Zmluva o spracúvaní osobných údajov

1. Zmluvné strany

1. Prevádzkovateľ: zákazník, ktorý v službe založil firmu (ďalej „prevádzkovateľ“).
2. Sprostredkovateľ: ALPINE-MD s. r. o., so sídlom Podjavorinskej 3333/24, 038 61 Vrútky, IČO 57308411, DIČ 2122655579, zapísaná v Obchodnom registri Okresného súdu Žilina, oddiel Sro, vložka č. 89251/L (ďalej „sprostredkovateľ“).

2. Predmet a doba spracúvania

1. Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa výlučne na poskytovanie služby: vystavovanie, odosielanie, prijímanie, evidencia a export účtovných dokladov a súvisiacich údajov.
2. Kategórie dotknutých osôb: odberatelia a dodávatelia prevádzkovateľa (fyzické osoby – podnikatelia a kontaktné osoby právnických osôb) a používatelia, ktorým prevádzkovateľ dal prístup.
3. Kategórie osobných údajov: identifikačné a kontaktné údaje (meno, obchodné meno, adresa, IČO, DIČ, IČ DPH, e-mail), údaje na dokladoch (položky, sumy, dátumy), platobné údaje (IBAN, úhrady).
4. Spracúvanie trvá počas trvania zmluvy o poskytovaní služby. Osobitné kategórie osobných údajov sa nespracúvajú.

3. Povinnosti sprostredkovateľa

1. Spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa; pokynmi sú aj nastavenia a úkony prevádzkovateľa v službe.
2. Zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti.
3. Prijme primerané technické a organizačné opatrenia podľa článku 4 tejto zmluvy.
4. Poskytne prevádzkovateľovi súčinnosť pri vybavovaní žiadostí dotknutých osôb, pri posúdení vplyvu a pri plnení povinností podľa čl. 32 až 36 GDPR.
5. Porušenie ochrany osobných údajov oznámi prevádzkovateľovi bez zbytočného odkladu, najneskôr do 48 hodín od zistenia.
6. Po skončení zmluvy umožní prevádzkovateľovi export údajov počas 30 dní a potom osobné údaje vymaže, ak právny predpis nevyžaduje ich ďalšie uchovanie.
7. Poskytne informácie potrebné na preukázanie plnenia povinností a umožní audit po predchádzajúcej dohode o termíne a rozsahu.

4. Technické a organizačné opatrenia

1. Šifrovaný prenos údajov (HTTPS) a uloženie databázy v EÚ (Frankfurt, Nemecko).
2. Oddelenie údajov jednotlivých firiem; prístup len prihláseným používateľom s rolou pridelenou prevádzkovateľom.
3. Heslá uložené len ako odtlačok, možnosť dvojfaktorového prihlásenia, prístupové kľúče k digitálnemu poštárovi šifrované (AES-256-GCM).
4. Pravidelné zálohovanie databázy a obmedzený prístup osôb sprostredkovateľa k údajom v rozsahu nevyhnutnom na prevádzku a podporu.

5. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje všeobecný súhlas so zapojením týchto ďalších sprostredkovateľov:

• Vercel Inc. – prevádzka aplikácie (hosting) a denné zálohy databázy; aplikácia aj zálohy sú v EÚ (Frankfurt, Nemecko), spoločnosť sídli v USA.
• Neon (databázová služba) – uloženie údajov v databáze; EÚ (Frankfurt, Nemecko).
• Anthropic PBC – AI funkcie (asistent, načítanie faktúr z PDF) – len keď ich používateľ použije; USA.
• Digitálny poštár zvolený zákazníkom (napr. Peppoš) – odosielanie a prijímanie e-faktúr v sieti Peppol podľa zmluvy zákazníka s poštárom; podľa poštára.

O zámere pridať alebo vymeniť ďalšieho sprostredkovateľa informuje sprostredkovateľ prevádzkovateľa najmenej 30 dní vopred; prevádzkovateľ môže proti zmene namietať a zmluvu vypovedať. Sprostredkovateľ zaväzuje ďalších sprostredkovateľov rovnakými povinnosťami ochrany údajov. Prenos do tretích krajín sa uskutočňuje len so zárukami podľa kapitoly V GDPR.

6. Povinnosti prevádzkovateľa

1. Prevádzkovateľ zodpovedá za zákonnosť spracúvania osobných údajov, ktoré do služby vkladá, a za informovanie dotknutých osôb.
2. Prevádzkovateľ určuje, komu poskytne prístup do svojej firmy, a odosiela doklady cez digitálneho poštára, ktorého si sám zvolil a s ktorým má vlastnú zmluvu.