Dodatok o spracúvaní osobných údajov

Toto je preklad pre uľahčenie porozumenia. V prípade rozporu je rozhodujúca česká verzia.

Tento Dodatok o spracúvaní osobných údajov („Dodatok") tvorí súčasť Obchodných podmienok medzi spoločnosťou Sustainly s.r.o. a zákazníkom („Zákazník") a uplatní sa automaticky na všetkých Zákazníkov bez samostatného podpisu. Zodpovedá čl. 28 ods. 3 GDPR.

Sprostredkovateľ: Sustainly s.r.o., IČO 21802106, Dlouhá 3403/2b, 702 00 Ostrava, Česká republika. Prevádzkovateľ: Zákazník.

Ak je tento Dodatok v rozpore s Obchodnými podmienkami vo veci spracúvania osobných údajov, má prednosť tento Dodatok.

1. Úlohy strán

Zákazník je prevádzkovateľom osobných údajov obsiahnutých v materiáloch nahraných do platformy a určuje účely a prostriedky ich spracúvania. Sustainly je sprostredkovateľom a tieto údaje spracúva výhradne pre Zákazníka.

Vo vzťahu k údajom o účte, fakturácii a k údajom z webových stránok vystupuje Sustainly ako prevádzkovateľ, ako opisujú Zásady ochrany osobných údajov. Toto spracúvanie stojí mimo tohto Dodatku.

2. Rozsah a pokyny

Sustainly spracúva osobné údaje len na základe zdokumentovaných pokynov Zákazníka, a to aj pokiaľ ide o prenos do tretích krajín, okrem prípadu, keď mu to ukladá právo EÚ alebo členského štátu — v takom prípade Sustainly Zákazníka pred spracúvaním upovedomí, ak takéto upovedomenie dané právo nezakazuje z dôležitých dôvodov verejného záujmu.

Úplné zdokumentované pokyny Zákazníka predstavujú Obchodné podmienky, tento Dodatok a používanie funkcií platformy zo strany Zákazníka. Podrobnosti spracúvania obsahuje Príloha 1.

Sustainly Zákazníka upovedomí, ak sa domnieva, že jeho pokyn porušuje GDPR alebo iné platné predpisy o ochrane osobných údajov.

3. Povinnosti Zákazníka

Zákazník vyhlasuje, že má právny základ pre spracúvanie, ktoré nariaďuje, že poskytol dotknutým osobám všetky požadované informácie a že jeho pokyny sú v súlade s právnymi predpismi. Za správnosť a zákonnosť nahraných údajov zodpovedá Zákazník.

Zákazník nesmie nahrávať osobitné kategórie osobných údajov (čl. 9 GDPR) ani údaje týkajúce sa rozsudkov v trestných veciach a trestných činov (čl. 10 GDPR). Ak nahráva mzdové, personálne či obdobné podklady, je povinný takéto údaje vopred odstrániť či začierniť. Sustainly nemá povinnosť nahrávaný obsah kontrolovať a nenesie zodpovednosť vzniknutú v dôsledku údajov nahraných v rozpore s týmto ustanovením.

4. Mlčanlivosť

Sustainly zabezpečuje, že osoby oprávnené spracúvať osobné údaje sú viazané zodpovedajúcou zmluvnou alebo zákonnou povinnosťou mlčanlivosti a že prístup je obmedzený na tých, ktorí ho potrebujú na výkon svojej činnosti.

5. Zabezpečenie

Sustainly zavádza technické a organizačné opatrenia uvedené v Prílohe 2, zodpovedajúce riziku podľa čl. 32 GDPR. Sustainly môže tieto opatrenia aktualizovať za predpokladu, že nedôjde k zníženiu úrovne ochrany.

6. Ďalší sprostredkovatelia

Zákazník udeľuje všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov. Aktuálny zoznam je zverejnený na /sk/subprocessors a uvedený v Prílohe 3.

Sustainly oznámi pridanie alebo výmenu ďalšieho sprostredkovateľa najmenej 30 dní vopred, a to e-mailom na registrovaný kontakt Zákazníka alebo oznámením na stránke ďalších sprostredkovateľov, ak Zákazník odoberá jej aktualizácie. Zákazník môže v tejto lehote namietať z dôvodov ochrany osobných údajov. Strany námietku v dobrej viere prerokujú; ak nedôjde k riešeniu, môže Zákazník dotknuté služby ukončiť bez sankcie, s pomerným vrátením predplatených cien za dosiaľ nedodané služby.

Sustainly ukladá každému ďalšiemu sprostredkovateľovi povinnosti v oblasti ochrany osobných údajov nie menej prísne než tie uvedené v tomto Dodatku a zostáva voči Zákazníkovi plne zodpovedný za plnenie ich povinností.

7. Sprostredkovatelia využívajúci umelú inteligenciu

Sustainly využíva služby umelej inteligencie na extrakciu, klasifikáciu a štruktúrovanie informácií z nahraných dokumentov. Vo vzťahu k týmto službám platí, že:

• obsah odovzdaný na spracovanie nie je využívaný na trénovanie modelov poskytovateľa;
• spracovanie prebieha bez uchovávania alebo s krátkou dobou uchovávania výhradne na účely monitoringu zneužitia, ako je pri jednotlivých poskytovateľoch uvedené v Prílohe 3;
• je volený región spracovania v EÚ tam, kde ho poskytovateľ ponúka;
• nevykonáva sa automatizované rozhodovanie s právnymi alebo podobne významnými účinkami pre dotknuté osoby;
• výstupy vznikajú s podporou umelej inteligencie a podliehajú vlastnej kontrole Zákazníka podľa Obchodných podmienok.

8. Súčinnosť prevádzkovateľovi

S ohľadom na povahu spracúvania poskytne Sustainly Zákazníkovi vhodnými technickými a organizačnými opatreniami v možnom rozsahu súčinnosť pri:

• vybavovaní žiadostí dotknutých osôb podľa kapitoly III GDPR. Ak Sustainly takúto žiadosť dostane priamo, vecne na ňu neodpovie, odkáže dotknutú osobu na Zákazníka a bez zbytočného odkladu Zákazníka upovedomí;
• plnení povinností podľa čl. 32 až 36 GDPR, t. j. bezpečnosť spracúvania, oznamovanie porušenia, posúdenie vplyvu na ochranu údajov a predchádzajúca konzultácia.

Súčinnosť presahujúca primerane požadovaný rozsah alebo vyplývajúca z toho, že Zákazník službu vhodne nenastavil, môže byť po predchádzajúcom upozornení účtovaná podľa štandardných sadzieb Sustainly.

9. Porušenie ochrany osobných údajov

Sustainly upovedomí Zákazníka bez zbytočného odkladu, najneskôr však do 48 hodín po tom, čo sa dozvie o porušení ochrany osobných údajov týkajúcom sa údajov spracúvaných pre Zákazníka. Oznámenie opíše povahu porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky a prijaté či navrhované opatrenia. Ak úplné informácie nie sú ihneď k dispozícii, budú poskytnuté postupne bez zbytočného ďalšieho odkladu.

Sustainly neoznamuje porušenie dozorným orgánom ani dotknutým osobám za Zákazníka, okrem prípadu, keď mu to Zákazník písomne uloží.

10. Vrátenie a vymazanie

Po ukončení služieb môže Zákazník počas 30 dní exportovať svoje údaje a vygenerované reporty. Po uplynutí tejto lehoty Sustainly do 90 dní od ukončenia vymaže všetky osobné údaje spracúvané pre Zákazníka, vrátane údajov zo záloh v súlade s cyklom rotácie záloh, okrem prípadu, keď právo EÚ alebo členského štátu vyžaduje ich ďalšie uchovávanie. Na žiadosť Sustainly vymazanie písomne potvrdí.

11. Audit

Sustainly poskytne Zákazníkovi všetky informácie nevyhnutné na preukázanie súladu s čl. 28 GDPR a umožní audity, vrátane inšpekcií, vykonávané Zákazníkom alebo ním povereným audítorom, a poskytne k nim súčinnosť.

Sustainly najprv zodpovie primerané písomné žiadosti o informácie a poskytne aktuálnu bezpečnostnú dokumentáciu. Ak to nepostačuje, možno vykonať audit na mieste najviac raz ročne, na základe 30-dňového písomného oznámenia, v pracovnom čase, bez neprimeraného narušenia prevádzky, za podmienok mlčanlivosti a na náklady Zákazníka — okrem prípadu, keď audit odhalí podstatný nesúlad, vtedy znáša primerané náklady Sustainly. Ďalšie audity možno vykonať po porušení ochrany osobných údajov alebo ak to vyžaduje dozorný orgán.

12. Prenos do tretích krajín

Osobné údaje sú spracúvané a uložené v Európskej únii. Sustainly neprenesie osobné údaje mimo EHP bez povolenia Zákazníka a bez platného mechanizmu prenosu podľa kapitoly V GDPR — teda rozhodnutia o primeranosti podľa čl. 45 alebo štandardných zmluvných doložiek podľa čl. 46 spolu s posúdením vplyvu prenosu a prípadnými nevyhnutnými doplnkovými opatreniami. Každý takýto prenos bude uvedený v Prílohe 3.

13. Zodpovednosť a trvanie

Zodpovednosť podľa tohto Dodatku podlieha obmedzeniam uvedeným v Obchodných podmienkach v rozsahu prípustnom právnymi predpismi. Nič v tomto Dodatku neobmedzuje zodpovednosť ktorejkoľvek strany voči dotknutým osobám alebo dozorným orgánom podľa čl. 82 a 83 GDPR.

Tento Dodatok nadobúda účinnosť prvým použitím platformy Zákazníkom a trvá počas obdobia, keď Sustainly spracúva osobné údaje pre Zákazníka. Články 4, 10, 11 a 13 zostávajú v platnosti aj po ukončení.

Príloha 1 — Opis spracúvania

Predmet: poskytovanie platformy Sustainly na ESG reporting, výpočet uhlíkovej stopy podniku a produktu a hodnotenie klimatických rizík.

Doba trvania: počas platnosti Obchodných podmienok, predĺženú o lehoty na vymazanie podľa článku 10.

Povaha a účel: získavanie, štruktúrovanie, ukladanie, extrakcia, analýza, výpočet, generovanie reportov a vymazanie informácií obsiahnutých v dokumentoch nahraných Zákazníkom, na účely vytvorenia objednaných výstupov.

Kategórie osobných údajov: osobné údaje obsiahnuté príležitostne v nahraných podnikových záznamoch. Spravidla: mená, pracovné pozície a pracovné kontaktné údaje zamestnancov, podpisujúcich osôb a kontaktných osôb dodávateľov uvedené na faktúrach, v zmluvách, na vyúčtovaniach energií, vo mzdových prehľadoch a finančných záznamoch; a identifikátory typu osobného čísla zamestnanca. O tom, čo nahrá, rozhoduje Zákazník, ktorému je uložené nenahrávať osobitné kategórie osobných údajov.

Kategórie dotknutých osôb: zamestnanci a dodávatelia Zákazníka; zamestnanci a zástupcovia dodávateľov, zákazníkov a obchodných partnerov Zákazníka.

Frekvencia: priebežne, počas poskytovania služieb.

Príloha 2 — Technické a organizačné opatrenia

Riadenie prístupu. Prístup podľa rolí; správcovský prístup na princípe minimálnych oprávnení; individuálne menné účty bez zdieľaných prihlasovacích údajov; viacfaktorové overenie pri správcovských a infraštruktúrnych účtoch; preskúmanie prístupu pri zmene roly a jeho odobratie pri odchode.

Šifrovanie. TLS 1.2 a vyššie pre všetok prenos údajov; šifrovanie uložených údajov a záloh; heslá ukladané moderným algoritmom s použitím soli.

Oddelenie. Logické oddelenie údajov jednotlivých Zákazníkov; oddelenie produkčného prostredia od vývojového a testovacieho; produkčné osobné údaje nie sú využívané na testovanie.

Dostupnosť a odolnosť. Pravidelné automatizované zálohovanie s určenou dobou uchovávania; zdokumentovaný postup obnovy a jeho pravidelné testovanie; hostingová infraštruktúra v EÚ.

Logovanie a monitoring. Aplikačné a prístupové logy; uchovávanie bezpečnostných logov 12 mesiacov; monitoring neobvyklých prístupov.

Správa zraniteľností. Včasné záplatovanie infraštruktúry a závislostí; skenovanie zraniteľností v závislostiach; riadenie zmien pri produkčných nasadeniach.

Organizačné opatrenia. Záväzky mlčanlivosti pre všetkých pracovníkov s prístupom k údajom; školenie v oblasti ochrany osobných údajov; zdokumentovaný postup reakcie na incidenty vrátane internej eskalácie a upovedomenia Zákazníka; písomné zmluvy o spracúvaní so všetkými ďalšími sprostredkovateľmi; vedenie záznamov o spracovateľských činnostiach podľa čl. 30 ods. 2 GDPR.

Vymazanie. Zdokumentovaný postup na vymazanie a vrátenie údajov Zákazníka po ukončení, zahŕňajúci zálohy.