Zmluva o spracúvaní údajov

1. Zmluvné strany a predmet

Táto zmluva sa uzatvára medzi zákazníkom ako prevádzkovateľom a EAS International, Klybeckstr. 141, 4057 Basel, Schweiz ako sprostredkovateľom (poskytovateľ). Zástupca poskytovateľa v EÚ podľa čl. 27 GDPR: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Jej predmetom je spracúvanie osobných údajov, ktoré zákazník zadáva do Batteriepass Online alebo ktoré jeho prostredníctvom zhromažďuje. Povaha, účel, druhy údajov a kategórie dotknutých osôb sú opísané v prílohe 1. Zmluva platí počas trvania zmluvy o poskytovaní služby vrátane fázy len na čítanie podľa bodu 8 VOP.

2. Pokyny

Poskytovateľ spracúva údaje výlučne v rámci zmluvy o poskytovaní služby a na základe zdokumentovaných pokynov zákazníka. Zákazník vydáva pokyny používaním funkcií softvéru (napr. zverejnenie pasu, pridelenie úrovní prístupu, odoslanie žiadosti dodávateľovi, export, vymazanie) a v textovej forme na info@batteriepass-online.eu. Pokyny nad rámec dohodnutého rozsahu sa považujú za žiadosti o zmenu a môžu byť účtované osobitne.

Ak sa poskytovateľ domnieva, že pokyn je protiprávny, bezodkladne o tom zákazníka informuje a môže vykonanie pozastaviť až do potvrdenia.

Sprístupňovanie obsahu pasov verejnosti, osobám s oprávneným záujmom a orgánom prebieha v súlade s nariadením (EÚ) 2023/1542 v nastavení zvolenom zákazníkom a považuje sa za pokyn zákazníka.

3. Povinnosti poskytovateľa

• Dôvernosť: všetky osoby podieľajúce sa na spracúvaní sú zaviazané mlčanlivosťou. K údajom zákazníka sa pristupuje len vtedy, ak je to potrebné na prevádzku, podporu alebo odstraňovanie chýb.
• Bezpečnosť: poskytovateľ prijíma technické a organizačné opatrenia podľa prílohy 3 a prispôsobuje ich stavu techniky bez zníženia úrovne ochrany.
• Súčinnosť: poskytovateľ prostriedkami softvéru (export, oprava, vymazanie, protokol prístupov) pomáha zákazníkovi plniť práva dotknutých osôb a pri posúdeniach vplyvu na ochranu údajov a konzultáciách s dozorným orgánom, pokiaľ má poskytovateľ príslušné informácie k dispozícii.
• Oznamovanie: poskytovateľ oznamuje zákazníkovi porušenia ochrany osobných údajov týkajúce sa údajov zákazníka bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, na e-mailovú adresu uloženú v účte, s informáciami dostupnými podľa čl. 33 ods. 3 GDPR.
• Žiadosti dotknutých osôb: ak sa dotknuté osoby obrátia priamo na poskytovateľa, postúpi žiadosť zákazníkovi bez vlastnej vecnej odpovede, pokiaľ sa žiadosť týka údajov zákazníka.
• Preukázanie: na požiadanie poskytovateľ sprístupní informácie potrebné na preukázanie dodržiavania tejto zmluvy, najmä opis opatrení podľa prílohy 3 a správy o bezpečnostných incidentoch.
• Vymazanie: po skončení spracúvania poskytovateľ údaje vymaže podľa bodu 8 VOP, pokiaľ neexistuje zákonná povinnosť uchovávania. Pri zverejnených pasoch batérií sa za povinnosť uchovávania považuje zákonná povinnosť udržiavať ich dostupné podľa čl. 77 ods. 8 nariadenia (EÚ) 2023/1542.

4. Kontrolné práva zákazníka

Zákazník môže dodržiavanie tejto zmluvy overiť raz ročne a pri konkrétnom podnete. Overenie sa vykonáva predovšetkým kontrolou dokumentácie, správ a potvrdení ďalších sprostredkovateľov. Kontrola na mieste je možná po ohlásení s primeraným predstihom (najmenej 14 dní) počas bežného pracovného času, ak neohrozí údaje iných zákazníkov. Za kontroly nad rámec jednej ročne alebo bez podnetu v podobe incidentu môže poskytovateľ vzniknuté náklady účtovať v primeranej výške.

5. Ďalší sprostredkovatelia

Zákazník súhlasí s využitím ďalších sprostredkovateľov uvedených v prílohe 2. Poskytovateľ ich zaviaže k povinnostiam v oblasti ochrany údajov rovnocenným s povinnosťami dohodnutými v tejto zmluve.

Poskytovateľ informuje zákazníka o zamýšľaných zmenách (pridanie alebo nahradenie) najmenej 30 dní vopred e-mailom. Zákazník môže v tejto lehote z dôležitých dôvodov ochrany údajov namietať. V prípade námietky môže ktorákoľvek strana zmluvu o poskytovaní služby vypovedať k dátumu zmeny; bod 8 VOP tým nie je dotknutý.

6. Spracúvanie v tretích krajinách

Údaje sa ukladajú na serveroch v Nemecku. Poskytovateľ sídli vo Švajčiarsku, pre ktoré existuje rozhodnutie Európskej komisie o primeranosti; prístup zo Švajčiarska je preto prípustný. Spracúvanie v iných tretích krajinách prebieha len so súhlasom zákazníka a na základe primeraných záruk podľa kapitoly V GDPR.

7. Povinnosti zákazníka

Zákazník zodpovedá za zákonnosť spracúvania, najmä za právny základ na zverejnenie údajov o fyzických osobách v pasoch, za informovanie dotknutých osôb a za prípustnosť oslovenia dodávateľov a žiadateľov. Úrovne prístupu a udelenia prístupu prideľuje na vlastnú zodpovednosť a kontroluje, či údaje sprístupnené prostredníctvom softvéru zodpovedajú právnym požiadavkám.

Zákazník uvedie v účte e-mailovú adresu dostupnú pre otázky ochrany údajov a udržiava ju aktuálnu.

8. Zodpovednosť, doba trvania, záverečné ustanovenia

Na zodpovednosť sa vzťahuje bod 11 VOP; čl. 82 GDPR tým nie je dotknutý. Táto zmluva končí so zmluvou o poskytovaní služby, trvá však dovtedy, kým poskytovateľ udržiava údaje zákazníka dostupné podľa bodu 8 VOP. Inak platia záverečné ustanovenia VOP. V prípade rozporu medzi touto zmluvou a VOP má v otázkach ochrany údajov prednosť táto zmluva.

Príloha 1 – Predmet spracúvania

• Povaha a účel: hosting, ukladanie, zobrazovanie, export a prenos obsahu pasov batérií a súvisiacich dokumentov; odosielanie e-mailov v mene zákazníka (žiadosti dodávateľom, rozhodnutia o prístupe); zaznamenávanie prístupov k chránenému obsahu; poskytovanie API a webhookov.
• Druhy údajov: mená, funkcie a kontaktné údaje kontaktných osôb zákazníka, jeho dodávateľov a žiadateľov o udelenie prístupu (e-mailová adresa, organizácia, úloha, účel, doklady); obsah polí pasu a dokumentov, ak obsahujú údaje o fyzických osobách (napr. zodpovedná osoba hospodárskeho subjektu, osoby podpisujúce vyhlásenia o zhode); protokoly prístupov (skrátená hašovaná IP adresa, user agent, čas, úroveň prístupu); údaje odoslané zákazníkom do API.
• Kategórie dotknutých osôb: zamestnanci a kontaktné osoby zákazníka, jeho dodávateľov a obchodných partnerov; osoby žiadajúce o prístup k chránenému obsahu pasov (orgány, prevádzkovatelia opráv a recyklácie, kupujúci); návštevníci verejných stránok pasov.
• Osobitné kategórie (čl. 9 GDPR) nie sú predmetom spracúvania; zákazník takéto údaje do softvéru nezadáva.

Príloha 2 – Ďalší sprostredkovatelia

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Nemecko – služby dátového centra (servery, databáza, úložisko dokumentov, zálohy) vo Falkensteine a Norimbergu.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlín, Nemecko – odosielanie e-mailov v mene zákazníka.
• Stripe Payments Europe Ltd., Dublin, Írsko, spracúva platobné údaje zákazníka ako samostatný prevádzkovateľ a nie je ďalším sprostredkovateľom pre údaje zákazníka v zmysle tejto zmluvy.

Príloha 3 – Technické a organizačné opatrenia

• Fyzický a systémový prístup: servery v dátových centrách Hetzner certifikovaných podľa ISO 27001; správa len cez SSH s kľúčmi a súkromnú sieť; databáza nie je dostupná z verejného internetu.
• Prístup k údajom: oprávnenia založené na rolách (vlastník, editor, čitateľ) pre každú organizáciu; oddelenie klientov na úrovni databázy pomocou ID organizácie v každom dopyte; úrovne prístupu k obsahu pasov (verejnosť, oprávnený záujem, orgán) sa vynucujú na strane servera v jedinej filtračnej funkcii.
• Autentifikácia: heslá ako haše scrypt; relácie s náhodnými tokenmi v databáze, 30 dní; overenie e-mailu pred prístupom na zápis; limity pokusov o prihlásenie, registráciu a obnovenie; kľúče API uložené len ako haše.
• Prenos: TLS pre všetky spojenia; Content Security Policy; podpísané webhooky (HMAC) so šifrovane uloženými tajnými kľúčmi.
• Integrita: každé zverejnenie pasu vytvorí verziu s hašovacím reťazcom (predchádzajúci haš); auditný protokol všetkých zapisovacích operácií; pred uplynutím zmluvných lehôt sa nič fyzicky nevymaže.
• Dostupnosť: denná záloha databázy a úložiska dokumentov s uchovávaním najmenej 30 dní na druhom mieste; pravidelné testy obnovy; monitorovanie dostupnosti.
• Oddelenie: produkčné údaje oddelené od vývojového a testovacieho prostredia; pasy v tarife Pilot sú označené ako testovacie údaje.
• Organizácia: minimalizácia údajov zabudovaná do softvéru (len polia potrebné pre pas); bezpečnostná kontrola pri každej zmene služby; dokumentácia incidentov; pravidelné aktualizácie systémových komponentov.