Spracúvanie osobných údajov pre klientov.

01Zmluvné strany a roly

Prevádzkovateľ: klient uvedený v klientskom účte, v ponuke alebo v podpísanej listinnej verzii (ďalej len „prevádzkovateľ“). Sprostredkovateľ: LISTIFY s.r.o., IČO: 04198042, so sídlom Rybná 716/24, Staré Město, 110 00 Praha 1, zapísaná v obchodnom registri Mestského súdu v Prahe, oddiel C, vložka 243995 (ďalej len „Listify“).

Zmluva sa uzatvára podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (ďalej len „GDPR“) a českého zákona č. 110/2019 Sb., o spracúvaní osobných údajov. Pojmy majú význam podľa GDPR (najmä osobný údaj, spracúvanie, prevádzkovateľ, sprostredkovateľ, porušenie ochrany osobných údajov).

02Predmet, povaha a účel spracúvania

Listify spracúva osobné údaje v mene prevádzkovateľa len v rozsahu nevyhnutnom na plnenie zákaziek a priebežných služieb podľa prijatých ponúk. Povaha spracúvania zahŕňa najmä:

• vývoj, testovanie a nasadenie webov, e-⁠shopov, aplikácií a systémov,
• správu a prevádzku na infraštruktúre klienta alebo u poskytovateľa, ktorého si klient zvolil, zálohovanie, dohľad a bezpečnostné aktualizácie,
• podporu a riešenie požiadaviek vrátane prístupu k dátam pri oprave chýb,
• import a migráciu dát, prepojenie s ďalšími systémami prevádzkovateľa,
• nastavenie merania a marketingových nástrojov v rozsahu zákazky.

03Doba spracúvania

Spracúvanie trvá počas poskytovania služieb podľa prijatých ponúk a potom už len po dobu potrebnú na vrátenie alebo vymazanie údajov podľa článku o ukončení.

04Kategórie dotknutých osôb a údajov

Konkrétny rozsah vyplýva zo zákazky a prevádzkovateľ ho môže spresniť v ponuke alebo v klientskom účte. Typicky ide o:

• dotknuté osoby: zákazníci, používatelia, návštevníci webu, záujemcovia, odberatelia obchodných oznámení, obchodní partneri a zamestnanci prevádzkovateľa,
• identifikačné a kontaktné údaje, doručovacie a fakturačné údaje,
• údaje o objednávkach, platbách (bez úplných čísel platobných kariet), zmluvách a komunikácii,
• prihlasovacie údaje v zašifrovanej podobe a údaje o účtoch používateľov,
• technické a prevádzkové údaje: IP adresy, identifikátory zariadení, cookies, logy a údaje o správaní na webe.

Osobitné kategórie údajov (napríklad o zdraví) a údaje o deťoch Listify spracúva len vtedy, ak to prevádzkovateľ vopred výslovne uvedie a strany dohodnú doplňujúce opatrenia.

05Pokyny prevádzkovateľa

Listify spracúva údaje len na základe zdokumentovaných pokynov prevádzkovateľa, a to aj pokiaľ ide o prenos do tretích krajín. Zdokumentovanými pokynmi sú táto zmluva, prijaté ponuky a ich špecifikácie, konfigurácia služieb a požiadavky zadané v klientskom účte alebo e-⁠mailom osobou oprávnenou konať za prevádzkovateľa.

Ak je pokyn podľa názoru Listify v rozpore s GDPR alebo iným predpisom, Listify na to prevádzkovateľa bezodkladne upozorní a kým sa vec nevyjasní, nemusí ho vykonať. Ak Listify spracúvanie ukladá právny predpis, informuje o tom prevádzkovateľa vopred, ibaže to predpis zakazuje.

06Povinnosti prevádzkovateľa

Prevádzkovateľ zodpovedá za to, že:

• má na spracúvanie platný právny základ a spracúvanie je v súlade s GDPR,
• dotknuté osoby riadne informoval, prípadne získal ich súhlas (vrátane súhlasu s cookies),
• jeho pokyny sú v súlade s právom a údaje, ktoré Listify odovzdá, sú presné a získané oprávnene,
• Listify včas oznámi zmeny, ktoré majú vplyv na spracúvanie (nové kategórie údajov, nové účely, požiadavky dozorného orgánu).

07Mlčanlivosť a oprávnené osoby

K osobným údajom majú prístup len pracovníci a subdodávatelia Listify, ktorí ich potrebujú na plnenie, sú poučení o ochrane osobných údajov a zaviazaní mlčanlivosťou. Mlčanlivosť trvá aj po skončení zmluvy a pracovného alebo iného vzťahu.

08Zabezpečenie

Listify prijíma technické a organizačné opatrenia podľa čl. 32 GDPR, ktoré zodpovedajú povahe údajov a riziku. Opatrenia priebežne vyhodnocuje a zlepšuje. Ide najmä o:

• šifrovaný prenos (HTTPS/TLS) a šifrovanie záloh a citlivých údajov pri uložení,
• riadenie prístupov podľa rolí a princípu minimálnych oprávnení, dvojfázové overenie, pravidelnú revíziu prístupov a odobratie prístupu pri odchode pracovníka,
• produkčné dáta a databázy sú uložené u poskytovateľov Vercel Inc. (hosting aplikácií) a Neon Inc. (databáza PostgreSQL), pre klientov z ČR a SR primárne v regióne Frankfurt (Nemecko, EÚ), pri projektoch pre iné krajiny v regióne najbližšom ich používateľom, spravidla na účte prevádzkovateľa; umiestnenie mimo EÚ len so súhlasom prevádzkovateľa podľa článku Prenos mimo EÚ; Listify k nim pristupuje len v rozsahu zákazky,
• zálohy databázy zabezpečuje Neon automaticky s možnosťou obnovy k ľubovoľnému okamihu v rámci nastavenej doby uchovávania,
• pravidelné zálohy uložené oddelene, testovanie obnovy a plán obnovy prevádzky,
• bezpečnostné aktualizácie, dohľad nad dostupnosťou a zraniteľnosťami a logovanie prístupov v rozsahu dohodnutej správy,
• oddelenie testovacích a produkčných prostredí; na testovacích prostrediach používame anonymizované alebo vymyslené dáta, ak je to možné,
• zabezpečené pracovné zariadenia (šifrované disky, uzamknutie obrazovky, správca hesiel).

09Nástroje umelej inteligencie

Osobné údaje prevádzkovateľa Listify nevkladá do nástrojov umelej inteligencie, ktoré by ich mohli použiť na trénovanie modelov alebo sprístupniť ďalším osobám. Nástroje AI s osobnými údajmi používa len v nastavení, ktoré to vylučuje, a len ak je to pre zákazku potrebné; takýto nástroj je potom ďalším sprostredkovateľom podľa tejto zmluvy.

10Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje všeobecné povolenie na zapojenie ďalších sprostredkovateľov. Ku dňu účinnosti tejto zmluvy sú to:

• Vercel Inc.: hosting webov, aplikácií a klientskeho účtu a úložisko súborov (Vercel Blob), dáta v EÚ (Frankfurt), EU-U.S. Data Privacy Framework.
• Neon Inc.: databázy PostgreSQL a ich zálohy, dáta v EÚ (Frankfurt), EU-U.S. Data Privacy Framework.
• Functional Software, Inc. (služba Sentry): hlásenie chýb aplikácií, dáta v EÚ.
• Plus Five Five, Inc. (služba Resend): odosielanie e-⁠mailov, spracúvanie v USA na základe EU-U.S. Data Privacy Framework a štandardných zmluvných doložiek.
• OpenAI (ChatGPT), Anthropic (Claude) a GitHub (Copilot): nástroje umelej inteligencie vo firemných verziách, ktoré dáta nepoužívajú na trénovanie modelov, spracúvanie v USA na základe EU-U.S. Data Privacy Framework a štandardných zmluvných doložiek.

Vercel a Neon sú ďalšími sprostredkovateľmi len tam, kde účet u nich vedie Listify (klientsky účet a menšie projekty podľa ponuky). Ak je účet vedený na prevádzkovateľa, prevádzkovateľ má s poskytovateľom zmluvu priamo. Aktuálny zoznam je vždy aj v klientskom účte.

Zapojenie alebo výmenu ďalšieho sprostredkovateľa Listify oznámi v klientskom účte najmenej 30 dní vopred. Prevádzkovateľ môže do 14 dní vzniesť odôvodnenú námietku; strany potom hľadajú riešenie, a ak sa nedohodnú, prevádzkovateľ môže dotknutú službu bez sankcie vypovedať.

Listify zaväzuje ďalších sprostredkovateľov zmluvou s rovnakými povinnosťami ochrany osobných údajov, aké ustanovuje táto zmluva, a zodpovedá za nich, ako keby spracúvalo samo.

11Prenos mimo EÚ

Osobné údaje ukladáme primárne v EÚ. Služby, ktoré spracúvajú údaje aj v USA (odosielanie e-⁠mailov a nástroje umelej inteligencie), používame len na základe rozhodnutia Európskej komisie o primeranosti ochrany (EU-U.S. Data Privacy Framework) alebo štandardných zmluvných doložiek Európskej komisie, prípadne s doplňujúcimi opatreniami. Databázy a súbory prevádzkovateľa ukladáme mimo EÚ len s jeho predchádzajúcim súhlasom.

12Práva dotknutých osôb

Listify pomáha prevádzkovateľovi vhodnými technickými a organizačnými opatreniami vybavovať žiadosti dotknutých osôb (prístup, oprava, vymazanie, obmedzenie spracúvania, prenosnosť, námietka), spravidla do 5 pracovných dní od požiadavky prevádzkovateľa. Žiadosť, ktorá príde priamo Listify, bezodkladne postúpi prevádzkovateľovi a samo na ňu vecne neodpovedá, ak ho tým prevádzkovateľ nepoverí.

13Súčinnosť pri plnení povinností prevádzkovateľa

Listify poskytne prevádzkovateľovi so zreteľom na povahu spracúvania a dostupné informácie súčinnosť pri zaisťovaní bezpečnosti, oznamovaní porušení ochrany osobných údajov, posúdení vplyvu na ochranu osobných údajov a predchádzajúcej konzultácii s príslušným dozorným orgánom (čl. 32 až 36 GDPR).

Súčinnosť nad rámec bežnej prevádzky (napríklad rozsiahle exporty, posúdenia vplyvu alebo mimoriadne audity) účtuje Listify podľa hodinovej sadzby uvedenej v ponuke po predchádzajúcom odsúhlasení odhadu. Súčinnosť vyvolanú porušením svojich povinností Listify neúčtuje.

14Porušenie ochrany osobných údajov

Listify oznámi prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 24 hodín od zistenia, telefonicky alebo e-⁠mailom kontaktnej osobe a správou v klientskom účte. Oznámenie obsahuje, ak sú informácie k dispozícii:

• opis povahy porušenia, dotknuté kategórie a približný počet dotknutých osôb a záznamov,
• pravdepodobné dôsledky,
• prijaté alebo navrhované opatrenia na riešenie a zmiernenie následkov,
• kontakt na osobu, ktorá porušenie v Listify rieši.

Informácie, ktoré nie sú hneď k dispozícii, Listify priebežne dopĺňa. Tým prevádzkovateľovi umožní splniť povinnosť oznámiť porušenie dozornému orgánu do 72 hodín a prípadne informovať dotknuté osoby (čl. 33 a 34 GDPR). Listify samo porušenie dozornému orgánu ani dotknutým osobám neoznamuje, ak ho tým prevádzkovateľ nepoverí alebo mu to neukladá zákon.

15Záznamy a preukazovanie súladu

Listify vedie záznamy o spracovateľských činnostiach vykonávaných pre prevádzkovateľa podľa čl. 30 ods. 2 GDPR a na požiadanie poskytne prevádzkovateľovi informácie potrebné na preukázanie, že plní povinnosti podľa tejto zmluvy a čl. 28 GDPR.

16Audit a kontrola

Prevádzkovateľ alebo ním poverený nezávislý audítor viazaný mlčanlivosťou môže vykonať audit najviac raz za 12 mesiacov s oznámením aspoň 30 dní vopred, v pracovnom čase a bez narušenia prevádzky a bezpečnosti ostatných klientov. Prednostne sa audit vykonáva formou dotazníka a predloženia dokumentácie a certifikácií.

Náklady auditu znáša prevádzkovateľ; Listify účtuje svoj čas podľa hodinovej sadzby uvedenej v ponuke. Ak audit odhalí podstatné porušenie tejto zmluvy, náklady znáša Listify a zjednanie nápravy je bezplatné. Mimoriadny audit je možný po porušení ochrany osobných údajov alebo na žiadosť dozorného orgánu. Kontrola zo strany dozorného orgánu tým nie je obmedzená.

17Ukončenie, vrátenie a vymazanie

Po skončení poskytovania služieb Listify podľa voľby prevádzkovateľa údaje vráti v strojovo čitateľnom formáte alebo ich vymaže, najneskôr do 60 dní. Ak sa prevádzkovateľ nevyjadrí do 30 dní od skončenia, Listify údaje vymaže. Kópie v zálohách sa vymažú rotáciou záloh najneskôr do 90 dní a dovtedy sú chránené touto zmluvou a nepoužívajú sa.

Údaje, ktoré musí Listify uchovať zo zákona, uchová len po nevyhnutnú dobu a len na tento účel. Vymazanie na požiadanie písomne potvrdí.

18Zodpovednosť

Každá strana zodpovedá za škodu, ktorú spôsobí porušením GDPR alebo tejto zmluvy, podľa čl. 82 GDPR. Listify zodpovedá len vtedy, ak nesplnilo povinnosti, ktoré GDPR ukladá priamo sprostredkovateľom, alebo ak konalo nad rámec pokynov prevádzkovateľa či v rozpore s nimi.

Obmedzenie zodpovednosti podľa obchodných podmienok Listify sa uplatní v rozsahu, v akom to právne predpisy pripúšťajú; neuplatní sa voči nárokom dotknutých osôb. Pokuty uložené dozorným orgánom znáša tá strana, ktorej porušenie k nim viedlo.

19Trvanie a ukončenie zmluvy

Zmluva je účinná od podpisu a trvá, kým Listify pre prevádzkovateľa spracúva osobné údaje. Nemožno ju vypovedať samostatne, kým trvajú služby, pri ktorých dochádza k spracúvaniu. Povinnosti týkajúce sa mlčanlivosti, vrátenia a vymazania trvajú aj po jej skončení.

20Uzavretie zmluvy

Zmluvu možno uzavrieť v klientskom účte, prijatím ponuky, ktorej je prílohou, alebo podpisom listinnej či elektronicky podpísanej verzie. Potvrdenie v klientskom účte po prihlásení osobnými prístupovými údajmi je podpisom v zmysle § 561 ods. 1 českého Občianskeho zákonníka a elektronickým podpisom podľa nariadenia eIDAS. Zaznamenávame meno a rolu osoby, dátum a čas, IP adresu, zariadenie a verziu zmluvy; zmluva je trvalo dostupná v klientskom účte.

Osoba, ktorá zmluvu podpisuje, vyhlasuje, že je oprávnená konať za prevádzkovateľa.

21Vzťah k ďalším dokumentom a zmeny

Zmluva dopĺňa obchodné podmienky Listify (VOP) a prijaté ponuky a nahrádza skoršie dojednania strán o spracúvaní osobných údajov. Vo veciach ochrany osobných údajov má prednosť pred VOP, ponukami aj Zmluvou o mlčanlivosti.

Zmeny oznamujeme v klientskom účte a e-⁠mailom najmenej 30 dní vopred; prevádzkovateľ môže dotknuté služby do účinnosti zmeny bez sankcie vypovedať. Zmena, ktorú vyžaduje právny predpis alebo rozhodnutie úradu, môže nadobudnúť účinnosť skôr.

22Rozhodné právo a záverečné ustanovenia

Zmluva sa riadi právom Českej republiky a GDPR. Spory rieši súd určený podľa obchodných podmienok Listify. Ak je niektoré ustanovenie neplatné alebo neúčinné, ostatné zostávajú v platnosti a strany ho nahradia ustanovením, ktoré najlepšie zodpovedá GDPR a účelu zmluvy.