Zmluva o spracúvaní osobných údajov (DPA)

1. Zmluvné strany

Prevádzkovateľ (Používateľ):

Fyzická alebo právnická osoba, ktorá sa zaregistrovala do aplikácie RevíznyTechnik.app alebo Revízny technik a v rámci svojej podnikateľskej činnosti vkladá do aplikácie osobné údaje svojich klientov.

Sprostredkovateľ:

• Obchodné meno: Nikolas Ballek – BALLEK
• Sídlo: Vaďovce 83, 916 13
• IČO: 53466438
• DIČ: 1126923446
• E-mail: gdpr@svetrevizii.sk

(ďalej len „poskytovateľ" alebo „sprostredkovateľ")

2. Predmet a účel spracúvania

Sprostredkovateľ spracúva osobné údaje výlučne za účelom poskytovania služby – prevádzky aplikácie RevíznyTechnik.app, ktorá umožňuje prevádzkovateľovi viesť evidenciu revízií elektrických zariadení, zákazníkov, meraní a súvisiacej dokumentácie.

Sprostredkovateľ nespracúva osobné údaje na vlastné účely, na marketingové účely ani ich neposkytuje tretím stranám, s výnimkou subspracovateľov uvedených v článku 6 tejto zmluvy.

3. Kategórie dotknutých osôb a osobných údajov

Sprostredkovateľ spracúva v mene prevádzkovateľa tieto kategórie osobných údajov:

Klienti prevádzkovateľa (fyzické osoby a zástupcovia právnických osôb):

• Meno a priezvisko
• Adresa (trvalý pobyt / sídlo)
• IČO / DIČ
• E-mailová adresa
• Telefónne číslo
• Fotografie objektov a zariadení
• Podpisy (v digitálnej podobe)
• Údaje z revíznych správ a meraní

Sprostredkovateľ nespracúva osobitné kategórie osobných údajov (tzv. citlivé údaje podľa čl. 9 GDPR).

4. Povinnosti sprostredkovateľa

Sprostredkovateľ sa zaväzuje:

4.1 Spracúvať osobné údaje výlučne na základe zdokumentovaných pokynov prevádzkovateľa, ktoré vyplývajú z používania aplikácie a z týchto VOP.

4.2 Zabezpečiť, aby osoby oprávnené spracúvať osobné údaje boli zaviazané mlčanlivosťou.

4.3 Prijať primerané technické a organizačné opatrenia na zabezpečenie osobných údajov podľa čl. 32 GDPR, najmä:

• šifrovanie dát pri prenose (TLS/HTTPS),
• riadenie prístupu k údajom,
• využívanie zabezpečenej cloudovej infraštruktúry (Google Firebase),
• pravidelné bezpečnostné aktualizácie.

4.4 Neposkytovať osobné údaje tretím stranám bez súhlasu prevádzkovateľa, s výnimkou subsprostredkovateľov podľa článku 6.

4.5 Pomáhať prevádzkovateľovi pri plnení jeho povinností voči dotknutým osobám (právo na prístup, opravu, vymazanie, prenositeľnosť, námietku).

4.6 Pomáhať prevádzkovateľovi pri zabezpečení súladu s povinnosťami podľa čl. 32–36 GDPR (bezpečnosť, hlásenie porušení, posúdenie vplyvu).

4.7 Po ukončení poskytovania služby vymazať alebo vrátiť všetky osobné údaje podľa voľby prevádzkovateľa, ak právne predpisy nevyžadujú ich uchovanie.

4.8 Poskytnúť prevádzkovateľovi všetky informácie potrebné na preukázanie súladu s povinnosťami podľa čl. 28 GDPR.

5. Povinnosti prevádzkovateľa

Prevádzkovateľ sa zaväzuje:

5.1 Poskytovať osobné údaje do aplikácie len v rozsahu nevyhnutnom pre výkon revíznej činnosti.

5.2 Zabezpečiť, že má právny základ na spracúvanie osobných údajov svojich klientov (napr. plnenie zmluvy, oprávnený záujem, súhlas).

5.3 Informovať svojich klientov o spracúvaní osobných údajov v súlade s čl. 13 a 14 GDPR.

5.4 Bezodkladne informovať sprostredkovateľa o akýchkoľvek zmenách alebo nepresnostiach v osobných údajoch.

6. Subsprostredkovatelia

Prevádzkovateľ udeľuje sprostredkovateľovi všeobecné povolenie na zapojenie subsprostredkovateľov. Sprostredkovateľ využíva nasledovných subsprostredkovateľov:

Sprostredkovateľ sa zaväzuje informovať prevádzkovateľa o plánovaných zmenách v zozname subsprostredkovateľov (pridanie alebo nahradenie) s primeraným predstihom, pričom prevádzkovateľ má právo vzniesť námietku. Ak prevádzkovateľ nevznesie námietku do 14 dní od oznámenia, má sa za to, že so zmenou súhlasí.

7. Prenos osobných údajov do tretích krajín

Niektorí subsprostredkovatelia (Google LLC, RevenueCat, Stripe) sú usadení v Spojených štátoch amerických. Prenos osobných údajov do USA je zabezpečený v súlade s čl. 46 GDPR prostredníctvom štandardných zmluvných doložiek (SCC) a/alebo rámca EU–US Data Privacy Framework (DPF).

8. Hlásenie porušenia ochrany osobných údajov

8.1 Sprostredkovateľ je povinný bez zbytočného odkladu, najneskôr do 72 hodín od zistenia, informovať prevádzkovateľa o akomkoľvek porušení ochrany osobných údajov, ktoré sa týka údajov spracúvaných v mene prevádzkovateľa.

8.2 Oznámenie sa zasiela na e-mail prevádzkovateľa registrovaný v aplikácii.

8.3 Oznámenie obsahuje: popis povahy porušenia, kategórie a aproximatívny počet dotknutých osôb a záznamov, meno kontaktnej osoby, opis pravdepodobných následkov a prijaté alebo navrhované opatrenia.

9. Práva dotknutých osôb

Sprostredkovateľ pomáha prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb. Ak sa dotknutá osoba obráti so svojou žiadosťou priamo na sprostredkovateľa, sprostredkovateľ ju bezodkladne postúpi prevádzkovateľovi.

Prevádzkovateľ môže kedykoľvek požiadať o:

• export dát zákazníka (PDF, JSON),
• opravu nesprávnych údajov,
• vymazanie konkrétnych záznamov.

10. Bezpečnostné opatrenia

Sprostredkovateľ implementuje nasledovné technické a organizačné opatrenia:

Technické:

• Šifrovanie komunikácie (TLS 1.2+)
• Autentifikácia používateľov (Firebase Authentication, voliteľne biometria)
• Firebase App Check (ochrana pred neoprávneným prístupom k API)
• Dáta uložené v infraštruktúre Google (ISO 27001, SOC 2)
• Zálohovanie prostredníctvom Google Firebase replikácie

Organizačné:

• Prístup k dátam len v rozsahu nevyhnutnom pre technickú správu
• Mlčanlivosť osôb s prístupom k infraštruktúre
• Pravidelné aktualizácie aplikácie a závislostí

11. Audit a kontrola

Prevádzkovateľ má právo vykonať audit alebo požiadať o audit súladu sprostredkovateľa s touto zmluvou. Audit sa vykoná:

• písomnou formou (dotazník / žiadosť o dokumentáciu), alebo
• prostredníctvom akreditovaného audítora po vzájomnej dohode.

Náklady na audit znáša prevádzkovateľ. Sprostredkovateľ je povinný poskytnúť súčinnosť.

12. Trvanie a ukončenie

12.1 Táto zmluva je platná po dobu poskytovania služby – teda po dobu aktívneho používateľského účtu prevádzkovateľa v aplikácii.

12.2 Po ukončení zmluvného vzťahu sprostredkovateľ vymaže osobné údaje prevádzkovateľa v súlade s článkom 22 VOP (do 90 dní od zrušenia účtu), pokiaľ právne predpisy nevyžadujú dlhšie uchovanie.

13. Záverečné ustanovenia

13.1 Táto zmluva je neoddeliteľnou súčasťou zmluvného vzťahu medzi poskytovateľom a používateľom aplikácie RevíznyTechnik.app a dopĺňa Všeobecné obchodné podmienky a Zásady ochrany osobných údajov.

13.2 V prípade rozporu medzi touto zmluvou a VOP má v oblasti ochrany osobných údajov prednosť táto zmluva.

13.3 Zmluva sa spravuje právnym poriadkom Slovenskej republiky a nariadením GDPR.

13.4 Zmeny tejto zmluvy sú účinné po oznámení prevádzkovateľovi s 30-dňovým predstihom.