Dohoda o spracúvaní osobných údajov

Táto Dohoda o spracúvaní osobných údajov („DPA“) tvorí súčasť dohody medzi prevádzkou používajúcou MultiBooking („Prevádzkovateľ“) a Serhii Miroshnyk, prevádzkujúcim MultiBooking, Hviezdoslavov, Slovakia („MultiBooking“ alebo „Sprostredkovateľ“).

Táto DPA sa uplatňuje, keď MultiBooking spracúva osobné údaje v mene prevádzky.

1. Rozsah pôsobnosti

Prevádzka vystupuje ako Prevádzkovateľ pri osobných údajoch, pri ktorých určuje účely a prostriedky spracúvania.

MultiBooking vystupuje ako Sprostredkovateľ v rozsahu, v akom takéto osobné údaje spracúva v mene prevádzky.

Táto DPA sa nevzťahuje na spracúvanie, pri ktorom MultiBooking samostatne vystupuje ako Prevádzkovateľ, vrátane určitého spracúvania potrebného na správu účtov MultiBooking, bezpečnosť Platformy, prevenciu podvodov a plnenie zákonných povinností.

2. Súlad s príslušnými právnymi predpismi

Každá strana bude dodržiavať právne predpisy o ochrane osobných údajov, ktoré sa vzťahujú na jej príslušnú úlohu.

Pri spracúvaní podliehajúcom GDPR je cieľom tejto DPA splniť požiadavky na dohody medzi prevádzkovateľom a sprostredkovateľom podľa článku 28 GDPR.

3. Pokyny na spracúvanie

MultiBooking bude Osobné údaje Prevádzkovateľa spracúvať iba:

1. na poskytovanie a prevádzku služieb MultiBooking;
2. podľa spôsobu používania a konfigurácie Platformy zo strany prevádzky;
3. podľa iných zdokumentovaných pokynov prevádzky; alebo
4. ak spracúvanie vyžadujú príslušné právne predpisy.

Ak právne predpisy vyžadujú, aby MultiBooking spracúval Osobné údaje Prevádzkovateľa v rozpore s pokynmi prevádzky, MultiBooking o tom prevádzku informuje pred spracúvaním, pokiaľ to zákon nezakazuje.

Ak sa MultiBooking odôvodnene domnieva, že pokyn porušuje príslušné právne predpisy o ochrane osobných údajov, môže príslušné spracúvanie pozastaviť a informovať prevádzku.

4. Dôvernosť

MultiBooking zabezpečí, aby osoby oprávnené spracúvať Osobné údaje Prevádzkovateľa podliehali primeraným povinnostiam mlčanlivosti.

Prístup k Osobným údajom Prevádzkovateľa bude obmedzený na osoby, ktoré ho primerane potrebujú na prevádzku, údržbu, podporu alebo zabezpečenie Platformy.

5. Bezpečnosť

MultiBooking zavedie primerané technické a organizačné opatrenia určené na ochranu Osobných údajov Prevádzkovateľa.

Opatrenia budú zohľadňovať:

• povahu spracúvania;
• dostupné technológie;
• náklady na implementáciu;
• riziká spojené so spracúvaním;
• povahu dotknutých osobných údajov.

Aktuálne kategórie opatrení sú opísané v Prílohe B.

6. Povinnosti prevádzky

Prevádzka zodpovedá za:

• zabezpečenie zákonnosti svojho spracúvania osobných údajov;
• poskytnutie primeraných informácií o ochrane osobných údajov zákazníkom a zamestnancom;
• určenie primeraného právneho základu spracúvania;
• zabezpečenie súladu svojich pokynov pre MultiBooking s príslušnými právnymi predpismi;
• určenie primeraných lehôt uchovávania;
• vybavovanie žiadostí dotknutých osôb ako Prevádzkovateľ;
• riadenie prístupu udeleného používateľom prevádzky;
• predchádzanie zbytočnému zhromažďovaniu osobných údajov.

Prevádzka nesmie dať MultiBooking pokyn na spracúvanie osobných údajov na nezákonné účely.

7. Osobitné kategórie údajov

MultiBooking je navrhnutý ako všeobecná platforma na rezervácie a správu podnikania a bežne nevyžaduje osobitné kategórie osobných údajov.

Prevádzka by nemala zadávať zdravotné údaje ani iné osobitné kategórie údajov, pokiaľ:

• nie sú skutočne potrebné pre jej službu;
• prevádzka nemá primeraný zákonný právny základ;
• nie sú splnené ďalšie príslušné požiadavky GDPR; a
• spracúvanie nie je zlučiteľné so zamýšľaným použitím Platformy.

Prevádzka naďalej zodpovedá za posúdenie zákonnosti spracúvania osobitných kategórií údajov.

8. Ďalší sprostredkovatelia

Prevádzka udeľuje MultiBooking všeobecné oprávnenie zapájať ďalších sprostredkovateľov potrebných na poskytovanie Platformy.

MultiBooking zabezpečí, aby ďalší sprostredkovatelia spracúvajúci Osobné údaje Prevádzkovateľa podliehali povinnostiam ochrany osobných údajov primeraným službám, ktoré poskytujú.

MultiBooking zostáva v rozsahu požadovanom príslušnými právnymi predpismi zodpovedný za svoje povinnosti podľa tejto DPA aj v prípade, že je spracúvanie delegované na ďalšieho sprostredkovateľa.

Aktuálni ďalší sprostredkovatelia sú uvedení v Prílohe C.

Ak bude pridaný nový ďalší sprostredkovateľ, ktorý podstatne ovplyvňuje Osobné údaje Prevádzkovateľa, MultiBooking vynaloží primerané úsilie na poskytnutie oznámenia pred nadobudnutím účinnosti zmeny.

Prevádzka môže proti novému ďalšiemu sprostredkovateľovi namietať z primeraných dôvodov ochrany osobných údajov.

Strany sa v dobrej viere pokúsia takúto námietku vyriešiť. Ak nie je k dispozícii primeraná alternatíva, ktorákoľvek strana môže ukončiť dotknuté služby.

9. Medzinárodné prenosy

MultiBooking zabezpečí, aby sa prenosy Osobných údajov Prevádzkovateľa mimo EHP uskutočňovali v súlade s príslušnými právnymi predpismi o ochrane osobných údajov.

Ak sa to vyžaduje, primerané záruky môžu zahŕňať štandardné zmluvné doložky Európskej komisie.

Ak ďalší sprostredkovateľ využíva iný zákonný mechanizmus prenosu, MultiBooking môže tento mechanizmus použiť, ak to právne predpisy umožňujú.

10. Práva dotknutých osôb

S prihliadnutím na povahu spracúvania poskytne MultiBooking prevádzke primeranú pomoc pri vybavovaní žiadostí týkajúcich sa práv podľa príslušných právnych predpisov o ochrane osobných údajov.

Môže ísť napríklad o žiadosti o:

• prístup;
• opravu;
• vymazanie;
• obmedzenie;
• prenosnosť;
• namietanie.

Ak MultiBooking dostane žiadosť týkajúcu sa predovšetkým údajov kontrolovaných prevádzkou, môže žiadateľa odkázať na prevádzku a nebude v jej mene samostatne odpovedať, pokiaľ na to nie je oprávnený alebo to nevyžaduje zákon.

11. Posúdenie vplyvu na ochranu údajov a regulačná súčinnosť

S prihliadnutím na povahu spracúvania a informácie dostupné MultiBooking poskytne MultiBooking primeranú pomoc, ak je prevádzka povinná:

• vykonať posúdenie vplyvu na ochranu osobných údajov;
• konzultovať s dozorným orgánom;
• preukázať súlad v súvislosti so spracúvaním vykonávaným prostredníctvom MultiBooking.

12. Porušenie ochrany osobných údajov

MultiBooking oznámi prevádzke bez zbytočného odkladu, keď sa dozvie o porušení ochrany osobných údajov, ktoré sa týka Osobných údajov Prevádzkovateľa.

Ak sú informácie k dispozícii, oznámenie bude obsahovať údaje primerane potrebné na pomoc prevádzke pri plnení jej regulačných povinností.

Ak nie sú úplné podrobnosti okamžite k dispozícii, MultiBooking môže informácie poskytovať postupne.

Oznámenie incidentu nepredstavuje priznanie zavinenia ani zodpovednosti.

13. Vymazanie a vrátenie údajov

Po ukončení príslušného účtu prevádzky MultiBooking podľa voľby prevádzky a tam, kde je to technicky a právne možné, vymaže alebo vráti Osobné údaje Prevádzkovateľa, ktoré už MultiBooking nemusí spracúvať.

MultiBooking môže informácie uchovať:

• ak to vyžadujú príslušné právne predpisy;
• ak pri nich samostatne vystupuje ako Prevádzkovateľ;
• v zabezpečených zálohách až do ich prepísania v bežnom cykle zálohovania.

Na všetky uchované Osobné údaje Prevádzkovateľa sa naďalej vzťahujú príslušné povinnosti ochrany.

14. Audit a informácie o súlade

MultiBooking sprístupní prevádzke informácie primerane potrebné na preukázanie súladu s touto DPA.

Ak tieto informácie nie sú dostatočné, prevádzka môže požiadať o primeraný audit týkajúci sa konkrétne spracúvania podľa tejto DPA.

Audity musia:

• byť primerané;
• chrániť bezpečnosť a dôvernosť ostatných zákazníkov;
• predchádzať zbytočnému narušeniu prevádzky;
• spravidla prebiehať najviac raz za 12 mesiacov, pokiaľ ich nevyžaduje dozorný orgán alebo nenastane závažný bezpečnostný incident;
• podliehať primeraným požiadavkám na dôvernosť.

Ak audit spôsobí významné náklady nad rámec bežnej podpory pri zabezpečovaní súladu, strany sa môžu dohodnúť na primeranej náhrade týchto nákladov.

15. Poradie prednosti

Ak vznikne rozpor týkajúci sa spracúvania Osobných údajov Prevádzkovateľa:

1. prednostne sa uplatnia kogentné právne predpisy o ochrane osobných údajov;
2. následne sa uplatní táto DPA;
3. potom sa uplatnia Obchodné podmienky MultiBooking.

16. Trvanie

Táto DPA zostáva v platnosti po celý čas, počas ktorého MultiBooking spracúva Osobné údaje Prevádzkovateľa v mene prevádzky.

Ustanovenia, ktoré majú podľa svojej povahy pretrvať aj po ukončení, zostávajú účinné dovtedy, kým sa príslušné osobné údaje naďalej spracúvajú.

17. Rozhodné právo

Ak kogentné právne predpisy o ochrane osobných údajov nevyžadujú inak, táto DPA sa riadi právnym poriadkom Slovenskej republiky.

Príloha A — Podrobnosti spracúvania

Predmet

Poskytovanie Platformy MultiBooking na rezervácie, plánovanie, správu zákazníkov a správu prevádzky.

Trvanie

Počas používania MultiBooking prevádzkou a počas obmedzeného obdobia po jeho ukončení, ktoré je potrebné na vymazanie, uplynutie platnosti záloh, plnenie zákonných povinností alebo legitímne technické účely.

Povaha spracúvania

Spracúvanie môže zahŕňať:

• zhromažďovanie;
• zaznamenávanie;
• organizovanie;
• štruktúrovanie;
• uchovávanie;
• vyhľadávanie;
• nahliadanie;
• aktualizáciu;
• prenos;
• obmedzenie;
• vymazanie.

Účely

Spracúvanie osobných údajov v rozsahu potrebnom na:

• vedenie záznamov o prevádzke a zamestnancoch;
• správu služieb;
• správu rozvrhov a dostupnosti;
• vytváranie a správu rezervácií;
• správu záznamov o zákazníkoch;
• odosielanie komunikácie súvisiacej s rezerváciami;
• prevádzku príslušných funkcií pre prevádzku;
• zabezpečenie a údržbu služby.

Kategórie dotknutých osôb

Môžu zahŕňať:

• zákazníkov;
• potenciálnych zákazníkov;
• vlastníkov prevádzok;
• administrátorov prevádzok;
• manažérov;
• zamestnancov;
• iné oprávnené osoby prevádzky.

Kategórie osobných údajov

Môžu zahŕňať:

• mená;
• e-mailové adresy;
• telefónne čísla;
• adresy, ak boli poskytnuté;
• roly v prevádzke;
• profily zamestnancov;
• fotografie;
• pracovné rozvrhy;
• informácie o dostupnosti a neprítomnosti;
• informácie o službách;
• dátumy a časy rezervácií;
• stav rezervácií;
• históriu rezervácií;
• poznámky o zákazníkoch a súvisiace prevádzkové informácie;
• technické identifikátory relevantné pre fungovanie Platformy.

Osobitné kategórie údajov

Štandardne sa nevyžadujú.

Osobitné kategórie údajov možno spracúvať len vtedy, ak ich samostatne poskytne prevádzka alebo zákazník a prevádzka určila, že takéto spracúvanie je zákonné a potrebné.

Príloha B — Technické a organizačné opatrenia

Kontrola prístupu

• autentifikovaný prístup k Platforme;
• oprávnenia prevádzky podľa rolí;
• obmedzenie administratívneho prístupu;
• riadený prístup do produkčného prostredia.

Bezpečnosť prenosu

• šifrovaná komunikácia HTTPS/TLS;
• zabezpečené spojenia medzi komponentmi Platformy tam, kde sú podporované.

Bezpečnosť aplikácie

• validácia vstupov;
• kontroly autentifikácie a autorizácie;
• logovanie súvisiace s bezpečnosťou;
• údržba závislostí a softvéru;
• riadené procesy nasadzovania.

Bezpečnosť infraštruktúry

• spravovaní poskytovatelia infraštruktúry;
• sieťové a aplikačné bezpečnostné kontroly;
• oddelenie prostredí tam, kde je to vhodné;
• správa tajomstiev a prihlasovacích údajov.

Dostupnosť a obnova

• zálohovanie údajov tam, kde je to vhodné;
• postupy obnovy;
• monitorovanie infraštruktúry.

Organizačné kontroly

• povinnosti mlčanlivosti;
• prístup podľa prevádzkovej potreby;
• postupy riešenia incidentov;
• kontrola prístupu poskytovateľov a bezpečnostných požiadaviek.

Bezpečnostné opatrenia sa môžu vyvíjať spolu so zmenami technológií, rizík a Platformy.

Príloha C — Aktuálni ďalší sprostredkovatelia

MultiBooking môže v priebehu vývoja Platformy poskytovateľov nahradiť alebo pridať, pričom sa uplatnia ustanovenia tejto DPA o ďalších sprostredkovateľoch.