Zmluva o spracúvaní osobných údajov

Prevádzkovateľom je Zákazník podľa Obchodných podmienok služby Firmino (ďalej „Podmienky“).

Sprostredkovateľom je Poskytovateľ: Ladislav Madaj M&M, s miestom podnikania Handlovská 251/13, 972 31 Ráztočno, IČO: 43 015 042, zapísaný v živnostenskom registri Okresného úradu Prievidza, číslo živnostenského registra 340-22005 (ďalej „my“). Kontakt vo veciach ochrany osobných údajov: info@firmino.sk.

Pojmy s veľkým začiatočným písmenom (napríklad Služba, Zmluva, Firemný účet, Používateľ, Správca účtu a Dáta Zákazníka) majú význam podľa Podmienok. Pojmy osobné údaje, spracúvanie, dotknutá osoba a porušenie ochrany osobných údajov majú význam podľa GDPR.

Táto zmluva je súčasťou Zmluvy a vzniká spolu s ňou. Ak sa v otázkach ochrany osobných údajov líši od Podmienok, prednosť má táto zmluva.

V mene Zákazníka spracúvame osobné údaje, ktoré sú súčasťou Dát Zákazníka, a to len na účel poskytovania Služby podľa Podmienok. Ide najmä o ich uloženie, zobrazenie, úpravu, vyhľadávanie, export, zálohovanie, odoslanie e-mailov, ktoré Služba posiela, a vymazanie.

Spracúvanie prebieha automatizovane v aplikácii Firmino. K Dátam Zákazníka pristupujeme priamo len v prípadoch podľa bodu 5.3.

Táto zmluva sa nevzťahuje na osobné údaje, pri ktorých sme prevádzkovateľom my, napríklad na údaje Používateľov potrebné na vedenie účtov a fakturáciu. Tie opisuje dokument Ochrana osobných údajov.

Aké osobné údaje a o kom do Služby vloží, určuje Zákazník. Spravidla ide o kontaktné osoby zákazníkov, dodávateľov a obchodných partnerov Zákazníka a o Používateľov a ďalších zamestnancov a spolupracovníkov Zákazníka.

Spravidla ide o tieto kategórie údajov: meno a priezvisko, pracovná pozícia, firma, e-mail, telefón a adresa; údaje o obchodnej komunikácii a spolupráci (poznámky, úlohy, obchodné prípady, cenové ponuky, zmluvy, e-maily a udalosti v kalendári); súbory, ktoré Zákazník nahrá; údaje o činnosti Používateľov v Službe (história zmien, komentáre a záznamy o prihlásení vrátane IP adresy a údajov o prehliadači).

Služba nie je určená na osobitné kategórie osobných údajov (napríklad údaje o zdraví) ani na údaje o trestných činoch podľa článkov 9 a 10 GDPR. Ak ich Zákazník do Služby predsa vloží, zodpovedá za to, že má na ich spracúvanie právny základ.

Osobné údaje spracúvame počas trvania Zmluvy a po jej ukončení ešte 30 dní podľa bodu 14.5 Podmienok. Potom ich vymažeme podľa článku 10 tejto zmluvy.

Osobné údaje spracúvame len na základe zdokumentovaných pokynov Zákazníka. Pokynmi sú Podmienky, táto zmluva a nastavenia a úkony, ktoré Zákazník a jeho Používatelia urobia v Službe. Ak nám iné spracúvanie ukladá právo Európskej únie alebo Slovenskej republiky, pred začatím spracúvania o tom Zákazníka informujeme, ak to zákon nezakazuje.

Ak sa domnievame, že pokyn Zákazníka porušuje GDPR alebo iný predpis o ochrane osobných údajov, bez zbytočného odkladu ho na to upozorníme.

K Dátam Zákazníka pristupujeme len v rozsahu nevyhnutnom na prevádzku, zabezpečenie a podporu Služby, na pokyn Zákazníka alebo ak nám to ukladá zákon (bod 9.3 Podmienok).

Mlčanlivosťou o Dátach Zákazníka sme viazaní my aj každá osoba, ktorá s nimi u nás môže prísť do styku. Mlčanlivosť trvá aj po skončení Zmluvy.

Dáta Zákazníka nepoužívame na vlastné účely, nepredávame ich a nepoužívame ich na reklamu. Bez výslovného súhlasu Zákazníka ich nepoužívame ani na trénovanie modelov umelej inteligencie (bod 9.2 Podmienok).

Zákazník nám dáva všeobecný súhlas zapojiť ďalších sprostredkovateľov. Dnes sú to:

Hetzner Online GmbH, Gunzenhausen, Nemecko: prevádzka serverov a uloženie všetkých Dát Zákazníka vrátane záloh v dátovom centre v Európskej únii.

Microsoft Ireland Operations Limited, Dublin, Írsko (služba Microsoft 365): odosielanie e-mailov zo Služby, napríklad pozvánok a upozornení. E-mail môže obsahovať časť Dát Zákazníka, napríklad názov úlohy alebo meno kolegu.

SuperFaktúra, prevádzkovateľ [DOPLNIŤ: overiť obchodné meno a sídlo]: vystavovanie našich faktúr Zákazníkovi. Dostáva len fakturačné údaje Zákazníka, ostatné Dáta Zákazníka nie.

Každého ďalšieho sprostredkovateľa zaväzujeme zmluvou k rovnakej ochrane osobných údajov, akú vyžaduje táto zmluva a článok 28 GDPR. Za plnenie jeho povinností zodpovedáme Zákazníkovi, akoby sme ich plnili sami.

Zámer pridať alebo vymeniť ďalšieho sprostredkovateľa oznámime Správcovi účtu e-mailom najmenej 30 dní vopred. Zákazník môže proti zmene z dôvodov ochrany osobných údajov namietať. Ak sa nedohodneme, môže Zmluvu ukončiť ku dňu zmeny a vrátime mu pomernú časť zaplatenej ceny za nevyužité obdobie.

Služby tretích strán, ktoré si Zákazník do Služby prepojí sám (článok 11 Podmienok), napríklad vlastnú e-mailovú schránku Microsoft 365, vlastný účet v SuperFaktúre alebo AI asistenta Claude, nie sú našimi ďalšími sprostredkovateľmi. Údaje do nich prenášame na pokyn Zákazníka a ich spracúvanie sa riadi zmluvou Zákazníka s ich poskytovateľom.

Dáta Zákazníka ukladáme v Európskej únii. Ak ďalší sprostredkovateľ spracúva údaje mimo EÚ (pri spoločnosti Microsoft to nemožno vylúčiť), prenos musí byť chránený podľa kapitoly V GDPR, najmä rozhodnutím Európskej komisie o primeranosti alebo štandardnými zmluvnými doložkami.

Prijali sme tieto technické a organizačné opatrenia: spojenie medzi prehliadačom a Službou je šifrované (HTTPS); dáta každého Firemného účtu sú oddelené priamo v databáze (izolácia na úrovni riadkov), takže databáza nevydá záznamy inej firmy ani pri chybe v aplikácii; databázu zálohujeme denne; k serverom a databáze máme prístup len my; heslá ukladáme len ako odtlačok (hash); Používatelia si môžu zapnúť dvojfaktorové prihlásenie a Zákazník môže určiť, kto čo v Službe vidí.

Opatrenia priebežne prispôsobujeme stavu techniky a rizikám. Nesmieme ich zmeniť tak, aby sa úroveň ochrany znížila.

S prihliadnutím na povahu spracúvania pomáhame Zákazníkovi plniť jeho povinnosti voči dotknutým osobám (články 12 až 22 GDPR). Služba na to má nástroje, najmä výpis údajov o osobe a jej vymazanie. Ak nám dotknutá osoba pošle žiadosť, ktorá sa týka Dát Zákazníka, bez zbytočného odkladu ju postúpime Zákazníkovi a sami ju nevybavujeme.

Na žiadosť Zákazníka mu poskytneme informácie, ktoré potrebuje na zabezpečenie spracúvania, na posúdenie vplyvu na ochranu osobných údajov a na predchádzajúcu konzultáciu s Úradom na ochranu osobných údajov Slovenskej republiky (články 32 až 36 GDPR).

Ak zistíme porušenie ochrany osobných údajov, ktoré sa týka Dát Zákazníka, oznámime ho Správcovi účtu e-mailom bez zbytočného odkladu po tom, ako sme sa o ňom dozvedeli.

V oznámení uvedieme, čo sa stalo, ktorých údajov a približne koľkých dotknutých osôb sa to týka, aké to môže mať následky a čo sme urobili alebo navrhujeme urobiť. Ak všetky informácie hneď nemáme, doplníme ich postupne.

Poskytneme Zákazníkovi súčinnosť, ktorú potrebuje na oznámenie porušenia Úradu na ochranu osobných údajov a dotknutým osobám (články 33 a 34 GDPR).

Po skončení Zmluvy si Zákazník môže počas 30 dní Dáta Zákazníka exportovať alebo nás požiadať, aby sme mu ich poskytli v bežne používanom, strojovo čitateľnom formáte (bod 9.5 Podmienok).

Potom Dáta Zákazníka vrátane kópií vymažeme, ak nám ich ďalšie uchovávanie neukladá právo Európskej únie alebo Slovenskej republiky. Zo záloh sa odstránia najneskôr do ďalších 30 dní.

Na žiadosť Zákazníka mu poskytneme informácie potrebné na preukázanie, že plníme povinnosti podľa článku 28 GDPR a tejto zmluvy.

Zákazník alebo audítor, ktorého poverí a ktorý je viazaný mlčanlivosťou, môže u nás vykonať audit vrátane kontroly na mieste. Termín a rozsah auditu dohodneme vopred. Audit nesmie ohroziť bezpečnosť Služby ani dáta iných zákazníkov a jeho náklady nesie Zákazník.

Pri ďalších sprostredkovateľoch, napríklad pri dátovom centre, môžeme namiesto kontroly na mieste poskytnúť ich certifikáty alebo správy z auditov.

Táto zmluva platí, kým spracúvame Dáta Zákazníka, teda aj po skončení Zmluvy až do ich vymazania.

Zodpovednosť strán sa riadi článkom 13 Podmienok, ak právne predpisy neustanovujú inak.

Túto zmluvu môžeme meniť rovnakým postupom ako Podmienky (článok 15 Podmienok).

Zmluva sa riadi právom Slovenskej republiky. Je vyhotovená v slovenskom jazyku; ak existuje jej preklad, rozhodujúce je slovenské znenie.

Táto zmluva je účinná od 11. 10. 2026.