Zmluva o spracúvaní osobných údajov

1. Preambula a strany

Táto Zmluva o spracúvaní osobných údajov (ďalej len “DPA”) sa uzatvára medzi:

• Prevádzkovateľ - Používateľ Služby MojeFaktury.sk, ktorý vložil do Služby osobné údaje tretích osôb (najmä svojich zákazníkov, klientov, kontaktných osôb a obchodných partnerov) a určuje účely a prostriedky ich spracúvania,
• Sprostredkovateľ - NeoPixel s. r. o., IČO 47 079 908, so sídlom Wuppertálska 57, 040 23 Košice, ako prevádzkovateľ Služby MojeFaktury.sk, ktorá spracúva osobné údaje výhradne v mene a podľa pokynov Prevádzkovateľa.

Táto DPA je neoddeliteľnou súčasťou Všeobecných obchodných podmienok a vzťahuje sa na každého Používateľa, ktorý používa Službu na spracovanie osobných údajov tretích strán. Používateľ akceptuje túto DPA okamihom akceptácie VOP počas registrácie a používaním Služby.

V otázkach výslovne neupravených touto DPA sa spracúvanie riadi Zásadami ochrany osobných údajov a platnými predpismi, najmä GDPR a zákonom č. 18/2018 Z. z.

2. Predmet a rozsah spracúvania

• Predmet spracúvania: poskytovanie cloudovej fakturačnej služby MojeFaktury.sk Prevádzkovateľovi (vystavovanie a evidencia faktúr, správa klientov, automatizácia upomienok, párovanie bankových transakcií, OCR spracovanie prijatých dokumentov, integrácia s e-shopmi).
• Doba trvania spracúvania: po dobu platnosti zmluvy o používaní Služby medzi Prevádzkovateľom a Sprostredkovateľom, plus zákonom vyžadované retenčné obdobie pre účtovné doklady (min. 10 rokov).
• Povaha a účel spracúvania: ukladanie, organizácia, úprava, vyhľadávanie, poskytovanie prístupu, zálohovanie, exportovanie, odosielanie (e-mailom) a automatizované spracúvanie osobných údajov v rozsahu potrebnom na poskytnutie Služby.
• Kategórie dotknutých osôb: klienti Prevádzkovateľa (fyzické osoby a fyzické osoby - podnikatelia, ktorým Prevádzkovateľ fakturuje), kontaktné osoby u klientov, zákazníci e-shopu Prevádzkovateľa, obchodní partneri a dodávatelia Prevádzkovateľa, príjemcovia faktúr a upomienok.
• Kategórie osobných údajov: identifikačné údaje (meno, priezvisko, obchodné meno, IČO, DIČ), kontaktné údaje (adresa, e-mail, telefón), bankové údaje (IBAN, VS), obsah obchodnej komunikácie (faktúry, objednávky, platby), metadáta e-mailov (odosielateľ, predmet, doručenie, otvorenie, IP), OCR výstupy z prijatých dokumentov.
• Osobitné kategórie (čl. 9 GDPR): spracovanie osobitných kategórií údajov (napr. údaje o zdravotnom stave, politické názory, biometrické údaje) je v Službe explicitne zakázané. Prevádzkovateľ sa zaväzuje takéto údaje do Služby nevkladať.

3. Povinnosti Sprostredkovateľa

Sprostredkovateľ sa zaväzuje v zmysle čl. 28 ods. 3 GDPR:

• spracúvať osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, vrátane pokynov týkajúcich sa prenosu do tretích krajín, pokiaľ mu iná povinnosť spracúvania neukladá právo EÚ alebo členského štátu; v takom prípade o tejto zákonnej požiadavke Prevádzkovateľa vopred informuje, ak to zákon nezakazuje,
• zabezpečiť, aby osoby oprávnené spracúvať osobné údaje boli zaviazané povinnosťou mlčanlivosti alebo ju mali uloženú zákonom,
• prijať všetky opatrenia podľa čl. 32 GDPR - šifrovanie pri prenose (TLS 1.2+), šifrovanie citlivých polí v pokoji (AES-256-GCM), kontrolu prístupov (RBAC, MFA), zálohy, monitoring, incident response,
• využívať ďalších sprostredkovateľov iba za podmienok v článku 5 tejto DPA,
• byť Prevádzkovateľovi nápomocný pri plnení povinností reagovať na žiadosti dotknutých osôb (čl. 12-23 GDPR) - viď. článok 9,
• byť Prevádzkovateľovi nápomocný pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie incidentov, DPIA, predchádzajúca konzultácia),
• podľa voľby Prevádzkovateľa vymazať alebo vrátiť všetky osobné údaje po ukončení poskytovania Služby a vymazať existujúce kópie, ak právo EÚ alebo členského štátu nevyžaduje ich uchovanie,
• poskytnúť Prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožniť vykonanie auditu (viď. článok 10).

4. Povinnosti Prevádzkovateľa

Prevádzkovateľ sa zaväzuje:

• spracúvať osobné údaje v Službe v súlade s GDPR a získavať ich zákonným spôsobom,
• mať pre spracúvanie osobných údajov svojich klientov platný právny základ podľa čl. 6 GDPR (najmä plnenie zmluvy, zákonná povinnosť, oprávnený záujem alebo súhlas),
• informovať svoje dotknuté osoby o spracúvaní ich údajov v zmysle čl. 13 a 14 GDPR, vrátane informácie, že na spracovanie využíva MojeFaktury.sk ako sprostredkovateľa,
• nevkladať do Služby osobné údaje osobitných kategórií podľa čl. 9 GDPR,
• udržiavať aktuálne prihlasovacie údaje a API kľúče a chrániť ich pred zneužitím,
• bezodkladne informovať Sprostredkovateľa o akomkoľvek podozrení na neoprávnený prístup k svojmu účtu.

5. Ďalší sprostredkovatelia (sub-processori)

Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecný súhlas na zapojenie ďalších sprostredkovateľov do spracúvania osobných údajov za podmienok uvedených v tejto DPA. Aktuálny zoznam aktívnych sub-processorov je zverejnený na stránke Zoznam sprostredkovateľov.

Sprostredkovateľ sa zaväzuje:

• uložiť každému sub-processorovi rovnaké povinnosti ochrany osobných údajov, aké má sám podľa tejto DPA, najmä dostatočné záruky na prijatie vhodných technických a organizačných opatrení,
• informovať Prevádzkovateľa o zamýšľanej zmene týkajúcej sa pridania alebo nahradenia sub-processora najmenej 14 dní vopred, prostredníctvom aktualizácie verejného zoznamu a e-mailovej notifikácie,
• poskytnúť Prevádzkovateľovi možnosť vzniesť námietku voči zmene; ak Prevádzkovateľ so zmenou nesúhlasí z odôvodnených dôvodov ochrany osobných údajov, má právo zmluvu ukončiť k dátumu účinnosti zmeny bez sankcií,
• niesť voči Prevádzkovateľovi plnú zodpovednosť za plnenie povinností sub-processora podľa tejto DPA.

6. Prenos osobných údajov mimo EÚ/EHP

Sprostredkovateľ uprednostňuje spracúvanie osobných údajov v rámci Európskeho hospodárskeho priestoru. Ak je prenos mimo EÚ/EHP nevyhnutný (napr. pri využití niektorých sub-processorov so sídlom v USA), Sprostredkovateľ zabezpečí primeranú úroveň ochrany jedným z nasledujúcich mechanizmov:

• štandardné zmluvné doložky (SCC) schválené Európskou komisiou rozhodnutím 2021/914 (moduly 2 a 3),
• certifikácia sub-processora v rámci EU-US Data Privacy Framework (DPF),
• doplňujúce technické opatrenia (šifrovanie v pokoji, pseudonymizácia, kontrola prístupov).

Konkrétne krajiny spracovania a mechanizmus prenosu sú uvedené v tabuľke na stránke Zoznam sprostredkovateľov.

7. Bezpečnostné opatrenia

Sprostredkovateľ prijal nasledujúce technické a organizačné opatrenia podľa čl. 32 GDPR:

• šifrovaný prenos všetkej komunikácie (TLS 1.2+/1.3, HSTS),
• šifrovanie citlivých polí v databáze (autentifikačné tokeny, API kľúče) algoritmom AES-256-GCM,
• uloženie hesiel ako bezpečných hashov (bcrypt/argon2 cez Supabase Auth) - Sprostredkovateľ nemá prístup k heslám v čitateľnej podobe,
• prístup k produkčnému prostrediu chránený viacfaktorovou autentifikáciou a princípom najmenších potrebných oprávnení (least privilege),
• segregácia dát medzi Organizáciami cez unikátne identifikátory (multi-tenancy na úrovni databázy),
• pravidelné denné zálohy s retenciou v EÚ dátovom centre a testovanie obnovy,
• monitoring prevádzky, detekcia anomálií, audit logy zmien,
• pravidelná aktualizácia softvérových závislostí a skenovanie zraniteľností,
• školenie všetkých osôb majúcich prístup k osobným údajom o povinnostiach podľa GDPR a o povinnosti mlčanlivosti.

8. Bezpečnostné incidenty

Sprostredkovateľ sa zaväzuje:

• informovať Prevádzkovateľa o akomkoľvek porušení ochrany osobných údajov, ktoré sa týka jeho údajov, bez zbytočného odkladu po tom, ako sa o ňom dozvedel, najneskôr však do 72 hodín, aby Prevádzkovateľ mohol splniť svoje oznamovacie povinnosti podľa čl. 33 a 34 GDPR,
• oznámenie bude obsahovať aspoň povahu porušenia, kategórie a približný počet dotknutých osôb, kategórie a približný počet záznamov, pravdepodobné dôsledky a opatrenia prijaté alebo navrhované na zmiernenie dôsledkov,
• byť Prevádzkovateľovi nápomocný pri vyšetrovaní incidentu, komunikácii s dozorným orgánom a prípadnom informovaní dotknutých osôb.

9. Súčinnosť pri právach dotknutých osôb

Ak sa dotknutá osoba obráti priamo na Sprostredkovateľa s uplatnením svojich práv podľa čl. 15 až 22 GDPR, Sprostredkovateľ:

• bezodkladne informuje Prevádzkovateľa a postúpi mu žiadosť,
• poskytne Prevádzkovateľovi primeranú technickú a organizačnú súčinnosť potrebnú na splnenie žiadosti (napr. export dát, vymazanie konkrétnych záznamov, obmedzenie spracúvania),
• bez predchádzajúceho pokynu Prevádzkovateľa nevykonáva žiadne úkony súvisiace s žiadosťou dotknutej osoby.

Nástroje na samoobsluhu (export organizácie, mazanie klientov, úpravu kontaktov) sú Prevádzkovateľovi dostupné priamo v rozhraní Služby.

10. Audit a kontrola

Prevádzkovateľ má právo raz ročne (alebo kedykoľvek po závažnom bezpečnostnom incidente) požiadať o preukázanie súladu Sprostredkovateľa s povinnosťami podľa tejto DPA. Sprostredkovateľ splní túto povinnosť prostredníctvom:

• poskytnutia dokumentácie bezpečnostných opatrení a interných politík,
• zverejnených správ a certifikátov sub-processorov (napr. ISO 27001, SOC 2, ISO 27018),
• odpovede na konkrétne otázky Prevádzkovateľa (bezpečnostný dotazník),
• v odôvodnených prípadoch, po predchádzajúcej dohode o termíne a rozsahu, aj vzdialeného auditu (napr. cez videokonferenciu).

Fyzický audit v priestoroch Sprostredkovateľa je možný iba po písomnej dohode a na náklady Prevádzkovateľa.

11. Ukončenie zmluvy a návrat údajov

Po ukončení zmluvy o používaní Služby:

• Prevádzkovateľ má 30 dní na export všetkých údajov zo Služby pomocou dostupných nástrojov (CSV/Excel export, REST API, účtovné exporty),
• po uplynutí tejto lehoty Sprostredkovateľ vymaže alebo anonymizuje osobné údaje vo svojej produkčnej databáze,
• údaje v zálohách sa postupne vymazávajú v súlade s politikou rotácie záloh (najdlhšie 30 dní po mazaní z produkcie),
• výnimku tvoria údaje, ktoré je Sprostredkovateľ povinný uchovať zo zákona (najmä účtovné doklady podľa § 35 zákona č. 431/2002 Z. z. po dobu 10 rokov).

12. Záverečné ustanovenia

• Táto DPA sa riadi právnym poriadkom Slovenskej republiky a ustanoveniami GDPR.
• V prípade rozporu medzi touto DPA a inými ustanoveniami zmluvy majú prednosť ustanovenia tejto DPA, pokiaľ ide o spracúvanie osobných údajov.
• Sprostredkovateľ je oprávnený túto DPA aktualizovať. O podstatných zmenách informuje Prevádzkovateľa najmenej 14 dní vopred e-mailom a aktualizáciou tejto stránky.
• Historické verzie DPA sú archivované a na vyžiadanie dostupné u Sprostredkovateľa.