Zmluva o spracúvaní osobných údajov

1. Strany a predmet

1.1. Prevádzkovateľom je Klient, ktorý s Nextio s. r. o. uzatvoril zmluvu o používaní systému Liftamo (ďalej „Zmluva“) a do systému vkladá osobné údaje.

1.2. Sprostredkovateľom je Nextio s. r. o., so sídlom Černyševského 1287/10, 851 01 Bratislava, IČO: 52723925, zapísaná v Obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka č. 141208/B.

1.3. Táto zmluva o spracúvaní osobných údajov (ďalej „DPA“) je neoddeliteľnou súčasťou Zmluvy a Všeobecných obchodných podmienok. Uzatvára sa uzavretím Zmluvy. Na žiadosť Klienta ju strany podpíšu aj ako samostatný dokument.

1.4. Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa výlučne na účel poskytovania systému Liftamo, jeho prevádzky, zálohovania a podpory.

2. Rozsah spracúvania

Kategórie dotknutých osôb

• používatelia systému – zamestnanci a spolupracovníci Prevádzkovateľa,
• zákazníci, obchodní partneri a ich kontaktné osoby,
• osoby uvedené v záznamoch (napr. technici, revízni technici, osoby preberajúce práce),
• príjemcovia zdieľaných dokumentov a cenových ponúk.

Kategórie osobných údajov

• identifikačné a kontaktné údaje (meno, priezvisko, e-mail, telefón, funkcia, adresa),
• údaje o pracovnej činnosti (zápisy, revízie, úlohy, podpisy, pečiatky, oprávnenia technikov),
• prevádzkové údaje (záznamy o prihláseniach a úkonoch v systéme, zobrazenia zdieľaných odkazov v anonymizovanej podobe).

Sprostredkovateľ nespracúva osobitné kategórie osobných údajov podľa čl. 9 GDPR, ak ich Prevádzkovateľ do systému nevloží; Prevádzkovateľ sa zaväzuje takéto údaje do systému nevkladať.

Doba spracúvania: počas trvania Zmluvy a po jej skončení počas lehôt podľa bodu 8.

3. Povinnosti Sprostredkovateľa

Sprostredkovateľ sa zaväzuje:

• spracúvať osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa; pokynmi sú Zmluva, táto DPA a úkony Prevádzkovateľa v systéme. Ak by pokyn podľa jeho názoru porušoval právne predpisy, bezodkladne na to Prevádzkovateľa upozorní,
• nepoužívať osobné údaje na iný účel, najmä ich nepredávať, nesprístupňovať iným klientom a nepoužívať na trénovanie umelej inteligencie,
• zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti,
• prijať technické a organizačné opatrenia podľa bodu 4,
• pomáhať Prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb a pri plnení povinností podľa čl. 32 až 36 GDPR,
• poskytnúť Prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa tejto DPA a umožniť primeraný audit po predchádzajúcom oznámení najmenej 30 dní vopred; náklady auditu znáša Prevádzkovateľ.

4. Technické a organizačné opatrenia

• Umiestnenie dát: dáta sú uložené a spracúvané v Európskej únii (dátové centrá v Írsku).
• Oddelenie klientov: dáta každého klienta sú oddelené na úrovni databázy pravidlami prístupu (row-level security); používateľ vidí len dáta organizácie, do ktorej patrí.
• Šifrovanie: prenos dát je šifrovaný (HTTPS/TLS), uložené dáta a zálohy sú šifrované (AES-256).
• Prihlásenie: jednorazovým kódom zaslaným na e-mail používateľa, bez trvalých hesiel.
• Riadenie prístupov: roly a oprávnenia používateľov určuje správca Prevádzkovateľa; prístup zamestnancov Sprostredkovateľa k produkčným dátam je obmedzený na nevyhnutný okruh osôb a nevyhnutné prípady.
• Prístup do účtu Prevádzkovateľa: len na jeho žiadosť alebo pri riešení poruchy či bezpečnostného incidentu; takýto prístup sa zaznamenáva.
• Audit stopa: systém zaznamenáva dôležité úkony (podpisy, prevzatia, zmeny prístupov, pozvánky).
• Zálohovanie: denné automatické zálohy databázy a súborov, uchovávané 30 dní (denné) a 12 mesiacov (mesačné), uložené šifrované na oddelenom úložisku v EÚ.
• Dostupnosť a monitoring: nepretržitý monitoring dostupnosti systému, aktualizácie bezpečnostných záplat.

Sprostredkovateľ môže opatrenia meniť, pokiaľ tým neznižuje úroveň ochrany.

5. Ďalší sprostredkovatelia

5.1. Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov. Aktuálne sú to:

Ak Prevádzkovateľ v systéme nastaví vlastný SMTP server, e-maily jeho zákazníkom sa odosielajú cez tento server; jeho poskytovateľa si volí Prevádzkovateľ.

5.2. O zámere pridať alebo vymeniť ďalšieho sprostredkovateľa Sprostredkovateľ informuje Prevádzkovateľa e-mailom najmenej 30 dní vopred. Prevádzkovateľ môže v tejto lehote vzniesť odôvodnenú námietku; ak sa strany nedohodnú, môže Prevádzkovateľ Zmluvu vypovedať ku dňu zapojenia nového sprostredkovateľa.

5.3. Sprostredkovateľ zaviaže ďalších sprostredkovateľov rovnakými povinnosťami ochrany osobných údajov, aké má podľa tejto DPA, a zodpovedá za ich plnenie.

5.4. Niektorí ďalší sprostredkovatelia majú materskú spoločnosť v USA. Pre prípad prístupu z tretej krajiny je prenos zabezpečený štandardnými zmluvnými doložkami schválenými Európskou komisiou, prípadne certifikáciou v rámci EU-US Data Privacy Framework.

6. Porušenie ochrany osobných údajov

6.1. Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, aby Prevádzkovateľ mohol splniť svoju povinnosť oznámiť ho úradu do 72 hodín.

6.2. Oznámenie obsahuje najmä opis porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky a prijaté alebo navrhované opatrenia. Ak niektoré informácie nie sú hneď k dispozícii, Sprostredkovateľ ich doplní priebežne.

7. Povinnosti Prevádzkovateľa

7.1. Prevádzkovateľ zodpovedá za zákonnosť spracúvania osobných údajov, ktoré do systému vkladá, najmä za to, že má na ich spracúvanie právny základ a že dotknutým osobám poskytol potrebné informácie.

7.2. Prevádzkovateľ zodpovedá za správu prístupov svojich používateľov (pozvánky, roly, odobratie prístupu).

8. Ukončenie spracúvania

8.1. Po skončení Zmluvy Sprostredkovateľ na žiadosť Prevádzkovateľa, podanú do 30 dní od skončenia, odovzdá osobné údaje v štandardnom formáte.

8.2. Po uplynutí 30 dní od skončenia Zmluvy Sprostredkovateľ osobné údaje natrvalo vymaže zo systému. Zo záloh sa vymažú po uplynutí ich doby uchovávania, najneskôr do 12 mesiacov. Do vymazania sú zálohy chránené rovnakými opatreniami a nepoužívajú sa na iný účel ako obnovu dát.

8.3. Povinnosť vymazania sa nevzťahuje na údaje, ktoré je Sprostredkovateľ povinný uchovávať podľa právnych predpisov (napr. účtovné doklady).

9. Záverečné ustanovenia

9.1. Táto DPA je účinná po dobu trvania Zmluvy a po jej skončení až do vymazania všetkých osobných údajov.

9.2. Ak sa táto DPA a Zmluva alebo VOP v otázkach ochrany osobných údajov odlišujú, prednosť má táto DPA.

9.3. Zodpovednosť strán sa riadi Zmluvou a VOP, ak právne predpisy neurčujú inak.

9.4. Kontakt vo veciach ochrany osobných údajov: info@liftamo.sk.