Zmluva o spracúvaní údajov

Táto zmluva o spracúvaní údajov (ďalej len „DPA“) sa uzatvára medzi zákazníkom používajúcim služby statycs na základe platnej zmluvy o poskytovaní služieb (ďalej len „Prevádzkovateľ“) a spoločnosťou statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Viedeň, Rakúsko (ďalej len „Sprostredkovateľ“).

Táto DPA upravuje spracúvanie osobných údajov spoločnosťou statycs v mene Prevádzkovateľa v súvislosti so SaaS platformou statycs na finančné plánovanie a analýzu. Nadobúda účinnosť, keď Prevádzkovateľ prijme obchodné podmienky alebo inak uzavrie zmluvu o poskytovaní služieb so spoločnosťou statycs, a zostáva v platnosti tak dlho, ako statycs spracúva osobné údaje v mene Prevádzkovateľa. V prípade rozporu medzi touto DPA a inými zmluvnými ustanoveniami má táto DPA prednosť vo veciach ochrany údajov.

Predmet spracúvania. Spracúvanie osobných údajov, ktoré je nevyhnutné na to, aby statycs poskytoval Prevádzkovateľovi svoju platformu na finančné plánovanie a analýzu.

Trvanie spracúvania. Počas trvania podkladovej zmluvy o poskytovaní služieb vrátane akéhokoľvek obdobia ukončovania a vymazania podľa § 11 nižšie.

statycs spracúva osobné údaje, aby Prevádzkovateľovi poskytoval svoju platformu na finančné plánovanie a analýzu. Spracúvanie zahŕňa zhromažďovanie, ukladanie, organizáciu, štruktúrovanie, vyhľadávanie, nahliadanie, používanie a vymazávanie údajov v rozsahu nevyhnutnom na poskytnutie služby.

Spracúvanie sa vykonáva výhradne na základe zdokumentovaných pokynov Prevádzkovateľa. statycs nebude spracúvať osobné údaje na žiadny iný účel než poskytnutie dohodnutej služby, pokiaľ to nevyžaduje právo EÚ alebo rakúske právo. V takom prípade statycs informuje Prevádzkovateľa o zákonnej požiadavke pred spracúvaním, pokiaľ zákon takúto informáciu nezakazuje.

Kategórie osobných údajov. Môžu sa spracúvať tieto typy osobných údajov: mená, e-mailové adresy, telefónne čísla, pracovné pozície, príslušnosť k spoločnosti, IP adresy, údaje o prehliadači a zariadení a akékoľvek iné osobné údaje, ktoré Prevádzkovateľ zadá do platformy. Finančné dáta nahrané na platformu - napríklad účtovné záznamy, reporty a plány - môžu obsahovať osobné údaje v rozsahu, v akom ich Prevádzkovateľ zahrnie.

Kategórie dotknutých osôb. Dotknutými osobami môžu byť zamestnanci, dodávatelia, klienti, dodávatelia služieb, investori Prevádzkovateľa a akékoľvek iné fyzické osoby, ktorých osobné údaje Prevádzkovateľ spracúva prostredníctvom platformy.

Prevádzkovateľ je prevádzkovateľom podľa GDPR a nesie výhradnú zodpovednosť za zabezpečenie zákonnosti spracúvania osobných údajov vrátane platného právneho základu tak pre samotné spracúvanie, ako aj pre prenos údajov spoločnosti statycs.

Prevádzkovateľ je zodpovedný za presnosť, kvalitu a zákonnosť osobných údajov poskytnutých spoločnosti statycs a za dodržiavanie všetkých platných predpisov o ochrane údajov vrátane informovania dotknutých osôb o spracúvaní ich údajov.

statycs sa zaväzuje:

• Spracúvať osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, pokiaľ zákon nevyžaduje inak
• Zabezpečiť, aby všetky osoby oprávnené spracúvať osobné údaje boli viazané písomnými povinnosťami mlčanlivosti
• Zaviesť primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti primeranej riziku
• Pomáhať Prevádzkovateľovi pri reakcii na žiadosti dotknutých osôb podľa článkov 15 až 22 GDPR
• Pomáhať Prevádzkovateľovi s dodržiavaním článkov 32 až 34 GDPR, posúdeniami vplyvu na ochranu údajov a predchádzajúcimi konzultáciami s dozornými orgánmi s ohľadom na povahu spracúvania a informácie dostupné spoločnosti statycs
• Bez zbytočného odkladu informovať Prevádzkovateľa po zistení porušenia ochrany osobných údajov
• Vymazať alebo vrátiť všetky osobné údaje Prevádzkovateľovi po ukončení zmluvy o poskytovaní služieb, pokiaľ ich uchovávanie nevyžaduje zákon
• Okamžite informovať Prevádzkovateľa, ak podľa názoru statycs pokyn porušuje GDPR alebo iné platné právo o ochrane údajov

statycs plní povinnosti auditu podľa čl. 28 ods. 3 písm. h) GDPR tým, že na odôvodnenú písomnú žiadosť a najviac raz za dvanásť mesiacov poskytne svoj aktuálny súhrn bezpečnosti, zoznam sub-sprostredkovateľov a písomné odpovede na primeraný dotazník Prevádzkovateľa. Okrem toho môže Prevádzkovateľ - alebo nezávislý audítor, ktorého poverí za podmienky mlčanlivosti - vykonať audit na mieste najviac raz za dvadsaťštyri mesiacov alebo kedykoľvek na základe poverenia dozorného orgánu či odôvodneného podozrenia z porušenia. Audity na mieste sa uskutočňujú na náklady Prevádzkovateľa, s tridsaťdňovým predchádzajúcim písomným oznámením, počas pracovných hodín, pričom rozsah, načasovanie a mlčanlivosť sa vopred písomne dohodnú.

statycs zapája nasledujúcich sub-sprostredkovateľov na pomoc pri poskytovaní služby:

• Google Analytics (Google LLC, USA) - analytika
• PostHog (PostHog Inc., USA; PostHog Cloud EU hostovaný v Nemecku) - produktová analytika
• Hanko (Hanko GmbH, Nemecko) - autentifikácia
• Zero (Zero Inc., Fínsko) - CRM
• Hetzner (Hetzner Online GmbH, Nemecko) - hosting
• Chatwoot (Chatwoot Inc., USA) - živý chat pre návštevníkov webu, nie pre používateľov aplikácie

statycs zabezpečuje, že všetci sub-sprostredkovatelia sú viazaní písomnými zmluvami ukladajúcimi rovnocenné povinnosti ochrany údajov. Prevádzkovateľ bude o akýchkoľvek zamýšľaných zmenách sub-sprostredkovateľov informovaný najmenej tridsať dní vopred. Prevádzkovateľ môže z opodstatnených dôvodov namietať proti novému sub-sprostredkovateľovi do štrnástich dní od oznámenia. Ak námietku nemožno vyriešiť, Prevádzkovateľ môže vypovedať zmluvu s účinnosťou k dátumu, ku ktorému nadobudne účinnosť zmena sub-sprostredkovateľa, a statycs vráti vopred zaplatené poplatky pomerne za nevyužitú časť obdobia.

statycs ukladá a spracúva dáta zákazníkov v rámci Európskej únie a Európskeho hospodárskeho priestoru. Ak sa dáta musia preniesť sub-sprostredkovateľom nachádzajúcim sa mimo EÚ alebo EHP - najmä v Spojených štátoch - statycs zabezpečuje zavedenie primeraných záruk v súlade s kapitolou V GDPR.

Tieto záruky zahŕňajú štandardné zmluvné doložky EÚ prijaté Európskou komisiou a v prípade potreby rozhodnutia o primeranosti. statycs pravidelne posudzuje právny rámec prijímajúcich krajín, aby zabezpečil trvalý súlad. Kópia záruk je dostupná na požiadanie na [email protected].

statycs zavádza primerané technické a organizačné opatrenia na ochranu osobných údajov vrátane:

• Šifrovanie údajov pri prenose (TLS) a v pokoji
• Riadenie prístupu podľa rolí s dodržiavaním zásady najmenších oprávnení
• Viacfaktorová autentifikácia pre interné systémy
• Pravidelné bezpečnostné previerky primerané povahe a rozsahu spracúvania vrátane príležitostného testovania treťou stranou
• Automatizované zálohovanie údajov a postupy obnovy po havárii
• Protokolovanie a monitorovanie prístupu k osobným údajom
• Školenie zamestnancov o bezpečnostnom povedomí

Aktuálny popis technických a organizačných opatrení je dostupný na požiadanie na [email protected].

statycs bez zbytočného odkladu informuje Prevádzkovateľa po zistení porušenia ochrany osobných údajov, ktoré pravdepodobne povedie k riziku pre práva a slobody dotknutých osôb.

Oznámenie bude v známom rozsahu obsahovať: povahu porušenia, kategórie a približný počet dotknutých osôb, pravdepodobné dôsledky, prijaté alebo navrhované opatrenia na riešenie porušenia a zmiernenie jeho účinkov a kontaktné miesto ([email protected]), od ktorého môže Prevádzkovateľ získať ďalšie informácie.

statycs bude spolupracovať s Prevádzkovateľom a podnikne primerané kroky na pomoc pri vyšetrovaní, obmedzení a náprave porušenia.

Zodpovednosť za spracúvanie údajov podľa tejto DPA sa riadi obchodnými podmienkami podkladovej zmluvy o poskytovaní služieb. Nič v tejto DPA nemení ani nerozširuje ustanovenia o zodpovednosti dohodnuté medzi stranami.

Každá strana zodpovedá za škody spôsobené spracúvaním, ktoré porušuje GDPR, v súlade s článkom 82 GDPR. statycs zodpovedá len za škodu spôsobenú spracúvaním, ktoré nie je v súlade s povinnosťami osobitne určenými sprostredkovateľom podľa GDPR alebo so zákonnými pokynmi Prevádzkovateľa.

Táto DPA sa automaticky ukončuje ukončením podkladovej zmluvy o poskytovaní služieb medzi Prevádzkovateľom a spoločnosťou statycs.

Po ukončení sa osobné údaje spracúvané v mene Prevádzkovateľa uchovávajú po dobu 30 dní a následne sa natrvalo vymažú, pokiaľ Prevádzkovateľ počas tohto obdobia nepožiada o vrátenie údajov v štruktúrovanom, bežne používanom formáte. statycs môže uchovávať osobné údaje po tomto období len vtedy, ak to vyžaduje právo EÚ alebo rakúske právo, a bude o akejkoľvek takejto požiadavke informovať Prevádzkovateľa.

Táto DPA sa riadi rakúskym právom. Výhradným miestom súdnej príslušnosti je príslušný súd vo Viedni.