Zmluva o spracúvaní osobných údajov (DPA)

Táto zmluva o spracúvaní osobných údajov (ďalej len „DPA“) tvorí súčasť zmluvného vzťahu o poskytovaní Služby eFakturuj medzi spoločnosťou Efakturuj, s. r. o. (ďalej len „Poskytovateľ“) a Klientom podľa Všeobecných obchodných podmienok poskytovania Služby eFakturuj (ďalej len „VOP“). Na účely tejto DPA sa Klientom rozumie podľa okolností Koncový používateľ alebo Sprostredkovateľ doručovacej služby podľa VOP. DPA upravuje spracúvanie osobných údajov, ktoré Poskytovateľ vykonáva ako sprostredkovateľ alebo ďalší sprostredkovateľ podľa GDPR. DPA sa prijíma spolu s VOP pri uzavretí zmluvného vzťahu; pri rozpore v otázkach spracúvania osobných údajov má prednosť táto DPA.

Poskytovateľ – sprostredkovateľ alebo ďalší sprostredkovateľ podľa GDPR

Obchodné meno	Efakturuj, s. r. o.
Sídlo	Fedinova 1083/16, 851 01 Bratislava – Petržalka, Slovenská republika
IČO / DIČ	57546495 / 2122813913
Kontakt pre ochranu údajov	info@efakturuj.sk, tel. 0944 380 282

Článok 1
Rozsah DPA a určenie postavenia strán

1.1 Táto DPA rozlišuje dve situácie podľa postavenia strán a skutočného spôsobu spracúvania osobných údajov:

• (i) spracúvanie, pri ktorom Koncový používateľ vystupuje ako prevádzkovateľ a Poskytovateľ ako sprostredkovateľ podľa GDPR, a
• (ii) spracúvanie, pri ktorom Koncový používateľ vystupuje ako prevádzkovateľ, Sprostredkovateľ doručovacej služby ako sprostredkovateľ a Poskytovateľ ako ďalší sprostredkovateľ podľa GDPR.

1.2 Ak Účtovný partner alebo Integračný partner podľa VOP pristupuje k účtu, dokumentom alebo funkcionalitám Koncového používateľa na základe jeho oprávnenia, samotný takýto prístup nemení postavenie Koncového používateľa ako prevádzkovateľa ani Poskytovateľa ako jeho sprostredkovateľa podľa tejto DPA. Spracúvanie osobných údajov vykonávané takýmto Partnerom na základe jeho vlastného právneho vzťahu s Koncovým používateľom sa riadi týmto samostatným právnym vzťahom.

1.3 V rozsahu, v akom Poskytovateľ spracúva osobné údaje na vlastné účely alebo na splnenie vlastnej zákonnej povinnosti, vystupuje ako samostatný prevádzkovateľ a táto DPA sa na takéto spracúvanie nevzťahuje.

ČASŤ I
Poskytovateľ – Koncový používateľ

Článok 2
Spracúvanie osobných údajov Koncového používateľa

2.1 Časť I DPA sa použije, ak Koncový používateľ využíva Službu na základe zmluvného vzťahu priamo s Poskytovateľom. Uplatní sa aj vtedy, ak má Koncový používateľ oprávneného Účtovného partnera alebo Integračného partnera, ktorý spravuje jeho účet, dokumenty alebo funkcionality Služby v rozsahu udeleného oprávnenia.

Postavenie a náležitosti spracúvania podľa GDPR	Vymedzenie pre Službu eFakturuj
Rozsah uplatnenia tejto časti	Časť I sa použije v prípade: Koncový používateľ využíva Službu na základe zmluvného vzťahu priamo s Poskytovateľom Koncový používateľ má oprávneného Účtovného partnera alebo Integračného partnera, ktorý spravuje jeho účet, dokumenty alebo funkcionality Služby v rozsahu udeleného oprávnenia.
Prevádzkovateľ podľa čl. 4 bod 7 GDPR	Koncový používateľ
Sprostredkovateľ podľa čl. 4 bod 8 GDPR	Efakturuj, s. r. o. ako Poskytovateľ
Ďalší sprostredkovatelia podľa čl. 28 GDPR	Schválení ďalší sprostredkovatelia zapojení Poskytovateľom, uvedení na konci tejto DPA.
Predmet spracúvania	Osobné údaje obsiahnuté v e-faktúrach, metadátach, stavových správach, účtovných dátach a súvisiacich dokumentoch
Povaha spracúvania	Prijímanie a zaznamenávanie údajov, ich usporadúvanie a štruktúrovanie, uchovávanie, vyhľadávanie a používanie, technická konverzia a validácia, prenos a doručovanie prostredníctvom siete Peppol, hlásenie údajov Finančnej správe, vytváranie stavových a auditných záznamov a následný výmaz alebo vrátenie podľa tejto DPA
Účel spracúvania	Doručovanie e-faktúr cez sieť Peppol, konverzia a validácia, hlásenie údajov Finančnej správe a auditná archivácia
Typy osobných údajov	Identifikačné, kontaktné a fakturačné údaje a údaje uvedené na faktúrach a dokladoch. Spracúvanie osobitných kategórií osobných údajov podľa čl. 9 GDPR sa nepredpokladá. Ak sa takéto údaje výnimočne nachádzajú v dokumente poskytnutom Koncovým používateľom, Poskytovateľ ich spracúva len v rozsahu nevyhnutnom na poskytovanie Služby podľa VOP, tejto DPA a zdokumentovaných pokynov Koncového používateľa. Koncový používateľ ako prevádzkovateľ zodpovedá za existenciu príslušného právneho základu na spracúvanie osobných údajov a, ak ide o osobitné kategórie osobných údajov, za splnenie príslušnej podmienky podľa čl. 9 GDPR
Kategórie dotknutých osôb	Koncový používateľ a jeho kontaktné osoby, jeho odberatelia a dodávatelia a osoby uvedené na faktúrach
Doba spracúvania	Počas trvania zmluvného vzťahu a dohodnutej archivácie; následne podľa Článku 9 tejto DPA
Práva a povinnosti prevádzkovateľa	Koncový používateľ určuje účely a prostriedky spracúvania, zabezpečuje zákonnosť spracúvania a oprávnenosť sprístupnenia osobných údajov Poskytovateľovi a udeľuje Poskytovateľovi zdokumentované pokyny. Je oprávnený požadovať súčinnosť, informácie na preukázanie súladu a vykonanie auditu v rozsahu a za podmienok tejto DPA

Tabuľka 1 – Postavenie strán a parametre spracúvania pri priamom vzťahu Poskytovateľa a Koncového používateľa

2.2 Koncový používateľ je prevádzkovateľom podľa čl. 4 bod 7 GDPR, ktorý určuje účely a prostriedky spracúvania osobných údajov. Poskytovateľ je sprostredkovateľom podľa čl. 4 bod 8 GDPR, ktorý spracúva osobné údaje v mene Koncového používateľa na základe jeho zdokumentovaných pokynov.

2.3 Poskytovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Koncového používateľa. Za pokyn sa považuje aj používanie Služby v rozsahu VOP a tejto DPA. Ak by bol pokyn v rozpore s GDPR, Poskytovateľ na to Koncového používateľa upozorní a nie je povinný taký pokyn vykonať.

ČASŤ II
Poskytovateľ – Sprostredkovateľ doručovacej služby – Koncový používateľ

Článok 3
Spracúvanie osobných údajov prostredníctvom Sprostredkovateľa

3.1 Časť II DPA sa použije, ak Klient vystupuje ako Sprostredkovateľ doručovacej služby podľa VOP a zároveň spracúva osobné údaje v mene svojho Koncového používateľa, pričom Poskytovateľ tieto osobné údaje spracúva pre Sprostredkovateľa ako ďalší sprostredkovateľ podľa čl. 28 ods. 4 GDPR.

Postavenie a náležitosti spracúvania podľa GDPR	Vymedzenie pre Službu eFakturuj
Rozsah uplatnenia tejto časti	Časť I sa použije v prípade: Klient vystupuje ako Sprostredkovateľ doručovacej služby podľa VOP a zároveň spracúva osobné údaje v mene svojho Koncového používateľa, pričom Poskytovateľ tieto osobné údaje spracúva pre Sprostredkovateľa ako ďalší sprostredkovateľ podľa čl. 28 ods. 4 GDPR.
Prevádzkovateľ podľa čl. 4 bod 7 GDPR	Koncový používateľ Sprostredkovateľa
Sprostredkovateľ podľa čl. 4 bod 8 GDPR	Sprostredkovateľ doručovacej služby, ktorý spracúva osobné údaje v mene svojho Koncového používateľa
Ďalší sprostredkovateľ podľa čl. 28 ods. 4 GDPR	Efakturuj, s. r. o. ako Poskytovateľ
Ďalší sprostredkovatelia zapojení Poskytovateľom	Subjekty uvedené na konci tejto DPA
Predmet spracúvania	Osobné údaje obsiahnuté v e-faktúrach, metadátach, stavových správach, účtovných dátach a súvisiacich dokumentoch
Povaha spracúvania	Prijímanie a zaznamenávanie údajov, ich usporadúvanie a štruktúrovanie, uchovávanie, vyhľadávanie a používanie, technická konverzia a validácia, prenos a doručovanie prostredníctvom siete Peppol, hlásenie údajov Finančnej správe, vytváranie stavových a auditných záznamov a následný výmaz alebo vrátenie podľa tejto DPA
Účel spracúvania	Doručovanie e-faktúr cez sieť Peppol, konverzia a validácia, hlásenie údajov Finančnej správe a auditná archivácia
Typy osobných údajov	Identifikačné, kontaktné a fakturačné údaje a údaje uvedené na faktúrach a dokladoch. Spracúvanie osobitných kategórií osobných údajov podľa čl. 9 GDPR sa nepredpokladá. Ak sa takéto údaje výnimočne nachádzajú v dokumente poskytnutom Koncovým používateľom alebo Sprostredkovateľom, Poskytovateľ ich spracúva len v rozsahu nevyhnutnom na poskytovanie Služby podľa VOP, tejto DPA a zdokumentovaných pokynov Sprostredkovateľa vychádzajúcich z pokynov Koncového používateľa. Sprostredkovateľ zodpovedá za to, že sprístupnenie a spracúvanie takýchto údajov Poskytovateľom je pokryté oprávnenými pokynmi Koncového používateľa ako prevádzkovateľa a že Koncový používateľ má príslušný právny základ na spracúvanie osobných údajov a, ak ide o osobitné kategórie osobných údajov, spĺňa príslušnú podmienku podľa čl. 9 GDPR
Kategórie dotknutých osôb	Koncový používateľ Sprostredkovateľa a jeho kontaktné osoby, jeho odberatelia a dodávatelia a osoby uvedené na faktúrach
Doba spracúvania	Počas trvania príslušného zmluvného vzťahu a dohodnutej archivácie; následne podľa Článku 9 tejto DPA
Práva a povinnosti prevádzkovateľa	Koncový používateľ ako prevádzkovateľ určuje účely a prostriedky spracúvania. Sprostredkovateľ zabezpečuje, že je oprávnený spracúvať osobné údaje v mene Koncového používateľa a zapojiť Poskytovateľa ako ďalšieho sprostredkovateľa; voči Poskytovateľovi udeľuje zdokumentované pokyny a uplatňuje práva prevádzkovateľa v rozsahu svojho poverenia

Tabuľka 2 – Postavenie strán a parametre spracúvania pri zapojení Sprostredkovateľa doručovacej služby

3.2 Koncový používateľ Sprostredkovateľa je prevádzkovateľom podľa čl. 4 bod 7 GDPR. Sprostredkovateľ je sprostredkovateľom podľa čl. 4 bod 8 GDPR, ktorý spracúva osobné údaje v mene svojho Koncového používateľa. Poskytovateľ je ďalším sprostredkovateľom podľa čl. 28 ods. 4 GDPR, ktorý spracúva osobné údaje pre Sprostredkovateľa na základe jeho zdokumentovaných pokynov vychádzajúcich z pokynov Koncového používateľa.

3.3 Poskytovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Sprostredkovateľa, ktoré vychádzajú z pokynov Koncového používateľa. Za pokyn sa považuje aj používanie Služby v rozsahu VOP a tejto DPA. Ak by bol pokyn v rozpore s GDPR, Poskytovateľ na to Sprostredkovateľa upozorní a nie je povinný taký pokyn vykonať.

3.4 Postavenie subjektu ako Sprostredkovateľa doručovacej služby podľa VOP a jeho postavenie ako sprostredkovateľa podľa GDPR sú samostatné právne postavenia. Táto časť sa uplatní iba v rozsahu, v akom Sprostredkovateľ skutočne spracúva osobné údaje v mene Koncového používateľa.

ČASŤ III
Spoločné ustanovenia

Článok 4
Účel a rozsah spracúvania

4.1 Poskytovateľ spracúva osobné údaje len na účel poskytovania Služby eFakturuj, najmä technického doručovania e-faktúr cez sieť Peppol, konverzie a validácie, hlásenia údajov Finančnej správe a archivácie, a v rozsahu podľa zmluvného vzťahu, VOP, tejto DPA, GDPR a zákona č. 18/2018 Z. z. o ochrane osobných údajov.

4.2 Ak právny predpis vyžaduje, aby Poskytovateľ spracúval osobné údaje aj bez pokynu Klienta, Poskytovateľ Klienta o tejto právnej požiadavke informuje pred spracúvaním, pokiaľ mu takéto informovanie nezakazuje právny predpis z dôležitých dôvodov verejného záujmu.

Článok 5
Ochrana údajov a súčinnosť Poskytovateľa

5.1 Osoby, ktoré u Poskytovateľa spracúvajú osobné údaje, sú viazané mlčanlivosťou.

5.2 Poskytovateľ prijíma so zreteľom na čl. 32 GDPR primerané technické a organizačné opatrenia na zaistenie bezpečnosti primeranej riziku, najmä šifrovanie prenosu, riadenie prístupov a rolí, autentifikáciu, logovanie a monitoring, zálohovanie a riadenie ďalších sprostredkovateľov.

5.3 Poskytovateľ oznámi Klientovi porušenie ochrany osobných údajov bez zbytočného odkladu a vynaloží všetko primerané úsilie, aby oznámenie poskytol najneskôr do 24 hodín po tom, ako sa o porušení dozvie. Poskytovateľ zároveň poskytne Klientovi dostupné informácie potrebné na splnenie povinností podľa čl. 33 a 34 GDPR. Ak nie sú všetky relevantné informácie dostupné súčasne, Poskytovateľ ich poskytne postupne bez zbytočného odkladu po ich získaní.

5.4 Poskytovateľ poskytne Klientovi primeranú súčinnosť pri vybavovaní žiadostí dotknutých osôb (napr. prístup, oprava, výmaz podľa čl. 15 až 22 GDPR) a pri plnení povinností podľa čl. 32 až 36 GDPR, v rozsahu spracúvania, ktoré vykonáva.

5.5 Poskytovateľ na požiadanie sprístupní Klientovi informácie potrebné na preukázanie súladu podľa čl. 28 GDPR. Táto povinnosť sa plní prednostne poskytnutím dokumentácie (prehľad opatrení, prípadné certifikáty a správy). Fyzická inšpekcia prichádza do úvahy len vtedy, ak dokumentácia nepostačuje; vykonáva sa po predchádzajúcom oznámení, najviac raz ročne, spôsobom, ktorý neohrozí prevádzku a údaje iných zákazníkov. Tým nie je dotknuté právo dozorného orgánu na audit v dôsledku incidentu.

Článok 6
Ďalší sprostredkovatelia

6.1 Klient udeľuje Poskytovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov na časť spracúvania, najmä na prevádzku platformy, cloudové úložisko a hosting v rámci EÚ/EHP. Poskytovateľ zabezpečuje prevádzku a úložisko prostredníctvom prepojenej osoby CROWDECHAIN, S.R.O. (Česká republika), ktorá na tento účel využíva IBM Cloud.

6.2 Poskytovateľ zaviaže každého ďalšieho sprostredkovateľa rovnakými povinnosťami ochrany údajov podľa čl. 28 ods. 4 GDPR a zodpovedá Klientovi za ich plnenie. O zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa Poskytovateľ informuje Klienta najmenej 30 dní vopred a umožní mu v tejto lehote vzniesť odôvodnenú námietku založenú na dôvodoch ochrany osobných údajov. Uvedená lehota sa neuplatní, ak je zmena nevyhnutná z naliehavých bezpečnostných, právnych alebo prevádzkových dôvodov; v takom prípade Poskytovateľ informuje Klienta bez zbytočného odkladu. Aktuálny zoznam je uvedený na konci tejto DPA.

Článok 7
Kde sa údaje spracúvajú

7.1 Osobné údaje sa spracúvajú a uchovávajú v rámci EÚ/EHP.

Článok 8
Zodpovednosť

8.1 Zodpovednosť za škodu spôsobenú porušením GDPR sa spravuje čl. 82 GDPR. Vo vzájomnom vzťahu strán platí rozdelenie a obmedzenie zodpovednosti podľa VOP, v rozsahu prípustnom podľa GDPR a iných kogentných právnych predpisov. Tým nie sú dotknuté práva dotknutých osôb ani právomoci dozorných orgánov.

Článok 9
Výmaz a vrátenie údajov

9.1 Po ukončení poskytovania Služby zostanú osobné údaje počas 90 dní dostupné Klientovi na stiahnutie alebo vrátenie. Poskytovateľ podľa rozhodnutia Klienta osobné údaje vráti a následne vymaže existujúce kópie, alebo ich po uplynutí tejto lehoty vymaže, ak právne predpisy nevyžadujú ich ďalšie uchovávanie. Ak Klient vystupuje ako Sprostredkovateľ podľa GDPR, jeho rozhodnutie vychádza z pokynov Koncového používateľa ako prevádzkovateľa. Údaje v záložných kópiách zostanú do ich riadneho prepisu alebo výmazu chránené podľa tejto DPA a nebudú ďalej aktívne spracúvané. Zákonnú povinnosť uchovávať účtovné a daňové doklady podľa zákona č. 431/2002 Z. z. a zákona č. 222/2004 Z. z. nesie prevádzkovateľ; auditný archív Poskytovateľa ju nenahrádza.

Článok 10
Trvanie a záverečné ustanovenia

10.1 Táto DPA nadobúda účinnosť okamihom uzavretia príslušného zmluvného vzťahu a jej preukázateľného prijatia Klientom, vrátane prijatia elektronickými prostriedkami. Samostatný podpis DPA sa nevyžaduje.

10.2 DPA sa riadi právom Slovenskej republiky a GDPR. Poskytovateľ je oprávnený túto DPA zmeniť alebo doplniť, najmä z dôvodu zmeny právnych predpisov, regulačných požiadaviek, technických alebo bezpečnostných podmienok poskytovania Služby alebo organizačných zmien pri spracúvaní osobných údajov. O zmene DPA, jej novom znení a dátume účinnosti informuje Klienta preukázateľným spôsobom najmenej 15 dní pred dňom jej účinnosti. Zmenou DPA nemožno bez súhlasu príslušného prevádzkovateľa rozšíriť účely spracúvania osobných údajov nad rámec poskytovania Služby alebo obmedziť práva prevádzkovateľa či povinnosti Poskytovateľa vyplývajúce z čl. 28 GDPR a ostatných záväzných právnych predpisov o ochrane osobných údajov. Tým nie je dotknutý osobitný postup pri pridaní alebo nahradení ďalšieho sprostredkovateľa podľa bodu 6.2 tejto DPA.

10.3 Ak sa niektoré ustanovenie ukáže ako neplatné alebo nevymáhateľné, nemá to vplyv na platnosť ostatných ustanovení; strany ho nahradia ustanovením s čo najbližším účelom.

10.4 DPA sa uzatvára v elektronickej forme, pokiaľ sa zmluvné strany nedohodli inak. Jej prijatie sa preukazuje najmä elektronickým potvrdením v rámci registrácie alebo používateľského účtu a uchovaním záznamu o prijatej verzii.

10.5 Klient prijatím DPA potvrdzuje, že sa s ňou oboznámil a súhlasí s jej obsahom. DPA trvá počas spracúvania osobných údajov podľa príslušného zmluvného vzťahu vrátane obdobia podľa Článku 9.

Schválení ďalší sprostredkovatelia Poskytovateľa

Ďalší sprostredkovateľ	Účel / činnosť	Sídlo	Lokalita spracúvania
CROWDECHAIN, S.R.O.	Prevádzka platformy a cloudové úložisko (prepojená osoba Poskytovateľa; zmluvná strana voči IBM)	Česká republika (EÚ); IČO 08952191	EÚ/EHP
IBM Česká republika, spol. s r. o.	Hosting infraštruktúry (IBM Cloud) pre CROWDECHAIN, S.R.O.	Praha, Česká republika; IČO 14890992	EÚ/EHP