Zmluva o spracúvaní osobných údajov

1. Predmet, povaha a účel spracúvania

Osobné údaje spracúvame iba na účel poskytovania Služby Zákazníkovi: správa účtov a miest, výučba AI gramotnosti, vyhodnotenie testov a overovacích testov, vydávanie a overovanie certifikátov, odosielanie e-mailov, vedenie dôkazov o školení a auditnej stopy a poskytovanie prehľadov a exportov. Spracúvanie zahŕňa získavanie, uchovávanie, usporiadanie, používanie, poskytnutie ďalším sprostredkovateľom uvedeným nižšie, výmaz a ďalšie operácie potrebné na tieto účely.

2. Doba spracúvania

Zmluva o spracúvaní platí počas doby, keď pre Zákazníka spracúvame osobné údaje: počas predplatného a následne až do výmazu podľa bodu 11.

3. Dotknuté osoby a kategórie údajov

• Dotknuté osoby: zamestnanci Zákazníka, ktorým je pridelené miesto, a správcovia Zákazníka.
• Identifikačné a kontaktné údaje: meno, e-mail, oddelenie, pracovná rola a preferovaný jazyk.
• Údaje o účte: odtlačok hesla (Argon2id), údaje overenia v dvoch krokoch, ak sa používa, časy prihlásenia a IP adresy.
• Údaje o školení: pridelené kurzy, priebeh a čas strávený v lekciách, odpovede v testoch a overovacích testoch, výsledky a pokusy, certifikáty, potvrdenia zásad používania AI Zákazníka.
• Záznamy zadané Zákazníkom: prehľad AI nástrojov a ďalšie údaje zadané správcami.
• Auditný záznam dôležitých akcií s časom a autorom.

Služba nie je určená na osobitné kategórie osobných údajov (čl. 9 GDPR) a Zákazník ich do nej nebude zadávať.

4. Pokyny Zákazníka

Údaje spracúvame iba na základe zdokumentovaných pokynov Zákazníka. Úplnými pokynmi Zákazníka sú táto Zmluva o spracúvaní, obchodné podmienky a nastavenia a akcie správcov Zákazníka v Službe. Ak bude podľa nás pokyn porušovať predpisy o ochrane osobných údajov, upozorníme na to Zákazníka. Inak môžeme údaje spracúvať iba vtedy, keď to vyžaduje právo Únie alebo členského štátu; v takom prípade Zákazníka vopred informujeme, ak to právo nezakazuje.

5. Mlčanlivosť

K údajom majú prístup iba osoby, ktoré ho potrebujú na prevádzku alebo podporu Služby, a sú viazané mlčanlivosťou.

6. Bezpečnostné opatrenia

• Služba a všetky údaje bežia na serveri v dátovom centre v Nemecku (EÚ).
• Šifrované spojenie (HTTPS); heslá uložené iba ako odtlačky Argon2id; podpísané session cookies dostupné iba serveru (HTTP-only).
• Dôsledné oddelenie zákazníkov: každá požiadavka sa overuje voči prihlásenému používateľovi a jeho spoločnosti.
• Overenie v dvoch krokoch pre správcov, povinné pre naše účty podpory a dostupné každému správcovi Zákazníka.
• Obmedzenie počtu pokusov pri prihlásení, obnove hesla a overení certifikátu.
• Uložené tajomstvá, napr. prístupové údaje k e-mailovému odosielateľovi a kľúče overenia v dvoch krokoch, sú šifrované (AES-256-GCM).
• Testy sa vyhodnocujú na serveri; správne odpovede sa nikdy nedostanú do prehliadača.
• Auditný záznam dôležitých akcií a záznam bezpečnostných udalostí uchovávaný 30 dní.
• Zálohy s dobou uchovávania najviac 30 dní a zdokumentovaný postup pre bezpečnostné incidenty.

7. Prístup podpory

Oprávnení pracovníci podpory MadHoney sa môžu prihlásiť do účtu správcu Zákazníka, aby na žiadosť Zákazníka nastavili účet alebo vyriešili problém, prípadne ak je to nevyhnutné na ochranu Služby. Takýto prístup je obmedzený na administráciu (nikdy nie lekcie, testy alebo certifikáty za zamestnancov), je časovo obmedzený a zaznamenáva sa do auditného záznamu Zákazníka.

8. Ďalší sprostredkovatelia

• Hostinger International Ltd. (Cyprus) - prenájom virtuálneho servera, na ktorom Služba beží; dátové centrum v Nemecku (EÚ).
• ZONER a.s. (Česká republika) - SMTP server na doručovanie e-mailov (pozvánky, pripomienky, oznámenia); dátové centrá v Brne.

Zákazník udeľuje všeobecné povolenie na zapojenie ďalších sprostredkovateľov. Každému z nich ukladáme povinnosti ochrany údajov rovnocenné tejto Zmluve o spracúvaní. O pridaní alebo výmene ďalšieho sprostredkovateľa informujeme správcov Zákazníka e-mailom najmenej 30 dní vopred; Zákazník môže z oprávneného dôvodu namietať a ak námietku nedokážeme vyriešiť, predplatné pred účinnosťou zmeny zrušiť.

Paddle.com Market Ltd spracúva platobné a fakturačné údaje ako samostatný prevádzkovateľ (Merchant of Record) a nedostáva žiadne údaje o zamestnancoch Zákazníka.

9. Súčinnosť so Zákazníkom

Správcovia môžu údaje svojich zamestnancov prezerať, opravovať, exportovať a mazať priamo v Službe. S ohľadom na povahu spracúvania ďalej pomôžeme Zákazníkovi vybavovať žiadosti dotknutých osôb a plniť povinnosti podľa článkov 32 až 36 GDPR (bezpečnosť, oznamovanie porušenia, posúdenie vplyvu a predchádzajúca konzultácia). Žiadosti zamestnancov, ktoré dostaneme, postúpime Zákazníkovi.

10. Porušenie ochrany osobných údajov

Porušenie ochrany osobných údajov oznámime správcom Zákazníka bez zbytočného odkladu, najneskôr do 48 hodín od chvíle, keď sme sa o ňom dozvedeli, s informáciami dostupnými podľa čl. 33 ods. 3 GDPR, a budeme ich dopĺňať podľa zistených skutočností. Prijmeme opatrenia na obmedzenie porušenia a zmiernenie jeho následkov.

11. Výmaz a vrátenie údajov

Počas predplatného môže Zákazník kedykoľvek exportovať prehľady, dôkazy o školení a auditnú stopu. Po skončení predplatného sa správcovia môžu ešte 90 dní prihlásiť, avšak iba na export údajov; potom sa spoločnosť a všetky jej údaje automaticky vymažú, ak Zákazník nepožiada o skorší výmaz. Kópie v zálohách sa prepíšu do 30 dní. Na údaje, ktoré musíme uchovávať podľa zákona (napr. faktúry), sa tento bod nevzťahuje.

12. Audity

Sprístupníme Zákazníkovi informácie potrebné na preukázanie plnenia tejto Zmluvy o spracúvaní a umožníme audity vrátane kontrol vykonávané Zákazníkom alebo audítorom viazaným mlčanlivosťou. Audity prebiehajú po primeranom predchádzajúcom písomnom oznámení, v pracovnom čase, najviac raz ročne (s výnimkou situácie po porušení ochrany údajov) a na náklady Zákazníka, bez narušenia Služby a bez prístupu k údajom iných zákazníkov.

13. Povinnosti Zákazníka

Zákazník zodpovedá za to, že má na spracúvanie právny základ, že svojich zamestnancov informoval a že údaje a pokyny, ktoré nám poskytuje, sú v súlade s právom.

14. Zodpovednosť a rozhodné právo

Zodpovednosť podľa tejto Zmluvy o spracúvaní sa riadi obchodnými podmienkami, ak GDPR neustanovuje inak. Táto Zmluva o spracúvaní sa riadi právom Českej republiky; spory z nej rozhodujú vecne a miestne príslušné súdy Českej republiky podľa nášho sídla. Kontakt vo veciach ochrany osobných údajov: sales@guard-ai.eu.