V rámci spolupráce s našou spoločnosťou a využívania portfólia služieb (tvorba webových stránok, e-shopov, marketingové aktivity, správa sociálnych sieti a atď..) sa naša spoločnosť z pohľadu nariadenia GDPR dostáva do postavenia "Sprostredkovateľ".
Tento vzťah je definovaný konkrétne čl. 28 nariadenia GDPR.
Sprostredkovateľ spracúva osobné údaje dotknutých osôb v mene Prevádzkovateľa. Spracúvanie osobných údajov prostredníctvom sprostredkovateľa nemá negatívny vplyv na výkon a uplatňovanie práv dotknutej osoby.
Pre potvrdenie primeraných technických, organizačných a personálnych opatrení Vám nižšie uvádzame nasledujúce dôležité informácie, aby spracúvanie poskytnutých údajov zo strany Prevádzkovateľa spĺňalo požiadavky GDPR.
Tento vzťah je definovaný konkrétne čl. 28 nariadenia GDPR.
Sprostredkovateľ spracúva osobné údaje dotknutých osôb v mene Prevádzkovateľa. Spracúvanie osobných údajov prostredníctvom sprostredkovateľa nemá negatívny vplyv na výkon a uplatňovanie práv dotknutej osoby.
Pre potvrdenie primeraných technických, organizačných a personálnych opatrení Vám nižšie uvádzame nasledujúce dôležité informácie, aby spracúvanie poskytnutých údajov zo strany Prevádzkovateľa spĺňalo požiadavky GDPR.
Prevádzkovateľ - Klient objednávajúci si naše služby
Sprostredkovateľ:
Obchodné meno: TOMARCO s. r. o.
Sídlo: Viliama Galvánka 3129/2, 024 04 Kysucké Nové Mesto
IČO: 51709449
Prevádzkovateľ a Sprostredkovateľ spolu sú označovaní aj ako „zmluvné strany“.
Spracúvanie osobných údajov (ďalej aj „údaje“) sa vykonáva v režime podľa čl. 28 Nariadenia Európskeho Parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (ďalej len „nariadenie GDPR“) a § 34 zákona č. 18/2018 Z.z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „Zákon“).
1. Vznik a trvanie vzťahu Prevádzkovateľ a Sprostredkovateľ
1.1. Vzťah Prevádzkovateľ a sprostredkovateľ vzniká na základe podanej objednávky zo strany Prevádzkovateľa, alebo po podpise zmluvy o dodávaní služieb.
1.2. Predmetom tohto vzťahu Prevádzkovateľ a Sprostredkovateľ je úprava vzájomných práv a povinností zmluvných strán pri spracúvaní osobných údajov dotknutých osôb Sprostredkovateľom v mene Prevádzkovateľa a poverenie Sprostredkovateľa Prevádzkovateľom spracúvaním osobných údajov, ktoré Prevádzkovateľ spracúva vo svojich informačných systémoch, v rozsahu a za podmienok stanovených nižšie.
1.3. Tento vzťah a doba spracúvania zodpovedá trvaniu zmluvného vzťahu Prevádzkovateľa so Sprostredkovateľom.
1.4. Prevádzkovateľ je oprávnený odstúpiť od tejto spolupráce a vzťahu okamžitou účinnosťou v prípade:- porušenia aplikovateľných právnych predpisov ohľadom ochrany osobných údajov, najmä nariadenia GDPR alebo Zákona,
- porušenia zmluvných ustanovení o ochrane údajov obsiahnutých buď Zmluve o spracúvaní osobných údajov alebo v týchto podmienkach,
- porušenia technických a organizačných opatrení schválených Prevádzkovateľom podľa bodu 5 Zmluvy o spracúvaní osobných údajov alebo týchto podmienok,
- ukončenia zmluvy, bez ohľadu na dôvod, spôsob a prípadnú spornosť ukončenia,
- ak Sprostredkovateľ nechce alebo nie je schopný vykonať opodstatnené pokyny Prevádzkovateľa.
2. Účel spracúvania osobných údajov Sprostredkovateľom
2.1. Účel plánovaného spracúvania osobných údajov Sprostredkovateľom je vymedzený poskytovaním služieb v oblasti informačných technológií (IT) na základe výberu služby objednávateľom - Prevádzkovateľom ako napr.: tvorba webových stránok, e-shopov, marketingové aktivity, správa sociálnych sieti a atď. Spracúvanie sa realizuje na základe podania objednávky zo strany Prevádzkovateľa alebo v prípade plnenia povinností v zmysle podpísanej zmluvy o službách.
2.2. Zmluvne dohodnuté spracúvanie osobných údajov sa vykoná výlučne v sídle Prevádzkovateľa a/alebo Sprostredkovateľa, prípadne v rámci členského štátu Európskej únie (EÚ) alebo v rámci členského štátu Európskeho hospodárskeho priestoru (EHP). Každý prenos osobných údajov do štátu, ktorý nie je členským štátom EÚ alebo EHP alebo do medzinárodnej organizácie, si vyžaduje predchádzajúci súhlas Prevádzkovateľa a vykoná sa iba v prípade, keď boli splnené osobitné podmienky prenosov podľa čl. 44 a nasl. nariadenia GDPR.
3. Rozsah osobných údajov spracúvaný nami ako Sprostredkovateľom
3.1. Predmet spracúvania osobných údajov stanovuje vždy jedine Prevádzkovateľ a najčastejšie zahŕňa nasledovné typy/kategórie údajov (zoznam/opis kategórií údajov):
- priezvisko, meno, titul,
- adresa trvalého pobytu alebo adresa prechodného pobytu,
- korešpondenčná adresa,
- dátum narodenia, rodné číslo,
- e-mailová adresa,
- identifikačné číslo,
- online identifikátor,
- IP adresa, lokalizačné údaje,
- podpis,
- komunikačné údaje (napr. telefón, skype, ICQ, Facebook, Instagram a pod.),
- obrazové snímky, obrazové a zvukové záznamy,
- iné osobné údaje, ktoré sú nevyhnutné na dosiahnutie definovaného účelu spracúvania Prevádzkovateľom - čiže objednávateľom.
4. Kategórie dotknutých osôb
4.1. Do kategórie dotknutých osôb najčastejšie spadajú:- zamestnanci Prevádzkovateľa,
- bývalí zamestnanci Prevádzkovateľa,
- fyzické osoby, ktorých osobné údaje sa môžu nachádzať v informačných systémoch Prevádzkovateľa.
5. Technické a organizačné opatrenia Sprostredkovateľa
5.1. Sprostredkovateľ prehlasuje, že na zaistenie ochrany práv dotknutých osôb prijal primerané technické a organizačné opatrenia a nechal si vypracovať spoločnosťou osobnyudaj.sk, s.r.o. bezpečnostnú dokumentáciu, ktorá deklaruje zákonné spracúvanie osobných údajov.
Číslo osvedčenia: Osobnyudaj.sk-2023-27641.
Sprostredkovateľ zároveň prehlasuje, že zaviedol transparentný systém zaznamenávania bezpečnostných incidentov a akýchkoľvek otázok zo strany dotknutej osoby, ako aj iných osôb.
Sprostredkovateľ prehlasuje, že jeho zamestnanci - oprávnené osoby, ktoré spracúvajú osobné údaje sú riadne písomne poverené a zaviazané mlčanlivosťou a to aj po skončení pracovného pomeru v zmysle § 79 Zákona.
Ďalej pre bezpečnosť a ochranu osobných údajov:
6. Podmienky spracúvania osobných údajov Sprostredkovateľom
Ďalej pre bezpečnosť a ochranu osobných údajov:
- zaistil maximálnu objektovú bezpečnosť
- zaviedol kľúčový režim a požiarnu bezpečnosť
- zaviedol pravidlo čistého stola a čistej obrazovky
- zaviedol heslovú politiku elektronických zariadení a informačných systémov
- zabezpečil pracovné stanice aktualizovaným antivírusovým programom
- zamedzil možnému prístupu neoprávnených osôb k osobným údajom
- umiestnil dokumenty v papierovej podobe do uzamykateľných skríň
- vypracoval záznamy o spracovateľských činnostiach, bezpečnostnú dokumentáciu GDPR a IT smernicu, ktoré deklarujú zákonné spracúvanie osobných údajov
- náležite vykonal poučenie oprávnených osôb
- vykonal kroky potrebné na dosiahnutie súladu s čl. 28 ods. 3 nariadenia GDPR
- aktívne si plní informačnú povinnosť v zmysle čl. 13 nariadenia GDPR
- osobné údaje nezverejňuje – jedine v prípade udelenia súhlasu dotknutej osoby
- zaviedol transparentný systém zaznamenávania bezpečnostných incidentov a akýchkoľvek otázok zo strany dotknutej osoby, ako aj iných osôb
- poveril výkonom zodpovednej osoby spoločnosť osobnyudaj.sk, s.r.o.
6. Podmienky spracúvania osobných údajov Sprostredkovateľom
6.1. Prevádzkovateľ definuje pokyn a určuje rozsah spracovateľských činností Sprostredkovateľa, ako by Sprostredkovateľ mal spracúvať osobné údaje za splnenia nasledujúcich podmienok:
- Sprostredkovateľ je oprávnený spracúvať osobné údaje výhradne na dohodnutý účel, spôsobom a v rozsahu určenom Prevádzkovateľom, ktorý vyplýva zo záznamu o spracovateľských činnostiach v príslušnom informačnom systéme (môže sa jednať o - získavanie, zhromažďovanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo menenie, vyhľadávanie, prehľadávanie, využívanie, poskytovanie prenosom, šírenie alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidovanie). Zároveň nie je oprávnený preniesť tieto údaje žiadnej tretej strane. Kópie alebo duplikáty údajov nie je možné vyhotovovať bez vedomia Prevádzkovateľa, okrem záložných kópií, ktoré sú potrebné na zabezpečenie riadneho spracúvania údajov, ako aj údajov, ktoré sú požadované za účelom splnenia regulačných (archivačných) požiadaviek pre uchovávanie údajov,
- Sprostredkovateľ môže poveriť spracúvaním osobných údajov ďalšieho sprostredkovateľa (ďalej len ,,subSprostredkovateľ“) iba na základe osobitného písomného súhlasu Prevádzkovateľa; pri zapojení ďalšieho sprostredkovateľa do vykonávania osobitných spracovateľských činností v mene Prevádzkovateľa je mu povinný uložiť rovnaké povinnosti týkajúce sa ochrany osobných údajov,
- Sprostredkovateľ bude spracúvať osobné údaje len na základe písomných pokynov Prevádzkovateľa,
- Sprostredkovateľ je povinný vykonať opatrenia na zaistenie úrovne bezpečnosti spracúvania osobných údajov v súlade s čl. 32 nariadenia GDPR,
- Sprostredkovateľ je povinný poskytnúť súčinnosť Prevádzkovateľovi pri zabezpečovaní plnenia povinností v oblasti bezpečnosti osobných údajov v súlade s čl. 32 až 36 nariadenia GDPR, ako aj súčinnosť pri plnení povinností Prevádzkovateľa reagovať na žiadosti o výkon práv dotknutej osoby ustanovených v kapitole III nariadenia GDPR,
- Sprostredkovateľ je povinný vymazať osobné údaje alebo vrátiť Prevádzkovateľovi osobné údaje po ukončení poskytovania služieb týkajúcich sa spracúvania osobných údajov na základe rozhodnutia Prevádzkovateľa a vymazať existujúce kópie,
- Sprostredkovateľ je povinný poskytnúť Prevádzkovateľovi informácie potrebné na preukázanie splnenia zmluvných povinností a poskytnúť súčinnosť v rámci auditu ochrany osobných údajov a kontroly zo strany Prevádzkovateľa alebo audítora, ktorého poveril Prevádzkovateľ,
- Sprostredkovateľ nemôže svojvoľne opraviť, vymazať alebo obmedziť spracúvanie údajov spracúvaných v mene Prevádzkovateľa, môže tak urobiť iba na základe zdokumentovaných pokynov od Prevádzkovateľa. V prípade, že dotknutá osoba požiada priamo Sprostredkovateľa o opravu, vymazanie, obmedzenie spracúvania alebo uplatní voči Sprostredkovateľovi akékoľvek iné svoje právo, Sprostredkovateľ bezodkladne posunie túto požiadavku dotknutej osoby Prevádzkovateľovi,
- Ak osobitný predpis neustanovuje inak, po ukončení zmluvného vzťahu, najneskôr však pri ukončení platnosti zmluvy, Sprostredkovateľ vráti akékoľvek prijaté dokumenty, pripravené výstupy spracúvania a využívania údajov, ako aj súpis údajov týkajúcich sa zmluvného vzťahu s Prevádzkovateľom, alebo ich so súhlasom Prevádzkovateľa zničí v súlade s príslušnými ustanoveniami o ochrane údajov. To isté platí aj pre testovacie a chybné materiály s údajmi. Na požiadanie bude Prevádzkovateľovi odovzdaný záznam o vymazaní údajov.
7. Ďalšie záväzky existujúceho vzťahu Prevádzkovateľ - Sprostredkovateľ
7.1 V prámci spolupráce s klientmi pri dodávaní služieb vznikajú medzi stranami Prevádzkovateľ a Sprostredkovateľ taktiež nasledujúce podmienky a záväzky:
- ako Sprostredkovateľ sa zaväzujeme zabezpečiť osobné údaje pred odcudzením, stratou, poškodením, neoprávneným prístupom, zmenou a rozširovaním. Na tento účel prijímame maximálne možné primerané technické, organizačné a personálne opatrenia,
- Prevádzkovateľ je oprávnený požadovať od Sprostredkovateľa preukázanie vykonania všetkých predpísaných bezpečnostných opatrení na ochranu osobných údajov,
- v prípade, že Prevádzkovateľ má pre zabezpečenie ochrany práv dotknutých osôb určenú zodpovednú osobu (,,DPO“), jej kontaktné údaje je povinný poskytnúť Sprostredkovateľovi,
- v prípade, že Sprostredkovateľ má pre zabezpečenie ochrany práv dotknutých osôb určenú zodpovednú osobu (,,DPO“), jej kontaktné údaje je povinný poskytnúť Prevádzkovateľovi,
- Sprostredkovateľ bez zbytočného odkladu informuje Prevádzkovateľa, ak jeho pokyn považuje za porušenie právnych predpisov o spracovávaní údajov. Sprostredkovateľ bude v takomto prípade oprávnený pozastaviť výkon príslušných pokynov, pokiaľ ich Prevádzkovateľ nepotvrdí alebo nezmení,
- ďalších podmienok uvedených v čl. 28 nariadenia GDPR.
8. Záverečné ustanovenia
8.1 Tieto zásady spracúvania osobných údajov nadobúdajú platnosť dňom podania objednávky zo strany Prevádzkvoateľa ako objednávateľa naších služieb, alebo po podpise oboch strán samostatnej zmluvy o spracúvaní osobných údajov s Prevádzkovateľom podľa čl. 28 ods. 3 nariadenia GDPR.
8.2. Tieto zásady spracúvania osobných údajov sa riadia právnym poriadkom Slovenskej republiky. Na právne vzťahy v nej vyslovene neupravené sa použijú príslušné ustanovenia nariadenia GDPR, Zákona ako aj všetkých platných právnych predpisov Slovenskej republiky.