Smlouva o zpracování osobních údajů

1. Smluvní strany a předmět smlouvy

Tato smlouva o zpracování osobních údajů (dále jen „smlouva o zpracování“) se uzavírá mezi klubem, který používá službu spartON (dále jen „klub“ nebo „správce“), a společností MACET, s.r.o., Nitrianska 32/189, 949 11 Nitra, IČO 35953781, Zapísaná v Obchodnom registri Okresného súdu Nitra, oddiel: Sro, vložka č. 17071/N (dále jen „zpracovatel“) podle čl. 28 odst. 3 nařízení (EU) 2016/679 (dále jen „GDPR“) a slovenského zákona č. 18/2018 Z. z. o ochraně osobních údajů.

Smlouva o zpracování je součástí Všeobecných obchodních podmínek pro kluby (dále jen „VOP“) a klub ji uzavírá spolu s nimi při registraci. Pojmy definované ve VOP mají stejný význam i v této smlouvě o zpracování.

Předmětem smlouvy o zpracování je úprava podmínek, za nichž zpracovatel zpracovává pro klub osobní údaje při poskytování služby spartON (dále jen „služba“). V otázkách ochrany osobních údajů má tato smlouva o zpracování přednost před VOP.

2. Doba trvání

Smlouva o zpracování se uzavírá na dobu trvání smlouvy o poskytování služby podle VOP. Povinnosti zpracovatele trvají i po jejím skončení, dokud zpracovatel osobní údaje klubu nevymaže nebo nevrátí podle článku 9.

3. Povaha a účel zpracování

Účelem zpracování je poskytování služby klubu, zejména vedení evidence členů a skupin, předepisování a evidence plateb, evidence docházky, přijímání přihlášek, komunikace se členy a zákonnými zástupci (e-mail, push notifikace, SMS), správa akcí a tvorba příspěvků pomocí umělé inteligence, ukládání a sdílení dokumentů.

Zpracování zahrnuje zejména shromažďování, zaznamenávání, uspořádávání, uchovávání, vyhledávání, nahlížení, přenos (doručování zpráv), zpřístupňování oprávněným uživatelům klubu, zálohování, omezení a výmaz osobních údajů. Zpracování probíhá automatizovaně v informačním systému služby.

4. Kategorie subjektů údajů a osobních údajů

Subjekty údajů: členové klubu a účastníci jeho aktivit včetně nezletilých; zákonní zástupci členů; uchazeči, kteří podali přihlášku; trenéři, vedoucí, pracovníci a dobrovolníci klubu; další osoby, jejichž údaje klub do služby vloží.

Kategorie osobních údajů: identifikační údaje (jméno, příjmení, datum narození), kontaktní údaje (e-mail, telefon, adresa), údaje o členství a zařazení do skupin, údaje o docházce, údaje o předepsaných platbách a jejich úhradách, obsah přihlášek a zpráv, fotografie a dokumenty, které klub nahraje, údaje uživatelských účtů a technické údaje o jejich používání.

Zvláštní kategorie osobních údajů (například údaje o zdraví) se zpracovávají pouze tehdy, pokud je klub do služby vloží; klub odpovídá za to, že pro jejich zpracování má právní základ podle čl. 9 GDPR, a za jejich minimalizaci.

5. Povinnosti zpracovatele

Zpracovatel: a) zpracovává osobní údaje pouze na základě doložených pokynů klubu, a to i při předání do třetí země, s výjimkou případů, kdy mu zpracování ukládá právo Unie nebo členského státu; v takovém případě klub o tomto požadavku předem informuje, pokud to právo nezakazuje. Doloženými pokyny jsou VOP, tato smlouva o zpracování a nastavení a úkony, které klub ve službě provede;

b) zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti;

c) přijme všechna opatření požadovaná podle čl. 32 GDPR (článek 11);

d) dodržuje podmínky zapojení dalšího zpracovatele (článek 6);

e) s ohledem na povahu zpracování pomáhá klubu vhodnými technickými a organizačními opatřeními plnit povinnost reagovat na žádosti o výkon práv subjektů údajů (článek 7);

f) pomáhá klubu zajistit plnění povinností podle čl. 32 až 36 GDPR s ohledem na povahu zpracování a informace, jež má k dispozici (články 7 a 8);

g) po skončení poskytování služby vymaže nebo vrátí osobní údaje podle článku 9;

h) poskytne klubu veškeré informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audity včetně inspekcí (článek 10).

Zpracovatel bez zbytečného odkladu informuje klub, pokud podle jeho názoru pokyn klubu porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.

6. Další zpracovatelé

Klub uděluje zpracovateli obecné písemné povolení zapojit další zpracovatele. V době uzavření smlouvy o zpracování jde o tyto kategorie:

Poskytovatel hostingu a infrastruktury se sídlem a datovými centry v Evropské unii – provoz serveru a databáze, ukládání a zálohování všech údajů služby.

Poskytovatel doručování e-mailů – doručování e-mailových zpráv (adresa příjemce, obsah zprávy).

Poskytovatel SMS brány – doručování SMS zpráv (telefonní číslo příjemce, obsah zprávy). Provozovatelé push služeb webových prohlížečů doručují push notifikace, jejichž obsah je při přenosu šifrován.

Anthropic (USA) – generování textů příspěvků pomocí umělé inteligence. Předává se pouze popis akce a fotografie, které klub k tomuto účelu nahraje; osobní údaje z evidence členů se nepředávají. Zachycují-li fotografie identifikovatelné osoby, odpovídá za jejich nahrání klub. Poskytovatel podle svých smluvních podmínek nepoužívá tyto údaje k trénování modelů.

Stripe – zpracování plateb kartou. Při platbách kartou jedná Stripe ve vztahu k platebním údajům jako samostatný správce na základě smlouvy, kterou s ním klub a plátce uzavírají; zpracovatel mu předává pouze údaje potřebné k vytvoření platby (částka, popis platby, odkaz na předpis platby).

Meta (Facebook, Instagram) – pouze pokud klub propojí svou stránku nebo účet a na jeho pokyn se zveřejní příspěvek. Předává se pouze obsah příspěvku schválený klubem (text a fotografie); po zveřejnění jej Meta zpracovává podle vlastních podmínek, které klub akceptoval.

Zpracovatel informuje klub o zamýšleném přidání nebo nahrazení dalšího zpracovatele e-mailem správci klubu nejméně 30 dní předem. Klub může ze závažných důvodů týkajících se ochrany osobních údajů vznést námitku; pokud se strany nedohodnou, může klub smlouvu vypovědět ke dni změny. Zpracovatel uloží dalšímu zpracovateli stejné povinnosti ochrany osobních údajů, jaké má sám, a odpovídá klubu za plnění jeho povinností. Aktuální seznam konkrétních dalších zpracovatelů poskytne na požádání na adrese info@sparton.eu.

Předání osobních údajů do třetích zemí se uskuteční pouze při splnění podmínek kapitoly V GDPR, zejména na základě rozhodnutí o odpovídající ochraně (včetně rámce pro ochranu údajů mezi EU a USA) nebo standardních smluvních doložek přijatých Evropskou komisí.

7. Součinnost při výkonu práv a dalších povinnostech

Služba umožňuje klubu údaje subjektů údajů vyhledat, zobrazit, opravit, exportovat a vymazat, čímž mu pomáhá vyřizovat žádosti podle čl. 15 až 22 GDPR. Pokud zpracovatel obdrží žádost subjektu údajů týkající se údajů klubu, bez zbytečného odkladu ji postoupí klubu a sám na ni nereaguje, pokud jej tím klub nepověří.

Zpracovatel na požádání poskytne klubu informace potřebné k posouzení vlivu na ochranu osobních údajů a k předchozí konzultaci s dozorovým úřadem, jakož i informace o zabezpečení zpracování.

8. Porušení zabezpečení osobních údajů

Zpracovatel oznámí klubu porušení zabezpečení osobních údajů klubu bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl.

Oznámení obsahuje v rozsahu, v jakém jsou informace k dispozici, zejména: popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů údajů a záznamů, pravděpodobné důsledky, přijatá nebo navrhovaná opatření k nápravě a zmírnění důsledků a kontakt na osobu, která poskytne další informace. Informace, které nejsou k dispozici okamžitě, poskytne zpracovatel postupně bez zbytečného odkladu.

Zpracovatel neprodleně přijme přiměřená opatření ke zmírnění důsledků porušení a poskytne klubu součinnost při ohlášení dozorovému úřadu a oznámení subjektům údajů. Ohlášení porušení dozorovému úřadu a oznámení subjektům údajů je povinností klubu.

9. Výmaz a vrácení údajů

Klub si může své údaje kdykoli během trvání smlouvy, jakož i 30 dní po jejím skončení, exportovat. Po uplynutí této lhůty zpracovatel osobní údaje klubu nevratně vymaže včetně kopií, s výjimkou údajů, jejichž uchování vyžaduje právo Unie nebo členského státu.

Kopie v zálohách se vymažou v rámci běžného cyklu přepisování záloh; do jejich výmazu jsou chráněny stejnými opatřeními a nepoužívají se k žádnému jinému účelu. Výmaz zpracovatel na požádání písemně potvrdí.

10. Audit a kontrola

Zpracovatel poskytne klubu na požádání informace potřebné k doložení plnění povinností podle této smlouvy o zpracování, zejména popis technických a organizačních opatření a seznam dalších zpracovatelů.

Klub nebo jím pověřený auditor vázaný mlčenlivostí může provést audit nebo kontrolu po předchozím oznámení nejméně 30 dní předem, zpravidla nejvýše jednou za kalendářní rok, s výjimkou případu porušení zabezpečení osobních údajů nebo požadavku dozorového úřadu. Audit se provede tak, aby co nejméně narušil provoz služby a neohrozil údaje jiných klubů; náklady auditu nese klub.

11. Technická a organizační opatření

Zpracovatel přijal zejména tato opatření: šifrování komunikace (HTTPS/TLS); ukládání hesel pouze ve formě otisku algoritmem Argon2id; logické oddělení údajů jednotlivých klubů a ověřování oprávnění při každém přístupu k údajům klubu; přístup podle rolí a zásady nejnižších nezbytných oprávnění; omezení počtu pokusů o přihlášení a další ochrany před zneužitím; pravidelné zálohování; ukládání údajů v datových centrech v Evropské unii; zaznamenávání bezpečnostně významných událostí; průběžnou aktualizaci softwaru; minimalizaci údajů předávaných dalším zpracovatelům (zejména u umělé inteligence); závazek mlčenlivosti oprávněných osob a postup řešení bezpečnostních incidentů.

Zpracovatel může opatření měnit, pokud tím nesníží úroveň ochrany osobních údajů.

12. Závěrečná ustanovení

Odpovědnost smluvních stran se řídí čl. 82 GDPR a VOP. Smlouva o zpracování se řídí právním řádem Slovenské republiky a mění se stejným postupem jako VOP.

Kontaktní adresa zpracovatele ve věcech ochrany osobních údajů je info@sparton.eu.