1. Úvod a rozsah
1.1 Táto dohoda o spracúvaní osobných údajov („DPA“) je súčasťou Obchodných podmienok spoločnosti Exyno s.r.o., so sídlom 900 54 Jablonové 479, IČO: 57626154 („Exyno“ alebo „Sprostredkovateľ“). Upravuje spracúvanie osobných údajov, ktoré Exyno vykonáva v mene svojho zákazníka („Klient“ alebo „Prevádzkovateľ“) pri poskytovaní aplikácie na organizovanie športových a wellbeing výziev („Služba“).
1.2 DPA sa stáva záväznou rovnakým spôsobom ako Obchodné podmienky: odoslaním objednávky Klientom a jej prijatím zo strany Exyno. Pre Klienta platí verzia DPA, ktorá je uvedená v potvrdení objednávky.
1.3 Pojmy použité v tejto DPA (osobné údaje, spracúvanie, prevádzkovateľ, sprostredkovateľ, dotknutá osoba, porušenie ochrany osobných údajov) majú význam podľa nariadenia (EÚ) 2016/679 („GDPR“).
1.4 V otázkach ochrany osobných údajov má táto DPA prednosť pred Obchodnými podmienkami.
1.5 Neoddeliteľnou súčasťou tejto DPA sú tieto prílohy:
- Príloha 1 — Podrobnosti spracúvania
- Príloha 2 — Subprocesori
- Príloha 3 — Technické a organizačné opatrenia
- Príloha 4 — Povinnosti Klienta
2. Roly strán
2.1 Pre osobné údaje, ktoré Klient alebo jeho zamestnanci a iní používatelia vložia do Služby, je Klient prevádzkovateľom a Exyno sprostredkovateľom.
2.2 Klient zodpovedá za zákonnosť spracúvania, najmä za právny základ, informovanie používateľov, dobrovoľnosť ich účasti a nastavenie rolí v Službe. Podrobnosti sú v Prílohe 4.
2.3 Exyno je samostatným prevádzkovateľom pri spracúvaní osobných údajov pre vlastné účely, ktorými sú: prevádzka webu exyno.eu, kontaktné údaje osôb Klienta a fakturácia, bezpečnostné záznamy a ochrana Služby, záznam o prijatí podmienok používateľmi a overovanie podmienok bezplatného skúšobného obdobia podľa Obchodných podmienok. Na tieto činnosti sa táto DPA nevzťahuje.
3. Predmet, trvanie a povaha spracúvania
Predmet, účel, povaha a trvanie spracúvania, ako aj druhy osobných údajov a kategórie dotknutých osôb sú uvedené v Prílohe 1. DPA platí po celé obdobie, počas ktorého Exyno spracúva osobné údaje Klienta, vrátane lehoty na výmaz podľa článku 12.
4. Pokyny Klienta
4.1 Exyno spracúva osobné údaje len na základe zdokumentovaných pokynov Klienta. Pokynmi sú: Obchodné podmienky, táto DPA, nastavenia vykonané v Službe administrátorom Klienta a písomné pokyny Klienta.
4.2 Exyno nepoužíva osobné údaje Klienta na vlastné účely, najmä nie na štatistiky naprieč klientmi, vývoj alebo trénovanie modelov umelej inteligencie ani na marketing, ak mu to Klient výslovne neurčí. Klient týmto určuje, že Exyno môže využívať technickú analytiku používania Služby podľa Prílohy 1 (údaje o používaní, nie obsah aktivít ani obrázky) na prevádzku, zabezpečenie a zlepšovanie Služby.
4.3 Funkcie Služby využívajúce umelú inteligenciu spracúvajú údaje Klienta len na poskytnutie danej funkcie. Exyno nepoužíva údaje Klienta na trénovanie modelov umelej inteligencie a zabezpečí, aby ich na tento účel nepoužil ani subprocesor.
4.4 Exyno má k osobným údajom technický prístup, ktorý využíva len na prevádzku a zabezpečenie Služby. Do obsahu údajov Klienta nahliada na účely podpory len na žiadosť alebo so súhlasom Klienta, okrem prípadov, keď je to nevyhnutné z bezpečnostných dôvodov alebo vyplýva zo zákona.
4.5 Ak sa Exyno domnieva, že pokyn Klienta porušuje GDPR alebo iný predpis o ochrane údajov, bezodkladne o tom Klienta informuje.
4.6 Ak je Exyno povinné spracúvať údaje na základe práva EÚ alebo členského štátu, informuje o tom Klienta pred spracúvaním, ak mu to právo nezakazuje.
5. Mlčanlivosť
Exyno zabezpečí, aby osoby oprávnené spracúvať osobné údaje Klienta boli viazané povinnosťou mlčanlivosti alebo zákonnou povinnosťou mlčanlivosti.
6. Bezpečnosť spracúvania
Exyno prijíma primerané technické a organizačné opatrenia podľa čl. 32 GDPR. Ich popis je v Prílohe 3. Exyno ich môže priebežne upravovať za predpokladu, že sa úroveň ochrany neznižuje.
7. Subprocesori
7.1 Klient dáva Exyno všeobecné písomné povolenie využívať ďalších sprostredkovateľov („subprocesori“). Aktuálny zoznam je v Prílohe 2.
7.2 Plánovanú zmenu zoznamu (pridanie alebo nahradenie subprocesora) Exyno oznámi Klientovi e-mailom na kontakt uvedený v objednávke alebo v administrátorskom účte najmenej 30 dní vopred; ak sa Exyno o zmene u subprocesora dozvie neskôr, oznámi ju bez zbytočného odkladu po tom, čo sa o nej dozvie.
7.3 Klient môže z objektívnych dôvodov týkajúcich sa ochrany osobných údajov proti zmene písomne namietať do 14 dní od oznámenia. Ak sa strany nedohodnú, Klient môže ukončiť využívanie Služby k dátumu zmeny bez sankcie.
7.4 Exyno uloží každému subprocesorovi záväzok na ochranu údajov v rovnakom rozsahu, aký vyplýva z tejto DPA, a zodpovedá Klientovi za plnenie povinností subprocesorom.
8. Prenosy mimo Európskeho hospodárskeho priestoru
8.1 Exyno ukladá databázu, úložisko obrázkov a spúšťa aplikačný server, funkcie, hosting a AI platformu v Európskom hospodárskom priestore (región europe-west4, Holandsko), ako je uvedené v Prílohe 2. Niektorí subprocesori, najmä pri odosielaní e-mailov, spracúvajú údaje aj mimo EHP.
8.2 Ak subprocesor prenáša alebo sprístupňuje osobné údaje mimo EHP (napríklad pri prístupe jeho zamestnancov z tretej krajiny), robí tak len na základe rozhodnutia o primeranosti (vrátane rámca EU-US Data Privacy Framework), štandardných zmluvných doložiek alebo iných záruk podľa kapitoly V GDPR.
8.3 Klient berie na vedomie, že služba prihlasovania Firebase Authentication nemá regionálne obmedzenie a údaje o prihlasovaní (najmä e-mail a identifikátor používateľa) sa spracúvajú v dátových centrách v USA. E-maily zo Služby odosiela subprocesor so sídlom v USA, preto pri nich dochádza k prenosu mimo EHP podľa bodu 8.2.
9. Práva dotknutých osôb
9.1 Exyno pomáha Klientovi pri vybavovaní žiadostí dotknutých osôb (prístup, oprava, výmaz, obmedzenie, prenosnosť, námietka) primeranými technickými a organizačnými opatreniami, najmä prostredníctvom funkcií správy účtov v Službe.
9.2 Ak sa dotknutá osoba obráti priamo na Exyno, Exyno na žiadosť sám neodpovedá, odkáže osobu na Klienta a informuje Klienta do 14 pracovných dní, ak je Klienta možné identifikovať.
10. Pomoc Klientovi
Exyno pomáha Klientovi pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu na ochranu údajov, konzultácia s dozorným orgánom) v primeranom rozsahu s ohľadom na povahu spracúvania a informácie, ktoré má Exyno k dispozícii. [Pomoc presahujúca bežný rozsah podpory môže byť spoplatnená podľa dohody.]
11. Porušenie ochrany osobných údajov
11.1 Exyno oznámi Klientovi porušenie ochrany osobných údajov, ktoré sa týka údajov Klienta, bez zbytočného odkladu a najneskôr do 48 hodín od okamihu, keď sa o ňom dozvedelo.
11.2 Oznámenie obsahuje, ak sú informácie dostupné: povahu porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky, prijaté a navrhované opatrenia a kontakt pre ďalšie informácie. Informácie sa môžu dopĺňať postupne.
12. Skončenie spracúvania a výmaz
12.1 Po skončení poskytovania Služby (vrátane skončenia bezplatného skúšobného obdobia) je Klientovi dostupný export údajov a Exyno údaje Klienta vymaže najneskôr do 30 dní od skončenia.
12.2 Dôkazové obrázky nahraté používateľmi Exyno vymaže najneskôr 30 dní po skončení výzvy, ku ktorej patria, alebo skôr, ak nastane skoršia lehota podľa bodu 12.1.
12.3 Bezpečnostné záznamy (logy) sa uchovávajú 90 dní a zálohy 3 dni; po tomto čase sa údaje v nich prestanú uchovávať.
12.4 Na požiadanie Klienta Exyno písomne potvrdí vykonanie výmazu.
12.5 Ustanovenia 12.1 až 12.3 sa neuplatnia v rozsahu, v akom právo EÚ alebo SR vyžaduje ďalšie uchovávanie.
13. Preukazovanie súladu a audit
13.1 Exyno poskytne Klientovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR, najmä dokumentáciu a vyplnený bezpečnostný dotazník, a to najviac raz ročne, ak ho Klient požiada.
13.2 Audit na mieste alebo audit vykonaný treťou stranou je možný iba ak: (a) ho vyžaduje dozorný orgán, (b) nastalo porušenie ochrany osobných údajov Klienta alebo (c) informácie podľa bodu 13.1 nepostačujú. Klient oznámi audit písomne najmenej 30 dní vopred. Audit prebieha v pracovnom čase, bez neprimeraného zásahu do prevádzky a bez prístupu k údajom iných klientov. Audítor je viazaný mlčanlivosťou, nesmie byť konkurentom Exyno a náklady auditu znáša Klient. Audit sa koná najviac raz ročne.
14. Zodpovednosť
Zodpovednosť strán za porušenie tejto DPA sa riadi ustanoveniami Obchodných podmienok o zodpovednosti.
15. Trvanie, zmeny a rozhodné právo
15.1 DPA platí po dobu poskytovania Služby a ďalej, kým Exyno spracúva osobné údaje Klienta.
15.2 Zmeny tejto DPA sa nevzťahujú na existujúcu objednávku. Klient je viazaný verziou DPA uvedenou v potvrdení objednávky. Nová verzia sa uplatní pri obnovení alebo predĺžení, alebo po oznámení Klientovi 30 dní vopred s právom ukončiť využívanie Služby k dátumu zmeny. Zmeny zoznamu subprocesorov sa riadia článkom 7.
15.3 Individuálne dohodnutá a podpísaná verzia DPA má prednosť pred touto verziou.
15.4 DPA sa riadi právom Slovenskej republiky a GDPR.
16. Kontakt
Otázky k ochrane osobných údajov a oznámenia podľa tejto DPA: privacy@exyno.eu.