Zmluva o spracúvaní osobných údajov

1. Zmluvné strany a uzavretie

Prevádzkovateľ: Zákazník, ktorý si objednal Predplatné FrameCRM (ďalej len „Prevádzkovateľ“).

Sprostredkovateľ: Pavlo Okhmak, fyzická osoba podnikajúca na základe živnostenského oprávnenia, zapísaná v živnostenskom registri Českej republiky (živnostenský rejstřík), IČO 29485941, so sídlom (miestom podnikania) Bezručova 4201, 430 03 Chomutov, Česká republika, neplatiteľ DPH (ďalej len „Sprostredkovateľ“).

Táto Zmluva o spracúvaní osobných údajov (ďalej len „Zmluva“ alebo „DPA“) je súčasťou Obchodných podmienok. Prevádzkovateľ ju prijíma potvrdením súhlasu pri registrácii do FrameCRM; podpis sa nevyžaduje. DPA spĺňa požiadavku na zmluvu podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (GDPR).

Záväzná je česká verzia tejto DPA. Tento slovenský text je preklad poskytnutý len na informačné účely; v prípade akéhokoľvek rozporu má prednosť česká verzia. Vo veciach ochrany osobných údajov má DPA prednosť pred Obchodnými podmienkami.

2. Predmet, doba, povaha a účel spracúvania

• Predmet: spracúvanie osobných údajov, ktoré Prevádzkovateľ alebo jeho používatelia vkladajú do FrameCRM.
• Doba: počas trvania Predplatného a následne až do vymazania údajov podľa článku 10.
• Povaha spracúvania: získavanie (vrátane dopytov a rezervácií z webu alebo online rezervačného formulára Prevádzkovateľa, ak ich používa), uchovávanie, usporiadanie, zobrazovanie, vyhľadávanie, úprava, export, príprava pripomienok a správ, ktoré používatelia Prevádzkovateľa sami odosielajú klientom (napr. cez odkaz na WhatsApp), notifikácie pre používateľov Prevádzkovateľa (cez Telegram, ak ho Prevádzkovateľ zapne), vystavovanie dokladov, ako sú faktúry, zálohovanie a vymazanie.
• Účel: poskytovanie služby FrameCRM — evidencia klientov, vozidiel, zákaziek, kalendára, pripomienok, hodnotení, faktúr, skladu, miezd a štatistík Prevádzkovateľa.

3. Kategórie dotknutých osôb a osobných údajov

Dotknuté osoby: klienti a záujemcovia Prevádzkovateľa, ich kontaktné osoby, zamestnanci a ďalší používatelia Prevádzkovateľa.

Kategórie údajov:

• identifikačné a kontaktné údaje (meno, telefón, e-mail, adresa);
• údaje o vozidle (značka, model, evidenčné číslo, VIN, stav tachometra);
• história zákaziek, termíny, ceny a záznamy o platbách, poznámky;
• fakturačné údaje (fakturačné meno, adresa, IČO / IČ DPH);
• fotografie (najmä vozidiel), ktoré môžu obsahovať aj iné osobné údaje;
• komunikácia s klientmi a hodnotenia;
• údaje o používateľoch Prevádzkovateľa (meno, e-mail, telefón, rola, záznamy o prihláseniach, záznam o aktivite) a, ak Prevádzkovateľ používa mzdy, ich mzdové pravidlá, zárobky a výplaty.

Spracúvanie osobitných kategórií údajov (čl. 9 GDPR) ani údajov týkajúcich sa odsúdení za trestné činy sa nepredpokladá; Prevádzkovateľ takéto údaje do FrameCRM nevkladá.

4. Povinnosti Prevádzkovateľa

Prevádzkovateľ zodpovedá za to, že má na spracúvanie právny základ, že riadne informoval dotknuté osoby, za správnosť vložených údajov a za to, že jeho pokyny Sprostredkovateľovi sú v súlade s právnymi predpismi. Prevádzkovateľ chráni prístupové údaje svojich používateľov.

5. Povinnosti Sprostredkovateľa

Sprostredkovateľ:

• spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa — za také pokyny sa považujú Obchodné podmienky, táto DPA a nastavenia a úkony Prevádzkovateľa v aplikácii —, a to aj pokiaľ ide o prenos do tretích krajín; ak sa domnieva, že pokyn je protiprávny, bezodkladne o tom Prevádzkovateľa informuje;
• zabezpečuje, aby sa osoby oprávnené spracúvať údaje zaviazali k mlčanlivosti;
• prijíma technické a organizačné opatrenia podľa čl. 32 GDPR (článok 7);
• dodržiava podmienky zapojenia ďalších sprostredkovateľov (článok 6);
• pomáha Prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb — najmä prostredníctvom funkcií aplikácie na vyhľadanie, opravu, export a vymazanie údajov;
• pomáha Prevádzkovateľovi plniť povinnosti podľa čl. 32 až 36 GDPR, s prihliadnutím na povahu spracúvania a dostupné informácie;
• po skončení poskytovania služby údaje vymaže alebo vráti (článok 10);
• poskytne Prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností a umožní audity (článok 11);
• nepoužíva údaje Prevádzkovateľa na vlastné účely.

6. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje všeobecné povolenie na zapojenie ďalších sprostredkovateľov. Ku dňu účinnosti tejto DPA sú to:

Platby za Predplatné spracúva Stripe; Stripe však nespracúva osobné údaje klientov Prevádzkovateľa.

Správy klientom cez WhatsApp odosielajú používatelia Prevádzkovateľa zo svojej vlastnej aplikácie WhatsApp (odkaz click-to-chat); WhatsApp (Meta) preto nie je ďalším sprostredkovateľom Sprostredkovateľa a používanie WhatsAppu Prevádzkovateľom sa riadi jeho vlastným vzťahom so spoločnosťou Meta. Keď používateľ dekóduje VIN, do bezplatnej verejnej databázy NHTSA vPIC (Ministerstvo dopravy USA, U.S. Department of Transportation) sa na zistenie značky a modelu odošle len VIN (bez akýchkoľvek ďalších údajov); adresy štúdií sa môžu vyhľadávať v OpenStreetMap (Nominatim).

O zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa informuje Sprostredkovateľ Prevádzkovateľa e-mailom najmenej 14 dní vopred. Prevádzkovateľ môže z odôvodnených dôvodov týkajúcich sa ochrany údajov vzniesť námietku; ak strany nenájdu riešenie, môže Prevádzkovateľ Predplatné zrušiť s účinnosťou ku dňu zmeny. Sprostredkovateľ ukladá svojim ďalším sprostredkovateľom rovnaké povinnosti v oblasti ochrany údajov a za ich plnenie zodpovedá.

Prenos do tretích krajín sa uskutočňuje len so zárukami podľa kapitoly V GDPR (rozhodnutia o primeranosti, štandardné zmluvné doložky).

7. Technické a organizačné opatrenia

• šifrovanie pri prenose (HTTPS/TLS) a šifrovanie uložených údajov u poskytovateľa databázy;
• prihlasovanie pomocou hesiel alebo jednorazových prihlasovacích odkazov (s obmedzenou platnosťou), zabezpečené relácie, roly a oprávnenia používateľov v rámci účtu;
• logické oddelenie údajov jednotlivých zákazníkov;
• prístup Sprostredkovateľa k produkčným údajom len v nevyhnutnom rozsahu (podpora, riešenie chýb), chránený silným overením;
• pravidelné zálohovanie u poskytovateľa databázy s možnosťou obnovy;
• priebežné aktualizácie softvéru a závislostí, tajné kľúče spravované mimo zdrojového kódu;
• záznamy o operáciách a bezpečnostných udalostiach;
• minimalizácia údajov — do analytiky sa neposielajú žiadne osobné údaje klientov;
• postup reakcie na bezpečnostné incidenty.

8. Porušenie ochrany osobných údajov

Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od okamihu, keď sa o ňom dozvedel. Oznámenie obsahuje informácie podľa čl. 33 ods. 3 GDPR, ktoré má Sprostredkovateľ k dispozícii, a bude doplnené, keď budú k dispozícii ďalšie informácie. Sprostredkovateľ prijme primerané opatrenia na zmiernenie následkov.

9. Žiadosti dotknutých osôb

Ak Sprostredkovateľ dostane od dotknutej osoby žiadosť týkajúcu sa údajov Prevádzkovateľa, bez zbytočného odkladu ju postúpi Prevádzkovateľovi a sám na ňu neodpovie, pokiaľ ho na to Prevádzkovateľ nepoverí.

10. Vymazanie a vrátenie údajov

Počas trvania Predplatného môže Prevádzkovateľ údaje kedykoľvek exportovať a vymazať. Po skončení Predplatného uchováva Sprostredkovateľ údaje ešte 90 dní, počas ktorých si ich Prevádzkovateľ môže vyžiadať v strojovo čitateľnom formáte. Potom Sprostredkovateľ údaje natrvalo vymaže; kópie v zálohách zaniknú v rámci rotácie záloh najneskôr do ďalších 30 dní. To neplatí, ak uchovávanie vyžaduje zákon.

11. Informácie a audity

Sprostredkovateľ na požiadanie poskytne Prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR, spravidla formou písomných odpovedí a dokumentácie. Prevádzkovateľ alebo ním poverený audítor viazaný mlčanlivosťou môže vykonať audit alebo kontrolu na mieste s oznámením najmenej 30 dní vopred, najviac raz ročne (okrem prešetrovania porušenia ochrany osobných údajov alebo na žiadosť dozorného orgánu), na náklady Prevádzkovateľa.

12. Zodpovednosť a záverečné ustanovenia

Zodpovednosť strán sa riadi čl. 82 GDPR a v ostatnom Obchodnými podmienkami. Táto DPA je účinná, kým Sprostredkovateľ spracúva údaje Prevádzkovateľa. Riadi sa právom Českej republiky.

Kontakt vo veciach ochrany údajov: info@frame-webs.com.