← Späť na hlavnú stránku

Zmluva o spracúvaní osobných údajov

podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (GDPR) a § 34 zákona č. 18/2018 Z. z. o ochrane osobných údajov

Platné od 20. 10. 2026

1. Úvodné ustanovenia
2. Predmet, povaha a účel spracúvania
3. Doba spracúvania
4. Pokyny prevádzkovateľa
5. Povinnosti prevádzkovateľa
6. Povinnosti sprostredkovateľa
7. Ďalší sprostredkovatelia
8. Prenos do tretích krajín
9. Práva dotknutých osôb
10. Porušenie ochrany osobných údajov
11. Ukončenie spracúvania, vrátenie a výmaz
12. Preukazovanie súladu a audit
13. Zodpovednosť
14. Záverečné ustanovenia
15. Príloha č. 1 — Opis spracúvania
16. Príloha č. 2 — Technické a organizačné opatrenia
17. Príloha č. 3 — Zoznam ďalších sprostredkovateľov

1. Úvodné ustanovenia

1. Sprostredkovateľ prevádzkuje online službu Inventio na podporu obchodného rozvoja (ďalej „služba“). Pri jej poskytovaní spracúva osobné údaje v mene prevádzkovateľa.
2. Táto zmluva upravuje práva a povinnosti zmluvných strán pri spracúvaní osobných údajov a je neoddeliteľnou súčasťou zmluvy, objednávky alebo iného dojednania, na základe ktorého prevádzkovateľ službu používa (ďalej „hlavná zmluva“).
3. Zmluva je uzavretá okamihom jej podpisu oboma stranami, alebo okamihom, keď prevádzkovateľ objedná službu alebo začne službu používať s odkazom na túto zmluvu — podľa toho, čo nastane skôr. Na požiadanie ju sprostredkovateľ podpíše aj v listinnej alebo elektronickej podobe.
4. Pojmy (osobné údaje, spracúvanie, prevádzkovateľ, sprostredkovateľ, dotknutá osoba, porušenie ochrany osobných údajov a pod.) majú význam podľa čl. 4 GDPR.

2. Predmet, povaha a účel spracúvania

1. Predmetom zmluvy je spracúvanie osobných údajov sprostredkovateľom výlučne na účel poskytovania služby prevádzkovateľovi podľa hlavnej zmluvy.
2. Povahu a účel spracúvania, kategórie osobných údajov a kategórie dotknutých osôb opisuje Príloha č. 1.
3. Sprostredkovateľ nesmie spracúvať osobné údaje na vlastné účely ani ich poskytnúť tretím osobám, s výnimkou ďalších sprostredkovateľov podľa čl. 7 a prípadov, keď mu to ukladá právo EÚ alebo Slovenskej republiky.
4. Sprostredkovateľ nepoužíva osobné údaje prevádzkovateľa na trénovanie modelov umelej inteligencie a zabezpečuje, aby ich na tento účel nepoužívali ani ďalší sprostredkovatelia.

3. Doba spracúvania

1. Spracúvanie trvá počas trvania hlavnej zmluvy a ďalej len na čas potrebný na vrátenie a výmaz údajov podľa čl. 11.

4. Pokyny prevádzkovateľa

1. Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa. Za zdokumentované pokyny sa považuje táto zmluva, hlavná zmluva, nastavenia a úkony vykonané prevádzkovateľom a jeho používateľmi v službe (napr. import zoznamov, spustenie vyhľadania leadov, AI analýzy, vytvorenie formulára alebo sledovanej ponuky) a pokyny zaslané e-mailom.
2. Ak sa sprostredkovateľ domnieva, že pokyn porušuje GDPR alebo iné predpisy o ochrane údajov, bez zbytočného odkladu na to prevádzkovateľa upozorní a do vyjasnenia nie je povinný pokyn vykonať.

5. Povinnosti prevádzkovateľa

1. Prevádzkovateľ zodpovedá za to, že osobné údaje spracúva v službe zákonne — má na ich spracúvanie právny základ (čl. 6 GDPR), plní informačné povinnosti voči dotknutým osobám (čl. 13 a 14 GDPR) a údaje do služby vkladá alebo ich v nej získava v súlade s právnymi predpismi.
2. To platí najmä pre funkcie, pri ktorých služba na pokyn prevádzkovateľa vyhľadáva informácie z verejných zdrojov (vyhľadanie leadov, mapy spoločností, rozhodovatelia, signály), pre dopytový formulár na webe prevádzkovateľa (odkaz na zásady ochrany osobných údajov prevádzkovateľa) a pre sledované ponuky (služba príjemcovi zobrazí upozornenie, že odosielateľ vidí otvorenie ponuky).
3. Prevádzkovateľ do služby nevkladá osobitné kategórie osobných údajov (čl. 9 GDPR) ani údaje o trestných činoch (čl. 10 GDPR), ak sa strany písomne nedohodnú inak.
4. Prevádzkovateľ spravuje prístupy svojich používateľov a zodpovedá za ochranu ich prihlasovacích údajov.

6. Povinnosti sprostredkovateľa

1. Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby podliehali zákonnej povinnosti mlčanlivosti; mlčanlivosť trvá aj po skončení zmluvy.
2. Sprostredkovateľ prijme primerané technické a organizačné opatrenia podľa čl. 32 GDPR. Ich súčasný opis je v Prílohe č. 2. Opatrenia môže meniť, ak sa tým úroveň ochrany neznižuje.
3. Sprostredkovateľ vedie záznamy o kategóriách spracovateľských činností podľa čl. 30 ods. 2 GDPR.
4. Sprostredkovateľ poskytne prevádzkovateľovi primeranú súčinnosť pri plnení jeho povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu, predchádzajúca konzultácia), s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii.

7. Ďalší sprostredkovatelia

1. Prevádzkovateľ udeľuje sprostredkovateľovi všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov. Ďalší sprostredkovatelia zapojení ku dňu účinnosti zmluvy sú uvedení v Prílohe č. 3 a prevádzkovateľ s nimi súhlasí.
2. O zamýšľanom pridaní alebo výmene ďalšieho sprostredkovateľa sprostredkovateľ informuje prevádzkovateľa e-mailom alebo zverejnením aktualizovaného zoznamu na webe aspoň 30 dní vopred. Prevádzkovateľ môže v tejto lehote z oprávnených dôvodov týkajúcich sa ochrany údajov namietať. Ak strany nenájdu riešenie, prevádzkovateľ môže hlavnú zmluvu vypovedať s účinnosťou ku dňu zmeny; nárok na pomernú časť vopred zaplatenej odplaty mu zostáva.
3. Sprostredkovateľ uloží ďalšiemu sprostredkovateľovi zmluvou rovnaké povinnosti ochrany údajov, aké má sám podľa tejto zmluvy, a voči prevádzkovateľovi zodpovedá za ich plnenie.

8. Prenos do tretích krajín

1. Osobné údaje sa uchovávajú v Slovenskej republike. Prenos do tretej krajiny nastáva len pri využití AI funkcií služby prostredníctvom ďalšieho sprostredkovateľa Anthropic, PBC (USA), a to v rozsahu podkladov potrebných pre konkrétnu úlohu.
2. Prenos je zabezpečený štandardnými zmluvnými doložkami podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914, ktoré sú súčasťou zmluvy o spracúvaní údajov tohto ďalšieho sprostredkovateľa. Podľa jeho podmienok sa údaje zaslané cez API nepoužívajú na trénovanie modelov a spravidla sa vymažú do 30 dní.
3. Iný prenos do tretej krajiny je možný len s predchádzajúcim súhlasom prevádzkovateľa alebo ak ho ukladá právo EÚ či Slovenskej republiky.

9. Práva dotknutých osôb

1. Sprostredkovateľ pomáha prevádzkovateľovi primeranými technickými a organizačnými opatreniami plniť povinnosť reagovať na žiadosti dotknutých osôb. Služba umožňuje údaje vyhľadať, opraviť, vymazať a exportovať (CSV, JSON).
2. Ak sa dotknutá osoba obráti priamo na sprostredkovateľa so žiadosťou, ktorá sa týka údajov prevádzkovateľa, sprostredkovateľ ju bez zbytočného odkladu postúpi prevádzkovateľovi a sám na ňu vecne neodpovie, ak sa strany nedohodnú inak.

10. Porušenie ochrany osobných údajov

1. Sprostredkovateľ oznámi prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, na e-mailovú adresu vlastníka priestoru alebo kontaktnú adresu prevádzkovateľa.
2. Oznámenie obsahuje informácie podľa čl. 33 ods. 3 GDPR, ktoré má sprostredkovateľ k dispozícii (povaha porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky, prijaté a navrhované opatrenia, kontaktná osoba). Ak nie je možné poskytnúť všetky informácie naraz, poskytne ich postupne.
3. Sprostredkovateľ bez zbytočného odkladu prijme opatrenia na zmiernenie následkov a poskytne prevádzkovateľovi súčinnosť pri oznámení úradu a dotknutým osobám.

11. Ukončenie spracúvania, vrátenie a výmaz

1. Prevádzkovateľ si môže údaje kedykoľvek exportovať. Po skončení hlavnej zmluvy sprostredkovateľ na žiadosť prevádzkovateľa údaje odovzdá v strojovo čitateľnom formáte (CSV alebo JSON) a následne, najneskôr do 30 dní od skončenia, vymaže osobné údaje prevádzkovateľa zo služby.
2. Kópie v zálohách zaniknú automaticky uplynutím doby uchovávania záloh (14 dní). Údaje u ďalšieho sprostredkovateľa Anthropic sa vymazávajú podľa jeho podmienok.
3. Povinnosť výmazu sa nevzťahuje na údaje, ktorých uchovanie ukladá právo EÚ alebo Slovenskej republiky; tie sa ďalej spracúvajú len na tento účel.

12. Preukazovanie súladu a audit

1. Sprostredkovateľ poskytne prevádzkovateľovi na požiadanie informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR, najmä aktuálny opis opatrení a zoznam ďalších sprostredkovateľov.
2. Prevádzkovateľ alebo ním poverený audítor viazaný mlčanlivosťou môže vykonať audit vrátane kontroly, spravidla raz ročne a po oznámení aspoň 30 dní vopred, v pracovnom čase a bez neprimeraného narušenia prevádzky. Audit u ďalších sprostredkovateľov sa vykonáva prostredníctvom správ a certifikátov, ktoré títo sprostredkovatelia poskytujú. Náklady auditu znáša prevádzkovateľ, ak audit neodhalí podstatné porušenie tejto zmluvy.

13. Zodpovednosť

1. Každá zmluvná strana zodpovedá za škodu spôsobenú porušením svojich povinností podľa tejto zmluvy a podľa GDPR v rozsahu čl. 82 GDPR. Ak hlavná zmluva upravuje obmedzenie zodpovednosti, uplatní sa v rozsahu, v ktorom to právne predpisy pripúšťajú.

14. Záverečné ustanovenia

1. Zmluva sa uzatvára na dobu trvania hlavnej zmluvy. Ustanovenia o mlčanlivosti, vrátení a výmaze údajov platia aj po jej skončení.
2. V prípade rozporu medzi touto zmluvou a hlavnou zmluvou majú v otázkach ochrany osobných údajov prednosť ustanovenia tejto zmluvy.
3. Sprostredkovateľ môže túto zmluvu zmeniť, ak to vyžaduje zmena právnych predpisov alebo služby; zmenu oznámi prevádzkovateľovi aspoň 30 dní vopred. Zmena nesmie znížiť úroveň ochrany osobných údajov. Ak prevádzkovateľ so zmenou nesúhlasí, môže hlavnú zmluvu vypovedať ku dňu účinnosti zmeny.
4. Zmluva sa riadi právom Slovenskej republiky. Spory budú rozhodovať príslušné súdy Slovenskej republiky.
5. Slovenské znenie zmluvy je záväzné; preklady majú len informatívny charakter.

Príloha č. 1 — Opis spracúvania

Povaha spracúvania

uchovávanie, usporiadanie, vyhľadávanie, prezeranie, úprava, analýza (vrátane AI analýzy), export, odovzdanie a výmaz údajov v rámci služby; získavanie údajov z verejných zdrojov na pokyn prevádzkovateľa; zápis dopytov z webového formulára a udalostí sledovaných ponúk; odosielanie upozornení e-mailom

Účel

poskytovanie služby Inventio: evidencia firiem a kontaktov (CRM), vyhľadanie a analýza potenciálnych zákazníkov, signály, príprava na stretnutia, zápis komunikácie, dopytový formulár, sledované ponuky, reporty a export

Kategórie dotknutých osôb

kontaktné osoby obchodných partnerov, zákazníkov a potenciálnych zákazníkov prevádzkovateľa; osoby, ktoré odošlú dopyt cez formulár prevádzkovateľa; príjemcovia sledovaných ponúk; používatelia služby za prevádzkovateľa; iné osoby uvedené v podkladoch, ktoré prevádzkovateľ do služby vloží

Kategórie osobných údajov

meno a priezvisko, titul, pracovná pozícia a rola v nákupnom procese, firma, pracovný e-mail a telefón, odkaz na profil LinkedIn, obsah komunikácie a poznámok, obsah dopytov a priložené súbory, verejne dostupné profesijné informácie; pri sledovaných ponukách čas a dĺžka zobrazenia, stiahnutie príloh, typ prehliadača a pseudonymizovaný odtlačok IP adresy; pri používateľoch prihlasovacie údaje (heslo len ako odtlačok), rola, záznam aktivít vrátane IP adresy pri prihlásení

Osobitné kategórie údajov

nespracúvajú sa (čl. 5 ods. 3 zmluvy)

Miesto spracúvania

Slovenská republika (hosting); USA len pri AI funkciách podľa čl. 8 zmluvy

Doba spracúvania

počas trvania hlavnej zmluvy a najviac 30 dní po jej skončení; zálohy 14 dní

Príloha č. 2 — Technické a organizačné opatrenia

Umiestnenie a fyzická bezpečnosť

• Aplikácia, databáza a súbory sú u poskytovateľa WebSupport s.r.o. v dátovom centre v Bratislave; zálohy hostingu sa ukladajú v inom dátovom centre, tiež v Bratislave.
• Dátové centrum: kontrola vstupu, detekcia pohybu, požiarna signalizácia, detekcia dymu a vody, hasiace zariadenia, nepretržitá strážna služba; prístup len oprávnených pracovníkov poskytovateľa.
• Poskytovateľ hostingu podlieha zákonu č. 69/2018 Z. z. o kybernetickej bezpečnosti a pravidelným auditom kybernetickej bezpečnosti.

Prenos a sieť

• Komunikácia s aplikáciou je šifrovaná (HTTPS, TLS 1.2 a 1.3; TLS 1.0 a 1.1 sú vypnuté).
• Webový aplikačný firewall (WAF) a ochrana pred DDoS útokmi na strane poskytovateľa; nepretržitý monitoring prevádzky.
• Prístup na server len šifrovanými protokolmi (SFTP, SSH); zákaznícke účty na serveri sú technicky oddelené.

Riadenie prístupu v aplikácii

• Každý zákazník má vlastný oddelený priestor (workspace); používatelia vidia len priestory, ku ktorým majú prístup.
• Roly: vlastník (spravuje tím), editor (pracuje s dátami), len náhľad (bez zmien); administrátori sprostredkovateľa.
• Heslá sa ukladajú len ako jednosmerný odtlačok (bcrypt). Po 8 neúspešných pokusoch o prihlásenie z jednej IP adresy sa prihlasovanie na 15 minút zablokuje.
• Relácia v cookie s atribútmi HttpOnly a SameSite, pri HTTPS aj Secure; formuláre sú chránené proti podvrhnutým požiadavkám (CSRF).
• Dôležité akcie (prihlásenie, zmeny, exporty, mazanie) sa zapisujú do záznamu aktivít.

Ochrana údajov a súborov

• Databáza a nahrané súbory nie sú dostupné priamo z webu; súbory sa vydávajú len prihláseným používateľom s prístupom k danému priestoru.
• Pri sledovaných ponukách sa IP adresa príjemcu neukladá — ukladá sa len jej skrátený kryptografický odtlačok (pseudonymizácia); do zariadenia príjemcu sa nič neukladá.
• AI dostáva len podklady potrebné pre konkrétnu úlohu, nie celú databázu; každý beh AI sa zaznamenáva a pre každý priestor možno nastaviť mesačný limit.

Dostupnosť a obnova

• Hosting zálohuje všetky súbory denne do iného dátového centra, zálohy sa uchovávajú 14 dní.
• Aplikácia denne vytvára vlastnú konzistentnú kópiu databázy a uchováva ju 14 dní; administrátor ju môže uložiť mimo hostingu.
• Obnova je možná pre celú databázu aj jednotlivé súbory k vybranému dňu.

Organizačné opatrenia

• Prístup k údajom majú len poverené osoby sprostredkovateľa, ktoré sú viazané mlčanlivosťou, a to v rozsahu potrebnom na prevádzku a podporu.
• Bezpečnostné incidenty sa riešia bez zbytočného odkladu, vrátane posúdenia rizika a oznámenia prevádzkovateľovi podľa tejto zmluvy.
• Vývoj prebieha na oddelenej kópii; pri testovaní sa nepoužívajú údaje zákazníkov, ak to nie je nevyhnutné na vyriešenie chyby, ktorú zákazník nahlásil.
• Opatrenia sa pravidelne preverujú a aktualizujú; pripravujeme šifrovanie citlivých nastavení priamo v aplikácii a dvojfaktorové prihlásenie.

Príloha č. 3 — Zoznam ďalších sprostredkovateľov

Verejné registre (napr. slovenský register právnických osôb, český ARES), z ktorých služba dopĺňa údaje o firmách, nie sú sprostredkovateľmi — sú to zdroje verejne dostupných údajov.