Zmluva o spracúvaní osobných údajov

1. Zmluvné strany a postavenie

1. Prevádzkovateľom je vlastník prevádzky, ktorý používa systém MojaRezervácia na vedenie svojich klientov, zamestnancov, rezervácií a súvisiacej komunikácie.
2. Sprostredkovateľom je Ing. Michal Šimaľa, IČO: 55339522, Čimhová 109, 027 12 Čimhová, e-mail: info@mojarezervacia.sk, ktorý prevádzkuje systém MojaRezervácia.
3. Táto zmluva je prílohou obchodných podmienok pre vlastníkov prevádzok. Uplatní sa v rozsahu, v ktorom sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa.
4. Pri údajoch, ktorých účely a prostriedky určuje sprostredkovateľ samostatne, najmä pri správe vlastného používateľského účtu, fakturácii, bezpečnosti služby a plnení zákonných povinností, vystupuje sprostredkovateľ ako samostatný prevádzkovateľ podľa zásad ochrany osobných údajov.

2. Predmet, trvanie, povaha a účel spracúvania

1. Predmetom je spracúvanie údajov potrebné na technické poskytovanie rezervačného systému, najmä uloženie, usporiadanie, vyhľadanie, zobrazenie, zmenu, zálohovanie, prenos notifikácie a vymazanie údajov podľa pokynov prevádzkovateľa.
2. Spracúvanie trvá počas používania služby a následne iba počas nevyhnutnej lehoty na ukončenie, export, výmaz alebo obnovu zo záloh podľa tejto zmluvy a záväzných právnych predpisov.
3. Účelom je vedenie klientov a oprávnených používateľov prevádzky, vytváranie a správa rezervácií, pracovných časov a dostupnosti, odosielanie nastavených e-mailových alebo SMS oznámení, evidencia histórie úkonov a voliteľná synchronizácia kalendára.
4. Sprostredkovateľ nesmie údaje spracúvať na vlastné marketingové účely ani ich predávať na základe tejto zmluvy.

3. Dotknuté osoby a kategórie údajov

3.1 Dotknuté osoby

• klienti a potenciálni klienti prevádzky, vrátane osôb objednaných telefonicky alebo pridaných importom,
• zamestnanci, spolupracovníci a iní oprávnení používatelia prevádzky,
• kontaktné osoby a ďalšie osoby uvedené prevádzkovateľom v rezervácii alebo poznámke.

3.2 Kategórie údajov

• identifikačné a kontaktné údaje, najmä meno, priezvisko, e-mail a telefón,
• údaje o rezervácii, službe, prevádzke, zamestnancovi, dátume, čase, trvaní, cene, stave a histórii zmien,
• obsah správ a technické údaje potrebné na doručenie nastavenej e-mailovej alebo SMS notifikácie,
• pracovný čas, dostupnosť, blokované časy a údaje voliteľne synchronizovaných kalendárov,
• poznámky a ďalšie údaje, ktoré prevádzkovateľ do systému vloží.

Osobitné kategórie údajov podľa článku 9 GDPR nie sú štandardne vyžadované. Prevádzkovateľ ich nesmie vkladať do voľných poznámok, ak na to nemá nevyhnutný účel, vhodný právny základ a primerané bezpečnostné opatrenia.

4. Pokyny a povinnosti prevádzkovateľa

1. Dokumentovanými pokynmi sú táto zmluva, obchodné podmienky, nastavenia a úkony prevádzkovateľa alebo jeho oprávnených používateľov v systéme a osobitné písomné pokyny prijaté sprostredkovateľom.
2. Prevádzkovateľ zodpovedá za zákonnosť získania údajov, právny základ, informačnú povinnosť, vybavenie práv dotknutých osôb, správnosť údajov a primeranú minimalizáciu.
3. Pri klientovi získanom telefonicky, osobne alebo importom zodpovedá prevádzkovateľ za to, že môže údaje vložiť do systému a že dotknutej osobe poskytol potrebné informácie. Vytvorenie klienta vlastníkom nie je súhlasom klienta s podmienkami platformy.
4. Prevádzkovateľ udeľuje prístupy iba osobám, ktoré ich potrebujú, určuje ich oprávnenia, chráni prihlasovacie údaje a po skončení spolupráce prístup bezodkladne odoberie.
5. Ak sa sprostredkovateľ domnieva, že pokyn porušuje GDPR alebo iný právny predpis o ochrane údajov, upozorní na to prevádzkovateľa a môže vykonanie pokynu pozastaviť do jeho objasnenia.

5. Povinnosti sprostredkovateľa

1. Spracúvať údaje iba podľa dokumentovaných pokynov prevádzkovateľa, okrem prípadu, keď spracúvanie vyžaduje právo EÚ alebo Slovenskej republiky; ak to zákon dovoľuje, sprostredkovateľ o takej požiadavke vopred informuje.
2. Zabezpečiť, aby osoby oprávnené spracúvať údaje boli viazané mlčanlivosťou a mali prístup iba v nevyhnutnom rozsahu.
3. Prijať primerané technické a organizačné opatrenia s prihliadnutím na riziko, stav techniky, náklady a povahu spracúvania.
4. Pomáhať prevádzkovateľovi primeranými technickými a organizačnými opatreniami pri vybavovaní práv dotknutých osôb.
5. Pomáhať pri plnení povinností podľa článkov 32 až 36 GDPR, najmä pri bezpečnosti, incidentoch, posúdení vplyvu a konzultácii s dozorným orgánom, s prihliadnutím na povahu spracúvania a dostupné informácie.
6. Viesť záznamy a plniť ďalšie povinnosti sprostredkovateľa, ktoré mu priamo ukladá GDPR.

6. Bezpečnosť a incidenty

1. Medzi základné opatrenia patria šifrovaný prenos cez TLS, hashovanie hesiel, riadenie prístupu podľa používateľských rolí, oddelenie prostredí, zálohovanie, aktualizácie, protokolovanie potrebných technických udalostí a obmedzenie administrátorského prístupu.
2. Prevádzkovateľ je povinný používať silné a jedinečné heslá, chrániť zariadenia a relácie, nevydávať spoločné účty neoprávneným osobám a bezodkladne hlásiť podozrenie na zneužitie.
3. Sprostredkovateľ oznámi prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvie. Oznámenie podľa dostupných informácií opíše povahu incidentu, dotknuté údaje a osoby, pravdepodobné následky, prijaté alebo navrhované opatrenia a kontaktné miesto.
4. Oznámenie incidentu nie je uznaním zodpovednosti. Prevádzkovateľ rozhoduje o oznámení dozornému orgánu a dotknutým osobám, pričom sprostredkovateľ mu poskytne primeranú súčinnosť.

7. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje osobitné oprávnenie na zapojenie týchto ďalších sprostredkovateľov v uvedenom rozsahu:

1. Ďalší sprostredkovateľ musí byť zmluvne viazaný najmenej rovnakými povinnosťami ochrany údajov, aké vyplývajú z tejto zmluvy. Za jeho plnenie voči prevádzkovateľovi zodpovedá sprostredkovateľ podľa GDPR.
2. Nového ďalšieho sprostredkovateľa, ktorý má spracúvať údaje prevádzkovateľa, možno zapojiť až po sprístupnení novej verzie tohto dokumentu a poskytnutí možnosti oboznámiť sa so zmenou a namietať pred začatím takého spracúvania. Odmietnutie môže viesť k vypnutiu dotknutej voliteľnej funkcie alebo k ukončeniu služby, ak bez daného poskytovateľa nemožno službu bezpečne poskytovať.

8. Prenosy mimo EÚ/EHP

1. Sprostredkovateľ nesmie preniesť údaje mimo EÚ/EHP bez dokumentovaného pokynu prevádzkovateľa a splnenia kapitoly V GDPR, okrem prenosu vyžadovaného právom.
2. Ak sa pri voliteľnej službe zapojí príjemca mimo EHP, použije sa primeraný prenosový mechanizmus, najmä rozhodnutie o primeranosti vrátane EU-US Data Privacy Framework pre oprávneného certifikovaného príjemcu alebo štandardné zmluvné doložky spolu s potrebnými doplnkovými opatreniami.
3. Informáciu o použitom mechanizme poskytne sprostredkovateľ prevádzkovateľovi na požiadanie.

9. Informácie, kontroly a audity

1. Sprostredkovateľ poskytne informácie primerane potrebné na preukázanie plnenia článku 28 GDPR.
2. Prevádzkovateľ môže po primeranom predchádzajúcom oznámení vykonať kontrolu sám alebo prostredníctvom nezávislého audítora viazaného mlčanlivosťou. Kontrola nesmie neprimerane narušiť službu, ohroziť bezpečnosť ani sprístupniť údaje iných zákazníkov.
3. Ak kontrola presahuje bežné poskytnutie existujúcich informácií alebo bola vyvolaná porušením povinností prevádzkovateľa, strany sa môžu vopred dohodnúť na úhrade primeraných preukázaných nákladov.

10. Vrátenie a vymazanie údajov

1. Po skončení poskytovania služby sprostredkovateľ podľa voľby prevádzkovateľa osobné údaje vráti v dostupnom bežne používanom exportnom formáte a následne vymaže existujúce kópie, alebo ich priamo vymaže, ak ďalšie uchovanie nevyžaduje právo EÚ alebo Slovenskej republiky.
2. Údaje v rotačných zálohách sa odstránia uplynutím príslušného zálohovacieho cyklu; dovtedy zostanú chránené, nepoužijú sa na iný účel a obnovia sa iba pri nevyhnutnej obnove systému.
3. Konkrétne retenčné lehoty a technický proces výmazu sa riadia aktuálnymi zásadami ochrany osobných údajov a obchodnými podmienkami. Ak je medzi dokumentmi rozpor, pri spracúvaní v mene prevádzkovateľa má prednosť táto zmluva a záväzné právne predpisy.

11. Záverečné ustanovenia

1. Táto verzia sa voči konkrétnemu prevádzkovateľovi uplatní ako súčasť vlastníckeho zmluvného balíka po jeho aktívnom prijatí spôsobom určeným v obchodných podmienkach.
2. Ak ustanovenie tejto zmluvy odporuje záväznej požiadavke GDPR, použije sa GDPR a ostatné ustanovenia zostávajú v platnosti.
3. Otázky a pokyny týkajúce sa spracúvania možno poslať na info@mojarezervacia.sk.