Zmluva o spracúvaní osobných údajov

1. Zmluvné strany

2. Predmet zmluvy

1. Predmetom tejto DPA je úprava práv a povinností zmluvných strán pri spracúvaní osobných údajov, ktoré Prevádzkovateľ zadá do Služby vporiadku v rámci vytvárania faktúr, evidencie klientov a súvisiacich obchodných dokumentov.
2. Spracúvateľ spracúva osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, a to prostredníctvom používania Služby.
3. Táto DPA sa stáva súčasťou Všeobecných obchodných podmienok a nadobúda účinnosť momentom registrácie Prevádzkovateľa v Službe.

3. Kategórie spracúvaných údajov

4. Účel a doba spracúvania

1. Účel spracúvania: Poskytovanie služby vporiadku, teda vytváranie, ukladanie, odosielanie a správa faktúr a súvisiacich obchodných dokumentov v mene Prevádzkovateľa.
2. Doba spracúvania: Osobné údaje sú spracúvané po dobu trvania zmluvného vzťahu medzi Prevádzkovateľom a Spracúvateľom a po jeho skončení v rozsahu a lehotách podľa článku 12 tejto DPA.
3. Charakter spracúvania: Automatizované spracúvanie v cloudovej infraštruktúre, vrátane uloženia, zobrazovania, exportu a prenosu e-mailom.
4. AI funkcie: Ak Prevádzkovateľ použije AI funkciu (napr. vytvorenie faktúry z textu alebo vyťaženie nahratého dokladu), Spracúvateľ odošle poskytovateľovi AI uvedenému v zozname subdodávateľov obsah potrebný na vybavenie požiadavky (zadaný text, nahratý doklad alebo z neho vyťažený text) vrátane osobných údajov, ktoré obsahuje (napr. údaje o odberateľovi či dodávateľovi). Bez použitia AI funkcie sa poskytovateľovi AI nič neodosiela. Podrobnosti upravujú Podmienky AI funkcií.

5. Povinnosti Spracúvateľa

1. Spracúvať osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, vrátane prenosu osobných údajov do tretích krajín, pokiaľ to nevyžaduje právo Únie alebo právo členského štátu.
2. Zabezpečiť, aby osoby oprávnené spracúvať osobné údaje boli viazané povinnosťou mlčanlivosti.
3. Prijať všetky opatrenia požadované podľa čl. 32 GDPR (bezpečnosť spracúvania), vrátane:
   • Šifrovania osobných údajov pri prenose (TLS 1.2+) a v úložisku (AES-256)
   • Zabezpečenia trvalej dôvernosti, integrity, dostupnosti a odolnosti systémov
   • Pravidelného testovania a hodnotenia účinnosti bezpečnostných opatrení
   • Riadenia prístupu na princípe minimálnych oprávnení
   • Pravidelného zálohovania údajov
4. Zohľadňovať povahu spracúvania a pomáhať Prevádzkovateľovi pri plnení jeho povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu).
5. Na žiadosť Prevádzkovateľa vymazať alebo vrátiť všetky osobné údaje po ukončení poskytovania služieb, ak právne predpisy nevyžadujú ich uchovávanie.
6. Poskytnúť Prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožniť audity a kontroly.

6. Povinnosti Prevádzkovateľa

1. Prevádzkovateľ zodpovedá za zákonnosť spracúvania osobných údajov, ktoré zadá do Služby, vrátane zabezpečenia právneho základu pre spracúvanie (napr. plnenie zmluvy, oprávnený záujem, súhlas dotknutej osoby).
2. Prevádzkovateľ je povinný informovať svojich klientov a odberateľov o spracúvaní ich osobných údajov prostredníctvom Služby.
3. Prevádzkovateľ nesmie do Služby zadávať osobitné kategórie osobných údajov podľa čl. 9 GDPR (zdravotné údaje, biometrické údaje a pod.).

7. Ďalší spracúvatelia (sub-processori)

1. Prevádzkovateľ udeľuje Spracúvateľovi všeobecné písomné povolenie na zapojenie ďalších spracúvateľov (sub-procesorov) za podmienok uvedených v tomto článku.
2. Spracúvateľ informuje Prevádzkovateľa o všetkých zamýšľaných zmenách týkajúcich sa pridania alebo výmeny sub-procesorov minimálne 30 dní vopred, čím poskytne Prevádzkovateľovi možnosť namietať proti takýmto zmenám.
3. Aktuálny zoznam sub-procesorov vrátane ich sídla, účelu, kategórií údajov a záruk pri prenose mimo EHP je zverejnený na stránke Zoznam subdodávateľov a je neoddeliteľnou súčasťou tejto DPA. Pri prijatí DPA sa zaznamenáva aj verzia zoznamu, ktorú Prevádzkovateľ prijal.
4. Spracúvateľ zabezpečí, aby na každého sub-procesora boli zmluvne prenesené rovnaké povinnosti ochrany údajov, aké sú stanovené v tejto DPA.

8. Porušenie ochrany osobných údajov

1. Spracúvateľ oznámi Prevádzkovateľovi akékoľvek porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od zistenia porušenia.
2. Oznámenie musí obsahovať:
   • Popis povahy porušenia vrátane kategórií a počtu dotknutých osôb a záznamov
   • Kontaktné údaje pre získanie ďalších informácií
   • Popis pravdepodobných dôsledkov porušenia
   • Popis opatrení prijatých alebo navrhovaných na riešenie porušenia
3. Spracúvateľ poskytne Prevádzkovateľovi plnú súčinnosť pri plnení jeho oznamovacej povinnosti voči dozornému orgánu (čl. 33 GDPR) a voči dotknutým osobám (čl. 34 GDPR).

9. Prenos údajov do tretích krajín

1. Prevádzkovateľ prijatím tejto DPA udeľuje Spracúvateľovi povolenie na prenos osobných údajov do tretích krajín v rozsahu uvedenom v zozname subdodávateľov (napr. USA). Iný prenos do tretej krajiny alebo medzinárodnej organizácii je možný len s predchádzajúcim písomným povolením Prevádzkovateľa, s výnimkou prípadov, keď je prenos vyžadovaný právom Únie alebo právom členského štátu.
2. Pri každom prenose do tretej krajiny Spracúvateľ zabezpečí primerané záruky v súlade s kapitolou V GDPR, najmä prostredníctvom štandardných zmluvných doložiek schválených Európskou komisiou (čl. 46 ods. 2 písm. c) GDPR). Záruky pre jednotlivé prenosy sú uvedené v zozname subdodávateľov.

10. Audity a kontroly

1. Spracúvateľ sprístupní Prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností stanovených v čl. 28 GDPR.
2. Prevádzkovateľ alebo ním poverený audítor môže vykonať audit alebo kontrolu spracúvateľských činností za nasledujúcich podmienok:
   • Písomné oznámenie minimálne 30 dní vopred
   • Audit počas bežnej pracovnej doby
   • Maximálne 1 audit ročne (pokiaľ to nevyžaduje dozorný orgán alebo bezpečnostný incident)
   • Audítor musí byť viazaný povinnosťou mlčanlivosti

11. Práva dotknutých osôb

1. Spracúvateľ pomáha Prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb o uplatnenie ich práv podľa čl. 15 až 22 GDPR (prístup, oprava, výmaz, obmedzenie, prenosnosť, námietky).
2. Ak sa dotknutá osoba obráti priamo na Spracúvateľa so žiadosťou o uplatnenie svojich práv, Spracúvateľ žiadosť bezodkladne postúpi Prevádzkovateľovi.
3. Prevádzkovateľ môže kedykoľvek exportovať údaje svojich klientov zo Služby v štruktúrovanom formáte (CSV, PDF).

12. Ukončenie a vymazanie údajov

1. Po ukončení poskytovania Služby Spracúvateľ na žiadosť Prevádzkovateľa:
   • Vráti všetky osobné údaje Prevádzkovateľovi prostredníctvom exportu, alebo
   • Vymaže všetky osobné údaje a existujúce kópie, ak právne predpisy nevyžadujú ich uchovávanie
2. Po zrušení účtu zostávajú údaje ešte 30 dní k dispozícii na export; počas tejto lehoty môže Prevádzkovateľ zrušenie odvolať. Po jej uplynutí Spracúvateľ vymaže všetky osobné údaje, ktorých uchovávanie nevyžadujú právne predpisy, a na žiadosť Prevádzkovateľa vymazanie potvrdí.
3. Účtovné doklady a účtovné záznamy, ktoré je Prevádzkovateľ povinný uchovávať (§ 35 ods. 3 zákona č. 431/2002 Z. z. o účtovníctve: 10 rokov nasledujúcich po roku, ktorého sa týkajú), Spracúvateľ uchová s obmedzeným spracúvaním podľa čl. 18 GDPR a po uplynutí tejto lehoty ich vymaže.

13. Záverečné ustanovenia

1. Táto DPA sa riadi právnym poriadkom Slovenskej republiky a Nariadením (EÚ) 2016/679.
2. V prípade rozporu medzi touto DPA a Všeobecnými obchodnými podmienkami majú v otázkach ochrany osobných údajov prednosť ustanovenia tejto DPA.
3. Spracúvateľ si vyhradzuje právo túto DPA aktualizovať. O zmenách bude Prevádzkovateľ informovaný minimálne 30 dní vopred.

Kontakt