Zmluva o spracúvaní osobných údajov

1. Zmluvné strany a predmet zmluvy

Táto zmluva o spracúvaní osobných údajov (ďalej len „zmluva o spracúvaní“) sa uzatvára medzi klubom, ktorý používa službu spartON (ďalej len „klub“ alebo „prevádzkovateľ“), a spoločnosťou MACET, s.r.o., Nitrianska 32/189, 949 11 Nitra, IČO 35953781, Zapísaná v Obchodnom registri Okresného súdu Nitra, oddiel: Sro, vložka č. 17071/N (ďalej len „sprostredkovateľ“) podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (ďalej len „GDPR“) a zákona č. 18/2018 Z. z. o ochrane osobných údajov.

Zmluva o spracúvaní je súčasťou Všeobecných obchodných podmienok pre kluby (ďalej len „VOP“) a klub ju uzatvára spolu s nimi pri registrácii. Pojmy definované vo VOP majú rovnaký význam aj v tejto zmluve o spracúvaní.

Predmetom zmluvy o spracúvaní je úprava podmienok, za ktorých sprostredkovateľ spracúva pre klub osobné údaje pri poskytovaní služby spartON (ďalej len „služba“). V otázkach ochrany osobných údajov má táto zmluva o spracúvaní prednosť pred VOP.

2. Doba trvania

Zmluva o spracúvaní sa uzatvára na dobu trvania zmluvy o poskytovaní služby podľa VOP. Povinnosti sprostredkovateľa trvajú aj po jej skončení, kým sprostredkovateľ osobné údaje klubu nevymaže alebo nevráti podľa článku 9.

3. Povaha a účel spracúvania

Účelom spracúvania je poskytovanie služby klubu, najmä vedenie evidencie členov a skupín, predpisovanie a evidencia platieb, evidencia dochádzky, prijímanie prihlášok, komunikácia s členmi a zákonnými zástupcami (e-mail, push notifikácie, SMS), správa podujatí a tvorba príspevkov pomocou umelej inteligencie, ukladanie a zdieľanie dokumentov.

Spracúvanie zahŕňa najmä získavanie, zaznamenávanie, usporadúvanie, uchovávanie, vyhľadávanie, prehliadanie, prenos (doručovanie správ), sprístupňovanie oprávneným používateľom klubu, zálohovanie, obmedzenie a vymazanie osobných údajov. Spracúvanie prebieha automatizovane v informačnom systéme služby.

4. Kategórie dotknutých osôb a osobných údajov

Dotknuté osoby: členovia klubu a účastníci jeho aktivít vrátane maloletých; zákonní zástupcovia členov; uchádzači, ktorí podali prihlášku; tréneri, vedúci, pracovníci a dobrovoľníci klubu; ďalšie osoby, ktorých údaje klub do služby vloží.

Kategórie osobných údajov: identifikačné údaje (meno, priezvisko, dátum narodenia), kontaktné údaje (e-mail, telefón, adresa), údaje o členstve a zaradení do skupín, údaje o dochádzke, údaje o predpísaných platbách a ich úhradách, obsah prihlášok a správ, fotografie a dokumenty, ktoré klub nahrá, údaje používateľských účtov a technické údaje o ich používaní.

Osobitné kategórie osobných údajov (napríklad údaje o zdraví) sa spracúvajú iba vtedy, ak ich klub do služby vloží; klub zodpovedá za to, že na ich spracúvanie má právny základ podľa čl. 9 GDPR, a za ich minimalizáciu.

5. Povinnosti sprostredkovateľa

Sprostredkovateľ: a) spracúva osobné údaje iba na základe zdokumentovaných pokynov klubu, a to aj pri prenose do tretej krajiny, s výnimkou prípadov, keď mu spracúvanie ukladá právo Únie alebo členského štátu; v takom prípade klub o tejto požiadavke vopred informuje, ak to právo nezakazuje. Zdokumentovanými pokynmi sú VOP, táto zmluva o spracúvaní a nastavenia a úkony, ktoré klub vykoná v službe;

b) zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali zachovávať dôvernosť alebo aby boli viazané zákonnou povinnosťou mlčanlivosti;

c) prijme všetky opatrenia požadované podľa čl. 32 GDPR (článok 11);

d) dodržiava podmienky zapojenia ďalšieho sprostredkovateľa (článok 6);

e) pri zohľadnení povahy spracúvania pomáha klubu vhodnými technickými a organizačnými opatreniami plniť povinnosť reagovať na žiadosti o výkon práv dotknutých osôb (článok 7);

f) pomáha klubu zabezpečiť plnenie povinností podľa čl. 32 až 36 GDPR s ohľadom na povahu spracúvania a informácie, ktoré má k dispozícii (články 7 a 8);

g) po skončení poskytovania služby vymaže alebo vráti osobné údaje podľa článku 9;

h) poskytne klubu všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audity vrátane kontrol (článok 10).

Sprostredkovateľ bez zbytočného odkladu informuje klub, ak podľa jeho názoru pokyn klubu porušuje GDPR alebo iné predpisy o ochrane osobných údajov.

6. Ďalší sprostredkovatelia

Klub udeľuje sprostredkovateľovi všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov. V čase uzavretia zmluvy o spracúvaní ide o tieto kategórie:

Poskytovateľ hostingu a infraštruktúry so sídlom a dátovými centrami v Európskej únii – prevádzka servera a databázy, ukladanie a zálohovanie všetkých údajov služby.

Poskytovateľ doručovania e-mailov – doručovanie e-mailových správ (adresa príjemcu, obsah správy).

Poskytovateľ SMS brány – doručovanie SMS správ (telefónne číslo príjemcu, obsah správy). Prevádzkovatelia push služieb webových prehliadačov doručujú push notifikácie, ktorých obsah je pri prenose šifrovaný.

Anthropic (USA) – generovanie textov príspevkov pomocou umelej inteligencie. Odovzdáva sa iba opis podujatia a fotografie, ktoré klub na tento účel nahrá; osobné údaje z evidencie členov sa neodovzdávajú. Ak fotografie zachytávajú identifikovateľné osoby, zodpovedá za ich nahratie klub. Poskytovateľ podľa svojich zmluvných podmienok nepoužíva tieto údaje na trénovanie modelov.

Stripe – spracovanie platieb kartou. Pri platbách kartou koná Stripe vo vzťahu k platobným údajom ako samostatný prevádzkovateľ na základe zmluvy, ktorú s ním klub a platiteľ uzatvárajú; sprostredkovateľ mu odovzdáva iba údaje potrebné na vytvorenie platby (suma, popis platby, odkaz na predpis platby).

Meta (Facebook, Instagram) – iba ak klub prepojí svoju stránku alebo účet a na jeho pokyn sa zverejní príspevok. Odovzdáva sa iba obsah príspevku schválený klubom (text a fotografie); po zverejnení ho Meta spracúva podľa vlastných podmienok, ktoré klub akceptoval.

Sprostredkovateľ informuje klub o zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa e-mailom správcovi klubu najmenej 30 dní vopred. Klub môže zo závažných dôvodov týkajúcich sa ochrany osobných údajov namietať; ak sa strany nedohodnú, klub môže zmluvu vypovedať ku dňu zmeny. Sprostredkovateľ uloží ďalšiemu sprostredkovateľovi rovnaké povinnosti ochrany osobných údajov, aké má sám, a zodpovedá klubu za plnenie jeho povinností. Aktuálny zoznam konkrétnych ďalších sprostredkovateľov poskytne na požiadanie na adrese info@sparton.eu.

Prenos osobných údajov do tretích krajín sa uskutoční iba pri splnení podmienok kapitoly V GDPR, najmä na základe rozhodnutia o primeranosti (vrátane rámca ochrany údajov medzi EÚ a USA) alebo štandardných zmluvných doložiek prijatých Európskou komisiou.

7. Súčinnosť pri výkone práv a ďalších povinnostiach

Služba umožňuje klubu údaje dotknutých osôb vyhľadať, zobraziť, opraviť, exportovať a vymazať, čím mu pomáha vybavovať žiadosti podľa čl. 15 až 22 GDPR. Ak sprostredkovateľ dostane žiadosť dotknutej osoby týkajúcu sa údajov klubu, bez zbytočného odkladu ju postúpi klubu a sám na ňu nereaguje, ak ho na to klub nepoverí.

Sprostredkovateľ na požiadanie poskytne klubu informácie potrebné na posúdenie vplyvu na ochranu údajov a na predchádzajúcu konzultáciu s dozorným orgánom, ako aj informácie o bezpečnosti spracúvania.

8. Porušenie ochrany osobných údajov

Sprostredkovateľ oznámi klubu porušenie ochrany osobných údajov klubu bez zbytočného odkladu, najneskôr do 48 hodín od okamihu, keď sa o ňom dozvedel.

Oznámenie obsahuje v rozsahu, v akom sú informácie k dispozícii, najmä: opis povahy porušenia vrátane kategórií a približného počtu dotknutých osôb a záznamov, pravdepodobné následky, prijaté alebo navrhované opatrenia na nápravu a zmiernenie následkov a kontakt na osobu, ktorá poskytne ďalšie informácie. Informácie, ktoré nie sú k dispozícii okamžite, sprostredkovateľ poskytne postupne bez zbytočného odkladu.

Sprostredkovateľ bezodkladne prijme primerané opatrenia na zmiernenie následkov porušenia a poskytne klubu súčinnosť pri oznámení dozornému orgánu a dotknutým osobám. Oznámenie porušenia dozornému orgánu a dotknutým osobám je povinnosťou klubu.

9. Vymazanie a vrátenie údajov

Klub si môže svoje údaje kedykoľvek počas trvania zmluvy, ako aj 30 dní po jej skončení, exportovať. Po uplynutí tejto lehoty sprostredkovateľ osobné údaje klubu nenávratne vymaže vrátane kópií, s výnimkou údajov, ktorých uchovávanie vyžaduje právo Únie alebo členského štátu.

Kópie v zálohách sa vymažú v rámci bežného cyklu prepisovania záloh; do ich vymazania sú chránené rovnakými opatreniami a nepoužívajú sa na žiadny iný účel. Vymazanie sprostredkovateľ na požiadanie písomne potvrdí.

10. Audit a kontrola

Sprostredkovateľ poskytne klubu na požiadanie informácie potrebné na preukázanie plnenia povinností podľa tejto zmluvy o spracúvaní, najmä opis technických a organizačných opatrení a zoznam ďalších sprostredkovateľov.

Klub alebo ním poverený audítor viazaný mlčanlivosťou môže vykonať audit alebo kontrolu po predchádzajúcom oznámení najmenej 30 dní vopred, spravidla najviac raz za kalendárny rok, s výnimkou prípadu porušenia ochrany osobných údajov alebo požiadavky dozorného orgánu. Audit sa vykoná tak, aby čo najmenej narušil prevádzku služby a neohrozil údaje iných klubov; náklady auditu znáša klub.

11. Technické a organizačné opatrenia

Sprostredkovateľ prijal najmä tieto opatrenia: šifrovanie komunikácie (HTTPS/TLS); ukladanie hesiel iba vo forme odtlačku algoritmom Argon2id; logické oddelenie údajov jednotlivých klubov a overovanie oprávnenia pri každom prístupe k údajom klubu; prístup podľa rolí a zásady najnižších nevyhnutných oprávnení; obmedzenie počtu pokusov o prihlásenie a ďalšie ochrany pred zneužitím; pravidelné zálohovanie; ukladanie údajov v dátových centrách v Európskej únii; zaznamenávanie bezpečnostne významných udalostí; priebežnú aktualizáciu softvéru; minimalizáciu údajov odovzdávaných ďalším sprostredkovateľom (najmä pri umelej inteligencii); záväzok mlčanlivosti oprávnených osôb a postup riešenia bezpečnostných incidentov.

Sprostredkovateľ môže opatrenia meniť, ak tým nezníži úroveň ochrany osobných údajov.

12. Záverečné ustanovenia

Zodpovednosť zmluvných strán sa riadi čl. 82 GDPR a VOP. Zmluva o spracúvaní sa riadi právnym poriadkom Slovenskej republiky a mení sa rovnakým postupom ako VOP.

Kontaktná adresa sprostredkovateľa vo veciach ochrany osobných údajov je info@sparton.eu.