Podmienky spracúvania osobných údajov v mene Používateľa

Článok A: Pôsobnosť a roly strán

A.1 Tieto Podmienky sa uplatnia iba v rozsahu, v akom smartAIm s. r. o. (ďalej v týchto Podmienkach aj „Sprostredkovateľ“) spracúva osobné údaje v mene Používateľa, ktorý vo vzťahu k týmto osobným údajom vystupuje ako prevádzkovateľ podľa GDPR (ďalej v týchto Podmienkach „Prevádzkovateľ údajov“).

A.2 Typickým prípadom je spracúvanie osobných údajov zamestnancov, cestujúcich, vodičov, konateľov, spoločníkov alebo osôb klientskych firiem, ktoré Prevádzkovateľ údajov vloží do Služby na vytvorenie alebo evidenciu pracovných ciest, cestovných príkazov, vyúčtovaní alebo knihy jázd.

A.3 Tieto Podmienky sa neuplatnia na osobné údaje, pri ktorých smartAIm s. r. o. sama určuje účely a prostriedky spracúvania, najmä na vlastné account, billing, bezpečnostné, support a zákonné evidenčné účely; tieto spracúvania upravujú Zásady ochrany osobných údajov.

Článok B: Predmet, trvanie, povaha a účel spracúvania

B.1 Predmetom spracúvania je technické spracúvanie osobných údajov obsiahnutých v Obsahu používateľa na účely poskytovania Služby a funkcií zvoleného Plánu, najmä uloženia, zobrazenia, výpočtu, prepojenia údajov, generovania dokumentov a Výstupov, histórie, zálohovania, podpory, bezpečnosti, exportu a vymazania podľa pokynov Prevádzkovateľa údajov.

B.2 Spracúvanie trvá počas existencie Konta alebo počas obdobia, v ktorom Sprostredkovateľ oprávnene uchováva údaje po skončení zmluvy podľa pokynov Prevádzkovateľa údajov, týchto Podmienok alebo právneho predpisu.

B.3 Operácie spracúvania môžu zahŕňať najmä získanie, zaznamenanie, usporiadanie, štruktúrovanie, uchovávanie, prispôsobenie, vyhľadávanie, nahliadanie, použitie, prepojenie, sprístupnenie oprávnenému používateľovi, export, obmedzenie, zálohovanie a vymazanie.

Článok C: Typy osobných údajov a kategórie dotknutých osôb

C.1 Podľa spôsobu používania Služby môžu spracúvané údaje zahŕňať najmä:

• identifikačné údaje – meno, priezvisko a pracovné alebo organizačné zaradenie;
• údaje o pracovnej alebo inej ceste – dátum a čas, krajina, miesto nástupu a skončenia, miesto rokovania, trasa, účel cesty a súvisiace poznámky;
• údaje o pohybe a jazdách – dátumy jázd, vodič, trasa, vzdialenosť, stav tachometra a súvisiace údaje;
• údaje o vozidle – evidenčné číslo, VIN, typ vozidla, palivo, spotreba a ďalšie technické údaje, ak sú spojené s identifikovanou alebo identifikovateľnou osobou;
• údaje o cestovných náhradách a výdavkoch – stravné, cestovné, ubytovanie, vedľajšie výdavky, PHM, preddavky, platby kartou, suma na úhradu a súvisiace vyúčtovacie údaje;
• údaje o schvaľovaní a vyhláseniach – meno oprávnenej osoby, dátum schválenia, dátum vyhlásenia a údaje uvedené v cestovnom príkaze;
• osobné údaje obsiahnuté v správach, prílohách, šablónach, cestovných príkazoch, knihe jázd alebo inom obsahu, ktorý Prevádzkovateľ údajov vloží do Služby alebo ktorý Služba na jeho pokyn vytvorí.

C.2 Kategórie dotknutých osôb môžu zahŕňať najmä zamestnancov, dohodárov, konateľov, členov orgánov, spoločníkov, SZČO, vodičov, cestujúcich, pracovníkov alebo klientov účtovníka a ďalšie osoby uvedené v Obsahu používateľa.

C.3 Služba nie je štandardne určená na spracúvanie osobitných kategórií osobných údajov podľa čl. 9 GDPR ani údajov podľa čl. 10 GDPR. Ak Prevádzkovateľ údajov také údaje vloží, zodpovedá za existenciu právneho základu, nevyhnutnosť a primerané ochranné opatrenia a Sprostredkovateľ ich spracúva iba v rozsahu zákonného zdokumentovaného pokynu.

Článok D: Pokyny a povinnosti Sprostredkovateľa

D.1 Sprostredkovateľ spracúva osobné údaje iba na základe zdokumentovaných pokynov Prevádzkovateľa údajov, vrátane pokynov týkajúcich sa prenosov osobných údajov do tretej krajiny alebo medzinárodnej organizácii, okrem prípadu, keď spracúvanie vyžaduje právo Únie alebo Slovenskej republiky. V takom prípade Sprostredkovateľ pred spracúvaním informuje Prevádzkovateľa údajov, ak zákon takú informáciu nezakazuje.

D.2 Za zdokumentované pokyny sa považujú najmä tieto VOP, nastavenia a úkony vykonané Prevádzkovateľom údajov v Službe, objednávka Plánu a písomné pokyny zaslané oprávneným kontaktným kanálom.

D.3 Ak Sprostredkovateľ usúdi, že pokyn porušuje GDPR alebo iný predpis Únie alebo členského štátu o ochrane osobných údajov, bezodkladne o tom Prevádzkovateľa údajov informuje a môže vykonanie pokynu pozastaviť do jeho objasnenia.

D.4 Sprostredkovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli viazané mlčanlivosťou alebo primeranou zákonnou povinnosťou mlčanlivosti a pristupovali k údajom iba v rozsahu potrebnom na plnenie ich úloh.

Článok E: Bezpečnosť spracúvania

E.1 Sprostredkovateľ prijme primerané technické a organizačné opatrenia podľa čl. 32 GDPR s prihliadnutím na stav techniky, náklady, povahu, rozsah, kontext a účely spracúvania a riziká pre práva a slobody fyzických osôb.

E.2 Minimálny rámec opatrení zahŕňa podľa reálneho technického riešenia najmä riadenie prístupov a oprávnení, oddelenie zákazníckych účtov a dát, bezpečné uloženie prihlasovacích údajov, šifrovaný prenos dát, pravidelné aktualizácie a patch management, zálohovanie a obnovu, logovanie relevantných bezpečnostných udalostí, riadenie incidentov, obmedzenie prístupu podľa princípu need-to-know a primerané riadenie dodávateľov.

E.3 Sprostredkovateľ pravidelne primerane vyhodnocuje účinnosť bezpečnostných opatrení a upravuje ich podľa rizík a vývoja technológií. Konkrétne interné technické parametre, ktorých zverejnenie by znižovalo bezpečnosť Služby, nemusia byť verejnou súčasťou týchto Podmienok; Sprostredkovateľ poskytne Prevádzkovateľovi údajov informácie potrebné na preukázanie súladu podľa článku I týchto Podmienok.

Článok F: Ďalší sprostredkovatelia

F.1 Prevádzkovateľ údajov udeľuje Sprostredkovateľovi všeobecné písomné oprávnenie zapájať ďalších sprostredkovateľov potrebných na prevádzku Služby, najmä poskytovateľov hostingu, cloudovej infraštruktúry, e-mailových, bezpečnostných, fakturačných a podporných služieb.

F.2 Aktuálny zoznam ďalších sprostredkovateľov, ich úloha a miesto spracúvania je dostupný na https://www.sluzobnacesta.sk/subdodavatelia. Sprostredkovateľ informuje Prevádzkovateľa údajov o plánovanej významnej zmene zoznamu spôsobom umožňujúcim vzniesť odôvodnenú námietku z dôvodov ochrany osobných údajov.

F.3 Sprostredkovateľ uloží ďalšiemu sprostredkovateľovi zmluvou povinnosti ochrany osobných údajov, ktoré poskytujú aspoň rovnocennú úroveň ochrany s povinnosťami uplatniteľnými na Sprostredkovateľa podľa týchto Podmienok. Za plnenie povinností ďalšieho sprostredkovateľa zodpovedá Sprostredkovateľ voči Prevádzkovateľovi údajov podľa GDPR.

Článok G: Medzinárodné prenosy

G.1 Ak spracúvanie zahŕňa prenos osobných údajov mimo Európskeho hospodárskeho priestoru, Sprostredkovateľ zabezpečí, aby bol prenos založený na platnom mechanizme podľa kapitoly V GDPR, najmä rozhodnutí o primeranosti alebo štandardných zmluvných doložkách, a podľa potreby prijme doplnkové opatrenia.

Článok H: Súčinnosť, práva dotknutých osôb a incidenty

H.1 Sprostredkovateľ s prihliadnutím na povahu spracúvania primeranými technickými a organizačnými opatreniami pomáha Prevádzkovateľovi údajov pri vybavovaní žiadostí dotknutých osôb podľa kapitoly III GDPR. Ak Sprostredkovateľ dostane žiadosť priamo a nemá právny dôvod vybaviť ju vo vlastnom mene, bez zbytočného odkladu ju postúpi Prevádzkovateľovi údajov alebo dotknutú osobu primerane nasmeruje.

H.2 Sprostredkovateľ pomáha Prevádzkovateľovi údajov pri plnení povinností podľa čl. 32 až 36 GDPR v rozsahu zodpovedajúcom povahe spracúvania a informáciám, ktoré má k dispozícii, najmä pri bezpečnosti, oznamovaní porušenia ochrany osobných údajov, posúdení vplyvu a konzultácii s dozorným orgánom.

H.3 Sprostredkovateľ oznámi Prevádzkovateľovi údajov porušenie ochrany osobných údajov bez zbytočného odkladu, po tom, ako sa o ňom dozvie, a poskytne dostupné informácie potrebné na splnenie oznamovacích povinností podľa GDPR. Informácie môže dopĺňať postupne, ak ich nie je možné poskytnúť naraz.

Článok I: Preukazovanie súladu a audity

I.1 Sprostredkovateľ poskytne Prevádzkovateľovi údajov informácie primerane potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audit alebo kontrolu v zákonom požadovanom rozsahu. Strany sa prednostne dohodnú na primeranom spôsobe overenia, ktorý zohľadní bezpečnosť, dôvernosť, kontinuitu Služby a práva ostatných zákazníkov.

I.2 Ak požiadavka na audit presahuje zákonnú povinnosť alebo bežné podklady, strany sa môžu pri Podnikateľovi dohodnúť na náhrade primeraných preukázateľných nákladov, pokiaľ audit nepreukáže podstatné porušenie povinností Sprostredkovateľa.

Článok J: Ukončenie spracúvania a výmaz

J.1 Po skončení poskytovania služieb zahŕňajúcich spracúvanie v mene Prevádzkovateľa údajov Sprostredkovateľ podľa voľby a technicky dostupného pokynu Prevádzkovateľa údajov osobné údaje vráti alebo vymaže a vymaže existujúce kópie, pokiaľ právo Únie alebo Slovenskej republiky nevyžaduje ich uchovanie.

J.2 Prechod Predplatného na plán Štart nie je automaticky pokynom na výmaz. Údaje zostávajú zachované podľa článku XV VOP, pokiaľ Prevádzkovateľ údajov Konto nezruší, nepožiada o výmaz alebo sa neuplatní iný zákonný dôvod. Funkcie plateného Plánu môžu zostať zablokované až do jeho opätovnej aktivácie.

J.3 Ak sú osobné údaje dočasne obsiahnuté v zálohách, môžu byť vymazané v rámci bežného cyklu bezpečného prepisu záloh, pričom počas tejto doby nesmú byť aktívne používané na iný účel než obnovu, bezpečnosť alebo splnenie zákonnej povinnosti.