EURO.SUPPORT / PRÁVNE DOKUMENTY

Dodatok o spracúvaní osobných údajov (DPA)

Podmienky spracúvania osobných údajov v mene Klienta podľa článku 28 GDPR

1. Účel, pôsobnosť a zmluvné strany

Tento Dodatok o spracúvaní osobných údajov (ďalej len „DPA“) je súčasťou zmluvy o Službe euro.support medzi Klientom ako prevádzkovateľom alebo sprostredkovateľom (ďalej len „Klient“) a spoločnosťou European Business Solutions s. r. o. ako sprostredkovateľom alebo ďalším sprostredkovateľom (ďalej len „Sprostredkovateľ“). Uplatní sa, keď Sprostredkovateľ spracúva osobné údaje v mene Klienta pri poskytovaní Služby.

DPA je zmluvou podľa článku 28 GDPR v elektronickej forme. Pojmy osobné údaje, spracúvanie, prevádzkovateľ, sprostredkovateľ, dotknutá osoba a porušenie ochrany osobných údajov majú význam podľa nariadenia (EÚ) 2016/679 (GDPR). Ak je Klient sprostredkovateľom pre svojho zákazníka, vyhlasuje, že je oprávnený zapojiť Sprostredkovateľa a udeľovať mu pokyny.

2. Predmet, trvanie, povaha a účel spracúvania

Predmetom spracúvania je prevádzka medzinárodnej zákazníckej podpory, najmä chatov, ticketov, príloh, prekladov, AI asistencie a agentov, znalostných zdrojov, produktových feedov, vyhľadávania, integrácií, štatistík, podpory a bezpečnosti. Spracúvanie trvá počas poskytovania Služby a počas lehôt na export, vymazanie, zálohy a zákonné uchovanie podľa tohto DPA.

Povaha operácií zahŕňa prijatie, zaznamenanie, usporiadanie, uloženie, vyhľadanie, zobrazenie, preklad, sumarizáciu, kategorizáciu, vytvorenie embeddingov, prenos, sprístupnenie oprávneným osobám, obmedzenie, export, vymazanie a anonymizáciu. Konkrétny rozsah určuje konfigurácia Klienta a Príloha 1.

3. Pokyny Klienta

Sprostredkovateľ spracúva osobné údaje iba na zdokumentované pokyny Klienta, ktorými sú zmluva, tento DPA, nastavenia Služby, oprávnené použitie rozhraní a ďalšie písomné pokyny prijaté Sprostredkovateľom. Pokyny zahŕňajú prenosy potrebné na použitie schválených subdodávateľov.

Ak pokyn podľa názoru Sprostredkovateľa porušuje právo ochrany údajov, bezodkladne o tom Klienta informuje a môže jeho vykonanie pozastaviť, kým sa pokyn nepotvrdí alebo neupraví. Ak spracúvanie vyžaduje právo EÚ alebo členského štátu, Sprostredkovateľ Klienta vopred informuje, ak to zákon nezakazuje. Dodatočný pokyn, ktorý vyžaduje významnú zmenu Služby alebo náklady, strany vopred dohodnú.

4. Povinnosti Klienta

Klient zodpovedá najmä za to, že:

• má zákonný účel, právny základ a potrebné informačné povinnosti pre všetky údaje poskytnuté do Služby;
• zhromažďuje iba primerané a potrebné údaje a neposkytuje osobitné kategórie alebo údaje o trestných činoch bez predchádzajúceho posúdenia a dohody;
• nastaví oprávnenia, retenciu, AI automatizáciu, integrácie a ľudský dohľad primerane riziku;
• vybavuje žiadosti dotknutých osôb a rozhoduje o oprave, obmedzení, exporte a vymazaní;
• zabezpečí zákonnosť pokynov a oprávnenie používateľov, systémov a obchodov pripojených k účtu;
• nevkladá platobné karty, heslá, tajné kľúče ani iné údaje, ktoré Služba na daný účel nevyžaduje.

5. Dôvernosť a oprávnené osoby

Sprostredkovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli viazané zmluvnou alebo zákonnou mlčanlivosťou, mali prístup iba podľa pracovnej potreby a dostali primerané bezpečnostné a dátové pokyny. Povinnosť mlčanlivosti trvá aj po skončení ich oprávnenia.

6. Bezpečnosť spracúvania

Sprostredkovateľ prijíma a udržiava primerané technické a organizačné opatrenia podľa článku 32 GDPR, stavu techniky, nákladov, povahy údajov a rizík. Aktuálny základ opatrení je v Prílohe 2. Opatrenia môže rozvíjať, ak sa celková úroveň ochrany podstatne nezníži.

Klient berie na vedomie, že bezpečnosť je spoločná zodpovednosť: spravuje používateľov, roly, zariadenia, obsah, povolenia integrácií a vlastné zálohy exportov. Sprostredkovateľ neposkytuje certifikáciu alebo špecifický regulačný režim, ak to nebolo výslovne dohodnuté.

7. Subdodávatelia

Klient udeľuje všeobecné písomné povolenie zapojiť subdodávateľov uvedených v dokumente Subdodávatelia a platformoví partneri. Sprostredkovateľ uloží každému subdodávateľovi povinnosti ochrany údajov v podstate rovnocenné tomuto DPA a zostáva voči Klientovi zodpovedný za plnenie povinností subdodávateľa v rozsahu vyžadovanom GDPR.

O zamýšľanom novom alebo náhradnom subdodávateľovi, ktorý môže spracúvať Klientsky obsah, Sprostredkovateľ informuje najmenej 20 dní pred zapojením, spravidla aktualizáciou zoznamu a elektronickým oznámením. Klient môže v tejto lehote odôvodnene namietať z dôvodu ochrany údajov. Strany sa pokúsia nájsť primerané riešenie; ak nie je možné, Klient môže dotknutú funkciu alebo zmluvu ukončiť bez sankcie ku dňu zapojenia. Naliehavá bezpečnostná náhrada môže byť oznámená neskôr, bez zbytočného odkladu.

8. Medzinárodné prenosy

Primárna prevádzková infraštruktúra sa používa v Európskom hospodárskom priestore, ak konfigurácia alebo objednávka neurčuje inak. Niektorí globálni dodávatelia môžu poskytovať podporu alebo ďalšie spracúvanie mimo EHP. Sprostredkovateľ zabezpečí uplatniteľný mechanizmus podľa kapitoly V GDPR, najmä rozhodnutie o primeranosti alebo štandardné zmluvné doložky, a podľa potreby primerané doplnkové opatrenia a posúdenie prenosu.

Na odôvodnenú žiadosť poskytne Klientovi informácie o mechanizme prenosu a relevantnú časť dokumentácie v rozsahu, ktorý neohrozí dôvernosť alebo bezpečnosť. Klient zodpovedá za prenosy vyvolané jeho vlastnou integráciou, používateľom alebo pokynom mimo schválených dodávateľov.

9. Práva dotknutých osôb

Ak dotknutá osoba kontaktuje Sprostredkovateľa vo veci údajov spracúvaných pre Klienta, Sprostredkovateľ ju spravidla odkáže na Klienta a žiadosť mu bez zbytočného odkladu postúpi, ak je možné Klienta identifikovať. Bez pokynu neodpovie vo veci samej, okrem zákonnej povinnosti.

S prihliadnutím na povahu spracúvania Sprostredkovateľ poskytne primeranú technickú a organizačnú súčinnosť pri prístupe, oprave, vymazaní, obmedzení, prenosnosti, námietke a pri automatizovanom rozhodovaní. Bežné samoobslužné funkcie sú zahrnuté v Službe; mimoriadne práce môžu byť účtované po predchádzajúcej dohode.

10. Súčinnosť pri súlade

Sprostredkovateľ poskytne Klientovi primeranú súčinnosť pri zabezpečení spracúvania, oznamovaní porušení, posúdení vplyvu na ochranu údajov a predchádzajúcej konzultácii podľa článkov 32 až 36 GDPR, s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii.

11. Porušenie ochrany osobných údajov

Po zistení porušenia ochrany osobných údajov týkajúceho sa Klientskeho obsahu Sprostredkovateľ oznámi udalosť Klientovi bez zbytočného odkladu. Cieľom je zaslať prvotné oznámenie do 48 hodín od primeraného potvrdenia, že udalosť sa týka údajov Klienta; táto cieľová lehota nemení zákonnú povinnosť oznámiť bez zbytočného odkladu ani neznamená priznanie zodpovednosti.

Oznámenie podľa dostupnosti uvedie povahu udalosti, dotknuté systémy a kategórie údajov, pravdepodobné následky, prijaté alebo navrhované opatrenia a kontaktný bod. Informácie možno poskytovať postupne. Klient rozhoduje o oznámení úradu a dotknutým osobám; Sprostredkovateľ poskytne primeranú súčinnosť a zachová dôkazy.

12. Audit a preukazovanie súladu

Sprostredkovateľ sprístupní informácie primerane potrebné na preukázanie splnenia článku 28 GDPR, prednostne prostredníctvom bezpečnostnej dokumentácie, dotazníka, zhrnutia testov alebo nezávislého uistenia, ak je dostupné. Klient zachová dôvernosť takých informácií.

Ak dokumentácia nestačí, Klient môže najviac raz za 12 mesiacov vykonať audit prostredníctvom nezávislého audítora, ktorý nie je konkurentom, po najmenej 30-dňovom oznámení, počas pracovného času a bez narušenia prevádzky alebo údajov iných klientov. Obmedzenie frekvencie neplatí po závažnom incidente alebo na príkaz dozorného orgánu. Každá strana znáša vlastné náklady; neprimerané osobitné náklady možno vopred dohodnúť.

13. Vrátenie, export a vymazanie

Počas trvania zmluvy môže Klient používať dostupné exportné funkcie. Po skončení môže do 30 dní požiadať o štandardne dostupný export. Na pokyn Klienta alebo po uplynutí exportnej lehoty Sprostredkovateľ osobné údaje vymaže alebo anonymizuje, ak ich právo nevyžaduje uchovať.

Vymazanie z aktívnych systémov sa vykoná spravidla do 60 dní od účinného pokynu alebo uplynutia exportnej lehoty. Kópie v zálohách sa odstránia alebo prepíšu v bežnom cykle najneskôr do 180 dní a dovtedy zostanú chránené a nebudú používané na iný účel než obnovu, bezpečnosť alebo právnu povinnosť. Sprostredkovateľ môže uchovať minimálne záznamy potrebné na preukázanie vymazania, fakturáciu, obranu nároku alebo splnenie zákona.

14. Zodpovednosť a trvanie DPA

Zodpovednosť strán podľa DPA podlieha obmedzeniam v Podmienkach služby v rozsahu dovolenom GDPR a bez obmedzenia práv dotknutých osôb alebo právomocí dozorného orgánu. DPA trvá, kým Sprostredkovateľ spracúva osobné údaje Klienta. Pri rozpore vo veci ochrany údajov má DPA prednosť.

Príloha 1 – Opis spracúvania

Príloha 2 – Technické a organizačné opatrenia

• Riadenie prístupu: individuálne účty, roly a oprávnenia podľa potreby, administrátorské oprávnenia oddelené od bežnej práce a pravidelná revízia prístupov.
• Autentifikácia a tajomstvá: hashovanie hesiel prostredníctvom štandardného identity frameworku, ochrana relácií, bezpečné uloženie aplikačných tajomstiev a obmedzenie prístupu ku kľúčom a tokenom.
• Prenos údajov: šifrované HTTPS/TLS spojenie pre používateľské a integračné rozhrania; bezpečné protokoly dodávateľov pre e-mail, úložisko a API.
• Oddelenie klientov: logické viazanie prevádzkových záznamov na Klienta, overovanie oprávnenia pri prístupe a oddelenie konfiguračných a integračných údajov.
• Minimalizácia: spracúvanie údajov podľa aktivovaných funkcií, obmedzenie posielaného AI kontextu na potrebný obsah a možnosť Klienta riadiť zdroje, funkcie a retenciu.
• Logovanie a dohľad: prevádzkové a bezpečnostné záznamy primerané funkcii, sledovanie chýb, fakturačných udalostí a integračných webhookov a obmedzený prístup k logom.
• Dostupnosť a obnova: primerané zálohy prevádzkových databáz a úložísk podľa interného plánu, monitorovanie kľúčových procesov a postupy obnovy po výpadku.
• Bezpečný vývoj a zmeny: verzovanie kódu, kontrola zmien, oddelenie konfiguračných tajomstiev, aktualizácie závislostí a posudzovanie bezpečnostného vplyvu významných funkcií.
• Incidenty: postup identifikácie, obmedzenia, nápravy, dokumentácie, zachovania dôkazov a komunikácie podľa časti 11.
• Dodávatelia: posúdenie primeranosti kľúčových dodávateľov, zmluvné povinnosti ochrany údajov, kontrola regiónu a mechanizmu prenosu a evidencia subdodávateľov.
• Personálne opatrenia: mlčanlivosť, prístup podľa pracovnej potreby a primeraná odborná príprava v ochrane údajov, bezpečnosti a používaní AI.
• Fyzická bezpečnosť: využitie profesionálnych dátových centier a cloudových poskytovateľov s kontrolovaným fyzickým prístupom; Poskytovateľ neprevádzkuje verejne prístupné produkčné servery v kancelárii.
• Vymazanie: riadené odstránenie z aktívnych systémov a následné prepísanie záloh podľa časti 13.

Príloha 3 – Subdodávatelia

Aktuálny zoznam, účel, miesto a postavenie dodávateľov je v dokumente Subdodávatelia a platformoví partneri, ktorý je začlenený do tohto DPA. Pri zmene sa uplatní časť 7.