Zmluva o spracúvaní osobných údajov

1. Zmluvné strany

• Prevádzkovateľ: centrum, ktoré si objednalo službu CPPNode (identifikované v registrácii centra a v Účet → Nastavenia).
• Sprostredkovateľ: poskytovateľ softvéru CPPNode, info@cppnode.com.

Zmluva je súčasťou Podmienok používania a vzniká spolu so zmluvou o poskytovaní služby. Pri rozpore má v otázkach ochrany osobných údajov prednosť táto zmluva.

2. Predmet, povaha a účel spracúvania

Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa výlučne na účel poskytovania služby CPPNode — vedenie agendy klientov centra (žiadosti, karty, rodiny a zástupcovia, termíny, záznamy zo sedení, dotazníky), komunikácia s klientmi e-mailom, správa používateľov centra a zabezpečenie týchto údajov. Spracovateľské operácie: zhromažďovanie, uchovávanie, usporadúvanie, vyhľadávanie, prehliadanie, poskytovanie oprávneným osobám centra, zasielanie e-mailov, zálohovanie a výmaz.

3. Kategórie dotknutých osôb a údajov

4. Doba spracúvania

Počas trvania zmluvy o poskytovaní služby. Po jej skončení postupuje sprostredkovateľ podľa bodu 11.

5. Pokyny prevádzkovateľa

Sprostredkovateľ spracúva údaje len na základe zdokumentovaných pokynov prevádzkovateľa — za ne sa považuje táto zmluva, nastavenia, ktoré prevádzkovateľ urobí v službe (napr. oprávnenia zamestnancov, e-maily, formuláre), a pokyny zaslané e-mailom. Ak by pokyn podľa sprostredkovateľa porušoval GDPR alebo iný predpis, bez odkladu na to prevádzkovateľa upozorní (čl. 28 ods. 3 písm. a) a h)). Údaje nepoužije na vlastné účely, nepredá ich, nepoužije na reklamu ani na trénovanie modelov umelej inteligencie. Údaje prenesie do tretej krajiny len za podmienok kapitoly V GDPR, ak mu to neukladá právo EÚ alebo SR — vtedy o tom prevádzkovateľa vopred informuje, ak to zákon nezakazuje.

6. Mlčanlivosť

Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať údaje zaviazali k mlčanlivosti alebo aby ich viazala zákonná povinnosť mlčanlivosti, a to aj po skončení ich vzťahu k sprostredkovateľovi (čl. 28 ods. 3 písm. b)). Prístup k údajom klientov majú len osoby, ktoré ho nevyhnutne potrebujú na prevádzku a podporu, a len v nevyhnutnom rozsahu.

7. Bezpečnosť

Sprostredkovateľ prijme technické a organizačné opatrenia podľa čl. 32 GDPR primerané riziku pre údaje o zdraví detí. Ich zoznam je v prílohe 2. Opatrenia môže meniť, ak úroveň ochrany neklesne.

8. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov uvedených v prílohe 1. O zámere pridať alebo vymeniť ďalšieho sprostredkovateľa informuje sprostredkovateľ prevádzkovateľa najmenej 30 dní vopred (e-mailom alebo v službe); prevádzkovateľ môže v tejto lehote odôvodnene namietať, a ak sa strany nedohodnú, zmluvu bez sankcie vypovedať. Ďalšiemu sprostredkovateľovi uloží sprostredkovateľ rovnaké povinnosti ako táto zmluva a za jeho plnenie zodpovedá prevádzkovateľovi v plnom rozsahu (čl. 28 ods. 2 a 4).

9. Súčinnosť pri právach dotknutých osôb a povinnostiach prevádzkovateľa

• Služba umožňuje prevádzkovateľovi údaje klienta vyhľadať, zobraziť, opraviť a vymazať; úplný výpis alebo export údajov klienta poskytne sprostredkovateľ na žiadosť bez zbytočného odkladu — tak, aby prevádzkovateľ stihol vybaviť žiadosti podľa čl. 15 až 22 GDPR v zákonnej lehote. Ak žiadosť dostane sprostredkovateľ, bez odkladu ju postúpi prevádzkovateľovi a sám na ňu neodpovie (čl. 28 ods. 3 písm. e)).
• Sprostredkovateľ poskytne súčinnosť pri bezpečnosti spracúvania, oznamovaní porušení, posúdení vplyvu na ochranu údajov a predchádzajúcej konzultácii s dozorným orgánom (čl. 32 až 36, čl. 28 ods. 3 písm. f)).

10. Porušenie ochrany údajov

O porušení ochrany osobných údajov informuje sprostredkovateľ prevádzkovateľa bez zbytočného odkladu, najneskôr do 48 hodín od zistenia (čl. 33 ods. 2). Oznámenie obsahuje, ak sú známe, povahu porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky a prijaté alebo navrhované opatrenia; čo ešte nie je známe, doplní priebežne. Porušenie zdokumentuje a prijme opatrenia na zmiernenie následkov.

11. Výmaz alebo vrátenie údajov

Po skončení poskytovania služby umožní sprostredkovateľ prevádzkovateľovi počas 30 dní export údajov v bežne používanom formáte. Potom údaje vymaže vrátane existujúcich kópií; zo záloh zaniknú najneskôr v ich pravidelnom cykle prepisu. Uchová len to, čo mu ukladá právo EÚ alebo SR. Výmaz na žiadosť potvrdí (čl. 28 ods. 3 písm. g)).

12. Kontrola a audit

Sprostredkovateľ poskytne prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožní audity a kontroly vrátane inšpekcií, ktoré vykoná prevádzkovateľ alebo ním poverený audítor viazaný mlčanlivosťou (čl. 28 ods. 3 písm. h)). Audit treba ohlásiť najmenej 30 dní vopred, ak nejde o podozrenie z porušenia; vykoná sa tak, aby nenarušil prevádzku ani údaje iných centier.

13. Zodpovednosť a záverečné ustanovenia

Za škodu spôsobenú spracúvaním zodpovedajú strany podľa čl. 82 GDPR. Zmluva sa riadi právom Slovenskej republiky. Zmeny zmluvy oznamuje sprostredkovateľ najmenej 30 dní vopred; zmena nesmie znížiť úroveň ochrany údajov.

Príloha 1 — Ďalší sprostredkovatelia

Vyhľadávanie adries (OpenStreetMap Nominatim) a mapové podklady (Wikimedia) sa používajú len v aplikácii Moje CPP, ktorej prevádzkovateľom je sprostredkovateľ sám — údaje klientov centra k nim neodchádzajú.

Príloha 2 — Technické a organizačné opatrenia

• Oddelenie centier: každý riadok s údajmi nesie identifikátor centra a databáza vynucuje oddelenie politikou row-level security (s FORCE), takže dotaz jedného centra údaje iného nevráti ani pri chybe aplikácie.
• Šifrovanie: komunikácia výlučne cez HTTPS/TLS; databáza a zálohy u poskytovateľa hostingu v EÚ.
• Prístup: prihlásenie bez hesiel jednorazovým kódom s platnosťou 5 minút; odvolateľné prihlasovacie tokeny; oprávnenia podľa rolí (odborník, recepcia, admin) s princípom „len to, čo treba“ — recepcia nevidí obsah kariet, odborník len svojich klientov.
• Záznam prístupov: každé otvorenie a zmena údajov klienta sa zaznamenáva (kto, kedy, čo, IP adresa) a uchováva 12 mesiacov.
• Minimalizácia a lehoty: automatické mazanie overovacích kódov po 7 dňoch, záznamu prístupov po 12 mesiacoch, zmazaných kariet po 30 dňoch; analytika webu sa v administrácii a formulároch nespúšťa.
• Vývoj a testovanie: automatické kontroly pri každom nasadení (izolácia centier, únik prístupov, vracanie databázových spojení); testy na fiktívnych údajoch, nie na údajoch klientov.
• Dostupnosť: pravidelné zálohy databázy a možnosť obnovy.
• Organizačné: mlčanlivosť osôb s prístupom, prístup k produkčným údajom len pri riešení poruchy na žiadosť centra, postup pri porušení ochrany údajov podľa bodu 10.