Zmluva o spracúvaní osobných údajov

1. Zmluvné strany

2. Predmet zmluvy

1. Predmetom tejto DPA je úprava práv a povinností zmluvných strán pri spracúvaní osobných údajov, ktoré Prevádzkovateľ zadá do Služby vporiadku v rámci vytvárania faktúr, evidencie klientov a súvisiacich obchodných dokumentov.
2. Spracúvateľ spracúva osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, a to prostredníctvom používania Služby.
3. Táto DPA sa stáva súčasťou Všeobecných obchodných podmienok a nadobúda účinnosť momentom registrácie Prevádzkovateľa v Službe.

3. Kategórie spracúvaných údajov

4. Účel a doba spracúvania

1. Účel spracúvania: Poskytovanie služby vporiadku — vytváranie, ukladanie, odosielanie a správa faktúr a súvisiacich obchodných dokumentov v mene Prevádzkovateľa.
2. Doba spracúvania: Osobné údaje sú spracúvané po dobu trvania zmluvného vzťahu medzi Prevádzkovateľom a Spracúvateľom. Po ukončení zmluvy budú údaje vymazané do 30 dní, ak právne predpisy nevyžadujú ich dlhšie uchovávanie.
3. Charakter spracúvania: Automatizované spracúvanie v cloudovej infraštruktúre, vrátane uloženia, zobrazovania, exportu a prenosu e-mailom.
4. Ďalší účel: Spracovanie údajov prostredníctvom AI funkcií na generovanie a analýzu fakturačných dokumentov, pričom do externej služby sa odosielajú výlučne obchodné údaje (nie osobné údaje používateľa).

5. Povinnosti Spracúvateľa

1. Spracúvať osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, vrátane prenosu osobných údajov do tretích krajín, pokiaľ to nevyžaduje právo Únie alebo právo členského štátu.
2. Zabezpečiť, aby osoby oprávnené spracúvať osobné údaje boli viazané povinnosťou mlčanlivosti.
3. Prijať všetky opatrenia požadované podľa čl. 32 GDPR (bezpečnosť spracúvania), vrátane:
   • Šifrovania osobných údajov pri prenose (TLS 1.2+) a v úložisku (AES-256)
   • Zabezpečenia trvalej dôvernosti, integrity, dostupnosti a odolnosti systémov
   • Pravidelného testovania a hodnotenia účinnosti bezpečnostných opatrení
   • Riadenia prístupu na princípe minimálnych oprávnení
   • Pravidelného zálohovania údajov
4. Zohľadňovať povahu spracúvania a pomáhať Prevádzkovateľovi pri plnení jeho povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu).
5. Na žiadosť Prevádzkovateľa vymazať alebo vrátiť všetky osobné údaje po ukončení poskytovania služieb, ak právne predpisy nevyžadujú ich uchovávanie.
6. Poskytnúť Prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožniť audity a kontroly.

6. Povinnosti Prevádzkovateľa

1. Prevádzkovateľ zodpovedá za zákonnosť spracúvania osobných údajov, ktoré zadá do Služby, vrátane zabezpečenia právneho základu pre spracúvanie (napr. plnenie zmluvy, oprávnený záujem, súhlas dotknutej osoby).
2. Prevádzkovateľ je povinný informovať svojich klientov a odberateľov o spracúvaní ich osobných údajov prostredníctvom Služby.
3. Prevádzkovateľ nesmie do Služby zadávať osobitné kategórie osobných údajov podľa čl. 9 GDPR (zdravotné údaje, biometrické údaje a pod.).

7. Ďalší spracúvatelia (sub-processori)

1. Prevádzkovateľ udeľuje Spracúvateľovi všeobecné písomné povolenie na zapojenie ďalších spracúvateľov (sub-procesorov) za podmienok uvedených v tomto článku.
2. Spracúvateľ informuje Prevádzkovateľa o všetkých zamýšľaných zmenách týkajúcich sa pridania alebo výmeny sub-procesorov minimálne 30 dní vopred, čím poskytne Prevádzkovateľovi možnosť namietať proti takýmto zmenám.
3. Aktuálny zoznam sub-procesorov:

   Sub-procesor	Účel	Sídlo	Záruky
   Hosting provider	Uloženie a prevádzka infraštruktúry	EÚ	ISO 27001, SOC 2
   Stripe	Spracovanie platieb	USA (EÚ SCC)	PCI DSS, SOC 2
   E-mail provider	Odosielanie faktúr e-mailom	EÚ	ISO 27001
   OpenAI	Spracovanie AI požiadaviek (len obchodné údaje)	USA (EÚ SCC + DPF)	SOC 2, ISO 27001

4. Spracúvateľ zabezpečí, aby na každého sub-procesora boli zmluvne prenesené rovnaké povinnosti ochrany údajov, aké sú stanovené v tejto DPA.

8. Porušenie ochrany osobných údajov

1. Spracúvateľ oznámi Prevádzkovateľovi akékoľvek porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od zistenia porušenia.
2. Oznámenie musí obsahovať:
   • Popis povahy porušenia vrátane kategórií a počtu dotknutých osôb a záznamov
   • Kontaktné údaje pre získanie ďalších informácií
   • Popis pravdepodobných dôsledkov porušenia
   • Popis opatrení prijatých alebo navrhovaných na riešenie porušenia
3. Spracúvateľ poskytne Prevádzkovateľovi plnú súčinnosť pri plnení jeho oznamovacej povinnosti voči dozornému orgánu (čl. 33 GDPR) a voči dotknutým osobám (čl. 34 GDPR).

9. Prenos údajov do tretích krajín

1. Spracúvateľ nesmie preniesť osobné údaje do tretej krajiny alebo medzinárodnej organizácii bez predchádzajúceho písomného povolenia Prevádzkovateľa, s výnimkou prípadov, keď je prenos vyžadovaný právom Únie alebo právom členského štátu.
2. V prípade prenosu do tretích krajín (napr. USA) Spracúvateľ zabezpečí primerané záruky v súlade s čl. 46 GDPR, najmä prostredníctvom štandardných zmluvných doložiek schválených Európskou komisiou (SCC).

10. Audity a kontroly

1. Spracúvateľ sprístupní Prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností stanovených v čl. 28 GDPR.
2. Prevádzkovateľ alebo ním poverený audítor môže vykonať audit alebo kontrolu spracúvateľských činností za nasledujúcich podmienok:
   • Písomné oznámenie minimálne 30 dní vopred
   • Audit počas bežnej pracovnej doby
   • Maximálne 1 audit ročne (pokiaľ to nevyžaduje dozorný orgán alebo bezpečnostný incident)
   • Audítor musí byť viazaný povinnosťou mlčanlivosti

11. Práva dotknutých osôb

1. Spracúvateľ pomáha Prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb o uplatnenie ich práv podľa čl. 15 až 22 GDPR (prístup, oprava, výmaz, obmedzenie, prenosnosť, námietky).
2. Ak sa dotknutá osoba obráti priamo na Spracúvateľa so žiadosťou o uplatnenie svojich práv, Spracúvateľ žiadosť bezodkladne postúpi Prevádzkovateľovi.
3. Prevádzkovateľ môže kedykoľvek exportovať údaje svojich klientov zo Služby v štruktúrovanom formáte (CSV, PDF).

12. Ukončenie a vymazanie údajov

1. Po ukončení poskytovania Služby Spracúvateľ na žiadosť Prevádzkovateľa:
   • Vráti všetky osobné údaje Prevádzkovateľovi prostredníctvom exportu, alebo
   • Vymaže všetky osobné údaje a existujúce kópie, ak právne predpisy nevyžadujú ich uchovávanie
2. Vymazanie údajov bude vykonané do 30 dní od ukončenia zmluvy. Spracúvateľ potvrdí vymazanie údajov na žiadosť Prevádzkovateľa.
3. Údaje, ktoré musí Spracúvateľ uchovávať na základe právnych predpisov (napr. účtovné doklady — 10 rokov), budú uchované v súlade s príslušnými právnymi predpismi a po uplynutí zákonnej lehoty vymazané.

13. Záverečné ustanovenia

1. Táto DPA sa riadi právnym poriadkom Slovenskej republiky a Nariadením (EÚ) 2016/679.
2. V prípade rozporu medzi touto DPA a Všeobecnými obchodnými podmienkami majú v otázkach ochrany osobných údajov prednosť ustanovenia tejto DPA.
3. Spracúvateľ si vyhradzuje právo túto DPA aktualizovať. O zmenách bude Prevádzkovateľ informovaný minimálne 30 dní vopred.

Kontakt