Zmluva o spracúvaní osobných údajov (DPA)

uzatvorená medzi:

subjektom definovaným ako „Klient“, ktorý sa rozhodol zakúpiť a využívať služby ponúkané agentúrou RYS SP. Z O.O.,

ďalej v tejto Zmluve len „Prevádzkovateľ“

a

RYS spółka z ograniczoną odpowiedzialnością (spoločnosť s ručením obmedzeným) so sídlom v Bielsku-Białej (43-300), ul. Podwale 47, Poľsko, zapísanou v registri podnikateľov vedenom Okresným súdom v Bielsku-Białej, VIII. hospodárske oddelenie Národného súdneho registra, pod číslom KRS: 0001006923, NIP (DIČ): 5472234742, REGON: 523865502, so základným imaním vo výške 5 000,00 PLN,

ďalej v tejto Zmluve len „Sprostredkovateľ“

spoločne ďalej len „Zmluvné strany“ a každý jednotlivo „Zmluvná strana“

Vzhľadom na to, že:

1. Zmluvné strany uzavreli zmluvu o poskytovaní služieb zo dňa (ďalej len „Hlavná zmluva“), v súvislosti s plnením ktorej Prevádzkovateľ poverí Sprostredkovateľa spracúvaním osobných údajov v rozsahu stanovenom touto Zmluvou,
2. Zmluvné strany sa uzavretím tejto Zmluvy usilujú o takú úpravu pravidiel spracúvania osobných údajov, ktorá bude v plnej miere zodpovedať ustanoveniam nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „GDPR“),

sa Zmluvné strany dohodli na uzavretí Zmluvy v tomto znení:

§ 1. Všeobecné ustanovenia

1. Za podmienok stanovených touto Zmluvou a Hlavnou zmluvou Prevádzkovateľ poveruje Sprostredkovateľa spracúvaním osobných údajov fyzických osôb (ďalej len „Osobné údaje“).
2. Prevádzkovateľ vyhlasuje, že všetky Osobné údaje spracúva ako prevádzkovateľ týchto osobných údajov a že spracúvanie prebieha v súlade s právnymi predpismi.
3. Prevádzkovateľ poveruje Sprostredkovateľa spracúvaním Osobných údajov fyzických osôb týchto kategórií:
   a) zamestnanci Prevádzkovateľa,
   b) spolupracovníci Prevádzkovateľa,
   c) zákazníci Prevádzkovateľa,
4. K povereniu spracúvaním Osobných údajov dochádza na účel poskytovania služieb Sprostredkovateľom Prevádzkovateľovi súvisiacich s plnením Hlavnej zmluvy, najmä služieb komplexnej správy a riadenia predaja na platformách marketplace, popredajnej starostlivosti o zákazníkov (reklamácie a vrátenia tovaru) a vedenia a optimalizácie reklamných kampaní.
5. Spracúvanie Osobných údajov Sprostredkovateľom bude, pokiaľ ide o povahu spracúvania:
   a) prebiehať v sídle Sprostredkovateľa,
   b) prebiehať nepretržite, až do ukončenia zmluvy.
6. Spracúvanie osobných údajov Sprostredkovateľom bude prebiehať výlučne na základe zdokumentovaného pokynu Prevádzkovateľa. Aby Zmluvné strany považovali určitý pokyn za zdokumentovaný, musí vyplývať priamo z tejto Zmluvy alebo z Hlavnej zmluvy, alebo musí byť zaslaný formou e-mailovej správy v súlade s pravidlami komunikácie stanovenými v § 8 ods. 2 Zmluvy.
7. Sprostredkovateľ bude na základe tejto Zmluvy spracúvať najmä tieto druhy Osobných údajov:

8. Prevádzkovateľ môže Sprostredkovateľa poveriť spracúvaním aj ďalších Osobných údajov, neuvedených v § 1 ods. 7 Zmluvy, a Osobných údajov iných kategórií osôb, než sú uvedené v § 1 ods. 3 Zmluvy, vrátane neštruktúrovaných údajov, teda takých, ktoré vyplývajú z obsahu s potenciálnym a pravdepodobným výskytom osobných údajov (príspevky, textové dokumenty, nahrávky, obrázky, videá). Poverenie spracúvaním týchto Osobných údajov si vyžaduje ich zaslanie v súlade s pravidlom komunikácie stanoveným v § 8 ods. 2 Zmluvy a nebude sa považovať za zmenu tejto Zmluvy vyžadujúcu písomný dodatok.
9. Táto Zmluva nadobúda účinnosť dňom jej podpisu oboma Zmluvnými stranami (ďalej len „Deň účinnosti“).
10. V prípadoch, keď je to relevantné, najmä ak Prevádzkovateľ vystupuje vo vzťahu k osobným údajom, ktorých spracúvaním poveruje Sprostredkovateľa, zároveň v úlohe sprostredkovateľa, bude sa táto Zmluva o spracúvaní osobných údajov považovať aj za zmluvu o ďalšom poverení spracúvaním osobných údajov (zmluvu s ďalším sprostredkovateľom).

§ 2. Doba spracúvania Osobných údajov

1. Sprostredkovateľ bude Osobné údaje spracúvať počas platnosti Hlavnej zmluvy.
2. Doba platnosti tejto Zmluvy je zhodná s dobou platnosti Hlavnej zmluvy a táto Zmluva automaticky zaniká okamihom ukončenia Hlavnej zmluvy.

§ 3. Zapojenie ďalších sprostredkovateľov

1. Sprostredkovateľ môže konkrétnymi operáciami spracúvania Osobných údajov poveriť ďalších sprostredkovateľov, a to pod podmienkou predchádzajúceho schválenia subjektu, ktorý má byť spracúvaním Osobných údajov ďalej poverený, zo strany Prevádzkovateľa.
2. Zapojenie ďalšieho sprostredkovateľa podľa § 3 ods. 1 Zmluvy si vyžaduje oznámenie tejto skutočnosti Prevádzkovateľovi, aby mohol vyjadriť námietku. Oznámenie o zapojení ďalšieho sprostredkovateľa musí prebehnúť v súlade s pravidlami komunikácie Zmluvných strán uvedenými v § 8 ods. 2 Zmluvy. Prevádzkovateľ môže z odôvodnených príčin vzniesť do 7 dní odo dňa doručenia oznámenia podľa predchádzajúcej vety námietku proti odovzdaniu údajov konkrétnemu ďalšiemu sprostredkovateľovi. Ak je vznesená námietka, Sprostredkovateľ nie je oprávnený poveriť spracúvaním Osobných údajov sprostredkovateľa, voči ktorému námietka smeruje. Ak Prevádzkovateľ na e-mailovú správu Sprostredkovateľa o plánovanom zapojení ďalšieho sprostredkovateľa nijako neodpovie, budú Zmluvné strany považovať mlčanie za súhlas Prevádzkovateľa so zapojením ďalšieho sprostredkovateľa. Pochybnosti o dôvodnosti námietky a o prípadných negatívnych dôsledkoch oznámi Sprostredkovateľ Prevádzkovateľovi v čase umožňujúcom zabezpečiť kontinuitu spracúvania Osobných údajov.
3. Prevádzkovateľ týmto udeľuje súhlas s tým, aby Sprostredkovateľ ďalej poveril spracúvaním Osobných údajov tieto subjekty:
4. • poskytovateľov hostingových služieb a serverovej a cloudovej infraštruktúry,
   • poskytovateľov informačných systémov slúžiacich na riadenie vzťahov so zákazníkmi (CRM), automatizáciu obchodných procesov a marketingovú analytiku,
   • poskytovateľov nástrojov z oblasti kybernetickej bezpečnosti vrátane systémov na šifrovanú správu prihlasovacích údajov a hesiel (správcovia hesiel),
   • poskytovateľov pokročilých analytických, reportingových a SEO systémov a nástrojov slúžiacich na agregáciu, integráciu a spracovanie marketingových dát,
   • poskytovateľov služieb a softvéru na elektronické podpisovanie dokumentov a správu digitálneho obehu zmlúv.
4. Pri zapojení ďalšieho sprostredkovateľa je Sprostredkovateľ povinný zaviazať subjekt, ktorý spracúvaním Osobných údajov ďalej poveruje, na uplatňovanie primeraných opatrení na ochranu týchto údajov.
5. Sprostredkovateľ nie je oprávnený previesť plnenie tejto Zmluvy na ďalšieho sprostredkovateľa v celom rozsahu.

§ 4. Vyhlásenia a povinnosti Sprostredkovateľa

1. Sprostredkovateľ týmto vyhlasuje, že:
   1) zaviedol postupy zabezpečujúce súlad spracúvania osobných údajov s GDPR,
   2) disponuje odbornými znalosťami a zdrojmi zaručujúcimi riadne vykonávanie postupov ochrany osobných údajov v súlade s GDPR,
   3) uplatňuje organizačné a technické opatrenia slúžiace na spracúvanie osobných údajov v súlade s GDPR, opísané v Prílohe č. 1 k tejto Zmluve,
2. Sprostredkovateľ je na základe tejto Zmluvy povinný:
   1) spracúvať zverené Osobné údaje výlučne v súlade so zdokumentovanými pokynmi alebo inštrukciami Prevádzkovateľa,
   2) spolupracovať pri výkone práv dotknutých osôb s tým, že za vybavovanie žiadostí fyzických osôb zodpovedá výlučne Prevádzkovateľ a Sprostredkovateľ je povinný informovať Prevádzkovateľa o všetkých prijatých žiadostiach; Zmluvné strany sa zároveň navzájom informujú o sporoch alebo nárokoch, aby ich bolo možné čo najrýchlejšie vyriešiť zmierom,
   3) spolupracovať s Prevádzkovateľom pri plnení povinností v oblasti ochrany osobných údajov podľa čl. 32 – 36 GDPR,
   4) bez zbytočného odkladu informovať Prevádzkovateľa o pochybnostiach týkajúcich sa súladu pokynov alebo inštrukcií vydaných Prevádzkovateľom s právnymi predpismi, a to pod sankciou straty možnosti uplatňovať z tohto titulu nároky voči Prevádzkovateľovi,
3. Prevádzkovateľ je povinný poskytovať Sprostredkovateľovi súčinnosť pri plnení tejto Zmluvy. Ďalej je povinný poskytnúť Sprostredkovateľovi nevyhnutné vysvetlenia, najmä v prípade pochybností o zákonnosti pokynov Prevádzkovateľa, a plniť svoje povinnosti.

§ 5. Bezpečnosť Osobných údajov

1. Sprostredkovateľ vykonal analýzu rizík spracúvania zverených Osobných údajov a jej výsledkami sa riadi v oblasti organizačných a technických opatrení na ochranu Osobných údajov.
2. Sprostredkovateľ oznámi Prevádzkovateľovi každé podozrenie na porušenie ochrany Osobných údajov najneskôr do 24 hodín od prvého nahlásenia, umožní Prevádzkovateľovi účasť na prešetrovaní a bude ho informovať o zisteniach v okamihu ich urobenia, najmä o potvrdení porušenia alebo o tom, že k nemu nedošlo.
3. Sprostredkovateľ je povinný zaslať Prevádzkovateľovi oznámenie o zistenom porušení spolu so všetkou nevyhnutnou dokumentáciou týkajúcou sa porušenia tak, aby Prevádzkovateľ mohol splniť povinnosť oznámenia dozornému orgánu.

§ 6. Dohľad nad spracúvaním Osobných údajov

1. Prevádzkovateľ je oprávnený vykonať kontrolu spôsobu spracúvania osobných údajov Sprostredkovateľom výlučne v rozsahu nevyhnutnom na overenie súladu spracúvania s touto Zmluvou a s čl. 28 GDPR.
2. Plánovaná kontrola sa vykonáva po predchádzajúcom informovaní Sprostredkovateľa najmenej 7 dní vopred, v dokumentovanej forme, s uvedením rozsahu kontroly, predpokladaného času jej trvania a personálneho zloženia kontrolného tímu.
3. Plánovaná kontrola sa môže vykonávať najviac raz za kalendárny rok a prebieha v pracovnom čase Sprostredkovateľa spôsobom, ktorý bezdôvodne nenarúša kontinuitu jeho prevádzkovej činnosti.
4. Obmedzenia uvedené v ods. 2 – 3 sa nepoužijú v prípade:
   1) zistenia porušenia ochrany osobných údajov,
   2) dôvodného podozrenia na porušenie ustanovení tejto Zmluvy,
   3) žiadosti alebo odporúčaní dozorného orgánu.
5. Kontrolu môže vykonať Prevádzkovateľ alebo tretí subjekt konajúci z jeho poverenia, a to pod podmienkou, že sa tento subjekt vopred zaviaže zachovávať dôvernosť aspoň na úrovni vyplývajúcej z tejto Zmluvy a že nie je v konflikte záujmov so Sprostredkovateľom.
6. Rozsah kontroly nezahŕňa:
   1) informácie predstavujúce obchodné tajomstvo Sprostredkovateľa v rozsahu, ktorý priamo nesúvisí so spracúvaním osobných údajov Prevádzkovateľa,
   2) osobné údaje alebo informácie iných klientov Sprostredkovateľa.
   Uvedená ochrana sa zabezpečuje najmä anonymizáciou, pseudonymizáciou alebo nahliadaním do dokumentácie pod dohľadom.
7. Sprostredkovateľ zabezpečuje Prevádzkovateľovi prístup k informáciám nevyhnutným na preukázanie splnenia povinností vyplývajúcich z čl. 28 GDPR, a to v prvom rade prostredníctvom:
   1) sprístupnenia aktuálnej dokumentácie týkajúcej sa ochrany osobných údajov,
   2) správ z interných auditov alebo certifikácií,
   3) odpovedí na písomné otázky Prevádzkovateľa.
   Vykonanie auditu na mieste je krajným prostriedkom, ktorý sa použije výlučne vtedy, ak overenie uvedeným spôsobom nie je možné.
8. Štandardná dokumentačná alebo vzdialená kontrola sa vykonáva bezplatne. V prípade kontroly na mieste alebo kontroly presahujúcej štandardný rozsah, ktorá si vyžaduje významné zapojenie zdrojov Sprostredkovateľa, hradí Prevádzkovateľ odôvodnené a skutočné organizačné náklady takejto kontroly, vopred dohodnuté medzi Zmluvnými stranami.
9. Zmluvné strany zhodne potvrdzujú, že kontroly prebiehajú pri rešpektovaní zásad proporcionality, minimalizácie a zodpovednosti podľa čl. 5 ods. 1 a 2 GDPR.

§ 7. Zodpovednosť

1. Zodpovednosť Zmluvných strán za nesplnenie alebo nenáležité splnenie tejto Zmluvy podlieha obmedzeniam, vylúčeniam a limitom zodpovednosti stanoveným v Hlavnej zmluve, s výhradou kogentných právnych predpisov vrátane čl. 82 GDPR.
2. S výhradou ods. 4 – 6 je celková zodpovednosť Sprostredkovateľa voči Prevádzkovateľovi, bez ohľadu na právny základ nároku, obmedzená na sumu zodpovedajúcu celkovej čistej odmene patriacej Sprostredkovateľovi od Prevádzkovateľa za obdobie 12 mesiacov predchádzajúcich udalosti zakladajúcej zodpovednosť.
3. Sprostredkovateľ zodpovedá výlučne za škody spôsobené úmyselne alebo z hrubej nedbanlivosti, pričom zodpovednosť za škody spôsobené bežnou nedbanlivosťou sa vylučuje v najširšom rozsahu prípustnom právnymi predpismi.
4. Obmedzenia zodpovednosti stanovené touto Zmluvou sa nevzťahujú na zodpovednosť Sprostredkovateľa voči dotknutým osobám vyplývajúcu z čl. 82 ods. 1 – 2 GDPR.
5. Sprostredkovateľ nezodpovedá za správne pokuty ani iné verejnoprávne sankcie uložené Prevádzkovateľovi, ibaže boli uložené v dôsledku porušenia predpisov o ochrane osobných údajov zavineného Sprostredkovateľom.
6. Zodpovednosť Sprostredkovateľa za ušlý zisk a nepriame škody v zmluvnom vzťahu s Prevádzkovateľom sa vylučuje v najširšom rozsahu prípustnom právnymi predpismi.
7. Po skončení platnosti Zmluvy Sprostredkovateľ osobné údaje vráti alebo vymaže v súlade s čl. 28 ods. 3 písm. g) GDPR, s výhradou povinností uchovávania vyplývajúcich z právnych predpisov alebo potreby zabezpečenia nárokov.
8. Ak Sprostredkovateľ dostane pokyn, ktorý je v rozpore s právnymi predpismi, je oprávnený pozastaviť jeho vykonanie do vyjasnenia veci a nezodpovedá za dôsledky takéhoto pozastavenia, a to v medziach prípustných právnymi predpismi.
9. Nároky Prevádzkovateľa voči Sprostredkovateľovi vyplývajúce z tejto Zmluvy zanikajú, ak nebudú uplatnené do 12 mesiacov odo dňa, keď sa Prevádzkovateľ o udalosti dozvedel, s výnimkou nárokov vyplývajúcich z čl. 82 GDPR.

§ 8. Záverečné ustanovenia

1. Každá zo Zmluvných strán sa zaväzuje bezodkladne informovať druhú Zmluvnú stranu o všetkých jej známych porušeniach dôvernosti týkajúcich sa tejto Zmluvy. Sprostredkovateľ sa zaväzuje podniknúť náležité kroky na opätovné získanie a zabezpečenie Osobných údajov alebo Dôverných informácií a na zabránenie ďalšiemu neoprávnenému konaniu alebo porušovaniu tejto Zmluvy.
   a) Na účely plnenia tejto Zmluvy budú Zmluvné strany komunikovať prostredníctvom e-mailových adries osôb určených na kontakt a koordináciu spolupráce, uvedených v Hlavnej zmluve alebo oznámených druhej Zmluvnej strane pri zavádzaní služby (onboardingu).
2. Ak medzi Zmluvnými stranami vznikne spor vyplývajúci z tejto Zmluvy, bude na jeho prejednanie príslušný súd podľa hlavného miesta výkonu podnikateľskej činnosti Sprostredkovateľa.
3. V rozsahu neupravenom touto Zmluvou sa použijú ustanovenia GDPR a ďalšie všeobecne záväzné predpisy poľského práva.

Príloha č. 1 Opis technických a organizačných opatrení na zabezpečenie osobných údajov

1. Organizačné opatrenia

1. Osobné údaje spracúvajú výlučne osoby, ktoré majú na ich spracúvanie písomné poverenie.
2. Poverené osoby sú povinné zachovávať dôvernosť osobných údajov aj spôsobov ich zabezpečenia.
3. Sprostredkovateľ vedie evidenciu osôb poverených spracúvaním osobných údajov.
4. Zamestnanci a spolupracovníci sú školení v oblasti ochrany osobných údajov a GDPR.
5. Osobné údaje sa spracúvajú výlučne v rozsahu nevyhnutnom na dosiahnutie stanovených účelov (zásada minimalizácie).
6. Sprostredkovateľ zaviedol postupy reakcie na porušenia ochrany osobných údajov vrátane pravidiel ich nahlasovania a dokumentovania.

2. Technické opatrenia

1. Prístup k informačným systémom je zabezpečený pomocou:
2. • individuálnych prihlasovacích mien a hesiel,
   • silných hesiel,
   • dvojfaktorového overovania,
   • riadenia oprávnení (uplatňuje sa zásada minimálnych oprávnení – zamestnanci/spolupracovníci majú prístup len k tým nástrojom a údajom klientov, ktoré sú nevyhnutné na plnenie ich úloh).
2. IT systémy majú mechanizmy riadenia prístupu, ktoré obmedzujú prístup k údajom výlučne na oprávnených používateľov.
3. Používajú sa menné účty, bez zdieľaných účtov, ak to platforma umožňuje.
4. Osobné údaje spracúvané v informačných systémoch sú chránené prostredníctvom:
5. • šifrovania prenosu dát (SSL/TLS),
   • sieťových brán (firewall),
   • aktuálneho antivírusového a antimalvérového softvéru,
   • MFA/2FA (najmä pre vzdialený prístup a privilegované účty),
   • automatického blokovania účtov po neúspešných pokusoch o prihlásenie,
   • šifrovania a pseudonymizácie – šifrovanie uložených dát (AES-256) aj dát pri prenose (TLS 1.2+), pseudonymizácia dát v testovacích a analytických prostrediach.
5. Pravidelne sa vykonávajú záložné kópie (backup) dát, uchovávané v bezpečnom prostredí.
6. Zariadenia používané na spracúvanie údajov (počítače, notebooky) sú:
7. • zabezpečené heslom,
   • chránené pred prístupom tretích osôb,
   • uzamykané pri nečinnosti používateľa.

3. Opatrenia zabezpečujúce kontinuitu a integritu dát

1. Sprostredkovateľ uplatňuje postupy zabezpečujúce kontinuitu prevádzky IT systémov.
2. Dáta sú chránené pred:
3. • náhodným alebo neoprávneným zničením,
   • stratou,
   • pozmenením,
   • neoprávneným sprístupnením.
3. Záložné kópie a kontinuita prevádzky:
4. • pravidelné zálohy (pravidlo 3-2-1),
   • testy obnovy dát.

4. Pravidelné overovanie zabezpečenia

1. Sprostredkovateľ vykonáva pravidelné overovanie a aktualizáciu uplatňovaných technických a organizačných opatrení.
2. Zabezpečenie sa prispôsobuje:
3. • povahe spracúvaných údajov,
   • rozsahu spracúvania,
   • riziku porušenia práv alebo slobôd dotknutých osôb.