Zmluva o spracúvaní osobných údajov

Príloha VOP podľa čl. 28 GDPR · účinná od 29. 9. 2026 · verzia 2026-09-29

1. Zmluvné strany a predmet

1. Prevádzkovateľ je Zákazník podľa VOP. Sprostredkovateľ je WebforRent s.r.o., Tatranská 2, 040 01 Košice, IČO 50461052.
2. Táto zmluva upravuje spracúvanie osobných údajov, ktoré Sprostredkovateľ vykonáva pre Prevádzkovateľa pri poskytovaní služby pipeticket podľa nariadenia (EÚ) 2016/679 (GDPR) a zákona č. 18/2018 Z. z. Zmluva vzniká a zaniká spolu so Zmluvou podľa VOP.

2. Rozsah spracúvania

• Účel: poskytovanie Služby - príjem, uloženie, zobrazenie, triedenie a odosielanie e-mailov, vedenie tiketov, kontaktov a klientov, upozornenia, vyhľadávanie a zálohovanie.
• Operácie: získavanie z pripojených schránok, zaznamenávanie, usporadúvanie, uchovávanie, vyhľadávanie, prezeranie, poskytovanie Používateľom Prevádzkovateľa, presun a výmaz (aj v pripojených schránkach na pokyn Používateľa).
• Dotknuté osoby: zákazníci, klienti, dodávatelia a iní korešpondenti Prevádzkovateľa, ich zamestnanci a kontaktné osoby, Používatelia Prevádzkovateľa.
• Kategórie údajov: identifikačné a kontaktné údaje (meno, e-mail, telefón, adresa, firma), obsah komunikácie a príloh, fakturačné údaje klientov, technické údaje e-mailov (hlavičky, dátumy). Obsah e-mailov môže obsahovať aj osobitné kategórie údajov; za zákonnosť ich spracúvania zodpovedá Prevádzkovateľ.
• Doba: počas trvania Zmluvy a lehoty podľa čl. 8 VOP.

3. Povinnosti Sprostredkovateľa

1. Spracúva osobné údaje len na zdokumentovaný pokyn Prevádzkovateľa. Pokynmi sú táto zmluva, VOP a úkony Používateľov v Službe (napr. pripojenie schránky, odoslanie odpovede, presun do koša, vyprázdnenie koša). Ak by pokyn podľa jeho názoru porušoval právne predpisy, bez odkladu na to upozorní. Ak mu právo EÚ alebo členského štátu ukladá iné spracúvanie, informuje o tom Prevádzkovateľa, ak to predpis nezakazuje.
2. Zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti.
3. Prijme primerané technické a organizačné opatrenia podľa čl. 32 GDPR, najmä:
   • šifrovaný prenos (HTTPS/TLS) a šifrované uloženie prístupových údajov k schránkam,
   • logické oddelenie údajov jednotlivých Firiem a prístup podľa rolí,
   • ochranu prihlásenia (hašované heslá, ochrana proti automatizovaným útokom) a obmedzenie prístupu k serverom na poverené osoby,
   • záznamy o dôležitých operáciách (audit) a aktualizácie softvéru,
   • umiestnenie serverov v dátových centrách v Európskej únii.
4. Zohľadňujúc povahu spracúvania pomáha Prevádzkovateľovi vhodnými opatreniami pri vybavovaní žiadostí dotknutých osôb, najmä funkciami Služby (vyhľadanie, oprava a výmaz údajov). Žiadosť dotknutej osoby, ktorú dostane priamo, postúpi Prevádzkovateľovi.
5. Pomáha Prevádzkovateľovi pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušenia, posúdenie vplyvu) v rozsahu dostupných informácií.
6. Porušenie ochrany osobných údajov oznámi Prevádzkovateľovi bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, s informáciami podľa čl. 33 ods. 3 GDPR, ktoré má k dispozícii.
7. Po skončení poskytovania Služby osobné údaje vráti alebo vymaže podľa čl. 8 VOP, ak právo EÚ alebo členského štátu nevyžaduje ich uchovanie.
8. Poskytne Prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožní audit alebo kontrolu vykonanú Prevádzkovateľom alebo ním povereným audítorom viazaným mlčanlivosťou, ohlásenú najmenej 30 dní vopred, v primeranom rozsahu a na náklady Prevádzkovateľa.

4. Ďalší sprostredkovatelia

1. Prevádzkovateľ udeľuje všeobecný súhlas na zapojenie ďalších sprostredkovateľov. Sprostredkovateľ ich zaviaže rovnakými povinnosťami ochrany údajov a zodpovedá za ich plnenie.
2. Aktuálni ďalší sprostredkovatelia:

   Subjekt	Činnosť	Miesto spracúvania
   Hetzner Online GmbH, Nemecko	serverová infraštruktúra, databáza, uloženie súborov a záloh	EÚ
   WebCreators, s.r.o. (HostCreators), Slovensko	odosielanie systémových e-mailov služby (overenie, pozvánky, obnova hesla, upozornenia)	EÚ (Slovensko)
   Cloudflare, Inc., USA	DNS, sieťová ochrana a doručovanie webu, ochrana formulárov (Turnstile)	globálna sieť; prenos do USA na základe rámca EU-US Data Privacy Framework a štandardných zmluvných doložiek

3. Plánovanú zmenu ďalších sprostredkovateľov oznámi Sprostredkovateľ adminom Firmy e-mailom najmenej 14 dní vopred. Prevádzkovateľ môže v tejto lehote z oprávnených dôvodov namietať; ak sa strany nedohodnú, môže Zmluvu ukončiť.
4. Služby, ktoré Prevádzkovateľ k Službe pripojí sám (jeho e-mailový hosting, vlastné úložisko ako Cloudflare R2 alebo Google Drive), nie sú ďalšími sprostredkovateľmi Sprostredkovateľa - ide o zmluvný vzťah Prevádzkovateľa s ich poskytovateľom.
5. Pripojenie AI nástrojov (MCP): ak ho admin Firmy zapne, Používateľ si môže pripojiť vlastnú AI službu (napr. Claude, Cursor, Codex) osobným tokenom. Údaje tiketov, ku ktorým má Používateľ prístup, potom spracúva táto AI služba na základe zmluvy medzi Prevádzkovateľom (alebo Používateľom) a jej poskytovateľom - nie je ďalším sprostredkovateľom Sprostredkovateľa. Funkcia je predvolene vypnutá a admin Firmy ju môže kedykoľvek vypnúť.
6. AI asistent v tikete: ak ho admin Firmy zapne a zadá kľúč vlastného poskytovateľa AI, obsah tiketu (bez príloh) sa pri použití funkcií návrhu odpovede a súhrnu posiela tomuto poskytovateľovi na základe zmluvy medzi Prevádzkovateľom a jeho poskytovateľom - nie je ďalším sprostredkovateľom Sprostredkovateľa. Kľúč sa uchováva šifrovane, obsah volaní sa neukladá (okrem súhrnu uloženého k tiketu). Funkcia je predvolene vypnutá.
7. Upozornenia na zariadení (web push): ak si ich Používateľ zapne, upozornenie (číslo a predmet tiketu) sa doručuje cez službu upozornení jeho prehliadača (napr. Apple, Google, Mozilla), ktorú určuje prehliadač. Obsah je šifrovaný end-to-end a poskytovateľ tejto služby ho nevie prečítať, preto nie je ďalším sprostredkovateľom Sprostredkovateľa. Používateľ môže upozornenia kedykoľvek vypnúť v Profile.

5. Prenos do tretích krajín

Osobné údaje sa prenášajú mimo Európsky hospodársky priestor len vtedy, ak sú splnené podmienky kapitoly V GDPR (rozhodnutie o primeranosti, štandardné zmluvné doložky alebo iné primerané záruky).

6. Povinnosti Prevádzkovateľa

Prevádzkovateľ zodpovedá za zákonnosť spracúvania, najmä za právny základ, informovanie dotknutých osôb a za to, že je oprávnený Službe sprístupniť pripojené schránky a údaje v nich.

7. Záverečné ustanovenia

Ustanovenia o zodpovednosti a ďalšie neupravené otázky sa riadia VOP. V prípade rozporu medzi VOP a touto zmluvou vo veciach ochrany osobných údajov má prednosť táto zmluva.