Zmluva o spracúvaní osobných údajov
Verzia 1.2 · účinná od 7. októbra 2026
Táto Zmluva o spracúvaní osobných údajov (ďalej len „Zmluva“ alebo „DPA“) tvorí neoddeliteľnú súčasť Podmienok používania služby FakturujOnline.sk a upravuje spracúvanie osobných údajov podľa článku 28 Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (ďalej len „GDPR“).
Zmluva sa uplatňuje v prípadoch, keď spoločnosť Pledge media s.r.o. pri poskytovaní služby FakturujOnline.sk spracúva osobné údaje v mene zákazníka.
1. Zmluvné strany a ich postavenie
Prevádzkovateľom na účely tejto Zmluvy je fyzická alebo právnická osoba, ktorá používa FakturujOnline.sk a ktorá určuje účely a prostriedky spracúvania osobných údajov vložených alebo prenášaných prostredníctvom služby (ďalej len „Prevádzkovateľ“ alebo „Zákazník“).
Sprostredkovateľom je:
Pledge media s.r.o.
Úžiny 7467/1
831 06 Bratislava
IČO: 53 866 002
zapísaná v obchodnom registri, oddiel Sro, vložka č. 153594/B
e-mail: [email protected]
Postavenie Prevádzkovateľa a Sprostredkovateľa podľa tejto Zmluvy sa týka iba osobných údajov, ktoré Pledge media s.r.o. spracúva v mene Zákazníka.
Na spracúvanie osobných údajov, pri ktorom Pledge media s.r.o. sama určuje účely a prostriedky spracúvania a vystupuje ako samostatný prevádzkovateľ, sa táto Zmluva nevzťahuje. Takéto spracúvanie upravujú Zásady ochrany osobných údajov FakturujOnline.sk.
Ide najmä o spracúvanie údajov súvisiacich so správou používateľského účtu, vlastnou fakturáciou Pledge media s.r.o., zákazníckou podporou, bezpečnosťou služby, prevenciou podvodov a zneužitia, analytikou webovej stránky, marketingovou komunikáciou a plnením vlastných zákonných povinností.
2. Predmet a trvanie spracúvania
Predmetom tejto Zmluvy je spracúvanie osobných údajov, ktoré Prevádzkovateľ vloží, uloží, vytvorí, importuje, odošle alebo iným spôsobom sprístupní prostredníctvom FakturujOnline.sk a ktoré Sprostredkovateľ spracúva v jeho mene na účely poskytovania objednanej služby.
Spracúvanie trvá počas obdobia, počas ktorého Sprostredkovateľ poskytuje Prevádzkovateľovi službu alebo inak spracúva osobné údaje v jeho mene, a následne počas obdobia potrebného na ich vrátenie, vymazanie alebo splnenie príslušných zákonných, regulačných alebo zmluvných povinností.
Ak sa niektoré údaje po skončení spracúvania v mene Prevádzkovateľa ďalej uchovávajú na základe vlastnej zákonnej povinnosti Sprostredkovateľa alebo na inom samostatnom právnom základe, Pledge media s.r.o. môže pri takomto ďalšom spracúvaní vystupovať ako samostatný prevádzkovateľ. Takéto údaje sa nesmú ďalej používať na pôvodné účely Prevádzkovateľa, ak na to neexistuje samostatný právny dôvod.
3. Povaha a účel spracúvania
Sprostredkovateľ spracúva osobné údaje výlučne v rozsahu potrebnom na poskytovanie a zabezpečenie funkcionalít FakturujOnline.sk a na plnenie zdokumentovaných pokynov Prevádzkovateľa.
Spracúvanie môže zahŕňať najmä prijatie, zaznamenanie, usporiadanie, uloženie, zmenu, vyhľadávanie, prehliadanie, používanie, sprístupnenie oprávneným osobám, prenos na pokyn Prevádzkovateľa, vytváranie technických záloh, export, obmedzenie, archiváciu a vymazanie osobných údajov.
Účelom spracúvania je najmä umožnenie vytvárania, správy, uchovávania a odosielania faktúr a ďalších obchodných, účtovných alebo daňových dokumentov, vedenie kontaktov a obchodných partnerov, elektronické doručovanie dokumentov, poskytovanie súvisiacich funkcií služby a zabezpečenie jej bezpečnej prevádzky.
Ak si Zákazník aktivuje službu Peppol, účel spracúvania zahŕňa aj registráciu a prevádzku doručovacej služby elektronických faktúr, technický prenos dokumentov, evidenciu ich odoslania a doručenia a ďalšie spracovateľské operácie potrebné na poskytovanie Peppol služby.
Faktúra bez registrácie
FakturujOnline.sk umožňuje vytvoriť faktúru alebo iný podporovaný dokument aj bez vytvorenia používateľského účtu.
Ak používateľ prostredníctvom tejto funkcie spracúva osobné údaje tretích osôb, údaje zadané do formulára sú technicky spracované iba v rozsahu potrebnom na vytvorenie požadovaného dokumentu.
Obsah faktúry alebo iného dokumentu vytvoreného bez registrácie ani osobné údaje zadané do takéhoto formulára Sprostredkovateľ po vytvorení dokumentu neukladá do používateľského účtu ani ich neuchováva v databáze FakturujOnline.sk.
Tým nie je dotknuté spracúvanie bežných technických alebo bezpečnostných údajov vznikajúcich pri používaní webovej aplikácie, napríklad IP adresy, času požiadavky alebo bezpečnostného záznamu. Takéto technické záznamy nie sú určené na uchovávanie obsahu vytvorenej faktúry.
V rozsahu, v akom pri použití funkcie bez registrácie dochádza k spracúvaniu osobných údajov v mene používateľa a na príslušný vzťah sa uplatňujú Podmienky používania služby a táto Zmluva, uplatňuje sa táto Zmluva iba počas obdobia a v rozsahu príslušného technického spracúvania.
4. Kategórie dotknutých osôb a osobných údajov
Dotknutými osobami môžu byť podľa spôsobu používania služby najmä:
- zákazníci a odberatelia Prevádzkovateľa,
- dodávatelia a obchodní partneri Prevádzkovateľa,
- fyzické osoby – podnikatelia,
- zamestnanci a spolupracovníci Prevádzkovateľa,
- konatelia, zástupcovia a kontaktné osoby obchodných partnerov,
- príjemcovia a odosielatelia faktúr a ďalších dokumentov,
- iné fyzické osoby, ktorých údaje Prevádzkovateľ vloží do služby.
Spracúvané môžu byť najmä tieto kategórie osobných údajov:
- meno a priezvisko,
- obchodné meno fyzickej osoby – podnikateľa,
- adresa, sídlo alebo miesto podnikania,
- e-mailová adresa a telefónne číslo,
- IČO, DIČ, IČ DPH a ďalšie identifikačné údaje, ak sú osobnými údajmi,
- bankové spojenie, IBAN a SWIFT,
- PayPal e-mail alebo iný údaj súvisiaci so spôsobom úhrady, ak ho Prevádzkovateľ uvedie,
- fakturačné, daňové a transakčné údaje,
- čísla dokladov, platobné symboly, dátumy a údaje o platbách,
- údaje obsiahnuté vo faktúrach a ďalších dokumentoch,
- názvy alebo popisy fakturovaných položiek, poznámky a ďalší obsah voľných textových polí,
- údaje o obchodných vzťahoch a platbách,
- technické údaje súvisiace s vytvorením, uložením alebo odoslaním dokumentu,
- identifikácia používateľa, ktorý vykonal konkrétnu operáciu,
- ďalšie osobné údaje, ktoré Prevádzkovateľ vloží do služby.
Služba nie je určená na systematické spracúvanie osobitných kategórií osobných údajov podľa čl. 9 GDPR ani osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky podľa čl. 10 GDPR.
Prevádzkovateľ sa zaväzuje nevkladať takéto údaje do služby, ak to nie je nevyhnutné na jeho zákonný účel spracúvania. Ak Prevádzkovateľ takéto údaje prostredníctvom služby spracúva, zodpovedá za existenciu príslušného právneho základu, splnenie osobitných podmienok spracúvania a primeranosť zvoleného spôsobu spracúvania.
5. Pokyny Prevádzkovateľa
Sprostredkovateľ spracúva osobné údaje iba na základe zdokumentovaných pokynov Prevádzkovateľa, a to aj pokiaľ ide o prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii, pokiaľ takéto spracúvanie alebo prenos nevyžaduje právo Európskej únie alebo Slovenskej republiky, ktorému Sprostredkovateľ podlieha.
Za zdokumentované pokyny sa považujú najmä táto Zmluva, Podmienky používania služby, nastavenia a úkony vykonané Prevádzkovateľom alebo jeho oprávnenými používateľmi v aplikácii a preukázateľná komunikácia medzi Prevádzkovateľom a Sprostredkovateľom.
Pokynom môže byť najmä vytvorenie, uloženie, zmena, import, export, odoslanie alebo odstránenie dokumentu alebo kontaktu, odoslanie elektronického dokumentu konkrétnemu príjemcovi alebo aktivácia konkrétnej funkcie služby.
Ak právny predpis vyžaduje spracúvanie osobných údajov nad rámec pokynov Prevádzkovateľa, Sprostredkovateľ ho o tejto požiadavke pred spracúvaním informuje, pokiaľ mu takéto informovanie príslušný právny predpis nezakazuje z dôležitých dôvodov verejného záujmu.
Ak sa Sprostredkovateľ domnieva, že pokyn Prevádzkovateľa porušuje GDPR alebo iný právny predpis Európskej únie alebo členského štátu týkajúci sa ochrany osobných údajov, bez zbytočného odkladu o tom Prevádzkovateľa informuje.
6. Povinnosti Prevádzkovateľa
Prevádzkovateľ zodpovedá najmä za:
- zákonnosť spracúvania osobných údajov, ktoré spracúva prostredníctvom FakturujOnline.sk,
- existenciu vhodného právneho základu spracúvania,
- splnenie informačných povinností voči dotknutým osobám,
- správnosť a primeranosť svojich pokynov,
- rozsah, správnosť a primeranosť osobných údajov vložených do služby,
- dodržiavanie zásady minimalizácie osobných údajov,
- určenie primeranej doby uchovávania údajov, ktoré spracúva prostredníctvom služby, ak ju neurčuje právny predpis alebo povaha konkrétnej funkcie,
- oprávnenosť osôb, ktorým umožnil používať svoj účet alebo pristupovať k údajom,
- primeranú ochranu vlastných prihlasovacích údajov, hesiel, API kľúčov a ďalších autentifikačných prostriedkov,
- vybavovanie práv dotknutých osôb, pričom Sprostredkovateľ mu poskytne súčinnosť podľa tejto Zmluvy.
7. Dôvernosť a oprávnené osoby
Sprostredkovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli viazané primeranou povinnosťou mlčanlivosti alebo sa na ne vzťahovala príslušná zákonná povinnosť mlčanlivosti.
Prístup k osobným údajom bude umožnený iba osobám, ktoré ho potrebujú na plnenie pracovných, zmluvných, technických alebo bezpečnostných úloh súvisiacich s poskytovaním služby.
Sprostredkovateľ prijme primerané opatrenia na zabezpečenie toho, aby oprávnené osoby spracúvali osobné údaje iba v rozsahu svojho oprávnenia a príslušných zdokumentovaných pokynov.
8. Bezpečnosť spracúvania
Sprostredkovateľ prijíma a udržiava primerané technické a organizačné opatrenia podľa čl. 32 GDPR s prihliadnutím na stav techniky, náklady na vykonanie opatrení, povahu, rozsah, kontext a účely spracúvania a pravdepodobnosť a závažnosť rizík pre práva a slobody fyzických osôb.
Opatrenia sú zamerané najmä na zabezpečenie primeranej úrovne dôvernosti, integrity, dostupnosti a odolnosti systémov a služieb, ochranu pred neoprávneným prístupom, stratou, zničením, neoprávneným zverejnením alebo zmenou údajov, primerané riadenie prístupových oprávnení, ochranu technickej infraštruktúry, obnoviteľnosť údajov a riešenie bezpečnostných incidentov.
Sprostredkovateľ primeranosť prijatých opatrení priebežne vyhodnocuje a podľa potreby ich aktualizuje.
Základný rámec technických a organizačných opatrení používaných pri poskytovaní FakturujOnline.sk je uvedený v Prílohe č. 1 tejto Zmluvy.
Technické a organizačné opatrenia sa môžu v priebehu poskytovania služby meniť v dôsledku technologického vývoja alebo zmeny bezpečnostných rizík. Zmena nesmie viesť k zníženiu celkovej úrovne ochrany osobných údajov pod úroveň primeranú príslušnému riziku.
9. Ďalší sprostredkovatelia
Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov potrebných na poskytovanie FakturujOnline.sk.
Aktuálny zoznam ďalších sprostredkovateľov, informácie o účele ich zapojenia, rozsahu poskytovanej služby a prípadných osobitných podmienkach ich použitia sú zverejnené na stránke:
https://www.fakturujonline.sk/sub-sprostredkovatelia/
Akceptáciou tejto Zmluvy Prevádzkovateľ schvaľuje zapojenie ďalších sprostredkovateľov uvedených v aktuálnom zozname ku dňu akceptácie tejto Zmluvy.
Uvedenie ďalšieho sprostredkovateľa v tomto zozname neznamená, že spracúva osobné údaje každého zákazníka FakturujOnline.sk. Zapojenie konkrétneho poskytovateľa závisí od používaných funkcií, technickej konfigurácie služby a služieb aktivovaných konkrétnym Prevádzkovateľom.
Sprostredkovateľ zapojí iba takého ďalšieho sprostredkovateľa, ktorý poskytuje dostatočné záruky zavedenia primeraných technických a organizačných opatrení tak, aby spracúvanie spĺňalo požiadavky GDPR.
Sprostredkovateľ zabezpečí, aby boli ďalšiemu sprostredkovateľovi zmluvne uložené povinnosti ochrany osobných údajov zodpovedajúce povinnostiam vyplývajúcim z tejto Zmluvy a čl. 28 GDPR v rozsahu spracúvania, ktoré ďalší sprostredkovateľ vykonáva.
Sprostredkovateľ zostáva voči Prevádzkovateľovi zodpovedný za plnenie povinností ďalšieho sprostredkovateľa v rozsahu stanovenom GDPR.
O plánovanom pridaní alebo nahradení ďalšieho sprostredkovateľa bude Sprostredkovateľ Prevádzkovateľa informovať najmenej 30 dní pred plánovanou účinnosťou zmeny, najmä prostredníctvom e-mailu zaslaného na adresu priradenú k používateľskému účtu, oznámenia v aplikácii alebo iným preukázateľným spôsobom.
Predchádzajúca lehota sa nemusí uplatniť v plnom rozsahu, ak skoršie zapojenie ďalšieho sprostredkovateľa vyžaduje právny predpis, záväzná požiadavka orgánu verejnej moci, naliehavá bezpečnostná potreba alebo iná okolnosť, pri ktorej by odklad mohol ohroziť bezpečnosť, dostupnosť alebo zákonnosť poskytovania služby. V takom prípade bude Prevádzkovateľ informovaný bez zbytočného odkladu.
Prevádzkovateľ môže proti plánovanému zapojeniu alebo nahradeniu ďalšieho sprostredkovateľa v uvedenej lehote vzniesť odôvodnenú námietku týkajúcu sa ochrany osobných údajov, a to na e-mailovej adrese [email protected].
Sprostredkovateľ a Prevádzkovateľ sa v takom prípade pokúsia nájsť primerané riešenie. Ak nie je možné námietku vyriešiť bez neprimeraných nákladov, technického zásahu alebo narušenia poskytovania služby, Prevádzkovateľ môže pred nadobudnutím účinnosti zmeny ukončiť používanie dotknutej časti služby. Ak dotknutú časť služby nie je možné technicky alebo zmluvne oddeliť od ostatných služieb, Prevádzkovateľ môže ukončiť príslušný zmluvný vzťah v rozsahu potrebnom na zabránenie spracúvaniu osobných údajov prostredníctvom namietaného ďalšieho sprostredkovateľa.
10. Osobitné ustanovenia pre Peppol
Ak Prevádzkovateľ aktivuje doručovaciu službu Peppol, pri osobných údajoch obsiahnutých v dokumentoch alebo inak spracúvaných v mene Prevádzkovateľa môže byť reťazec spracúvania nasledovný:
- Prevádzkovateľ je prevádzkovateľom osobných údajov,
- Pledge media s.r.o. je sprostredkovateľom,
- Verteco digital services, s. r. o. je ďalším sprostredkovateľom podľa čl. 28 ods. 4 GDPR.
Doručovacia služba Peppol je technicky zabezpečovaná certifikovaným poskytovateľom doručovacej služby Verteco digital services, s. r. o., Daniela Dlabača 21, 010 01 Žilina, IČO: 53 412 834 (PA SK ID EFSK000031), ktorý za ňu zodpovedá voči Finančnej správe SR. Spoločnosť Pledge media s. r. o. nie je samostatne certifikovaným poskytovateľom doručovacej služby ani členom siete OpenPeppol.
Verteco digital services, s. r. o. je ako ďalší sprostredkovateľ zapojená iba pri zákazníkoch, ktorí majú službu Peppol aktivovanú.
V rámci Peppol služby môžu byť spracúvané najmä údaje odosielateľa a príjemcu dokumentu, obsah elektronických dokumentov, identifikátory účastníkov a dokumentov, údaje o prenose a doručení, doručenky, metadáta, auditné a bezpečnostné záznamy a ďalšie údaje potrebné na zabezpečenie služby.
Prevádzkovateľ berie na vedomie, že v rozsahu potrebnom na doručenie dokumentu môžu byť osobné údaje prenášané prostredníctvom siete Peppol, poskytovateľa doručovacej služby na strane príjemcu, samotného príjemcu dokumentu alebo ďalších technických subjektov nevyhnutne zapojených do doručenia dokumentu.
Pri osobných údajoch obsiahnutých v prenášaných dokumentoch vystupuje Verteco digital services, s. r. o. ako ďalší sprostredkovateľ. Pri spracúvaní údajov na vlastné zákonné alebo oprávnené účely, najmä na plnenie vlastných regulačných povinností, vedenie bezpečnostných záznamov, vlastnú fakturáciu a účtovníctvo alebo uplatňovanie a obhajobu právnych nárokov, môže vystupovať ako samostatný prevádzkovateľ v rozsahu vyplývajúcom z príslušných právnych predpisov a zmluvného rámca Peppol služby.
Aktiváciou Peppol služby Prevádzkovateľ zároveň dáva Sprostredkovateľovi pokyn viesť v rozsahu potrebnom na poskytovanie a preukázanie Peppol služby záznamy umožňujúce spätne určiť zákazníka alebo používateľa, ktorý vytvoril alebo odoslal konkrétny dokument, a uchovávať tieto záznamy počas trvania príslušného zmluvného vzťahu a najmenej päť rokov po jeho skončení, ak právny predpis, záväzná regulačná požiadavka alebo iný právny dôvod nevyžaduje inú dobu.
Takéto záznamy môžu zahŕňať najmä identifikáciu účtu, používateľa a spoločnosti, dátum a čas operácie, identifikátor dokumentu, technické údaje o odoslaní, IP adresu, údaje o stave doručenia a bezpečnostné záznamy.
Ak je Sprostredkovateľ povinný niektoré z týchto údajov po skončení spracúvania v mene Prevádzkovateľa ďalej uchovávať na základe vlastnej zákonnej povinnosti alebo ich spracúva na samostatnom právnom základe na ochranu právnych nárokov, môže pri takomto ďalšom spracúvaní vystupovať ako samostatný prevádzkovateľ.
11. Súčinnosť pri právach dotknutých osôb
Sprostredkovateľ s prihliadnutím na povahu spracúvania poskytne Prevádzkovateľovi prostredníctvom vhodných technických a organizačných opatrení primeranú súčinnosť potrebnú na vybavenie žiadostí dotknutých osôb podľa kapitoly III GDPR.
Táto súčinnosť môže podľa okolností zahŕňať najmä vyhľadanie, sprístupnenie, opravu, export, obmedzenie alebo odstránenie údajov, ak to príslušná funkcionalita služby a právne predpisy umožňujú.
Ak Sprostredkovateľ dostane žiadosť dotknutej osoby týkajúcu sa osobných údajov, ktoré spracúva výlučne v mene Prevádzkovateľa, žiadosť bez zbytočného odkladu postúpi Prevádzkovateľovi alebo dotknutú osobu odkáže na Prevádzkovateľa, ak právny predpis nevyžaduje iný postup.
Sprostredkovateľ nebude o takejto žiadosti samostatne rozhodovať, pokiaľ na to nemá pokyn Prevádzkovateľa alebo zákonnú povinnosť.
12. Súčinnosť podľa článkov 32 až 36 GDPR
Sprostredkovateľ poskytne Prevádzkovateľovi s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii, primeranú súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR, najmä pri:
- zabezpečení osobných údajov,
- posudzovaní porušenia ochrany osobných údajov,
- oznamovaní porušenia dozornému orgánu alebo dotknutým osobám, ak sú splnené zákonné podmienky,
- posúdení vplyvu na ochranu osobných údajov (DPIA),
- predchádzajúcej konzultácii s dozorným orgánom.
Prevádzkovateľ zostáva zodpovedný za posúdenie, či mu v konkrétnom prípade vzniká povinnosť vykonať DPIA, oznámiť porušenie ochrany osobných údajov alebo splniť inú povinnosť prevádzkovateľa podľa GDPR.
13. Porušenie ochrany osobných údajov
Ak Sprostredkovateľ zistí porušenie ochrany osobných údajov týkajúce sa údajov spracúvaných v mene Prevádzkovateľa, oznámi mu túto skutočnosť bez zbytočného odkladu po tom, ako sa o porušení dozvie.
Oznámenie bude v rozsahu informácií dostupných Sprostredkovateľovi obsahovať najmä:
- opis povahy porušenia ochrany osobných údajov,
- ak je to možné, kategórie a približný počet dotknutých osôb a osobných údajov,
- známe alebo predpokladané následky incidentu,
- opatrenia prijaté alebo navrhované na odstránenie incidentu alebo zmiernenie jeho následkov,
- ďalšie informácie, ktoré má Sprostredkovateľ k dispozícii a ktoré Prevádzkovateľ primerane potrebuje na splnenie svojich povinností podľa GDPR.
Ak nie je možné všetky informácie poskytnúť súčasne, môžu byť poskytované postupne bez ďalšieho zbytočného odkladu.
Oznámenie porušenia Prevádzkovateľovi samo osebe neznamená uznanie zodpovednosti Sprostredkovateľa za vznik príslušného incidentu.
14. Prenosy osobných údajov mimo EHP
Sprostredkovateľ nebude prenášať osobné údaje spracúvané v mene Prevádzkovateľa do tretej krajiny alebo medzinárodnej organizácii bez zdokumentovaného pokynu Prevádzkovateľa alebo bez splnenia podmienok kapitoly V GDPR, pokiaľ takýto prenos nevyžaduje právo Európskej únie alebo Slovenskej republiky.
Ak je pri poskytovaní služby zapojený ďalší sprostredkovateľ alebo technická infraštruktúra, ktorá môže zahŕňať prenos osobných údajov mimo Európskeho hospodárskeho priestoru, Sprostredkovateľ zabezpečí, aby bol prenos založený na mechanizme prípustnom podľa GDPR, napríklad na rozhodnutí Európskej komisie o primeranosti, štandardných zmluvných doložkách alebo inom príslušnom mechanizme, a podľa potreby prijme alebo zabezpečí primerané doplňujúce ochranné opatrenia.
Informácie o mieste spracúvania pri jednotlivých ďalších sprostredkovateľoch sú uvedené v aktuálnom Zozname sub-sprostredkovateľov.
15. Informácie, kontrola a audit
Sprostredkovateľ poskytne Prevádzkovateľovi všetky informácie primerane potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR.
Prevádzkovateľ môže po primeranom predchádzajúcom oznámení vykonať kontrolu plnenia povinností podľa tejto Zmluvy alebo jej vykonaním poveriť nezávislého audítora viazaného povinnosťou mlčanlivosti.
Bežná kontrola sa môže vykonať najviac raz za 12 mesiacov, pokiaľ závažný bezpečnostný incident, dôvodné podozrenie na porušenie GDPR, zmena s významným vplyvom na spracúvanie, požiadavka dozorného orgánu alebo iná zákonná okolnosť neodôvodňujú ďalšiu kontrolu.
Kontrola musí byť vykonaná spôsobom, ktorý neprimerane nenaruší prevádzku FakturujOnline.sk, neohrozí bezpečnosť služby ani dôvernosť údajov iných zákazníkov a neumožní prístup k osobným údajom alebo obchodným tajomstvám iných osôb.
Ak možno splnenie požiadavky Prevádzkovateľa primerane preukázať existujúcou dokumentáciou, bezpečnostným prehľadom, zmluvnou dokumentáciou, vyhlásením ďalšieho sprostredkovateľa alebo iným primeraným dôkazom, môžu strany prednostne využiť takýto spôsob overenia pred fyzickou alebo technickou kontrolou systémov.
Ustanoveniami tohto článku nie sú dotknuté kontrolné a vyšetrovacie právomoci príslušného dozorného orgánu ani povinnosť Sprostredkovateľa spolupracovať s dozorným orgánom podľa GDPR.
16. Vrátenie a vymazanie osobných údajov
Po skončení poskytovania služieb súvisiacich so spracúvaním osobných údajov Sprostredkovateľ podľa voľby Prevádzkovateľa osobné údaje vymaže alebo mu ich v primeranom a technicky dostupnom rozsahu vráti a existujúce kópie vymaže, pokiaľ právo Európskej únie alebo Slovenskej republiky nevyžaduje ich ďalšie uchovávanie.
Prevádzkovateľ môže pred skončením služby využiť funkcie exportu dostupné v aplikácii alebo požiadať Sprostredkovateľa o primeranú súčinnosť pri exporte údajov, ak takáto funkcionalita nie je dostupná priamo v aplikácii.
Ak Prevádzkovateľ do skončenia služby nepožiada o vrátenie údajov a nie je dohodnuté inak, Sprostredkovateľ je oprávnený po skončení služby pristúpiť k ich vymazaniu v súlade s procesmi a retenčnými pravidlami FakturujOnline.sk.
Údaje, ktoré po odstránení z aktívneho systému zostávajú dočasne obsiahnuté v technických zálohách, budú odstránené v rámci ich pravidelného životného cyklu. Do ich odstránenia budú primerane chránené a nebudú používané na bežné spracúvanie, okrem prípadov obnovy systému, riešenia bezpečnostného incidentu alebo iného nevyhnutného technického účelu.
Povinnosť vymazania sa nevzťahuje na osobné údaje a záznamy, ktoré musí Sprostredkovateľ uchovávať na základe práva Európskej únie alebo Slovenskej republiky. Ak Pledge media s.r.o. údaje po skončení spracúvania v mene Prevádzkovateľa ďalej spracúva na inom samostatnom právnom základe, bude ich spracúvať iba na príslušný účel a počas nevyhnutného obdobia.
Tým nie je dotknutá osobitná úprava záznamov súvisiacich s Peppol službou podľa článku 10 tejto Zmluvy.
17. Zodpovednosť
Zodpovednosť zmluvných strán za porušenie povinností pri ochrane osobných údajov sa riadi GDPR, príslušnými právnymi predpismi, touto Zmluvou a Podmienkami používania služby.
Prevádzkovateľ zodpovedá za zákonnosť svojich pokynov, právny základ spracúvania, plnenie povinností prevádzkovateľa voči dotknutým osobám a za osobné údaje, ktoré prostredníctvom služby spracúva.
Sprostredkovateľ zodpovedá za plnenie povinností, ktoré mu ako sprostredkovateľovi priamo ukladajú GDPR, príslušné právne predpisy a táto Zmluva.
Ustanovenia tejto Zmluvy nemožno vykladať tak, že by vylučovali alebo obmedzovali zodpovednosť ktorejkoľvek zo strán v rozsahu, v akom takúto zodpovednosť nemožno podľa GDPR alebo iných kogentných právnych predpisov zmluvne vylúčiť alebo obmedziť.
18. Trvanie a ukončenie Zmluvy
Táto Zmluva vzniká okamihom, keď Zákazník akceptuje Podmienky používania služby FakturujOnline.sk, ktorých je táto Zmluva neoddeliteľnou súčasťou, a Pledge media s.r.o. začne spracúvať osobné údaje v mene Zákazníka.
Samostatný vlastnoručný alebo kvalifikovaný elektronický podpis tejto Zmluvy sa nevyžaduje, ak bola Zmluva platne prijatá ako súčasť elektronicky uzatvoreného zmluvného vzťahu.
Sprostredkovateľ je oprávnený uchovávať primeraný elektronický záznam o akceptácii Podmienok a tejto Zmluvy, najmä identifikáciu účtu, dátum a čas akceptácie a verziu dokumentov platnú v čase akceptácie.
Zmluva zostáva účinná počas celého obdobia, počas ktorého Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa.
Ukončením používateľského účtu alebo Podmienok používania služby nie sú dotknuté ustanovenia tejto Zmluvy, ktoré sa vzhľadom na svoju povahu uplatňujú aj po skončení zmluvného vzťahu, najmä ustanovenia o dôvernosti, uchovávaní a vymazaní údajov, audite, zodpovednosti a ochrane právnych nárokov.
19. Zmeny tejto Zmluvy
Táto Zmluva môže byť aktualizovaná najmä z dôvodu zmeny právnych predpisov, rozhodnutí alebo usmernení dozorných orgánov, zmien funkcionality FakturujOnline.sk, bezpečnostných požiadaviek, zmien technických poskytovateľov alebo zmeny spôsobu spracúvania osobných údajov.
O podstatnej zmene tejto Zmluvy bude Prevádzkovateľ informovaný e-mailom, prostredníctvom aplikácie alebo iným primeraným a preukázateľným spôsobom.
Ak zmena podstatne mení predmet, povahu alebo účel spracúvania osobných údajov v mene Prevádzkovateľa, bude sa voči Prevádzkovateľovi uplatňovať iba spôsobom, ktorý je v súlade s príslušným zmluvným rámcom a platnými právnymi predpismi.
Zmeny týkajúce sa pridania alebo nahradenia ďalšieho sprostredkovateľa sa riadia osobitným postupom podľa článku 9 tejto Zmluvy.
Zmena tejto Zmluvy nemôže obmedziť povinnosti Sprostredkovateľa, ktoré mu priamo vyplývajú z GDPR alebo iných kogentných právnych predpisov.
20. Záverečné ustanovenia
Táto Zmluva sa spravuje právnym poriadkom Slovenskej republiky a priamo uplatniteľnými právnymi predpismi Európskej únie, najmä GDPR.
Ak je niektoré ustanovenie tejto Zmluvy neplatné, nevymáhateľné alebo v rozpore s kogentným ustanovením GDPR alebo iného platného právneho predpisu, nemá táto skutočnosť vplyv na platnosť ostatných ustanovení. Namiesto dotknutého ustanovenia sa použije príslušné zákonné pravidlo alebo ustanovenie, ktoré sa svojím účelom najviac približuje pôvodnému zámeru a je v súlade s právnymi predpismi.
Vo veciach spracúvania osobných údajov v mene Prevádzkovateľa má táto Zmluva prednosť pred všeobecnými ustanoveniami Podmienok používania služby, ak medzi nimi vznikne rozpor.
Aktuálny zoznam ďalších sprostredkovateľov tvorí súčasť zmluvného rámca podľa tejto Zmluvy.
Otázky týkajúce sa tejto Zmluvy alebo spracúvania osobných údajov môžete zaslať na [email protected].
Príloha č. 1 – Technické a organizačné opatrenia
Pledge media s.r.o. prijíma a udržiava technické a organizačné opatrenia primerané povahe, rozsahu, kontextu a účelom spracúvania a rizikám pre práva a slobody fyzických osôb.
Konkrétne opatrenia sa môžu líšiť podľa časti služby, typu spracúvania a aktuálneho technologického riešenia. Bezpečnostný rámec FakturujOnline.sk zahŕňa podľa relevantnosti najmä nasledujúce opatrenia:
1. Ochrana komunikácie
- používanie šifrovanej komunikácie prostredníctvom HTTPS/TLS pri prenose údajov medzi zariadením používateľa a službou,
- ochrana sieťovej komunikácie a verejne dostupných služieb primeranými sieťovými a bezpečnostnými mechanizmami,
- využívanie technickej infraštruktúry a bezpečnostných služieb určených na ochranu pred neoprávneným prístupom, útokmi a zneužitím.
2. Riadenie prístupov
- obmedzenie prístupu k osobným údajom na osoby, ktoré prístup potrebujú na plnenie svojich pracovných, zmluvných, technických alebo bezpečnostných úloh,
- používanie individuálnych používateľských účtov a autentifikačných mechanizmov tam, kde je to vzhľadom na povahu systému primerané,
- priebežné odoberanie alebo úprava prístupových oprávnení, ak zanikne dôvod na ich používanie,
- primeraná ochrana administrátorských a privilegovaných prístupov.
3. Ochrana používateľských účtov a aplikácie
- technické mechanizmy na ochranu používateľských účtov a formulárov,
- opatrenia proti automatizovaným útokom, spamu a zneužívaniu služby,
- bezpečnostné mechanizmy na ochranu relácií a požiadaviek používateľov,
- primeraná ochrana prihlasovacích a autentifikačných údajov.
4. Serverová a sieťová bezpečnosť
- prevádzka služby na serverovej infraštruktúre poskytovateľa uvedeného v aktuálnom zozname ďalších sprostredkovateľov,
- využívanie sieťových a bezpečnostných služieb na filtrovanie škodlivej alebo podozrivej prevádzky,
- priebežná údržba používaného softvéru a technickej infraštruktúry v rozsahu primeranom riziku,
- opatrenia na ochranu pred neoprávneným prístupom k serverovej infraštruktúre a dátam.
5. Logovanie a detekcia incidentov
- vedenie technických, bezpečnostných alebo auditných záznamov v rozsahu potrebnom na zabezpečenie služby, diagnostiku problémov, prevenciu zneužitia a preukázanie relevantných operácií,
- monitorovanie bezpečnostných udalostí v rozsahu primeranom charakteru služby,
- vyhodnocovanie podozrivých alebo neobvyklých udalostí a prijímanie primeraných nápravných opatrení.
6. Dostupnosť, zálohovanie a obnova
- opatrenia primerané charakteru služby na ochranu dostupnosti a odolnosti systémov,
- primerané mechanizmy na obnovu dostupnosti údajov alebo služby po technickom alebo bezpečnostnom incidente,
- ak sa v príslušnej časti infraštruktúry vytvárajú technické zálohy, ich ochrana pred neoprávneným prístupom a ich odstraňovanie podľa príslušného životného cyklu.
7. Oddelenie a minimalizácia údajov
- logické oddelenie údajov jednotlivých zákazníkov v rámci aplikačného a databázového prostredia v rozsahu primeranom použitej architektúre,
- spracúvanie iba takého rozsahu údajov, ktorý je potrebný na poskytovanie požadovaných funkcií,
- obmedzenie interného prístupu k údajom podľa potreby a účelu.
8. Mazanie a ukončenie spracúvania
- mechanizmy umožňujúce odstránenie údajov alebo používateľského účtu podľa podmienok služby,
- ukončenie bežného spracúvania údajov po zániku príslušného účelu alebo pokynu Prevádzkovateľa, pokiaľ ďalšie uchovávanie nevyžaduje príslušný právny alebo zmluvný dôvod,
- postupné odstránenie údajov z technických záloh v rámci ich bežného životného cyklu.
9. Riadenie dodávateľov
- zapájanie ďalších sprostredkovateľov v súlade s článkom 9 tejto Zmluvy,
- zmluvné zabezpečenie povinností ďalších sprostredkovateľov podľa čl. 28 GDPR v relevantnom rozsahu,
- zohľadňovanie bezpečnostných a dátových rizík pri výbere technických poskytovateľov.
10. Riešenie bezpečnostných incidentov
- postupy na identifikáciu, posúdenie a riešenie bezpečnostných incidentov,
- prijímanie opatrení na obmedzenie následkov incidentu a zabránenie jeho pokračovaniu alebo opakovaniu,
- oznámenie porušenia ochrany osobných údajov Prevádzkovateľovi v súlade s článkom 13 tejto Zmluvy, ak sa incident týka údajov spracúvaných v jeho mene.
Sprostredkovateľ môže technické a organizačné opatrenia meniť, nahrádzať alebo dopĺňať s ohľadom na technologický vývoj, zmenu architektúry, bezpečnostné riziká alebo zmenu poskytovateľov, ak tým nezníži celkovú úroveň ochrany osobných údajov pod úroveň primeranú príslušnému riziku.