Način sklenitve te Pogodbe

Ta pogodba o obdelavi osebnih podatkov (v Nemčiji in Avstriji Auftragsverarbeitungsvertrag ali AVV) je sestavni del Pogojev uporabe FastComments. Veljati začne samodejno, brez podpisa in brez kakršnega koli nadaljnjega ravnanja katere koli pogodbene stranke, za vsako stranko, ki Storitev uporablja za obdelavo osebnih podatkov kot upravljavec, za katerega velja Splošna uredba o varstvu podatkov, Splošna uredba ZK ali švicarski FADP. Člen 28(9) Splošne uredbe zahteva, da je ta pogodba sklenjena v pisni obliki, tudi v elektronski obliki; sprejem Pogojev uporabe izpolnjuje to zahtevo.

Družba WinrickLabs LLC je to Pogodbo podpisala vnaprej. Njen podpis je naveden v razdelku 24. Stranka, ki za lastno evidenco potrebuje sopodpisan izvod, lahko na tej strani izpolni svoje podatke in ga tako ustvari ali pa ga zahteva na naslovu privacy@fastcomments.com.

Uvodne ugotovitve

A. Upravljavec in obdelovalec sta vzpostavila poslovno razmerje, v okviru katerega obdelovalec zagotavlja gostovano spletno platformo za komentiranje, klepet v živo in razpravo („Storitev").

B. To razmerje urejajo Pogoji uporabe, objavljeni na naslovu https://fastcomments.com/terms-of-service („Glavna pogodba").

C. Uporaba Storitve s strani upravljavca vključuje obdelavo osebnih podatkov, za katero veljajo Uredba (EU) 2016/679 („Splošna uredba"), Splošna uredba o varstvu podatkov Združenega kraljestva v povezavi z Data Protection Act 2018 (skupaj „Splošna uredba ZK") in/ali švicarski zvezni zakon o varstvu podatkov („FADP"). Pogodbeni stranki se zato dogovorita o določilih, ki jih zahteva člen 28 Splošne uredbe in, kadar je to upoštevno, poglavje V Splošne uredbe.

1. Opredelitev pojmov

„Osebni podatki stranke" pomenijo osebne podatke, ki so vsebovani v komentarjih, sporočilih klepeta, odgovorih, glasovih, odzivih, prijavah, naloženih vsebinah, profilih končnih uporabnikov, atributih enotne prijave in moderacijskih zapisih, predloženih Storitvi ali ustvarjenih prek nje v imenu upravljavca, oziroma iz njih izhajajo.

„Podatki o računu" pomenijo lastne kontaktne, obračunske, avtentikacijske, podporne in produktno-uporabniške podatke upravljavca.

„Predpisi o varstvu podatkov" pomenijo Splošno uredbo, Splošno uredbo ZK, FADP in vsak drug predpis o varstvu podatkov, ki se uporablja za obdelavo, ki jo pogodbena stranka izvaja po tej Pogodbi.

„Podobdelovalec" pomeni vsako tretjo osebo, ki jo obdelovalec vključi v obdelavo osebnih podatkov stranke.

„SPD" pomenijo standardna pogodbena določila, priložena Izvedbenemu sklepu Komisije (EU) 2021/914 z dne 4. junija 2021.

„Dodatek ZK" pomeni International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, ki ga je izdal Information Commissioner na podlagi section 119A Data Protection Act 2018, različica B1.0, veljavna od 21. marca 2022.

„Stran s podobdelovalci" pomeni https://fastcomments.com/dpa/sub-processors.

„Datum začetka veljavnosti" pomeni dan, ko je upravljavec prvič sprejel Glavno pogodbo, ali dan sopodpisa te Pogodbe, kar nastopi prej.

Izrazi „upravljavec", „obdelovalec", „osebni podatki", „obdelava", „kršitev varstva osebnih podatkov", „posameznik, na katerega se nanašajo osebni podatki" in „nadzorni organ" imajo pomen, opredeljen v členu 4 Splošne uredbe.

2. Področje uporabe, vključitev in vrstni red prednosti

2.1 Ta Pogodba je sestavni del Glavne pogodbe in se uporablja za vsakršno obdelavo osebnih podatkov stranke, ki jo izvaja obdelovalec.

2.2 Ta Pogodba nadomešča vsa prejšnja določila o obdelavi osebnih podatkov med pogodbenima strankama.

2.3 Če je ta Pogodba v nasprotju z Glavno pogodbo, vključno s Pogoji uporabe in Pravilnikom o zasebnosti, glede obdelave osebnih podatkov stranke prevlada ta Pogodba. Če je ta Pogodba v nasprotju s SPD, prevladajo SPD.

2.4 Priloge in dodatki so sestavni del te Pogodbe.

3. Vlogi pogodbenih strank

3.1 Glede osebnih podatkov stranke je stranka upravljavec, družba WinrickLabs LLC pa obdelovalec.

3.2 Glede podatkov o računu družba WinrickLabs LLC nastopa kot samostojen upravljavec. To obdelavo ureja Pravilnik o zasebnosti in ne ta Pogodba.

3.3 Če je upravljavec sam obdelovalec, ki deluje za tretjega upravljavca, jamči, da je pooblaščen za imenovanje obdelovalca za podobdelovalca; ta Pogodba se v takem primeru uporablja mutatis mutandis tako, da modul tri SPD nadomesti modul dve.

3.4 Če obdelovalec določa namene in sredstva obdelave katerih koli osebnih podatkov stranke, je glede te obdelave upravljavec za namene člena 28(10) Splošne uredbe.

4. Obdelava na podlagi dokumentiranih navodil

4.1 Obdelovalec obdeluje osebne podatke stranke izključno na podlagi dokumentiranih navodil upravljavca, tudi glede prenosov v tretjo državo. Ta Pogodba, Glavna pogodba, dokumentacija Storitve in uporaba konfiguracijskih možnosti, ki jih ponuja Storitev, s strani upravljavca skupaj sestavljajo popolna dokumentirana navodila upravljavca.

4.2 Obdelovalec osebnih podatkov stranke ne prodaja, jih ne razkriva drugače kot po navodilih ali kadar to zahteva pravo in jih ne uporablja za noben drug namen kot za zagotavljanje Storitve. Obdelovalec osebnih podatkov stranke ne uporablja za razvoj, učenje, fino nastavljanje ali vrednotenje modelov strojnega učenja ali umetne inteligence in enako zahteva od vsakega podobdelovalca, ki jih prejme za samodejno razvrščanje ali moderiranje.

4.3 Če pravo Unije, države članice, Združenega kraljestva ali drugo veljavno pravo od obdelovalca zahteva obdelavo osebnih podatkov stranke drugače kot po navodilih upravljavca, obdelovalec upravljavca o tej pravni zahtevi obvesti pred obdelavo, razen če to pravo takšno obveščanje prepoveduje iz pomembnih razlogov javnega interesa.

4.4 Obdelovalec nemudoma obvesti upravljavca, če po njegovem mnenju navodilo krši predpise o varstvu podatkov, in lahko izvajanje zadevnega navodila zadrži, dokler pogodbeni stranki zadeve ne razrešita.

5. Obveznosti in jamstva upravljavca

5.1 Upravljavec določa namene in sredstva obdelave osebnih podatkov stranke in odgovarja za zakonitost te obdelave.

5.2 Upravljavec jamči, da je vzpostavil veljavno pravno podlago za obdelavo, da je zadevnim posameznikom, na katere se nanašajo osebni podatki, zagotovil vse informacije, ki jih zahtevajo členi 12 do 14 Splošne uredbe, in da je pridobil vse privolitve, potrebne za obdelavo ter za namestitev piškotkov ali podobnih tehnologij s strani Storitve.

5.3 Upravljavec odgovarja za vsebino, ki jo njegovi končni uporabniki predložijo prek Storitve, in za lastne odločitve o moderiranju.

5.4 Storitev ni zasnovana za obdelavo posebnih vrst osebnih podatkov v smislu člena 9 Splošne uredbe ali osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški v smislu člena 10 Splošne uredbe. Upravljavec svoje končne uporabnike o tem ustrezno pouči in takšnih podatkov zavestno ne predloži Storitvi.

6. Zaupnost osebja

6.1 Dostop do osebnih podatkov stranke je omejen na osebe, ki ga potrebujejo za izpolnjevanje Glavne pogodbe. Na dan 5. avgusta 2026 noben pogodbeni izvajalec nima dostopa do osebnih podatkov stranke.

6.2 Vsako osebo, ki je pooblaščena za obdelavo osebnih podatkov stranke, zavezuje dolžnost zaupnosti, ki velja tudi po prenehanju njenega sodelovanja. Preden je pogodbenemu izvajalcu odobren dostop do osebnih podatkov stranke, obdelovalec zahteva pisno zavezo o zaupnosti pod pogoji, ki niso manj zaščitni od tega razdelka.

7. Varnost obdelave

7.1 Obdelovalec izvaja in vzdržuje tehnične in organizacijske ukrepe, določene v Prilogi II, ob upoštevanju najnovejšega tehnološkega razvoja, stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganja za pravice in svoboščine posameznikov.

7.2 Obdelovalec lahko te ukrepe posodablja, če se pri tem splošna raven varnosti ne zniža. Bistvene spremembe se objavijo na tej strani.

7.3 Upravljavec je odgovoren za presojo, ali ti ukrepi ustrezajo njegovemu lastnemu profilu tveganja, in za varno konfiguracijo Storitve, vključno z nastavitvami hrambe, nastavitvami moderiranja, nastavitvijo deanonimizacije naslovov IP in ravnanjem s podpisnimi ključi za enotno prijavo.

8. Podobdelovalci

8.1 Upravljavec obdelovalcu podeljuje splošno pisno odobritev v smislu člena 28(2) Splošne uredbe za vključitev podobdelovalcev, navedenih v Prilogi III, in za vključitev nadaljnjih podobdelovalcev v skladu s tem razdelkom. Stran s podobdelovalci je merodajen aktualni seznam, in kadar se razlikuje od Priloge III, prevlada Stran s podobdelovalci.

8.2 Obdelovalec upravljavca obvesti vsaj 30 dni preden nov podobdelovalec začne obdelovati osebne podatke stranke ali preden se vloga obstoječega podobdelovalca bistveno spremeni. Obvestilo se posreduje po elektronski pošti skrbniku računa in vsakemu kontaktu za varstvo podatkov, določenemu v administracijski konzoli FastComments, ter z objavo na Strani s podobdelovalci z navedbo datuma začetka veljavnosti. Za prejemanje tega obvestila ni potrebna prijava na dopisni seznam ali privolitev.

8.3 Če je treba spremembo izvesti nujno zaradi ohranitve varnosti, celovitosti ali neprekinjenosti Storitve, tudi kadar obstoječi podobdelovalec preneha zagotavljati zadevno storitev, postane insolventen ali njegovo sodelovanje preneha, lahko obdelovalec vključi nadomestnega podobdelovalca in obvestilo namesto tega posreduje takoj, ko je to razumno izvedljivo. Pravica do ugovora iz razdelka 8.4 od dneva tega obvestila velja nespremenjeno.

8.4 Upravljavec lahko novemu podobdelovalcu ugovarja iz utemeljenih razlogov, povezanih z varstvom podatkov, in sicer s pisnim obvestilom na naslov privacy@fastcomments.com v 30 dneh od obvestila po razdelku 8.2 ali 8.3.

8.5 Ob ugovoru pogodbeni stranki zadevo 30 dni obravnavata v dobri veri, obdelovalec pa si razumno prizadeva zagotoviti spremembo, ki se izogne izpodbijani obdelavi. Odvisno od zadevnega podobdelovalca lahko to vključuje izklop izbirne funkcije, ki ga vključuje, konfiguracijo Storitve tako, da do izpodbijane obdelave ne pride, ali preselitev računa upravljavca v regijo Evropske unije, ki jo obdelovalec izvede na zahtevo in brezplačno. Če takšna sprememba ni na voljo, lahko upravljavec s pisnim obvestilom odpove prizadeti del Storitve ali Glavno pogodbo, brez plačila za predčasno odpoved ali drugih neugodnih posledic in s sorazmernim vračilom vnaprej plačanih nadomestil za neizrabljeni del obdobja. Odpoved iz tega razloga je izključno pravno sredstvo upravljavca v zvezi z ugovorom.

8.6 Obdelovalec vsakemu podobdelovalcu s pisno pogodbo naloži obveznosti varstva podatkov, ki so vsebinsko enakovredne obveznostim iz te Pogodbe, vključno z varnostnimi obveznostmi iz člena 32 Splošne uredbe in, kadar ima podobdelovalec sedež zunaj Evropskega gospodarskega prostora, ustreznim instrumentom za prenos. Če podobdelovalec takšne pogodbe še ni sklenil, je ta podobdelovalec kot tak naveden v Prilogi III skupaj z obdelavo, ki jo izvaja, obdelovalec pa si prizadeva za sklenitev pogodbe, ki ustreza temu razdelku.

8.7 Obdelovalec upravljavcu v celoti odgovarja za izpolnjevanje obveznosti vsakega podobdelovalca.

9. Pomoč pri uveljavljanju pravic posameznikov

9.1 Obdelovalec upravljavca nemudoma obvesti o vsaki zahtevi, ki jo v zvezi z osebnimi podatki stranke prejme neposredno od posameznika, na katerega se nanašajo osebni podatki, in na takšno zahtevo vsebinsko ne odgovori, temveč posameznika napoti na upravljavca, razen če upravljavec ne naroči drugače.

9.2 Obdelovalec upravljavca nemudoma obvesti o vsaki drugi zahtevi, pritožbi, obvestilu ali sporočilu, ki ga prejme od nadzornega organa ali drugega pristojnega regulatorja in se nanaša na obdelavo osebnih podatkov stranke, ter o vsakem odškodninskem zahtevku, uveljavljanem v zvezi s to obdelavo.

9.3 Ob upoštevanju narave obdelave obdelovalec upravljavcu z ustreznimi tehničnimi in organizacijskimi ukrepi, kolikor je to mogoče, pomaga pri izpolnjevanju njegove obveznosti odgovarjanja na zahteve za uveljavljanje pravic iz poglavja III Splošne uredbe. Storitev upravljavcu zagotavlja orodja za iskanje končnega uporabnika, za urejanje, brisanje ali anonimizacijo posameznih komentarjev in sporočil klepeta, za izbris končnega uporabnika in z njim povezane vsebine, za izvoz komentarjev in uporabniških podatkov, shranjenih za račun upravljavca, ter za nastavitev, ali se naslovi IP shranjujejo v deanonimizirani obliki. Kolikor ta orodja upravljavcu omogočajo odziv brez sodelovanja obdelovalca, njihova razpoložljivost pomeni pomoč, ki jo zahteva ta razdelek. Nadaljnjo pomoč obdelovalec zagotavlja za razumno plačilo.

10. Kršitev varstva osebnih podatkov

10.1 Obdelovalec upravljavca obvesti brez nepotrebnega odlašanja, v vsakem primeru pa v 48 urah, potem ko izve za kršitev varstva osebnih podatkov, ki zadeva osebne podatke stranke.

10.2 Obvestilo opiše, kolikor je takrat znano: naravo kršitve, po možnosti vključno s kategorijami in približnim številom zadevnih posameznikov, na katere se nanašajo osebni podatki, ter kategorijami in približnim številom zadevnih zapisov; verjetne posledice kršitve; sprejete ali predlagane ukrepe za njeno obravnavo, vključno z ukrepi za ublažitev njenih morebitnih škodljivih učinkov; ter kontaktno točko, pri kateri je mogoče dobiti dodatne informacije. Če informacije niso na voljo hkrati, se zagotavljajo postopno, ko postanejo dosegljive.

10.3 Obdelovalec upravljavcu zagotavlja razumno sodelovanje in pomoč v zvezi z njegovimi lastnimi obveznostmi iz členov 33 in 34 Splošne uredbe.

10.4 Obvestilo po tem razdelku ne pomeni priznanja krivde ali odgovornosti.

11. Ocene učinka v zvezi z varstvom podatkov

Ob upoštevanju narave obdelave in informacij, ki so mu na voljo, obdelovalec upravljavcu zagotavlja razumno pomoč pri ocenah učinka v zvezi z varstvom podatkov po členu 35 Splošne uredbe in pri predhodnem posvetovanju z nadzornim organom po členu 36 Splošne uredbe, predvsem z zagotavljanjem Priloge II, Strani s podobdelovalci, informacij o prenosih iz razdelka 14 ter pisnih odgovorov na razumna vprašanja. Pomoč, ki presega navedeno, se zagotavlja za razumno plačilo.

12. Izbris in vračilo osebnih podatkov stranke

12.1 Po izbiri upravljavca obdelovalec po koncu zagotavljanja Storitve izbriše ali vrne vse osebne podatke stranke in izbriše obstoječe kopije v skladu z razdelkom 12.3, razen če pravo Unije, države članice ali drugo veljavno pravo zahteva nadaljnjo hrambo.

12.2 Upravljavec svojo izbiro pisno sporoči pred koncem zagotavljanja Storitve ali v 30 dneh po njem. V tem obdobju lahko upravljavec svoje podatke izvozi z orodji za izvoz, ki jih ponuja Storitev. Če v tem obdobju izbire ne sporoči, obdelovalec podatke izbriše.

12.3 Izbris iz produkcijskih sistemov in njihovih replik se opravi v 30 dneh od izbire ali od poteka obdobja iz razdelka 12.2. Preostale kopije v rotacijskih varnostnih kopijah se izbrišejo, ko se varnostna kopija, v kateri se pojavijo, prepiše v običajnem poteku svojega rotacijskega cikla, v vsakem primeru pa v dvanajstih mesecih. Do takrat te kopije ostanejo šifrirane v mirovanju, se ne obdelujejo aktivno in se ne uporabljajo za noben namen razen za obnovitev po nesreči.

12.4 Posamezni zapisi se izbrišejo pred koncem Storitve na navodilo upravljavca ali posameznika, na katerega se nanašajo osebni podatki, in sicer z orodji, opisanimi v razdelku 9.3.

13. Revizije in dokazovanje skladnosti

13.1 Obdelovalec upravljavcu da na voljo vse informacije, potrebne za dokazovanje skladnosti s členom 28 Splošne uredbe, ter omogoča revizije, vključno z inšpekcijskimi pregledi, ki jih izvaja upravljavec ali drug revizor, ki ga ta pooblasti, in pri njih sodeluje. Razdelki 13.2 do 13.5 opisujejo, kako se ta pravica uveljavlja v praksi.

13.2 Informacije na zahtevo. Na pisno zahtevo upravljavca in brezplačno obdelovalec v 30 dneh zagotovi: takrat veljavno Prilogo II; aktualni seznam podobdelovalcev; izpolnjen izvod svojega standardnega varnostnega vprašalnika; povzetek rezultatov svojega zadnjega varnostnega testiranja; ter pisne odgovore na razumna pisna vprašanja o obdelavi osebnih podatkov, ki se izvaja v imenu tega upravljavca. To je na voljo enkrat v katerem koli obdobju 12 mesecev, poleg tega pa po kršitvi varstva osebnih podatkov, ki zadeva osebne podatke, obdelane v imenu tega upravljavca, ali kadar to zahteva nadzorni organ.

13.3 Revizijski razgovor. Če upravljavec razumno izkaže, da informacije, zagotovljene po razdelku 13.2, ne zadoščajo za dokazovanje skladnosti, ali po kršitvi varstva osebnih podatkov, ki zadeva osebne podatke, obdelane v imenu tega upravljavca, ali kadar to zahteva nadzorni organ, obdelovalec da osebo, odgovorno za obdelavo, na voljo za revizijski razgovor na daljavo prek videokonference, ki traja največ štiri ure, na podlagi vsaj 30-dnevnega pisnega predhodnega obvestila in ob sporazumno dogovorjenem terminu. Upravljavec ali njegov pooblaščeni revizor lahko postavlja vprašanja in zahteva prikaz posameznih kontrolnih ukrepov prek deljenja zaslona. To je brezplačno na voljo enkrat v katerem koli obdobju 12 mesecev.

13.4 Inšpekcijski pregled na kraju samem. Kadar to zahteva nadzorni organ ali prisilni predpis ali kadar razdelka 13.2 in 13.3 nista razrešila konkretnega dokumentiranega pomisleka glede skladnosti, lahko upravljavec ali neodvisni revizor, ki ga ta pooblasti, pregleda prostore in sisteme obdelovalca na podlagi 60-dnevnega pisnega predhodnega obvestila, med običajnim delovnim časom, enkrat v katerem koli obdobju 12 mesecev in na stroške upravljavca, vključno z razumnim časom obdelovalca po urni postavki, sporočeni upravljavcu pred pregledom. Revizor ne sme biti konkurent obdelovalca in ga mora zavezovati pisna zaveza o zaupnosti. Obseg je omejen na sisteme in evidence, ki se nanašajo na obdelavo osebnih podatkov, ki se izvaja v imenu tega upravljavca. Dostop ni odobren do osebnih podatkov druge stranke, do skupne infrastrukture na način, ki bi ogrozil varnost podatkov druge stranke, ali do izvorne kode drugače kot z nadzorovanim vpogledom.

13.5 Družba WinrickLabs LLC nima poročila SOC 2 ali certifikata ISO/IEC 27001 in se ne zavezuje, da bo pridobila katerega koli od njiju. Če v času trajanja pogodbe pridobi neodvisno revizijsko poročilo tretje osebe ali certifikat, zagotovitev tega poročila izpolnjuje razdelka 13.2 in 13.3 glede zadev, ki jih zajema.

13.6 Nobena določba tega razdelka ne omejuje ali zmanjšuje pravic upravljavca po členu 28(3)(h) Splošne uredbe ali po klavzuli 8.9 SPD. Če nadzorni organ zahteva revizijo ali inšpekcijski pregled pod drugačnimi pogoji od zgoraj navedenih, obdelovalec tej zahtevi ugodi.

14. Mednarodni prenosi

14.1 Kje se hranijo osebni podatki stranke

Regija Evropske unije. Računi, ustvarjeni na eu.fastcomments.com, se dodelijo regiji Evropske unije. Osebni podatki stranke za te račune se hranijo in obdelujejo na infrastrukturi, ki se nahaja znotraj Evropskega gospodarskega prostora, vključno z vsemi delujočimi replikami in vsemi varnostnimi kopijami. Ti podatki se ne replicirajo v nobeno regijo zunaj Evropskega gospodarskega prostora.

Globalna regija. Pri računih, ustvarjenih na fastcomments.com, se osebni podatki stranke replicirajo med več regijami, ponudniki gostovanja in državami, vključno z regijami v Združenih državah Amerike, da se zagotovi razpoložljivost in da se podatki strežejo blizu končnih uporabnikov. Vsaka regija vzdržuje delujočo repliko v drugi regiji in pri drugem ponudniku gostovanja.

Regije, ponudniki gostovanja in države, ki veljajo za posamezno regijo, so navedeni v Prilogi III.

14.2 Upravljanje na daljavo

Družba WinrickLabs LLC ima sedež v Združenih državah Amerike. Njeno osebje upravlja, vzdržuje, spremlja in podpira vse regije, vključno z regijo Evropske unije, ter zanje zagotavlja odzivanje na incidente, in sicer z oddaljenim dostopom iz Združenih držav Amerike. Pogodbeni stranki se strinjata, da tak oddaljeni dostop pomeni prenos osebnih podatkov v tretjo državo v smislu poglavja V Splošne uredbe, tudi glede podatkov, ki se hranijo izključno znotraj Evropskega gospodarskega prostora. SPD, vključena z razdelkom 14.3, se zato uporabljajo za vse osebne podatke stranke, ki se obdelujejo po tej Pogodbi.

14.3 Standardna pogodbena določila

SPD, modul dve (prenos od upravljavca k obdelovalcu), so s sklicevanjem vključena v to Pogodbo in so njen sestavni del. Njihovo besedilo je objavljeno na naslovu https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Upravljavec je izvoznik podatkov, družba WinrickLabs LLC pa uvoznik podatkov. Kadar se uporablja razdelek 3.3, ga nadomesti modul tri.

Pogodbeni stranki v okviru SPD izbereta naslednje:

Klavzule 8.9, 12, 14, 15 in 16 SPD se uporabljajo brez sprememb. Razdelka 13 in 15 te Pogodbe opisujeta, kako se te klavzule uveljavljajo v praksi, in ju ne omejujeta.

14.4 Združeno kraljestvo

Za prenose, za katere velja Splošna uredba ZK, se Dodatek ZK vključi s sklicevanjem in se uporablja za SPD, kot so vključena z razdelkom 14.3. Njegove tabele so izpolnjene v Dodatku 1.

14.5 Švica

Za prenose, za katere velja FADP, se SPD uporabljajo v obliki, spremenjeni z Dodatkom 2.

14.6 Ocena učinka prenosa

Pogodbeni stranki ob upoštevanju okoliščin prenosa, predpisov in praks Združenih držav Amerike ter uporabljenih zaščitnih ukrepov nimata razloga za domnevo, da bi predpisi in prakse, ki veljajo za družbo WinrickLabs LLC, tej preprečevali izpolnjevanje njenih obveznosti iz SPD.

Okoliščine prenosa. Osebni podatki stranke pretežno obsegajo vsebino, ki jo upravljavec javno objavlja na svojih spletnih mestih, skupaj s prikaznimi imeni, neobveznimi e-poštnimi naslovi in privzeto kriptografskimi zgostitvami naslovov IP s soljo namesto samih naslovov IP. Posebne vrste osebnih podatkov se ne zahtevajo niti niso potrebne. Obseg osebnih podatkov o vsakem posamezniku, na katerega se nanašajo osebni podatki, je po zasnovi minimalen.

Pravo Združenih držav Amerike o obveščevalnem nadzoru. Družba WinrickLabs LLC je zasebna družba z omejeno odgovornostjo. Nikoli ni prejela odredbe, naloga, zahteve ali drugega akta, izdanega na podlagi Section 702 Foreign Intelligence Surveillance Act, na podlagi Executive Order 12333, v obliki National Security Letter ali na podlagi Clarifying Lawful Overseas Use of Data Act. Z nobeno obveščevalno agencijo Združenih držav Amerike nima nikakršnega razmerja in nobeni vladi ni nikoli omogočila neposrednega ali posrednega dostopa do osebnih podatkov stranke. Ne spada med velike ponudnike komunikacijskih storitev in storitev v oblaku, na katere so bile odredbe po Section 702 doslej naslovljene, in ne upravlja nobenega objekta, na katerem bi se takšno zbiranje izvajalo.

Zaščitni ukrepi. Šifriranje celotnih diskov v mirovanju na vseh strežnikih, vključno s cilji varnostnega kopiranja; TLS 1.2 ali novejši za vse podatke med prenosom; hramba podatkov v regiji Evropske unije brez repliciranja teh podatkov zunaj Evropskega gospodarskega prostora; shranjevanje naslovov IP v obliki zgostitev s soljo, razen če upravljavec izbere drugače; večfaktorska avtentikacija na vseh produkcijskih računih, računih pri ponudnikih, pri registrarju domen in v sistemu za upravljanje izvorne kode; omejitev dostopa do produkcijskih sistemov na poimensko določene posameznike po načelu najmanjših potrebnih pravic; ter zaveze iz razdelka 15, da bo izpodbijal nezakonite zahteve, razkril le najmanjši potrebni obseg in obvestil upravljavca, kadar koli je to pravno dopustno.

Ponovna ocena. Obdelovalec to oceno ponovi vsaj enkrat letno in vsakič, ko izve za spremembo veljavnih predpisov ali praks, ki bi lahko nanjo vplivala. Če SPD ne more več izpolnjevati, o tem obvesti upravljavca v skladu s klavzulama 14(f) in 16.

14.7 Data Privacy Framework

Družba WinrickLabs LLC ni certificirana po EU-US Data Privacy Framework, po njegovi UK Extension ali po Swiss-US Data Privacy Framework in se kot instrumenta za prenos ne opira na sklep o ustreznosti. Opira se na SPD.

15. Zahteve državnih organov in organov pregona

Ob prejemu pravno zavezujoče zahteve javnega organa za razkritje osebnih podatkov stranke obdelovalec: nemudoma obvesti upravljavca, razen če mu je to pravno prepovedano, ob prepovedi pa si razumno prizadeva doseči odpravo te prepovedi; zahtevo izpodbija, kadar je nezakonita, preširoka ali v nasprotju s pravom Evropske unije ali države članice; razkrije le najmanjši obseg, ki se zahteva po skrbni presoji zahteve; ter zahtevo dokumentira in to dokumentacijo na zahtevo da na voljo upravljavcu in pristojnemu nadzornemu organu.

Na dan 5. avgusta 2026 družba WinrickLabs LLC ni prejela nobene takšne zahteve.

16. Evidence obdelave

Obdelovalec vodi evidenco vseh vrst dejavnosti obdelave, ki jih izvaja v imenu upravljavcev, z informacijami, ki jih zahteva člen 30(2) Splošne uredbe, in to evidenco na zahtevo da na voljo nadzornemu organu.

17. Odgovornost

17.1 Za odgovornost vsake pogodbene stranke po tej Pogodbi veljajo izključitve in omejitve odgovornosti, določene v Glavni pogodbi, kolikor se te izključitve in omejitve nanašajo na to stranko. Iste izključitve in omejitve se enako uporabljajo za zahtevke po tej Pogodbi in za zahtevke po Glavni pogodbi. Ta Pogodba ne ustvarja nobene ločene ali dodatne omejitve odgovornosti.

17.2 Razdelek 17.1 ne omejuje in ne izključuje: odgovornosti, ki je po veljavnem pravu ni mogoče omejiti ali izključiti; odgovornosti katere koli pogodbene stranke do posameznika, na katerega se nanašajo osebni podatki, po klavzuli 12 SPD ali po členu 82 Splošne uredbe; ali obveznosti katere koli pogodbene stranke do nadzornega organa.

17.3 Določila Pogojev uporabe o arbitraži in odpovedi skupinskim tožbam se ne uporabljajo za noben zahtevek, ki izhaja iz te Pogodbe ali iz SPD.

18. Trajanje, prenehanje in veljavnost po prenehanju

Ta Pogodba začne veljati na datum začetka veljavnosti in traja, dokler obdelovalec obdeluje osebne podatke stranke, ne glede na morebitno prenehanje Glavne pogodbe. Razdelki 6, 7, 10, 12, 13, 14, 15 in 17 veljajo tudi po prenehanju.

19. Pravo, ki se uporablja, in pristojnost

19.1 Za to Pogodbo in za vsak spor ali zahtevek, ki izhaja iz nje ali je z njo povezan, vključno z nepogodbenim sporom ali zahtevkom, se uporablja pravo Republike Irske, pristojna pa so sodišča Irske. Ta razdelek prevlada nad določili Pogojev uporabe o pravu, ki se uporablja, o kraju sojenja, o arbitraži in o odpovedi skupinskim tožbam glede sporov, ki izhajajo iz te Pogodbe.

19.2 Razdelek 19.1 ne posega v klavzulo 18(c) SPD, po kateri lahko posameznik, na katerega se nanašajo osebni podatki, postopek sproži v državi članici svojega običajnega prebivališča.

19.3 Za prenose, za katere velja Splošna uredba ZK, se namesto razdelka 19.1 uporabljajo določila Dodatka ZK o pravu, ki se uporablja, in o pristojnosti.

20. Spremembe te Pogodbe

20.1 Obdelovalec lahko to Pogodbo posodobi, kadar to zahteva sprememba predpisov o varstvu podatkov, odločitev nadzornega organa ali sodišča, sprememba SPD ali Dodatka ZK ali sprememba Storitve.

20.2 Obdelovalec skrbnika računa upravljavca obvesti po elektronski pošti vsaj 30 dni pred začetkom veljavnosti bistvene spremembe in na tej strani objavi posodobljeno Pogodbo. Nebistvene spremembe začnejo veljati z objavo.

20.3 Če upravljavec bistveni spremembi ugovarja iz utemeljenih razlogov varstva podatkov v 30 dneh od obvestila, pogodbeni stranki zadevo obravnavata v dobri veri. Če dogovor ni dosežen, lahko upravljavec odpove prizadeto Storitev brez plačila za predčasno odpoved ali drugih neugodnih posledic in s sorazmernim vračilom vnaprej plačanih nadomestil za neizrabljeni del obdobja.

21. Splošne določbe

21.1 Obvestila. Obvestila obdelovalcu po tej Pogodbi se pošiljajo na naslov privacy@fastcomments.com. Obvestila upravljavcu se pošiljajo na e-poštni naslov skrbnika računa in na vsak kontakt za varstvo podatkov, določen v administracijski konzoli. Šteje se, da je obvestilo, poslano po elektronski pošti, prejeto naslednji delovni dan po pošiljanju.

21.2 Elektronska oblika. Pogodbeni stranki se strinjata, da ta Pogodba v elektronski obliki izpolnjuje člen 28(9) Splošne uredbe in vsako zahtevo po pisni obliki pogodbe.

21.3 Ločljivost določb. Če se posamezna določba te Pogodbe izkaže za neveljavno ali neizvršljivo, ostane preostali del v veljavi.

21.4 Brez odpovedi pravicam. Neuveljavljanje pravice iz te Pogodbe ne pomeni odpovedi tej pravici.

21.5 Prenos pogodbe. Obdelovalec lahko to Pogodbo prenese na pravnega naslednika v zvezi z združitvijo, prevzemom ali prodajo vsega ali skoraj vsega svojega premoženja, o čemer obvesti upravljavca.

21.6 Celotni dogovor. Ta Pogodba je celoten dogovor med pogodbenima strankama glede obdelave osebnih podatkov stranke.

22. Jezik

Ta Pogodba je sestavljena in sklenjena v angleškem jeziku. Prevodi so na voljo zgolj zaradi lažjega razumevanja. V primeru neskladja, nejasnosti, nasprotja ali razlike v razlagi med angleško različico in prevodom prevlada angleška različica, ki je edina merodajna in zavezujoča različica za vse namene, vključno z razlago, izpolnjevanjem in reševanjem sporov. Imena pravnih oseb, naslovi, navedbe predpisov in besedilo SPD se ne prevajajo. Vsaka pogodbena stranka potrjuje, da deluje v okviru svoje poslovne dejavnosti in da je imela možnost pridobiti neodvisen prevod ter neodvisen pravni nasvet. Ta razdelek ne vpliva na lastne obveznosti upravljavca iz členov 12 do 14 Splošne uredbe, da posameznikom, na katere se nanašajo osebni podatki, zagotovi informacije v jasnem in preprostem jeziku.

23. Kontaktna točka in regulativni status

23.1 Kontaktna točka za vse zadeve v zvezi z varstvom podatkov, vključno z zahtevami po razdelkih 8.4, 13.2 in 13.3, je Devon Winrick, privacy@fastcomments.com, WinrickLabs LLC, 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States.

23.2 Družba WinrickLabs LLC ni imenovala pooblaščene osebe za varstvo podatkov, saj je ocenila, da merila iz člena 37(1) Splošne uredbe niso izpolnjena.

23.3 Družba WinrickLabs LLC nima certifikata SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS ali CSA STAR in tega tudi ne zatrjuje. Vsak certifikat, ki je v tej Pogodbi naveden v zvezi s podobdelovalcem, ima ta podobdelovalec za lastne objekte in storitve in ni certifikat družbe WinrickLabs LLC.

24. Podpis

Priloga I

A. Seznam pogodbenih strank

B. Opis prenosa

Kategorije posameznikov, na katere se nanašajo osebni podatki

• Končni uporabniki in obiskovalci spletnih mest in aplikacij upravljavca, ki objavljajo, urejajo, se odzivajo, glasujejo, se naročajo na komentarje ali sporočila klepeta ali so v njih poimensko navedeni.
• Končni uporabniki, ki berejo vsebino, ki jo streže Storitev, in katerih metapodatki o povezavi se obdelujejo za namene varnosti in preprečevanja zlorab.
• Lastno osebje upravljavca, ki uporablja funkcije moderiranja, upravljanja ali API Storitve.
• Končni uporabniki, ki jih upravljavec zagotovi prek enotne prijave.

Kategorije osebnih podatkov

• Prikazno ime ali uporabniško ime.
• E-poštni naslov, kadar ga posameznik, na katerega se nanašajo osebni podatki, ali upravljavec navede. Anonimno komentiranje je podprto.
• Avatar ali profilna slika ali povezava do nje.
• Vsebina komentarjev, sporočil klepeta in odgovorov ter vse medijske datoteke ali druge datoteke, ki jih naloži posameznik, na katerega se nanašajo osebni podatki.
• Kriptografska zgostitev naslova IP s soljo. Kadar upravljavec omogoči nastavitev deanonimizacije, opisano v razdelku 7.3, se namesto tega shrani naslov IP v izvirni obliki.
• Glasovi, odzivi, prijave, blokade in status moderiranja.
• Časovni žigi, identifikatorji strani in niti ter niz uporabniškega agenta.
• Nastavitve obveščanja in naročnin.
• Identifikatorji enotne prijave in vsi nadaljnji atributi, ki jih upravljavec izbere za prenos.
• Za administrativne uporabnike upravljavca: ime, e-poštni naslov, avtentikacijski podatki v zgoščeni obliki, podatki o seji ter naslovi IP, povezani z administrativnimi dejanji, kadar je upravljavec omogočil revizijski dnevnik.

Občutljivi podatki

Storitev ni zasnovana za posebne vrste osebnih podatkov, upravljavec pa jih v skladu z razdelkom 5.4 zavestno ne predloži in svoje končne uporabnike o tem ustrezno pouči. Kadar končni uporabnik takšne podatke po lastni volji vključi v prosto besedilno vsebino, veljajo naslednje omejitve: šifriranje v mirovanju; dostop, omejen na najmanjše možno število pooblaščenih oseb; brez sekundarne uporabe; brez oblikovanja profilov; brez razkritja, razen po navodilih upravljavca ali kadar to zahteva pravo; in brez uporabe za razvoj ali učenje katerega koli modela.

Pogostost prenosa

Neprekinjeno in trajno, ves čas trajanja Glavne pogodbe.

Narava obdelave

Zbiranje, beleženje, organiziranje, strukturiranje, shranjevanje, priklic, vpogled, prenos in javni prikaz na spletnih mestih upravljavca, moderiranje in filtriranje vsebine, samodejno ocenjevanje neželene vsebine in moderiranje slik, kadar to upravljavec omogoči, dostava obvestil, varnostno kopiranje in repliciranje, omejitev, izbris in uničenje.

Namen prenosa in nadaljnje obdelave

Zagotavljanje Storitve upravljavcu, dostava obvestil, moderiranje in preprečevanje zlorab, varnost, razpoložljivost in obnovitev po nesreči ter tehnična podpora, v vsakem primeru izključno na podlagi dokumentiranih navodil upravljavca.

Obdobje hrambe

Ves čas trajanja Glavne pogodbe in nato v skladu z razdelkom 12. Posamezni zapisi se izbrišejo prej na navodilo upravljavca ali posameznika, na katerega se nanašajo osebni podatki.

Prenosi podobdelovalcem

Kot je določeno v Prilogi III, ki za vsakega podobdelovalca navaja predmet in naravo njegove obdelave ter njeno trajanje, ki ustreza trajanju Glavne pogodbe ali, pri podobdelovalcu, ki je vključen le prek izbirne funkcije, obdobju, za katero upravljavec to funkcijo omogoči.

C. Pristojni nadzorni organ

1. Kadar ima izvoznik podatkov sedež v državi članici Evropske unije: nadzorni organ te države članice.
2. Kadar izvoznik podatkov nima sedeža v državi članici Evropske unije, a spada v ozemeljsko področje uporabe Splošne uredbe po členu 3(2) in je imenoval predstavnika po členu 27: nadzorni organ države članice, v kateri ima ta predstavnik sedež.
3. Kadar izvoznik podatkov nima sedeža v državi članici Evropske unije in ni imenoval predstavnika po členu 27: Data Protection Commission of Ireland.
4. Za prenose, za katere velja Splošna uredba ZK: Information Commissioner's Office.
5. Za prenose, za katere velja FADP: Federal Data Protection and Information Commissioner.

Priloga II - Tehnični in organizacijski ukrepi

Spodaj navedene ukrepe izvaja družba WinrickLabs LLC. Ukrepe, opisane kot ukrepe, ki veljajo za podatkovni center ali za platformo podobdelovalca, izvaja ta podobdelovalec za lastne objekte.

1. Psevdonimizacija in šifriranje osebnih podatkov

• Na vseh strežnikih, vključno s tistimi, ki hranijo varnostne kopije, se uporablja šifriranje celotnih diskov v mirovanju.
• Vsi podatki med prenosom so zaščiteni s TLS različice 1.2 ali novejše.
• Naslovi IP se shranjujejo kot kriptografske zgostitve s soljo. Izvirni naslov IP se shrani le, kadar upravljavec za svoj račun omogoči nastavitev deanonimizacije. Zgostitev naslova IP s soljo ostaja osebni podatek in se po tej Pogodbi kot taka tudi obravnava.
• Avtentikacijski podatki za administrativne račune se shranjujejo kot zgostitve s soljo in nikoli v obliki, ki jo je mogoče povrniti.

2. Zaupnost, celovitost, razpoložljivost in odpornost sistemov obdelave

• Storitev je nameščena v več regijah in pri več ponudnikih gostovanja.
• Vsaka regija vzdržuje delujočo repliko v drugi regiji in pri drugem ponudniku gostovanja.
• Podatki najemnikov so logično ločeni po identifikatorju najemnika na vsaki plasti aplikacije in podatkovnega modela.
• Produkcijski strežniki so zaščiteni s požarnimi zidovi, produkcijska omrežja pa so ločena od vseh drugih okolij.

3. Ponovna vzpostavitev razpoložljivosti in dostopa po incidentu

• Varnostne kopije se izdelujejo v dnevnih, mesečnih in letnih ciklih. Zapisujejo se na šifrirane nosilce, prenašajo prek TLS in hranijo tako pri ponudniku gostovanja, ki ni tisti, ki hrani produkcijske podatke, kot pri neodvisnem ponudniku objektnega shranjevanja.
• Varnostne kopije podatkov regije Evropske unije se hranijo izključno znotraj Evropskega gospodarskega prostora.
• Postopek obnovitve je dokumentiran, obnovitev pa se izvede in preveri vsaj enkrat letno.

4. Redno testiranje, ocenjevanje in vrednotenje učinkovitosti

• Neodvisno penetracijsko testiranje s strani tretje osebe se izvaja vsaj enkrat letno.
• Samodejno pregledovanje odvisnosti in ranljivosti neprekinjeno teče nad produkcijsko kodo.
• Vse spremembe produkcijske kode so pred namestitvijo predmet varnostno usmerjenega pregleda.

5. Identifikacija uporabnikov in upravljanje pooblastil

• Dostop do produkcijskih sistemov, ki vsebujejo osebne podatke stranke, je omejen na poimensko določene posameznike z dokumentirano operativno potrebo.
• Povsod se uporabljajo posamični poimenski računi. Deljeni prijavni podatki se ne uporabljajo.
• Večfaktorska avtentikacija je obvezna na vseh produkcijskih sistemih, na vseh računih pri ponudnikih gostovanja in storitev, na računu pri registrarju domen in na računu v sistemu za upravljanje izvorne kode.
• Pravice dostopa se dodeljujejo po načelu najmanjših potrebnih pravic, se pregledajo ob vsaki kadrovski spremembi in se nemudoma odvzamejo, ko sodelovanje osebe preneha.

6. Zaščita podatkov med prenosom

• TLS različice 1.2 ali novejše je obvezen za komentarni in klepetalni gradnik, javni API, administracijsko konzolo, dostavo webhookov in medregijsko repliciranje.
• HTTP Strict Transport Security je omogočen. Nešifrirana končna točka ni na voljo.

7. Zaščita podatkov med hrambo

• Šifriranje v mirovanju, kot je opisano v razdelku 1 te Priloge, se enako uporablja za produkcijske sisteme, replike in nosilce varnostnih kopij.
• Ključe za šifriranje diskov hrani družba WinrickLabs LLC in niso dostopni nobenemu ponudniku gostovanja.

8. Fizična varnost

• Družba WinrickLabs LLC ne upravlja lastnega podatkovnega centra. Vsi produkcijski sistemi gostujejo v objektih, ki jih upravljajo podobdelovalci za gostovanje, navedeni v Prilogi III, ti pa za te objekte zagotavljajo nadzor fizičnega dostopa, redundantno napajanje, hlajenje in omrežno povezljivost.
• Delovne postaje skrbnikov so zaščitene s šifriranjem celotnih diskov, samodejnim zaklepanjem zaslona in večfaktorsko avtentikacijo.

9. Beleženje dogodkov

• Administrativna dejanja in avtentikacijski dogodki se beležijo.
• Beleženje, poročanje o napakah in obravnavo zahtevkov podpore izvaja družba WinrickLabs LLC na lastni infrastrukturi. Nobena storitev tretje osebe za beleženje, sledenje napakam, analitiko ali podporo ne prejema osebnih podatkov stranke.
• Revizijski dnevnik administrativnih dejanj je upravljavcu na voljo v administracijski konzoli.

10. Konfiguracija sistemov in upravljanje

• Varnostni popravki se nameščajo po prednostnem vrstnem redu glede na tveganje, kritični popravki pa nemudoma.
• Nameščene storitve so omejene na najmanjši potrebni obseg. Privzeti prijavni podatki se ne uporabljajo.
• Skrivnosti se hranijo zunaj sistema za upravljanje izvorne kode.
• Družba WinrickLabs LLC vzdržuje pisni načrt odzivanja na incidente, ki zajema odkrivanje, omejitev, oceno, obveščanje in pregled po incidentu.
• Kontaktna točka za prijave varnostnih vprašanj in ranljivosti je objavljena na naslovu privacy@fastcomments.com.

11. Certificiranje in zagotovila

Družba WinrickLabs LLC nima certifikata SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS ali CSA STAR, tega tudi ne zatrjuje in ne daje nobene izjave, da bo tak certifikat pridobila. Vsak certifikat, ki je v tej Pogodbi naveden v zvezi s podobdelovalcem, ima ta podobdelovalec za lastne objekte in storitve. Družba WinrickLabs LLC ne hrani in ne obdeluje podatkov o plačilnih karticah; podatke o karticah zbira in obdeluje neposredno njen plačilni podobdelovalec.

12. Najmanjši obseg podatkov, kakovost in hramba

• Storitev zahteva le prikazno ime. E-poštni naslov je neobvezen, anonimno komentiranje pa je podprto.
• Naslovi IP so privzeto psevdonimizirani, kot je opisano v razdelku 1 te Priloge.
• Posamezniki, na katere se nanašajo osebni podatki, in upravljavec lahko prek Storitve popravijo profilne podatke ter urejajo ali brišejo vsebino.
• Obdobje hrambe lahko nastavi upravljavec. Izbris ob prenehanju ureja razdelek 12 te Pogodbe.

13. Prenosljivost in izbris

• Administracijska konzola omogoča izvoz komentarjev in uporabniških podatkov, shranjenih za račun upravljavca.
• Administracijska konzola in API omogočata izbris posameznih komentarjev, posameznih končnih uporabnikov in celotnega računa upravljavca.

14. Ukrepi za prenose podobdelovalcem

• Vsak podobdelovalec je vključen na podlagi pisne pogodbe, ki mu nalaga obveznosti varstva podatkov, vsebinsko enakovredne obveznostim iz te Pogodbe, razen kadar Priloga III določa drugače.
• Vsak podobdelovalec je ocenjen pred vključitvijo, njegova vloga pa je zabeležena v Prilogi III in na Strani s podobdelovalci.
• Podobdelovalci, ki se uporabljajo za račune regije Evropske unije, te podatke obdelujejo znotraj Evropskega gospodarskega prostora.

Priloga III - Seznam podobdelovalcev

Upravljavec podeljuje splošno pisno odobritev za vključitev spodaj navedenih podobdelovalcev. Stran s podobdelovalci je merodajen aktualni seznam in je s sklicevanjem vključena v to Pogodbo. Stolpec „Regija" navaja, ali podobdelovalec obdeluje podatke za račune regije Evropske unije, za račune globalne regije ali za oboje.

Pogodbeni status podobdelovalcev. Vsak zgoraj navedeni podobdelovalec je vključen na podlagi pisne pogodbe, ki vključuje določila zadevnega ponudnika o obdelavi podatkov, z naslednjima dvema izjemama, ki sta navedeni tukaj, da ju upravljavec lahko oceni.

Deep Infra, Inc. ne objavlja pogodbe o obdelavi osebnih podatkov niti standardnih pogodbenih določil in na dan 5. avgusta 2026 takšna pogodba ni sklenjena. Družba WinrickLabs LLC si prizadeva za njeno sklenitev. Ta podobdelovalec je vključen le, kadar upravljavec omogoči funkcije samodejnega razvrščanja neželene vsebine, moderiranja slikovne vsebine, moderacijskega agenta ali pomočnika. Te funkcije so privzeto izklopljene. Če jih upravljavec ne omogoči, temu podobdelovalcu nikoli niso razkriti nobeni osebni podatki stranke. Upravljavec, ki ne želi, da njegove podatke obdeluje ta podobdelovalec, lahko te funkcije pusti izklopljene ali jih kadar koli in brezplačno izklopi. Objavljeni pogoji ponudnika določajo, da se podatki, predloženi njegovim vmesnikom, ne shranjujejo, ne prodajajo in ne uporabljajo za učenje modelov. Modele, ki jih uporablja Storitev, ta ponudnik gostuje na lastni infrastrukturi; podatki se ne posredujejo nobenemu nadaljnjemu ponudniku modelov.

BrainStorm Network, Inc. ne objavlja pogodbe o obdelavi osebnih podatkov in na dan 5. avgusta 2026 takšna pogodba ni sklenjena. Družba WinrickLabs LLC si prizadeva za njeno sklenitev. Ta podobdelovalec gostuje strežnike izključno v globalni regiji. Osebnih podatkov stranke, ki pripadajo računu regije Evropske unije, ta podobdelovalec nikoli ne obdeluje.

Ponudniki, ki ne obdelujejo osebnih podatkov stranke. Družba Stripe, LLC, Corporation Trust Center, 1209 Orange Street, Wilmington, DE 19801, United States, obdeluje lastne obračunske in plačilne podatke upravljavca. To so podatki o računu v smislu razdelka 3.2, glede katerih družba WinrickLabs LLC nastopa kot samostojen upravljavec, zato po tej Pogodbi ni podobdelovalec. Podatke o plačilnih karticah zbira in obdeluje neposredno Stripe, družba WinrickLabs LLC pa jih ne hrani.

Storitve, ki se izvajajo brez tretjih oseb. Dostavo vsebine, beleženje aplikacije, poročanje o napakah in obravnavo zahtevkov podpore izvaja družba WinrickLabs LLC na zgoraj navedeni infrastrukturi. Nobeno omrežje za dostavo vsebin, storitev beleženja, storitev sledenja napakam, analitična storitev ali služba za podporo tretje osebe ne prejema osebnih podatkov stranke.

Dodatek 1 - UK International Data Transfer Addendum

Za prenose, za katere velja Splošna uredba ZK, se Dodatek ZK vključi s sklicevanjem, njegove tabele pa so izpolnjene, kot sledi. Če so prisilne klavzule Dodatka ZK v nasprotju s SPD, kot so vključena z razdelkom 14.3, glede teh prenosov prevlada Dodatek ZK.

V SPD, kolikor se uporabljajo za prenose, za katere velja Splošna uredba ZK, velja: sklicevanja na Splošno uredbo se štejejo za sklicevanja na Splošno uredbo ZK; sklicevanja na Uredbo (EU) 2016/679 se štejejo za sklicevanja na to uredbo, kot je bila prenesena v pravo Združenega kraljestva, in na Data Protection Act 2018; sklicevanja na nadzorni organ se štejejo za sklicevanja na Information Commissioner; sklicevanja na državo članico se štejejo za sklicevanja na Združeno kraljestvo; sklicevanja na Evropski gospodarski prostor pa se štejejo za sklicevanja na Združeno kraljestvo.

Dodatek 2 - Švicarske prilagoditve

Kadar za prenos velja FADP, se SPD uporabljajo z naslednjimi prilagoditvami.

1. Pristojni nadzorni organ po klavzuli 13 in Prilogi I.C je Federal Data Protection and Information Commissioner glede prenosov, ki jih ureja izključno FADP. Kadar prenos urejata tako FADP kot Splošna uredba, je Federal Data Protection and Information Commissioner pristojen za švicarske vidike, organ, določen po Prilogi I.C, pa za vidike Evropske unije.
2. Sklicevanja na Splošno uredbo se štejejo za sklicevanja na FADP, kadar ta ureja prenos, sklicevanja na pravo Evropske unije ali države članice pa se, kadar je to upoštevno, štejejo za sklicevanja na švicarsko pravo.
3. Izraz „država članica" se ne razlaga tako, da bi posameznikom, na katere se nanašajo osebni podatki, v Švici odvzel možnost sprožitve postopka v kraju njihovega običajnega prebivališča v skladu s klavzulo 18(c).
4. SPD varujejo tudi osebne podatke pravnih oseb, kolikor to zahteva veljavno švicarsko pravo.
5. Klavzula 17 in klavzula 18(b) se uporabljata, kot je izbrano v razdelku 14.3, brez poseganja v odstavek 3 tega Dodatka.