ZMLUVA O POVERENÍ SO SPRACÚVANÍM OSOBNÝCH ÚDAJOV
v zmysle článku 28 Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej ako „Nariadenie“)
ÚVODNÉ USTANOVENIA
Na základe zmluvy o sprostredkovaní (ďalej ako „Hlavná zmluva“) uzatvorenej prostredníctvom webovej stránky www.somslovak.sk (ďalej ako „webová stránka“) v súlade s ustanoveniami všeobecných obchodných podmienok medzi občianskym združením Záhorácky klub podnikateľov o. z., so sídlom Bratislavská 322/20, 908 51 Holíč, IČO: 517 572 90, zapísaný v registri občianskych združení pod číslom VVS/1-900/90-53858 (ďalej ako „Sprostredkovateľ“) a fyzickými osobami – podnikateľmi a obchodnými spoločnosťami alebo inými subjektami, ktoré uzatvorili vyššie uvedeným spôsobom so Sprostredkovateľom Hlavnú zmluvu (ďalej ako „Prevádzkovateľ“), prichádza k spracúvaniu osobných údajov dotknutých osôb Sprostredkovateľom v mene Prevádzkovateľa (Prevádzkovateľ a Sprostredkovateľ spolu ďalej ako „Zmluvné strany“).
Uzatvorením Hlavnej zmluvy uzatvárajú Zmluvné strany aj túto zmluvu o poverení so spracúvaní osobných údajov v súlade s čl. 28 Nariadenia (ďalej ako „Zmluva“) a vzťah medzi Sprostredkovateľom s Prevádzkovateľom sa pri spracúvaní osobných údajov podľa predchádzajúceho odseku tohto článku Zmluvy riadi podmienkami stanovenými touto Zmluvou, ak nie je v individuálnom prípade dohodnuté medzi Zmluvnými stranami inak.
PREDMET ZMLUVY
Prevádzkovateľ týmto poveruje Sprostredkovateľa so spracúvaním osobných údajov v mene Prevádzkovateľa, ku ktorému dochádza pri plnení Hlavnej Zmluvy za nasledujúcich podmienok:
predmet a účel spracúvania osobných údajov – Sprostredkovateľ spracúva osobné údaje dotknutých osôb pri poskytovaní služieb, ktoré sú predmetom Hlavnej zmluvy, výlučne na nasledujúce účely spracúvania, ktoré sú nevyhnutné na poskytovanie služieb v zmysle Hlavnej zmluvy:
doručovanie potvrdení o prijatí objednávky zákazníkom (zabezpečovanie zmluvnej komunikácie) v mene Prevádzkovateľa na webovej stránke,
prijímanie platieb za objednané tovary a služby prostredníctvom platobnej brány na webovej stránke v mene Prevádzkovateľa
(t. j. na účely, ktoré nevyhnutne súvisia s plnením Hlavnej zmluvy prostredníctvom webvej stránky);
doba spracúvania – Sprostredkovateľ je oprávnený spracúvať osobné údaje v mene Prevádzkovateľa počas doby trvania Hlavnej zmluvy. Zánikom Hlavnej zmluvy zaniká aj poverenie udelené Sprostredkovateľovi na spracúvanie osobných údajov podľa tohto odseku tejto Zmluvy a táto Zmluva ako celok, ak nie je ďalej ustanovené inak. Zánikom poverenia nie sú dotknuté povinnosti Sprostredkovateľa alebo ďalšieho sprostredkovateľa (ak je do spracúvania osobných údajov podľa tejto Zmluvy zapojený), na ktorých vykonanie je Sprostredkovateľ a / alebo ďalší sprostredkovateľ povinný po skončení tejto Zmluvy;
typ osobných údajov – bežné osobné údaje (spracúvané pri plnení zmluvných povinností Prevádzkovateľa alebo na základe iného právneho základu určeného Prevádzkovateľom), najmä: meno, priezvisko, kontaktné údaje – tel. č., e-mailová adresa, adresa pobytu / doručovania alebo fakturačná adresa, iné osobné údaje uvedené v objednávke, bankové spojenie (číslo účtu/debetnej karty), údaje o výške prijatej platby a iné osobné údaje, ktorých spracúvanie je, v závislosti od konkrétnej úlohy pri plnení Hlavnej zmluvy na vyššie špecifikované účely nevyhnutné, vždy v rozsahu určenom Prevádzkovateľom;
kategórie dotknutých osôb – návštevníci webovej stránky, ktorí si objednajú tovar alebo služby, prípadne kontaktné osoby uvedených subjektov (ak je zákazníkom právnická osoba);
povaha spracúvania osobných údajov – Sprostredkovateľ vykonáva spracúvanie osobných údajov automatizovanými prostriedkami (prostredníctvom rozhrania webovej stránky), podľa pokynov Prevádzkovateľa pri poskytovaní služieb podľa Hlavnej zmluvy a tejto Zmluvy. Výmena a odovzdávanie osobných údajov Prevádzkovateľom Sprostredkovateľovi prebieha elektronicky, prostredníctvom vopred odsúhlasených a zabezpečených prostriedkov elektronickej komunikácie.
V prípade, ak nastane zmena skutočností špecifikovaných v predchádzajúcom odseku tohto článku Zmluvy, sú Zmluvné strany povinné si bez zbytočného odkladu, najneskôr do 3 dní, vzájomne oznámiť zmenu týchto skutočností a v zmysle zistených zmien individuálne upraviť znenie tohto článku Zmluvy.
Povinnosti zmluvných strán
Zmluvné strany sú povinné pri plnení svojich povinností pri spracúvaní osobných údajov vyplývajúcich z tejto Zmluvy dodržiavať ustanovenia Predpisov o ochrane osobných údajov.
Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa udelených písomne alebo elektronicky, ak sú v súlade s Predpismi o ochrane osobných údajov (ďalej len „pokyny“) a touto Zmluvou. Prevádzkovateľ je oprávnený udelené pokyny zmeniť alebo zrušiť. Zmena alebo zrušenie pokynov podľa predchádzajúcej vety nadobudne voči Sprostredkovateľovi účinnosť po uplynutí 3 dní od doručenia oznámenia o takejto zmene alebo zrušení pokynov Prevádzkovateľa. Za pokyny udelené Prevádzkovateľom pri uzatváraní tejto Zmluvy sa považujú príslušné ustanovenia Hlavnej zmluvy upravujúce povinnosti Sprostredkovateľa pri poskytovaní služieb na stanovené účely spracúvania.
V prípade pochybností Sprostredkovateľa o pokynoch Prevádzkovateľa pri spracúvaní osobných údajov je Sprostredkovateľ povinný informovať Prevádzkovateľa o pochybnostiach a požiadať o doplnenie alebo spresnenie pokynov, resp. dohodnúť sa s Prevádzkovateľom na ďalšom postupe. Prevádzkovateľ je povinný doplniť, spresniť svoje pokyny a / alebo dohodnúť sa s Sprostredkovateľom na ďalšom postupe, a to do 2 dní odo dňa informovania Sprostredkovateľom o pochybnostiach týkajúcich sa spracúvania osobných údajov alebo pokynov Prevádzkovateľa. V prípade, ak Prevádzkovateľ v lehote podľa predchádzajúcej vety svoje pokyny nedoplní, nespresní a / alebo sa nedohodne s Sprostredkovateľom na ďalšom postupe, je Sprostredkovateľ oprávnený interpretovať pokyny Prevádzkovateľa podľa svojho najlepšieho vedomia.
Sprostredkovateľ je povinný zachovávať mlčanlivosť o spracúvaní osobných údajov a o osobných údajoch, ktoré v mene Prevádzkovateľa spracúva, pričom táto povinnosť trvá aj po skončení spracúvania osobných údajov, resp. po zániku tejto Zmluvy. Sprostredkovateľ zabezpečí, aby prístup k spracúvaným osobným údajom mali výlučne osoby, ktoré nevyhnutne potrebujú prístup k osobných údajom pre plnenie povinností Sprostredkovateľa, na ktoré boli poverené (napr. zamestnanci Sprostredkovateľa v postavení oprávnených osôb v zmysle čl. 32 ods. 4. Nariadenia) alebo na plnenie tejto Zmluvy. Sprostredkovateľ zaviaže osoby poverené spracúvaním osobných údajov, že zachovajú mlčanlivosť o spracúvaní osobných údajov a osobných údajoch, ktoré spracúvajú v mene Prevádzkovateľa, a to aj po skončení ich poverenia.
Prevádzkovateľ je povinný:
stanoviť vhodný právny základe pre spracúvanie osobných údajov a dodržiavanie ostatných základných zásad spracúvania osobných údajov (najmä zásady minimalizácie uchovávania a minimalizácie osobných údajov), za porušenie ktorých Sprostredkovateľ nezodpovedá;
informovať dotknuté osoby o tom, že ich osobné údaje sú spracúvané prostredníctvom Sprostredkovateľa, v zmysle čl. 13 a 14 Nariadenia.
Sprostredkovateľ je povinný, s prihliadnutím na povahu spracúvania a informácie dostupné Sprostredkovateľovi informovať / upozorniť Prevádzkovateľa:
ak podľa jeho názoru určitý pokyn Prevádzkovateľa porušuje ustanovenia Predpisov o ochrane osobných údajov, vždy najneskôr však do 3 dní odo dňa, kedy sa dozvedel o porušení Predpisov o ochrane osobných údajov,
ak nastane bezpečnostný incident na strane Sprostredkovateľa a / alebo ďalšieho sprostredkovateľa, ktorý vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov alebo neoprávnený prístup k osobným údajom (ďalej len „porušenie ochrany osobných údajov“) bez zbytočného odkladu po tom, čo sa o porušení ochrany osobných údajov dozvedel.
Sprostredkovateľ je oprávnený vykonávať prenos osobných údajov v rámci Európskej únie. Sprostredkovateľ je oprávnený preniesť osobné údaje do štátu, ktorý nie je členským štátom Európskej únie (ďalej len „tretia krajina“) alebo medzinárodnej organizácii len na základe súhlasu Prevádzkovateľa, ktorý môže byť udelený v akejkoľvek forme.
Sprostredkovateľ so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb v zmysle článku 32 Nariadenia prijíma nasledujúce minimálne technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti spracúvania osobných údajov primeranú tomuto riziku:
špecifikácia a minimalizácia okruhu osôb, ktoré v mene Sprostredkovateľa spracúvajú osobné údaje a zabezpečenie dodržiavania ustanovení predpisov o ochrane osobných údajov pri spracúvaní osobných údajov týmito osobami,
zavedenie opatrení na zamedzenie prístupu neoprávnených osôb do informačných systémov, v ktorých sú spracúvané osobné údaje v mene Prevádzkovateľa, prostredníctvom systému hesiel a prístupových oprávnení,
zavedenie opatrení na zabezpečenie toho, aby osobné údaje nemohli byť neoprávnene prečítané alebo odpozorované pri ich prenose alebo spracúvaní na zobrazovacích jednotkách alebo iných technických zariadeniach alebo dokumentov spracúvaných v listinnej podobe,
zavedenie mechanických bezpečnostných prostriedkov (uzamykateľné dvere, uzamykateľné skrine a odkladacie priestory) na zabezpečenie zodpovedajúcej úrovne ochrany papierových nosičov osobných údajov a softvérových bezpečnostných prostriedkov (firewall, antivírusový program, používanie zabezpečenej siete, aktualizácie používaných softvérových programov v pravidelných intervaloch) na zabezpečenie zodpovedajúcej úrovne ochrany osobných údajov spracúvaných v elektronickej podobe,
zavedenie procesov preverovania dodávateľov, ktorí budú spracúvať osobné údaje dotknutých osôb v mene Sprostredkovateľa ako ďalší sprostredkovatelia,
prijatie internej dokumentácie o ochrane osobných údajov, v ktorej sú špecifikované ďalšie bezpečnostné opatrenia a podmienky spracúvania osobných údajov dotknutých osôb.
V prípade, ak Sprostredkovateľ zamýšľa zmeniť prijaté bezpečnostné opatrenia špecifikované v prechádzajúcom bode tejto Zmluvy počas platnosti tejto Zmluvy, oznámi takúto zmenu Prevádzkovateľovi vhodným spôsobom vopred a prijaté také nové bezpečnostné opatrenia, ktoré poskytujú minimálne takú úroveň ochrany osobných údajov, ako poskytujú pôvodne prijaté bezpečnostné opatrenia.
Prevádzkovateľ uzatvorením tejto Zmluvy udeľuje Sprostredkovateľovi všeobecný súhlas so zapojením ďalších sprostredkovateľov (subdodávateľov) do spracúvania osobných údajov v mene Prevádzkovateľa podľa tejto Zmluvy. V prípade, ak o to Prevádzkovateľ požiada, poskytne mu Sprostredkovateľ bez zbytočného odkladu identifikačné údaje ďalších sprostredkovateľov, ktorých zapojil do spracúvania osobných údajov v mene konkrétneho Prevádzkovateľa podľa tejto Zmluvy. Ak so zapojením konkrétneho ďalšieho sprostredkovateľa do spracúvania osobných údajov podľa tejto Zmluvy Prevádzkovateľ nesúhlasí, je oprávnený do 2 dní odo dňa doručenia identifikačných údajov ďalšieho sprostredkovateľa Prevádzkovateľovi voči zapojeniu tohto ďalšieho sprostredkovateľa namietať a Zmluvné strany sú povinné bez zbytočného odkladu sa individuálne dohodnúť na ďalšom postupe.
Sprostredkovateľ je po zániku tejto Zmluvy a ukončení spracúvania osobných údajov v mene Prevádzkovateľa povinný, na základe rozhodnutia Prevádzkovateľa doručeného Sprostredkovateľovi, všetky osobné údaje, ktoré v mene Prevádzkovateľa podľa tejto Zmluvy spracúval, vymazať (zničiť) alebo vrátiť Prevádzkovateľovi a vymazať (zničiť) všetky existujúce kópie, ak príslušné právne predpisy alebo Predpisy o ochrane osobných údajov nepožadujú uchovanie týchto osobných údajov. O vymazaní (zničení) alebo vrátení osobných údajov Prevádzkovateľovi po zániku tejto Zmluvy v zmysle predchádzajúcej vety tohto bodu Zmluvy vydá Sprostredkovateľ potvrdenie, bez zbytočného odkladu po ukončení tejto Zmluvy a vymazaní (zničení) alebo vrátení osobných údajov Prevádzkovateľovi.
Sprostredkovateľ umožní Prevádzkovateľovi vykonať kontrolu spracúvania osobných údajov v mene Prevádzkovateľa podľa tejto Zmluvy za účelom overenia, či Sprostredkovateľ plní svoje povinnosti vyplývajúce z tejto Zmluvy za nasledujúcich podmienok:
kontrolu vykoná Prevádzkovateľ alebo iná ním výslovne osoba poverená, pričom Prevádzkovateľ je povinný informovať Sprostredkovateľa o vykonaní kontroly spracúvania osobných údajov najmenej 7 pracovných dní vopred. V oznámení o vykonaní kontroly Prevádzkovateľ uvedie dátum kontroly, identifikáciu osôb, prostredníctvom ktorých má byť kontrola vykonaná a označenie informácií, záznamov alebo dokumentov, ktorých predloženie Prevádzkovateľ požaduje,
kontrola v zmysle predchádzajúceho odseku tohto bodu tohto článku Zmluvy môže byť vykonávaná iba po dobu trvania tejto Zmluvy, pričom Prevádzkovateľ je oprávnený vykonať kontrolu jedenkrát v priebehu každého roku trvania tejto Zmluvy.
ZÁVEREČNÉ USTANOVENIA
Zmluvné strany sa dohodli, že touto Zmluvou nie je dotknutá akákoľvek dohoda medzi Zmluvnými stranami upravujúca ochranu dôverných informácií (iných ako osobné údaje) v súvislosti s Hlavnou zmluvou, ak takáto bola uzavretá.
Táto Zmluva nadobúda platnosť a účinnosť dňom uzatvorenia Hlavnej zmluvy (bez ohľadu na formu jej uzatvorenia Hlavnej zmluvy.
Uzatvorením Hlavnej zmluvy Prevádzkovateľ vyhlasuje, že si túto Zmluvu prečítal, porozumel jej obsahu a vyjadruje jeho skutočnú a vážnu vôľu.
Zmluvné strany sa dohodli, že zmeny a doplnenia tejto Zmluvy musia byť uskutočnené minimálne v elektronickej forme, prostredníctvom aktualizácie znení tejto Zmluvy Sprostredkovateľom a vyjadrením súhlasu s jej zmenou Prevádzkovateľom v akejkoľvek forme, z ktorej bude zrejmé, že so zmenou tejto Zmluvy Prevádzkovateľ súhlasí, bez potreby uzatvorenia dodatkov k Hlavnej zmluve.
Ak sa niektoré z ustanovení tejto Zmluvy stane neplatným, neúčinným a / alebo nevykonateľným, nie je tým ovplyvnená platnosť, účinnosť a / alebo vykonateľnosť ostatných ustanovení tejto Zmluvy, pokiaľ to nie je vylúčené právnymi predpismi z povahy takéhoto ustanovenia. Po tom, čo Zmluvné strany zistia, že niektoré z ustanovení tejto Zmluvy alebo jej časti je neplatné, neúčinné alebo nevykonateľné, sú Zmluvné strany povinné nahradiť neplatné, neúčinné a / alebo nevykonateľné ustanovenie Zmluvy alebo jeho časť bez zbytočného odkladu novým ustanovením, ktoré rešpektuje účel tejto Zmluvy.
