Zmluva o spracúvaní osobných údajov

1. Strany a vznik

1. Prevádzkovateľ je zákazník služby Fleetix uvedený v zmluve o poskytovaní služby alebo v objednávke (ďalej „prevádzkovateľ“).
2. Sprostredkovateľ je Gaelta Agency s. r. o., so sídlom Novomestská ulica 9514/9, 917 01 Trnava, IČO 56659920, DIČ 2122396628, zapísaná v Obchodnom registri Okresného súdu Trnava, oddiel Sro, vložka č. 58156/T (ďalej „sprostredkovateľ“).
3. Táto zmluva je súčasťou zmluvy o poskytovaní služby Fleetix a všeobecných obchodných podmienok (ďalej „hlavná zmluva“). Vzniká a zaniká spolu s ňou. Na žiadosť prevádzkovateľa ju strany podpíšu aj samostatne.
4. Pojmy majú význam podľa GDPR. Ak sa táto zmluva v otázkach ochrany osobných údajov líši od hlavnej zmluvy, platí táto zmluva.

2. Predmet, účel a doba spracúvania

1. Sprostredkovateľ spracúva osobné údaje pre prevádzkovateľa výlučne na účel poskytovania služby Fleetix podľa hlavnej zmluvy, vrátane podpory, zálohovania, zabezpečenia a prepojení, ktoré si prevádzkovateľ zapne.
2. Rozsah, kategórie údajov a dotknutých osôb a spracovateľské operácie sú v prílohe 1. Spracúvanie trvá počas trvania hlavnej zmluvy a lehôt na export a výmaz podľa bodu 9.

3. Pokyny prevádzkovateľa

1. Sprostredkovateľ spracúva osobné údaje iba na základe zdokumentovaných pokynov prevádzkovateľa. Pokynmi sú hlavná zmluva, táto zmluva, nastavenia, ktoré prevádzkovateľ urobí v aplikácii (napríklad zapnutie prepojenia, doba uchovávania, anonymizácia), a písomné alebo e-mailové pokyny jeho oprávnených osôb.
2. Ak pokyn podľa názoru sprostredkovateľa porušuje GDPR alebo iný predpis o ochrane údajov, sprostredkovateľ na to prevádzkovateľa bez zbytočného odkladu upozorní a môže jeho vykonanie odložiť do potvrdenia alebo zmeny pokynu.
3. Ak sprostredkovateľovi spracúvanie ukladá právo EÚ alebo Slovenskej republiky, informuje o tom prevádzkovateľa vopred, ak mu to zákon nezakazuje.

4. Mlčanlivosť a oprávnené osoby

1. K osobným údajom majú prístup len osoby sprostredkovateľa, ktoré ho potrebujú na poskytovanie služby alebo podpory, sú poučené a viazané mlčanlivosťou, ktorá trvá aj po skončení ich vzťahu so sprostredkovateľom.
2. Pri podpore sprostredkovateľ pristupuje k dátam konkrétneho prevádzkovateľa len vtedy, keď je to na vyriešenie požiadavky potrebné.

5. Bezpečnosť

1. Sprostredkovateľ prijíma technické a organizačné opatrenia podľa čl. 32 GDPR uvedené v prílohe 2. Môže ich meniť, ak úroveň ochrany neklesne.
2. Prevádzkovateľ zodpovedá za opatrenia na svojej strane, najmä za správu používateľov a rolí, zabezpečenie svojich zariadení a prístupových kľúčov k službám tretích strán.

6. Ďalší sprostredkovatelia

1. Prevádzkovateľ dáva sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov. Ich aktuálny zoznam je v prílohe 3 a na stránke Bezpečnosť a GDPR.
2. Zámer pridať alebo vymeniť ďalšieho sprostredkovateľa oznámi sprostredkovateľ prevádzkovateľovi e-mailom aspoň 30 dní vopred. Prevádzkovateľ môže v tejto lehote z oprávnených dôvodov týkajúcich sa ochrany údajov namietať. Ak sa strany nedohodnú, prevádzkovateľ môže hlavnú zmluvu vypovedať bez sankcie ku dňu pred zapojením nového sprostredkovateľa.
3. S každým ďalším sprostredkovateľom má sprostredkovateľ zmluvu o spracúvaní s povinnosťami ochrany údajov v rovnakom rozsahu ako táto zmluva, uzavretú prostredníctvom jeho štandardných podmienok spracúvania údajov. Za jeho plnenie zodpovedá prevádzkovateľovi ako za vlastné.
4. Poskytovatelia služieb tretích strán, ktoré si prevádzkovateľ v aplikácii sám zapne (platobné brány a terminály, banky a agregátory bankových údajov, GPS systémy, overenie totožnosti, e-mailingy, SMS brány, kalendáre, účtovné programy, meracie a reklamné nástroje), nie sú ďalšími sprostredkovateľmi sprostredkovateľa. Prevádzkovateľ s nimi má vlastnú zmluvu a sprostredkovateľ im odovzdáva údaje na jeho pokyn podľa bodu 3.1.

7. Prenos mimo EÚ

1. Databázu, fotky a dokumenty sprostredkovateľ ukladá v EÚ. Prenos osobných údajov do tretích krajín je možný len pri splnení podmienok kapitoly V GDPR, najmä na základe rozhodnutia o primeranosti (aj EU-US Data Privacy Framework) alebo štandardných zmluvných doložiek. Spôsob pri jednotlivých ďalších sprostredkovateľoch je v prílohe 3.

8. Pomoc prevádzkovateľovi

1. Služba obsahuje nástroje na vybavenie žiadostí dotknutých osôb (export údajov zákazníka, oprava, anonymizácia, odhlásenie z e-mailov). Ak žiadosť príde sprostredkovateľovi, bez zbytočného odkladu ju postúpi prevádzkovateľovi a sám na ňu neodpovie.
2. Sprostredkovateľ primerane pomáha prevádzkovateľovi pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu, predchádzajúca konzultácia), s ohľadom na povahu spracúvania a informácie, ktoré má.
3. Porušenie ochrany osobných údajov, ktoré sa týka údajov prevádzkovateľa, sprostredkovateľ oznámi prevádzkovateľovi bez zbytočného odkladu, najneskôr do 48 hodín od zistenia. Oznámenie obsahuje informácie podľa čl. 33 ods. 3 GDPR v rozsahu, v akom sú známe; ostatné doplní priebežne. Sprostredkovateľ prijme opatrenia na zmiernenie následkov.

9. Koniec spracúvania

1. Po skončení hlavnej zmluvy sprostredkovateľ umožní prevádzkovateľovi export dát a potom osobné údaje vymaže v lehotách podľa bodu 8 obchodných podmienok: dáta sú na stiahnutie ešte najmenej 30 dní po skončení prechodného obdobia, z produkčného prostredia sa vymažú do 30 dní potom a zo záloh najneskôr o ďalších 7 dní. Do vymazania sa na zálohy vzťahuje táto zmluva a nepoužívajú sa na iný účel.
2. Údaje, ktoré musí sprostredkovateľ uchovávať podľa práva EÚ alebo Slovenskej republiky, uchová len v nevyhnutnom rozsahu a čase. Na požiadanie potvrdí vymazanie.

10. Informácie a audit

1. Sprostredkovateľ poskytne prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR, najmä opis opatrení, zoznam ďalších sprostredkovateľov a ich zmluvné záruky.
2. Prevádzkovateľ alebo ním poverený audítor viazaný mlčanlivosťou môže vykonať audit vrátane kontroly, najviac raz za 12 mesiacov a pri podozrení na porušenie aj mimo tejto lehoty. Audit sa ohlasuje aspoň 30 dní vopred, nesmie ohroziť bezpečnosť služby ani dáta iných zákazníkov a jeho primerané náklady znáša prevádzkovateľ. Pri dátových centrách ďalších sprostredkovateľov sa audit nahrádza ich certifikátmi a správami nezávislých audítorov.

11. Zodpovednosť a záverečné ustanovenia

1. Zodpovednosť strán sa riadi čl. 82 GDPR a bodom 11 obchodných podmienok. Obmedzenie podľa bodu 11.2 obchodných podmienok sa nevzťahuje na nároky dotknutých osôb a pokuty uložené orgánom dozoru, ktoré vznikli porušením povinností sprostredkovateľa podľa tejto zmluvy alebo GDPR.
2. Zmluva sa riadi právom Slovenskej republiky. Zmeny sa robia rovnakým postupom ako zmeny obchodných podmienok.

Príloha 1: Opis spracúvania

Kategórie dotknutých osôb

• zákazníci prevádzkovateľa (nájomcovia, ďalší vodiči, kupujúci poukazov a zážitkov) a ich kontaktné osoby,
• vodiči a zamestnanci prevádzkovateľa, ktorým sú pridelené vozidlá,
• používatelia aplikácie na strane prevádzkovateľa,
• záujemcovia, ktorí pošlú dopyt cez rezervačný formulár alebo widget prevádzkovateľa,
• príjemcovia e-mailov a SMS od prevádzkovateľa.

Kategórie osobných údajov

• identifikačné a kontaktné údaje: meno, adresa, e-mail, telefón, dátum narodenia, firma,
• údaje z dokladov: číslo a platnosť občianskeho preukazu, pasu a vodičského preukazu, ich fotky, výsledok overenia totožnosti,
• zmluvné údaje: rezervácie, zmluvy a podpisy, protokoly s fotkami a videom, škody, kaucie, poukazy,
• finančné údaje: faktúry, platby a ich stav, bankové pohyby na párovanie; čísla platobných kariet služba neukladá, spracúva ich platobná brána,
• prevádzkové údaje vozidiel a vodičov: poloha, trasy, kniha jázd, stav km a paliva, pokuty, palivové karty,
• komunikácia a marketingové súhlasy, záznamy o činnosti používateľov v aplikácii.

Osobitné kategórie údajov podľa čl. 9 GDPR služba na ukladanie nevyžaduje. Ak prevádzkovateľ zapne overenie totožnosti s porovnaním tváre, biometrické spracúvanie robí poskytovateľ overenia na základe zmluvy s prevádzkovateľom a do služby sa vracia len výsledok. Rodné číslo prevádzkovateľ do služby vkladá len vtedy, ak mu to umožňuje § 78 ods. 4 zákona č. 18/2018 Z. z.

Spracovateľské operácie

Získavanie, zaznamenávanie, usporadúvanie, uchovávanie, prehliadanie, úprava, vyhľadávanie, použitie, poskytovanie prepojeným službám na pokyn prevádzkovateľa, export, anonymizácia a vymazanie, automatizovane cez aplikáciu, API a plánované úlohy.

Príloha 2: Technické a organizačné opatrenia

• Oddelenie firiem: každý záznam nesie identifikátor firmy a databáza vynucuje oddelenie pravidlami na úrovni riadkov (row level security); oddelenie overujú automatické testy pri každej zmene. Na požiadanie samostatná databáza.
• Prístup podľa rolí: 7 rolí s oprávneniami podľa potreby, individuálne účty používateľov, záznam o citlivých činnostiach (export, anonymizácia).
• Šifrovanie prenosu: všetky spojenia cez HTTPS (TLS), HSTS na webe služby.
• Umiestnenie: databáza, fotky a dokumenty v dátových centrách v EÚ.
• Denné zálohovanie databázy s uchovaním 7 dní a postup obnovy; zálohy v EÚ.
• Tajné kľúče a prístupy k službám tretích strán mimo zdrojového kódu, v chránenom úložisku; API kľúče s možnosťou zrušenia a obmedzením počtu požiadaviek.
• Podpísané zmluvy sa ukladajú s odtlačkom (hash), zmena vytvorí novú verziu.
• Vývoj: kontrola zmien, automatické testy pred nasadením, oddelené testovacie prostredie bez skutočných osobných údajov.
• Prístup personálu sprostredkovateľa len v nevyhnutnom rozsahu, viazaný mlčanlivosťou; prístupy do administrácie infraštruktúry sú osobné a chránené heslom a ďalším overením tam, kde to poskytovateľ umožňuje.
• Postup pri incidentoch: zistenie, obmedzenie, oznámenie prevádzkovateľovi do 48 hodín, náprava a záznam.

Príloha 3: Ďalší sprostredkovatelia

Subdodávateľ	Činnosť	Miesto	Záruky pri prenose
Cloudflare, Inc., USA	beh aplikácie a API, úložisko fotiek a dokumentov, odosielanie e-mailov, DNS, ochrana pred útokmi	globálna sieť; uložené súbory v EÚ	EU-US Data Privacy Framework a štandardné zmluvné doložky (SCC)
Supabase Pte. Ltd., Singapur	databáza, prihlasovanie používateľov, denné zálohy (7 dní)	región eu-central-1, Frankfurt (Nemecko)	štandardné zmluvné doložky (SCC) pre prípadný prístup mimo EÚ

Mimo ďalších sprostredkovateľov načíta prehliadač používateľa priamo tieto služby, ktoré k dátam služby prístup nemajú a vidia len IP adresu zariadenia: OpenFreeMap (Hyperknot Software Kft.), Maďarsko (mapové podklady na mapových stránkach aplikácie; vidí IP adresu a zobrazenú oblasť mapy, nie polohy áut. IP adresu ukladá len v chybových záznamoch najviac 7 dní); Push služby prehliadačov (Google, Apple, Mozilla) (doručenie upozornení do zariadení, ktoré si ich zapnú; obsah je šifrovaný od odosielateľa po zariadenie a služba ho neprečíta).

Platby kartou za samotnú službu Fleetix spracúva Stripe Payments Europe, Limited (Írsko). Údaje vašich zákazníkov k nemu cez Fleetix neodchádzajú, ak si Stripe nezapnete ako vlastnú platobnú bránu podľa bodu 6.4.

Otázky k tejto zmluve posielajte na garaz@fleetix.eu.