Zmluva o spracúvaní osobných údajov

Táto Zmluva o spracúvaní údajov („DPA“) je súčasťou Podmienky služby medzi Passport Digital Limited („my“, sprostredkovateľ) a zákazníkom („vy“, prevádzkovateľ). Platí vždy, keď pri poskytovaní MyProductPassport spracúvame osobné údaje vaším menom, a spĺňa článok 28 UK GDPR a prípadne EU GDPR. Ak váš pracovný priestor spravuje partner, ktorý drží vašu zmluvu, sme za rovnakých podmienok subdodávateľom spracúvania tohto partnera.

1. Podrobnosti o spracúvaní

• Predmet a trvanie: poskytovanie MyProductPassport vám počas trvania zmluvy a do vymazania údajov, ako je opísané nižšie.
• Povaha a účel: hosting, ukladanie, zverejňovanie, preklad a zobrazovanie vašich údajov o produktoch a pasov; tvorba štatistík zobrazení pasov; podpora; a zálohy.
• Ak ich používate, aj: žiadanie dodávateľov, ktorých si vyberiete, o informácie, vedenie podpísanej histórie každého zverejneného pasu a prihlasovanie vášho tímu cez vášho poskytovateľa identity.
• Dotknuté osoby: vaši zamestnanci a členovia tímu; osoby uvedené vo vašich údajoch o produktoch a dokumentoch; a osoby, ktoré si prezerajú vaše zverejnené pasy.
• Druhy osobných údajov: mená, firemné kontaktné údaje a pracovné pozície; akékoľvek osobné údaje, ktoré zahrniete do produktových údajov alebo dokumentov; a pri návštevníkoch pasov krajina, typ zariadenia, prehliadač, operačný systém, odkazujúca stránka a kódovaný identifikátor návštevníka (nikdy IP adresa).
• Ak zapnete popredajný servis: registrácia vlastníkov vašich produktov a vedenie záznamov o ich záruke, odovzdávanie servisných požiadaviek, vašich odpovedí a fotografií vašich zákazníkov medzi vami a nimi, umožnenie vlastníkom odovzdať produkt ďalej a overovanie pravosti kusu.
• Dotknuté osoby, ak používate popredajný servis: osoby, ktoré registrujú niektorý z vašich produktov, posielajú vám servisnú požiadavku, preberajú produkt od jeho vlastníka alebo overujú pravosť kusu.
• Druhy osobných údajov o nich: meno a e-mailová adresa; čo sa rozhodnú doplniť, napríklad telefónne číslo, krajina, dátum a miesto nákupu, sériové číslo, správy a fotografie; či súhlasili so zasielaním správ od vás, s presným znením, ktoré videli; a pri overení pravosti krajina a kódovaný identifikátor návštevníka (nikdy IP adresa).
• Ak žiadate dodávateľov o informácie: kontaktné osoby vašich dodávateľov (meno, e-mailová adresa a spoločnosť) a odpovede a súbory, ktoré pošlú. Ak používate jednotné prihlásenie: meno a e-mailová adresa, ktoré váš poskytovateľ identity pošle pre každú osobu. Podpísaná história pasu uchováva každú zverejnenú verziu v pôvodnom stave vrátane skorších hodnôt polí. Vymaže sa spolu s vaším pracovným priestorom a na váš pokyn odstránime skoršie verzie, ak z nich treba vymazať osobné údaje.

Služba nie je určená pre osobitné kategórie údajov (napríklad údaje o zdraví). Prosíme, nenahrávajte ich.

O tom, čo sa vaši zákazníci dozvedia, rozhodujete vy. Odkaz na vaše zásady ochrany osobných údajov je v každom formulári a e-maile popredajného servisu a tieto funkcie zostanú vypnuté, kým ich nepridáte. E-maily vašim zákazníkom odchádzajú vaším menom, s vašou adresou na odpovede, cez nášho poskytovateľa rozosielania.

2. Naše povinnosti

Zaväzujeme sa:

• spracúvať osobné údaje iba na základe vašich zdokumentovaných pokynov, ktorými sú tieto podmienky a vaše používanie služby, pokiaľ právo nevyžaduje inak; v takom prípade vás o tom najprv informujeme, pokiaľ to právo nezakazuje;
• informovať vás, ak sa domnievame, že pokyn porušuje právne predpisy o ochrane údajov;
• zabezpečíme, aby každý, koho poveríme spracúvaním údajov, bol viazaný mlčanlivosťou;
• uplatňovať bezpečnostné opatrenia opísané nižšie;
• využívať subdodávateľov spracúvania len tak, ako je uvedené nižšie;
• pomôžeme vám odpovedať na žiadosti osôb uplatňujúcich svoje práva;
• pomôžeme vám plniť povinnosti v oblasti zabezpečenia, oznamovania porušení, posúdenia vplyvu na ochranu údajov a predchádzajúcej konzultácie s ohľadom na informácie, ktoré máme k dispozícii;
• po skončení zmluvy vymazať alebo vrátiť osobné údaje, ako je opísané nižšie;
• sprístupníme informácie potrebné na preukázanie plnenia týchto povinností a umožníme audity, ako je opísané nižšie.

3. Subdodávatelia spracúvania

Poverujete nás využívaním týchto subdodávateľov spracúvania:

• DigitalOcean prostredníctvom Cloudways: hosting, databázy a zálohy (Londýn, Spojené kráľovstvo).
• Cloudflare: sieť, zabezpečenie a doručovanie obsahu (globálna sieť).
• Brevo (Sendinblue SAS): odosielanie servisných e-mailov vám a vášmu tímu a, ak používate popredajný servis, vašim zákazníkom (Francúzsko).
• OpenAI: automatický preklad textu zverejnených pasov a čítanie dokumentov, ktoré sa rozhodnete importovať do pasu (Spojené štáty).
• Sentry (Functional Software, Inc.): monitorovanie chýb (Nemecko, dátový región EÚ).
• Microsoft (Microsoft 365): e-mail na korešpondenciu podpory.

Každému subdodávateľovi spracúvania ukladáme povinnosti ochrany údajov, ktoré nie sú menej ochranné ako táto DPA, a za jeho prácu vám naďalej zodpovedáme. O novom subdodávateľovi vás budeme informovať e-mailom alebo v aplikácii najmenej 30 dní pred začiatkom jeho činnosti. Môžete vzniesť námietku z opodstatnených dôvodov ochrany údajov; ak námietku nevyriešime, môžete dotknutú službu ukončiť a vrátime vám poplatky zaplatené za obdobie po jej skončení.

4. Medzinárodné prenosy

Vaše údaje sú hostované v Spojenom kráľovstve, o ktorom Európska komisia uznáva, že zaisťuje primeranú ochranu. Ak subdodávateľ spracúvania spracúva osobné údaje v krajine bez rozhodnutia o primeranosti, spoliehame sa na štandardné zmluvné doložky Európskej komisie spolu s UK International Data Transfer Addendum, alebo na certifikáciu subdodávateľa v rámci EU-US Data Privacy Framework a jeho rozšírenia pre Spojené kráľovstvo.

5. Žiadosti jednotlivcov

Služba vám umožňuje údaje sami zobraziť, opraviť, exportovať a vymazať. Ak nás niekto kontaktuje v súvislosti s osobnými údajmi, ktoré kontrolujete vy, postúpime vám žiadosť bez zbytočného odkladu a sami na ňu neodpovieme, pokiaľ nás o to nepožiadate.

Vlastníci registrovaných produktov sa tiež môžu sami odhlásiť z vašich marketingových e-mailov a vymazať svoju registráciu na stránke vlastníka.

6. Bezpečnostné opatrenia

• Šifrovanie pri prenose: TLS na každom pripojení s HTTP Strict Transport Security.
• Šifrovanie v pokoji: IČO, IČ DPH a telefónne číslo uložené v používateľských účtoch sú v aplikácii šifrované; heslá sa ukladajú iba ako jednosmerné hashe.
• Prístup: prístup na základe rolí v pracovných priestoroch (vlastník, správca, editor, divák), voliteľné dvojfaktorové overenie a obmedzený počet pokusov o prihlásenie. Prístup k produkčným serverom majú len menovite určení správcovia.
• Protokolovanie: významné akcie sa zaznamenávajú s používateľom, časom a IP adresou a uchovávajú sa 90 dní.
• Návštevníci pasov: IP adresy sa nikdy neukladajú; iba kódovaný identifikátor vytvorený tajným kľúčom.
• Popredajný servis: skryté kódy kusov, kľúče zabezpečených tagov a súkromné odkazy v e-mailoch vašim zákazníkom sa v aplikácii šifrujú; fotografie od zákazníkov sa ukladajú súkromne a zobrazujú sa len vášmu tímu a zákazníkovi, ktorý ich poslal.
• Odolnosť: denné zálohy databázy a ochrana Cloudflare proti útokom typu odmietnutie služby.
• Zabezpečenie aplikácie: prísna politika zabezpečenia obsahu (CSP) s hlásením porušení.

7. Porušenia ochrany osobných údajov

Ak sa dozvieme o porušení ochrany osobných údajov, ktoré sa týka vašich údajov, budeme:

• informovať vás bez zbytočného odkladu, v každom prípade do 48 hodín, e-mailom vlastníkovi vášho pracovného priestoru;
• poskytneme vám informácie potrebné na oznámenie Úradu komisára pre informácie (ICO) alebo vášmu dozornému orgánu do 72 hodín a budeme ich dopĺňať, ako sa dozvieme viac;
• spolupracovať s vami na vyšetrení a obmedzení porušenia a zaznamenať, čo sa stalo a čo sme s tým urobili.

Podozrenie na bezpečnostný problém nám môžete nahlásiť na [email protected].

8. Audity

Odpovieme na primerané písomné otázky o dodržiavaní tejto DPA. Ak to nestačí, môžete na vlastné náklady vykonať audit:

• s písomnou výpoveďou najmenej 30 dní;
• počas bežného pracovného času;
• audítormi viazanými mlčanlivosťou;
• najviac raz ročne, pokiaľ porušenie alebo regulátor nevyžaduje ďalší.

9. Vrátenie a vymazanie údajov

Svoje údaje môžete kedykoľvek exportovať a pri skončení zmluvy požiadať o kompletný export (pozrite „Prechod k inému poskytovateľovi“ v našich Podmienky služby). Keď zmažete účet, osobné údaje v ňom sa okamžite vymažú. Ak zmluva skončí inak, údaje vymažeme 30 dní po jej skončení. Kópie v zálohách sa prepíšu do 60 dní potom. Uchovávame len to, čo vyžaduje zákon, napríklad faktúry, a na požiadanie vám vymazanie písomne potvrdíme.

Od 26. októbra 2026 zostávajú pasy batérií dostupné aj po odstránení účtu, ako je opísané v Podmienkach služby (nariadenie (EÚ) 2023/1542, článok 78 písm. e)).

Údaje popredajného servisu: registrácia, ktorú nikto nepotvrdí, sa vymaže po 30 dňoch a údaje pozvaného nového vlastníka sa vymažú, len čo je prevod prijatý, zrušený alebo uplynie jeho platnosť. Vlastníci môžu svoju registráciu sami vymazať na stránke vlastníka a vy môžete v prehľade odstrániť registráciu alebo vymazať servisnú požiadavku. Inak sa tieto údaje vymažú spolu s vaším pracovným priestorom.

10. Rozhodné právo

Táto DPA sa riadi právom Anglicka a Walesu, rovnako ako naše Podmienky služby. Ak EU GDPR vyžaduje, aby sa riadila právom členského štátu EÚ, platí írske právo a právomoc majú súdy Írska. Ak je táto DPA v rozpore s Podmienkami služby, v otázkach spracúvania osobných údajov má prednosť táto DPA.

Otázky k tejto zmluve o spracúvaní: [email protected].