Zmluva o spracúvaní osobných údajov

Prevádzkovateľ: Zákazník služby Kontevia, podnikateľ alebo samostatne zárobkovo činná osoba, ktorá spracúva osobné údaje obsiahnuté vo svojich účtovných dokladoch a ďalších údajoch odosielaných do Služby.

Sprostredkovateľ: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Česká republika, IČO 22103741, zapísaná v obchodnom registri vedenom Mestským súdom v Prahe, spisová značka C 410771. Kontakt pre ochranu osobných údajov: hello@kontevia.com.

1.1. Táto zmluva upravuje práva a povinnosti zmluvných strán pri spracúvaní osobných údajov Sprostredkovateľom v mene Prevádzkovateľa v rámci poskytovania služby Kontevia (ďalej len „Služba“).

1.2. Táto zmluva je neoddeliteľnou súčasťou Obchodných podmienok a nadobúda účinnosť registráciou Prevádzkovateľa do Služby. Platí po celý čas, počas ktorého Sprostredkovateľ spracúva osobné údaje pre Prevádzkovateľa.

2.1. Sprostredkovateľ spracúva osobné údaje výlučne na účel poskytovania Služby, konkrétne:

• prijatie a digitalizácia účtovných dokladov zaslaných prostredníctvom chatu, e-mailu alebo nahratím;
• extrakcia údajov z dokladov pomocou optického rozpoznávania znakov a automatizovaných extrakčných modelov;
• kategorizácia, detekcia duplicít a návrhy posúdenia DPH;
• vystavovanie faktúr a ďalších dokladov na pokyn Prevádzkovateľa;
• import bankových transakcií, ktoré Prevádzkovateľ prepojí, a ich párovanie s dokladmi;
• príprava prehľadov, reportov a exportov do účtovného systému alebo poradcovi Prevádzkovateľa;
• uchovávanie dokladov a údajov v rámci Služby počas trvania zmluvy a lehoty na export.

2.2. Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, vrátane pokynov týkajúcich sa prenosov do tretích krajín, pokiaľ mu túto povinnosť neukladá právo Únie alebo členského štátu; v takom prípade Sprostredkovateľ informuje Prevádzkovateľa pred spracúvaním, pokiaľ to príslušné právo nezakazuje.

3.1. Dotknuté osoby: obchodní partneri Prevádzkovateľa (dodávatelia, zákazníci, kontaktné osoby), zamestnanci a spolupracovníci Prevádzkovateľa, ak sa spracúvajú mzdové alebo výdavkové doklady, a vlastní používatelia Prevádzkovateľa v Službe.

3.2. Kategórie osobných údajov: identifikačné údaje (meno, obchodné meno, IČO a IČ DPH); kontaktné údaje (adresa, e-mail, telefón); finančné údaje (fakturované sumy, čísla bankových účtov, platobné referencie); pracovnoprávne údaje, ak sa odosielajú mzdové doklady (pracovné zaradenie, mzda, identifikátory poistenia); údaje o používaní Služby používateľmi Prevádzkovateľa.

3.3. Sprostredkovateľ nevyžaduje osobitné kategórie údajov v zmysle článku 9 GDPR. Prevádzkovateľ sa zaväzuje takéto údaje prostredníctvom Služby neposielať, pokiaľ nie sú obsiahnuté v doklade, ktorý je Prevádzkovateľ povinný zo zákona uchovávať; v takom prípade zodpovedá za právny základ spracúvania Prevádzkovateľ.

Sprostredkovateľ sa zaväzuje:

• spracúvať osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa a len v rozsahu potrebnom na poskytovanie Služby;
• zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala primeraná zákonná povinnosť mlčanlivosti;
• zaviesť technické a organizačné opatrenia požadované článkom 32 GDPR, najmä opatrenia uvedené v prílohe k tejto zmluve;
• nezapájať ďalšieho sprostredkovateľa bez predchádzajúceho všeobecného písomného súhlasu Prevádzkovateľa, ktorý Prevádzkovateľ udeľuje podľa článku 6 tejto zmluvy;
• s prihliadnutím na povahu spracúvania pomáhať Prevádzkovateľovi prostredníctvom vhodných technických a organizačných opatrení pri vybavovaní žiadostí dotknutých osôb pri uplatňovaní ich práv;
• pomáhať Prevádzkovateľovi zabezpečiť súlad s článkami 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu na ochranu údajov, predchádzajúca konzultácia), s prihliadnutím na povahu spracúvania a informácie dostupné Sprostredkovateľovi;
• podľa výberu Prevádzkovateľa po ukončení poskytovania Služby vymazať alebo vrátiť všetky osobné údaje a vymazať existujúce kópie, pokiaľ právo Únie alebo členského štátu nevyžaduje ich uchovanie;
• sprístupniť Prevádzkovateľovi všetky informácie potrebné na preukázanie súladu s článkom 28 GDPR a umožniť audity vrátane kontrol vykonávaných Prevádzkovateľom alebo audítorom poverenom Prevádzkovateľom a poskytnúť pri nich súčinnosť;
• bezodkladne informovať Prevádzkovateľa, ak sa domnieva, že pokyn porušuje GDPR alebo iné ustanovenia práva Únie či členského štátu o ochrane údajov.

5.1. Sprostredkovateľ oznamuje Prevádzkovateľovi akékoľvek porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od zistenia.

5.2. Oznámenie obsahuje aspoň: popis povahy porušenia, vrátane, ak je to možné, kategórií a približného počtu dotknutých osôb a záznamov; meno a kontaktné údaje zodpovednej osoby; popis pravdepodobných následkov; a popis prijatých alebo navrhovaných opatrení na riešenie porušenia a zmiernenie jeho následkov.

5.3. Sprostredkovateľ spolupracuje s Prevádzkovateľom pri plnení jeho oznamovacích povinností voči príslušnému dozornému orgánu a dotknutým osobám.

6.1. Prevádzkovateľ udeľuje všeobecný súhlas na zapojenie ďalších sprostredkovateľov Sprostredkovateľom pri spracúvaní osobných údajov.

6.2. Aktuálny zoznam ďalších sprostredkovateľov s uvedením účelu a miesta spracúvania je zverejnený na stránke Ďalší sprostredkovatelia webovej stránky Sprostredkovateľa a tvorí prílohu tejto zmluvy.

6.3. Sprostredkovateľ informuje Prevádzkovateľa o akomkoľvek zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa najmenej 14 dní vopred, e-mailom na kontaktnú adresu Prevádzkovateľa alebo oznámením v Službe, čím mu poskytne možnosť vzniesť námietku.

6.4. Ak Prevádzkovateľ vznesie odôvodnenú námietku do 14 dní od oznámenia, Sprostredkovateľ buď od zamýšľanej zmeny upustí, alebo ponúkne Prevádzkovateľovi možnosť ukončiť zmluvu bez sankcie a s vrátením predplatených poplatkov za nevyužité obdobie.

6.5. Sprostredkovateľ zmluvne ukladá každému ďalšiemu sprostredkovateľovi rovnaké povinnosti v oblasti ochrany údajov, aké sú stanovené v tejto zmluve, najmä dostatočné záruky na zavedenie primeraných technických a organizačných opatrení. Ak ďalší sprostredkovateľ nesplní svoje povinnosti, Sprostredkovateľ zostáva voči Prevádzkovateľovi plne zodpovedný za plnenie povinností tohto ďalšieho sprostredkovateľa.

7.1. Osobné údaje sú uložené na serveroch nachádzajúcich sa v Európskej únii. Sprostredkovateľ neprenáša osobné údaje mimo Európskeho hospodárskeho priestoru okrem ďalších sprostredkovateľov uvedených na stránke Ďalší sprostredkovatelia, a to len s primeranými zárukami podľa kapitoly V GDPR.

7.2. Takéto prenosy sú založené na rozhodnutí Európskej komisie o primeranosti (vrátane rámca EÚ-USA pre ochranu údajov pre certifikovaných príjemcov), na štandardných zmluvných doložkách prijatých Komisiou podľa článku 46 ods. 2 písm. c) GDPR alebo na iných primeraných zárukách, doplnených o dodatočné opatrenia, ak si to vyžaduje posúdenie vplyvu prenosu.

8.1. Sprostredkovateľ poskytuje Prevádzkovateľovi primeranú súčinnosť pri vybavovaní žiadostí dotknutých osôb o uplatnenie ich práv podľa článkov 15 až 22 GDPR (prístup, oprava, výmaz, obmedzenie spracúvania, prenosnosť, namietanie). Služba obsahuje funkcie vyhľadávania, exportu a vymazania, ktoré umožňujú Prevádzkovateľovi vybaviť väčšinu žiadostí priamo.

8.2. Ak sa dotknutá osoba obráti priamo na Sprostredkovateľa, Sprostredkovateľ ju bez zbytočného odkladu odkáže na Prevádzkovateľa a informuje o tom Prevádzkovateľa, pokiaľ sa žiadosť netýka údajov, pri ktorých je prevádzkovateľom samotný Sprostredkovateľ.

9.1. Sprostredkovateľ umožňuje Prevádzkovateľovi alebo audítorovi poverenému Prevádzkovateľom vykonávať audity a kontroly na overenie súladu s touto zmluvou a s GDPR.

9.2. Audity sa vykonávajú na náklady Prevádzkovateľa, s primeraným predchádzajúcim oznámením najmenej 14 pracovných dní vopred, počas pracovných hodín a spôsobom, ktorý nenaruší prevádzku Sprostredkovateľa ani neohrozí bezpečnosť údajov ostatných zákazníkov. Audítor musí byť viazaný povinnosťou mlčanlivosti.

9.3. Namiesto auditu na mieste môže Sprostredkovateľ poskytnúť aktuálne certifikáty, správy nezávislých audítorov alebo inú dokumentáciu preukazujúcu súlad s bezpečnostnými opatreniami, pokiaľ postačujú na zodpovedanie otázok Prevádzkovateľa.

10.1. Táto zmluva je účinná počas trvania zmluvného vzťahu medzi Prevádzkovateľom a Sprostredkovateľom, teda po celý čas, počas ktorého Prevádzkovateľ používa Službu.

10.2. Po ukončení zmluvného vzťahu Sprostredkovateľ: umožní Prevádzkovateľovi exportovať svoje údaje počas 90 dní; po uplynutí tejto 90-dňovej lehoty nenávratne vymaže všetky osobné údaje Prevádzkovateľa; vymaže záložné kópie najneskôr do 45 dní od vymazania primárnych údajov; a na žiadosť Prevádzkovateľa potvrdí vymazanie. Vylúčené sú údaje, ktoré je Sprostredkovateľ povinný uchovávať podľa práva Únie alebo členského štátu (najmä fakturačné záznamy).

10.3. Povinnosti podľa tejto zmluvy, najmä mlčanlivosť a bezpečnosť, platia aj po skončení zmluvného vzťahu, a to počas celého obdobia, kým Sprostredkovateľ uchováva akékoľvek osobné údaje Prevádzkovateľa.

11.1. Sprostredkovateľ zodpovedá za škodu spôsobenú spracúvaním v rozpore s touto zmluvou alebo s GDPR v súlade s článkom 82 GDPR, najmä ak nesplnil povinnosti GDPR určené osobitne sprostredkovateľom alebo konal mimo alebo v rozpore so zákonnými pokynmi Prevádzkovateľa.

11.2. Obmedzenia zodpovednosti uvedené v Obchodných podmienkach sa vzťahujú aj na túto zmluvu v rozsahu povolenom zákonom; neobmedzujú tým práva dotknutých osôb.

12.1. Táto zmluva sa riadi právom Českej republiky a priamo uplatniteľným právom Európskej únie, najmä GDPR.

12.2. V prípade rozporu medzi touto zmluvou a Obchodnými podmienkami má vo veciach ochrany osobných údajov prednosť táto zmluva.

12.3. Zmeny tejto zmluvy vyžadujú písomnú formu, čo zahŕňa aktualizovanú verziu zverejnenú na webovej stránke a oznámenú Prevádzkovateľovi v súlade s Obchodnými podmienkami.

12.4. Spory vzniknuté z tejto zmluvy rozhodujú súdy Českej republiky príslušné podľa sídla Sprostredkovateľa, bez toho, aby boli dotknuté práva dotknutých osôb a dozorných orgánov.

Šifrovanie

• Šifrovanie AES-256 dát v pokoji, vrátane záloh.
• TLS 1.2 alebo vyšší pre všetky prenášané dáta, vrátane pripojení k sub-spracovateľom.

Riadenie prístupu

• Prístup na základe princípu najmenších oprávnení; každý zamestnanec a systém má len oprávnenia potrebné pre svoju úlohu.
• Viacfaktorová autentifikácia pre administratívny a infraštruktúrny prístup.
• Oddelenie pracovných priestorov zákazníkov na úrovni aplikácie a databázy.
• Pravidelná kontrola a rýchle odobratie prístupových práv.

Dostupnosť a odolnosť

• Pravidelné automatizované zálohy s otestovanými postupmi obnovy.
• Redundantná hostingová infraštruktúra v rámci Európskej únie.
• Monitorovanie dostupnosti a výkonu s upozorňovaním.

Integrita a logovanie

• Zaznamenávanie prístupu k osobným údajom a administratívnych úkonov.
• Audítorská stopa dokumentov: kto ich odoslal, zmenil, schválil alebo exportoval a kedy.
• Detekcia anomálií a bezpečnostných incidentov.

Organizačné opatrenia

• Povinnosť mlčanlivosti všetkých zamestnancov a zmluvných partnerov s prístupom k osobným údajom.
• Školenie zamestnancov v oblasti ochrany údajov a bezpečnosti.
• Zdokumentované interné postupy na spracovanie osobných údajov a vybavovanie žiadostí dotknutých osôb.
• Plán reakcie na incidenty s definovanými úlohami a lehotami na oznámenie.
• Kontrola ochrany údajov u nových sub-spracovateľov pred ich zapojením.