Zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR

1. Zmluvné strany a vymedzenie rolí

1.1 Klient je pri spracúvaní osobných údajov svojich zamestnancov a vodičov, ktoré vkladá do platformy WeDriver alebo ktoré sa v nej o nich vytvárajú na jeho pokyn (zoznam vodičov, objednávky, fakturácia), prevádzkovateľom v zmysle čl. 4 bod 7 GDPR. Sprostredkovateľ pri tomto spracúvaní koná ako sprostredkovateľ v zmysle čl. 4 bod 8 GDPR.

1.2 Pre vlastné účely, ktoré si Sprostredkovateľ určuje sám, je Sprostredkovateľ samostatným prevádzkovateľom. Ide najmä o plnenie zmluvy o prenájme vozidla uzavretej s prenajímajúcim, bezpečnosť platformy a vozidiel, plnenie zákonných povinností (napríklad účtovných a daňových) a ochranu pred zneužitím a podvodmi. Na toto spracúvanie sa táto zmluva nevzťahuje a Sprostredkovateľ plní voči dotknutým osobám vlastné informačné povinnosti podľa čl. 13 a 14 GDPR.

1.3 Zmluvné strany prehlasujú, že každá z nich bude pri spracúvaní osobných údajov dodržiavať GDPR, zákon o ochrane osobných údajov a ďalšie záväzné predpisy o ochrane osobných údajov.

2. Predmet a trvanie zmluvy

2.1 Predmetom tejto zmluvy je úprava práv a povinností zmluvných strán pri spracúvaní osobných údajov, ktoré Sprostredkovateľ spracúva v mene Klienta v súvislosti s poskytovaním služieb platformy WeDriver podľa zmluvy o využívaní platformy uzavretej medzi zmluvnými stranami (ďalej len „hlavná zmluva“).

2.2 Zmluva vzniká dňom jej podpisu oboma zmluvnými stranami a platí po dobu trvania hlavnej zmluvy, ako aj po dobu, počas ktorej Sprostredkovateľ osobné údaje Klienta ďalej uchováva podľa článku o vymazaní alebo vrátení údajov.

2.3 Neoddeliteľnou súčasťou zmluvy sú Príloha 1 (opis spracúvania), Príloha 2 (technické a organizačné opatrenia) a Príloha 3 (zoznam ďalších sprostredkovateľov).

3. Povaha a účel spracúvania

3.1 Sprostredkovateľ spracúva osobné údaje výlučne na účel poskytovania služieb platformy WeDriver Klientovi, najmä na vedenie zoznamu vodičov Klienta, vytváranie a správu objednávok a rezervácií vozidiel, overenie spôsobilosti vodiča viesť vozidlo, fakturáciu a komunikáciu s vodičmi v súvislosti s rezerváciami.

3.2 Povaha spracúvania zahŕňa najmä zber, zaznamenávanie, usporiadanie, uchovávanie, vyhľadávanie, nahliadanie, použitie, poskytnutie prenosom, obmedzenie, vymazanie a likvidáciu osobných údajov, a to automatizovanými prostriedkami.

3.3 Sprostredkovateľ nespracúva osobné údaje na žiadny iný účel, než ktorý vyplýva z tejto zmluvy a z pokynov Klienta, s výnimkou prípadov, keď mu spracúvanie ukladá právo Európskej únie alebo právo Slovenskej republiky; v takom prípade Sprostredkovateľ Klienta o tejto povinnosti vopred informuje, ak to právo nezakazuje.

4. Kategórie osobných údajov a dotknutých osôb

4.1 Dotknutými osobami sú zamestnanci a vodiči Klienta, ktorých Klient zaradil do platformy WeDriver alebo ktorým na jeho pokyn vzniká v platforme používateľský účet alebo rezervácia.

4.2 Kategórie spracúvaných osobných údajov:

• identifikačné údaje: meno a priezvisko, dátum narodenia,
• kontaktné údaje: e-mailová adresa, telefónne číslo,
• údaje o vodičskom preukaze a jeho overení: číslo a platnosť preukazu, oprávnené skupiny, výsledok overenia a dátum overenia,
• údaje o polohe prevzatia a vrátenia vozidla,
• údaje o rezerváciách a objednávkach: vozidlo, termín, trvanie, cena, stav a história rezervácií,
• fakturačné údaje viazané na osobu vodiča alebo objednávku,
• technické údaje o používaní platformy potrebné na jej bezpečnú prevádzku (napríklad záznamy o prihlásení).

4.4 Spracúvanie osobitných kategórií osobných údajov podľa čl. 9 GDPR sa nevyžaduje a Klient ich do platformy nevkladá. Podrobnosti sú uvedené v Prílohe 1.

5. Pokyny prevádzkovateľa

5.1 Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Klienta. Pokynmi sú táto zmluva, hlavná zmluva a nastavenia a úkony Klienta v platforme WeDriver. Ďalšie pokyny dáva Klient písomne, aj e-mailom, na adresu info@wedriver.cz.

5.2 Ak by podľa názoru Sprostredkovateľa pokyn porušoval GDPR alebo iný predpis o ochrane osobných údajov, Sprostredkovateľ o tom Klienta bez zbytočného odkladu informuje a je oprávnený vykonanie pokynu pozastaviť, kým ho Klient nepotvrdí alebo nezmení.

5.3 Klient zodpovedá za to, že má pre spracúvanie osobných údajov svojich zamestnancov a vodičov platný právny základ, že dotknuté osoby informoval podľa čl. 13 a 14 GDPR a že jeho pokyny sú v súlade s právnymi predpismi.

6. Dôvernosť

6.1 Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala primeraná zákonná povinnosť mlčanlivosti, a to aj po skončení ich pracovného alebo iného pomeru so Sprostredkovateľom.

6.2 Prístup k osobným údajom majú len tie osoby Sprostredkovateľa, ktoré ho potrebujú na plnenie tejto zmluvy, a to v rozsahu nevyhnutnom pre ich činnosť a na základe pokynov Sprostredkovateľa.

7. Bezpečnosť spracúvania

7.1 Sprostredkovateľ prijme a po celú dobu trvania zmluvy udržiava primerané technické a organizačné opatrenia na zaistenie úrovne bezpečnosti zodpovedajúcej riziku podľa čl. 32 GDPR, pričom zohľadní stav techniky, náklady, povahu, rozsah, kontext a účely spracúvania a riziká pre práva a slobody fyzických osôb.

7.2 Minimálny rozsah opatrení je uvedený v Prílohe 2. Sprostredkovateľ je oprávnený opatrenia priebežne upravovať, ak sa tým úroveň bezpečnosti neznižuje.

7.3 Klient zodpovedá za bezpečnosť prístupových údajov svojich používateľov v platforme, za správne nastavenie oprávnení svojich zamestnancov a za to, že do platformy nevkladá viac údajov, než je nevyhnutné.

8. Ďalší sprostredkovatelia

8.1 Klient udeľuje Sprostredkovateľovi všeobecné písomné povolenie zapojiť do spracúvania ďalších sprostredkovateľov v zmysle čl. 28 ods. 2 GDPR. Kategórie ďalších sprostredkovateľov sú tieto:

• hosting a databáza,
• odosielanie e-mailov,
• platobná brána,
• SMS a push notifikácie,
• overenie totožnosti a vodičského oprávnenia.

8.3 Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi zmluvou rovnaké povinnosti ochrany osobných údajov, aké sú dohodnuté v tejto zmluve, najmä záruky primeraných technických a organizačných opatrení. Ak ďalší sprostredkovateľ svoje povinnosti nesplní, zodpovedá voči Klientovi za ich plnenie Sprostredkovateľ.

8.4 O zamýšľanej zmene (pridanie alebo nahradenie ďalšieho sprostredkovateľa) Sprostredkovateľ Klienta informuje vopred, spravidla aspoň 30 dní pred jej účinnosťou, e-mailom na adresu ……………………… alebo prostredníctvom platformy. Klient môže zmene v tejto lehote z objektívnych dôvodov týkajúcich sa ochrany osobných údajov písomne namietať. Ak sa zmluvné strany nedohodnú na inom riešení, môže Klient hlavnú zmluvu v rozsahu dotknutom zmenou vypovedať.

8.5 Aktuálny zoznam ďalších sprostredkovateľov poskytne Sprostredkovateľ na požiadanie na adrese gdpr@wedriver.cz. Prehľad kategórií je v Prílohe 3.

9. Prenosy do tretích krajín

9.1 Sprostredkovateľ prenáša osobné údaje do krajiny mimo Európskeho hospodárskeho priestoru alebo medzinárodnej organizácii len na základe pokynu Klienta alebo ak je to nevyhnutné na využitie ďalšieho sprostredkovateľa podľa predchádzajúceho článku, a to vždy len pri splnení podmienok kapitoly V GDPR.

9.2 Prenos sa uskutoční len ak existuje rozhodnutie Európskej komisie o primeranosti ochrany, alebo ak sú zavedené primerané záruky, najmä štandardné zmluvné doložky schválené Európskou komisiou, doplnené podľa potreby ďalšími opatreniami.

9.3 Klient týmto udeľuje pokyn na prenosy uskutočnené za týchto podmienok. Sprostredkovateľ na požiadanie Klienta poskytne informáciu o použitých zárukách.

10. Pomoc pri právach dotknutých osôb

10.1 Sprostredkovateľ s ohľadom na povahu spracúvania pomáha Klientovi vhodnými technickými a organizačnými opatreniami pri plnení jeho povinnosti odpovedať na žiadosti dotknutých osôb o uplatnenie práv podľa kapitoly III GDPR (prístup, oprava, vymazanie, obmedzenie, prenosnosť, namietanie).

10.2 Ak dotknutá osoba doručí žiadosť priamo Sprostredkovateľovi a z jej obsahu je zrejmé, že sa týka spracúvania v mene Klienta, Sprostredkovateľ ju bez zbytočného odkladu postúpi Klientovi a bez pokynu Klienta na ňu vecne neodpovie, ak mu to právo nenariaďuje.

10.3 Žiadosti týkajúce sa spracúvania, pri ktorom je Sprostredkovateľ samostatným prevádzkovateľom, vybavuje Sprostredkovateľ vo vlastnom mene.

11. Pomoc pri bezpečnostných incidentoch

11.1 Sprostredkovateľ oznámi Klientovi porušenie ochrany osobných údajov, ktoré sa týka údajov spracúvaných v jeho mene, bez zbytočného odkladu po tom, ako sa o ňom dozvedel, najneskôr do 48 hodín, na e-mailovú adresu ……………………….

11.2 Oznámenie obsahuje, pokiaľ sú informácie dostupné: opis povahy porušenia vrátane kategórií a približného počtu dotknutých osôb a záznamov, kontaktné miesto, opis pravdepodobných následkov a opis prijatých alebo navrhovaných opatrení na nápravu a zmiernenie dôsledkov. Informácie možno poskytovať postupne.

11.3 Sprostredkovateľ poskytne Klientovi súčinnosť potrebnú na splnenie jeho povinností podľa čl. 33 a 34 GDPR, najmä pri oznámení dozornému orgánu a informovaní dotknutých osôb. Rozhodnutie o oznámení dozornému orgánu a dotknutým osobám prináleží Klientovi ako prevádzkovateľovi.

12. Posúdenie vplyvu a predchádzajúca konzultácia

12.1 Sprostredkovateľ s ohľadom na povahu spracúvania a informácie, ktoré má k dispozícii, pomáha Klientovi pri plnení povinností podľa čl. 32 až 36 GDPR, najmä pri posúdení vplyvu na ochranu osobných údajov a pri predchádzajúcej konzultácii s dozorným orgánom.

12.2 Súčinnosť podľa tohto článku poskytne Sprostredkovateľ na základe odôvodnenej žiadosti Klienta, najmä poskytnutím popisu spracovateľských činností a prijatých bezpečnostných opatrení.

13. Vymazanie alebo vrátenie údajov po skončení

13.1 Po skončení poskytovania služieb platformy WeDriver podľa hlavnej zmluvy Sprostredkovateľ podľa rozhodnutia Klienta osobné údaje spracúvané v jeho mene buď vymaže, alebo mu ich vráti v bežne používanom strojovo čitateľnom formáte, a následne vymaže existujúce kópie. Klient svoje rozhodnutie oznámi písomne najneskôr v deň skončenia hlavnej zmluvy; ak tak neurobí, údaje sa vymažú.

13.2 Vymazanie sa vykoná spravidla do 30 dní od skončenia hlavnej zmluvy, kópie v zálohách sa vymažú v rámci ich štandardného cyklu. Na žiadosť Klienta Sprostredkovateľ vymazanie písomne potvrdí.

13.3 Povinnosť vymazať údaje sa nevzťahuje na údaje, ktoré Sprostredkovateľ musí uchovávať podľa práva Európskej únie alebo práva Slovenskej republiky, alebo ktoré spracúva ako samostatný prevádzkovateľ na účely podľa druhého odseku prvého článku tejto zmluvy.

14. Audit a kontrola

14.1 Sprostredkovateľ poskytne Klientovi všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audity vrátane inšpekcií, ktoré vykoná Klient alebo audítor ním poverený, a prispeje k nim.

14.2 Klient oznámi audit písomne najmenej 30 dní vopred, vykoná ho v bežnom pracovnom čase, bez neprimeraného narušenia činnosti Sprostredkovateľa a najviac raz za kalendárny rok, ak nejde o audit po bezpečnostnom incidente alebo o audit nariadený dozorným orgánom. Poverený audítor musí byť viazaný mlčanlivosťou.

14.3 Sprostredkovateľ môže audit nahradiť predložením aktuálnych správ alebo certifikátov nezávislých audítorov, ak postačujú na preukázanie plnenia povinností. Pri audite nesmie byť sprístupnená dôverná informácia iných klientov Sprostredkovateľa ani obchodné tajomstvo nad rámec nevyhnutného. Každá strana znáša vlastné náklady auditu.

15. Zodpovednosť

15.1 Každá zo zmluvných strán zodpovedá za plnenie svojich povinností podľa GDPR a tejto zmluvy. Sprostredkovateľ zodpovedá za škodu spôsobenú spracúvaním len vtedy, ak nesplnil povinnosti, ktoré GDPR ukladá priamo sprostredkovateľom, alebo ak konal mimo zákonných pokynov Klienta alebo v rozpore s nimi (čl. 82 GDPR).

15.2 Ak dotknutej osobe vznikne škoda, ktorej príčinou je spracúvanie, na ktorom sa podieľali obe zmluvné strany, a jedna z nich škodu nahradí v rozsahu presahujúcom jej podiel zodpovednosti, má voči druhej strane právo na náhradu zodpovedajúcej časti podľa čl. 82 ods. 5 GDPR.

15.3 Zodpovednosť Sprostredkovateľa za škodu a prípadné zmluvné pokuty sa spravuje hlavnou zmluvou, pokiaľ to záväzné právne predpisy pripúšťajú. Zodpovednosť za škodu spôsobenú úmyselne alebo hrubou nedbanlivosťou nemožno vylúčiť ani obmedziť.

16. Trvanie a ukončenie

16.1 Táto zmluva sa uzatvára na dobu trvania hlavnej zmluvy a zaniká jej skončením, pričom povinnosti, ktoré svojou povahou majú trvať aj po skončení zmluvy (najmä dôvernosť, vymazanie alebo vrátenie údajov, zodpovednosť), trvajú naďalej.

16.2 Klient môže od zmluvy odstúpiť alebo ju vypovedať s okamžitou účinnosťou, ak Sprostredkovateľ závažne alebo opakovane poruší povinnosti podľa tejto zmluvy alebo GDPR a nezjedná nápravu ani v primeranej lehote určenej Klientom v písomnej výzve.

16.3 Zánik hlavnej zmluvy z akéhokoľvek dôvodu spôsobuje zánik tejto zmluvy podľa predchádzajúceho článku. Ak Sprostredkovateľ po skončení hlavnej zmluvy osobné údaje stále uchováva, platia pre ne ustanovenia tejto zmluvy až do ich vymazania.

17. Rozhodné právo a záverečné ustanovenia

17.1 Táto zmluva sa riadi právom Slovenskej republiky a GDPR. Spory z tejto zmluvy rozhodujú príslušné všeobecné súdy Slovenskej republiky, pokiaľ zmluvné strany v hlavnej zmluve nedohodli inak.

17.2 Pri rozpore medzi touto zmluvou a hlavnou zmluvou majú v oblasti ochrany osobných údajov prednosť ustanovenia tejto zmluvy. Zmluva ani jej príloha nesmie byť vykladaná v neprospech práv a slobôd dotknutých osôb.

17.3 Zmeny a doplnenia tejto zmluvy vrátane príloh sú platné len v písomnej forme; písomná forma je zachovaná aj pri elektronickom podpise alebo výmene e-mailov, ak ide o aktualizáciu Prílohy 3 podľa článku o ďalších sprostredkovateľoch.

17.4 Ak sa niektoré ustanovenie tejto zmluvy stane neplatným alebo nevykonateľným, ostatné ustanovenia zostávajú platné. Zmluvné strany nahradia neplatné ustanovenie platným, ktoré sa najviac približuje jeho účelu.

17.5 Zmluva je vyhotovená v dvoch rovnopisoch alebo v elektronickej podobe, pričom každá zmluvná strana obdrží jedno vyhotovenie. Kontakt Sprostredkovateľa vo veciach ochrany osobných údajov: gdpr@wedriver.cz.

18. Príloha 1 – Opis spracúvania

18.1 Účel spracúvania:

• správa zoznamu vodičov Klienta v platforme WeDriver,
• vytváranie, správa a história objednávok a rezervácií vozidiel pre vodičov Klienta,
• overenie platnosti vodičského oprávnenia vodiča,
• fakturácia a vyúčtovanie služieb Klientovi,
• komunikácia s vodičmi v súvislosti s rezerváciami (potvrdenia, zmeny, upozornenia).

18.3 Kategórie údajov:

• meno a priezvisko, dátum narodenia, e-mail, telefón,
• číslo a platnosť vodičského preukazu, oprávnené skupiny, výsledok a dátum overenia,
• poloha prevzatia a vrátenia vozidla,
• údaje o rezerváciách, objednávkach a fakturácii,
• technické údaje o používaní platformy (záznamy o prihlásení).

18.5 Kategórie dotknutých osôb:

• zamestnanci Klienta,
• vodiči Klienta (aj externí), ktorých Klient do platformy zaradil.

18.7 Lehoty uchovávania:

• údaje o vodičoch a o rezerváciách po dobu trvania hlavnej zmluvy; po jej skončení podľa rozhodnutia Klienta o vymazaní alebo vrátení,
• údaje z overenia vodičského preukazu najdlhšie po dobu potrebnú na overenie a jeho preukázanie, najviac však po dobu trvania zmluvného vzťahu s Klientom,
• záznamy o prihlásení a auditný záznam po dobu potrebnú na zaistenie bezpečnosti, spravidla najviac 12 mesiacov,
• kópie v zálohách po dobu štandardného cyklu záloh, spravidla najviac 35 dní.

18.9 Údaje, ktoré Sprostredkovateľ musí uchovávať podľa zákona (napríklad účtovné doklady), sa uchovávajú po dobu určenú predpisom ako samostatná povinnosť Sprostredkovateľa.

19. Príloha 2 – Technické a organizačné opatrenia

19.1 Sprostredkovateľ zabezpečuje minimálne tieto opatrenia:

• šifrovanie prenosu údajov (TLS) a šifrovanie uložených citlivých údajov, najmä údajov o vodičskom preukaze,
• riadenie prístupov a oprávnení podľa rolí na princípe minimálnych oprávnení, pravidelné preverovanie oprávnení a okamžité odobratie prístupu po skončení potreby,
• dvojfaktorové overenie personálu Sprostredkovateľa s prístupom do administrácie a k osobným údajom,
• auditný záznam o prístupoch a zmenách osobných údajov a jeho ochrana pred neoprávnenou zmenou,
• pravidelné zálohovanie a overovanie obnovy údajov,
• oddelenie produkčného, testovacieho a vývojového prostredia; v testovacích prostrediach sa nepoužívajú reálne osobné údaje,
• retenčné lehoty a bezpečné mazanie údajov po uplynutí lehoty alebo na pokyn Klienta,
• pravidelné školenia a poučenie osôb oprávnených spracúvať osobné údaje o ochrane údajov a bezpečnosti,
• plán reakcie na bezpečnostné incidenty vrátane identifikácie, zadržania, odstránenia, obnovy, oznámenia Klientovi a vyhodnotenia,
• priebežná aktualizácia softvéru, ochrana pred škodlivým kódom a monitorovanie zraniteľností,
• fyzická ochrana priestorov a zariadení; pri hostingu zabezpečená poskytovateľom hostingu.

20. Príloha 3 – Zoznam ďalších sprostredkovateľov

20.1 Sprostredkovateľ využíva ďalších sprostredkovateľov v týchto kategóriách:

• hosting a databáza – prevádzka infraštruktúry a uloženie údajov,
• e-mail – odosielanie transakčných e-mailov a potvrdení,
• platobná brána – spracovanie platieb a autorizácia platobných kariet,
• SMS a push notifikácie – doručovanie upozornení a overovacích kódov,
• overenie totožnosti – overenie totožnosti a vodičského oprávnenia.

20.3 Aktuálny zoznam konkrétnych ďalších sprostredkovateľov vrátane krajiny spracúvania poskytne WeDriver na požiadanie na adrese gdpr@wedriver.cz.