Zmluva o spracúvaní osobných údajov

1. Definície

V tejto DPA majú nasledujúce pojmy význam uvedený nižšie. Pojmy s veľkým začiatočným písmenom, ktoré tu nie sú definované, majú význam, aký im dáva Zmluva alebo GDPR.

• „Osobné údaje“ znamenajú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby („Dotknutá osoba“) v zmysle čl. 4 ods. 1 GDPR
• „Spracúvanie“ znamená akúkoľvek operáciu alebo súbor operácií vykonávaných s osobnými údajmi, či už automatizovanými prostriedkami, alebo nie, vrátane zhromažďovania, zaznamenávania, usporadúvania, štruktúrovania, uchovávania, prispôsobovania, vyhľadávania, používania, sprístupnenia, obmedzenia, vymazania alebo likvidácie, ako je vymedzené v čl. 4 ods. 2 GDPR
• „Prevádzkovateľ“ znamená Zákazníka, ktorý používaním Služieb určuje účely a prostriedky spracúvania osobných údajov
• „Sprostredkovateľ“ znamená STENVARD s.r.o. (Conseto), ktorý spracúva osobné údaje v mene Prevádzkovateľa
• „Dotknutá osoba“ znamená identifikovanú alebo identifikovateľnú fyzickú osobu, ktorej sa osobné údaje týkajú
• „Ďalší sprostredkovateľ“ znamená akúkoľvek tretiu stranu, ktorú Sprostredkovateľ zapojil na spracúvanie osobných údajov v mene Prevádzkovateľa
• „Porušenie ochrany osobných údajov“ znamená porušenie bezpečnosti, ktoré vedie k náhodnému alebo protiprávnemu zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov alebo k neoprávnenému prístupu k nim
• „Služby“ znamenajú platformu Conseto Site Growth Platform vrátane analytických, súladových, bezpečnostných, marketingových a AI funkcií, ako sú opísané v Zmluve
• „Štandardné zmluvné doložky“ („SCC“) znamenajú štandardné zmluvné doložky prijaté Európskou komisiou vykonávacím rozhodnutím Komisie (EÚ) 2021/914

2. Rozsah a trvanie

2.1 Rozsah

Táto DPA sa vzťahuje na všetko spracúvanie osobných údajov Sprostredkovateľom v mene Prevádzkovateľa v súvislosti s poskytovaním Služieb. Táto DPA sa nevzťahuje na údaje, ktoré Conseto spracúva ako prevádzkovateľ vo vlastnom mene (upravené v Zásadách ochrany osobných údajov).

2.2 Trvanie

Táto DPA zostáva účinná počas trvania Zmluvy medzi stranami. Povinnosti Sprostredkovateľa týkajúce sa vrátenia a vymazania údajov (čl. 13) pretrvávajú aj po skončení tejto DPA.

2.3 Prednosť

V prípade rozporu medzi touto DPA a Zmluvou má táto DPA prednosť, pokiaľ ide o záležitosti ochrany údajov.

3. Povaha a účel spracúvania

Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa na tieto účely:

• Webová analytika: Zhromažďovanie, ukladanie a analýza údajov o návštevníkoch webu vrátane zobrazení stránok, udalostí, návštev, interakcií v elektronickom obchode, hĺbky posúvania, interakcií s formulármi, sťahovania súborov a kliknutí na odchádzajúce odkazy
• Správa súhlasu: Zaznamenávanie, ukladanie a poskytovanie auditných záznamov o preferenciách súhlasu s cookies a o interakciách s bannerom súhlasu na účely súladu s GDPR
• Bezpečnostné skenovanie: Analýza bezpečnostného stavu webu, skriptov tretích strán a potenciálnych zraniteľností pomocou automatizovaných skenovacích nástrojov
• Marketingová atribúcia: Sledovanie výkonnosti kampaní, parametrov UTM, konverzných ciest a údajov o ceste zákazníka
• Spýtaj sa (AI): Odpovede na otázky Prevádzkovateľa o dátach jeho webu, v aplikácii aj cez server MCP, pomocou modelu Anthropic Claude v službe Amazon Bedrock v regiónoch EÚ. Výsledky dotazov, ktoré dostane model, môžu obsahovať jednotlivé návštevy alebo udalosti; e-mailové adresy v nich sú maskované a nikdy neobsahujú IP adresy. Odpovede uložené v aplikácii uchovávajú výsledky dotazov, na ktorých stoja, najdlhšie po dobu uchovávania analytických údajov podľa plánu Prevádzkovateľa a výmaz dotknutej osoby zmaže aj uložené odpovede, ktoré ju spomínajú
• Preposielanie udalostí: Ak ho Prevádzkovateľ zapne, odoslanie udalostí návštevníkov na strane servera do Google Analytics 4, Meta, TikTok alebo LinkedIn podľa čl. 9.2
• Reporting: Generovanie dashboardov, plánovaných e-mailových reportov a exportov údajov pre Prevádzkovateľa

4. Druhy spracúvaných osobných údajov

Podľa tejto DPA sa môžu spracúvať tieto kategórie osobných údajov:

Sprostredkovateľ zámerne nezhromažďuje osobitné kategórie údajov (čl. 9 GDPR), ako sú údaje o zdravotnom stave, biometrické údaje alebo údaje odhaľujúce rasový alebo etnický pôvod. Prevádzkovateľ nesmie nakonfigurovať Služby tak, aby takéto údaje zhromažďovali, bez výslovnej predchádzajúcej písomnej dohody.

5. Kategórie dotknutých osôb

Dotknuté osoby, ktorých osobné údaje sa podľa tejto DPA spracúvajú, zahŕňajú:

• Návštevníci webu: Osoby, ktoré navštevujú weby Prevádzkovateľa, na ktorých je nainštalované Conseto SDK
• Zákazníci elektronického obchodu: Osoby, ktoré na webe Prevádzkovateľa uskutočňujú nákupy alebo využívajú funkcie elektronického obchodu
• Používatelia aplikácií: Používatelia webových aplikácií Prevádzkovateľa, v ktorých je implementované sledovanie Conseto

6. Povinnosti Sprostredkovateľa

Sprostredkovateľ (Conseto) je povinný:

• spracúvať osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, pokiaľ mu spracúvanie neukladá právo EÚ alebo slovenské právo (v takom prípade Sprostredkovateľ informuje Prevádzkovateľa o tejto zákonnej požiadavke pred spracúvaním, pokiaľ to právo nezakazuje)
• zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala primeraná zákonná povinnosť mlčanlivosti
• zaviesť primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti primeranej riziku (podrobne uvedené v čl. 10)
• nezapojiť iného sprostredkovateľa (ďalšieho sprostredkovateľa) bez predchádzajúceho osobitného alebo všeobecného písomného povolenia Prevádzkovateľa (pozri čl. 8)
• so zreteľom na povahu spracúvania poskytovať Prevádzkovateľovi pomoc vhodnými technickými a organizačnými opatreniami, pokiaľ je to možné, pri plnení povinnosti Prevádzkovateľa reagovať na žiadosti dotknutých osôb
• pomáhať Prevádzkovateľovi zabezpečiť plnenie povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu na ochranu údajov, predchádzajúca konzultácia)
• podľa rozhodnutia Prevádzkovateľa vymazať alebo vrátiť Prevádzkovateľovi všetky osobné údaje po skončení poskytovania Služieb a vymazať existujúce kópie, pokiaľ právo EÚ alebo slovenské právo nevyžaduje ich uchovávanie (pozri čl. 13)
• sprístupniť Prevádzkovateľovi všetky informácie potrebné na preukázanie súladu s čl. 28 GDPR a umožniť audity vrátane inšpekcií a prispievať k nim (pozri čl. 12)
• bezodkladne informovať Prevádzkovateľa, ak podľa názoru Sprostredkovateľa pokyn Prevádzkovateľa porušuje GDPR alebo iné ustanovenia práva EÚ alebo slovenského práva o ochrane údajov

7. Povinnosti Prevádzkovateľa

Prevádzkovateľ (Zákazník) je povinný:

• zabezpečiť, aby existoval právny základ na spracúvanie osobných údajov prostredníctvom Služieb (napr. súhlas, oprávnený záujem) a viesť záznamy o spracovateľských činnostiach
• poskytnúť dotknutým osobám jasné a súladné oznámenie o ochrane súkromia, ktoré informuje o používaní Conseto a o kategóriách zhromažďovaných údajov
• primerane nakonfigurovať banner súhlasu Conseto a SDK pre jurisdikcie, v ktorých jeho web funguje
• získavať a spravovať potrebné súhlasy dotknutých osôb tam, kde to vyžaduje uplatniteľné právo
• reagovať na žiadosti dotknutých osôb (o prístup, vymazanie, prenosnosť) týkajúce sa jeho návštevníkov webu pomocou nástrojov poskytovaných Conseto
• nedávať Sprostredkovateľovi pokyn spracúvať osobné údaje v rozpore s GDPR alebo inými uplatniteľnými právnymi predpismi o ochrane údajov
• nekonfigurovať Služby tak, aby zhromažďovali osobitné kategórie osobných údajov, bez predchádzajúcej písomnej dohody
• poskytnúť Sprostredkovateľovi zdokumentované pokyny na spracúvanie (Zmluva a konfigurácia SDK predstavujú zdokumentované pokyny)

8. Ďalší sprostredkovatelia

8.1 Všeobecné povolenie

Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov na spracúvanie osobných údajov v mene Prevádzkovateľa. Sprostredkovateľ informuje Prevádzkovateľa o akýchkoľvek zamýšľaných zmenách týkajúcich sa pridania alebo nahradenia ďalších sprostredkovateľov a poskytne Prevádzkovateľovi možnosť vzniesť námietku do 30 dní.

8.2 Súčasní ďalší sprostredkovatelia

K dátumu účinnosti tejto DPA sú povolení títo ďalší sprostredkovatelia:

8.3 Povinnosti ďalších sprostredkovateľov

Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi písomnou zmluvou rovnaké povinnosti v oblasti ochrany údajov, aké sú ustanovené v tejto DPA. Sprostredkovateľ zostáva voči Prevádzkovateľovi plne zodpovedný za plnenie povinností ďalšieho sprostredkovateľa.

8.4 Právo namietať

Ak má Prevádzkovateľ opodstatnené dôvody namietať proti novému ďalšiemu sprostredkovateľovi, môže to Sprostredkovateľovi písomne oznámiť do 30 dní od informovania. Strany o námietke rokujú v dobrej viere. Ak sa riešenie nedosiahne, Prevádzkovateľ môže ukončiť Zmluvu vo vzťahu k Službám, ktoré nemožno poskytovať bez ďalšieho sprostredkovateľa, proti ktorému podal námietku.

9. Medzinárodné prenosy údajov

9.1 Primárne miesto spracúvania

Údaje sa ukladajú a primárne spracúvajú v rámci Európskeho hospodárskeho priestoru (EHP): hosting webu a dashboardu (Vercel) a API brána a auditný nástroj (Fly.io) bežia vo Frankfurte v Nemecku a databáza PostgreSQL (Supabase, na AWS eu-central-1) sa nachádza tiež vo Frankfurte.

9.2 Prenosy mimo EHP

Ďalší sprostredkovatelia uvedení v čl. 8.2 ukladajú údaje v dátových centrách v Európskej únii. Niektorí z nich (Vercel Inc., Fly.io, Supabase, Cloudflare, Inc. a Amazon Web Services) sú spoločnosti so sídlom alebo s materskou spoločnosťou v USA a k údajom môžu mať prístup aj z USA, napríklad pri podpore alebo prevádzke; Cloudflare Turnstile spracúva IP adresu a údaje prehliadača vo svojej celosvetovej sieti. Tieto prenosy sa opierajú o rozhodnutie Komisie (EÚ) 2023/1795 pri spoločnostiach certifikovaných v rámci EÚ a USA pre ochranu údajov a inak o štandardné zmluvné doložky podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914.

Osobné údaje návštevníkov môžu opustiť EHP aj na pokyn Prevádzkovateľa: (a) ak pripojí svoju vlastnosť Google Search Console alebo GA4; (b) ak zapne preposielanie udalostí na strane servera do Google Analytics 4, Meta (Conversions API), TikTok alebo LinkedIn. V prípade (b) Sprostredkovateľ zo svojej infraštruktúry odošle udalosť spolu s identifikátorom návštevníka, pri Meta a TikTok aj s IP adresou a reťazcom user agent, s identifikátormi kliknutia na reklamu a s identifikátorom používateľa a hashovanou e-mailovou adresou alebo telefónnym číslom, ak ich Prevádzkovateľ poskytol, a to len pri návštevníkovi, ktorý udelil príslušný súhlas (analytický pri Google Analytics 4, reklamný pri Meta, TikTok a LinkedIn). Príjemca je v týchto prípadoch zmluvným partnerom Prevádzkovateľa, nie ďalším sprostredkovateľom Sprostredkovateľa, a prenos sa riadi zmluvou medzi Prevádzkovateľom a týmto príjemcom.

Pri prenosoch mimo EHP, za ktoré zodpovedá Sprostredkovateľ, sa uplatnia tieto zábezpeky:

• štandardné zmluvné doložky (SCC) prijaté Európskou komisiou vykonávacím rozhodnutím (EÚ) 2021/914, modul dva (od Prevádzkovateľa k Sprostredkovateľovi) alebo modul tri (od Sprostredkovateľa k Sprostredkovateľovi), podľa okolností
• posúdenia vplyvu prenosu, ak sú potrebné
• doplnkové technické opatrenia vrátane minimalizácie údajov, pseudonymizácie a šifrovania pri prenose (TLS)
• osobitne pre spracúvanie AI: údaje ostávajú v regiónoch EÚ, e-mailové adresy vo výsledkoch dotazov a v predchádzajúcich otázkach a odpovediach sa maskujú skôr, ako sa dostanú k modelu, a výsledky dotazov nikdy neobsahujú IP adresy

9.3 Rozhodnutia o primeranosti

Ak Európska komisia vydala rozhodnutie o primeranosti pre krajinu príjemcu, prenosy sa môžu opierať o takéto rozhodnutie. Sprostredkovateľ sleduje platnosť všetkých rozhodnutí o primeranosti, o ktoré sa opiera.

10. Technické a organizačné bezpečnostné opatrenia

Sprostredkovateľ zavádza tieto bezpečnostné opatrenia v súlade s čl. 32 GDPR, pričom zohľadňuje najnovšie poznatky, náklady na vykonanie, povahu, rozsah, kontext a účely spracúvania, ako aj riziko pre práva a slobody dotknutých osôb:

10.1 Šifrovanie

• Údaje pri prenose: šifrovanie TLS pri všetkých pripojeniach k API, SDK a aplikácii (HTTPS)
• Údaje v pokoji: databáza u Supabase je šifrovaná (AES-256); zálohy v Cloudflare R2 šifrujeme pred uložením (AES-256)
• Heslá: hashovanie bcrypt (nikdy sa neukladajú v čistom texte)
• Kľúče MCP (cmk_): ukladáme len ich hash SHA-256. Kľúče projektu (csk_) sú v databáze uložené v pôvodnej podobe, aby ich správca projektu mohol zobraziť

10.2 Riadenie prístupu

• Riadenie prístupu na základe rolí v projekte (správca, editor, čitateľ)
• Autentifikácia na báze JWT s platnosťou tokenu 7 dní
• Prístup k produkčnej infraštruktúre a databáze majú len poverené osoby STENVARD s.r.o.

10.3 Sieťová bezpečnosť

• Ochrana pred DDoS na úrovni siete cez edge siete Vercel a Fly.io
• Ochrana pred botmi Cloudflare Turnstile na verejných formulároch
• Obmedzenie počtu požiadaviek: 1000 req/15 min (všeobecné), 200 req/15 min (autentifikácia), 30 req/min (audit), 10 req/hod. (generovanie cez AI) a hodinový limit otázok Spýtaj sa podľa plánu
• Filtrovanie botov s viac ako 50 detekčnými vzormi
• Bezpečnostné hlavičky HTTP cez Helmet.js (HSTS, CSP, X-Frame-Options)

10.4 Integrita a dostupnosť údajov

• Denné šifrované zálohy databázy mimo primárneho poskytovateľa (Cloudflare R2, jurisdikcia EÚ)
• Validácia a sanitizácia vstupov na všetkých koncových bodoch API (validácia schém Zod)
• Parametrizované databázové dotazy na zabránenie SQL injection
• Záznamy požiadaviek neobsahujú IP adresy ani údaje návštevníkov; e-mailové adresy používateľov sa v logoch objavujú pri niektorých udalostiach

10.5 Organizačné opatrenia

• Povinnosti mlčanlivosti pre všetky osoby s prístupom k osobným údajom
• Postup pri porušení ochrany osobných údajov podľa čl. 11
• Pravidelné skenovanie zraniteľností závislostí (npm audit v CI)
• Automatizované testy pred zlúčením zmien (CI)

11. Oznamovanie porušenia ochrany osobných údajov

11.1 Oznámenie Prevádzkovateľovi

Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov týkajúce sa údajov Prevádzkovateľa bez zbytočného odkladu, najneskôr do 48 hodín od chvíle, keď sa o ňom dozvie. Oznámenie sa odošle e-mailom na e-mailovú adresu registrovaného účtu Prevádzkovateľa a bude obsahovať:

• opis povahy porušenia vrátane kategórií a približného počtu dotknutých osôb a záznamov, ktorých sa porušenie týka
• meno a kontaktné údaje kontaktnej osoby Sprostredkovateľa pre ochranu údajov
• opis pravdepodobných následkov porušenia
• opis opatrení prijatých alebo navrhnutých na riešenie porušenia vrátane opatrení na zmiernenie jeho možných nepriaznivých dôsledkov

11.2 Súčinnosť

Sprostredkovateľ spolupracuje s Prevádzkovateľom a vykoná primerané kroky na pomoc pri vyšetrovaní, zmiernení a náprave porušenia. Sprostredkovateľ tiež pomáha Prevádzkovateľovi pri plnení jeho povinností oznamovať porušenie dozornému orgánu (čl. 33 GDPR) a dotknutým osobám (čl. 34 GDPR), ak sa to uplatňuje.

11.3 Vedenie záznamov

Sprostredkovateľ vedie záznam o všetkých porušeniach ochrany osobných údajov vrátane skutočností súvisiacich s porušením, jeho účinkov a prijatých nápravných opatrení.

12. Práva auditu

12.1 Informácie a dokumentácia

Sprostredkovateľ sprístupní Prevádzkovateľovi všetky informácie potrebné na preukázanie súladu s povinnosťami stanovenými v čl. 28 GDPR a v tejto DPA. To zahŕňa poskytnutie dokumentácie bezpečnostných opatrení, zmlúv s ďalšími sprostredkovateľmi a záznamov o porušeniach na primeranú žiadosť.

12.2 Audity a inšpekcie

Prevádzkovateľ môže vykonať audit alebo poveriť kvalifikovaného audítora tretej strany (za predpokladu primeraných povinností mlčanlivosti), aby overil súlad Sprostredkovateľa s touto DPA. Audity sa vykonávajú:

• po písomnom oznámení Sprostredkovateľovi najmenej 30 dní vopred
• počas bežných pracovných hodín (CET/CEST)
• najviac raz za kalendárny rok (pokiaľ nedošlo k porušeniu ochrany osobných údajov)
• spôsobom, ktorý neprimerane nenarúša činnosť Sprostredkovateľa
• na náklady Prevádzkovateľa, pokiaľ audit neodhalí podstatné porušenie zo strany Sprostredkovateľa

12.3 Certifikácie

Sprostredkovateľ môže vyhovieť žiadostiam o audit poskytnutím relevantných certifikácií, auditných správ alebo súhrnov nezávislých bezpečnostných posúdení, ak sú k dispozícii.

13. Vrátenie a vymazanie údajov

13.1 Export údajov

Ak Prevádzkovateľ sám zmaže účet alebo projekt, je to jeho pokyn na okamžité vymazanie; Sprostredkovateľ údaje vymaže hneď, v jednom kroku, a exportné obdobie podľa tohto článku sa neuplatní. Inak môže Prevádzkovateľ počas trvania Zmluvy a 30 dní po jej ukončení exportovať svoje údaje pomocou exportnej funkcie dostupnej v dashboarde Conseto (formáty CSV a JSON) alebo cez API.

13.2 Vymazanie

Po ukončení Zmluvy a po uplynutí 30-dňového exportného obdobia Sprostredkovateľ:

• vymaže všetky osobné údaje z aktívnych produkčných systémov do 90 dní
• vymaže osobné údaje zo záložných systémov pri ich pravidelnej rotácii
• na žiadosť Prevádzkovateľa poskytne písomné potvrdenie o vymazaní

13.3 Výnimky

Sprostredkovateľ môže uchovávať osobné údaje aj po uplynutí lehoty na vymazanie, ak to vyžaduje právo EÚ alebo slovenské právo (napr. daňové záznamy sa podľa slovenského práva musia uchovávať 10 rokov). Sprostredkovateľ informuje Prevádzkovateľa o každej takej zákonnej požiadavke na uchovávanie a zabezpečí, aby sa údaje spracúvali len na zákonom vyžadovaný účel.

Počas trvania Zmluvy platia tieto predvolené lehoty uchovávania, ktoré sú zdokumentovaným pokynom Prevádzkovateľa: analytické údaje podľa plánu Prevádzkovateľa (pozri cenník); záznamy, pri ktorých návštevník videl lištu súhlasu alebo urobil voľbu, 3 roky. Všetky sa vymažú okamžite, keď Prevádzkovateľ zmaže projekt alebo účet.

14. Zodpovednosť

14.1 Zodpovednosť podľa GDPR

Každá strana zodpovedá za škodu spôsobenú spracúvaním, ktoré porušuje GDPR, v súlade s čl. 82 GDPR. Sprostredkovateľ zodpovedá za škodu spôsobenú spracúvaním iba vtedy, ak nesplnil povinnosti, ktoré GDPR osobitne ukladá sprostredkovateľom, alebo ak konal mimo zákonných pokynov Prevádzkovateľa alebo v rozpore s nimi.

14.2 Obmedzenie

Obmedzenie zodpovednosti podľa čl. 9 Obchodných podmienok sa vzťahuje aj na túto DPA s výnimkou (a) zodpovednosti voči dotknutým osobám podľa čl. 82 GDPR a (b) škody spôsobenej úmyselne alebo hrubou nedbanlivosťou.

14.3 Odškodnenie

Každá strana odškodní druhú stranu za všetky náklady, nároky, škody a výdavky vzniknuté v dôsledku podstatného porušenia tejto DPA alebo uplatniteľných právnych predpisov o ochrane údajov zo strany odškodňujúcej strany, s výhradou obmedzení stanovených v Zmluve.

15. Rozhodné právo a súdna príslušnosť

Táto DPA sa spravuje a vykladá v súlade s právom Slovenskej republiky bez ohľadu na jeho kolízne normy. Všetky spory vyplývajúce z tejto DPA alebo s ňou súvisiace rozhoduje vecne príslušný súd podľa sídla STENVARD s.r.o.

Vo veciach týkajúcich sa presadzovania GDPR je príslušným dozorným orgánom Úrad na ochranu osobných údajov SR, Slovenská republika, bez dotknutia práva Prevádzkovateľa podať sťažnosť svojmu miestnemu dozornému orgánu.

Kontakt

V prípade otázok k tejto DPA alebo na uplatnenie práv podľa nej: