Sprostredkovateľ: B2Bauer s. r. o., so sídlom Karpatské námestie 7770/10A, 831 06 Bratislava, IČO 57140162, DIČ 2122583067, prevádzkovateľ softvérovej služby InvoK (ďalej len „služba“), kontakt vo veciach ochrany údajov: invok@b2bauer.com (ďalej len „sprostredkovateľ“).
Prevádzkovateľ: klient — podnikateľ, ktorý sa do služby zaregistroval a pri registrácii uviedol svoje identifikačné údaje (obchodné meno, IČO, sídlo) (ďalej len „prevádzkovateľ“ alebo „klient“).
1. Prevádzkovateľ používa službu InvoK na správu vodičov a kuriérov, nábor uchádzačov, výpočet odmien a výplat, vystavovanie faktúr a bankových príkazov, evidenciu vozidiel, dokladov a zmien a na súvisiace funkcie. Pri používaní služby dochádza k spracúvaniu osobných údajov, ktorých prevádzkovateľom je klient.
2. Táto zmluva upravuje práva a povinnosti strán pri spracúvaní osobných údajov sprostredkovateľom v mene prevádzkovateľa podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR) a § 34 zákona č. 18/2018 Z. z. o ochrane osobných údajov.
3. Strany potvrdzujú, že prevádzkovateľom je klient, ktorý sám určuje účel a prostriedky spracúvania — najmä koho do služby zapíše, ktoré údaje a doklady od vodičov a uchádzačov vyžaduje, na akom právnom základe ich spracúva a ako dlho ich uchováva. Sprostredkovateľ tieto rozhodnutia neurčuje a nezodpovedá za ne.
4. Ak prevádzkovateľ použije registračný formulár služby (vrátane jeho vloženia na svoj web alebo zdieľania odkazu), vystupuje voči uchádzačom ako prevádzkovateľ a zodpovedá za splnenie informačnej povinnosti podľa čl. 13 GDPR, za právny základ spracúvania a pri osobitných kategóriách údajov (čl. 9 GDPR) za získanie výslovného súhlasu. Služba umožňuje zobraziť vo formulári identifikáciu prevádzkovateľa, odkaz na jeho zásady ochrany súkromia a samostatné súhlasy a ukladá dôkaz o ich udelení (znenie, čas, IP adresa, prehliadač).
5. Sprostredkovateľ nespracúva osobné údaje na vlastné účely, nevytvára z nich profily a neposkytuje ich tretím stranám nad rámec tejto zmluvy.
Predmet, doba, povaha a účel spracúvania, kategórie dotknutých osôb a druhy osobných údajov sú uvedené v Prílohe č. 1.
Sprostredkovateľ sa zaväzuje:
1. Prevádzkovateľ udeľuje sprostredkovateľovi všeobecný súhlas so zapojením ďalších sprostredkovateľov uvedených v Prílohe č. 3.
2. O zamýšľanom pridaní alebo výmene ďalšieho sprostredkovateľa informuje sprostredkovateľ prevádzkovateľa e-mailom alebo oznámením v službe najmenej 30 dní vopred. Prevádzkovateľ môže v tejto lehote vzniesť odôvodnenú námietku na invok@b2bauer.com; ak strany nenájdu riešenie, prevádzkovateľ môže zmluvu o poskytovaní služby ukončiť ku dňu účinnosti zmeny. Ak námietku nevznesie, zmena sa považuje za schválenú. Ukončenie spolupráce s ďalším sprostredkovateľom sa vopred neoznamuje.
3. Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi povinnosti ochrany údajov rovnocenné povinnostiam podľa tejto zmluvy a zodpovedá prevádzkovateľovi za ich plnenie.
4. Ďalšími sprostredkovateľmi sprostredkovateľa nie sú subjekty, ktoré si zvolí sám prevádzkovateľ — najmä prevádzkovateľ vlastného e-mailového servera klienta, cez ktorý služba odosiela e-maily a faktúry vodičom, platformy, z ktorých si klient načítava údaje na základe svojich prístupov, a marketingová agentúra, ktorej klient pridelí prístup. Za vzťah s nimi zodpovedá prevádzkovateľ.
1. Sprostredkovateľ prijal technické a organizačné opatrenia primerané riziku, ktoré sú uvedené v Prílohe č. 2.
2. Sprostredkovateľ pravidelne testuje, posudzuje a hodnotí účinnosť opatrení a môže ich meniť, ak tým neznižuje úroveň ochrany.
3. Prevádzkovateľ berie na vedomie, že bezpečnosť závisí aj od jeho konania — najmä od ochrany prihlasovacích údajov, používania dvojfaktorového overenia, prideľovania prístupov len oprávneným osobám, bezodkladného odobratia prístupu osobám, ktoré ho už nepotrebujú, a od rozhodnutia, komu zapne verejný výplatný odkaz.
1. Ak sa dotknutá osoba obráti so žiadosťou priamo na sprostredkovateľa, sprostredkovateľ ju bez zbytočného odkladu, najneskôr do 3 pracovných dní, postúpi prevádzkovateľovi a sám ju nevybaví.
2. Služba umožňuje prevádzkovateľovi vybaviť žiadosti sám — najmä export údajov vodiča, ich opravu, archiváciu a evidenciu súhlasov. Ak to funkcie služby neumožňujú, sprostredkovateľ poskytne súčinnosť v lehote, ktorá prevádzkovateľovi umožní dodržať lehotu podľa čl. 12 ods. 3 GDPR.
1. Sprostredkovateľ oznámi prevádzkovateľovi každé porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 24 hodín od okamihu, keď sa o ňom dozvedel, aby prevádzkovateľ mohol dodržať lehotu 72 hodín podľa čl. 33 GDPR.
2. Oznámenie obsahuje najmä opis povahy porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky a prijaté alebo navrhované opatrenia. Informácie, ktoré nie sú známe ihneď, sprostredkovateľ doplní postupne.
3. Sprostredkovateľ vedie evidenciu porušení a poskytne prevádzkovateľovi súčinnosť pri ohlasovaní dozornému orgánu a dotknutým osobám.
1. Po skončení zaplateného obdobia môže byť účet prevádzkovateľa prepnutý do režimu archívu, v ktorom si prevádzkovateľ môže údaje prezerať a sťahovať, ale nemôže ich meniť.
2. Po ukončení zmluvy o poskytovaní služby sprostredkovateľ podľa voľby prevádzkovateľa údaje vymaže alebo vráti (export), a to do 30 dní od doručenia pokynu. Prevádzkovateľ oznámi svoju voľbu najneskôr do 30 dní od ukončenia zmluvy.
3. Ak prevádzkovateľ voľbu neoznámi, sprostredkovateľ údaje vymaže po uplynutí 90 dní od ukončenia zmluvy.
4. Sprostredkovateľ môže uchovať údaje len v rozsahu a po dobu, ktorú mu ukladá osobitný predpis; takto uchované údaje nespracúva na iný účel.
5. Výmaz sa vzťahuje aj na zálohy: vymazané údaje v nich zaniknú uplynutím doby uchovania podľa Prílohy č. 2, najneskôr do 13 mesiacov. Do zániku sa zálohy používajú výlučne na obnovu po havárii.
1. Sprostredkovateľ poskytne prevádzkovateľovi na požiadanie informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR.
2. Prevádzkovateľ môže vykonať kontrolu najviac raz ročne, po písomnom oznámení najmenej 30 dní vopred, v pracovnom čase a spôsobom, ktorý neprimerane nezasiahne do prevádzky sprostredkovateľa ani do údajov iných klientov. Osoby vykonávajúce kontrolu sú viazané mlčanlivosťou.
3. Náklady kontroly znáša prevádzkovateľ, ak sa nezistí porušenie povinností sprostredkovateľa.
1. Hlavný server služby a jeho dáta sú umiestnené na Slovensku; záložné kópie mimo servera sú uložené v EÚ.
2. Niektorí ďalší sprostredkovatelia uvedení v Prílohe č. 3 majú sídlo alebo materskú spoločnosť v USA. Pri nich je prípadný prenos zabezpečený štandardnými zmluvnými doložkami schválenými Európskou komisiou alebo rámcom EU–US Data Privacy Framework.
1. Každá strana zodpovedá za škodu spôsobenú porušením svojich povinností podľa GDPR a tejto zmluvy.
2. Sprostredkovateľ nezodpovedá za zákonnosť pokynov prevádzkovateľa, za existenciu právneho základu spracúvania, za správnosť údajov vložených prevádzkovateľom ani za splnenie informačnej povinnosti voči dotknutým osobám.
3. Obmedzenie výšky zodpovednosti podľa zmluvy o poskytovaní služby (Všeobecných obchodných podmienok) sa uplatní aj na túto zmluvu v rozsahu, v akom to dovoľujú právne predpisy.
1. Zmluva sa uzatvára elektronicky: prevádzkovateľ ju akceptuje pri registrácii do služby. Služba zaznamená čas akceptácie, verziu dokumentu, e-mail osoby, IP adresu a prehliadač.
2. Zmluva sa uzatvára na dobu poskytovania služby a zaniká jeho ukončením. Povinnosti podľa čl. IX a povinnosť mlčanlivosti trvajú aj po jej zániku.
1. Sprostredkovateľ môže túto zmluvu aktualizovať. Novú verziu oznámi prevádzkovateľovi e-mailom alebo v službe; zmeny zoznamu ďalších sprostredkovateľov sa riadia čl. V. Každá verzia má vlastné číslo a dátum účinnosti.
2. Vzťahy neupravené touto zmluvou sa riadia GDPR, zákonom č. 18/2018 Z. z. a ďalšími právnymi predpismi Slovenskej republiky. Ak je niektoré ustanovenie neplatné, ostatné zostávajú v platnosti.
3. Neoddeliteľnou súčasťou zmluvy sú Prílohy č. 1 až 3.
Poskytovanie softvérovej služby InvoK: uloženie, usporiadanie, vyhľadávanie, výpočty, zobrazenie, export, odosielanie a výmaz údajov podľa pokynov prevádzkovateľa, výlučne na účel poskytovania služby prevádzkovateľovi.
Počas trvania zmluvy o poskytovaní služby a následne podľa čl. IX.
| Kategória | Rozsah |
|---|---|
| Identifikačné údaje | meno, priezvisko, dátum narodenia, IČO, interné ID, ID na platformách |
| Kontaktné údaje | telefón, e-mail, adresa, mesto bydliska a mesto výkonu činnosti |
| Zmluvné údaje | typ zmluvy, začiatok a koniec spolupráce, provízia, nájom, poplatky, odvody, hodinová sadzba, agentúra, stav vodiča |
| Ekonomické údaje | IBAN, banka, spôsob výplaty, zárobky a tipy z platforiem, zrážky, dlhy a splátky, výplaty, faktúry, bankové príkazy |
| Údaje o vozidle a výbave | EČV, značka, model, platnosť STK a PZP, priradenie vodiča, výbava (tašky) |
| Údaje o výkone činnosti | výkazy jázd a zárobkov z platforiem, zmeny, odpracovaný čas |
| Nábor | zdroj a kampaň, z ktorej uchádzač prišiel, stav náboru, poznámky z hovorov, odpovede vo formulári |
| Doklady | podľa rozhodnutia prevádzkovateľa — najmä občiansky preukaz, fotografia s dokladom, fotografia vodiča, vodičský preukaz, preukaz vodiča taxislužby, koncesia, technický preukaz, PZP, karta poistenca, doklady o zdravotnej a psychickej spôsobilosti, potravinársky preukaz, zmluvy |
| Súhlasy | znenie udeleného súhlasu, čas, IP adresa a prehliadač uchádzača |
| Komunikácia | e-maily odoslané zo služby (adresát, predmet, obsah), tikety podpory |
| Používatelia a technické údaje | meno, e-mail, telefón, rola, nastavenie dvojfaktorového overenia, IP adresa, prehliadač, čas prihlásenia, záznamy o úkonoch (audit) |
Nahraté doklady môžu obsahovať údaje o zdraví (napr. doklad o zdravotnej alebo psychickej spôsobilosti, osvedčenie na výkon epidemiologicky závažnej činnosti, karta poistenca). O tom, či a ktoré takéto doklady vyžaduje, rozhoduje výlučne prevádzkovateľ a zodpovedá za právny základ podľa čl. 9 ods. 2 GDPR, spravidla výslovný súhlas. Rovnako zodpovedá za oprávnenie vyhotoviť a uchovávať kópiu dokladu totožnosti. Sprostredkovateľ obsah dokladov nevyhodnocuje a nespracúva ich na iný účel než uloženie a sprístupnenie prevádzkovateľovi.
Údaje sa v službe uchovávajú, kým ich prevádzkovateľ nevymaže alebo kým neuplynie lehota podľa čl. IX. Služba sama údaje počas trvania zmluvy nemaže; to platí aj pre záznamy o úkonoch (audit), ktoré sa uchovávajú počas trvania zmluvy a vymažú sa spolu s ostatnými údajmi prevádzkovateľa podľa čl. IX.
Opatrenia podľa čl. 32 GDPR, ktoré sprostredkovateľ prijal a udržiava:
| Predmet | Frekvencia | Doba uchovania |
|---|---|---|
| Databáza | denne, automaticky; každá záloha sa overí (úplnosť, kontrolné počty, skúšobná obnova) | na serveri najviac 15 dní; mimo servera najviac 90 dní |
| Doklady (nahraté súbory) | denne, automaticky (ukladajú sa len nové a zmenené súbory) | na serveri 5 denných stavov; mimo servera aktuálna kópia + zmenené a zmazané súbory 30 dní |
| Mesačná úplná záloha (databáza + doklady) | 1. deň v mesiaci, automaticky | mimo servera 12 mesiacov, potom sa automaticky zmaže; kópia na offline nosiči 12 mesiacov |
| Aplikácia a konfigurácia | denne, automaticky | na serveri 7 dní; mimo servera 30 dní |
Údaj vymazaný zo služby zmizne zo všetkých záloh najneskôr po uplynutí doby uchovania uvedenej v tabuľke, t. j. najneskôr do 13 mesiacov. Záloha, ktorú automatická kontrola označí ako podozrivú, sa nemaže automaticky — ponechá sa do preverenia zodpovednou osobou a potom sa vymaže.
Prevádzkovateľ udeľuje súhlas so zapojením týchto ďalších sprostredkovateľov:
| Subjekt | Účel | Údaje | Umiestnenie | Záruka pri prenose |
|---|---|---|---|---|
| Websupport, s. r. o. | prevádzka servera aplikácie a databázy, uloženie dokladov a záloh na serveri, odosielanie systémových e-mailov služby | všetky údaje služby | Slovensko (EÚ) | — |
| Backblaze, Inc. | záložné kópie databázy a dokladov mimo hlavného servera; úložisko je šifrované na strane poskytovateľa | všetky údaje služby (zálohy) | dátové centrum v EÚ (Holandsko) | štandardné zmluvné doložky EÚ |
| Amazon Web Services (Amazon SES) | odosielanie hromadných e-mailov vodičom a uchádzačom z modulu E-mailing (len ak ho klient používa) | e-mailová adresa a meno príjemcu, obsah správy | EÚ (Frankfurt, Nemecko) | štandardné zmluvné doložky EÚ / EU–US Data Privacy Framework |
Platobná brána Stripe spracúva len údaje klienta ako zákazníka sprostredkovateľa pri platbe za službu, nie údaje vodičov a uchádzačov; upravujú ju Zásady ochrany súkromia.