Informatívny preklad. V prípade nesúladu má prednosť pôvodné anglické znenie, pod jurisdikciou Írska (Cuandeoro Limited, CRO 813028).
Zmluva o spracúvaní údajov Veripass
Tvorí súčasť Podmienok poskytovania služby.
1. Strany a úlohy. Zákazník je prevádzkovateľ. Cuandeoro Limited t/a Veripass je sprostredkovateľ osobných údajov obsiahnutých v dokumentoch Zákazníka a obsahu účtu („Osobné údaje Zákazníka“).
2. Predmet, povaha a účel. Ukladanie, extrakcia, analýza a zverejňovanie údajov pasov produktov a batérií výlučne na účely poskytovania Služby.
3. Trvanie. Doba trvania predplatného a lehota na vymazanie podľa článku 11.
4. Kategórie dotknutých osôb. Zamestnanci a používatelia Zákazníka; kontaktné osoby dodávateľov, zákazníkov a laboratórií Zákazníka uvedené v nahraných dokumentoch.
5. Kategórie údajov. Mená, pracovné kontaktné údaje, pracovné pozície, podpisy a identifikátory uvedené v dokumentoch; údaje používateľského účtu. Neočakávajú sa osobitné kategórie údajov. Zákazník ich nenahrá.
5A. Povinnosti Zákazníka. Zákazník zabezpečí, že má právny základ na spracúvanie a udeľuje zákonné pokyny, informuje dotknuté osoby podľa potreby a nenahráva osobitné kategórie údajov.
6. Povinnosti sprostredkovateľa. Veripass bude:
- (a) spracúvať údaje iba na základe zdokumentovaných pokynov Zákazníka, a to aj pokiaľ ide o prenosy do tretej krajiny, pokiaľ to nevyžaduje právo Únie alebo členského štátu; v takom prípade Veripass informuje Zákazníka o tejto zákonnej požiadavke pred spracúvaním, pokiaľ to dané právo nezakazuje zo závažných dôvodov verejného záujmu;
- (b) zabezpečovať, aby sa osoby oprávnené spracúvať údaje zaviazali k mlčanlivosti;
- (c) uplatňovať technické a organizačné opatrenia uvedené v prílohe 2;
- (d) pomáhať Zákazníkovi pri vybavovaní žiadostí dotknutých osôb a pri plnení povinností podľa čl. 32-36 GDPR, pričom zohľadní povahu spracúvania;
- (e) poskytovať informácie potrebné na preukázanie súladu;
- (f) bezodkladne informovať Zákazníka, ak pokyn porušuje predpisy o ochrane údajov.
7. Sub-sprostredkovatelia.
- Zákazník udeľuje všeobecné povolenie pre sub-sprostredkovateľov uvedených v prílohe 3.
- Veripass oznamuje nových sub-sprostredkovateľov e-mailom 30 dní vopred. Zákazník môže z opodstatnených dôvodov vzniesť námietku a ak sa nedohodne riešenie, môže zmluvu ukončiť bez sankcie.
- Veripass ukladá každému sub-sprostredkovateľovi rovnocenné povinnosti na ochranu údajov a zostáva za nich zodpovedný.
8. Medzinárodné prenosy. Osobné údaje Zákazníka môže v Spojených štátoch spracúvať poskytovateľ hostingu spoločnosti Veripass (Cloud Clusters, Inc.) a Google (Gemini API, platená úroveň) na základe štandardných zmluvných doložiek (rozhodnutie Komisie (EÚ) 2021/914) a prípadne rámca ochrany osobných údajov medzi EÚ a USA, s doplnkovými opatreniami (šifrovanie pri prenose aj v pokoji). Demo súbory sa vymazávajú po 24 hodinách.
9. Spracúvanie pomocou AI. Dokumenty spracúvajú poskytovatelia AI uvedení v prílohe 3 za podmienok, ktoré im nedovoľujú používať údaje Zákazníka na trénovanie svojich modelov. Vaše dokumenty ani údaje nepoužívame na trénovanie žiadneho modelu AI.
10. Porušenia ochrany osobných údajov. Veripass oznámi Zákazníkovi porušenie, ktoré sa týka Osobných údajov Zákazníka, bez zbytočného odkladu a v každom prípade do 48 hodín po tom, ako sa o ňom dozvie, s informáciami požadovanými podľa čl. 33(3) GDPR, len čo budú dostupné.
11. Vrátenie a vymazanie. Podľa voľby Zákazníka Veripass Osobné údaje Zákazníka vráti alebo vymaže. Do 60 dní od skončenia zmluvy môže Zákazník svoje údaje exportovať. Potom Veripass vymaže Osobné údaje Zákazníka do 30 dní vrátane záloh v rámci ich rotačného cyklu (najviac 35 dní), pokiaľ si uloženie nevyžaduje právo Únie alebo členského štátu.
12. Audity. Veripass umožňuje audity vrátane inšpekcií, ktoré vykonáva Zákazník alebo nezávislý audítor, ktorého poveril a ktorý je viazaný mlčanlivosťou, a prispieva k nim. Audity sa vykonávajú raz za 12 mesiacov s oznámením 30 dní vopred (častejšie po porušení alebo ak to vyžaduje dozorný orgán), v pracovnom čase a na náklady Zákazníka. Ak postačuje, najprv sa použije písomný dotazník.
13. Zodpovednosť. S výhradou obmedzení v Podmienkach poskytovania služby, okrem prípadov, keď GDPR obmedzenie nepripúšťa.
14. Prednosť. V prípade rozporu má táto DPA v otázkach ochrany údajov prednosť pred Podmienkami.
Príloha 1 · Podrobnosti o spracúvaní
Ako v článkoch 2 až 5.
Príloha 2 · Technické a organizačné opatrenia
- TLS 1.2 alebo vyššie pri prenose; šifrovanie AES-256 v pokoji.
- Prístup na základe rolí, MFA pre zamestnancov, princíp najnižších oprávnení.
- Údaje Zákazníka logicky oddelené podľa účtov.
- Auditný záznam potvrdení a zverejnení.
- Denné šifrované zálohy, rotácia 35 dní.
- Demo súbory vymazané po 24 h.
- Opravy kritických zraniteľností do 7 dní.
- Ročný prehľad týchto opatrení.
Príloha 3 · Sub-sprostredkovatelia
| Sub-sprostredkovateľ | Účel | Lokalita |
|---|---|---|
| Cloud Clusters, Inc. | Hosting aplikácie a stránok pasov | Spojené štáty |
| Google (Gemini API, platená úroveň) | Extrakcia dokumentov | Spojené štáty |
| Cloud Clusters, Inc. (vlastný poštový server, mailcow) | Spojené štáty |
Stripe spracúva vlastné fakturačné údaje spoločnosti Veripass; nespracúva Osobné údaje Zákazníka z dokumentov.