Zmluva o spracovaní údajov (AVV)

Štandardné zmluvné ustanovenia

Úradné znenie podľa EUR-Lex (CELEX 32021D0915), príloha k rozhodnutiu. Zvolené možnosti sú označené ako [Voľba: …], nezvolené sú prečiarknuté; v ostatných prípadoch zostáva text nezmenený.

Časť II: Povinnosti zmluvných strán

Článok 6: Opis spracúvania

Podrobnosti o procesoch ### spracúvania, najmä kategórie osobných údajov a účely, na ktoré sa osobné údaje spracúvajú v mene prevádzkovateľa, sú uvedené v prílohe II.

Článok 7: Povinnosti zmluvných strán

7.1. Pokyny

a) Spracovateľ spracúva osobné údaje výlučne na základe zdokumentovaných pokynov prevádzkovateľa, pokiaľ nie je povinný spracúvať tieto údaje na základe práva Únie alebo práva členského štátu, ktorému podlieha. V takom prípade spracovateľ informuje prevádzkovateľa o týchto právnych požiadavkách pred začatím spracúvania, pokiaľ to príslušné právo nezakazuje z dôvodu dôležitého verejného záujmu. Prevádzkovateľ môže počas celej doby spracúvania osobných údajov vydávať ďalšie pokyny. Tieto pokyny sa musia vždy zdokumentovať.

b) Spracovateľ bezodkladne informuje prevádzkovateľa, ak sa domnieva, že pokyny vydané prevádzkovateľom sú v rozpore s nariadením (EÚ) 2016/679, nariadenie (EÚ) 2018/1725 alebo platné predpisy Únie alebo členských štátov o ochrane údajov.

7.2. Účel spracúvania

Sprostredkovateľ spracúva osobné údaje výlučne na konkrétny účel (účely) uvedené v prílohe II, pokiaľ nedostane ďalšie pokyny od prevádzkovateľa.

7.3. Doba trvania spracúvania osobných údajov

Sprostredkovateľ spracúva údaje iba počas doby uvedenej v prílohe II.

7.4. Bezpečnosť spracúvania

a) Sprostredkovateľ prijme aspoň technické a organizačné opatrenia uvedené v prílohe III s cieľom zabezpečiť bezpečnosť osobných údajov. To zahŕňa ochranu údajov pred porušením bezpečnosti, ktoré - či už neúmyselné alebo protiprávne - vedie k zničeniu, strate, zmene alebo neoprávnenému zverejneniu údajov, resp. k neoprávnenému prístupu k údajom (ďalej len „porušenie ochrany osobných údajov“). Pri posudzovaní primeranej úrovne ochrany zohľadnia zmluvné strany primerane stav techniky, náklady na implementáciu, povahu, rozsah, okolnosti a účely spracúvania, ako aj riziká spojené s dotknutými osobami.

b) Spracovateľ poskytuje svojim zamestnancom prístup k osobným údajom, ktoré sú predmetom spracovania, len v takom rozsahu, v akom je to nevyhnutne potrebné na plnenie, správu a dohľad nad zmluvou. Sprostredkovateľ zabezpečí, aby osoby oprávnené na spracúvanie získaných osobných údajov prijali záväzok zachovávať dôvernosť alebo podliehali primeranej zákonnej povinnosti mlčanlivosti.

7.5. Citlivé údaje

Ak sa spracovanie týka osobných údajov, z ktorých vyplýva rasový alebo etnický pôvod, politické názory, náboženské alebo svetonázorové presvedčenia alebo členstvo v odborových organizáciách, alebo genetických údajov alebo biometrických údajov na účely jednoznačnej identifikácie fyzickej osoby, údaje o zdraví, sexuálnom živote alebo sexuálnej orientácii osoby alebo údaje o trestných rozsudkoch a trestných činoch (ďalej len „citlivé údaje“), spracovateľ uplatňuje osobitné obmedzenia a/alebo dodatočné záruky.

7.6. Dokumentácia a dodržiavanie týchto doložiek

a) Zmluvné strany musia byť schopné preukázať dodržiavanie týchto doložiek.

b) Spracovateľ bezodkladne a primeraným spôsobom vybaví žiadosti prevádzkovateľa týkajúce sa spracúvania údajov v súlade s týmito doložkami.

c) Spracovateľ poskytne prevádzkovateľovi všetky informácie potrebné na preukázanie dodržiavania povinností stanovených v týchto doložkách a vyplývajúcich priamo z nariadenia (EÚ) 2016/679 a/alebo nariadenia (EÚ) 2018/1725. Na žiadosť prevádzkovateľa spracovateľ údajov tiež umožní kontrolu činností spracovania, na ktoré sa vzťahujú tieto doložky, v primeraných intervaloch alebo v prípade náznakov nedodržiavania a bude na takejto kontrole spolupracovať. Pri rozhodovaní o kontrole alebo overení môže prevádzkovateľ zohľadniť príslušné certifikáty spracovateľa.

d) Správca môže kontrolu vykonať sám alebo poveriť nezávislého audítora. Kontroly môžu zahŕňať aj inšpekcie v priestoroch alebo fyzických zariadeniach spracovateľa a v prípade potreby sa vykonávajú s primeraným predchádzajúcim oznámením.

e) Zmluvné strany na požiadanie poskytnú príslušnému dozornému orgánu (orgánom) informácie uvedené v tejto doložke, vrátane výsledkov kontrol.

7.7. Využívanie subdodávateľov

a) MOŽNOSŤ 2: VŠEOBECNÉ PÍSOMNÉ SÚHLAS: Spracovateľ má všeobecný súhlas prevádzkovateľa na poverenie subdodávateľov spracovania, ktorí sú uvedení v dohodnutom zozname. Spracovateľ výslovne písomne informuje prevádzkovateľa najmenej 30 dní vopred o všetkých zamýšľaných zmenách tohto zoznamu prostredníctvom pridania alebo nahradenia subdodávateľov a poskytne tak prevádzkovateľovi dostatočný čas, aby mohol pred poverením príslušného subdodávateľa spracovávania vznesť námietky proti týmto zmenám. Spracovateľ poskytne prevádzkovateľovi potrebné informácie, aby mohol uplatniť svoje právo na námietku. [Voľba: možnosť 2, lehota 30 dní; dohodnutý zoznam je uvedený v prílohe IV]

b) Ak spracovateľ poverí subdodávateľa vykonávaním určitých činností spracovania (v mene prevádzkovateľa), toto poverenie sa musí uskutočniť prostredníctvom zmluvy, ktorá subdodávateľovi spracovávajúcemu údaje ukladá v podstate rovnaké povinnosti v oblasti ochrany údajov, ako sú tie, ktoré platia pre spracovateľa údajov podľa týchto doložiek. Spracovateľ zabezpečí, aby subdodávateľ plnil povinnosti, ktorým podlieha spracovateľ v súlade s týmito doložkami a v súlade s nariadením (EÚ) 2016/679 a/alebo nariadením (EÚ) 2018/1725.

c) Spracovateľ na požiadanie poskytne prevádzkovateľovi kópiu takejto dohody o subdodávke a prípadných neskorších zmien. Pokiaľ je to potrebné na ochranu obchodného tajomstva alebo iných dôverných informácií, vrátane osobných údajov, spracovateľ môže pred poskytnutím kópie zmlúv znečitateľniť znenie dohody.

d) Spracovateľ nesie voči prevádzkovateľovi plnú zodpovednosť za to, že subdodávateľ plní svoje povinnosti v súlade so zmluvou uzavretou so spracovateľom. Spracovateľ informuje prevádzkovateľa, ak subdodávateľ neplní svoje zmluvné povinnosti.

e) Spracovateľ sa s subdodávateľom dohodne na doložke o tretej oprávnenej osobe, podľa ktorej má prevádzkovateľ - v prípade, že spracovateľ fakticky alebo právne prestane existovať alebo je platobne neschopný - má právo vypovedať zmluvu o subdodávke a nariadiť subdodávateľovi, aby vymazal alebo vrátil osobné údaje.

7.8. Medzinárodné prenosy údajov

a) Akýkoľvek prenos údajov spracovateľom do tretej krajiny alebo medzinárodnej organizácie sa uskutočňuje výlučne na základe zdokumentovaných pokynov prevádzkovateľa alebo na účely dodržania osobitného ustanovenia podľa práva Únie alebo práva členského štátu, ktorému spracovateľ podlieha, a musí byť v súlade s kapitolou V nariadenia (EÚ) 2016/679 alebo nariadenia (EÚ) 2018/1725.

b) Správca súhlasí s tým, že v prípadoch, keď spracovateľ využije subdodávateľa v zmysle článku 7.7 na vykonávanie určitých činností spracovania (v mene správcu) a tieto činnosti spracovania zahŕňajú prenos osobných údajov v zmysle kapitoly V nariadenia (EÚ) 2016/679, spracovateľ a subdodávateľ zabezpečia súlad s kapitolou V nariadenia (EÚ) 2016/679 použitím štandardných zmluvných doložiek, ktoré prijala Komisia podľa článku 46 ods. 2 nariadenia (EÚ) 2016/679, pokiaľ sú splnené podmienky na uplatňovanie týchto štandardných zmluvných doložiek.

Ustanovenie 8: Podpora prevádzkovateľa

a) Spracovateľ bezodkladne informuje prevádzkovateľa o každej žiadosti, ktorú dostal od dotknutej osoby. Na žiadosť neodpovedá sám, pokiaľ ho k tomu neoprávnil prevádzkovateľ.

b) So zreteľom na povahu spracúvania poskytuje spracovateľ prevádzkovateľovi podporu pri plnení jeho povinnosti odpovedať na žiadosti dotknutých osôb o uplatnenie ich práv. Pri plnení svojich povinností podľa písmen a) a b) sa spracovateľ riadi pokynmi prevádzkovateľa.

c) Okrem povinnosti spracovateľa podporovať prevádzkovateľa podľa článku 8 písm. b) spracovateľ s ohľadom na povahu spracovania údajov a informácií, ktoré má k dispozícii, podporuje prevádzkovateľa aj pri plnení nasledujúcich povinností:

• 1) povinnosť vykonať posúdenie vplyvu plánovaných operácií spracúvania na ochranu osobných údajov (ďalej len „posúdenie vplyvu na ochranu údajov“), ak sa predpokladá, že určitá forma spracúvania bude mať za následok vysoké riziko pre práva a slobody fyzických osôb;
• 2) povinnosť konzultovať s príslušným dozorným orgánom (orgánmi) pred začatím spracúvania, ak z posúdenia vplyvu na ochranu osobných údajov vyplýva, že spracúvanie by malo za následok vysoké riziko, pokiaľ prevádzkovateľ neprijme opatrenia na zmiernenie tohto rizika;
• 3) Povinnosť zabezpečiť, aby osobné údaje boli vecne správne a aktuálne, a to tak, že spracovateľ bezodkladne informuje prevádzkovateľa, ak zistí, že osobné údaje, ktoré spracúva, sú nesprávne alebo neaktuálne;
• 4) Povinnosti podľa článku 32 nariadenia (EÚ) 2016/679. [Voľba: možnosť 1]

d) Zmluvné strany stanovujú v prílohe III primerané technické a organizačné opatrenia na podporu prevádzkovateľa zo strany sprostredkovateľa pri uplatňovaní tejto doložky, ako aj rozsah a oblasť pôsobnosti potrebnej podpory.

Klauzula 9: Oznamovanie porušení ochrany osobných údajov

V prípade porušenia ### ochrany osobných údajovspracovateľ spolupracuje s prevádzkovateľom a poskytuje mu primeranú podporu, aby prevádzkovateľ mohol splniť svoje povinnosti podľa článkov 33 a 34 nariadenia (EÚ) 2016/679 alebo prípadne článkov 34 a 35 nariadenia (EÚ) 2018/1725, pričom spracovateľ zohľadní charakter spracúvania a informácie, ktoré má k dispozícii.

9.1. Porušenie ochrany údajov spracúvaných prevádzkovateľom

V prípade porušenia ochrany osobných údajov v súvislosti s údajmi spracúvanými prevádzkovateľom poskytne spracovateľ prevádzkovateľovi podporu nasledovným spôsobom:

a) pri bezodkladnom nahlásení porušenia ochrany osobných údajov príslušnému dozornému orgánu (orgánom), po tom, čo sa o ňom prevádzkovateľ dozvedel, ak je to relevantné (pokiaľ sa nepredpokladá, že porušenie ochrany osobných údajov nepredstavuje riziko pre osobné práva a slobody fyzických osôb);

b) pri získavaní nasledujúcich informácií, ktoré sa podľa článku 33 ods. 3 nariadenia (EÚ) 2016/679 musia uviesť v oznámení prevádzkovateľa, pričom tieto informácie musia obsahovať aspoň: [voľba: možnosť 1]

• 1) druh osobných údajov, pokiaľ je to možné, s uvedením kategórií a približného počtu dotknutých osôb, ako aj kategórií a približného počtu dotknutých záznamov osobných údajov;
• 2) pravdepodobné dôsledky porušenia ochrany osobných údajov;
• 3) opatrenia, ktoré prevádzkovateľ prijal alebo navrhuje prijať na nápravu porušenia ochrany osobných údajov, a prípadne opatrenia na zmiernenie jeho možných nepriaznivých dôsledkov.

Ak a pokiaľ nie je možné poskytnúť všetky tieto informácie súčasne, pôvodné oznámenie obsahuje informácie dostupné v danom okamihu a ďalšie informácie sa následne poskytnú bez zbytočného odkladu, hneď ako budú k dispozícii;

c) pri plnení povinnosti podľa článku 34 nariadenia (EÚ) 2016/679 bezodkladne informovať dotknutú osobu o porušení ochrany osobných údajov, ak sa predpokladá, že toto porušenie bude mať za následok vysoké riziko pre práva a slobody fyzických osôb. [Voľba: možnosť 1]

9.2. Porušenie ochrany údajov spracúvaných sprostredkovateľom

V prípade porušenia ochranyosobných údajov v súvislosti s údajmispracúvanými sprostredkovateľomsprostredkovateľ o tom bezodkladne informuje prevádzkovateľa hneď po tom, ako sa o porušení dozvie. Toto oznámenie musí obsahovať aspoň tieto informácie:

a) popis povahy porušenia (pokiaľ je to možné, s uvedením kategórií a približného počtu dotknutých osôb a približného počtu dotknutých záznamov);

b) kontaktné údaje kontaktného miesta, kde je možné získať ďalšie informácie o porušení ochrany osobných údajov;

c) predpokladané dôsledky a prijaté alebo navrhované opatrenia na nápravu porušenia ochrany osobných údajov, vrátane opatrení na zmiernenie ich možných nepriaznivých dôsledkov.

Ak a pokiaľ nie je možné poskytnúť všetky tieto informácie naraz, pôvodné oznámenie obsahuje informácie dostupné v danom okamihu a ďalšie informácie sa poskytnú bez zbytočného odkladu, hneď ako budú k dispozícii.

Zmluvné strany stanovujú v prílohe III všetky ďalšie informácie, ktoré má spracovateľ poskytnúť s cieľom podporiť prevádzkovateľa pri plnení jeho povinností podľa článkov 33 a 34 nariadenia (EÚ) 2016/679. [Voľba: možnosť 1]

Príloha I: Zoznam strán

Sprostredkovateľ spracovania údajov

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Švajčiarsko, IČO CHE-220.381.580, zastúpená Günterom Reicheltom, predsedom správnej rady. Kontakt: privacy@mail.transpareo.com.

Poverenec pre ochranu údajov a zástupca v EÚ podľa čl. 27 GDPR: DGD Deutsche Gesellschaft für Datenschutz, prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 Mníchov, Nemecko, info@mail.dg-datenschutz.de.

Spoločnosť Transpareo má sídlo vo Švajčiarsku, pre ktoré platí rozhodnutie Komisie o primeranosti (2000/518/ES). Údaje sa nachádzajú v Nemecku.

Správcovia

Spoločnosť Transpareo uzatvára tieto doložky individuálne s každým správcom. Správcom údajov je buď:

1. zákazník, ktorý využíva platformu Transpareo v súlade so Všeobecnými obchodnými podmienkami (VOP). Meno, adresa a kontaktná osoba sú údaje, ktoré uvádza pri uzatvorení zmluvy prostredníctvom platformy a ktoré aktualizuje vo svojom účte; kontaktnou osobou je majiteľ účtu. Tieto ustanovenia sa považujú za dohodnuté uzavretím tejto zmluvy (bod 14 VOP).
2. dodávateľ, ktorý prostredníctvom stránky pre dodávateľov odosiela žiadosť svojim vlastným dodávateľom. Správcom je spoločnosť, na ktorú smeruje odkaz, prostredníctvom ktorého sa žiadosť odosiela, tak ako je to uvedené v žiadosti. Kontaktnou osobou je ten, kto žiadosť odovzdáva, a to pod menom a e-mailovou adresou, ktoré pri tom uvedie. Dodávateľ uzatvára tieto ustanovenia tým, že ich pri odovzdávaní prijíma v mene svojej spoločnosti; spoločnosť Transpareo uloží prijatú verziu a čas odovzdania spolu s odkazom, prostredníctvom ktorého bola žiadosť odoslaná. Okrem toho sa na neho vzťahujú podmienky používania pre dodávateľov.

Transpareo vymenuje poverenca pre ochranu údajov zodpovednej osoby, hneď ako ho táto osoba určí.

Všeobecné obchodné podmienky alebo podmienky používania pre dodávateľov predstavujú v každom prípade hlavnú zmluvu. Ustanovenia sa uzatvárajú elektronicky (čl. 28 ods. 9 GDPR); dátumom pristúpenia je čas uzatvorenia.

Príloha III: Technické a organizačné opatrenia

Šifrovanie a pseudonymizácia

• Všetky pripojenia sú šifrované pomocou protokolu TLS.
• Prístupové údaje a ďalšie dôverné informácie (PIN, kľúče pre jednorazové kódy, prístupy SMTP, kľúče API) sú v databáze uložené v zašifrovanej podobe pomocou algoritmu AES-256-GCM, pričom každý pracovný priestor má vlastný kľúč.
• Zálohy sú šifrované.
• Štatistika návštev ukladá IP adresy iba ako hashové hodnoty s tajným kľúčom. Návštevy stránky dodávateľa sa do nej nezaznamenávajú.

Oddelenie

• Každý zákazník má vlastnú databázu.

Fyzická bezpečnosť

• Servery a úložisko objektov sa nachádzajú v dátových centrách spoločnosti Hetzner Online GmbH vo Falkensteine v Nemecku, ktoré sú certifikované podľa normy ISO 27001.

Identifikácia a autorizácia

• Heslá sa ukladajú iba ako bcrypt-hash.
• Všetkým používateľom je k dispozícii dvojfaktorové prihlásenie pomocou jednorazového kódu alebo bezpečnostného kľúča; zákazník môže túto funkciu vyžadovať pre svoj pracovný priestor.
• Relácia sa ukončí po uplynutí času nečinnosti, ktorý si nastaví zákazník (predvolené nastavenie je osem hodín).
• V pracovnom prostredí platia roly a oprávnenia, ktoré prideľuje zákazník.
• Zamestnanci spoločnosti Transpareo otvárajú pracovné prostredie iba prostredníctvom prihlásenia v mene zákazníka, čo sa zaznamenáva v protokole platformy a v bezpečnostnom protokole pracovného prostredia.
• Stránka dodávateľa: Odkaz obsahuje náhodný kľúč pozostávajúci z 16 znakov (80 bitov); bez PIN kódu stránka nezobrazuje žiadne údaje zo záznamu. Po piatich nesprávnych PIN kódoch je odkaz na 15 minút zablokovaný. Stránka prijíma maximálne 120 prístupov za minútu na jednu IP adresu. Pri odblokovaní dostane relácia nové identifikačné číslo. Stránka je blokovaná pre vyhľadávače a neposkytuje svoju adresu tretím stranám.

Protokolovanie

• Zmeny v záznamoch a operácie na stránke dodávateľa sa protokolujú spolu s časom, vykonávajúcou osobou a IP adresou a uchovávajú sa päť rokov; prihlásenia a iné bezpečnostné udalosti sa uchovávajú jeden rok.
• Protokoly servera sa po 14 dňoch vymažú.

Integrita

• Obrázky dodávateľov sa uchovávajú bez metadát v chránenej oblasti mimo verejného úložiska, kým ich neprevezme kontrola. Odpoveď zmení záznam až po vykonaní kontroly.
• Zverejnené verzie hesiel sú kryptograficky podpísané.

Dostupnosť a obnova

• Každé štyri hodiny sa databáza a súbory každého aktívneho pracovného priestoru zálohujú, šifrujú a ukladajú oddelene od serverov v objektovom úložisku v Nemecku. Lokálne kópie sa po štyroch dňoch vymažú. Zálohy v objektovom úložisku sa uchovávajú 90 dní a do 30 ďalších dní sa definitívne vymažú.
• Služby a servery sú priebežne monitorované; bezpečnostné aktualizácie sa pravidelne inštalujú.
• Spoločnosť Transpareo pravidelne kontroluje tieto opatrenia a prispôsobuje ich aktuálnemu stavu techniky.

Podpora prevádzkovateľa (ustanovenia 8 a 9)

• Zákazník môže na platforme prezerať, opravovať a vymazávať údaje svojho pracovného priestoru. Dodávateľ vidí odpovede na svoje zdieľania na stránke dodávateľov a môže zrušiť každý zdieľaný odkaz.
• Žiadosti dotknutých osôb, ktoré Transpareo prijme, bezodkladne postúpi prevádzkovateľovi.
• Oznámenia podľa článkov 7.7 a 9.2 sa zasielajú e-mailom majiteľovi účtu zákazníka a na e-mailovú adresu, ktorú dodávateľ uvedie pri zdieľaní. Kontaktným miestom podľa článku 9.2 písm. b) je privacy@mail.transpareo.com.
• Oznámenie podľa ustanovenia 9.2 obsahuje okrem iného aj čas porušenia a jeho zistenia, ako aj dotknuté pracovné oblasti alebo odkazy.

Švajčiarsky dodatok

Toto doplnenie predstavuje ďalšiu doložku podľa doložky 2 písm. b. Pokiaľ sa na spracúvanie vzťahuje švajčiarsky federálny zákon o ochrane údajov (DSG):

1. odkazy na nariadenie (EÚ) 2016/679 sa zároveň považujú za odkazy na príslušné ustanovenia DSG, a to konkrétne článok 28 GDPR na článok 9 DSG, článok 32 na článok 8, články 33 a 34 na článok 24, články 35 a 36 na články 22 a 23, kapitola V na články 16 až 18, práva dotknutých osôb na články 25 až 32 DSG a citlivé údaje podľa ustanovenia 7.5 na osobné údaje, ktoré si vyžadujú osobitnú ochranu, podľa článku 5 písm. c) DSG;
2. príslušným dozorným orgánom je Federálny komisár pre ochranu údajov a verejnú informovanosť (EDÖB); príslušnosť dozorných orgánov podľa GDPR zostáva nedotknutá;
3. za právo členského štátu sa považuje aj švajčiarske právo.

Stav k 8. októbru 2026