Zmluva o spracúvaní osobných údajov
Zmluvné strany
- Prevádzkovateľ: organizátor, ktorý zmluvu akceptuje pri registrácii v službe vstupio (údaje z registrácie: názov, IČO, adresa) – ďalej „prevádzkovateľ“.
- Sprostredkovateľ: creona, s. r. o., Ku Bratke 1, 934 01 Levice, IČO 47457589, DIČ 2023879451, zapísaná v OR OS Nitra, oddiel Sro, vložka č. 35341/N – ďalej „sprostredkovateľ“.
1. Úvod a predmet
1.1 Sprostredkovateľ poskytuje prevádzkovateľovi službu vstupio (rezervácie, kalendár, platby, prezenčka, predaj miest na podujatia) podľa Obchodných podmienok. Pri jej poskytovaní spracúva osobné údaje zákazníkov prevádzkovateľa v jeho mene.
1.2 Táto zmluva upravuje podmienky spracúvania podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR) a zákona č. 18/2018 Z. z. o ochrane osobných údajov. Uzatvára sa elektronicky súhlasom pri registrácii a trvá po dobu poskytovania služby a lehoty uchovania podľa čl. 9.
2. Rozsah spracúvania
- Účel: poskytovanie služby: evidencia rezervácií a účastníkov, zákaznícke konto, čakací zoznam, permanentky, prezenčka, objednávky a vstupenky, zasielanie transakčných e-mailov a SMS, štatistiky a exporty pre prevádzkovateľa, prenos údajov z iného systému na žiadosť prevádzkovateľa.
- Povaha spracúvania: ukladanie, usporiadanie, zobrazovanie, prenos, export, vymazanie.
- Kategórie dotknutých osôb: zákazníci a účastníci prevádzkovateľa, návštevníci jeho podujatí, jeho zamestnanci a inštruktori s prístupom do administrácie, osoby z importu z iného systému.
- Kategórie údajov: meno a priezvisko, e-mail, telefón (ak ho prevádzkovateľ vyžaduje), rezervácie a účasť, objednávky a platobné referencie (nie čísla kariet), poznámky a údaje o hosťoch a objednávkach, ktoré prevádzkovateľ do systému vloží (napr. výber menu), IP adresa a technické záznamy.
- Osobitné kategórie: služba ich nevyžaduje. Ak prevádzkovateľ do voľných polí vloží údaje o zdraví (napr. alergie, obmedzenia pri cvičení), robí tak na vlastnú zodpovednosť a je povinný mať na to právny základ.
Pri zdieľaní kalendára podľa Obchodných podmienok (čl. 9.17) je prevádzkovateľom údajov zákazníka organizácia, ktorej termín zákazník rezervuje (vydavateľ). Organizácia, ktorá termín len zobrazuje (hostiteľ), tieto údaje nespracúva ani nevidí.
3. Pokyny prevádzkovateľa
3.1 Sprostredkovateľ spracúva údaje len na základe zdokumentovaných pokynov prevádzkovateľa, ktorými sú táto zmluva, Obchodné podmienky a nastavenia a úkony prevádzkovateľa v administrácii.
3.2 Ak sprostredkovateľ usúdi, že pokyn porušuje GDPR alebo iný právny predpis, upozorní na to prevádzkovateľa.
3.3 Prevádzkovateľ zodpovedá za právny základ spracúvania, informovanie dotknutých osôb a za zákonnosť údajov, ktoré do služby vkladá.
4. Dôvernosť
Sprostredkovateľ zabezpečí, že osoby oprávnené spracúvať údaje sú viazané povinnosťou mlčanlivosti a spracúvajú údaje len v rozsahu potrebnom na poskytovanie služby.
5. Bezpečnosť
Sprostredkovateľ prijíma primerané technické a organizačné opatrenia podľa čl. 32 GDPR, najmä: šifrovaný prenos (HTTPS), hashovanie hesiel, oddelenie údajov jednotlivých organizácií, riadenie prístupu podľa rolí, obmedzený prístup k serverom, pravidelné zálohy a aktualizácie systému, logovanie administrátorských akcií. Zoznam opatrení sprostredkovateľ na žiadosť poskytne.
6. Ďalší sprostredkovatelia
6.1 Prevádzkovateľ dáva všeobecné povolenie na zapojenie ďalších sprostredkovateľov. Aktuálni sú:
- WebSupport, s. r. o. (Slovensko): hosting servera (VPS) a databázy, zálohy, odosielanie e-mailov (SMTP). Miesto: EÚ / SR.
- Brevo (Sendinblue SAS, Francúzsko): odosielanie SMS a, po jeho spustení, newsletterov. Miesto: EÚ.
- Anthropic (USA): AI asistent (Bot): spracovanie textu konverzácie, len ak organizácia Bot používa. Prenos mimo EÚ na základe záruk podľa kapitoly V GDPR.
- Stripe Payments Europe, Ltd. (Írsko): fakturácia predplatného prevádzkovateľa voči sprostredkovateľovi. Platby zákazníkov prevádzkovateľa spracúva Stripe v rámci účtu prevádzkovateľa podľa jeho vlastných podmienok so Stripe. Miesto: EÚ, prenosy podľa Stripe DPA.
6.2 O zámere pridať alebo vymeniť ďalšieho sprostredkovateľa sprostredkovateľ informuje e-mailom aspoň 30 dní vopred. Prevádzkovateľ môže v tejto lehote namietať z dôvodných dôvodov; ak sa strany nedohodnú, môže prevádzkovateľ službu vypovedať.
6.3 Sprostredkovateľ uloží ďalším sprostredkovateľom rovnaké povinnosti ochrany údajov a zodpovedá za ich plnenie voči prevádzkovateľovi.
7. Práva dotknutých osôb
Sprostredkovateľ v rozsahu možností pomáha prevádzkovateľovi vybaviť žiadosti dotknutých osôb. Ak sprostredkovateľ dostane žiadosť priamo od dotknutej osoby, bez zbytočného odkladu ju postúpi prevádzkovateľovi a sám na ňu vecne neodpovie. Služba umožňuje prevádzkovateľovi údaje zákazníka vyhľadať, exportovať, opraviť a vymazať.
8. Porušenie ochrany údajov a súčinnosť
8.1 Sprostredkovateľ oznámi prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, na e-mail vlastníka organizácie, spolu s dostupnými informáciami podľa čl. 33 ods. 3 GDPR.
8.2 Sprostredkovateľ poskytne súčinnosť pri posudzovaní vplyvu na ochranu údajov a pri konzultáciách s dozorným orgánom, ak ju prevádzkovateľ opodstatnene požaduje.
9. Vrátenie a vymazanie údajov
9.1 Po skončení poskytovania služby alebo po uplynutí skúšobnej doby bez aktivácie sprostredkovateľ údaje uchová 90 dní. V tejto lehote ich môže prevádzkovateľ exportovať.
9.2 Po uplynutí lehoty sprostredkovateľ osobné údaje vymaže alebo anonymizuje, okrem údajov, ktorých uchovanie vyžaduje právny predpis (najmä účtovné a platobné záznamy). Zálohy sa prepíšu v bežnom cykle, najneskôr do 35 dní po vymazaní. Prevádzkovateľ môže požiadať o skoršie vymazanie na info@vstupio.sk.
10. Audit
Sprostredkovateľ poskytne prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností z tejto zmluvy a umožní audit, najviac raz ročne a po oznámení aspoň 30 dní vopred, na náklady prevádzkovateľa, bez zásahu do údajov iných zákazníkov a do bezpečnosti služby.
11. Prenosy mimo EÚ
Sprostredkovateľ neprenáša údaje mimo EÚ/EHP, okrem prenosov uskutočnených ďalšími sprostredkovateľmi podľa čl. 6 na základe záruk podľa kapitoly V GDPR (napr. štandardné zmluvné doložky).
12. Záverečné ustanovenia
12.1 Zmluva sa riadi právom Slovenskej republiky. Pri rozpore s Obchodnými podmienkami má prednosť táto zmluva vo veciach ochrany osobných údajov.
12.2 Pri zmene zmluvy sa zmení verzia a prevádzkovateľ ju akceptuje podľa postupu v Obchodných podmienkach. Súhlas, verzia a čas sa ukladajú pri organizácii.
12.3 Kontakt pre ochranu údajov: info@vstupio.sk.