Zmluva o spracúvaní osobných údajov

1 Predmet Zmluvy

1.1 Predmetom tejto Zmluvy je spracúvanie osobných údajov Sprostredkovateľom v mene Prevádzkovateľa v súvislosti s Hlavnou zmluvou (ďalej len „Osobné údaje“) a úprava vzájomných práv a povinností Zmluvných strán v súvislosti s takýmto spracúvaním.

1.2 Predmet, doba, povaha a účel spracúvania, spôsob, akým sa spracúvanie vykonáva, typy a rozsah osobných údajov, ako aj kategórie dotknutých osôb, vo vzťahu ku ktorým je Sprostredkovateľ oprávnený spracúvať osobné údaje v mene Prevádzkovateľa podľa tejto Zmluvy, sú uvedené v Prílohe A k tejto Zmluve.

1.3 Na vylúčenie akýchkoľvek pochybností Zmluvné strany potvrdzujú, že pojmy začínajúce sa veľkým písmenom, ktoré nie sú výslovne definované v tejto Zmluve, majú význam, ktorý im je priradený v Hlavnej zmluve.

2 Postavenie Zmluvných strán a pokyny na spracúvanie

2.1 Prevádzkovateľ určuje účely a prostriedky spracúvania osobných údajov. Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa a v súlade s touto Zmluvou, Hlavnou zmluvou a zdokumentovanými pokynmi Prevádzkovateľa.

2.2 Sprostredkovateľ spracúva osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, okrem prípadov, keď sa to vyžaduje podľa práva Európskej únie alebo práva členského štátu Európskej únie, ktorému Sprostredkovateľ podlieha. V takom prípade Sprostredkovateľ informuje Prevádzkovateľa o tejto právnej požiadavke pred spracúvaním, pokiaľ takéto právo takéto informovanie nezakazuje z dôležitých dôvodov verejného záujmu.

2.3 Úvodné pokyny Prevádzkovateľa sú obsiahnuté v tejto Zmluve; akékoľvek ďalšie alebo zmenené pokyny musia byť dohodnuté písomne (vrátane e-mailu) medzi Zmluvnými stranami.

2.4 Sprostredkovateľ informuje Prevádzkovateľa, ak zistí, že pokyny Prevádzkovateľa na spracúvanie porušujú GDPR alebo iné uplatniteľné predpisy o ochrane osobných údajov. Ak Sprostredkovateľ nie je schopný spracúvať osobné údaje v súlade so zdokumentovanými zákonnými pokynmi Prevádzkovateľa, je povinný oznámiť Prevádzkovateľovi, že nie je schopný ich dodržať.

3 Povinnosti Sprostredkovateľa

3.1 Sprostredkovateľ zabezpečí, aby každá osoba poverená Sprostredkovateľom spracúvaním Osobných údajov (vrátane zamestnancov a zástupcov Sprostredkovateľa) (ďalej len „Personál“) podliehala primeraným povinnostiam mlčanlivosti (či už zmluvným alebo zákonným), bola náležite poučená a informovaná o dôvernej povahe Osobných údajov a súvisiacich povinnostiach. Personál má prístup k Osobným údajom len v rozsahu nevyhnutnom na plnenie úloh (need-to-know). Sprostredkovateľ zabezpečí, aby Personál spracúval osobné údaje len v rozsahu nevyhnutnom na účely spracúvania uvedené v Prílohe A.

3.2 Sprostredkovateľ nie je oprávnený spracúvať Osobné údaje získané od Prevádzkovateľa na vlastné účely. Tým nie je dotknuté oprávnenie Sprostredkovateľa anonymizovať Osobné údaje spracúvané v mene Prevádzkovateľa v súlade s touto Zmluvou a následne používať údaje, ktoré boli anonymizované takým spôsobom, že dotknutú osobu nie je možné identifikovať priamo ani nepriamo s prihliadnutím na všetky prostriedky, pri ktorých je primerane pravdepodobné, že budú použité na jej identifikáciu, na vlastné účely Sprostredkovateľa, najmä na internú analytiku, štatistické účely, vyhodnocovanie používania a výkonnosti služieb a vývoj, zlepšovanie a optimalizáciu produktov a služieb Sprostredkovateľa. Sprostredkovateľ zabezpečí, aby anonymizácia bola nezvratná a aby anonymizované údaje neumožňovali opätovnú identifikáciu dotknutých osôb. Sprostredkovateľ nie je oprávnený vykonávať ani sa pokúšať o opätovnú identifikáciu dotknutých osôb z anonymizovaných údajov.

3.3 Sprostredkovateľ prijme a udržiava primerané technické a organizačné opatrenia na ochranu všetkých Osobných údajov pred porušením ochrany osobných údajov a na zabezpečenie ich bezpečnosti, integrity a dôvernosti. Pri určovaní primeranosti takýchto opatrení Sprostredkovateľ zohľadní stav technológií, náklady na vykonanie a povahu, rozsah, kontext a účely spracúvania, ako aj riziká pre práva a slobody fyzických osôb, so zreteľom na pravdepodobnosť a závažnosť týchto rizík. Sprostredkovateľ prijme minimálne opatrenia uvedené v Prílohe C k tejto Zmluve.

3.4 Sprostredkovateľ poskytne Prevádzkovateľovi primeranú súčinnosť pri zabezpečovaní plnenia povinností Prevádzkovateľa týkajúcich sa bezpečnosti spracúvania a oznamovania porušení ochrany osobných údajov, a to s ohľadom na povahu spracúvania a informácie, ktoré má Sprostredkovateľ k dispozícii.

3.5 S ohľadom na povahu spracúvania poskytne Sprostredkovateľ Prevádzkovateľovi primeranú súčinnosť prostredníctvom vhodných technických a organizačných opatrení, aby Prevádzkovateľ mohol reagovať na žiadosti dotknutých osôb a inú korešpondenciu od dotknutých osôb, dozorných orgánov alebo tretích strán týkajúcu sa spracúvania Osobných údajov (ďalej len „Korešpondencia“), tak ako to vyžadujú uplatniteľné predpisy o ochrane osobných údajov. Ak Sprostredkovateľ prijme akúkoľvek Korešpondenciu priamo, bezodkladne o tom informuje Prevádzkovateľa a nebude na ňu reagovať, pokiaľ to nevyžaduje uplatniteľné právo alebo pokiaľ ho na to nevyzve Prevádzkovateľ. Ak zákonná povinnosť vyžaduje, aby Sprostredkovateľ reagoval, Sprostredkovateľ v rozsahu povolenom právom zodpovedajúcim spôsobom informuje Prevádzkovateľa.

3.6 V rozsahu vyžadovanom uplatniteľnými predpismi o ochrane osobných údajov Sprostredkovateľ primerane spolupracuje s Prevádzkovateľom, aby mu umožnil vykonať posúdenie vplyvu na ochranu údajov alebo predchádzajúce konzultácie s dozornými orgánmi. Sprostredkovateľ poskytne súčinnosť podľa predchádzajúcej vety, ak Prevádzkovateľ nemá k dispozícii informácie potrebné na vykonanie posúdenia vplyvu na ochranu údajov.

3.7 Sprostredkovateľ bezodkladne oznámi Prevádzkovateľovi akúkoľvek právne záväznú žiadosť o sprístupnenie Osobných údajov zo strany súdneho alebo regulačného orgánu, pokiaľ to nie je zakázané právom, ako je napríklad povinnosť podľa trestného práva zachovať dôvernosť súdneho vyšetrovania, a poskytne Prevádzkovateľovi zodpovedajúcu súčinnosť (na náklady Prevádzkovateľa).

3.8 Sprostredkovateľ sprístupní Prevádzkovateľovi všetky informácie potrebné na preukázanie súladu s povinnosťami stanovenými v článku 28 GDPR a v tejto Zmluve.

3.9 Po ukončení alebo zániku Hlavnej zmluvy, alebo na skoršiu písomnú žiadosť Prevádzkovateľa, Sprostredkovateľ vynaloží všetko úsilie na vrátenie alebo zničenie všetkých Osobných údajov a vymazanie ich existujúcich kópií v súlade s podmienkami Hlavnej zmluvy. Prevádzkovateľ berie na vedomie a súhlasí, že akékoľvek Osobné údaje, ktoré nemožno zničiť alebo vymazať (z dôvodu uplatniteľného práva vyžadujúceho ich uchovávanie), zostanú dôverné v súlade s podmienkami tejto Zmluvy.

4 Povinnosti Prevádzkovateľa

4.1 Prevádzkovateľ sa zaväzuje, že: (i) bude plniť svoje povinnosti prevádzkovateľa podľa uplatniteľných predpisov o ochrane osobných údajov vo vzťahu k svojmu spracúvaniu Osobných údajov a k akýmkoľvek pokynom na spracúvanie, ktoré udelí Sprostredkovateľovi; (ii) poskytol informácie a získal (alebo získa) všetky súhlasy alebo iné potrebné oprávnenia (podľa okolností) na to, aby Sprostredkovateľ mohol spracúvať Osobné údaje na povolené účely; (iii) zodpovedá za poskytnutie akýchkoľvek informácií vyžadovaných uplatniteľnými predpismi o ochrane osobných údajov príslušným dotknutým osobám v súvislosti so spracúvaním ich Osobných údajov Sprostredkovateľom; (iv) splnil (alebo splní) všetky registračné alebo oznamovacie povinnosti podľa uplatniteľných predpisov o ochrane osobných údajov; (v) zodpovedá za integritu, bezpečnosť, údržbu a primeranú ochranu Osobných údajov, ktoré má pod svojou kontrolou.

5 Právo na audit

5.1 Prevádzkovateľ má právo vykonať audit s cieľom overiť súlad Sprostredkovateľa s povinnosťami stanovenými v článku 28 GDPR (ak sa uplatní) a v tejto Zmluve. Audit sa vykoná za týchto podmienok: (i) Prevádzkovateľ požiada o audit písomne najmenej 30 dní vopred; (ii) Prevádzkovateľ v žiadosti uvedie program a rozsah auditu; (iii) audit sa uskutoční najviac raz ročne; (iv) Prevádzkovateľ na požiadanie nahradí Sprostredkovateľovi všetky súvisiace náklady a výdavky; a (v) audit netrvá dlhšie ako ekvivalent jedného pracovného dňa (osem hodín) zástupcu Sprostredkovateľa. Na žiadosť Prevádzkovateľa Sprostredkovateľ poskytne odhad nákladov, ktoré očakáva v súvislosti s auditom, podľa programu určeného Prevádzkovateľom. Počas auditu Sprostredkovateľ poskytne Prevádzkovateľovi informácie a prístup týkajúce sa výlučne Osobných údajov. Prevádzkovateľ sa zaväzuje dodržiavať všetky bezpečnostné a organizačné pokyny Sprostredkovateľa a uzatvoriť so Sprostredkovateľom dohodu o mlčanlivosti (NDA) na účely auditu.

5.2 Ak Prevádzkovateľ požiada o audit vykonaný nezávislou treťou stranou, Sprostredkovateľ môže namietať proti audítorovi určenému Prevádzkovateľom, ak podľa odôvodneného názoru Sprostredkovateľa audítor nie je vhodne kvalifikovaný alebo nezávislý, je konkurentom Sprostredkovateľa alebo je inak zjavne nevhodný. V takom prípade musí Prevádzkovateľ určiť iného audítora. Podmienky uvedené v bode 5.1 sa vzťahujú aj na nezávislého audítora a Prevádzkovateľ sa zaväzuje zabezpečiť dodržiavanie týchto obmedzení.

6 Ďalší sprostredkovatelia

6.1 Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné povolenie na zapojenie ďalších sprostredkovateľov (ďalej len „Ďalší sprostredkovatelia“) do spracúvania Osobných údajov v mene Prevádzkovateľa. Ďalší sprostredkovatelia, ktorých Sprostredkovateľ v súčasnosti využíva, sú uvedení v Prílohe B.

6.2 Sprostredkovateľ vopred poskytne Prevádzkovateľovi predbežné písomné oznámenie o zapojení každého nového ďalšieho sprostredkovateľa vrátane údajov o spracúvaní a mieste spracúvania.

6.3 Ak má Prevádzkovateľ odôvodnenú a podloženú námietku proti zapojeniu nového ďalšieho sprostredkovateľa, oznámi ju Sprostredkovateľovi písomne na emailovú adresu uvedenú v rámci procesu registrácie Zákazníka v súlade s Hlavnou zmluvou do 10 kalendárnych dní od doručenia oznámenia Sprostredkovateľa o takomto ďalšom sprostredkovateľovi. Zmluvné strany v dobrej viere prerokujú námietku s cieľom jej vyriešenia. Ak sa nedosiahne riešenie, Prevádzkovateľ môže ako svoj jediný a výlučný prostriedok nápravy ukončiť dotknuté Služby podľa Hlavnej zmluvy, a to len vo vzťahu k Službám dotknutým novým ďalším sprostredkovateľom, za predpokladu, že (a) takéto ukončenie je založené na objektívne odôvodnených dôvodoch priamo súvisiacich s ochranou osobných údajov a (b) Prevádzkovateľ nemá nárok na vrátenie akýchkoľvek poplatkov zaplatených alebo splatných pred dňom účinnosti ukončenia. Neuplatnenie písomnej námietky vo vyššie uvedenej lehote sa považuje za udelenie súhlasu Prevádzkovateľa so zapojením nového ďalšieho sprostredkovateľa a za vzdanie sa práva namietať.

6.4 Sprostredkovateľ zostáva zodpovedný za plnenie svojich povinností podľa tejto Zmluvy, vrátane vo vzťahu ku konaniam, chybám alebo opomenutiam svojich Ďalších sprostredkovateľov v súlade s podmienkami tejto Zmluvy. Akákoľvek takáto zodpovednosť podlieha výlučne obmedzeniam a vylúčeniam zodpovednosti stanoveným v článku 9 tejto Zmluvy, vrátane akéhokoľvek uplatniteľného súhrnného finančného stropu.

7 Porušenie ochrany osobných údajov

7.1 Po tom, čo sa Sprostredkovateľ dozvie o porušení ochrany osobných údajov, bezodkladne to oznámi Prevádzkovateľovi a poskytne mu akékoľvek informácie alebo súčinnosť, ktoré Prevádzkovateľ primerane potrebuje na splnenie svojich oznamovacích povinností pri porušení ochrany osobných údajov podľa uplatniteľných predpisov o ochrane osobných údajov. To zahŕňa informácie o type dotknutých údajov a o totožnosti dotknutej osoby (osôb), hneď ako sú tieto informácie Sprostredkovateľovi dostupné.

7.2 Zmluvné strany sa dohodli, že žiadne oznámenie poskytnuté Sprostredkovateľom Prevádzkovateľovi v súvislosti s porušením ochrany osobných údajov sa nebude vykladať ako uznanie zavinenia alebo zodpovednosti.

7.3 Sprostredkovateľ vynaloží obchodne primerané úsilie na nápravu alebo zmiernenie následkov akéhokoľvek porušenia ochrany osobných údajov a bude Prevádzkovateľovi poskytovať pravidelné aktualizácie o významných skutočnostiach týkajúcich sa takéhoto porušenia, ak je to primerane možné a povolené uplatniteľným právom.

7.4 Ak je porušenie ochrany osobných údajov spôsobené alebo podstatne zapríčinené Prevádzkovateľom, Sprostredkovateľ bude s Prevádzkovateľom spolupracovať pri vyšetrovaní porušenia, a to za predpokladu, že Prevádzkovateľ nahradí Sprostredkovateľovi jeho výdavky a náklady.

8 Medzinárodné prenosy Osobných údajov

8.1 Sprostredkovateľ spravidla spracúva osobné údaje v rámci Európskej únie / Európskeho hospodárskeho priestoru (ďalej len „EÚ/EHP“). V prípade akéhokoľvek prenosu osobných údajov do krajiny mimo EÚ/EHP alebo medzinárodnej organizácii Sprostredkovateľ prijme primerané záruky v súlade s uplatniteľnými predpismi o ochrane osobných údajov, aby uľahčil zákonné spracúvanie a prenos Osobných údajov na územia mimo jurisdikcie, v ktorej boli takéto Osobné údaje pôvodne získané, a to v rozsahu vyžadovanom takýmito predpismi.

8.2 Zmluvné strany sa dohodli, že v rozsahu, v akom prenos Osobných údajov od Prevádzkovateľa k Sprostredkovateľovi predstavuje prenos Osobných údajov z Európskej únie/EHP do ktorejkoľvek inej krajiny, na ktorú sa nevzťahuje rozhodnutie o primeranosti podľa článku 45 GDPR, a takéto právo vyžaduje prijatie primeraných záruk, bude sa takýto prenos riadiť štandardnými zmluvnými doložkami EÚ (EU SCC), ktoré sa odkazom začleňujú do tejto Zmluvy a tvoria jej neoddeliteľnú súčasť.

9 Zodpovednosť

9.1 Súhrnná zodpovednosť Sprostredkovateľa voči Prevádzkovateľovi, vyplývajúca výlučne z porušenia povinností Sprostredkovateľa podľa tejto Zmluvy alebo uplatniteľných predpisov o ochrane osobných údajov, avšak len v rozsahu, v akom bolo takéto porušenie spôsobené preukázanou nedbanlivosťou, úmyselným konaním alebo podstatným porušením tejto Zmluvy zo strany Sprostredkovateľa, je obmedzená na sumu rovnajúcu sa poplatkom zaplateným Prevádzkovateľom za Služby počas dvanástich (12) mesiacov bezprostredne predchádzajúcich udalosti, ktorá zakladá zodpovednosť.

10 Záverečné ustanovenia

10.1 Táto Zmluva zostáva v platnosti počas trvania zmluvného vzťahu medzi Zmluvnými stranami založeného Hlavnou zmluvou a po jej ukončení alebo ukončení poskytovania Služieb podľa nej dovtedy, kým Sprostredkovateľ pokračuje v spracúvaní Osobných údajov v mene Prevádzkovateľa.

10.2 Prevádzkovateľ berie na vedomie a súhlasí, že v súvislosti s poskytovaním Služieb podľa Hlavnej zmluvy môže Sprostredkovateľ používať údaje odvodené zo Služieb na vlastné oprávnené účely, vrátane zlepšovania a vývoja služieb, zabezpečenia kvality, internej analytiky a podobných účelov. Takéto použitie sa zakladá na primeranom právnom základe v súlade s uplatniteľnými predpismi o ochrane osobných údajov, vrátane, ak sa vyžaduje, súhlasu dotknutých osôb. V rozsahu, v akom Sprostredkovateľ vykonáva takéto spracúvanie anonymizovaných údajov na vlastné účely, koná ako samostatný prevádzkovateľ, prípadne ako spoločný prevádzkovateľ s treťou stranou. Zmluvné strany berú na vedomie a súhlasia, že takéto spracúvanie je mimo rozsahu tejto Zmluvy a riadi sa výlučne zásadami ochrany osobných údajov Sprostredkovateľa alebo príslušným oznámením o ochrane osobných údajov relevantnej tretej strany. Sprostredkovateľ je za takéto spracúvanie výlučne zodpovedný v rozsahu, v akom koná ako prevádzkovateľ.

10.3 V prípade akéhokoľvek rozporu medzi ustanoveniami tejto Zmluvy a ustanoveniami Hlavnej zmluvy majú vo vzťahu k spracúvaniu osobných údajov prednosť ustanovenia tejto Zmluvy.

10.4 Táto Zmluva sa riadi a vykladá v súlade s ustanoveniami o rozhodnom práve a súdnej právomoci uvedenými v Hlavnej zmluve, pokiaľ a v rozsahu, v akom kogentné ustanovenia uplatniteľných predpisov o ochrane osobných údajov nevyžadujú inak.

10.5 Akékoľvek spory vyplývajúce z tejto Zmluvy alebo v súvislosti s ňou sa riešia vzájomnou dohodou Zmluvných strán. Ak takáto dohoda nie je možná, na riešenie takýchto sporov sú príslušné všeobecné súdy Slovenskej republiky.

10.6 Akékoľvek zmeny tejto Zmluvy musia byť vykonané písomne a podpísané riadne oprávnenými zástupcami oboch Zmluvných strán. Žiadne vzdanie sa práva nemožno vyvodzovať z konania alebo z nevymáhania či neuplatnenia práv podľa tejto Zmluvy. Žiadne vzdanie sa práva nie je účinné, pokiaľ nie je vyhotovené písomne a podpísané oprávneným zástupcom Zmluvnej strany, ktorá sa práva údajne vzdala.

10.7 Ak sa niektoré ustanovenie tejto Zmluvy stane alebo je neplatným alebo nevykonateľným, ostatné ustanovenia zostávajú v plnej platnosti a účinnosti. Zmluvné strany nahradia neplatné alebo nevykonateľné ustanovenie platným a vykonateľným ustanovením, ktoré v čo najväčšej možnej miere dosahuje rovnaký právny a hospodársky výsledok.

Príloha A Opis spracovateľských činností / prenosu

Príloha A(1) Opis spracúvania údajov

Príloha A(3) Príslušný dozorný orgán

Vo vzťahu k údajom EÚ je príslušným dozorným orgánom Úrad na ochranu osobných údajov Slovenskej republiky (ďalej len „Dozorný orgán“).

Príloha B Odsúhlasení Ďalší sprostredkovatelia

Nasledujúci Ďalší sprostredkovatelia sú oprávnení spracúvať Osobné údaje v mene Sprostredkovateľa, avšak výlučne na účely poskytovania služieb uvedených v Hlavnej zmluve. Každý Ďalší sprostredkovateľ bol preverený s cieľom zabezpečiť, že spĺňa primerané štandardy ochrany osobných údajov.

Príloha C Technické a organizačné opatrenia

Technické a organizačné opatrenia zavedené Sprostredkovateľom na zabezpečenie primeranej úrovne bezpečnosti, so zohľadnením povahy, rozsahu, kontextu a účelov spracúvania a rizík pre práva a slobody fyzických osôb, sú nasledovné: