Zmluva o spracúvaní údajov

Táto zmluva o spracúvaní údajov (ďalej len „DPA“) sa uzatvára medzi zákazníkom používajúcim služby statycs na základe platnej zmluvy o poskytovaní služieb (ďalej len „Prevádzkovateľ“) a spoločnosťou statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Viedeň, Rakúsko (ďalej len „Sprostredkovateľ“).

Táto DPA upravuje spracúvanie osobných údajov spoločnosťou statycs v mene Prevádzkovateľa v súvislosti so SaaS platformou statycs na finančné plánovanie a analýzu. Nadobúda účinnosť, keď Prevádzkovateľ prijme obchodné podmienky alebo inak uzavrie zmluvu o poskytovaní služieb so spoločnosťou statycs, a zostáva v platnosti tak dlho, ako statycs spracúva osobné údaje v mene Prevádzkovateľa. V prípade rozporu medzi touto DPA a inými zmluvnými ustanoveniami má táto DPA prednosť vo veciach ochrany údajov.

Predmet spracúvania. Spracúvanie osobných údajov, ktoré je nevyhnutné na to, aby statycs poskytoval Prevádzkovateľovi svoju platformu na finančné plánovanie a analýzu.

Trvanie spracúvania. Počas trvania podkladovej zmluvy o poskytovaní služieb vrátane akéhokoľvek obdobia ukončovania a vymazania podľa § 11 nižšie.

statycs spracúva osobné údaje, aby Prevádzkovateľovi poskytoval svoju platformu na finančné plánovanie a analýzu. V tejto zmluve sa „obsahom zákazníka“ rozumejú dáta, ktoré Prevádzkovateľ nahrá na platformu, a reporty, plány a ďalšie výstupy z nich vytvorené. Spracúvanie zahŕňa zhromažďovanie, ukladanie, organizáciu, štruktúrovanie, vyhľadávanie, nahliadanie, používanie a vymazávanie údajov v rozsahu nevyhnutnom na poskytnutie služby.

Spracúvanie sa vykonáva výhradne na základe zdokumentovaných pokynov Prevádzkovateľa. Tieto pokyny zahŕňajú aj tvorbu agregovaných, anonymizovaných štatistík a odvetvových benchmarkov; po anonymizácii už takýto výstup nie je osobným údajom a nepatrí do pôsobnosti tejto DPA. statycs nebude spracúvať osobné údaje na žiadny iný účel než poskytnutie dohodnutej služby, pokiaľ to nevyžaduje právo EÚ alebo rakúske právo. V takom prípade statycs informuje Prevádzkovateľa o zákonnej požiadavke pred spracúvaním, pokiaľ zákon takúto informáciu nezakazuje.

Kategórie osobných údajov. Môžu sa spracúvať tieto typy osobných údajov: mená, e-mailové adresy, telefónne čísla, pracovné pozície, príslušnosť k spoločnosti, IP adresy, údaje o prehliadači a zariadení a akékoľvek iné osobné údaje, ktoré Prevádzkovateľ zadá do platformy. Finančné dáta nahrané na platformu - napríklad účtovné záznamy, reporty a plány - môžu obsahovať osobné údaje v rozsahu, v akom ich Prevádzkovateľ zahrnie.

Kategórie dotknutých osôb. Dotknutými osobami môžu byť zamestnanci, dodávatelia, klienti, dodávatelia služieb, investori Prevádzkovateľa a akékoľvek iné fyzické osoby, ktorých osobné údaje Prevádzkovateľ spracúva prostredníctvom platformy.

Prevádzkovateľ je prevádzkovateľom podľa GDPR a nesie výhradnú zodpovednosť za zabezpečenie zákonnosti spracúvania osobných údajov vrátane platného právneho základu tak pre samotné spracúvanie, ako aj pre prenos údajov spoločnosti statycs.

Prevádzkovateľ je zodpovedný za presnosť, kvalitu a zákonnosť osobných údajov poskytnutých spoločnosti statycs a za dodržiavanie všetkých platných predpisov o ochrane údajov vrátane informovania dotknutých osôb o spracúvaní ich údajov.

statycs sa zaväzuje:

• Spracúvať osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, pokiaľ zákon nevyžaduje inak
• Zabezpečiť, aby všetky osoby oprávnené spracúvať osobné údaje boli viazané písomnými povinnosťami mlčanlivosti
• Zaviesť primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti primeranej riziku
• Pomáhať Prevádzkovateľovi pri reakcii na žiadosti dotknutých osôb podľa článkov 15 až 22 GDPR
• Pomáhať Prevádzkovateľovi s dodržiavaním článkov 32 až 34 GDPR, posúdeniami vplyvu na ochranu údajov a predchádzajúcimi konzultáciami s dozornými orgánmi s ohľadom na povahu spracúvania a informácie dostupné spoločnosti statycs
• Bez zbytočného odkladu informovať Prevádzkovateľa po zistení porušenia ochrany osobných údajov
• Podľa voľby Prevádzkovateľa vymazať alebo vrátiť všetky osobné údaje Prevádzkovateľovi po ukončení zmluvy o poskytovaní služieb, pokiaľ ich uchovávanie nevyžaduje zákon
• Okamžite informovať Prevádzkovateľa, ak podľa názoru statycs pokyn porušuje GDPR alebo iné platné právo o ochrane údajov

statycs plní povinnosti auditu podľa čl. 28 ods. 3 písm. h) GDPR tým, že na primeranú písomnú žiadosť a najviac raz za dvanásť mesiacov poskytne svoj aktuálny súhrn bezpečnosti, zoznam sub-sprostredkovateľov a písomné odpovede na primeraný dotazník Prevádzkovateľa. Okrem toho môže Prevádzkovateľ - alebo nezávislý audítor, ktorého poverí za podmienky mlčanlivosti - vykonať audit na mieste najviac raz za dvadsaťštyri mesiacov alebo kedykoľvek na základe poverenia dozorného orgánu či odôvodneného podozrenia z porušenia. Audity na mieste sa uskutočňujú na náklady Prevádzkovateľa, s tridsaťdňovým predchádzajúcim písomným oznámením, počas pracovných hodín, pričom rozsah, načasovanie a mlčanlivosť sa vopred písomne dohodnú.

statycs zapája pri poskytovaní služby nasledujúcich poskytovateľov. Hetzner, Cloudflare a Hanko spracúvajú osobné údaje v mene Prevádzkovateľa a sú sub-sprostredkovateľmi na účely čl. 28 GDPR. PostHog a Stripe sú uvedení z dôvodu transparentnosti; ich úlohy sú opísané pri príslušných položkách. Prevádzkovateľ týmto udeľuje spoločnosti statycs všeobecné písomné povolenie v zmysle čl. 28 ods. 2 GDPR, za podmienok stanovených v tejto sekcii, na zapojenie nižšie uvedených sub-sprostredkovateľov a na vykonávanie ich zmien.

• Hetzner (Hetzner Online GmbH, Nemecko) - hosting
• Cloudflare (Cloudflare, Inc., USA) - doručovanie obsahu, ukončenie TLS a ochrana pred botmi pre app.statycs.com
• Hanko (Hanko GmbH, Nemecko) - autentifikácia
• PostHog (PostHog Inc., USA; PostHog Cloud EU hostovaný v Nemecku) - produktová analytika. Účely svojej produktovej analytiky určuje statycs a je vo vzťahu k nej prevádzkovateľom vo vlastnom mene, takže PostHog koná pri tejto činnosti ako sprostredkovateľ spoločnosti statycs, a nie ako sub-sprostredkovateľ Prevádzkovateľa
• Stripe (Stripe Payments Europe Ltd., Írsko; Stripe, LLC, USA) - spracovanie platieb a fakturácia predplatného. Pri realizácii platieb a plnení vlastných regulačných povinností koná Stripe ako samostatný prevádzkovateľ a je tu uvedený z dôvodu transparentnosti, nie ako sub-sprostredkovateľ Prevádzkovateľa

statycs zabezpečuje, že všetci sub-sprostredkovatelia sú viazaní písomnými zmluvami ukladajúcimi rovnocenné povinnosti ochrany údajov. Prevádzkovateľ bude o akýchkoľvek zamýšľaných zmenách sub-sprostredkovateľov informovaný najmenej tridsať dní vopred. Prevádzkovateľ môže z opodstatnených dôvodov namietať proti novému sub-sprostredkovateľovi do štrnástich dní od oznámenia. Ak námietku nemožno vyriešiť, Prevádzkovateľ môže vypovedať zmluvu s účinnosťou k dátumu, ku ktorému nadobudne účinnosť zmena sub-sprostredkovateľa, a statycs vráti vopred zaplatené poplatky pomerne za nevyužitú časť obdobia.

Obsah zákazníka - finančné dáta, reporty a plány nahrané na platformu - sa vrátane záloh ukladá výhradne na serveroch v rámci Európskej únie. Hosting zabezpečuje Hetzner (Nemecko) a autentifikáciu Hanko (Nemecko). Produktová analytika beží na PostHog Cloud EU (Nemecko), ktorý dostáva udalosti o používaní, nikdy však obsah zákazníka.

Mimo tohto rámca stoja tri oblasti. Platobné a fakturačné údaje spracúva Stripe, ktorý prevádzkuje infraštruktúru v Spojených štátoch. Cloudflare ukončuje TLS pre app.statycs.com, takže dáta môžu počas prenosu prechádzať cez miesta mimo Európskej únie, hoci sa tam obsah zákazníka neukladá. A napokon niekoľkých poskytovateľov vrátane Cloudflare a PostHog ovládajú materské spoločnosti so sídlom v Spojených štátoch, takže prístup zo strany podpory alebo administrátorov z krajín mimo Európskeho hospodárskeho priestoru (EHP) zostáva možný aj tam, kde sa servery nachádzajú v Európe. statycs všetky tri prípady posudzuje ako prenosy v zmysle kapitoly V GDPR.

Pri týchto prenosoch sa statycs opiera o štandardné zmluvné doložky EÚ prijaté Európskou komisiou, v prípade potreby doplnené o ďalšie technické a organizačné opatrenia, a - ak je daný príjemca certifikovaný - o rozhodnutie Európskej komisie z 10. júla 2023 o primeranosti ochrany zabezpečovanej rámcom EÚ-USA pre ochranu osobných údajov (EU-US Data Privacy Framework). statycs pravidelne prehodnocuje právny rámec prijímajúcich krajín vrátane toho, či rozhodnutia o primeranosti, o ktoré sa opiera, naďalej platia. Kópia záruk je dostupná na požiadanie na [email protected].

statycs zavádza primerané technické a organizačné opatrenia na ochranu osobných údajov vrátane:

• Šifrovanie údajov pri prenose (TLS) a v pokoji
• Riadenie prístupu podľa rolí s dodržiavaním zásady najmenších oprávnení
• Viacfaktorová autentifikácia pre interné systémy
• Pravidelné bezpečnostné previerky primerané povahe a rozsahu spracúvania vrátane príležitostného testovania treťou stranou
• Automatizované zálohovanie údajov a postupy obnovy po havárii
• Protokolovanie a monitorovanie prístupu k osobným údajom
• Školenie zamestnancov o bezpečnostnom povedomí

Aktuálny popis technických a organizačných opatrení je dostupný na požiadanie na [email protected].

statycs bez zbytočného odkladu informuje Prevádzkovateľa po zistení akéhokoľvek porušenia ochrany osobných údajov. Čl. 33 ods. 2 GDPR neurčuje pre oznámenie sprostredkovateľa prevádzkovateľovi žiadny prah rizika a statycs žiadny neuplatňuje.

Oznámenie bude v známom rozsahu obsahovať: povahu porušenia, kategórie a približný počet dotknutých osôb, pravdepodobné dôsledky, prijaté alebo navrhované opatrenia na riešenie porušenia a zmiernenie jeho účinkov a kontaktné miesto ([email protected]), od ktorého môže Prevádzkovateľ získať ďalšie informácie.

statycs bude spolupracovať s Prevádzkovateľom a podnikne primerané kroky na pomoc pri vyšetrovaní, obmedzení a náprave porušenia.

Zodpovednosť za spracúvanie údajov podľa tejto DPA sa riadi obchodnými podmienkami podkladovej zmluvy o poskytovaní služieb. Nič v tejto DPA nemení ani nerozširuje ustanovenia o zodpovednosti dohodnuté medzi stranami.

Každá strana zodpovedá za škody spôsobené spracúvaním, ktoré porušuje GDPR, v súlade s článkom 82 GDPR. statycs zodpovedá len za škodu spôsobenú spracúvaním, ktoré nie je v súlade s povinnosťami osobitne určenými sprostredkovateľom podľa GDPR alebo so zákonnými pokynmi Prevádzkovateľa.

Táto DPA sa automaticky ukončuje ukončením podkladovej zmluvy o poskytovaní služieb medzi Prevádzkovateľom a spoločnosťou statycs, s tou výnimkou, že vo vzťahu k akýmkoľvek osobným údajom, ktoré statycs naďalej uchováva v mene Prevádzkovateľa, zostáva v platnosti až do vrátenia alebo vymazania týchto údajov v súlade s touto sekciou.

Po ukončení sa osobné údaje spracúvané v mene Prevádzkovateľa uchovávajú po dobu 30 dní. Počas tohto obdobia si Prevádzkovateľ môže zvoliť, či statycs údaje vráti v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte, alebo ich vymaže. Ak si voľbu neuplatní, statycs ich vymaže: z produkčných systémov po uplynutí 30 dní a zo šifrovaných záloh v priebehu nasledujúceho zálohovacieho cyklu. statycs môže uchovávať osobné údaje po tomto období len vtedy, ak to vyžaduje právo EÚ alebo rakúske právo, a bude o akejkoľvek takejto požiadavke informovať Prevádzkovateľa.

Táto DPA sa riadi rakúskym právom. Výhradným miestom súdnej príslušnosti je príslušný súd vo Viedni.

Táto DPA je publikovaná vo viacerých jazykoch. Záväznou verziou je anglická verzia, ktorá upravuje zmluvu medzi stranami. Všetky ostatné jazykové verzie sa poskytujú len pre pohodlie; v prípade akéhokoľvek rozporu má prednosť anglická verzia.