Zmluva o spracúvaní osobných údajov

1. Zmluva a zmluvné strany

Druhou zmluvnou stranou je právnická alebo fyzická osoba podnikateľ uvedená ako Zákazník pri vytvorení pracovného priestoru. Osoba, ktorá prijme Podmienky a túto DPA, vyhlasuje, že je oprávnená zaviazať Zákazníka. Elektronické prijatie je podpisom tejto DPA; jej účinnosť začína okamihom prijatia.

Pri rozpore má v otázkach ochrany osobných údajov prednosť táto DPA pred Podmienkami. Kogentné právo a uplatniteľné štandardné zmluvné doložky majú prednosť pred touto DPA.

2. Roly, vymedzenie a trvanie

Zákazník môže byť prevádzkovateľom Osobných údajov Zákazníka alebo sprostredkovateľom pre svojho klienta. FlashDev je v zodpovedajúcom rozsahu sprostredkovateľom alebo ďalším sprostredkovateľom. Ak Zákazník koná ako sprostredkovateľ, potvrdzuje, že jeho prevádzkovateľ schválil pokyny a zapojenie FlashDev a ďalších sprostredkovateľov podľa tejto DPA.

„Osobné údaje Zákazníka“ sú osobné údaje obsiahnuté v Obsahu Zákazníka alebo v údajoch o členstve, rolách, účtoch a podpore, ktoré FlashDev spracúva výlučne na prevádzku pracovného priestoru podľa pokynov Zákazníka. Táto DPA sa neuplatňuje na údaje, pri ktorých FlashDev určuje vlastné účely ako samostatný prevádzkovateľ, najmä zmluvné a fakturačné záznamy, zákonné povinnosti, správu zneužitia a bezpečnosti, vlastné záznamy podpory a skutočne anonymné štatistiky.

Paddle spracúva nákup, platbu, dane, faktúry, prevenciu podvodov a refundácie ako samostatný prevádzkovateľ a nie je ďalším sprostredkovateľom podľa tejto DPA. Spracúvanie trvá počas existencie pracovného priestoru a následne do vrátenia alebo vymazania Osobných údajov Zákazníka podľa článku 9.

3. Pokyny a povinnosti Zákazníka

Zákazník poveruje FlashDev spracúvať Osobné údaje Zákazníka v rozsahu potrebnom na poskytovanie, zabezpečenie a podporu ElecRoute podľa Podmienok, tejto DPA, konfigurácie a používania služby Zákazníkom a zákonných písomných požiadaviek na podporu. Ďalší pokyn vyžaduje písomnú dohodu, ak presahuje dohodnutú službu.

Zákazník zodpovedá za zákonnosť pokynov, právne základy, oznámenia dotknutým osobám, presnosť údajov, vybavovanie práv dotknutých osôb a oprávnenie od svojho prevádzkovateľa. Do služby nesmie zámerne vkladať osobitné kategórie údajov, údaje o odsúdeniach a trestných činoch, údaje detí ani osobné údaje, ktoré nie sú potrebné na elektrické plánovanie alebo prácu na stavbe, bez osobitnej písomnej dohody.

Ak sa FlashDev domnieva, že pokyn porušuje uplatniteľné právo na ochranu údajov, informuje Zákazníka a môže dotknuté spracúvanie pozastaviť do objasnenia.

4. Povinnosti Poskytovateľa

FlashDev bude:

• spracúvať Osobné údaje Zákazníka iba na zdokumentované pokyny Zákazníka, ak spracúvanie nevyžaduje uplatniteľné právo; o takej požiadavke Zákazníka vopred informuje, ak to právo nezakazuje;
• zabezpečovať, aby oprávnené osoby spracúvali údaje iba podľa pokynov a boli viazané dôvernosťou;
• uplatňovať primerané technické a organizačné opatrenia podľa článku 5;
• dodržiavať podmienky zapojenia ďalších sprostredkovateľov podľa článku 6;
• poskytovať primeranú súčinnosť podľa článkov 8 až 10; a
• nepoužívať Osobné údaje Zákazníka na behaviorálnu reklamu ani na trénovanie modelov umelej inteligencie.

5. Dôvernosť a bezpečnosť

S prihliadnutím na stav techniky, náklady, povahu, rozsah, kontext, účely a riziká spracúvania FlashDev udržiava primeranú úroveň bezpečnosti. Pri vydaní tejto verzie zahŕňajú opatrenia najmä:

• autorizáciu podľa pracovných priestorov, súkromné úložisko pôdorysov, databázové Row Level Security a serverové kontroly privilegovaných operácií;
• HTTPS/TLS pre produkčné spojenia a šifrovanie relevantných cloudových databáz, objektového úložiska, dostupných záloh a logov v pokoji podľa možností poskytovateľov;
• interný produkčný prístup obmedzený na konateľa/vlastníka podniku a iba na údržbu, bezpečnosť, incidenty, zákonné povinnosti alebo vyžiadanú podporu;
• jedinečné administrátorské prihlasovacie údaje, obmedzené oprávnenia, správu tajomstiev mimo zdrojového kódu, rotáciu po podozrení na únik a MFA tam, kde je zapnuté;
• šifrovanie disku, ochranu prihlásenia, automatické uzamykanie, podporovaný aktualizovaný softvér a primeranú ochranu pred škodlivým kódom na zariadeniach s produkčným prístupom;
• prednostné používanie syntetických údajov vo vývoji a testovaní, rizikovo riadené bezpečnostné aktualizácie a vyšetrovanie významných upozornení; a
• obmedzené chybové hlásenia a záznamy prístupu chránené pred bežnými používateľmi.

FlashDev používa spravované možnosti zálohovania a obnovy tam, kde sú súčasťou zvolených produkčných služieb. Databázové zálohy Supabase nezahŕňajú objekty uložené cez Storage API, preto táto DPA nesľubuje samostatnú záložnú kópiu nahratých pôdorysov, frekvenciu záloh, RTO, RPO ani nepretržitú dostupnosť. Vymazané údaje v zálohách sú izolované od bežného použitia a zanikajú v bežných cykloch poskytovateľov.

6. Ďalší sprostredkovatelia

Zákazník udeľuje všeobecné písomné oprávnenie zapojiť ďalších sprostredkovateľov uvedených v prílohe. FlashDev s nimi uzatvorí písomné podmienky poskytujúce primeranú ochranu a povinnosti podľa článku 28 GDPR a zostáva voči Zákazníkovi zodpovedný za plnenie povinností ďalších sprostredkovateľov v rozsahu vyžadovanom právom.

FlashDev oznámi pridanie alebo nahradenie ďalšieho sprostredkovateľa v primeranom predstihu e-mailom vlastníkovi pracovného priestoru alebo zverejnením aktualizovanej DPA a oznámením jej podstatnej zmeny, okrem naliehavej bezpečnostnej alebo zákonnej potreby. Zákazník môže v primeranej lehote namietať z oprávnených dôvodov ochrany údajov. Strany sa pokúsia nájsť primerané riešenie; ak to nie je možné, Zákazník môže ukončiť dotknutú službu.

7. Medzinárodné prenosy

Primárna databáza a súbory projektu sú určené na uloženie v EHP, aktuálne v Írsku. Niektorí ďalší sprostredkovatelia alebo ich subdodávatelia však môžu údaje spracúvať mimo EHP. FlashDev uskutoční taký prenos iba v súlade s právom, najmä na základe rozhodnutia o primeranosti, rámca EU–US Data Privacy Framework pre overeného certifikovaného príjemcu, príslušných štandardných zmluvných doložiek Európskej komisie z roku 2021 alebo inej platnej záruky.

Ak sa na prenos k ďalšiemu sprostredkovateľovi uplatňujú štandardné zmluvné doložky, použije sa modul zodpovedajúci rolám strán podľa príslušnej dodávateľskej DPA. Informácie o relevantnej záruke možno vyžiadať na support@elecroute.com; dôverné alebo bezpečnostne citlivé časti môžu byť redigované.

8. Súčinnosť, práva dotknutých osôb a incidenty

Ak FlashDev dostane žiadosť dotknutej osoby týkajúcu sa Osobných údajov Zákazníka, postúpi ju Zákazníkovi a nebude odpovedať inak než podľa jeho pokynov alebo požiadavky práva. S prihliadnutím na povahu spracúvania a dostupné informácie poskytne primeranú súčinnosť pri právach dotknutých osôb, bezpečnostných povinnostiach, posúdení vplyvu a predchádzajúcej konzultácii.

FlashDev oznámi Zákazníkovi porušenie ochrany Osobných údajov Zákazníka bez zbytočného odkladu po tom, ako sa o ňom dozvie. Oznámenie podľa dostupných informácií opíše povahu porušenia, dotknuté kategórie údajov a osôb, pravdepodobné následky, prijaté alebo navrhované opatrenia a kontakt pre ďalšie informácie. Informácie môže poskytovať postupne. Zákazník zodpovedá za oznámenia dozornému orgánu a dotknutým osobám; FlashDev mu primerane pomôže.

9. Vrátenie a vymazanie

Zrušenie predplatného samo osebe nevymaže údaje, ak Zákazník naďalej používa pracovný priestor iba na čítanie. Zákazník môže použiť dostupné exporty a požiadať o primeranú ďalšiu súčinnosť.

Po ukončení príslušných služieb alebo po overenej žiadosti o vymazanie pracovného priestoru FlashDev podľa voľby Zákazníka vráti dostupné údaje alebo bez zbytočného odkladu vymaže aktívne Osobné údaje Zákazníka, ak ich uchovanie nevyžaduje právo. Zvyškové chránené kópie v zálohách zaniknú v bežných cykloch poskytovateľov a dovtedy zostanú izolované od bežného použitia. Na primeranú žiadosť FlashDev písomne potvrdí vymazanie.

10. Informácie a audity

FlashDev poskytne informácie primerane potrebné na preukázanie súladu s článkom 28 GDPR. Zákazník najprv použije dostupnú dokumentáciu a písomné otázky. Ak to nestačí a právo audit vyžaduje, Zákazník môže najviac raz za 12 mesiacov, alebo častejšie po relevantnom incidente či na pokyn dozorného orgánu, vykonať primeraný audit po oznámení, počas bežných pracovných hodín a bez neprimeraného narušenia služby.

Audit musí chrániť dôvernosť, bezpečnosť a údaje iných zákazníkov. FlashDev môže splniť požiadavku poskytnutím nezávislých správ alebo dokumentácie ďalšieho sprostredkovateľa a môže odmietnuť prístup, ktorý by ohrozil bezpečnosť alebo porušil inú povinnosť.

11. Náklady, zodpovednosť a záverečné ustanovenia

Bežná súčinnosť podľa tejto DPA je zahrnutá v službe. FlashDev môže po predchádzajúcom upozornení účtovať primerané zdokumentované náklady za neobvykle náročnú, opakovanú alebo Zákazníkom spôsobenú prácu, ak to právo dovoľuje.

Obmedzenia zodpovednosti v Podmienkach sa uplatnia aj na túto DPA v rozsahu dovolenom právom. Zodpovednosť za regulačné pokuty a nároky dotknutých osôb sa riadi uplatniteľným právom a mierou zodpovednosti každej strany. Táto DPA neposkytuje dodatočné odškodnenie, SLA, servisné kredity, certifikáciu ani správu z penetračného testu.

Táto DPA sa riadi právom Slovenskej republiky a spory riešia príslušné súdy Slovenskej republiky, ak kogentné právo alebo štandardné zmluvné doložky neurčujú inak. Slovenské znenie je rozhodujúce; anglické znenie je informatívny preklad. Otázky a oznámenia, vrátane hlásenia incidentu, posielajte na support@elecroute.com.

12. Príloha: podrobnosti spracúvania

Predmet, povaha a účel

Hosting a prevádzka ElecRoute: prijímanie, zaznamenávanie, ukladanie, usporadúvanie, vyhľadávanie, zobrazovanie, úprava, prenos, dostupné zálohovanie, podpora, export a vymazanie Obsahu Zákazníka na poskytovanie a zabezpečenie služby plánovania elektroinštalácií.

Kategórie dotknutých osôb

• zamestnanci, dodávatelia, praktikanti a oprávnení používatelia Zákazníka;
• klienti Zákazníka, vlastníci nehnuteľností, nájomníci, obyvatelia, kontaktné osoby stavby a dodávatelia; a
• iné osoby, ktoré Zákazník identifikuje v Obsahu Zákazníka.

Kategórie osobných údajov

• mená, pracovné kontakty, identifikátory, roly, oprávnenia a členstvo;
• projektové, majetkové, stavebné, miestnostné a polohové informácie spojené s osobou;
• nahraté pôdorysy a obrázky;
• názvy projektov, označenia miestností a zariadení, voľné poznámky a stav prác; a
• časové pečiatky a totožnosť oprávneného používateľa vykonávajúceho zmenu.

Zoznam ďalších sprostredkovateľov