Zmluva o spracúvaní osobných údajov.

Táto zmluva (ďalej „Zmluva") je neoddeliteľnou súčasťou Všeobecných obchodných podmienok platformy MATODOM a uzatvára sa podľa čl. 28 ods. 3 Nariadenia (EÚ) 2016/679 (GDPR) a § 34 zákona č. 18/2018 Z. z. medzi Zákazníkom ako prevádzkovateľom osobných údajov (ďalej „Prevádzkovateľ") a spoločnosťou Syki Group s. r. o., Veľkomoravská 2162/16B, 911 05 Trenčín, IČO: 57146870, zapísanou v OR OS Trenčín, oddiel Sro, vložka č. 56317/R, ako sprostredkovateľom (ďalej „Sprostredkovateľ"). Zákazník ju akceptuje objednávkou platformy MATODOM. Na požiadanie ju Sprostredkovateľ vyhotoví aj v listinnej podpísanej podobe s identifikáciou oboch strán.

1. Predmet a účel

1.1 Sprostredkovateľ poskytuje Prevádzkovateľovi platformu MATODOM (ďalej „Platforma") na pridelenej subdoméne na evidenciu zákazníkov, zariadení, zákaziek, protokolov, fakturáciu a súvisiacu komunikáciu. Pri tom nevyhnutne spracúva osobné údaje, ktoré do Platformy vkladá Prevádzkovateľ a jeho používatelia.

1.2 Prevádzkovateľ poveruje Sprostredkovateľa spracúvaním osobných údajov v rozsahu a na účely uvedené v Prílohe č. 1. Sprostredkovateľ spracúva osobné údaje výlučne na účel riadneho poskytovania Platformy Prevádzkovateľovi, nie na vlastné účely.

2. Pokyny Prevádzkovateľa

2.1 Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa. Za pokyny sa považujú táto Zmluva, Všeobecné obchodné podmienky a nastavenia, ktoré Prevádzkovateľ alebo jeho používatelia vykonajú v Platforme (napr. aktivácia modulov, automatizácie, odosielanie e-mailov a SMS zákazníkom).

2.2 Ak Sprostredkovateľ považuje pokyn za odporujúci právnym predpisom, bezodkladne na to Prevádzkovateľa upozorní a do vyjasnenia môže jeho vykonanie pozastaviť.

2.3 Za zákonnosť získania osobných údajov, právny základ spracúvania a informovanie dotknutých osôb (najmä vlastných zákazníkov) zodpovedá Prevádzkovateľ.

3. Mlčanlivosť a dôverné informácie

3.1 Sprostredkovateľ zachováva mlčanlivosť o všetkých osobných údajoch, ku ktorým má prístup, a zabezpečí, že všetky osoby poverené spracúvaním sú zaviazané mlčanlivosťou a poučené o povinnostiach pri ochrane osobných údajov.

3.2 Mlčanlivosť sa rovnako vzťahuje na obchodné a prevádzkové informácie Prevádzkovateľa, s ktorými sa Sprostredkovateľ oboznámi pri poskytovaní Platformy – najmä údaje o zákazníkoch, zákazkách, cenách, maržiach, dodávateľoch a fakturácii. Sprostredkovateľ ich nepoužije na iný účel než na poskytovanie Platformy a nesprístupní ich tretej osobe bez písomného súhlasu Prevádzkovateľa, s výnimkou ďalších sprostredkovateľov podľa čl. 5 v nevyhnutnom rozsahu.

3.3 Sprostredkovateľ údaje Prevádzkovateľa, ani agregované alebo anonymizované, nepredáva, neprenajíma ani inak komerčne nevyužíva. Pri vývoji Platformy používa výlučne vlastné testovacie dáta.

3.4 Mlčanlivosť trvá aj po skončení Zmluvy bez časového obmedzenia. Nevzťahuje sa na verejne dostupné informácie a na prípady, keď sprístupnenie vyžaduje zákon alebo orgán verejnej moci; o takom sprístupnení Sprostredkovateľ Prevádzkovateľa informuje, ak to zákon nezakazuje.

4. Bezpečnosť spracúvania

4.1 Sprostredkovateľ prijal a udržiava primerané technické a organizačné opatrenia podľa čl. 32 GDPR; ich popis tvorí Prílohu č. 3.

4.2 Údaje Prevádzkovateľa sú uložené v samostatnej, logicky oddelenej databáze určenej výlučne pre Prevádzkovateľa. Žiadny iný zákazník Sprostredkovateľa k nej nemá prístup.

4.3 Platforma je prevádzkovaná na serveroch Hetzner Online GmbH v dátových centrách na území Spolkovej republiky Nemecko. Osobné údaje sa spracúvajú výlučne na území EÚ/EHP.

4.4 Prístup personálu Sprostredkovateľa k údajom Prevádzkovateľa je obmedzený na osoby, ktoré ho potrebujú na technickú podporu, údržbu, migráciu dát alebo riešenie incidentu, a len v nevyhnutnom rozsahu.

4.5 Sprostredkovateľ môže opatrenia priebežne aktualizovať; zmeny nesmú znížiť celkovú úroveň bezpečnosti.

5. Ďalší sprostredkovatelia

5.1 Prevádzkovateľ udeľuje všeobecný súhlas so zapojením ďalších sprostredkovateľov uvedených v Prílohe č. 2.

5.2 O pridaní alebo nahradení ďalšieho sprostredkovateľa Sprostredkovateľ informuje e-mailom najmenej 14 dní vopred. Prevádzkovateľ môže v tejto lehote vzniesť odôvodnené námietky; ak sa strany nedohodnú, môže zmluvu o poskytovaní Platformy vypovedať bez sankcie.

5.3 Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi rovnaké povinnosti ochrany osobných údajov, aké vyplývajú z tejto Zmluvy, a zodpovedá za ich plnenie ako za vlastné.

6. Súčinnosť

6.1 Práva dotknutých osôb. Sprostredkovateľ poskytne súčinnosť pri vybavovaní žiadostí dotknutých osôb (prístup, oprava, vymazanie, obmedzenie, prenosnosť, námietka). Väčšinu úkonov môže Prevádzkovateľ vykonať v Platforme sám. Žiadosť doručenú priamo Sprostredkovateľovi postúpi Prevádzkovateľovi do 3 pracovných dní a sám ju nevybavuje.

6.2 Porušenie ochrany osobných údajov. Sprostredkovateľ oznámi Prevádzkovateľovi každé porušenie ochrany osobných údajov týkajúce sa jeho údajov bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, na kontaktný e-mail Prevádzkovateľa. Oznámenie obsahuje povahu porušenia, pravdepodobné kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky a prijaté alebo navrhované opatrenia; informácie možno poskytovať postupne.

6.3 Posúdenie vplyvu a konzultácie. Sprostredkovateľ poskytne informácie potrebné na posúdenie vplyvu (čl. 35 GDPR) a predchádzajúcu konzultáciu (čl. 36 GDPR), pokiaľ sa týkajú spracúvania v Platforme.

6.4 Preukázanie súladu a audit. Sprostredkovateľ poskytne informácie potrebné na preukázanie plnenia čl. 28 GDPR. Prevádzkovateľ môže najviac raz za 12 mesiacov, alebo pri dôvodnom podozrení z porušenia Zmluvy, vykonať audit formou písomných otázok a preskúmania dokumentácie; audit na mieste sa vykoná len ak písomná forma nepostačuje, po oznámení najmenej 15 pracovných dní vopred, v pracovnom čase, na náklady Prevádzkovateľa a bez dotknutia údajov iných zákazníkov.

7. Prenos do tretích krajín

Sprostredkovateľ neprenáša osobné údaje Prevádzkovateľa mimo EÚ/EHP. Prenos je prípustný len na písomný pokyn Prevádzkovateľa pri splnení podmienok kapitoly V GDPR (rozhodnutie o primeranosti alebo štandardné zmluvné doložky).

8. Trvanie, vrátenie a vymazanie údajov

8.1 Zmluva trvá počas trvania zmluvy o poskytovaní Platformy a zaniká s ňou. Mlčanlivosť a povinnosť vymazania trvajú aj po zániku.

8.2 Po zániku Sprostredkovateľ na žiadosť doručenú do 30 dní poskytne export údajov v strojovo čitateľnom formáte (CSV alebo XML) a vystavených dokladov v PDF.

8.3 Po uplynutí 30 dní od zániku, resp. po odovzdaní exportu, Sprostredkovateľ databázu Prevádzkovateľa vymaže; údaje zo záloh sú odstránené v rámci ich rotácie najneskôr do 60 dní. Na žiadosť vymazanie písomne potvrdí. Údaje, ktorých uchovanie vyžaduje zákon (napr. účtovné doklady Sprostredkovateľa voči Prevádzkovateľovi), sa uchovávajú len v nevyhnutnom rozsahu a po zákonnú dobu.

9. Zodpovednosť

9.1 Zodpovednosť strán sa riadi čl. 82 GDPR. Sprostredkovateľ zodpovedá za škodu spôsobenú spracúvaním len vtedy, ak nesplnil povinnosti uložené GDPR osobitne sprostredkovateľom alebo konal nad rámec či v rozpore s pokynmi Prevádzkovateľa.

9.2 Ak nejde o úmysel alebo hrubú nedbanlivosť, celková zodpovednosť Sprostredkovateľa voči Prevádzkovateľovi z tejto Zmluvy je obmedzená na odplatu uhradenú za Platformu za 12 mesiacov pred vznikom škody. Obmedzenie sa nevzťahuje na nároky dotknutých osôb podľa čl. 82 GDPR.

10. Záverečné ustanovenia

10.1 V otázkach ochrany osobných údajov má táto Zmluva prednosť pred Všeobecnými obchodnými podmienkami.

10.2 Zmluva sa riadi právom Slovenskej republiky. Zmeny oznamuje Sprostredkovateľ e-mailom najmenej 30 dní vopred; aktuálne znenie je vždy na tejto stránke. Ak Prevádzkovateľ so zmenou nesúhlasí, môže zmluvu o poskytovaní Platformy do dňa účinnosti zmeny vypovedať.

10.3 Prílohy č. 1 až 3 sú neoddeliteľnou súčasťou Zmluvy.

Príloha č. 1 — Špecifikácia spracúvania

Predmet	Poskytovanie platformy MATODOM (SaaS) na pridelenej subdoméne vrátane mobilného rozhrania, technickej podpory, údržby, zálohovania a jednorazovej migrácie historických dát Prevádzkovateľa (napr. faktúr a zákazníkov z predchádzajúceho systému).
Účel	Evidencia zákazníkov a zariadení, plánovanie a evidencia zákaziek a servisov, vyhotovovanie a podpisovanie protokolov vrátane fotodokumentácie, vystavovanie a evidencia faktúr a dokladov, odosielanie e-mailových a SMS notifikácií zákazníkom v mene Prevádzkovateľa, evidencia jázd a dochádzky, ak sú moduly aktivované.
Povaha spracúvania	Zhromažďovanie, zaznamenávanie, usporadúvanie, uchovávanie, vyhľadávanie, prehliadanie, použitie na vytvorenie dokladov, poskytovanie prenosom (e-mail, SMS, odkaz na podpis), zálohovanie, obmedzenie, vymazanie – automatizovane podľa úkonov používateľov Prevádzkovateľa.
Dotknuté osoby	(a) zákazníci Prevádzkovateľa a kontaktné osoby jeho zákazníkov; (b) používatelia Platformy na strane Prevádzkovateľa – konatelia, zamestnanci, technici; (c) kontaktné osoby dodávateľov a partnerov Prevádzkovateľa; (d) osoby zachytené na fotodokumentácii z miesta realizácie.
Kategórie údajov	Identifikačné a kontaktné údaje (meno, adresa, telefón, e-mail, IČO/DIČ); adresa miesta realizácie a údaje o zariadeniach; obsah protokolov vrátane elektronického podpisu a fotodokumentácie; fakturačné a platobné údaje (čísla dokladov, sumy, variabilné symboly, stav úhrady, IBAN na dokladoch, transakčné údaje pri aktivovanom bankovom prepojení); prihlasovacie údaje používateľov (e-mail, hash hesla) a záznamy o činnosti; pri module dochádzky čas príchodu a odchodu, pri knihe jázd údaje o jazdách a polohe vozidla. Osobitné kategórie údajov (čl. 9 GDPR) sa v Platforme nespracúvajú a Prevádzkovateľ ich do nej nevkladá.
Doba	Počas trvania zmluvy o poskytovaní Platformy a následne do vymazania podľa čl. 8.
Miesto	Dátové centrá Hetzner Online GmbH, Nemecko (EÚ). Vzdialený prístup personálu Sprostredkovateľa zo Slovenskej republiky.

Príloha č. 2 — Ďalší sprostredkovatelia

Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Nemecko (EÚ) — serverová infraštruktúra a dátové centrum, na ktorom je Platforma prevádzkovaná a zálohovaná.
WebSupport, s. r. o.	Karadžičova 12, 821 08 Bratislava, Slovensko (EÚ) — e-mailová infraštruktúra domény matodom.com (doručovanie e-mailov z Platformy a komunikácia podpory).
Poskytovateľ SMS brány	Slovenská republika (EÚ) — odosielanie SMS notifikácií zákazníkom Prevádzkovateľa (telefónne číslo a text správy). Zapája sa až aktiváciou modulu SMS; konkrétneho poskytovateľa Sprostredkovateľ oznámi pred aktiváciou.
Poskytovateľ bankového prepojenia	GoCardless (EÚ / Spojené kráľovstvo – rozhodnutie o primeranosti) — čítanie bankových transakcií na párovanie úhrad. Zapája sa až aktiváciou modulu Banka, ktorým Prevádzkovateľ udeľuje súhlas priamo svojej banke.
Poskytovateľ jazykového modelu	Len pri aktivácii modulu AI manažér — spracúvanie dotazov používateľa a s nimi súvisiacich údajov z Platformy na účel odpovede. Konkrétneho poskytovateľa, miesto spracúvania a záruky Sprostredkovateľ oznámi pred aktiváciou modulu.

Príloha č. 3 — Technické a organizačné opatrenia

• Oddelenie údajov: každý zákazník má vlastnú databázu a subdoménu; aplikačná vrstva neumožňuje prístup k údajom iného zákazníka.
• Šifrovanie prenosu: všetka komunikácia s Platformou (web, mobil, odkazy na podpis) výlučne cez HTTPS/TLS.
• Riadenie prístupu: len autentifikovaní používatelia vytvorení Prevádzkovateľom, oprávnenia podľa rolí, heslá uložené výlučne ako kryptografický hash, polia typu „heslo" sa do dokladov netlačia.
• Prístup personálu: len určené osoby viazané mlčanlivosťou, len na podporu, údržbu, migráciu a incidenty; prístup k serverom cez zabezpečené kanály (SSH s kľúčmi).
• Zálohovanie: pravidelné automatizované zálohy databázy a súborov v infraštruktúre v EÚ; schopnosť obnovy pri poruche.
• Logovanie: záznamy o prihláseniach, odoslaných e-mailoch a SMS a o zásadných úkonoch v Platforme.
• Integrita dokladov: podpísaný protokol sa po podpise nemení; úprava šablóny neovplyvní už vystavené doklady.
• Infraštruktúra: pravidelné aktualizácie systému a komponentov; dátové centrá Hetzner s fyzickým zabezpečením a certifikáciou ISO 27001.
• Organizačné opatrenia: poučenie osôb, zásada minimálneho prístupu, postup hlásenia a riešenia incidentov podľa čl. 6.2.

Kontakt vo veciach ochrany osobných údajov: info@matodom.com. Súvisiace dokumenty: Všeobecné obchodné podmienky · Ochrana údajov (web).