Zmluva o spracúvaní osobných údajov

Príloha č. 1 k Všeobecným obchodným podmienkam služby notifi, uzavretá podľa čl. 28 ods. 3 Nariadenia (EÚ) 2016/679 (GDPR) a § 34 zákona č. 18/2018 Z. z. o ochrane osobných údajov. Platná a účinná od 1. novembra 2026.

Článok 1 — Zmluvné strany, predmet a trvanie

1.1 Zmluvné strany.

• Prevádzkovateľ: Klient, ktorý sa zaregistroval do služby notifi, s údajmi uvedenými v jeho Účte prevádzky (ďalej „Prevádzkovateľ“).
• Sprostredkovateľ: Lukáš Podolský, fyzická osoba – podnikateľ, miesto podnikania Bernolákova 44, 974 05 Banská Bystrica, IČO: 50107534, DIČ: 1086483717, e-mail: [email protected] (ďalej „Sprostredkovateľ“).

1.2 Predmet. Prevádzkovateľ poveruje Sprostredkovateľa spracúvaním osobných údajov svojich Koncových zákazníkov a Oslávencov v rozsahu nevyhnutnom na poskytovanie služby notifi podľa Všeobecných obchodných podmienok (ďalej „VOP“). Povahu, účel, kategórie údajov a dotknutých osôb upravuje Príloha 1.

1.3 Roly. Prevádzkovateľ určuje účel a prostriedky spracúvania (koho zapíše, aké Automatizácie zapne, aké Správy odošle). Sprostredkovateľ spracúva osobné údaje výlučne v jeho mene a podľa jeho pokynov.

1.4 Uzavretie. Zmluva sa uzatvára elektronicky súčasne s VOP, a to potvrdením súhlasu pri registrácii alebo prvým prihlásením do zriadeného Účtu prevádzky. Písomná forma podľa čl. 28 ods. 9 GDPR je zachovaná elektronickou formou.

1.5 Trvanie. Zmluva sa uzatvára na dobu trvania zmluvy podľa VOP. Povinnosti týkajúce sa mlčanlivosti, vrátenia a výmazu údajov platia aj po jej skončení.

1.6 Pojmy. Pojmy s veľkým začiatočným písmenom majú význam podľa VOP; pojmy „osobné údaje“, „spracúvanie“, „porušenie ochrany osobných údajov“ a ďalšie majú význam podľa čl. 4 GDPR.

1.7 Prednosť. Pri rozpore medzi touto zmluvou a VOP má vo veciach ochrany osobných údajov prednosť táto zmluva.

Článok 2 — Povinnosti Prevádzkovateľa a pokyny

2.1 Zákonnosť. Prevádzkovateľ zodpovedá za to, že osobné údaje, ktoré do Služby vloží, získal zákonne, má na ich spracúvanie právny základ a na zasielanie Správ s marketingovou povahou súhlas Koncového zákazníka podľa § 116 zákona č. 452/2021 Z. z.

2.2 Informovanie. Prevádzkovateľ plní informačnú povinnosť voči Koncovým zákazníkom podľa čl. 13 a 14 GDPR vrátane informácie, že údaje spracúva prostredníctvom sprostredkovateľa notifi. Vzor informácie a súhlasu mu Sprostredkovateľ na požiadanie poskytne.

2.3 Minimalizácia. Prevádzkovateľ vkladá iba údaje nevyhnutné na účel Služby. Do Služby nevkladá osobitné kategórie osobných údajov podľa čl. 9 GDPR ani údaje podľa čl. 10 GDPR (vrátane voľných poznámok), ak sa strany písomne nedohodnú inak.

2.4 Pokyny. Pokynmi Prevádzkovateľa sú:

• tieto zmluvné ustanovenia a VOP,
• nastavenia a úkony, ktoré Prevádzkovateľ alebo jeho Používatelia vykonajú v Aplikácii (zápis, úprava a zmazanie údajov, zapnutie Automatizácií, text Šablón, zmena Súhlasu),
• ďalšie pokyny zaslané e-mailom na [email protected], ak sú v súlade so zákonom a technickými možnosťami Služby.

Pokyn, ktorý by si vyžadoval úpravu Služby, Sprostredkovateľ vykoná po dohode o rozsahu a cene.

2.5 Práva dotknutých osôb. Žiadosti Koncových zákazníkov vybavuje Prevádzkovateľ. Opravu, zmazanie Udalostí a zrušenie Súhlasu vykoná sám v Aplikácii; export alebo úplný výmaz Koncového zákazníka, ktorý v Aplikácii zatiaľ nie je dostupný, vykoná Sprostredkovateľ na jeho pokyn podľa čl. 3.6.

2.6 Zodpovednosť. Prevádzkovateľ nahradí Sprostredkovateľovi škodu, pokuty a primerané náklady, ktoré mu vzniknú v dôsledku spracúvania údajov bez právneho základu alebo porušenia povinností Prevádzkovateľa podľa tohto článku.

Článok 3 — Povinnosti Sprostredkovateľa

3.1 Spracúvanie iba na pokyn. Sprostredkovateľ spracúva osobné údaje iba na zdokumentované pokyny Prevádzkovateľa, vrátane prenosu do tretej krajiny, ak mu iné spracúvanie neukladá právo EÚ alebo Slovenskej republiky; v takom prípade o tom Prevádzkovateľa informuje, ak to právo nezakazuje. Ak pokyn podľa jeho názoru porušuje GDPR alebo iný predpis, Sprostredkovateľ na to Prevádzkovateľa bez zbytočného odkladu upozorní a nie je povinný ho vykonať.

3.2 Zákaz vlastného použitia. Sprostredkovateľ nepoužije osobné údaje Koncových zákazníkov na vlastné účely, najmä na vlastný marketing, predaj tretím osobám, profilovanie ani trénovanie modelov umelej inteligencie. Môže vytvárať iba súhrnné anonymizované štatistiky o prevádzke Služby.

3.3 Mlčanlivosť. Sprostredkovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli viazané mlčanlivosťou, a to aj po skončení spolupráce. Prístup k údajom majú iba osoby, ktoré ho potrebujú na poskytovanie a podporu Služby; každý administrátorský zásah do Účtu prevádzky sa zaznamenáva do auditného logu.

3.4 Bezpečnosť. Sprostredkovateľ prijal a udržiava technické a organizačné opatrenia podľa čl. 32 GDPR uvedené v Prílohe 2. Opatrenia môže meniť iba tak, aby sa úroveň ochrany neznížila.

3.5 Porušenie ochrany osobných údajov. Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov, ktoré sa týka jeho údajov, bez zbytočného odkladu, najneskôr do 48 hodín od zistenia. Oznámenie obsahuje najmä povahu porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky a prijaté alebo navrhované opatrenia; informácie, ktoré nie sú hneď známe, doplní postupne. Sprostredkovateľ vedie evidenciu porušení a poskytne súčinnosť pri oznámení Úradu na ochranu osobných údajov SR a dotknutým osobám.

3.6 Súčinnosť pri právach dotknutých osôb. Sprostredkovateľ pomáha Prevádzkovateľovi vhodnými opatreniami vybavovať žiadosti dotknutých osôb. Žiadosť, ktorú dostane priamo od Koncového zákazníka, postúpi Prevádzkovateľovi do 5 Pracovných dní a sám na ňu vecne neodpovie, ak ho Prevádzkovateľ nepoverí. Na pokyn Prevádzkovateľa vykoná export (JSON alebo CSV) alebo úplný výmaz údajov Koncového zákazníka do 10 Pracovných dní.

3.7 Ďalšia súčinnosť. Sprostredkovateľ poskytne Prevádzkovateľovi primeranú súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu, predchádzajúca konzultácia), a to so zreteľom na povahu spracúvania a dostupné informácie. Bez zbytočného odkladu informuje Prevádzkovateľa o kontrole alebo konaní dozorného orgánu, ktoré sa týka jeho údajov.

3.8 Audit. Sprostredkovateľ poskytne Prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR, predovšetkým písomne (popis opatrení, zoznam ďalších sprostredkovateľov, ich certifikáty). Ak to nestačí, umožní audit alebo kontrolu vykonanú Prevádzkovateľom alebo nezávislým audítorom viazaným mlčanlivosťou, oznámenú aspoň 30 dní vopred, najviac raz ročne, počas Pracovných dní a bez narušenia prevádzky Služby. Náklady auditu nesie Prevádzkovateľ; ak audit odhalí podstatné porušenie tejto zmluvy, nesie ich Sprostredkovateľ.

3.9 Náklady súčinnosti. Súčinnosť podľa čl. 3.6 a 3.7 v bežnom rozsahu je zahrnutá v cene Služby. Pri opakovaných alebo neprimerane rozsiahlych požiadavkách môže Sprostredkovateľ po predchádzajúcom oznámení účtovať primerané náklady.

3.10 Záznamy. Sprostredkovateľ vedie záznamy o kategóriách spracovateľských činností vykonávaných v mene Prevádzkovateľa podľa čl. 30 ods. 2 GDPR.

Článok 4 — Ďalší sprostredkovatelia a prenos mimo EÚ

4.1 Všeobecné povolenie. Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov. Ku dňu uzavretia zmluvy súhlasí so sprostredkovateľmi uvedenými v Prílohe 3.

4.2 Zmena. O zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa Sprostredkovateľ informuje Prevádzkovateľa e-mailom alebo v Aplikácii aspoň 14 dní vopred. Prevádzkovateľ môže v tejto lehote podať odôvodnenú námietku. Ak ju strany nevyriešia dohodou, Prevádzkovateľ môže zmluvu podľa VOP vypovedať s okamžitou účinnosťou a má nárok na vrátenie pomernej časti zaplatenej ceny. Ak nenamietne, zmena sa považuje za schválenú. V naliehavých prípadoch (bezpečnosť, výpadok dodávateľa) môže Sprostredkovateľ vykonať zmenu skôr a informuje o nej bez zbytočného odkladu.

4.3 Rovnaké povinnosti. Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi zmluvou rovnaké povinnosti ochrany osobných údajov, aké má sám podľa tejto zmluvy, najmä povinnosť prijať primerané bezpečnostné opatrenia. Za plnenie povinností ďalšieho sprostredkovateľa zodpovedá Prevádzkovateľovi v rozsahu podľa čl. 28 ods. 4 GDPR.

4.4 Prenos mimo EÚ. Sprostredkovateľ prenáša osobné údaje do tretej krajiny iba vtedy, ak je splnená niektorá z podmienok kapitoly V GDPR, najmä:

• rozhodnutie Komisie o primeranosti, vrátane EU-US Data Privacy Framework pri certifikovanom príjemcovi, alebo
• štandardné zmluvné doložky podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914, doplnené podľa potreby o ďalšie opatrenia.

Konkrétne prenosy a záruky sú uvedené v Prílohe 3. Prevádzkovateľ ich schvaľuje ako svoj pokyn na prenos.

4.5 Žiadosti orgánov tretích krajín. Ak orgán mimo EÚ požiada o prístup k údajom Prevádzkovateľa, Sprostredkovateľ posúdi zákonnosť žiadosti, informuje Prevádzkovateľa, ak to právo dovoľuje, a sprístupní iba nevyhnutný rozsah.

Článok 5 — Skončenie, vrátenie a výmaz údajov

5.1 Vrátenie. Prevádzkovateľ si môže počas trvania zmluvy a 30 dní po jej skončení stiahnuť svoje údaje v strojovo čitateľnom formáte (CSV alebo JSON), alebo požiadať Sprostredkovateľa o ich bezplatné poskytnutie.

5.2 Výmaz. Po uplynutí lehoty podľa čl. 5.1 Sprostredkovateľ vymaže všetky osobné údaje Prevádzkovateľa vrátane existujúcich kópií do 30 dní, zo záloh pri ich pravidelnom prepísaní, najneskôr do 90 dní od skončenia zmluvy. To neplatí, ak ich uchovávanie vyžaduje právo EÚ alebo Slovenskej republiky; také údaje Sprostredkovateľ chráni a nespracúva na iný účel.

5.3 Potvrdenie. Na žiadosť Prevádzkovateľa Sprostredkovateľ písomne (e-mailom) potvrdí výmaz.

5.4 Priebežný výmaz. Údaje, ktoré Prevádzkovateľ počas trvania zmluvy zmaže v Aplikácii (napr. zákazníka a s ním jeho Udalosti, Objednávky a históriu Správ), sa vymažú z produkčnej databázy okamžite a zo záloh pri ich prepísaní.

Článok 6 — Záverečné ustanovenia

6.1 Zodpovednosť. Zodpovednosť strán za škodu sa riadi čl. 82 GDPR a VOP; obmedzenie náhrady škody podľa VOP sa nevzťahuje na nároky dotknutých osôb ani na škodu spôsobenú úmyselne alebo hrubou nedbanlivosťou.

6.2 Komunikácia. Strany komunikujú e-mailom: Prevádzkovateľ na e-mail uvedený v Účte prevádzky, Sprostredkovateľ na [email protected]. Oznámenie o porušení ochrany osobných údajov zasiela Sprostredkovateľ aj telefonicky, ak je to potrebné.

6.3 Zmeny. Sprostredkovateľ môže zmluvu meniť rovnakým postupom ako VOP (oznámenie aspoň 30 dní vopred s právom Prevádzkovateľa vypovedať). Zmenu vynútenú právnym predpisom alebo rozhodnutím dozorného orgánu môže vykonať aj v kratšej lehote.

6.4 Rozhodné právo. Zmluva sa riadi právom Slovenskej republiky, najmä GDPR, zákonom č. 18/2018 Z. z. a Obchodným zákonníkom. Spory rozhoduje príslušný súd Slovenskej republiky podľa VOP.

6.5 Oddeliteľnosť. Neplatnosť niektorého ustanovenia neovplyvní platnosť ostatných.

6.6 Účinnosť. Zmluva nadobúda účinnosť dňom 1. novembra 2026, zároveň s VOP.

Prílohy: Príloha 1 – Povaha, účel a rozsah spracúvania · Príloha 2 – Technické a organizačné opatrenia · Príloha 3 – Zoznam ďalších sprostredkovateľov

Príloha 1 — Povaha, účel a rozsah spracúvania

Kategórie dotknutých osôb

• Koncoví zákazníci Prevádzkovateľa,
• Oslávenci a príjemcovia objednávok (tretie osoby, ktorých sa udalosť týka, vrátane detí),
• osoby, ktoré odpovedajú na Správy z telefónneho čísla.

Kategórie osobných údajov

Osobitné kategórie údajov

Nespracúvajú sa. Prevádzkovateľ ich podľa čl. 2.3 do Služby nevkladá.

Príloha 2 — Technické a organizačné opatrenia

Technické opatrenia

• šifrovanie prenosu (HTTPS/TLS) medzi prehliadačom, Aplikáciou, databázou, automatizačným serverom a poskytovateľmi doručenia Správ,
• šifrovanie databázy a záloh u poskytovateľa databázy,
• logické oddelenie Účtov prevádzok priamo v databáze (Row Level Security); overené testom, že Používateľ nevidí ani nezmení údaje inej prevádzky,
• funkcie, ktoré vracajú kontaktné údaje na odoslanie Správ, môže volať iba serverový kľúč, nie verejný kľúč Aplikácie,
• heslá uložené iba ako hash, minimálna dĺžka 8 znakov, potvrdenie e-mailu, prihlasovacia hláška neprezrádza existenciu účtu,
• prístupové kľúče a heslá k systémom uložené iba v serverovom prostredí, nie v zdrojovom kóde; prístupové údaje k SMTP serverom prevádzok uložené šifrovane,
• ochrana proti duplicitnému odoslaniu Správy,
• pravidelné zálohovanie databázy,
• vyradenie Aplikácie z indexovania vyhľadávačmi.

Organizačné opatrenia

• prístup k údajom prevádzok má iba Sprostredkovateľ a osoby viazané mlčanlivosťou, v rozsahu potrebnom na podporu a prevádzku,
• auditný log každého administrátorského zásahu (kto, kedy, čo), bez ukladania hesiel,
• dvojfaktorové overenie pri administrátorských účtoch k infraštruktúre (zapnuté),
• výber dodávateľov iba s uzavretou zmluvou o spracúvaní a sídlom v EÚ alebo so zárukami podľa kapitoly V GDPR,
• postup pri porušení ochrany osobných údajov: zistenie, posúdenie rizika, oznámenie Prevádzkovateľovi do 48 hodín, evidencia,
• obmedzenie histórie behov automatizačného servera na nevyhnutnú dobu 14 dní,
• pravidelná kontrola bezpečnostných odporúčaní databázy a aktualizácia softvéru.

Príloha 3 — Zoznam ďalších sprostredkovateľov

Stav k dátumu účinnosti zmluvy. O zmenách Sprostredkovateľ informuje podľa čl. 4.2.

Ak Prevádzkovateľ nastaví vlastný SMTP server, jeho poskytovateľ je dodávateľom Prevádzkovateľa, nie ďalším sprostredkovateľom Sprostredkovateľa. Sprostredkovateľ v takom prípade iba šifrovane uchováva prístupové údaje a odovzdáva e-maily na tento server.