatkov. Stranki poiščeta ustrezno alternativo ali zaščitne ukrepe. Če ugovora ne moreta rešiti, lahko upravljavec pred začetkom predlagane obdelave prekine prizadeto storitev in prejme neporabljena vnaprejšnja plačila zanjo. Obdelovalec molka pred iztekom roka obvestila ne sme šteti kot dovoljenje za predčasen začetek.
Vsakega podobdelovalca zavezuje pisna pogodba, ki nalaga veljavne obveznosti varstva podatkov po 28. členu. Obdelovalec ostaja odgovoren za podobdelovalčevo izpolnjevanje teh obveznosti.
Mednarodni prenosi, za katere veljajo omejitve, zahtevajo zakonit mehanizem in po potrebi ustrezne dodatne zaščitne ukrepe. Obdelovalec upravljavcu omogoči dostop do ustreznih informacij o mehanizmu in ukrepih.
5. Zahteve posameznikov
Ob upoštevanju narave obdelave obdelovalec z ustreznimi tehničnimi in organizacijskimi ukrepi pomaga upravljavcu pri zahtevah za uveljavljanje pravic. O zahtevah, ki zadevajo podatke pod upravljavčevim nadzorom, ga nemudoma obvesti, razen če je upravljavec za dogovorjeno vrsto zahtev podal dokumentirano navodilo.
Upravljavec dovoljuje sprejem zahtev in preverjanje identitete prek osrednjega kanala platforme. Ta kanal sam po sebi ne dovoljuje vsakega razkritja ali izbrisa. Obdelovalec uskladi obseg in zakonita navodila z ustreznim upravljavcem, ne razkriva podatkov drugega kluba in ne odloča o upravljavčevih pravnih podlagah za hrambo evidenc. Kadar je ponudnik sam upravljavec ali zakon neposredno zahteva ukrepanje, izpolni lastne obveznosti.
Nobena stranka ne sme s svojim notranjim postopkom zavlačevati zahteve prek veljavnih rokov. Stranki se dogovorita o potrebnih nujnih ukrepih, če zahteva zadeva več računov, otroka, pravice drugih ali zakonske obveznosti ohranitve podatkov.
6. Incidenti in pomoč
Obdelovalec upravljavca brez nepotrebnega odlašanja obvesti, ko izve za kršitev varstva osebnih podatkov, ki zadeva te podatke. Ko so informacije na voljo, navede naravo kršitve, prizadete podatke in osebe, verjetne posledice, kontaktno točko ter sprejete ali predlagane ukrepe. Informacije lahko posreduje postopoma, brez nepotrebnega nadaljnjega odlašanja.
Obdelovalec sprejme razumne ukrepe za omejitev in odpravo kršitve ter upravljavcu pomaga pri obveznih obvestilih. Pomaga tudi pri varnostnih obveznostih, ocenah učinka na varstvo podatkov in predhodnem posvetovanju z organi, ob upoštevanju obdelave in informacij, ki so mu na voljo. Obvestila ne odloži, dokler niso znane vse podrobnosti.
7. Informacije in revizije
Obdelovalec da na voljo informacije, potrebne za dokazovanje skladnosti z 28. členom, ter omogoča in podpira revizije, vključno s pregledi, ki jih izvede upravljavec ali njegov pooblaščeni revizor. Stranki uredita razumno predhodno obvestilo, zaupnost in zaščito podatkov drugih strank. Nujni incidenti, zahteve nadzornih organov ali verodostojni znaki neskladnosti lahko zahtevajo hitrejši dostop.
Obstoječa dokazila ali neodvisna poročila lahko, kjer je ustrezno, zadovoljijo potrebo po reviziji, vendar ne odpravijo zakonskih revizijskih pravic upravljavca. Ta DPA ne pomeni izjave, da ima storitev določeno potrdilo o skladnosti.
8. Vrnitev, izbris in trajanje
Ta DPA velja od začetka obdelave po podpisani pogodbi do zahtevane vrnitve ali izbrisa podatkov.
Po izbiri upravljavca obdelovalec po koncu storitev obdelave osebne podatke vrne ali izbriše in izbriše obstoječe kopije, razen če pravo EU ali države članice zahteva hrambo. Standardno navodilo upravljavca je omejena hramba 90 dni po prenehanju, nato izbris, vključno s kopijami, kot opisuje 13. poglavje Pogojev. Upravljavec lahko naroči zgodnejši izbris ali zahteva vrnitev pred predvidenim izbrisom. Samodejni izvoz se ne pripravi; zahtevana vrnitev se uredi varno. Obvezne pravice do vrnitve in pridobitve podatkov ostanejo nespremenjene, podatki, potrebni za veljavno odprto zahtevo za vrnitev, pa so zaščiteni do njenega zaključka.
Varnostne kopije ostanejo zaščitene in ločene od običajne obdelave. Potečejo v 90 dneh od nastanka, zanje pa velja tudi rok izbrisa po prenehanju storitve. Če se uporabijo za obnovitev, se veljavna navodila za izbris ponovno uporabijo. Vsaka zakonsko zahtevana hramba se dokumentira, omeji na ta namen in sporoči, kjer je dovoljeno. Obdelovalec na razumno zahtevo potrdi zaključek.
9. Kontakti in veljavno pravo
Kontakt upravljavca je predstavnik, naveden v naročilu ali naknadnem obvestilu. Kontakt obdelovalca je support@clubbasket.app. Veljajo določbe Pogojev o pravu in sporih, ne da bi omejevale pravice posameznikov ali nadzornih organov po veljavnem pravu.
Priloga A — Opis obdelave
Predmet in namen: zagotavljanje dogovorjenih storitev upravljanja kluba in spletnega mesta: upravljanje članov in ekip, povezave s skrbniki, urniki, prisotnost, tekme, ocene, komunikacija, upravljanje prispevkov za udeležbo, javno objavljanje, povpraševanja za članstvo, podpora, izvozi, izbris in varnost v imenu kluba.
Dejanja: zbiranje, beleženje, urejanje, hramba, pridobivanje, pooblaščen dostop, prenos, objava po navodilu, izvoz, popravljanje, omejitev in izbris.
Posamezniki: člani in bodoči člani, igralci, vključno z otroki, skrbniki, trenerji, zaposleni, prostovoljci, uradne osebe, obiskovalci spletnega mesta in osebe, ki kontaktirajo klub.
Podatki: identifikacijski in kontaktni podatki; datumi rojstva; fotografije in datoteke; evidence ekip, vlog in članstva; povezave s skrbniki; prisotnost in udeležba; rezultati; ocene in razvojne evidence; komunikacija; evidence plačil; prijave; navodila za objavljanje in tehnični zapisi, potrebni za obdelavo.
Občutljive informacije: omogočena in primerna funkcija lahko obdeluje omejene zdravstvene podatke o odsotnosti. Upravljavec mora zagotoviti potrebno pravno podlago in pogoj za posebne vrste podatkov, omejiti zbiranje in dostop ter podati navodila. Splošnih zapiskov in naloženih datotek ni dovoljeno uporabljati kot neomejeno zdravstveno dokumentacijo. Druge občutljive vrste zahtevajo ločeno oceno in izrecno dogovorjen obseg pred obdelavo.
Trajanje in pogostost: neprekinjeno med uporabo ustreznih funkcij, nato dogovorjeni roki za vrnitev, izbris in varnostne kopije. Klub mora dati ustrezna navodila za evidence, ki jih ne potrebuje več že pred prenehanjem naročnine.
Priloga B — Varnostni ukrepi
- Ločevanje podatkov klubov in nadzorovan dostop glede na pooblaščene vloge.
- Nadzor preverjanja pristnosti, zaščitena gesla in ustrezno ravnanje s prijavnimi podatki/žetoni.
- Šifriran prenos pri dostopu do storitve in omejen administrativni dostop.
- Beleženje in spremljanje, primerno za varnost in preiskovanje napak, ob najmanjšem potrebnem obsegu podatkov.
- Zaščitene varnostne kopije, šifriranje pred prenosom na ločeno lokacijo in nadzorovana obnovitev.
- Postopki za spremembe dostopa, obravnavo incidentov, zahteve glede osebnih podatkov in izbris.
- Obveznosti zaupnosti in dostop, omejen na pooblaščeno osebje in ponudnike.
- Pregledovanje in vzdrževanje ukrepov, primernih tveganjem obdelave.
Obdelovalec na razumno zahtevo posreduje dodatne ustrezne podrobnosti ob zaščiti pred razkritjem varnostno občutljivih informacij ali podatkov drugih strank.
Priloga C — Ponudniki
Različica Seznama podobdelovalcev, predložena z naročilom, je vključena v to DPA. Za nadaljnje spremembe velja 4. poglavje.