Sprostredkovateľ / Poskytovateľ
Šperk, s.r.o.
IČO: 46736484
DIČ: 2023561672
Sídlo: Dobrianskeho 1604/63, 093 01 Vranov nad Topľou
Web služby: https://lacneuctovnictvo.sk/agriweb/
Tieto podmienky (ďalej len „DPA“) tvoria v rozsahu, v akom Poskytovateľ spracúva osobné údaje v mene Klienta, zmluvu o spracúvaní osobných údajov podľa článku 28 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR). Sú súčasťou zmluvného rámca spolu s Objednávkou, VOP a Cenníkom a nevyžadujú samostatný podpis, ak ich Klient platne akceptoval spolu so zmluvou.
1. Postavenie strán
1.1 Klient je prevádzkovateľom osobných údajov, ktoré určuje a spracúva prostredníctvom svojej webovej prezentácie, e-mailových schránok alebo pokynov Poskytovateľovi, pokiaľ z povahy konkrétneho spracúvania nevyplýva inak.
1.2 Poskytovateľ je pri spracúvaní týchto údajov v mene Klienta sprostredkovateľom.
1.3 Poskytovateľ je samostatným prevádzkovateľom pri vlastnej zmluvnej a účtovnej administratíve v rozsahu skutočne určených účelov. Pri technických a bezpečnostných údajoch sa rola posudzuje podľa účelu a rozhodovania o spracúvaní; nie všetky logy sú automaticky vlastným spracúvaním Poskytovateľa. Údaje spracúvané v mene Klienta nemožno použiť na vlastný účel iba odkazom na bezpečnosť.
2. Predmet a trvanie spracúvania
2.1 Predmetom spracúvania je poskytovanie objednanej webovej, e-mailovej, hostingovej, DNS, technickej a podpornej Služby v rozsahu Objednávky a VOP.
2.2 Spracúvanie trvá počas poskytovania Služby vrátane výpovednej doby a následne iba v nevyhnutnom rozsahu na dokončenie zákonného vrátenia, vymazania a odstránenia záloh. DPA trvá až do dokončenia týchto povinností.
2.3 DPA neustanovuje automatickú 30-dňovú archivačnú úschovu po skončení. Klient počas výpovednej doby prevezme údaje, ktoré chce zachovať. Voľba vrátenia alebo vymazania a povinné lehoty sa riadia článkom 14.
3. Povaha a účel spracúvania
3.1 Poskytovateľ môže v nevyhnutnom rozsahu vykonávať najmä prijímanie, prenos, uloženie, hosting, zobrazovanie, organizovanie, technickú konfiguráciu, zálohovanie pre účely obnovy infraštruktúry, obnovu po incidente, diagnostiku, obmedzenie, export na pokyn Klienta a vymazanie osobných údajov.
3.2 Účelom je výlučne poskytovanie, zabezpečenie, údržba a podpora Služby podľa zmluvy a dokumentovaných pokynov Klienta, prípadne splnenie povinnosti uloženej právom.
3.3 Poskytovateľ nepoužije údaje spracúvané v mene Klienta na vlastný priamy marketing, predaj databáz, profilovanie osôb alebo iný nezlučiteľný vlastný účel.
3.4 Všeobecné oprávnenie používať AI nástroje nie je súhlasom s odovzdávaním obsahu schránok, príloh alebo iných neverejných osobných údajov ľubovoľnej AI službe. Také použitie vyžaduje dokumentovaný účel a pokyn, riadne zapojenie príjemcu, prenosový mechanizmus a vhodné opatrenia. Údaje spracúvané v mene Klienta sa nepoužijú na tréning modelov pre vlastné alebo cudzie účely bez osobitného dovoleného základu.
4. Typy osobných údajov a kategórie dotknutých osôb
4.1 V závislosti od spôsobu používania Služby môžu byť spracúvané najmä:
a) identifikačné a kontaktné údaje, napríklad meno, pracovná pozícia, telefón, e-mail a pracovisko,
b) údaje zverejnené na webovej prezentácii Klienta,
c) obsah e-mailových správ, prílohy, adresáti, odosielatelia a technické metadáta e-mailovej komunikácie,
d) prihlasovacie a technické údaje nevyhnutné na prevádzku a bezpečnosť,
e) IP adresy, časové údaje a obmedzené prevádzkové alebo bezpečnostné logy, ak ich vytvára technická infraštruktúra,
f) ďalšie údaje, ktoré Klient vloží do Služby alebo poskytne v rámci servisnej požiadavky.
4.2 Dotknutými osobami môžu byť najmä zamestnanci, členovia orgánov, členovia družstva, obchodní partneri, zákazníci, dodávatelia, záujemcovia, uchádzači o zamestnanie, kontaktné osoby a iné osoby komunikujúce s Klientom.
4.3 Objednávka alebo spracovateľská príloha určí skutočne poskytované funkcie, kategórie dotknutých osôb a údajov a kontakty pre ochranu údajov. Ak Klient zamýšľa rizikové alebo systematické spracúvanie osobitných kategórií údajov, strany pred jeho začatím posúdia vhodnosť služby a potrebné opatrenia. Bežná možnosť prijať citlivý údaj v e-maile nezbavuje Poskytovateľa jeho bezpečnostných povinností.
5. Dokumentované pokyny Klienta
5.1 Poskytovateľ spracúva osobné údaje iba na základe dokumentovaných pokynov Klienta, pokiaľ spracúvanie nevyžaduje právo Európskej únie alebo Slovenskej republiky.
5.2 Za dokumentované pokyny sa považujú najmä Objednávka, VOP, toto DPA, technická konfigurácia objednanej Služby a konkrétne požiadavky doručené z Autorizovaného e-mailu alebo iným overeným spôsobom.
5.3 Ak právny predpis ukladá Poskytovateľovi spracúvať údaje bez pokynu Klienta, Poskytovateľ Klienta o tejto požiadavke informuje pred spracúvaním, pokiaľ mu právny predpis alebo rozhodnutie oprávneného orgánu také informovanie nezakazuje.
5.4 Ak sa Poskytovateľ dôvodne domnieva, že pokyn Klienta porušuje GDPR alebo iný právny predpis o ochrane osobných údajov, bezodkladne na to Klienta upozorní a môže vykonanie pokynu pozastaviť do vyjasnenia jeho zákonnosti.
6. Dôvernosť a prístup k údajom
6.1 Poskytovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli zaviazané mlčanlivosťou alebo sa na ne vzťahovala primeraná zákonná povinnosť mlčanlivosti.
6.2 Prístup k osobným údajom sa obmedzuje podľa princípu nevyhnutnej potreby a podľa technických možností Služby.
6.3 Poskytovateľ nebude aktívne kontrolovať obsah e-mailových schránok Klienta. K obsahu môže pristúpiť len vo výnimočnom a nevyhnutnom rozsahu, najmä:
a) na dokumentovaný a primerane overený pokyn Klienta,
b) pri nevyhnutnom technickom alebo bezpečnostnom zásahu, ak problém nemožno primerane vyriešiť bez takého prístupu,
c) pri riešení konkrétneho incidentu alebo zneužitia,
d) ak prístup vyžaduje právny predpis alebo oprávnený orgán verejnej moci.
6.4 Ak je to technicky a právne možné, prístup sa obmedzí na rozsah nevyhnutný na vyriešenie konkrétnej situácie.
7. Bezpečnostné opatrenia
7.1 Poskytovateľ prijme primerané technické a organizačné opatrenia so zreteľom na stav techniky, náklady na vykonanie, povahu, rozsah, kontext a účely spracúvania a riziká pre práva a slobody fyzických osôb.
7.2 Konkrétne technické a organizačné opatrenia, lokality, doby uchovania a pravidlá obnovy sú uvedené v prílohe DPA a zodpovedajú reálne zavedenej konfigurácii. Poskytovateľ ich pravidelne preskúmava a nezníži dohodnutú úroveň ochrany. Zmeny, ktoré podstatne menia riziká alebo dohodnuté hlavné opatrenia, vopred prerokuje s Klientom. Systémové zálohy nenahrádzajú individuálny archív, ale výluka archivačnej garancie nevylučuje povinnosti podľa článku 32 GDPR.
7.3 Technické zálohy nie sú individuálnou archivačnou službou a Poskytovateľ negarantuje obnovu konkrétneho historického e-mailu alebo verzie obsahu.
7.4 Klient zodpovedá za bezpečnosť svojich zariadení, používateľských účtov, koncových e-mailových klientov a za ochranu jemu pridelených hesiel.
8. Ďalší sprostredkovatelia
8.1 Klient udeľuje Poskytovateľovi všeobecné písomné oprávnenie zapojiť ďalších sprostredkovateľov potrebných na poskytovanie Služby.
8.2 Môže ísť najmä o poskytovateľov hostingu a CDN, dátových centier, DNS a bezpečnostných služieb, registrátorov a správcov domén v rozsahu, v akom spracúvajú osobné údaje, poskytovateľov e-mailovej služby, technického monitoringu, zálohovania, komunikácie a ďalších nevyhnutných infraštruktúrnych služieb.
8.3 Pred akceptáciou DPA Poskytovateľ poskytne aktuálny zoznam ďalších sprostredkovateľov a relevantného reťazca spracúvania. Uvedie právny názov, adresu a kontakt, činnosť, kategórie údajov, miesto spracúvania a prístupov, prenosový mechanizmus a dátum zaradenia. Zoznam udržiava aktuálny a dostupný počas spracúvania. Dodávateľ sa označí ako ďalší sprostredkovateľ len v rozsahu, v ktorom túto rolu skutočne vykonáva.
Pracovný zoznam dodávateľov (overiť pred prvou produkčnou Aktiváciou): Websupport – používaný pre existujúcu firemnú schránku / súvisiace služby, jeho úloha v produkčnom AgriWEB balíku sa ešte nepotvrdila; WebHouse Happy (webhouse.sk) – zvolený smer budúceho produkčného hostingu a e-mailu, zatiaľ nie je objednaný ani nasadený. Cloudflare – už používaný na oddelené demo a interné CRM; nejde automaticky o subdodávateľa produkčných schránok klientov. Pri každom z nich sa do finálnej dodávateľskej prílohy doplní presná právnická osoba, právna rola, činnosti, lokalita spracúvania, účinná DPA, prípadné zahraničné prístupy a dátum zapojenia podľa reálneho technického nastavenia. Uvedenie značky samo osebe nepotvrdzuje uzavretie zmluvy ani postavenie ďalšieho sprostredkovateľa.
8.4 Poskytovateľ aktívne vopred oznámi každé plánované pridanie alebo nahradenie ďalšieho sprostredkovateľa, spravidla aspoň 15 dní pred zapojením, a dá Klientovi reálnu možnosť namietať z dôvodov ochrany údajov. Podstatnosť zmeny nie je podmienkou oznámenia.
8.5 Pri nevyriešenej dôvodnej námietke sa údaje dotknutému novému sprostredkovateľovi nesprístupnia. Strany dohodnú riešenie alebo dotknutú Službu ukončia pred zapojením bez sankcie a s odovzdaním údajov.
8.6 Kontinuita sa prednostne rieši vopred oznámeným a povoleným náhradným dodávateľom. Pri nepredvídanej potrebe sa vyžiada konkrétne oprávnenie alebo použije osobitný zákonný základ, ak existuje. Všeobecná naliehavá bezpečnostná alebo prevádzková potreba sama osebe nenahrádza povinnosti informovania a oprávnenia podľa GDPR.
8.7 Poskytovateľ zabezpečí, aby ďalší sprostredkovateľ mal uložené povinnosti ochrany osobných údajov v rozsahu požadovanom článkom 28 GDPR. Poskytovateľ zostáva voči Klientovi zodpovedný za plnenie povinností ďalšieho sprostredkovateľa v rozsahu stanovenom GDPR.
9. Prenosy do tretích krajín
9.1 Pred prenosom alebo vzdialeným prístupom z tretej krajiny Poskytovateľ zdokumentuje príjemcu, krajinu a konkrétny právny mechanizmus kapitoly V GDPR, overí jeho použiteľnosť na dané spracúvanie a prijme potrebné doplnkové opatrenia. Informácie sprístupní Klientovi. Samotná európska lokalita servera nevylučuje prenos cez zahraničnú podporu. Použitie dodávateľských mechanizmov nenahrádza ich overenie pre konkrétnu službu.
9.2 Mechanizmus zavedený ďalším sprostredkovateľom sa môže použiť až po overení jeho použiteľnosti pre konkrétne spracúvanie. Samotný odkaz na dodávateľa nenahrádza povinnosť Poskytovateľa.
10. Práva dotknutých osôb
10.1 Ak Poskytovateľ dostane žiadosť dotknutej osoby týkajúcu sa údajov, pri ktorých je Klient prevádzkovateľom, žiadosť bez zbytočného odkladu postúpi Klientovi alebo dotknutú osobu primerane nasmeruje na Klienta, ak právny predpis neurčuje inak.
10.2 S prihliadnutím na povahu spracúvania Poskytovateľ v primeranom rozsahu pomôže Klientovi vhodnými technickými a organizačnými opatreniami pri plnení povinnosti reagovať na žiadosti o výkon práv dotknutých osôb.
10.3 Štandardné informácie o súlade a nevyhnutné plnenie povinností Poskytovateľa sa osobitne nespoplatňujú. Cenu dodatočných individuálnych prác možno dohodnúť vopred, len ak spoplatnenie pripúšťa právo a nebráni výkonu povinného práva. Náklady nápravy vlastného porušenia znáša Poskytovateľ. Neuplatní sa automatická úhrada auditu len preto, že zistené porušenie nie je označené ako podstatné.
11. Porušenie ochrany osobných údajov
11.1 Poskytovateľ oznámi Klientovi porušenie ochrany osobných údajov bez zbytočného odkladu po jeho zistení, aj keď zatiaľ nepozná všetky podrobnosti. Prvé oznámenie obsahuje dostupné údaje, kontakt a prijaté opatrenia; následné informácie poskytuje priebežne. Nečaká na ukončenie vyšetrovania ani na posúdenie, či Klient musí incident oznámiť dozornému orgánu.
11.2 Oznámenie bude podľa dostupných informácií obsahovať údaje primerane potrebné na to, aby Klient mohol splniť svoje povinnosti podľa článkov 33 a 34 GDPR, najmä opis povahy incidentu, známe alebo odhadované kategórie údajov a osôb, možné následky a prijaté alebo navrhované nápravné opatrenia.
11.3 Ak nie je možné poskytnúť všetky informácie naraz, Poskytovateľ ich môže dopĺňať postupne bez ďalšieho neodôvodneného odkladu.
12. Súčinnosť pri bezpečnosti, DPIA a konzultáciách
12.1 Poskytovateľ s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii, poskytne Klientovi primeranú súčinnosť pri plnení povinností podľa článkov 32 až 36 GDPR.
12.2 Štandardné technické informácie o Službe a bezpečnostných opatreniach poskytne Poskytovateľ v primeranom rozsahu bez osobitného poplatku.
12.3 Štandardné informácie o súlade a nevyhnutné plnenie povinností Poskytovateľa sa osobitne nespoplatňujú. Cenu dodatočných individuálnych prác možno dohodnúť vopred, len ak spoplatnenie pripúšťa právo a nebráni výkonu povinného práva. Náklady nápravy vlastného porušenia znáša Poskytovateľ. Neuplatní sa automatická úhrada auditu len preto, že zistené porušenie nie je označené ako podstatné.
13. Informácie a audity
13.1 Poskytovateľ poskytne Klientovi informácie primerane potrebné na preukázanie splnenia povinností podľa článku 28 GDPR.
13.2 Dokumentačné a vzdialené overenie možno použiť, ak postačuje na splnenie požiadaviek GDPR; nenahrádza odôvodnené právo na inšpekciu.
13.3 Poskytovateľ poskytne informácie a pomoc potrebné podľa článku 28 GDPR a umožní odôvodnený audit vrátane inšpekcie. Dohoda o bezpečnom rozsahu a termíne slúži na organizáciu, nie ako právo povinný audit odmietnuť. Urgentný incident alebo zákonná kontrola sa nesmú odkladať podmienkou zálohy alebo konečnej dohody o odmene. Rozumné opatrenia chránia údaje iných klientov; neodstraňujú právo Klienta poveriť vlastného audítora.
13.4 Štandardné informácie o súlade a nevyhnutné plnenie povinností Poskytovateľa sa osobitne nespoplatňujú. Cenu dodatočných individuálnych prác možno dohodnúť vopred, len ak spoplatnenie pripúšťa právo a nebráni výkonu povinného práva. Náklady nápravy vlastného porušenia znáša Poskytovateľ. Neuplatní sa automatická úhrada auditu len preto, že zistené porušenie nie je označené ako podstatné.
14. Vrátenie a vymazanie údajov
14.1 Klient zabezpečuje vlastný archív e-mailov, príloh, webových podkladov a ostatných dát a jeho ďalšie uchovávanie po skončení služby. Ak potrebuje údaje zachovať, počas výpovednej doby ich prevezme alebo zabezpečí ich prenos k novému poskytovateľovi a overí výsledok. Poskytovateľ nie je po skončení archivačným správcom Klienta a nevyhľadáva mu nového poskytovateľa. Najneskôr pri potvrdení skončenia oznámi dátum vypnutia prevádzky, dostupný spôsob prevzatia dát a plánovaný postup vymazania. Klient ako prevádzkovateľ určí, či sa osobné údaje spracúvané v jeho mene vrátia alebo vymažú. Bežná výpovedná doba je dva kalendárne mesiace od konca mesiaca doručenia podľa článku 20 VOP. Klient má počas poskytovania prístupy IMAP, SMTP a POP3 a zabezpečí vlastný archív a migráciu; Poskytovateľ zachová potrebnú súčinnosť podľa VOP a práva.
14.2 Ku dňu účinného skončenia sa ukončí bežná prevádzka webu a prijímanie, odosielanie a bežný prístup k schránkam. Bez osobitnej dohody nevzniká nárok na pokračovanie služby alebo zmluvnú archivačnú úschovu po tomto dni. Klient si môže pred skončením zvoliť vrátenie osobných údajov alebo ich vymazanie. Ak neurčí inak, jeho pokynom dohodnutým v DPA je umožniť mu vlastné prevzatie počas trvania služby a následne údaje vymazať po skončení. Ak požiada o vrátenie, Poskytovateľ údaje nevymaže skôr, než splní túto povinnosť a zabezpečí dohodnutý spôsob odovzdania. Povinné lehoty na prevzatie alebo uchovanie a osobitné pravidlá zmeny poskytovateľa majú prednosť. Také dokončenie povinností nie je archivačnou službou. DPA zostáva účinné až do dokončenia zákonného vrátenia a vymazania.
14.3 Po skončení alebo podľa zákonne prípustného pokynu Klienta Poskytovateľ vykoná vymazanie údajov a existujúcich kópií; pri voľbe vrátenia najprv splní povinnosť odovzdania. Výnimkou sú údaje, ktorých uchovanie vyžaduje právo Únie alebo členského štátu. Klientovi potvrdí vykonanie a prípadné zákonné výnimky. Zvyškové technické zálohy sa izolujú od bežného používania a odstránia najneskôr podľa konkrétneho cyklu uvedeného v technickej prílohe. Pri havarijnej obnove sa pokyn na vymazanie opätovne vykoná. Technické zálohy Poskytovateľa nie sú klientovým archívom a po skončení nezakladajú nárok na jeho obnovu. DPA platí až do dokončenia zákonného vrátenia a vymazania. Odovzdanie klientových dát sa odlišuje od odovzdania spoločnej platformy. Zahŕňa dostupné správy a prílohy zo schránok, klientom dodané texty, logo, fotografie a dokumenty a údaje, ktoré je Poskytovateľ povinný odovzdať podľa práva. Nezahŕňa spoločný repozitár, tajomstvá, údaje iných klientov ani licencie tretích osôb, ktoré nemožno previesť. Poskytovateľ uvedie exportné formáty a obmedzenia v technickej prílohe pred Aktiváciou.
14.4 Ak sa na Službu uplatnia osobitné pravidlá zmeny poskytovateľa služieb spracúvania dát, Poskytovateľ zabezpečí požadovanú súčinnosť, export a prechod v zákonnom rozsahu. Zmluvné lehoty a cenníkové ustanovenia sa nepoužijú v rozsahu, v ktorom by týmto pravidlám odporovali. Klientovi sa neúčtuje poplatok, ktorého účtovanie je zákonom zakázané. Ochrana spoločnej platformy nesmie brániť odovzdaniu exportovateľných klientových dát.
15. Povinnosti Klienta ako prevádzkovateľa
15.1 Klient zodpovedá najmä za:
a) zákonnosť, spravodlivosť a transparentnosť svojho spracúvania,
b) existenciu právneho základu,
c) plnenie informačných povinností,
d) primeranosť rozsahu a doby uchovávania údajov,
e) vybavovanie práv dotknutých osôb,
f) zákonnosť osobných údajov a obsahu zverejneného na webe,
g) oprávnenia na zverejnenie fotografií, mien, funkcií, telefónov a e-mailov,
h) vhodnosť používania Služby pre osobitne citlivé alebo regulované spracúvanie,
i) bezpečnosť zariadení a účtov vo svojej správe.
15.2 Klient nebude Poskytovateľovi dávať nezákonné pokyny ani vyžadovať funkcionalitu, ktorú nemožno primerane prevádzkovať v súlade s právnymi predpismi.
15.3 Vlastnú archiváciu, uchovávanie po skončení, výber nového poskytovateľa, migráciu a overenie výsledku zabezpečuje Klient. Táto povinnosť nevylučuje vlastné povinnosti a zodpovednosť Poskytovateľa podľa GDPR.
16. Privacy-first web, cookies a logy
16.1 Štandardná webová prezentácia je navrhovaná bez reklamného trackingu, behaviorálnej analytiky, marketingových pixelov a kontaktného formulára, pokiaľ Klient výslovne neobjedná inú funkcionalitu.
16.2 Potreba súhlasu alebo cookie riešenia sa posudzuje podľa skutočných použitých technológií a účelov, vrátane technológií dodávateľov. Označenie privacy-first ani neprítomnosť formulára nie sú samy osebe právnym záverom. Nepovinné analytické alebo marketingové technológie sa nezapnú bez príslušného nastavenia a právnych opatrení. Nový účel sa doplní do informácií o spracúvaní.
16.3 Skutočné doby uchovania aplikačných, bezpečnostných, e-mailových a administrátorských logov a záloh sa doplnia do technickej prílohy podľa účelu. Všeobecný 30-dňový pracovný limit nie je zákonnou univerzálnou lehotou. Výnimky sa zdokumentujú pre konkrétne údaje a účel; povinnosť minimalizácie sa vzťahuje aj na dodávateľský reťazec.
17. Orgány verejnej moci
17.1 Ak je Poskytovateľ povinný osobné údaje poskytnúť oprávnenému orgánu verejnej moci, postupuje podľa právneho predpisu alebo záväzného rozhodnutia.
17.2 Poskytovateľ informuje Klienta o požiadavke alebo poskytnutí údajov, ak je to právne dovolené a primerané. Ak zákon alebo rozhodnutie zakazuje oznámiť existenciu alebo podrobnosti požiadavky, Poskytovateľ túto povinnosť mlčanlivosti dodrží.
17.3 Samotná požiadavka orgánu verejnej moci nezakladá automatický poplatok Klienta. Zákonná súčinnosť sa nepodmieňuje zaplatením. Dobrovoľné osobitne objednané práce sa oceňujú iba v právne dovolenom rozsahu podľa VOP a Cenníka.
18. Záverečné ustanovenia DPA
18.1 Ak je medzi týmto DPA a VOP rozpor v otázke povinností sprostredkovateľa podľa článku 28 GDPR, má v tejto otázke prednosť toto DPA. Individuálny zákonný pokyn v Objednávke má prednosť, ak neznižuje úroveň ochrany vyžadovanú GDPR.
18.2 Zmena DPA sa vykonáva primerane spôsobom podľa VOP; zmena nesmie zbaviť Klienta práv alebo Poskytovateľa povinností, ktoré kogentne vyžaduje GDPR.
18.3 Pojmy „osobné údaje“, „spracúvanie“, „prevádzkovateľ“, „sprostredkovateľ“, „ďalší sprostredkovateľ“, „porušenie ochrany osobných údajov“ a ďalšie pojmy GDPR majú význam podľa GDPR.
18.4 Toto DPA sa vykladá v súlade s GDPR, zákonom č. 18/2018 Z. z. o ochrane osobných údajov a ostatnými priamo uplatniteľnými alebo záväznými právnymi predpismi.