Dodatok o spracúvaní osobných údajov

1. Postavenie a predmet

Tento dodatok sa uzatvára medzi Štúdiom ako prevádzkovateľom a Detailero s.r.o. ako sprostredkovateľom a tvorí súčasť zmluvy o profesionálnej službe . Uplatní sa na osobné údaje vložené Štúdiom do CRM pre vlastné podnikanie.

2. Doba, povaha a účel

Spracúvanie trvá po dobu účtu Štúdia a 30 dní po jeho zmazaní, kým sa dáta nevratne nevymažú. Povahou je ukladanie, organizácia, vyhľadávanie, zobrazovanie, úpravy na pokyn Štúdia, tvorba dokumentov, rozosielanie správ, zálohovanie a vymazanie. Účelom je prevádzka CRM, kalendára, zákaziek, fakturácie, komunikácie a správy pracovníkov.

3. Kategórie dotknutých osôb a údajov

• Klienti a kontaktné osoby Štúdia – identifikačné, kontaktné, adresné a fakturačné údaje, obchodná história, poznámky a komunikačné preferencie.
• Vozidlá klientov – EČV, VIN, značka, model, rok, farba, väzba na klienta a história zákaziek.
• Zamestnanci a spolupracovníci Štúdia – meno, kontakt, rola, prístup, priradené zákazky a dostupnosť či dochádzka po jednotlivých dňoch.
• Príjemcovia dokumentov a správ – e-mail, obsah a stav doručenia alebo odhlásenia.

Spracúvanie osobitných kategórií údajov sa nepredpokladá. Štúdio ich nesmie vkladať do voľných polí, ibaže je to nevyhnutné, zákonné a Detailero s tým vopred písomne súhlasí.

4. Pokyny prevádzkovateľa

Detailero spracúva údaje iba na zdokumentované pokyny Štúdia obsiahnuté v zmluve, nastavení a oprávnených pokynoch podpory. Ak sa domnieva, že pokyn porušuje právny predpis, upozorní Štúdio, ak tomu nebráni zákon.

5. Povinnosti Detailera

• zabezpečiť mlčanlivosť osôb s prístupom;
• prijať primerané technické a organizačné opatrenia;
• pomáhať Štúdiu pri žiadostiach dotknutých osôb, posúdení zabezpečenia, incidentoch a prípadnom posúdení vplyvu;
• viesť potrebné záznamy a umožniť primeraný audit;
• informovať Štúdio o porušení ochrany jeho osobných údajov bez zbytočného odkladu po tom, čo sa o ňom dozvie;
• po skončení údaje vymazať alebo vrátiť podľa voľby Štúdia, ak tomu nebráni zákon.

6. Povinnosti Štúdia

• mať právny titul a splniť informačnú povinnosť voči klientom a zamestnancom;
• vkladať iba primerané a správne údaje a aktualizovať ich;
• spravovať roly, heslá a odchádzajúcich pracovníkov;
• rešpektovať odhlásenie z marketingu a uchovávať dôkaz o súhlase alebo zákazníckej výnimke;
• nepoužívať voľné poznámky na neprimerané alebo diskriminačné profilovanie osôb;
• bezodkladne hlásiť bezpečnostné incidenty a zneužitie účtu.

7. Bezpečnostné opatrenia

• šifrovanie prenosu pomocou HTTPS/TLS;
• oddelenie dát jednotlivých Štúdií pomocou databázových oprávnení;
• individuálne účty a roly, obmedzené administrátorské prístupy;
• EÚ databázový región, denné zálohy s retenciou sedem dní;
• riadenie tajných kľúčov mimo zdrojového kódu, aktualizácie a monitoring incidentov;
• postup obnovy a pravidelné overovanie prístupov a kritických tokov.

8. Subdodávatelia (ďalší sprostredkovatelia)

Štúdio udeľuje všeobecné písomné povolenie na využitie ďalších sprostredkovateľov. Detailero oznámi zamýšľanú podstatnú zmenu vopred a umožní Štúdiu vzniesť odôvodnenú námietku.

• Supabase – databáza, autentizácia, ukladanie súborov a zálohy, región EÚ;
• Laravel Cloud – hosting aplikačného rozhrania, región EÚ;
• Cloudflare – hosting webovej aplikácie, bezpečnosť, DNS/CDN a ochrana formulárov;
• Vercel – hosting webu a internej administrácie;
• Resend – doručovanie e-mailov;
• Stripe – predplatné a súvisiace platobné metadáta;
• PostHog – analytika používania aplikácie pracovníkmi Štúdia;
• Google Maps Platform, CARTO a Photon – mapy a vyhľadávanie adries;
• Google Firebase a Apple – push notifikácie.

Úplný a priebežne aktualizovaný prehľad je v zozname subdodávateľov . Na ďalšieho sprostredkovateľa uloží Detailero povinnosti ochrany údajov zodpovedajúce tomuto dodatku. Za ich plnenie voči Štúdiu zodpovedá v rozsahu GDPR.

9. Prenosy mimo EHP

Ak ďalší sprostredkovateľ spracúva údaje mimo EHP, Detailero použije platný mechanizmus prenosu, najmä rozhodnutie o primeranosti ochrany alebo štandardné zmluvné doložky, a podľa potreby doplnkové opatrenia. Krajinu a použitú záruku pri každom ďalšom sprostredkovateľovi uvádza zoznam subdodávateľov ; kópiu záruk Detailero Štúdiu na žiadosť poskytne.

10. Žiadosti dotknutých osôb

Ak Detailero dostane žiadosť týkajúcu sa CRM dát, odovzdá ju bez zbytočného odkladu Štúdiu a bez jeho pokynu na ňu vecne neodpovie, ibaže to vyžaduje zákon. Technickú súčinnosť v bežnom rozsahu poskytuje v cene služby; mimoriadne náročná práca môže byť po predchádzajúcej dohode spoplatnená.

11. Incidenty

Hneď ako sa Detailero dozvie o porušení ochrany osobných údajov Štúdia, informuje Štúdio bez zbytočného odkladu, a to aj vtedy, keď vyšetrovanie ešte nie je uzavreté. Poskytne informácie, ktoré v tej chvíli má: povahu porušenia, dotknuté kategórie a približný počet osôb a záznamov, pravdepodobné dôsledky, prijaté alebo navrhnuté opatrenia a kontaktné miesto. Čo ešte nevie, doplní postupne, len čo to zistí. Oznámenie dozornému orgánu a dotknutým osobám zabezpečuje Štúdio ako prevádzkovateľ; Detailero mu pri ňom poskytne súčinnosť.

12. Audity

Detailero poskytne Štúdiu informácie potrebné na preukázanie súladu s článkom 28 GDPR a umožní audity a kontroly vykonávané Štúdiom alebo audítorom, ktorého Štúdio poverí. Bežne sa overenie vykonáva najviac raz ročne, a to najprv prostredníctvom dokumentácie a vzdialeného posúdenia. Toto obmedzenie sa neuplatní, ak došlo k porušeniu ochrany osobných údajov Štúdia, ak overenie požaduje dozorný orgán alebo iný orgán verejnej moci, alebo ak má Štúdio odôvodnené podozrenie, že Detailero s jeho údajmi nenakladá v súlade s týmto dodatkom. Audit nesmie ohroziť bezpečnosť iných zákazníkov ani obchodné tajomstvo a jeho rozsah a termín sa dohodnú vopred.

13. Ukončenie a vymazanie

Po skončení služby Detailero na voľbu Štúdia umožní dostupný export alebo dáta vymaže. Po zmazaní účtu Štúdia odstráni aktívne CRM dáta nevratne po uplynutí 30 dní, počas ktorých ich možno na žiadosť Štúdia obnoviť alebo vydať faktúry; kópie v rotačných zálohách budú prepísané najneskôr do siedmich dní po vymazaní a nebudú bežne obnovené inak než na obnovu celého systému po incidente. Povinne uchovávané údaje budú izolované.

14. Prednosť a kontakt

Pri rozpore tohto dodatku so všeobecnými obchodnými podmienkami má vo veciach spracúvania osobných údajov prednosť tento dodatok. Kontaktom sprostredkovateľa je info@detailero.com; kontaktom prevádzkovateľa je osoba uvedená Štúdiom v účte.

15. Rozdelenie zodpovednosti

Štúdio zodpovedá za zákonnosť pokynov, právne základy, transparentnosť, presnosť a retenčné pravidlá CRM dát, výber príjemcov a zákonnosť správ. Detailero zodpovedá za plnenie vlastných povinností sprostredkovateľa. Žiadne zmluvné dojednanie nemení práva dotknutých osôb ani právomoc dozorného orgánu.

16. Vrátenie dát a obmedzenie exportu

Detailero poskytne dostupné štandardné exporty, ak sú v produkte implementované. Ak nie je úplný export dostupný, Štúdio môže pred ukončením stiahnuť faktúry a požiadať podporu o primeranú súčinnosť.

17. Požiadavky orgánov a mlčanlivosť

Detailero zabezpečí, aby osoby oprávnené spracúvať CRM dáta boli viazané mlčanlivosťou. O právne záväznej žiadosti orgánu týkajúcej sa CRM dát informuje Štúdio pred sprístupnením, ak to zákon nezakazuje, a poskytne iba nevyhnutný rozsah.

18. Náklady na mimoriadnu súčinnosť

Bežná súčinnosť podľa článku 28 GDPR je zahrnutá v službe. Mimoriadne rozsiahly audit, individuálny export alebo opakovanú požiadavku nad bežný rámec možno po predchádzajúcom oznámení účtovať podľa preukázateľných nákladov, ak to nebráni účinnému výkonu zákonnej povinnosti. Overenie z dôvodov, pre ktoré sa ročné obmedzenie podľa článku 12 neuplatňuje, sa neúčtuje.

19. Obnova zo záloh

Obnovenie zálohy môže dočasne vrátiť už zmazané údaje do izolovanej obnovovacej kópie. Detailero zabezpečí, aby neboli znovu bežne používané a boli znovu odstránené podľa procesu vymazania. Záloha neslúži ako archív Štúdia ani ako individuálna možnosť obnovy každého záznamu.

20. Štandard dôkazov

Detailero môže súlad dokladovať bezpečnostnou dokumentáciou, prehľadom opatrení, výsledkom relevantného nezávislého auditu alebo cielenými odpoveďami. Štúdio nesmie testovať produkčné systémy, pristupovať k údajom iných zákazníkov ani vykonávať penetračný test bez predchádzajúceho písomného povolenia.

Príloha A – zdokumentované pokyny

Pokyny zahŕňajú operácie vyvolané oprávnenými používateľmi Štúdia v aplikácii, nastavenie automatických notifikácií, generovanie a odoslanie dokumentov, žiadosti podpory overené oprávnenou osobou a vymazanie účtu. Pokyn na obchodné oznámenie nezbavuje Štúdio zodpovednosti za jeho zákonnosť.

Príloha B – minimálny bezpečnostný štandard

• oddelenie tenantov a pravidelné overovanie databázových pravidiel prístupu;
• silná autentizácia administrátorov, zásada najmenších oprávnení a bezodkladné odobratie prístupov;
• šifrovanie prenosu, bezpečná správa tajných kľúčov a riadenie zmien;
• denné zálohy, test obnovy a sedemdňová rotačná retencia podľa potvrdenej produkčnej konfigurácie;
• evidencia a vyšetrovanie incidentov, aktualizácia závislostí a ochrana proti zneužitiu;
• mlčanlivosť osôb, kontrolovaný support prístup a audit administrátorských zásahov.

Príloha C – zmeny ďalších sprostredkovateľov

Aktuálny verejný zoznam subdodávateľov tvorí samostatný dokument. O novom ďalšom sprostredkovateľovi CRM oznámi Detailero Štúdiu vopred e-mailom alebo v aplikácii. Námietka musí byť konkrétna a založená na ochrane osobných údajov; ak sa strany nedohodnú na riešení, môže Štúdio službu ukončiť pred zapojením zmeny.