Zmluva o spracúvaní osobných údajov

1. Zmluvné strany a účel

Prevádzkovateľ je objednávateľ, ktorý určuje účel a prostriedky spracúvania osobných údajov (ďalej len „prevádzkovateľ“ alebo „vy“).

Sprostredkovateľ je Esentra, s.r.o., Levočská 7711/47, 080 01 Prešov, IČO 47 183 721 (ďalej len „sprostredkovateľ“ alebo „my“).

Táto zmluva upravuje spracúvanie osobných údajov, ku ktorému dochádza pri plnení hlavnej zmluvy — vývoji, nasadení, prevádzke alebo podpore riešenia. Uzatvára sa podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (GDPR) a je neoddeliteľnou súčasťou hlavnej zmluvy.

2. Predmet, rozsah a doba spracúvania

Konkrétne parametre určuje hlavná zmluva alebo jej príloha. Ak nie sú určené inak, platí:

3. Spracúvanie výlučne na základe pokynov

Osobné údaje spracúvame len na základe zdokumentovaných pokynov prevádzkovateľa, vrátane prenosu do tretej krajiny. Za pokyn sa považuje aj samotná hlavná zmluva, zadanie úlohy a bežná písomná komunikácia s poverenou kontaktnou osobou.

Ak je podľa nášho názoru pokyn v rozpore s GDPR alebo iným predpisom o ochrane údajov, bezodkladne vás na to upozorníme a takýto pokyn nevykonáme, kým vec nevyjasníme.

Údaje nepoužívame na vlastné účely, na trénovanie modelov ani ich nesprístupňujeme tretím stranám nad rámec článku 7.

4. Mlčanlivosť a obmedzenie prístupu

• Prístup k údajom má len úzky okruh osôb, ktoré ho potrebujú na plnenie zmluvy.
• Tieto osoby sú písomne zaviazané mlčanlivosťou, ktorá trvá aj po skončení ich pôsobenia u nás.
• Prístupy prideľujeme v najmenšom potrebnom rozsahu a po skončení potreby ich odoberáme.
• Prednostne pracujeme na anonymizovaných alebo testovacích dátach, ak to povaha úlohy dovolí.

5. Bezpečnostné opatrenia

Prijali a udržiavame primerané technické a organizačné opatrenia podľa čl. 32 GDPR, najmä:

• šifrovaný prenos údajov a šifrovanie záloh,
• riadenie prístupov na základe rolí a viacfaktorové overenie tam, kde je to možné,
• oddelenie vývojového, testovacieho a produkčného prostredia,
• záznamy o prístupe a zmenách umožňujúce spätné dohľadanie,
• pravidelné zálohovanie vrátane overeného skúšobného obnovenia,
• priebežnú aktualizáciu použitých komponentov a sledovanie známych zraniteľností,
• postupy na obnovu dostupnosti údajov po incidente.

Opatrenia môžeme priebežne meniť, nikdy však tak, aby klesla dosiahnutá úroveň ochrany.

6. Porušenie ochrany údajov

Ak zistíme porušenie ochrany osobných údajov, oznámime vám to bez zbytočného odkladu, najneskôr do 24 hodín od zistenia. Oznámenie bude obsahovať dostupný opis povahy porušenia, dotknuté kategórie a približný počet záznamov, pravdepodobné následky a prijaté alebo navrhované opatrenia.

Poskytneme vám súčinnosť potrebnú na splnenie vašej oznamovacej povinnosti voči dozornému orgánu a dotknutým osobám. Oznámenie dozornému orgánu podáva prevádzkovateľ, pokiaľ sa strany nedohodnú inak.

7. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje všeobecný súhlas so zapojením ďalších sprostredkovateľov. Aktuálny zoznam je súčasťou hlavnej zmluvy a spravidla zahŕňa poskytovateľa serverovej infraštruktúry a poskytovateľa e-mailovej služby; pri riešeniach s jazykovými modelmi aj príslušného poskytovateľa rozhrania, ktorého však vždy vopred písomne odsúhlasíme.

O zamýšľanej zmene alebo doplnení ďalšieho sprostredkovateľa vás informujeme najmenej 30 dní vopred. Ak so zmenou nesúhlasíte, máte právo v tejto lehote namietať; ak sa nedohodneme na inom riešení, môžete od dotknutej časti zmluvy odstúpiť bez sankcie.

Každému ďalšiemu sprostredkovateľovi ukladáme zmluvne rovnaké povinnosti, aké máme my. Za ich plnenie voči vám zodpovedáme my.

Za ďalšieho sprostredkovateľa sa nepovažujú naši zamestnanci a spolupracujúci vývojári konajúci pod našim priamym vedením a viazaní mlčanlivosťou.

8. Prenos mimo EÚ

Údaje spracúvame prednostne v rámci Európskej únie. Ak by bol prenos do tretej krajiny nevyhnutný, uskutoční sa len na základe vášho pokynu a pri splnení podmienok kapitoly V GDPR — rozhodnutia o primeranosti alebo štandardných zmluvných doložiek Európskej komisie.

9. Súčinnosť pri právach dotknutých osôb a povinnostiach prevádzkovateľa

Poskytneme vám primeranú súčinnosť pri vybavovaní žiadostí dotknutých osôb (prístup, oprava, výmaz, obmedzenie, prenosnosť, námietka) — najmä technickú podporu pri vyhľadaní, exporte alebo výmaze údajov v dodanom riešení.

Ak sa dotknutá osoba obráti priamo na nás, jej žiadosť sami nevybavíme — bezodkladne ju postúpime vám.

Rovnako vám poskytneme súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR, teda pri posúdení bezpečnosti, riešení incidentov, posúdení vplyvu na ochranu údajov (DPIA) a prípadnej konzultácii s dozorným orgánom.

Bežná súčinnosť je súčasťou dohodnutej ceny. Pri neprimerane rozsiahlych alebo opakovaných požiadavkách máme právo na náhradu účelne vynaložených nákladov, ktorú vopred odsúhlasíme.

10. Ukončenie a naloženie s údajmi

Po ukončení poskytovania služieb podľa vášho pokynu buď všetky osobné údaje vymažeme, alebo vám ich vrátime v bežne používanom strojovo čitateľnom formáte, a vymažeme existujúce kópie.

Ak pokyn nedostaneme do 30 dní od ukončenia zmluvy, údaje vymažeme. Výnimkou je rozsah, v akom nám uchovávanie ukladá právny predpis; v takom prípade vás o tom informujeme.

Výmaz zo záložných kópií prebehne v rámci bežného cyklu ich rotácie, najneskôr do 90 dní; do vymazania zostávajú zálohy chránené rovnakými opatreniami.

Na požiadanie vystavíme písomné potvrdenie o vymazaní.

11. Preukazovanie súladu a audit

Na vašu písomnú žiadosť vám sprístupníme informácie potrebné na preukázanie plnenia povinností podľa tohto článku a umožníme audit vrátane kontroly vykonanej vami alebo audítorom, ktorého poveríte.

Audit sa vykonáva v pracovných dňoch, po dohode termínu aspoň 14 dní vopred a spravidla najviac raz ročne — okrem prípadu podozrenia na porušenie ochrany údajov, keď toto obmedzenie neplatí. Audítor musí byť viazaný mlčanlivosťou a nesmie byť naším konkurentom.

12. Zodpovednosť

Každá strana zodpovedá za porušenie povinností, ktoré jej ukladá GDPR a táto zmluva. Obmedzenie zodpovednosti dohodnuté v hlavnej zmluve sa nevzťahuje na sankcie uložené dozorným orgánom priamo nám a na náhradu škody dotknutým osobám podľa čl. 82 GDPR v rozsahu, v akom to právne predpisy nepripúšťajú obmedziť.

13. Záverečné ustanovenia

Táto zmluva nadobúda účinnosť spolu s hlavnou zmluvou a zaniká s ňou; povinnosti mlčanlivosti a naloženia s údajmi trvajú aj po jej zániku.

Ak sa zmenia právne predpisy alebo usmernenia dozorných orgánov, strany bez zbytočného odkladu prispôsobia znenie tejto zmluvy. Vzťahuje sa na ňu právny poriadok Slovenskej republiky.

Znenie platné od 4. 9. 2026. Staršie znenia poskytneme na požiadanie.