Zmluva o spracúvaní osobných údajov (DPA)

Článok I. Zmluvné strany

Sprostredkovateľ: Lukáš Vizner, miesto podnikania Mieru 61, 044 14 Čaňa, IČO: 56466102, DIČ: 1129976375 (neplatiteľ DPH), e-mail: lukas@sundec.sk (ďalej „Sprostredkovateľ“ alebo „SUNDEC“).

Prevádzkovateľ: zákazník Platformy SUNDEC – fyzická osoba – podnikateľ alebo právnická osoba (najmä montážna alebo predajná firma v sektore fotovoltiky), ktorá využíva služby Platformy a vkladá do nej osobné údaje svojich klientov (ďalej „Prevádzkovateľ“).

Sprostredkovateľ a Prevádzkovateľ ďalej spoločne aj ako „Zmluvné strany“.

Článok II. Predmet, účel a povaha spracúvania

Táto DPA sa uzatvára v súlade s § 34 ods. 7 zákona č. 18/2018 Z. z. o ochrane osobných údajov (ďalej „Zákon“) a čl. 28 GDPR.

Predmetom je úprava práv a povinností Zmluvných strán pri spracúvaní osobných údajov klientov Prevádzkovateľa v rámci SaaS služieb Platformy SUNDEC.

Účel: B2B SaaS – technicko-ekonomické výpočty FVE na obhliadke, branded cenové ponuky (PDF a webové odkazy) a súvisiaca technická podpora.

Povaha: zber, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, vyhľadávanie, prehliadanie, prenos (vrátane zdieľateľných odkazov), obmedzenie a vymazanie.

Doba: počas predplatného a následne maximálne 30 dní po ukončení (grace period na export), potom trvalé vymazanie, ak osobitný predpis nevyžaduje uchovanie. Údaje v automatických zálohách databázy sa nemažú jednotlivo; zálohy sa v rotačnom cykle automaticky prepíšu a nenávratne zničia najneskôr do 30 dní.

• Kategórie dotknutých osôb: klienti, potenciálni klienti a zástupcovia klientov Prevádzkovateľa.
• Typy údajov: meno, priezvisko, e-mail, telefón; adresa inštalácie / GPS; spotreba, tarify, IMS dáta, technické parametre; poznámky a história kontaktov.
• Osobitné kategórie: Sprostredkovateľ ich nespracúva; Prevádzkovateľ ich do Platformy nevkladá.

Článok III. Práva a povinnosti Prevádzkovateľa

• Prevádzkovateľ garantuje, že disponuje platným právnym základom (súhlas, zmluva alebo predzmluvné vzťahy) na získanie, spracúvanie a import osobných údajov vrátane IMS dát do Platformy.
• Prevádzkovateľ plní informačnú povinnosť voči svojim klientom (§ 19 a § 20 Zákona), vrátane informácie o spracúvaní cez Sprostredkovateľa.
• Prevádzkovateľ udeľuje písomné pokyny; za písomný pokyn sa považuje aj nastavenie a používanie funkcií Platformy.
• Prevádzkovateľ má právo požiadať o informácie potrebné na preukázanie splnenia povinností podľa tejto DPA a Zákona.

Článok IV. Povinnosti Sprostredkovateľa

Sprostredkovateľ sa zaväzuje:

• Spracúvať osobné údaje len na základe písomných pokynov Prevádzkovateľa, a to aj pri prenose do tretej krajiny, okrem prenosov podľa osobitných predpisov.
• Zabezpečiť mlčanlivosť osôb oprávnených spracúvať osobné údaje.
• Vykonať primerané TOM podľa § 39 Zákona, najmä HTTPS/SSL, MFA/TOTP, izoláciu firiem (RLS), zálohy a testovanie odolnosti.
• Poskytnúť súčinnosť pri žiadostiach dotknutých osôb (prístup, oprava, vymazanie, export JSON).
• Poskytnúť súčinnosť pri bezpečnosti, ohlasovaní porušení Úradu a DPIA.
• Oznámiť Prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvedel.
• Po ukončení služieb na základe rozhodnutia Prevádzkovateľa údaje vymazať alebo vrátiť a vymazať kópie, ak zákon nevyžaduje uchovanie.
• Bez zbytočného odkladu informovať Prevádzkovateľa, ak má za to, že sa jeho pokynom porušuje Zákon alebo iné predpisy o ochrane osobných údajov.
• Poskytnúť Prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností ustanovených v § 34 Zákona a umožniť audity vrátane kontrol, ktoré vykonáva Prevádzkovateľ alebo iný audítor, ktorého Prevádzkovateľ poveril, a poskytnúť pri týchto auditoch potrebnú súčinnosť.

Článok V. Ďalší sprostredkovatelia (Sub-sprostredkovatelia)

Prevádzkovateľ udeľuje všeobecný písomný súhlas so zapojením ďalších sprostredkovateľov.

Sprostredkovateľ informuje Prevádzkovateľa o plánovanom zapojení alebo výmene sub-sprostredkovateľa najmenej 14 dní vopred (e-mailom alebo v Platforme). Prevádzkovateľ môže vzniesť odôvodnené námietky; pri nedohode môže ukončiť predplatné.

Sub-sprostredkovateľom sú zmluvne uložené rovnaké povinnosti ochrany údajov ako v tejto DPA. Ak ďalší sprostredkovateľ nesplní svoje povinnosti týkajúce sa ochrany osobných údajov, zodpovednosť voči Prevádzkovateľovi v plnom rozsahu nesie pôvodný Sprostredkovateľ (§ 34 ods. 5 Zákona).

• Supabase, Inc. — databáza, autentifikácia, úložisko (Paríž / EÚ).
• Render Services, Inc. — výpočtový server (Frankfurt / EÚ).
• Vercel Inc. — hosting webovej aplikácie (EÚ / USA).
• Resend — technické doručenie e-mailov s ponukou a pozvánok (USA).
• MapTiler AG — mapové podklady a vyhľadanie adresy (geokódovanie) (Švajčiarsko).
• PVGIS (Spoločné výskumné centrum Európskej komisie) — technický nástroj na výpočet výroby; dostáva len GPS súradnice miesta inštalácie a technické parametre, bez mena a iných priamych identifikátorov (EÚ).

Článok VI. Prenos do tretích krajín

Ak dochádza k prenosu mimo EHP, prenos sa uskutoční len pri splnení podmienok Zákona: do Švajčiarska (MapTiler) na základe rozhodnutia Európskej komisie o primeranosti; do USA (Vercel, Resend) na základe EU-US Data Privacy Framework, ak je príjemca certifikovaný, inak na základe štandardných zmluvných doložiek (SCC) schválených Európskou komisiou.

Článok VII. Špecifické ustanovenia Platformy

IMS dáta: Prevádzkovateľ berie na vedomie, že IMS profily v spojení s adresou môžu byť osobné údaje, a zodpovedá za súhlas klienta na ich analýzu v Platforme.

Verejné zdieľanie ponúk: odkazy sú chránené tokenom; Prevádzkovateľ s nimi zaobchádza bezpečne. Verejný odkaz nezobrazuje kontaktné údaje klienta (e-mail, telefón, adresu); zobrazuje názov projektu, ktorý zadáva Prevádzkovateľ — Prevádzkovateľ do neho nemá uvádzať meno ani adresu klienta.

Článok VIII. Zodpovednosť za škodu

Zmluvné strany zodpovedajú za škodu spôsobenú porušením povinností pri spracúvaní osobných údajov v súlade s § 38 Zákona.

Limitácia zodpovednosti dohodnutá vo VOP sa vzťahuje aj na nároky z tejto DPA, v maximálnom rozsahu povolenom právnymi predpismi.

Článok IX. Záverečné ustanovenia

DPA nadobúda platnosť a účinnosť elektronickým odsúhlasením Prevádzkovateľom (checkbox pri registrácii alebo objednávke predplatného) podľa § 34 ods. 7 Zákona.

Pri rozpore medzi DPA a VOP majú v otázkach ochrany osobných údajov prednosť ustanovenia tejto DPA.

Kontakt pre ochranu osobných údajov: lukas@sundec.sk.