Zmluva o spracúvaní osobných údajov (DPA)

Zmluva o zabezpečení ochrany osobných údajov spracúvaných sprostredkovateľom

uzatvorená v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) a so zákonom č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov

(ďalej len „DPA“)

Zmluvné strany

Táto DPA sa uzatvára medzi:

Zákazníkom v zmysle Všeobecných obchodných podmienok spoločnosti ITACON, s. r. o. (ďalej len „VOP“), dostupných na https://www.tazilla.com/sk/vseobecne-podmienky/ (ďalej len „Prevádzkovateľ“)

a

ITACON, s. r. o., so sídlom Kominárska 2, 831 04 Bratislava – mestská časť Nové Mesto, IČO: 50838563, zastúpená Teréziou Rybárovou, konateľkou (ďalej len „Sprostredkovateľ“).

(Prevádzkovateľ a Sprostredkovateľ ďalej samostatne aj ako „Zmluvná strana“ a spolu aj ako „Zmluvné strany“).

Preambula

Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (ďalej len „GDPR“) vyžaduje aby vzájomné vzťahy medzi Prevádzkovateľom a Sprostredkovateľom pri spracúvaní osobných údajov boli upravené zmluvou v písomnej alebo elektronickej podobe. Z uvedeného dôvodu Zmluvné strany uzatvárajú podľa článku 28 GDPR túto DPA.

Článok 1 – Úvodné ustanovenia

1. Cieľom tejto DPA je zabezpečenie bezpečného spracúvania osobných údajov Prevádzkovateľa Sprostredkovateľom v súvislosti s používaním aplikácie Tazilla.
2. Zmluvné strany sa zaväzujú pri plnení záväzkov podľa tejto DPA v súvislosti s ochranou osobných údajov dodržiavať predpisy a ustanovenia GDPR a zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon o OOÚ“). Prevádzkovateľ na základe tejto DPA poveruje Sprostredkovateľa spracúvaním osobných údajov v rozsahu zabezpečenia naplnenia predmetu a účelu tejto DPA.
3. Zmluvné strany vyhlasujú, že pri spracúvaní osobných údajov prostredníctvom Tazilla a v rámci kompetencií vyplývajúcich z tejto DPA budú za všetkých okolností dbať na maximálnu bezpečnosť a ochranu spracúvaných údajov pred neoprávneným prístupom, únikom, stratou, zničením, zneužitím, modifikáciou alebo znehodnotením.
4. Sprostredkovateľ vyhlasuje, že správu a prevádzku Tazilla zabezpečuje v súlade s požiadavkami vyplývajúcimi zo zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov, zákona o ITVS a súvisiacich vykonávacích predpisov.

Článok 2 – Predmet, účel a doba spracúvania a trvania tejto DPA

1. Predmetom tejto DPA je úprava práv a povinností Zmluvných strán pri zabezpečení ochrany osobných údajov Prevádzkovateľa pri ich spracúvaní prostredníctvom Tazilla.
2. Prevádzkovateľ týmto poveruje Sprostredkovateľa spracúvaním osobných údajov výlučne za účelom poskytovania Služby podľa VOP, najmä za účelom umožnenia používania jednotlivých modulov aplikácie Tazilla. Spracúvanie sa vykonáva len počas trvania poskytovania služby. Sprostredkovateľ spracúva osobné údaje výlučne na základe pokynov Prevádzkovateľa.
3. Sprostredkovateľ je oprávnený používať agregované alebo riadne anonymizované údaje, ktoré už nepredstavujú osobné údaje v zmysle GDPR, na účely zlepšovania a optimalizácie služby zo strany Prevádzkovateľa.
4. Rozsah spracúvaných osobných údajov v mene Prevádzkovateľa pre účely tejto DPA je v zmysle čl. 28 GDPR špecifikovaný Zásadách ochrany osobných údajov, dostupných na www.tazilla.com.  
5. Prevádzkovateľ určuje obsah osobných údajov vkladaných do aplikácie a je zodpovedný za to, aby do systému nevkladal osobné údaje nad rozsah nevyhnutný na plnenie účelu spracúvania
6. Sprostredkovateľ nespracúva osobitné kategórie osobných údajov podľa čl. 9 GDPR, pokiaľ ich do systému nevloží Prevádzkovateľ, pričom v takom prípade zodpovedá za zákonnosť ich spracúvania Prevádzkovateľ
7. Doba spracúvania osobných údajov v zmysle tejto DPA je vymedzená dobou trvania zmluvného vzťahu založeného akceptáciou VOP, teda po dobu, počas ktorej má Zákazník aktívny prístup k Službe. Táto DPA sa uzatvára na rovnakú dobu ako uvedený zmluvný vzťah a zaniká okamihom jeho ukončenia spôsobom upraveným čl. 7 VOP.

Článok 3 – Práva a povinnosti Zmluvných strán

1. Prevádzkovateľ zodpovedá za zákonnosť  spracovania osobných údajov vo svojej organizácii, vrátane spracovania vykonávaného jeho používateľmi, zamestnancami, partnermi alebo inými zmluvnými stranami prostredníctvom Tazilla.
2. Sprostredkovateľ sa zaväzuje spracúvať osobné údaje Prevádzkovateľa v rozsahu dohodnutom v článku 2 tejto DPA. Spracúvať ich bude len za tým účelom, takými prostriedkami a takým spôsobom, ktoré sú dohodnuté v tejto DPA. Bude dbať, aby nebola ohrozená dôvernosť, integrita a dostupnosť spracúvaných osobných údajov. Osobné údaje, s ktorými sa Sprostredkovateľ oboznámi, nevyužije pre vlastnú potrebu a bude o nich zachovávať mlčanlivosť aj po skončení platnosti a účinnosti tejto DPA. Spracúvané údaje bez súhlasu Prevádzkovateľa nezverejní, nesprístupní ich nepovolanej osobe, neuskutoční ich cezhraničný prenos a neposkytne ich tretej strane s výnimkou  sub-dodávateľov nevyhnutných na prevádzku cloudovej služby (ďalej pre účely tohto článku spolu ako „subdodávatelia“). Zoznam subdodávateľov je uvedený v prílohe č. 1 tejto DPA. Subdodávatelia môžu vykonávať spracúvanie osobných údajov len za podmienok dohodnutých v ods. 10 tohto článku a sú povinní spĺňať rovnaké bezpečnostné štandardy, ako aj požiadavky GDPR, ako Sprostredkovateľ. Sprostredkovateľ nebude osobné údaje spracúvať iným spôsobom, najmä ich nebude usporadúvať, štruktúrovať, uchovávať, meniť, vyhľadávať, prehliadať, využívať, poskytovať, preskupovať, kombinovať, obmedzovať alebo vymazávať, ak to nesúvisí s účelom spracúvania osobných údajov vymedzenom v tejto DPA. Sprostredkovateľ po ukončení spracovania osobné údaje v lehote 30 kalendárnych dní na základe písomného pokynu Prevádzkovateľa podľa povahy spracovateľských operácií vráti Prevádzkovateľovi alebo vymaže a rovnako vymaže všetky kópie a zálohy, ktoré obsahujú osobné údaje, ak je to možné podľa aktuálneho nastavenia (funkcionality) Tazilla a v súlade s príslušnými všeobecne záväznými právnymi predpismi.
3. Sprostredkovateľ je povinný zároveň bez zbytočného odkladu informovať Prevádzkovateľa a relevantne odôvodniť, ak sa domnieva, že sa pokynom Prevádzkovateľa porušujú ustanovenia GDPR, zákona o OOÚ alebo iné všeobecne záväzné právne predpisy týkajúce sa ochrany osobných údajov.
4. Sprostredkovateľ je povinný poskytnúť Prevádzkovateľovi bez zbytočného odkladu informácie potrebné na preukázanie splnenia povinností Sprostredkovateľa a poskytnúť súčinnosť v rámci auditu ochrany osobných údajov a kontroly zo strany Prevádzkovateľa alebo audítora, ktorého poveril Prevádzkovateľ a pri prijímaní opatrení na základe žiadosti dotknutej osoby, pri zabezpečovaní plnenia povinností týkajúcich sa bezpečnosti ochrany osobných údajov a pri preukazovaní splnenia povinností v rámci auditu ochrany osobných údajov. Za týmto účelom je Sprostredkovateľ povinný umožniť osobám, ktoré takýto audit alebo kontrolu vykonávajú, prístup k údajom a príslušnej dokumentácii a to nielen v prípade, ak tieto činnosti, resp. dokumentáciu preukázateľne nevie zabezpečiť sám Prevádzkovateľ. Ak Prevádzkovateľ požiada Sprostredkovateľa pri audite ochrany osobných údajov o súčinnosť, Sprostredkovateľ sa zaväzuje túto neodmietnuť, ak dané informácie má preukázateľne k dispozícii a poskytnúť mu súčinnosť bez zbytočného odkladu. O výsledkoch auditu ochrany osobných údajov alebo kontroly sa spíše protokol, v ktorom sa zaznamenajú všetky pre ochranu osobných údajov podstatné skutočnosti, vrátane obojstranne schválených opatrení pre odstránenie zistených nesúladov s termínom ich plnenia.
5. Sprostredkovateľ sa zaväzuje v čo najväčšej miere bez zbytočného odkladu poskytovať súčinnosť Prevádzkovateľovi vhodnými technickými a organizačnými opatreniami pri plnení jeho povinností vo vzťahu k výkonu práv dotknutých osôb, ktorých sa predmetné spracúvanie podľa tejto DPA týka.
6. Sprostredkovateľ sa ďalej zaväzuje poskytnúť bez zbytočného odkladu nevyhnutnú súčinnosť Prevádzkovateľovi pri vybavení žiadosti, resp. sťažnosti dotknutej osoby.
7. V súlade s právami dotknutých osôb, ktorých osobné údaje Sprostredkovateľ spracúva v mene Prevádzkovateľa, bude Sprostredkovateľ konať a poskytovať Prevádzkovateľovi nevyhnutnú súčinnosť na základe písomných žiadostí, v ktorých Prevádzkovateľ poskytne Sprostredkovateľovi primeranú lehotu, ktorá nesmie byť kratšia ako 5 pracovných dní. V prípade prijatia žiadosti dotknutej osoby súvisiacej s vybavovaním jej práv voči Prevádzkovateľovi postúpi uvedenú žiadosť dotknutej osoby Prevádzkovateľovi.
8. Sprostredkovateľ vyhlasuje, že má zavedené nevyhnutné technické opatrenia na bezpečné spracúvanie  osobných údajov Prevádzkovateľa v zmysle tejto DPA. Sprostredkovateľ vyhlasuje, že má zavedené nevyhnutné personálne a organizačné opatrenia na bezpečné spracúvanie osobných údajov, vrátane zabezpečenia, aby sa osoby oprávnené spracúvať osobné údaje zaviazali, že zachovajú mlčanlivosť o informáciách, o ktorých sa v priebehu spracúvania dozvedeli.
9. Za prijatie organizačných a technických bezpečnostných opatrení v rámci spracúvania osobných údajov na strane Prevádzkovateľa, ako aj za spracovanie príslušnej bezpečnostnej dokumentácie zodpovedá Prevádzkovateľ.
10. Prevádzkovateľ súhlasí, aby Sprostredkovateľ poveril spracúvaním osobných údajov svojich subdodávateľov za účelom, v rozsahu, a spôsobom dohodnutým v tejto DPA. Sprostredkovateľ oznámi Prevádzkovateľovi identifikačné údaje všetkých subdodávateľov, ktorí sa podieľajú, resp. budú podieľať na plnení podľa tejto DPA (pri výkone ich zmluvných činností môže z ich strany dochádzať k spracúvaniu osobných údajov Prevádzkovateľa, resp. k oboznamovaniu sa s nimi) pred zapojením Subdodávateľa do spracúvania osobných údajov podľa tejto DPA. V prípade plánovaného pridania alebo nahradenia, subdodávateľa, Sprostredkovateľ oznámi elektronickou formou 14 dní pred plánovanou zmenou (na adresu zodpovednej osoby uvedenej v tejto DPA) Prevádzkovateľovi ich identifikačné údaje. Subdodávatelia môžu vykonávať spracúvanie osobných údajov Prevádzkovateľa len za dohodnutým účelom a v rozsahu danom oprávnením Prevádzkovateľa voči Sprostredkovateľovi a iba na základe písomných pokynov zo strany Sprostredkovateľa podľa článku 28 ods. 4 GDPR. Sprostredkovateľ zodpovedá za činnosť subdodávateľov v plnom rozsahu.
11. Prevádzkovateľ je oprávnený v lehote 10 pracovných dní od doručenia oznámenia o zmene Subdodávateľa vzniesť písomnú a odôvodnenú námietku na adresu: support@tazilla.com z dôvodov týkajúcich sa ochrany osobných údajov. Námietka musí byť založená na preukázateľnom riziku porušenia právnych predpisov o ochrane osobných údajov. V prípade vznesenia námietky sa Zmluvné strany zaväzujú rokovať o jej vyriešení. Ak sa nedohodnú a Sprostredkovateľ trvá na použití nového Subdodávateľa, je Prevádzkovateľ oprávnený vypovedať Zmluvu vo vzťahu k dotknutej Službe bez nároku na náhradu škody na strane Zákazníka.
12. Sprostredkovateľ sa zaväzuje poskytnúť Prevádzkovateľovi bez zbytočného odkladu všetku požadovanú pomoc, súčinnosť na plnenie záväzkov Prevádzkovateľa voči dozornému orgánu, a to najmä pri predchádzajúcej konzultácii s dozorným orgánom, dodržiavanie všetkých pokynov a rád pre spracúvanie osobných údajov, ktoré poskytol dozorný orgán a pri výkone právomoci dozorného orgánu.
13. Pri nahlásení porušenia ochrany osobných údajov podľa článku 33 a 34 GDPR a ustanovení § 40 a § 41 zákona o OOÚ a/alebo vzniku bezpečnostného incidentu, ktorý je porušením ochrany osobných údajov, ak sa takýto bezpečnostný incident zistí na strane Sprostredkovateľa a bude sa týkať osobných údajov spracúvaných na základe tejto DPA, je Sprostredkovateľ povinný nahlásiť bezpečnostný incident prostredníctvom spôsobom podľa čl. 9 VOP, a to bez zbytočného odkladu Prevádzkovateľovi, najneskôr však do 24 hodín od okamihu, keď sa o porušení ochrany osobných údajov dozvedel a poskytnúť všetky relevantné informácie a to najmä povahu porušenia, kategórie, približný počet dotknutých osôb, počet príslušných záznamov o osobných údajoch, pravdepodobné dôsledky a opatrenia, ktoré boli prijaté na riešenie a zmiernenie porušenia ochrany osobných údajov. Rozsah poskytnutých informácií je nevyhnutný k vykonaniu analýzy dopadov na práva a slobody fyzických osôb a zhodnotenia, či bezpečnostný incident predstavuje riziko pre práva dotknutých osôb, ako aj mieru takéhoto rizika.

článok 4 – Zodpovednosť za škodu a náhrada škody

1. Sprostredkovateľ zodpovedá za škodu, ktorá vznikla Prevádzkovateľovi, ako aj za škodu, ktorá vznikla dotknutým osobám, a to v dôsledku jeho činnosti pri spracúvaní osobných údajov, v prípade, ak porušil svoje povinnosti súvisiace so spracúvaním osobných údajov ustanovené v tejto DPA, v GDPR, v zákone o OOÚ, v osobitnom predpise alebo v medzinárodnej zmluve, ktorou je Slovenská republika viazaná alebo ak Sprostredkovateľ konal nad rámec, prípadne v rozpore s predmetnými pokynmi Prevádzkovateľa, ktoré boli v súlade s GDPR, zákonom o OOÚ, osobitným predpisom alebo medzinárodnou zmluvou, ktorou je Slovenská republika viazaná.
2. Maximálna výška náhrady škody podľa tejto DPA je obmedzená na sumu, ktorú Zákazník skutočne uhradil Poskytovateľovi za poskytovanie Služby počas obdobia 12 mesiacov bezprostredne predchádzajúcich udalosti, ktorá viedla k vzniku škody. Ak ku dňu vzniku škody trvanie poskytovania Služby neprekročilo 12 mesiacov, zohľadní sa suma skutočne uhradená za toto kratšie obdobie, najmenej však vo výške 1500 EUR. Uvedené obmedzenie sa nevzťahuje na prípady úmyselného konania.
3. Sprostredkovateľ je podľa ods. 1 tohto článku povinný uhradiť Prevádzkovateľovi, ako aj dotknutým osobám spôsobenú škodu v preukázanej výške, len ak sa preukáže, že škodu zavinil.
4. Za škodu sa považuje aj pokuta, ktorú bude musieť Prevádzkovateľ uhradiť dozornému orgánu v dôsledku porušenia povinností Sprostredkovateľom podľa zákona o OOÚ.
5. Sprostredkovateľ sa môže úplne zbaviť zodpovednosti podľa tohto článku tejto DPA, ak preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu, ako aj v prípade, ak preukáže, že vznik škody nezavinil. Sprostredkovateľ sa môže zbaviť zodpovednosti sčasti, ak preukáže, že na vzniku škody mala vplyv aj činnosť Prevádzkovateľa.
6. V prípade, ak nie je možné určiť podiel zodpovednosti Prevádzkovateľa a Sprostredkovateľa na vzniku škody pri spracúvaní osobných údajov, avšak je preukázané, že škoda vznikla činnosťou Prevádzkovateľa a Sprostredkovateľa, Prevádzkovateľ a Sprostredkovateľ sú zodpovední za škodu spoločne a nerozdielne.
7. V prípade, ak je podiel zodpovednosti možné určiť a jedna Zmluvná strana nahradí škodu spôsobenú dotknutým osobám, resp. pokutu dozornému orgánu v plnej výške, má voči druhej Zmluvnej strane nárok na úhradu tej časti náhrady škody, resp. pokuty, ktorá zodpovedá jej podielu zodpovednosti.

Článok 5 – Pravidlá vzájomnej komunikácie Zmluvných strán

1. Zmluvné strany sa dohodli, že akékoľvek písomnosti týkajúce sa predmetu tejto DPA, ktoré majú, resp. môžu mať dopad na vzájomné práva a povinnosti Zmluvných strán upravené touto DPA budú doručované spôsobom podľa čl. 9 VOP.

Článok 6 – Záverečné ustanovenia

1. Táto DPA tvorí neoddeliteľnú súčasť zmluvného vzťahu založeného akceptáciou Všeobecných obchodných podmienok a je zároveň neoddeliteľnou súčasťou samotných VOP v zmysle bodu 1.4 týchto VOP. DPA nadobúda platnosť a účinnosť okamihom, kedy konkrétny Zákazník vyjadrí súhlas s VOP spôsobom podľa bodu 3.1. VOP.
2. Zmluvné strany vyhlasujú, že túto DPA uzatvárajú slobodne a vážne, že ich zmluvná voľnosť nie je obmedzená.
3. Zmluvné strany vyhlasujú, že táto DPA nebola uzavretá za nevýhodných podmienok alebo v tiesni, že si ju riadne prečítali, jej obsahu porozumeli a na znak súhlasu s jej obsahom pripájajú oprávnení zástupcovia oboch Zmluvných strán svoje vlastnoručné podpisy.
4. Pokiaľ by ktorékoľvek ustanovenie tejto DPA bolo alebo by sa stalo neplatným alebo neúčinným, či už úplne alebo len sčasti, ostatné ustanovenia tejto DPA, ktorých sa neplatnosť alebo neúčinnosť priamo netýka, tým nie sú dotknuté a ostávajú naďalej v platnosti a účinnosti. Zmluvné strany sa zároveň v takomto prípade zaväzujú bez zbytočného odkladu nahradiť neplatné alebo neúčinné ustanovenie tejto DPA takým ustanovením, ktoré bude platné a účinné a ktoré bude v čo možno najväčšej možnej miere zodpovedať vôli a úmyslu zmluvných strán vyjadreným v neplatnom alebo neúčinnom ustanovení. Ak to nebude právne možné, na úpravu vzťahu medzi zmluvnými stranami sa použije taká platná právna úprava, ktorá sa svojou povahou čo možno najviac približuje účelu a obsahu tejto DPA.
5. V prípade vzniku sporu z tejto DPA alebo v súvislosti s ňou sa Zmluvné strany zaväzujú vyvinúť maximálne úsilie na vyriešenie takéhoto sporu primárne vzájomnou dohodou a zmierom a v prípade neúspechu sú na prejednanie a rozhodnutie sporov príslušné súdy Slovenskej republiky.
6. Túto DPA je Sprostredkovateľ oprávnený jednostranne aktualizovať rovnakým spôsobom a za rovnakých podmienok, ako je upravená aktualizácia v čl. 4 VOP, vrátane oznámenia zmien a práva Zákazníka namietať alebo ukončiť zmluvný vzťah, ak so zmenou nesúhlasí. Aktualizácia nesmie viesť k zníženiu úrovne ochrany osobných údajov ani bezpečnostných opatrení dohodnutých v tejto DPA.
7. Neoddeliteľnou súčasťou tejto DPA sú nasledovné prílohy: Príloha č. 1: Zoznam subdodávateľov.

Príloha č. 1 – Zoznam subdodávateľov

Konzorčný partner redByte, s.r.o., Fialová 4036/10, 851 07 Bratislava – mestská časť Petržalka, IČO: 46557270 v rozsahu uvedenom v Zásadách ochrany osobných údajov.