Zmluva o spracúvaní osobných údajov

Príloha obchodných podmienok · účinné od 2026-10-06 · slovenský preklad; rozhodujúce je české znenie

Táto zmluva podľa čl. 28 nariadenia (EÚ) 2016/679 (všeobecné nariadenie o ochrane údajov) (ďalej len „všeobecné nariadenie o ochrane údajov“) sa uzatvára medzi Organizáciou, ktorá používa platformu Negotiq (ďalej len „Prevádzkovateľ“), a SynQflows, s.r.o., IČO 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (ďalej len „Sprostredkovateľ“), a je súčasťou Obchodných podmienok. Uzatvára sa prijatím Obchodných podmienok a trvá počas trvania Zmluvy. Pojmy s veľkým začiatočným písmenom majú význam podľa Obchodných podmienok.

1. Predmet a rozsah spracúvania

Predmet	spracúvanie osobných údajov, ktoré Prevádzkovateľ alebo jeho Používatelia vkladajú na Platformu alebo ktoré Platforma na ich pokyn prijíma či odosiela: Obsah Používateľa (Dopyty, špecifikácie, prílohy, cenníky, údaje kolegov a kontaktných osôb), správy zaslané na Adresu na príjem e-mailov, prístupové údaje k napojeným systémom a údaje z nich stiahnuté a údaje odosielané na Webhooky Prevádzkovateľa
Povaha a účel	uloženie, sprístupnenie oprávneným osobám a protistranám rokovania, import a prevod cenníkov, prijatie a vyhodnotenie e-mailových správ, stiahnutie údajov z napojených systémov, export objednávok, odoslanie oznámení na Webhooky, zálohovanie a ďalšie technické spracúvanie nevyhnutné na poskytovanie Platformy
Kategórie dotknutých osôb	zamestnanci a spolupracovníci Prevádzkovateľa; kontaktné osoby jeho obchodných partnerov; odosielatelia správ na Adresu na príjem e-mailov; osoby, ktorých údaje sú obsiahnuté v cenníku stiahnutom z napojeného systému
Kategórie údajov	identifikačné a kontaktné údaje (meno, pracovný e-mail, telefón, funkcia); údaje o e-mailových správach (odosielateľ, adresát, predmet, čas prijatia, výsledky overenia odosielateľa) a ich prílohy; prihlasovacie údaje k napojeným systémom; ďalšie údaje, ktoré Prevádzkovateľ do obsahu vloží. Osobitné kategórie osobných údajov ani osobné údaje týkajúce sa uznania viny za trestné činy Prevádzkovateľ nevkladá
Doba	počas trvania Zmluvy a do vymazania podľa článku 8; správy prijaté na Adresu na príjem e-mailov 90 dní od prijatia; záznamy o doručení Webhookov najviac 90 dní

2. Pokyny Prevádzkovateľa

Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, a to aj pokiaľ ide o prenos do tretích krajín. Pokyny sú dané Obchodnými podmienkami, touto zmluvou a nastaveniami Platformy; nastavením Integrácie (Adresa na príjem e-mailov, napojenie ERP, Webhook, API kľúč pre agenta tretej strany) dáva Prevádzkovateľ pokyn na spracúvanie v rozsahu, ktorý Integrácia vyžaduje. Ďalšie pokyny dáva Správca Organizácie v textovej podobe.
Ak sa Sprostredkovateľ domnieva, že pokyn porušuje všeobecné nariadenie o ochrane údajov alebo iné predpisy o ochrane osobných údajov, bezodkladne o tom informuje Prevádzkovateľa a do jeho vyjadrenia nemusí pokyn vykonať.
Ak Sprostredkovateľovi spracúvanie ukladá právo Únie alebo členského štátu, informuje o tom Prevádzkovateľa vopred, ibaže to tento predpis zakazuje (čl. 28 ods. 3 písm. a) všeobecného nariadenia o ochrane údajov).
Sprostredkovateľ nespracúva osobné údaje Prevádzkovateľa na vlastné účely. Anonymizované a agregované štatistiky (čl. 11 ods. 2 Obchodných podmienok) osobné údaje neobsahujú. Záznamy Auditného reťazca, Potvrdenia a Záznamy AP2 spracúva Sprostredkovateľ ako samostatný prevádzkovateľ podľa Zásad ochrany osobných údajov, a nie podľa tejto zmluvy.
Prevádzkovateľ zodpovedá za zákonnosť spracúvania, za informovanie dotknutých osôb a za to, že je oprávnený osobné údaje na Platformu vložiť a udeliť prístup do napojených systémov.

3. Povinnosti Sprostredkovateľa

Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali zachovávať mlčanlivosť alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti.
Sprostredkovateľ prijme technické a organizačné opatrenia podľa čl. 32 všeobecného nariadenia o ochrane údajov uvedené v Prílohe 1. Opatrenia môže meniť, ak tým nezníži celkovú úroveň zabezpečenia.
Sprostredkovateľ pomáha Prevádzkovateľovi vybavovať žiadosti dotknutých osôb, a to predovšetkým nástrojmi Platformy (export údajov vo formáte JSON, oprava údajov, zrušenie účtu Používateľa alebo Organizácie). Žiadosť, ktorú dostane priamo od dotknutej osoby, postúpi Prevádzkovateľovi bez zbytočného odkladu a sám na ňu vecne neodpovie.
Sprostredkovateľ pomáha Prevádzkovateľovi plniť povinnosti podľa čl. 32 až 36 všeobecného nariadenia o ochrane údajov (bezpečnosť, oznamovanie porušenia, posúdenie vplyvu a predchádzajúca konzultácia), a to s ohľadom na povahu spracúvania a informácie, ktoré má k dispozícii.

4. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné povolenie na zapojenie ďalších sprostredkovateľov. Aktuálny zoznam:

Ďalší sprostredkovateľ	Činnosť	Umiestnenie, záruky
Railway Corporation	hosting aplikácie a databázy, zálohy	USA / EÚ; štandardné zmluvné doložky (modul 3) alebo rámec ochrany osobných údajov medzi EÚ a USA (EU-U.S. Data Privacy Framework)
Anthropic, PBC	prevod neštruktúrovaných cenníkov do tabuľky (len pri použití funkcie)	USA; štandardné zmluvné doložky (modul 3); bez trénovania modelov na údajoch
poskytovateľ príjmu e-mailov (konkrétny poskytovateľ bude doplnený do zoznamu pred spustením funkcie)	príjem správ zaslaných na Adresy na príjem e-mailov a ich odovzdanie Platforme	bude uvedené spolu s poskytovateľom; prenos mimo EHP len so zárukami podľa článku 7
poskytovateľ e-mailovej služby (SMTP)	doručovanie faktúr, upomienok a prevádzkových správ (adresa príjemcu a obsah správy)	EÚ

O zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa informuje Sprostredkovateľ Prevádzkovateľa najmenej 14 dní vopred na Platforme alebo e-mailom Správcovi Organizácie. Prevádzkovateľ môže v tejto lehote z odôvodnených dôvodov týkajúcich sa ochrany osobných údajov vzniesť námietku. Strany sa pokúsia nájsť riešenie; ak ho nenájdu, môže Prevádzkovateľ Zmluvu bez sankcie vypovedať s účinnosťou pred zapojením ďalšieho sprostredkovateľa.
Sprostredkovateľ uloží ďalším sprostredkovateľom zmluvou rovnaké povinnosti týkajúce sa ochrany osobných údajov, aké má podľa tejto zmluvy, vrátane dostatočných záruk prijatia technických a organizačných opatrení, a zodpovedá Prevádzkovateľovi za plnenie ich povinností (čl. 28 ods. 4 všeobecného nariadenia o ochrane údajov).
Systémy, ktoré zvolí sám Prevádzkovateľ (napojené systémy ERP, produktové feedy, koncové body Webhookov a agenti tretích strán), nie sú ďalšími sprostredkovateľmi Sprostredkovateľa; údaje im Sprostredkovateľ odovzdáva na pokyn Prevádzkovateľa.

5. Porušenie ochrany osobných údajov

Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, na e-mail Správcu Organizácie a na Platforme.
Oznámenie obsahuje informácie podľa čl. 33 ods. 3 všeobecného nariadenia o ochrane údajov, ktoré má Sprostredkovateľ k dispozícii (povaha porušenia, kategórie a približný počet dotknutých osôb a záznamov, kontaktné miesto, pravdepodobné následky a prijaté alebo navrhované opatrenia); informácie, ktoré nie sú známe, dopĺňa postupne.
Sprostredkovateľ bezodkladne prijme opatrenia na odstránenie porušenia a zmiernenie jeho následkov, s Prevádzkovateľom spolupracuje a porušenie dokumentuje. Oznámenie nie je uznaním zodpovednosti.

6. Informácie a audity

Sprostredkovateľ poskytne Prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 všeobecného nariadenia o ochrane údajov, predovšetkým prostredníctvom dokumentu Bezpečnosť a dôvera a odpovedí na primeraný bezpečnostný dotazník.
Ak tieto informácie nepostačujú, umožní Sprostredkovateľ audit Prevádzkovateľom alebo nezávislým audítorom, ktorý je viazaný mlčanlivosťou a nie je konkurentom Sprostredkovateľa, a to po oznámení najmenej 30 dní vopred, najviac raz za kalendárny rok (s výnimkou porušenia ochrany údajov alebo požiadavky dozorného orgánu), na náklady Prevádzkovateľa, bez prístupu k údajom ostatných zákazníkov a bez ohrozenia ich bezpečnosti.
Kontrolné právomoci dozorných orgánov nie sú dotknuté.

7. Prenos mimo EHP

Prenos do tretích krajín prebieha len so zárukami podľa kapitoly V všeobecného nariadenia o ochrane údajov.
Ak Sprostredkovateľ prenáša osobné údaje ďalšiemu sprostredkovateľovi v tretej krajine, pre ktorú neexistuje rozhodnutie o primeranosti (alebo príjemca nie je certifikovaný v rámci EU-U.S. Data Privacy Framework), uzavrie s ním štandardné zmluvné doložky podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914, modul 3 (prenos medzi sprostredkovateľmi), posúdi právne prostredie krajiny príjemcu a prijme doplňujúce opatrenia (najmä šifrovanie pri prenose aj uložení a minimalizáciu údajov).
Prevádzkovateľ takéto prenosy týmto povoľuje. Kópiu záruk poskytne Sprostredkovateľ Prevádzkovateľovi na požiadanie; obchodné dojednania v nej môže začierniť.

8. Vymazanie a vrátenie údajov

Počas trvania Zmluvy môže Prevádzkovateľ údaje Organizácie kedykoľvek exportovať vo formáte JSON a údaje sám vymazať.
Po skončení Zmluvy Sprostredkovateľ podľa voľby Prevádzkovateľa osobné údaje vráti (export) alebo vymaže, a to do 30 dní vrátane kópií, ibaže právny predpis vyžaduje ich ďalšie uchovávanie. Zálohy sa prepíšu v bežnom cykle najneskôr do 90 dní; dovtedy sú chránené a nepoužívajú sa.
Správy prijaté na Adresu na príjem e-mailov sa vymazávajú automaticky po 90 dňoch. Prístupové údaje k napojenému systému Sprostredkovateľ prestane používať okamžite po zrušení napojenia a vymaže ich najneskôr podľa odseku 2.
Na záznamy podľa čl. 2 ods. 4 druhej a tretej vety sa tento článok nevzťahuje.

9. Zodpovednosť, prednosť a rozhodné právo

Zodpovednosť strán sa riadi čl. 82 všeobecného nariadenia o ochrane údajov a Obchodnými podmienkami vrátane ich obmedzení v rozsahu, v akom ich zákon pripúšťa. Vo veciach ochrany osobných údajov má táto zmluva prednosť pred Obchodnými podmienkami. Zmluva sa riadi právom Českej republiky.

Príloha 1 — Technické a organizačné opatrenia

Šifrovanie a pseudonymizácia: šifrovanie celej komunikácie (TLS) a šifrovanie uložených údajov u poskytovateľa hostingu; prístupové údaje k napojeným systémom a tajné kľúče Webhookov šifrované AES-256-GCM; heslá ako hash Argon2id; záchranné kódy, prihlasovacie relácie a API kľúče uložené iba ako odtlačok; pseudonymizácia záznamov Auditného reťazca po zrušení účtu.
Riadenie prístupu: prístup podľa rolí, ktoré spravuje Správca Organizácie; oddelenie údajov jednotlivých Organizácií vynútené na úrovni aplikácie; prílohy iba oprávneným osobám a vždy na stiahnutie; prístup do produkčného prostredia iba povereným osobám Sprostredkovateľa viazaným mlčanlivosťou.
Ochrana účtov a relácií: súbory cookie HttpOnly, Secure a SameSite; kontrola pôvodu (Origin) pri požiadavkách meniacich údaje; dočasné zamknutie účtu po opakovaných neúspešných pokusoch o prihlásenie; zmena hesla ukončí všetky relácie; limity počtu požiadaviek pri API.
Integrita a overiteľnosť: Auditný reťazec s kryptografickým previazaním záznamov, ktorých zmenu alebo vymazanie blokuje databázový trigger; podpisy Mandátov, Potvrdení a Záznamov AP2 algoritmom Ed25519; Webhooky podpísané HMAC-SHA256.
Dostupnosť a obnova: pravidelné zálohy databázy; prepis záloh najneskôr do 90 dní.
Minimalizácia a vymazanie: správy na Adrese na príjem e-mailov 90 dní; prevádzkové logy najviac 90 dní; pri potenciálnych dodávateľoch iba všeobecné firemné kontakty; automatický import e-mailov iba od Overených odosielateľov.
Bezpečný vývoj: automatické testy bezpečnostných invariantov (oddelenie Organizácií, medze Agentov, dôvernosť limitov) pri každej zmene; závislosti s pevne určenými verziami; Agenti nečítajú obsah súborov ako pokyny.
Incidenty a preskúmanie: postup riešenia incidentov a oznamovania podľa článku 5; kanál na hlásenie zraniteľností; pravidelné preskúmanie účinnosti opatrení.

Podrobnejší opis uvádza dokument Bezpečnosť a dôvera.