Podmienky spracúvania osobných údajov – DPA

Prevádzkovateľ: používateľ služby, ktorý do aplikácie zadáva osobné údaje svojich zákazníkov, zamestnancov, dodávateľov alebo iných osôb. Pri týchto údajoch používateľ určuje účel a prostriedky spracúvania, a preto vystupuje ako prevádzkovateľ.

Sprostredkovateľ: poskytovateľ služby Moja Fuška:

Marko Skukálek
Slovenská republika
Email: markoskukalek1@gmail.com
Web: mojafuska.app

Pri osobných údajoch, ktoré používateľ vkladá do služby o svojich dotknutých osobách, vystupuje Moja Fuška ako sprostredkovateľ a spracúva ich v mene prevádzkovateľa.

Spracúvanie osobných údajov samotného používateľa (údaje účtu, prihlasovacie, komunikačné a technické údaje), pri ktorom je prevádzkovateľom poskytovateľ, sa neriadi touto DPA, ale Zásadami ochrany osobných údajov.

Predmetom DPA je spracúvanie osobných údajov sprostredkovateľom v mene prevádzkovateľa v rozsahu, ktorý je potrebný na poskytovanie funkcií služby.

Bližší opis spracúvania je uvedený v Prílohe 1.

Spracúvanie trvá počas účinnosti Podmienok používania a existencie používateľského účtu.

Spracúvanie sa skončí vymazaním príslušných údajov alebo účtu používateľom, oprávneným zrušením účtu poskytovateľom alebo ukončením služby, ak právne predpisy nevyžadujú ďalšie uchovanie.

Moja Fuška je bezplatná beta webová (SaaS) aplikácia na evidenciu zákazníkov, zákaziek, termínov, cien, nákladov, odhadovaného zisku, poznámok a adries alebo miest realizácie.

Povahou spracúvania sú technické operácie s údajmi, najmä ich ukladanie, uchovávanie, štruktúrovanie, zobrazovanie, zálohovanie, prenos v rámci poskytovania služby, export a mazanie.

Účelom spracúvania je poskytovanie funkcií služby prevádzkovateľovi. Bližšie v Prílohe 1.

Spracúvanie sa môže týkať najmä týchto kategórií dotknutých osôb:

• zákazníci používateľa,
• zamestnanci, dodávatelia alebo obchodní partneri používateľa,
• ďalšie osoby, ktorých údaje používateľ dobrovoľne zadá do služby.

Spracúvané môžu byť najmä tieto typy osobných údajov:

• meno alebo názov dotknutej osoby,
• telefónne číslo,
• emailová adresa,
• adresa alebo miesto realizácie zákazky,
• údaje súvisiace so zákazkou (názov a opis zákazky, termíny, cena, náklady, poznámky), pokiaľ obsahujú osobné údaje.

Do služby sa nemajú vkladať osobitné kategórie osobných údajov ani ďalšie zakázané údaje uvedené v Podmienkach používania.

Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa, a to aj pri prenose údajov, ak takýto prenos prebieha.

Za zdokumentované pokyny sa považujú tieto DPA, Podmienky používania a používanie funkcií služby prevádzkovateľom. Ďalšie pokyny môže prevádzkovateľ poskytnúť emailom na kontaktnú adresu poskytovateľa; sprostredkovateľ je povinný splniť iba pokyny, ktoré sú v súlade s právnymi predpismi a technicky uskutočniteľné v rámci služby.

Ak právo Európskej únie alebo právo Slovenskej republiky vyžaduje od sprostredkovateľa spracúvanie nad rámec pokynov, informuje o tejto právnej požiadavke prevádzkovateľa pred spracúvaním, ak to príslušné právo z dôvodov verejného záujmu nezakazuje.

Prevádzkovateľ je povinný najmä:

• spracúvať osobné údaje na platnom právnom základe a v súlade s GDPR a ďalšími právnymi predpismi,
• plniť informačné povinnosti voči dotknutým osobám a zabezpečiť správnosť a aktuálnosť údajov,
• vkladať do služby iba údaje potrebné na svoju činnosť,
• nevkladať osobitné kategórie osobných údajov ani iné zakázané údaje uvedené v Podmienkach používania,
• udeľovať pokyny, ktoré sú v súlade s právnymi predpismi.

Sprostredkovateľ sa zaväzuje najmä:

• spracúvať osobné údaje len na základe zdokumentovaných pokynov (sekcia 7),
• zabezpečiť dôvernosť osobných údajov a mlčanlivosť osôb oprávnených s nimi pracovať (sekcia 10),
• prijať technické a organizačné opatrenia podľa článku 32 GDPR (sekcia 11 a Príloha 2),
• dodržiavať podmienky zapojenia ďalších sprostredkovateľov (sekcie 15 a 16),
• pomáhať prevádzkovateľovi pri právach dotknutých osôb (sekcia 12),
• pomáhať prevádzkovateľovi pri plnení povinností podľa článkov 32 až 36 GDPR (sekcia 13),
• po ukončení spracúvania vymazať alebo vrátiť údaje (sekcia 18),
• poskytnúť prevádzkovateľovi informácie potrebné na preukázanie súladu a umožniť audity (sekcia 20),
• upozorniť na pokyn, ktorý je podľa jeho názoru v rozpore s právom (sekcia 21).

Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby ich viazala zákonná povinnosť mlčanlivosti.

Povinnosť mlčanlivosti trvá aj po skončení činnosti, ktorá k spracúvaniu oprávňovala.

Sprostredkovateľ prijíma so zreteľom na povahu, rozsah a účel spracúvania a na riziká pre práva dotknutých osôb primerané technické a organizačné opatrenia v zmysle článku 32 GDPR.

Prehľad potvrdených opatrení je uvedený v Prílohe 2.

Sprostredkovateľ pomáha prevádzkovateľovi vhodnými technickými a organizačnými opatreniami, ak je to možné, pri plnení žiadostí dotknutých osôb o výkon ich práv podľa kapitoly III GDPR, najmä práva na prístup, opravu, výmaz, obmedzenie spracúvania, prenosnosť a námietku.

Na tento účel sú dostupné funkcie služby, najmä zobrazenie, úprava, export a vymazanie údajov. Ak sa dotknutá osoba obráti so žiadosťou priamo na sprostredkovateľa, bez zbytočného odkladu o tom informuje prevádzkovateľa a žiadosť samostatne nevybavuje, ak mu na to nedá pokyn prevádzkovateľ.

Sprostredkovateľ pomáha prevádzkovateľovi pri zabezpečení plnenia povinností podľa článkov 32 až 36 GDPR, a to so zreteľom na povahu spracúvania a informácie, ktoré má k dispozícii, najmä pri:

• zabezpečení spracúvania,
• oznamovaní porušenia ochrany osobných údajov,
• posúdení vplyvu na ochranu údajov,
• predchádzajúcej konzultácii s dozorným orgánom.

Ak sprostredkovateľ zistí porušenie ochrany osobných údajov spracúvaných v mene prevádzkovateľa, informuje prevádzkovateľa bez zbytočného odkladu.

V rámci dostupných informácií poskytne opis povahy porušenia, dotknuté kategórie a približný rozsah, pravdepodobné následky a prijaté alebo navrhované opatrenia. Prijme primerané kroky na obmedzenie následkov porušenia.

Oznámenie porušenia dozornému orgánu a dotknutým osobám zostáva povinnosťou prevádzkovateľa.

Sprostredkovateľ využíva ďalších sprostredkovateľov uvedených v Prílohe 3. Každého ďalšieho sprostredkovateľa zaviaže povinnosťami v oblasti ochrany údajov, ktoré sú v podstate rovnocenné povinnostiam podľa tejto DPA.

Ak ďalší sprostredkovateľ svoje povinnosti nesplní, sprostredkovateľ zostáva voči prevádzkovateľovi zodpovedný za plnenie jeho povinností.

Prevádzkovateľ udeľuje sprostredkovateľovi všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov.

Pri zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa informuje sprostredkovateľ prevádzkovateľa vopred emailom alebo oznámením v aplikácii. Aktuálny zoznam zároveň zverejní v Prílohe 3.

Prevádzkovateľ má právo v primeranej lehote namietať proti takejto zmene. Ak namietne a strany nenájdu vhodné riešenie, môže prevádzkovateľ ukončiť používanie dotknutej funkcie alebo služby a zrušiť účet.

Osobné údaje sa spracúvajú v rámci Európskej únie alebo Európskeho hospodárskeho priestoru, ak nie je v Prílohe 3 uvedené inak.

Ak niektorý ďalší sprostredkovateľ spracúva osobné údaje mimo EÚ alebo EHP, taký prenos sa uskutoční iba pri splnení podmienok kapitoly V GDPR, najmä na základe rozhodnutia o primeranosti, štandardných zmluvných doložiek alebo iného platného prenosového mechanizmu, prípadne s doplňujúcimi opatreniami.

Prenos sa uskutočňuje iba v súlade s pokynmi prevádzkovateľa a týmito DPA.

Po ukončení poskytovania služby súvisiacej so spracúvaním sprostredkovateľ podľa rozhodnutia prevádzkovateľa vymaže alebo vráti osobné údaje a vymaže existujúce kópie, ak právo Európskej únie alebo Slovenskej republiky nevyžaduje ich uchovanie.

Pri vymazaní účtu alebo údajov používateľom sa údaje odstránia z aktívnej databázy podľa technického procesu služby.

Ukončenie celej služby

Moja Fuška je bezplatný beta projekt a môže byť ukončená. Ak je to vzhľadom na okolnosti možné, poskytovateľ informuje používateľa o plánovanom úplnom ukončení služby najmenej 30 dní vopred a počas tejto lehoty mu, ak je to technicky možné, zachová prístup k dostupným exportným funkciám.

Po uplynutí lehoty sa obsah používateľa odstráni z aktívnych systémov a zostávajúce technické zálohy sa prepíšu alebo odstránia podľa štandardnej retenčnej lehoty záloh (Príloha 2).

Tridsaťdňová lehota sa nemusí uplatniť, ak je okamžité ukončenie nevyhnutné najmä z dôvodu závažného bezpečnostného incidentu, zákonnej povinnosti alebo rozhodnutia orgánu verejnej moci, alebo objektívnej technickej udalosti, ktorá znemožní ďalšiu prevádzku.

Zálohy služby majú technický charakter a slúžia na obnovu v prípade technickej havárie alebo bezpečnostného incidentu, nie na bežnú prevádzku ani na obnovu jedného konkrétneho záznamu.

• Zálohy servera u poskytovateľa infraštruktúry (DigitalOcean) sa vytvárajú týždenne a uchovávajú sa štyri týždne.
• Aplikačné a kontajnerové logy sa uchovávajú len počas obmedzeného obdobia potrebného na prevádzku, diagnostiku chýb a riešenie bezpečnostných incidentov; retencia je technicky obmedzená rotáciou logov.
• Ostatné logy na úrovni infraštruktúry (VPS) majú samostatnú retenciu na strane poskytovateľa infraštruktúry; konkrétna lehota sa neuvádza, kým nie je potvrdená.

Vymazané osobné údaje môžu dočasne zostať v technických zálohách až do ich prepísania alebo uplynutia uvedenej retenčnej lehoty.

Sprostredkovateľ poskytne prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa článku 28 GDPR.

Sprostredkovateľ umožní audity vrátane inšpekcií vykonávaných prevádzkovateľom alebo ním povereným audítorom, a to v primeranom rozsahu, po predchádzajúcom ohlásení a spôsobom, ktorý neohrozí bezpečnosť služby, dôvernosť a ochranu údajov iných používateľov. Vzhľadom na povahu beta SaaS služby sa preukázanie súladu prednostne uskutočňuje poskytnutím dokumentácie a odpovedí na primerané otázky.

Ak sa niektorý pokyn prevádzkovateľa podľa názoru sprostredkovateľa porušuje GDPR alebo iné právne predpisy o ochrane údajov, sprostredkovateľ o tom bezodkladne informuje prevádzkovateľa a môže vykonanie takého pokynu pozastaviť, kým ho prevádzkovateľ nepotvrdí alebo nezmení.

Prevádzkovateľ zodpovedá za zákonnosť spracúvania, existenciu platného právneho základu, správnosť a primeraný rozsah vložených údajov a za splnenie informačných povinností voči dotknutým osobám.

Sprostredkovateľ nezodpovedá za obsah a zákonnosť údajov, ktoré prevádzkovateľ do služby vloží.

DPA nadobúda účinnosť spolu s Podmienkami používania a trvá počas celého obdobia spracúvania osobných údajov v mene prevádzkovateľa.

DPA zaniká ukončením spracúvania, najmä vymazaním účtu, oprávneným zrušením účtu alebo ukončením služby.

Sprostredkovateľ môže DPA primerane meniť, najmä z dôvodu zmeny právnych požiadaviek, zmeny ďalších sprostredkovateľov alebo zvýšenia bezpečnosti. Pri podstatnej zmene informuje prevádzkovateľa spôsobom podľa sekcie 16. Ustanovenia, ktoré majú podľa svojej povahy trvať aj po zániku DPA, najmä o mlčanlivosti a vymazaní údajov, zostávajú zachované.

Zmena nesmie znížiť úroveň ochrany osobných údajov ani podstatne rozšíriť účel spracúvania bez nového právneho základu alebo pokynu prevádzkovateľa. Ak podstatná zmena vyžaduje nové prijatie DPA, služba si ho vyžiada pred ďalším spracúvaním údajov.

DPA sa riadi právnym poriadkom Slovenskej republiky a vykladá sa v súlade s GDPR.

DPA sa uzatvára elektronicky. Aktívnym prijatím Podmienok používania pri registrácii používateľ zároveň uzatvára túto DPA ako ich neoddeliteľnú súčasť.

Verzia a dátum účinnosti DPA sú uvedené v záhlaví tohto dokumentu.

Predmet: spracúvanie osobných údajov, ktoré prevádzkovateľ vkladá do služby o svojich dotknutých osobách, sprostredkovateľom v mene prevádzkovateľa v rozsahu potrebnom na poskytovanie služby.

Trvanie: počas účinnosti Podmienok používania a existencie účtu, do vymazania údajov alebo účtu, prípadne do ukončenia služby.

Povaha: technické operácie s údajmi v rámci webovej (SaaS) aplikácie, najmä ukladanie, uchovávanie, štruktúrovanie, zobrazovanie, zálohovanie, prenos v rámci poskytovania služby, export a mazanie.

Účel: poskytovanie funkcií na evidenciu zákazníkov, zákaziek, termínov, cien, nákladov, odhadovaného zisku, poznámok a adries alebo miest realizácie.

Kategórie dotknutých osôb: zákazníci používateľa, zamestnanci, dodávatelia alebo obchodní partneri používateľa a ďalšie osoby, ktorých údaje používateľ zadá.

Typy osobných údajov: meno alebo názov, telefónne číslo, emailová adresa, adresa alebo miesto realizácie a údaje súvisiace so zákazkou, pokiaľ obsahujú osobné údaje. Osobitné kategórie osobných údajov sa spracúvať nemajú.

Nasledujúce potvrdené opatrenia zodpovedajú aktuálnemu technickému riešeniu služby:

• šifrovaný prenos údajov prostredníctvom HTTPS,
• session-based autentifikácia s cookies s atribútmi HttpOnly, Secure a SameSite,
• bezpečné hashovanie hesiel (heslá sa neuchovávajú v čitateľnej podobe),
• zapnutá ochrana proti CSRF,
• autorizácia a overovanie vlastníctva údajov na strane servera (owner-scoping),
• oddelenie údajov jednotlivých používateľov podľa vlastníka,
• ukladanie údajov v databáze PostgreSQL na serveri u poskytovateľa DigitalOcean,
• funkcia vymazania účtu, pri ktorej sa z aktívnej databázy odstránia používateľ, identity, relácie, tokeny, zákazníci, zákazky, náklady a súvisiace údaje,
• automatické odstránenie neoverených LOCAL účtov po 15 dňoch od registrácie,
• týždenné zálohovanie servera u poskytovateľa DigitalOcean s uchovaním počas štyroch týždňov,
• rotáciu aplikačných a kontajnerových logov podľa technickej konfigurácie,
• funkcie na export údajov používateľa,
• služba nepoužíva reklamné ani analytické nástroje tretích strán (napríklad Google Analytics ani Meta Pixel).

Opatrenia zodpovedajú charakteru bezplatnej beta služby a môžu sa vyvíjať; ich zmena nezníži úroveň ochrany pod úroveň vyžadovanú článkom 32 GDPR.

DigitalOcean

Poskytovateľ hostingovej infraštruktúry a virtuálneho servera. Používa sa na prevádzku aplikácie, uloženie databázy a súvisiacich technických údajov a na technické zálohovanie servera.

Resend

Poskytovateľ odosielania systémových emailov (napríklad overovacie emaily, kódy alebo odkazy na obnovu hesla, potvrdenia zmien účtu a bezpečnostné oznámenia). Spracúva najmä emailovú adresu, predmet, obsah systémovej správy a technické údaje o doručení.

Google sa môže používať pri voliteľnom prihlásení používateľa. Toto spracúvanie sa týka údajov samotného používateľa a je opísané v Zásadách ochrany osobných údajov.