Spracovateľská zmluva
Príloha Všeobecných obchodných podmienok služby Lovebirds. Uzatvára sa podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR).
Účinné od ⟨dátum spustenia⟩.
Prečo tento dokument existuje
Keď si vytvoríte svadobný web a pozvete naň hostí, zbierate osobné údaje ľudí, ktorí s nami nemajú nič spoločné. Rozhodli ste sa ich pozvať vy. Rozhodli ste sa pýtať sa na alergie vy. Podľa GDPR ste preto prevádzkovateľom týchto údajov a my sme len sprostredkovateľ — nástroj, ktorý ich na váš pokyn uloží a zobrazí.
Táto zmluva hovorí, čo s údajmi vašich hostí smieme a nesmieme robiť. Uzatvárate ju spolu s obchodnými podmienkami, samostatný podpis nie je potrebný.
Zmluvné strany
| Prevádzkovateľ | vy — používateľ, ktorý si vytvoril svadobný web |
| Sprostredkovateľ | MEDIBEARS s. r. o., IČO 56 818 301, sídlo Ulica J. Bendíka 738/6, 971 01 Prievidza, kontakt ahoj@lovebirds.sk |
1. Čoho sa to týka
| Predmet spracovania | prevádzka svadobného webu a zber odpovedí na pozvánku |
| Doba | po dobu trvania zmluvy, najviac však do uplynutia lehôt v článku 7 |
| Povaha a účel | uloženie, zobrazenie, triedenie a export údajov pozvaných hostí, odoslanie pozvánky a pripomienky e-mailom alebo SMS, príprava tlačových podkladov — výlučne na organizáciu vašej svadby |
| Kategórie dotknutých osôb | pozvaní hostia a osoby, ktoré uvedú ako sprievod |
| Kategórie údajov | meno a priezvisko, prípadne e-mail, telefón, odpoveď na pozvánku, počet a mená sprievodu, výber jedla, stravovacie obmedzenia a alergie, záujem o ubytovanie a odvoz, pieseň do playlistu, odkaz pre pár |
| Osobitné kategórie | údaj o alergii alebo stravovacom obmedzení môže vypovedať o zdravotnom stave (čl. 9 GDPR). Pole je preto vždy nepovinné a vypĺňa ho hosť sám. |
2. Čo robíme my
Zaväzujeme sa, že:
- Údaje spracúvame len na váš pokyn a len na účel podľa článku 1. Nepoužijeme ich na vlastný marketing, nepredáme ich a nebudeme ich analyzovať na iné účely. Samotné používanie služby považujeme za váš pokyn.
- Zabezpečíme, aby osoby s prístupom k údajom boli viazané mlčanlivosťou.
- Prijmeme primerané technické a organizačné opatrenia (článok 5).
- Ďalšieho sprostredkovateľa zapojíme len za podmienok v článku 3.
- Pomôžeme vám vybaviť žiadosti hostí o ich práva (článok 6).
- Pomôžeme vám splniť povinnosti pri bezpečnostnom incidente a pri posúdení vplyvu.
- Po skončení údaje zmažeme podľa článku 7.
- Poskytneme vám informácie potrebné na preukázanie súladu a umožníme audit (článok 8).
- Upozorníme vás, ak by váš pokyn podľa nášho názoru porušoval GDPR.
3. Ďalší sprostredkovatelia
Súhlasíte s tým, že na spracovanie zapojíme týchto dodávateľov:
| Dodávateľ | Na čo | Kde |
|---|---|---|
| Vercel Inc. | hosting a beh aplikácie | ⟨EÚ / USA — overiť región⟩ |
| ⟨Supabase⟩ | databáza | ⟨nerozhodnuté⟩ |
| ⟨poskytovateľ e-mailov⟩ | odosielanie e-mailov hosťom | ⟨nerozhodnuté⟩ |
| ⟨SMS brána⟩ | odosielanie SMS pripomienok hosťom (Premium) | ⟨nerozhodnuté⟩ |
Aktuálny zoznam je vždy na ⟨lovebirds.sk/sprostredkovatelia⟩.
Ak budeme chcieť zoznam zmeniť, oznámime vám to aspoň 30 dní vopred. Ak so zmenou nesúhlasíte, môžete v tejto lehote zmluvu vypovedať a vrátime vám alikvotnú časť ceny za nevyužité obdobie.
Každému ďalšiemu sprostredkovateľovi uložíme rovnaké povinnosti, aké máme my. Za jeho pochybenie zodpovedáme, akoby sme sa ho dopustili sami.
Stripe v tomto zozname nie je zámerne — spracúva vaše platobné údaje ako samostatný prevádzkovateľ a k údajom vašich hostí sa nedostane.
4. Prenos mimo EÚ
Ak sa údaje dostanú mimo Európskeho hospodárskeho priestoru, zabezpečíme to štandardnými zmluvnými doložkami Európskej komisie alebo iným nástrojom podľa kapitoly V GDPR.
5. Bezpečnosť
Prijali sme najmä tieto opatrenia:
- šifrovaný prenos (HTTPS) medzi hosťom, vami a našimi servermi
- šifrované úložisko údajov
- osobné odkazy pre hostí obsahujú neuhádnuteľný kód, takže hosť nevidí odpovede iných hostí
- prístup k údajom je obmedzený na okruh ľudí, ktorí ho potrebujú
- pravidelné zálohovanie
- automatické mazanie údajov hostí po uplynutí lehoty podľa článku 7
Opatrenia môžeme meniť, ale nikdy nie tak, aby sa úroveň ochrany znížila.
6. Práva hostí
Ak sa hosť obráti so žiadosťou priamo na nás, nevybavíme ju sami — nie sme prevádzkovateľ. Bez zbytočného odkladu vám ju odovzdáme a pomôžeme vám ju vybaviť.
Aplikácia vám na to dáva nástroje: prehľad všetkých údajov hosťa, ich opravu, zmazanie jednotlivého hosťa a export celého zoznamu.
Ak by ste na žiadosť hosťa nereagovali a išlo by o zjavné porušenie jeho práv, môžeme ho na jeho žiadosť informovať o tom, kto je prevádzkovateľom, aby sa mohol domôcť svojich práv. To nie je porušenie našej mlčanlivosti.
7. Mazanie údajov
Údaje hostí mažeme automaticky 90 dní po dátume svadby uvedenom vo vašom webe. Platí to vo všetkých balíkoch rovnako a nedá sa to predĺžiť. Ak dátum svadby zmeníte, lehota sa prepočíta.
Po skončení spracúvania si vyberiete, čo s údajmi — či vám ich máme vrátiť v strojovo čitateľnej podobe, alebo ich rovno zmazať. Ak si nevyberiete, zmažeme ich; pred zmazaním vám vždy ponúkneme export. Zmazanie je nezvratné a nemáme povinnosť dáta obnoviť.
Údaje zmažeme aj skôr, ak o to požiadate alebo ak zmluva skončí. Ponechať si ich smieme len vtedy, ak nám to ukladá právo EÚ alebo Slovenskej republiky.
Zálohy sa prepisujú v cykle a údaje z nich zaniknú najneskôr do ⟨30⟩ dní od zmazania.
8. Audit a preukázanie súladu
Na vašu písomnú žiadosť vám poskytneme informácie potrebné na preukázanie plnenia tejto zmluvy. Ak to nestačí, umožníme audit alebo inšpekciu, ktorú vykonáte vy alebo vami poverený audítor.
Pri bežnom overovaní sa dohodneme na termíne aspoň 30 dní vopred, spravidla raz ročne a na vaše náklady. Toto obmedzenie neplatí, ak došlo k bezpečnostnému incidentu, ak audit nariadi dozorný orgán, alebo ak máte odôvodnené podozrenie, že zmluvu porušujeme. Ak audit porušenie potvrdí, náklady znášame my.
9. Bezpečnostný incident
Ak dôjde k porušeniu ochrany osobných údajov, oznámime vám to bez zbytočného odkladu, najneskôr do 48 hodín od zistenia. V oznámení uvedieme, čo sa stalo, ktorých hostí sa to týka, aké to môže mať následky a čo s tým robíme.
Oznámenie Úradu na ochranu osobných údajov a informovanie hostí je vašou povinnosťou ako prevádzkovateľa — poskytneme vám na to všetku potrebnú súčinnosť.
10. Zodpovednosť
Zodpovednosť sa riadi čl. 82 GDPR a Všeobecnými obchodnými podmienkami. Obmedzenie zodpovednosti vo VOP sa nevzťahuje na škodu spôsobenú porušením tejto zmluvy.
11. Trvanie
Zmluva trvá, kým trvá hlavná zmluva a kým spracúvame údaje vašich hostí. Články o mlčanlivosti a o mazaní platia aj po jej skončení.