Zmluva o spracúvaní osobných údajov (DPA)

1. Zmluvné strany

Táto zmluva sa uzatvára podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (GDPR) a má prednosť pred obchodnými podmienkami v otázkach spracúvania osobných údajov.

2. Predmet, povaha a účel spracúvania

Sprostredkovateľ poskytuje prevádzkovateľovi hostingovú službu: fotogalériu k udalosti, do ktorej hostia nahrávajú fotografie, videá a hlasové odkazy, a súvisiace funkcie (slideshow, kniha odkazov, digitálna pozvánka s RSVP, rozposielanie osobných odkazov hosťom, štatistiky, voliteľné hľadanie podľa tváre, upozornenia). Spracúvanie spočíva v ukladaní, zobrazovaní, vytváraní náhľadov, prekódovaní, zálohovaní, sprístupňovaní podľa nastavení prevádzkovateľa a vymazávaní.

Účel spracúvania určuje prevádzkovateľ: dokumentácia a zdieľanie fotografií z udalosti medzi jej účastníkmi, organizácia udalosti (pozvánky, RSVP) a ďalšie účely, ktoré prevádzkovateľ oznámi hosťom (napríklad interná alebo marketingová komunikácia — na to slúži funkcia súhlasu pred nahrávaním).

3. Kategórie dotknutých osôb a osobných údajov

Prevádzkovateľ neukladá do galérie údaje, na ktorých spracúvanie nemá právny základ, a nezapína hľadanie podľa tváre bez toho, aby hostí informoval a zabezpečil ich súhlas, ak je potrebný.

4. Trvanie spracúvania

Po dobu trvania galérie podľa zvoleného plánu (obdobie uchovávania 12 alebo 24 mesiacov od udalosti, prípadne predĺžené kúpou plánu) alebo do jej zmazania prevádzkovateľom, podľa toho, čo nastane skôr. Po skončení sprostredkovateľ údaje vymaže podľa článku 9.

5. Pokyny prevádzkovateľa

Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa. Pokynmi sú: táto zmluva, obchodné podmienky, nastavenia galérie (heslo, schvaľovanie, viditeľnosť, sťahovanie, zber kontaktov, súhlas pred nahrávaním, hľadanie podľa tváre, spoluorganizátori), zvolený plán a úkony vykonané cez správcovský odkaz (zmazanie, stiahnutie, export), ako aj písomné pokyny zaslané e-mailom.

Ak sprostredkovateľ považuje pokyn za rozporný s GDPR alebo iným právnym predpisom, bezodkladne na to prevádzkovateľa upozorní. Sprostredkovateľ neprenáša údaje do tretej krajiny, iba ak mu to prikáže právo Únie alebo členského štátu; v takom prípade prevádzkovateľa vopred informuje, ak to právo nezakazuje.

6. Povinnosti sprostredkovateľa

• zabezpečí, že osoby oprávnené spracúvať osobné údaje sú zaviazané mlčanlivosťou; prístup k obsahu galérií má len na účely technickej správy a podpory na žiadosť prevádzkovateľa a takéto prístupy vie preukázať
• prijme technické a organizačné opatrenia podľa článku 8 a čl. 32 GDPR
• dodrží podmienky zapojenia ďalšieho sprostredkovateľa podľa článku 7
• pomôže prevádzkovateľovi vhodnými opatreniami reagovať na žiadosti dotknutých osôb (prístup, výmaz, prenosnosť atď.): žiadosť doručenú sprostredkovateľovi odovzdá prevádzkovateľovi do 3 pracovných dní a na jeho pokyn vykoná výmaz alebo export
• pomôže prevádzkovateľovi pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu) s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii
• porušenie ochrany osobných údajov oznámi prevádzkovateľovi bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, s opisom povahy porušenia, pravdepodobných následkov a prijatých opatrení
• po skončení poskytovania služby údaje vymaže podľa článku 9
• poskytne prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audit podľa článku 10
• vedie záznamy o kategóriách spracovateľských činností podľa čl. 30 ods. 2 GDPR

7. Ďalší sprostredkovatelia (subdodávatelia)

Prevádzkovateľ udeľuje všeobecné povolenie na zapojenie týchto ďalších sprostredkovateľov:

O zamýšľanej zmene (pridaní alebo nahradení) ďalšieho sprostredkovateľa informuje sprostredkovateľ prevádzkovateľa e-mailom aspoň 14 dní vopred. Prevádzkovateľ môže v tejto lehote namietať; ak sa strany nedohodnú, môže prevádzkovateľ zmluvu vypovedať a galériu zmazať, pričom za nevyužitú časť plateného plánu dostane pomernú náhradu. Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi zmluvou rovnaké povinnosti ochrany údajov, aké má sám, a zodpovedá za plnenie jeho povinností.

Všetci ďalší sprostredkovatelia spracúvajú údaje v Európskej únii; Stripe a poskytovatelia push služieb môžu časť údajov spracúvať v USA na základe rozhodnutia Komisie o primeranosti (EU-US Data Privacy Framework) alebo štandardných zmluvných doložiek.

8. Bezpečnostné opatrenia

• šifrovanie prenosu (TLS 1.2+) pre všetky adresy služby a odosielané e-maily (TLS, DKIM, SPF, DMARC)
• oddelené úložisko každej galérie, prístup k obsahu len cez dlhé náhodné tokeny; správcovské odkazy s možnosťou obnovenia; heslá galérií a účtov uložené ako hash
• obsah galérií nie je indexovaný vyhľadávačmi (noindex) a adresy sa nedajú odvodiť
• servery v EÚ (Nemecko, Slovensko), prístup výlučne cez SSH kľúče, aktualizované systémy, firewall, oddelené kontajnery
• kľúče k externým službám šifrované v databáze; tajomstvá mimo verejného adresára
• denná záloha mimo hlavného servera, šifrovaná AES-256, uchovávaná 14 dní; kľúč k zálohe nie je u poskytovateľa úložiska
• monitorovanie dostupnosti a chýb z nezávislého bodu; záznam chýb bez obsahu fotografií
• IP adresy v štatistikách a limitoch pseudonymizované HMAC-hashom s tajným kľúčom
• pri zmazaní fotografie okamžité odstránenie originálu, náhľadov aj vektorov tvárí; zálohy dobehnú do 14 dní
• oprávnené osoby sprostredkovateľa: konateľ a ním poverení správcovia viazaní mlčanlivosťou

9. Vymazanie a vrátenie údajov

Počas trvania zmluvy si prevádzkovateľ môže celý obsah galérie stiahnuť v pôvodnej kvalite (archív ZIP) a exportovať zozbierané kontakty (CSV) v správe galérie; zoznam odpovedí RSVP je v správe galérie a na požiadanie ho pošleme v strojovo čitateľnom formáte.

Po skončení obdobia uchovávania alebo po zmazaní galérie sprostredkovateľ vymaže všetky osobné údaje z hlavného úložiska okamžite a zo záloh do 14 dní, pokiaľ právo Únie alebo členského štátu nevyžaduje ich uchovanie (napr. účtovné doklady prevádzkovateľa ako zákazníka). Sprostredkovateľ upozorní prevádzkovateľa e-mailom 30 a 7 dní pred koncom uchovávania.

10. Audit a preukazovanie súladu

Sprostredkovateľ na požiadanie poskytne prevádzkovateľovi opis bezpečnostných opatrení, zoznam ďalších sprostredkovateľov, záznamy o prístupoch k jeho galérii a ďalšie informácie potrebné na preukázanie súladu. Audit na mieste alebo prostredníctvom nezávislého audítora viazaného mlčanlivosťou je možný najviac raz ročne, po písomnom oznámení aspoň 30 dní vopred, v pracovnom čase a tak, aby nenarušil prevádzku služby ani bezpečnosť údajov iných prevádzkovateľov; náklady auditu znáša prevádzkovateľ, ak audit nezistí podstatné porušenie.

11. Zodpovednosť a záverečné ustanovenia

Každá strana zodpovedá za škodu podľa čl. 82 GDPR. Zodpovednosť sprostredkovateľa voči prevádzkovateľovi za škodu z porušenia tejto zmluvy je obmedzená sumou rovnajúcou sa cene zaplatenej za dotknutú galériu, najmenej však 500 €; obmedzenie neplatí pri úmysle alebo hrubej nedbanlivosti.

Zmluva nadobúda účinnosť vytvorením galérie prevádzkovateľom a trvá do vymazania údajov podľa článku 9. Spravuje sa právom Slovenskej republiky. Zmeny zmluvy oznámi sprostredkovateľ e-mailom aspoň 14 dní vopred; ak prevádzkovateľ nesúhlasí, môže zmluvu vypovedať ako pri zmene ďalšieho sprostredkovateľa. Listinné vyhotovenie s podpismi a pečiatkami pošleme na požiadanie na info@eventpixel.eu. Účinné od 2026-09-13.