Zmluva o spracúvaní osobných údajov — návrh na pripomienkovanie (verzia 1.0-návrh)

Pripravované znenie — čaká na potvrdenie právničky

Prevádzkovateľ (ďalej len "Prevádzka") — v budúcej účinnej DPA by sa údaje doplnili schváleným postupom:

• Obchodné meno: [obchodné meno uvedené v zmluve alebo používateľskom účte]
• IČO: [IČO uvedené v zmluve alebo používateľskom účte]
• Sídlo: [sídlo uvedené v zmluve alebo používateľskom účte]

Sprostredkovateľ (ďalej len "Calenda"):

• Obchodné meno: Solstice s.r.o.
• IČO: 54 719 844
• DIČ: 2121780122
• IČ DPH: SK2121780122 (platca DPH podľa § 4, registrácia od 10. 4. 2023)
• Sídlo: A. Hlinku 227/6, 957 01 Bánovce nad Bebravou
• E-mail: podpora@calenda.sk

Prevádzka a Calenda ďalej spoločne ako "Strany" a každá samostatne ako "Strana".

Pripravované znenie — čaká na potvrdenie právničky

Tento návrh Zmluvy o spracúvaní osobných údajov (ďalej len "DPA") opisuje zamýšľané podmienky budúceho spracúvania osobných údajov, pri ktorom by Calenda vystupovala ako sprostredkovateľ v mene Prevádzky ako prevádzkovateľa podľa čl. 28 GDPR. Neoprávňuje prijímať ani spracúvať reálne údaje.

Táto DPA dnes nie je súčasťou účinných VOP, nie je platná ani záväzná a registrácia účtu ani podpis návrhu nespôsobujú jej platnosť alebo účinnosť. Budúce naviazanie na VOP a spôsob uzavretia čakajú na právne schválenie a samostatné schválenie pilotu.

Pripravované znenie — čaká na potvrdenie právničky

Calenda spracúva osobné údaje koncových zákazníkov Prevádzky výhradne v rozsahu a na účely nevyhnutné na poskytovanie služby Calenda, a to:

• Druh spracúvania: zber, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prispôsobovanie, vyhľadávanie, prezeranie, využívanie, poskytovanie, obmedzenie, vymazanie.
• Kategórie dotknutých osôb: koncoví zákazníci Prevádzky (klienti, ktorí vytvárajú rezervácie, nakupujú poukazy alebo komunikujú s Prevádzkou).
• Kategórie osobných údajov: identifikačné údaje, kontaktné údaje, údaje o rezerváciách, platbách, poukazoch, komunikácii a technické údaje (pozri Zásady ochrany osobných údajov).
• Trvanie spracúvania: po dobu trvania zmluvy o poskytovaní služby Calenda.
• konkurencia B: program prechodu z konkurencia B je dočasne pozastavený. Počas pozastavenia sa nespracúva živý katalóg konkurencia B, profilové ani fotografické údaje, zákaznícke CSV súbory, história rezervácií ani kópie rezervácií cez prechodný most. Calenda neprijíma prihlasovacie údaje do konkurencia B a nezapisuje údaje späť do konkurencia B.

Pripravované znenie — čaká na potvrdenie právničky

Navrhované budúce povinnosti Calenda po riadnom uzavretí účinnej DPA:

• spracúvať osobné údaje len na základe dokumentovaných pokynov Prevádzky, vrátane pokynov týkajúcich sa prenosu údajov do tretích krajín, pokiaľ to neukladá právo EÚ alebo členského štátu,
• zabezpečiť, aby osoby oprávnené spracúvať osobné údaje sa zaviazali k mlčanlivosti,
• implementovať primerané technické a organizačné opatrenia podľa čl. 32 GDPR,
• rešpektovať podmienky zapojenia ďalšieho sprostredkovateľa podľa čl. 28 ods. 2 a 4 GDPR,
• poskytnúť Prevádzke primeranú súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR,
• po ukončení poskytovania služby vymazať alebo vrátiť všetky osobné údaje Prevádzke, ak zákon neukladá povinnosť ich ďalšieho uchovávania,
• sprístupniť Prevádzke všetky informácie potrebné na preukázanie súladu s čl. 28 GDPR a umožniť audity vrátane inšpekcií, s primeraným oznámením.

Pripravované znenie — čaká na potvrdenie právničky

Prevádzka sa zaväzuje:

• zabezpečiť zákonný základ spracúvania osobných údajov svojich klientov,
• informovať dotknuté osoby o spracúvaní ich osobných údajov v súlade s čl. 13 a 14 GDPR,
• poskytovať Calende len údaje, ktorých spracúvanie je zákonné,
• neuplatňovať pokyny, ktoré by boli v rozpore s GDPR alebo inými právnymi predpismi o ochrane osobných údajov,
• bezodkladne informovať Calenda o žiadostiach dotknutých osôb, ak si Calenda nemôže vybaviť žiadosť sama.

Pripravované znenie — čaká na potvrdenie právničky

Prevádzka udeľuje Calende všeobecný súhlas na zapojenie sprostredkovateľov uvedených v Prílohe č. 1 k Zásadám ochrany osobných údajov. Calenda informuje Prevádzku o zamýšľanom pridaní alebo nahradení sprostredkovateľa e-mailom na kontaktnú adresu Prevádzky najmenej 14 dní vopred; Prevádzka má právo namietať z dôvodov týkajúcich sa ochrany osobných údajov.

Navrhovaná požiadavka pred prvými reálnymi údajmi: pre každého skutočne zapojeného sprostredkovateľa doložiť zmluvu s povinnosťami podľa čl. 28 ods. 3 GDPR a právne schváliť zodpovednostný režim. Tento návrh nepotvrdzuje, že sú všetky potrebné DPA uzatvorené.

Pracovný technický inventár možných sprostredkovateľov je uvedený nižšie; právne názvy, adresy, účely, reálne zapojenie, DPA a podmienky prenosu treba pred prvými reálnymi údajmi samostatne overiť a schváliť:

• Scaleway SAS — hosting aplikácie a databázy (EÚ, Paríž)
• Cloudflare, Inc. — DNS, CDN, DDoS ochrana
• Resend, Inc. — e-mailové služby (nie Brevo/Sendinblue)
• Twilio Inc. — SMS služby
• Stripe, Inc. — platobné služby
• Google LLC — voliteľne Calendar a Analytics
• Prehliadačové push služby — doručenie web push
• Voliteľný poskytovateľ AI API — chat asistent

Pripravované znenie — čaká na potvrdenie právničky

Navrhované pravidlo: prenos osobných údajov mimo EHP sa nesmie začať bez právne schválenej a dôkazom doloženej záruky podľa kapitoly V GDPR, napríklad použiteľných SCC a súvisiaceho posúdenia. Tento návrh nepotvrdzuje existenciu DPA, SCC ani zákonnosť konkrétneho prenosu.

Pripravované znenie — čaká na potvrdenie právničky

Navrhované technické a organizačné opatrenia sú uvedené v pracovnom článku Bezpečnosť osobných údajov. Pred prvými reálnymi údajmi treba ich implementáciu a účinnosť doložiť, vrátane testov riadenia prístupov, monitoringu a povinnej skúšky obnovy. Dnešné testovacie a historické údaje sa neobnovujú; pred pilotom sa odstránia overeným vyčistením cieľa.

Pripravované znenie — čaká na potvrdenie právničky

Navrhovaná budúca povinnosť po právnom schválení DPA: Calenda by bez zbytočného odkladu, v navrhovanej internej lehote najneskôr 48 hodín od zistenia, informovala Prevádzku o relevantnom porušení zabezpečenia. Lehotu, rozsah informácií a postup pri incidente treba pred spustením pilotu právne a prevádzkovo schváliť.

Pripravované znenie — čaká na potvrdenie právničky

Pracovný návrh po ukončení budúcej zmluvy počíta s exportom cez schválené funkcie a s vymazaním osobných údajov po navrhovanej 90-dňovej lehote, pokiaľ Prevádzka nepožiada o skoršie vymazanie alebo zákon nevyžaduje ďalšie uchovávanie. Lehota a technický proces čakajú na právne rozhodnutie, test a schválenie; nejde o dnešný retenčný prísľub.

Pripravované znenie — čaká na potvrdenie právničky

Každá Strana zodpovedá za škodu spôsobenú porušením GDPR v rozsahu svojej zodpovednosti ako prevádzkovateľ alebo sprostredkovateľ. Obmedzenie zodpovednosti upravené vo VOP sa vzťahuje aj na túto DPA.

Pripravované znenie — čaká na potvrdenie právničky

Táto DPA sa riadi právnym poriadkom Slovenskej republiky. Spory budú riešené v súlade s VOP.

Navrhovaný dátum účinnosti DPA bude stanovený až po právnom schválení finálneho znenia, riadnom uzavretí s konkrétnou Prevádzkou a samostatnom schválení pilotu; registrácia ani podpis tohto návrhu dnes účinnosť nespôsobujú.

Pripravované znenie — čaká na potvrdenie právničky

Za Prevádzku (Prevádzkovateľ):

Obchodné meno: ___________________________

IČO: ___________________________

Sídlo: ___________________________

Meno a priezvisko oprávnenej osoby: ___________________________

Funkcia: ___________________________

Podpis: ___________________________

Dátum: ___________________________

Za Calenda (Sprostredkovateľ):

Obchodné meno: Solstice s.r.o.

IČO: 54 719 844

Sídlo: A. Hlinku 227/6, 957 01 Bánovce nad Bebravou

Meno a priezvisko oprávnenej osoby: ___________________________

Funkcia: ___________________________

Podpis: ___________________________

Dátum: ___________________________