Zmluva o spracovaní osobných údajov
sprostredkovateľom
Uzatvorená v zmysle článku 28 ods. 3 Nariadenia Európskeho parlamentu a Rady EU č. 2016/679
z 27.4.2016 o ochrane fyzických osôb pri spracovaní osobných údajov a o voľnom pohybe takýchto
údajov a v súlade s ustanoveniami zákona č. 18/2018 Z.z. o ochrane osobných údajov.
Ďalej ako „Zmluva o poverení“
Medzi zmluvnými stranami
Prevádzkovateľ
Obchodné meno: Eximo s.r.o.
Sídlo: SNP 365/76-21, 01851 Nová Dubnica
Zapísaná: Okresný súd Trenčín, Oddiel: Sro, Vložka č. 13513
IČO: 36326208
IČ DPH: SK2020116670
(ďalej len „prevádzkovateľ“)
Sprostredkovateľ:
Obchodné meno:
Sídlo:
Zapísaná:
Zastúpená:
IČO:
IČ DPH:
(ďalej len „sprostredkovateľ“)
I.
Definícia pojmov
1. Na účely tejto Zmluvy o poverení sa:
a) Zákonom rozumie zákon č. 18/2018 Z.z. o ochrane osobných údajov
b) Nariadenie GDPR rozumie Nariadenie Európskeho parlamentu a rady EU č. 2016/679
z 27.4.2016 o ochrane fyzických osôb pri spracovaní osobných údajov a o voľnom pohybe
takýchto údajov účinné od 25.5.2018.
c) Osobným údajov sa rozumejú akékoľvek informácie týkajúce sa identifikovanej alebo
identifikovateľnej fyzickej osoby, identifikovateľná fyzická osoba je osoba, ktorú možno
identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno,
identifikačné údaje, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či
viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu,
ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby
d) Dotknutou osobou sa rozumie akákoľvek fyzická osoba, ktorej údaje sa spracúvajú
e) Prevádzkovateľom sa rozumie každý, kto sám alebo spoločne s inými vymedzí
účel a prostriedky spracovania osobných údajov a spracúva údaje vo vlastnom
mene, prevádzkovateľ alebo konkrétne požiadavky na jeho určenie môžu byť
ustanovené v osobitnom predpise alebo medzinárodnej zmluve, ktorou je
Slovenská republika viazaná, ak takýto predpis alebo zmluva ustanovuje účel
a prostriedky spracovania osobných údajov
f) Sprostredkovateľom každý, kto spracováva osobné údaje v mene
prevádzkovateľa
g) Oprávnenou osobou sa rozumie každá fyzická osoba konajúca na základe
poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným
údajom (čl. 32 ods. 4 Nariadenia GDPR).
2. Ak z tejto zmluvy o poverení nevyplýva niečo iné, pojmy použité v tejto Zmluve o poverení majú
totožný obsahový význam, ako pojmy definované a použité v Nariadení GDPR alebo v Zákone.
3. Na účely tejto Zmluvy o poverení má Prevádzkovateľ právne postavenie prevádzkovateľa
a Sprostredkovateľ právne postavenie sprostredkovateľa.
4. Spracovanie osobných údajov na základe tejto Zmluvy o poverení sa spravuje Nariadením
a Zákonom (okrem §2 a §5 a okrem druhej a tretej časti Zákona).
II.
Predmet spracovania osobných údajov
Predmetom tejto Zmluvy o poverení je poverenie Sprostredkovateľa zo strany Prevádzkovateľa
spracovaním osobných údajov, ktoré osobné údaje spracováva Prevádzkovateľ pri výkone svojej
podnikateľskej činnosti v zmysle príslušných právnych predpisov a ktorých spracovanie zo strany
Sprostredkovateľa je nevyhnutné na plnenie jeho povinností vyplývajúcich z obchodno-právneho vzťahu
a za tým účelom vzájomnej úpravy práv a povinností zmluvných strán pri zabezpečení ochrany osobných
údajov Sprostredkovateľa v súlade s príslušnými ustanoveniami Nariadenia GDPR a Zákona.
III.
Doba spracovávania osobných údajov
Sprostredkovateľ je oprávnený spracovávať osobné údaje v zmysle tejto Zmluvy o poverení odo dňa jej
podpisu poslednou zo zmluvných strán až do:
a) Dňa zániku záväzkovo-právneho vzťahu založeného touto Zmluvou o poverení
b) Do naplnenia účelu spracovania osobných údajov na základe Zmluvy, a to podľa tho, ktorá
skutočnosť nastane skôr.
IV.
Povaha spracovania osobných údajov
Osobné údaje spracovávané na základe tejto Zmluvy o poverení budú spracované:
a) Úplne alebo čiastočne automatizovanými prostriedkami
b) Inými než automatizovanými prostriedkami, ak ide o osobné údaje, ktoré tvoria súčasť
informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.
V.
Účel spracovávania osobných údajov
Účelom spracovávania osobných údajov na základe tejto Zmluvy o poverení je riadne a včasné splnenie
povinností Prevádzkovateľa a Sprostredkovateľa zo Zmluvy tak, aby mohol byť naplnený účel tejto
Zmluvy.
VI.
Typ osobných údajov
Zoznam alebo rozsah osobných údajov
a) Typ osobných údajov predstavujúci predmet tejto Zmluvy o poverení:
-bežné osobné údaje, t.j. nebudú sa spracovávať osobitné kategórie osobných údajov podľa článku
9 Nariadenia GDPR.
b) nakoľko zoznam osobných údajov, ktoré majú byť predmetom tejto Zmluvy o poverení nie je
možné vzhľadom na účel spracovávania osobných údajov vopred určiť, zmluvné strany sa
dohodli, že spracovanie osobných údajov sa bude v súlade so Zákonom a Nariadením GDPR
uskutočňovať v rozsahu, ktorý svojím obsahom zodpovedá účelu ich spracovávania a ktoré sú
nevyhnutné na dosiahnutie jeho účelu v zmysle Zmluvy. Osobnými údajmi môžu byť: meno,
priezvisko, adresa na dodanie tovaru, adresa fakturačná, adresa vyzdvihnutia zásielky, emailová
adresa, telefónne číslo, podpis dotknutej osoby, číslo OP dotknutej osoby a iné.
VII.
Kategória dotknutých osôb
Zmluvné strany sa dohodli, že Sprostredkovateľ je oprávnený v súlade s touto Zmluvou
o poverení spracovávať osobné údaje nasledujúcich kategórií dotknutých osôb:
a) Zamestnanci Prevádzkovateľa
b) Osoby činné u Prevádzkovateľa na základe dohôd o prácach mimo pracovného pomeru
c) Klienti Prevádzkovateľa
VIII.
Povinnosti a práva prevádzkovateľa
1. Prevádzkovateľ prehlasuje, že osobné údaje tvoriace predmet tejto Zmluvy o poverení spracováva
Prevádzkovateľ na aspoň jednom z právnych základov uvedených v článku 6 Nariadenia GDPR.
2. Prevádzkovateľ je oprávnený požadovať od Sprostredkovateľa preukázanie vykonania všetkých
predpísaných bezpečnostných opatrení na ochranu osobných údajov podľa čl. IX bod 3.3 tejto
Zmluvy o poverení
3. Prevádzkovateľ je povinný prijať so zreteľom na najnovšie poznatky, na náklady na vykonanie
opatrení, na povahu, rozsah, kontext a účel spracovávania osobných údajov a na riziká s rôznou
pravdepodobnosťou a závažnosťou pre práva fyzických osôb primerané technické a organizačné
opatrenia na zaistenie úrovne bezpečnosti primeranej tomuto riziku v súlade s Nariadením GDPR.
Prijaté opatrenia je potrebný Prevádzkovateľ podľa potreby aktualizovať.
4. Prevádzkovateľ je povinný pravidelne preverovať trvanie účelu spracovávania osobných údajov,
to neplatí, ak osobné údaje sú súčasťou registračného záznamu podľa osobitného predpisu.
5. Prevádzkovateľ je povinný vytvoriť také podmienky fungovania ním prevádzkovaných
informačných systémov, ktoré zaručia ochranu osobných údajov pred ich poškodením, zničením,
stratou, zmenou, neoprávneným prístupom, zneužitím a sprístupnením, poskytnutím alebo
zverejnením, ako aj pred akýmikoľvek inými neprípustnými spôsobmi spracovania.
6. Prevádzkovateľ bude pravidelne vykonávať preverovanie spracovávaných osobných údajov
s ohľadom na trvanie ich účelu a toho, či bol účel spracovanie už dosiahnutý, alebo nie, v prípade
ak sa tak stalo, súčasťou kontroly bude tiež preverovanie vyraďovania záznamov registračného
strediska, prípadne ich zaraďovanie do predarchívnej a následne archívnej starostlivosti.
7. Prevádzkovateľ je povinný zabezpečiť, aby oprávnená osoba ( t.j. fyzická osoba konajúca za
Prevádzkovateľa, ktorá má prístup k osobným údajov, spracovávala tieto údaje len na základe
pokynov Prevádzkovateľa alebo podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou
je Slovenská republika viazaná.
IX.
Povinnosti a práva Sprostredkovateľa
1. Sprostredkovateľ je povinný spracovávať osobné údaje tak, aby nedošlo k porušeniu základných
práv a slobôd dotknutých osôb, najmä k porušeniu ich práva na zachovanie ľudskej dôstojnosti
alebo k iným neoprávneným zásahom do ich práva na ochranu súkromia.
2. Sprostredkovateľ je povinný viesť záznam o kategóriách spracovateľských činností, ktoré vykonal
v mene Prevádzkovateľa v zmysle článku 30 ods. 2 Nariadenia GDPR.
3. V zmysle tejto uzatvorenej Zmluvy o poverení:
3.1.Sprostredkovateľ je povinný spracovávať osobné údaje len na základe zdokumentovaných
pokynom Prevádzkovateľa, a to aj pokiaľ ide o prenos osobných údajov do tretej krajiny alebo
medzinárodnej organizácii, s výnimkou prípadov, keď si to vyžaduje právo Únie alebo právo
členského štátu, ktorému Sprostredkovateľ podlieha, v takom prípade Sprostredkovateľ
oznámi Prevádzkovateľovi túto právnu požiadavku pred spracovaním, pokiaľ dané právo
takého oznámenie nezakazuje zo závažných dôvodov verejného záujmu.
3.2.Sprostredkovateľ je povinný zabezpečiť, aby sa oprávnené osoby ( t.j. osoby oprávnené
spracovávať osobné údaje) zaviazali, že zachovajú mlčanlivosť o informáciách (dôvernosť
informácií) o ktorých sa dozvedeli alebo aby boli viazané vhodnou povinnosťou zachovávať
dôvernosť informácií vyplývajúcu zo štatútu.
3.3.Sprostredkovateľ je povinný vykonať opatrenia podľa článku 32 Nariadenia GDPR t.j.:
a) Sprostredkovateľ je povinný prijať so zreteľom na najnovšie poznatky, na náklady na
vykonanie opatrení, na povahu, rozsah, kontext a účel spracovávania osobných údajov
a na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva fyzických osôb
primerané technické a organizačné opatrenia na zaistenie úrovne bezpečnosti primeranej
tomuto riziku, pričom uvedené opatrenia môžu zahŕňať najmä:
– Pseudonymizáciu alebo šifrovanie osobných údajov
– Zabezpečenie trvalej dôvernosti, integrity, dostupnosti a odolnosti systémov
spracovania osobných údajov
– Proces obnovy dostupnosti osobných údajov a prístup k ním v prípade fyzického
incidentu alebo technického incidentu
– Proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických
a organizačných opatrení na zaistenie bezpečnosti spracovania osobných údajov.
b) Pri posudzovaní primeranej úrovne bezpečnosti je Sprostredkovateľ povinný prihliadať na
riziká, ktoré predstavuje spracovanie osobných údajov a to najmä náhodné zničenie alebo
nezákonné zničenie, strata, zmena alebo neoprávnené poskytnutie prenášaných osobných
údajov, uchovávaných osobných údajov alebo inak spracovávaných osobných údajov,
alebo neoprávnený prístup k takýmto osobným údajom.
c) Sprostredkovateľ je povinný vytvoriť také podmienky fungovania ním používaných
informačných systémov, ktoré zaručia ochranu osobných údajov pred ich poškodením,
zničením, stratou, zmenou, neoprávneným prístupom, zneužitím a sprístupnením,
poskytnutím alebo zverejnením, ako aj pred akýmikoľvek inými neprípustnými spôsobmi
spracovania.
d) Sprostredkovateľ je povinný zabezpečiť, aby fyzická osoba konajúca za
Sprostredkovateľa, ktorá má prístup k osobným údajom, spracovávala tieto údaje len na
základe pokynov Prevádzkovateľa s výnimkou prípadov, keď sa to od nej vyžaduje podľa
práva Únie alebo právneho poriadku SR.
3.4.Prevádzkovateľ týmto udeľuje Sprostredkovateľovi všeobecný súhlas k tomu, aby
Sprostredkovateľ poveril ďalšieho sprostredkovateľa spracovaním osobných údajov tak, aby
mohol byť naplnený účel Zmluvy.
3.5.Sprostredkovateľ nezapojí ďalšieho sprostredkovateľa bez predchádzajúceho osobitného
alebo všeobecného písomného povolenia Prevádzkovateľa. V prípade všeobecného
písomného povolenia Sprostredkovateľ informuje Prevádzkovateľa o akýchkoľvek
zamýšľaných zmenách v súvislosti s pridaním alebo nahradením ďalších sprostredkovateľov,
čím sa Prevádzkovateľovi dá možnosť namietať proti takýmto zmenám.
3.6.Ak Sprostredkovateľ zapojí do vykonávania osobitých spracovateľských činností v mene
Prevádzkovateľa ďalšieho sprostredkovateľa, tomuto ďalšiemu sprostredkovateľovi v zmluve
alebo inom právnom úkone je povinný uložiť rovnaké povinnosti týkajúce sa ochrany
osobných údajov ako sú ustanovené v tejto Zmluve o poverení, a to najmä poskytnutie
dostatočných záruk na prijatie primeraných technických a organizačných opatrení tak, aby
spracovávanie osobných údajov spĺňalo požiadavky Nariadenia GDPR. Ak tento ďalší
sprostredkovateľ nesplní svoje povinnosti ochrany údajov, pôvodný Sprostredkovateľ zostáva
voči Prevádzkovateľovi plne zodpovedný za plnenie povinností tohto ďalšieho
sprostredkovateľa.
3.7.Sprostredkovateľ je povinný po zohľadnení povahy spracovávania osobných údajov v čo
najväčšej miere poskytnúť súčinnosť Prevádzkovateľovi vhodnými technickými
a organizačnými opatreniami pri plnení jeho povinností reagovať na žiadosti o výkon práv
dotknutej osoby ustanovených v kapitole III Nariadenia GDPR.
3.8.Sprostredkovateľ je povinný poskytnúť súčinnosť Prevádzkovateľovi pri zabezpečovaní
plnenia povinností podľa článkov 32 až 36 Nariadenia GDPR a prihliadnutím na povahu
spracovávania osobných údajov a informácie dostupné Sprostredkovateľovi.
3.9.Sprostredkovateľ je povinný pri skončení poskytovania služieb týkajúcich sa spracovania na
základe rozhodnutia Prevádzkovateľa všetky osobné údaje vymazať alebo vrátiť
Prevádzkovateľovi a vymazať existujúce kópie, ak právo Únie alebo právny poriadok SR
nepožaduje uchovávanie týchto osobných údajov.
3.10. Sprostredkovateľ sa zaväzuj, že poskytne Prevádzkovateľovi všetky informácie potrebné
na preukázanie splnenia povinností stanovených v článku 28 Nariadenia GDPR a umožní
audity, ako aj kontroly vykonávané Prevádzkovateľom a prispieva k nim.
X.
Trvanie Zmluvy o poverení
Táto Zmluva o poverení sa uzatvára na dobu platnosti obchodno-právneho vzťahu
Zmluvy o poverení je možné ukončiť písomnou dohodou zmluvných strán alebo písomným odstúpením
od Zmluvy o poverení ktoroukoľvek zo zmluvných strán.
Prevádzkovateľ je oprávnený odstúpiť od Zmluvy o poverení v prípade, ak Sprostredkovateľ porušil svoje
povinnosti vyplývajúce z tejto Zmluvy o poverení a napriek písomnému upozorneniu Prevádzkovateľa
toto porušenie povinností Sprostredkovateľ neodstráni ani do 30 dní od doručenia upozornenia
Sprostredkovateľovi.
Sprostredkovateľ je oprávnený odstúpiť od Zmluvy o poverení v prípade, ak Prevádzkovateľ poruší svoje
povinnosti vyplývajúce z tejto Zmluvy o poverení a napriek písomnému upozorneniu Sprostredkovateľa
toto porušenie povinností Prevádzkovateľ neodstráni do 3O dní od doručenia upozornenia
Prevádzkovateľovi.
Akákoľvek písomnosť musí byť doručovaná na adresu sídla resp. miesta podnikania druhej zmluvnej
strany, ktorá je uvedená v príslušnom registri ( obchodnom, živnostenskom) v čase doručovania tejto
písomnosti. V prípade, ak sa akákoľvek písomnosť, odosielaná podľa predchádzajúcej vety, vráti
odosielateľovi ako nedoručená/nedoručiteľná, považuje sa deň vrátenia tejto písomnosti, za deň jej
doručenia, a to aj v prípade, ak sa o tom jej adresát nedozvedel.
XI.
Záverečné ustanovenia
Práva a povinnosti zmluvných strán touto Zmluvou o poverení neupravené sa riadia príslušnými
ustanoveniami Nariadenia GDPR, Zákona (okrem §2, §5 a okrem druhej a tretej časti Zákona).,
Obchodného zákonníka a ostatných právnych predpisov Slovenskej republiky.
V prípade, ak sa niektoré z ustanovení Zmluvy o poverení stane neplatným, neúčinným alebo
nevykonateľným, nie sú tým dotknuté ostatné ustanovenia tejto Zmluvy o poverení. Namiesto takéhoto
ustanovenia sa použije ustanovenie platných právnych predpisov Slovenskej republiky, ktoré sú obsahovo
a účelovo najbližšie úmyslu zmluvných strán vyjadrenému v tejto Zmluve o poverení.
Táto Zmluva o poverení predstavuje jediný a úplný dohovor zmluvných strán ohľadom predmetu Zmluvy
o poverení a v celosti nahrádza akékoľvek predchádzajúce ústne či písomné dohody zmluvných strán
ohľadom predmetu Zmluvy o poverení.
Akékoľvek zmeny a doplnky k tejto Zmluve o poverení je možné vykonať len formou písomných
dodatkov k tejto Zmluve o poverení podpísaných oboma zmluvnými stranami.
Zmluva o poverení je vyhotovená v dvoch rovnopisoch. Každá zo zmluvných strán obdrží po podpise
Zmluvy o poverení po jednom vyhotovení Zmluvy o poverení.
Zmluvné strany prehlasujú, že táto Zmluva o poverení, ktorú si pred podpisom prečítali a jej obsahu
porozumeli, sa zhoduje s ich slobodnou a vážnou vôľou, že ju neuzavreli v tiesni a za nevýhodných
podmienok a preto ju na znak súhlasu vlastnoručne podpisujú.