Zmluva o spracúvaní osobných údajov
Táto zmluva podľa čl. 28 GDPR je súčasťou Obchodných podmienok. Zákazník ju uzatvára registráciou v aplikácii TeamPlanner a potvrdením súhlasu.
1. Zmluvné strany
- Prevádzkovateľ: Zákazník, teda firma registrovaná v aplikácii TeamPlanner (údaje uvedené pri registrácii).
- Sprostredkovateľ: [DOPLNIŤ: obchodné meno / meno a priezvisko], [DOPLNIŤ: sídlo / miesto podnikania], IČO: [DOPLNIŤ: IČO], e-mail: [DOPLNIŤ: kontaktný e-mail].
2. Predmet, povaha a účel spracúvania
- Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa výlučne na poskytovanie služby TeamPlanner: plánovanie smien, evidencia dostupnosti a dochádzky, zverejňovanie rozpisu zamestnancom a súvisiace e-mailové notifikácie.
- Spracúvanie zahŕňa uchovávanie, usporiadanie, prezeranie, úpravu, zobrazenie oprávneným používateľom, zálohovanie a vymazanie údajov.
- Spracúvanie trvá počas trvania zmluvy o poskytovaní služby a do vymazania údajov podľa bodu 7.
3. Dotknuté osoby a kategórie údajov
| Dotknuté osoby | Kategórie osobných údajov |
|---|---|
| zamestnanci a brigádnici Prevádzkovateľa | meno a priezvisko, e-mail, pozícia a úroveň skúseností, pobočky, týždenná dostupnosť a výnimky (napr. dovolenka, voľno), pridelené smeny, časy príchodov a odchodov, poznámky manažéra |
| manažéri a správcovia účtu Prevádzkovateľa | meno alebo prihlasovacie meno, e-mail, jazyk, čas posledného prihlásenia |
Služba nie je určená na osobitné kategórie údajov (napr. zdravotný stav, dôvod neprítomnosti z lekárskych dôvodov). Prevádzkovateľ ich do poznámok nezadáva; nepotrebné je napísať iba „voľno“.
4. Povinnosti Sprostredkovateľa
- Spracúva údaje len na základe zdokumentovaných pokynov Prevádzkovateľa; pokynmi sú aj nastavenia a úkony, ktoré Prevádzkovateľ vykoná v aplikácii. Ak by pokyn podľa neho porušoval predpisy, upozorní na to.
- Zabezpečí, aby osoby s prístupom k údajom boli viazané mlčanlivosťou.
- Prijme technické a organizačné opatrenia podľa čl. 32 GDPR uvedené v prílohe.
- Pomáha Prevádzkovateľovi primeranými prostriedkami pri vybavovaní žiadostí dotknutých osôb, pri zabezpečení údajov a pri posúdení vplyvu na ochranu údajov.
- Porušenie ochrany osobných údajov oznámi Prevádzkovateľovi bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, spolu s informáciami, ktoré má k dispozícii.
- Poskytne informácie potrebné na preukázanie plnenia tejto zmluvy a umožní audit v primeranom rozsahu, po dohode o termíne a na náklady Prevádzkovateľa.
5. Ďalší sprostredkovatelia
- Prevádzkovateľ udeľuje všeobecný súhlas so zapojením ďalších sprostredkovateľov. Aktuálny zoznam:
- Hetzner Online GmbH, Nemecko – hosting servera a databázy,
- Google (Gmail) – odosielanie e-mailov zo služby,
- Stripe Payments Europe, Ltd., Írsko – platby (týka sa len fakturačných údajov Prevádzkovateľa),
- Anthropic, PBC, USA – AI asistent, iba ak ho Prevádzkovateľ používa.
- O zámere pridať alebo nahradiť sprostredkovateľa informuje Sprostredkovateľ Prevádzkovateľa e-mailom aspoň 14 dní vopred. Prevádzkovateľ môže v tejto lehote namietať; ak sa strany nedohodnú, môže zmluvu vypovedať.
- Ďalším sprostredkovateľom ukladá Sprostredkovateľ rovnaké povinnosti ochrany údajov. Prenos mimo EÚ prebieha len na základe rozhodnutia o primeranosti (napr. EU-US Data Privacy Framework) alebo štandardných zmluvných doložiek.
6. Povinnosti Prevádzkovateľa
- Prevádzkovateľ zodpovedá za to, že má na spracúvanie údajov svojich zamestnancov právny základ (najmä plnenie pracovnej zmluvy a povinností zamestnávateľa) a že ich o spracúvaní informoval.
- Do služby zadáva iba údaje potrebné na plánovanie smien a evidenciu dochádzky.
7. Ukončenie a vymazanie údajov
Po skončení zmluvy o poskytovaní služby Sprostredkovateľ údaje uchová 90 dní, aby ich Prevádzkovateľ mohol získať späť (napr. export rozpisu do Excelu), potom ich vymaže. Zo záloh zmiznú najneskôr do 30 dní. Na žiadosť Prevádzkovateľa údaje vymaže skôr, ak mu ich uchovanie neukladá zákon.
Príloha: Technické a organizačné opatrenia
- šifrované spojenie HTTPS (TLS) pre celú aplikáciu,
- heslá uložené iba ako odtlačok algoritmom bcrypt,
- oddelenie údajov jednotlivých firiem a prístup podľa rolí (manažér, zamestnanec),
- server v dátovom centre v EÚ (Nemecko), firewall s otvorenými len nevyhnutnými portami, automatické bezpečnostné aktualizácie,
- aplikácia beží pod používateľom bez administrátorských práv,
- denné zálohy databázy uchovávané 30 dní a ďalšie zálohy celého servera u poskytovateľa hostingu,
- technické záznamy servera uchovávané najviac 30 dní,
- prístup k produkčnému serveru iba cez SSH kľúč.