Zmluva o spracúvaní údajov

ReportSecurely
Skiwo AS · Pilestredet 17, 0164 Oslo · privacy@reportsecurely.com
Effective date: 23 January 2026

Tento dokument bol preložený pre vaše pohodlie. V prípade akéhokoľvek rozporu má prednosť anglická verzia.

Táto zmluva o spracúvaní údajov ("DPA") tvorí súčasť zmluvy medzi zákazníkom ("prevádzkovateľ") a Skiwo AS, prevádzkovateľom platformy Report Securely ("sprostredkovateľ"), na poskytovanie služieb oznamovacieho systému a bezpečného nahlasovania ("služba").

Táto DPA je uzavretá v súlade s požiadavkami článku 28 všeobecného nariadenia o ochrane údajov (EÚ) 2016/679 ("GDPR") a upravuje spracúvanie osobných údajov sprostredkovateľom v mene prevádzkovateľa.

1. Definície

Pojmy použité v tejto DPA majú rovnaký význam ako v GDPR, pokiaľ nie je stanovené inak. "Osobné údaje" znamenajú akékoľvek osobné údaje spracúvané sprostredkovateľom v mene prevádzkovateľa v súvislosti so službou. "Ďalší sprostredkovateľ" znamená akúkoľvek tretiu stranu poverenú sprostredkovateľom spracúvaním osobných údajov v mene prevádzkovateľa.

2. Rozsah a účel spracúvania

Sprostredkovateľ spracúva osobné údaje výhradne na účely poskytovania služby prevádzkovateľovi, ako je opísané v hlavnej zmluve o službách a v tejto DPA.

Kategórie dotknutých osôb zahŕňajú: oznamovateľov, osoby uvedené v oznámeniach, spracovateľov prípadov a oprávnených používateľov v rámci organizácie prevádzkovateľa. Typy spracúvaných osobných údajov môžu zahŕňať: mená, kontaktné údaje, obsah oznámení, komunikáciu medzi oznamovateľmi a spracovateľmi prípadov, metaúdaje prípadov a záznamy auditu.

Trvanie spracúvania zodpovedá dobe platnosti hlavnej zmluvy o službách plus akákoľvek doba uchovávania vyžadovaná platným právom alebo dohodnutá medzi stranami.

3. Povinnosti sprostredkovateľa

Sprostredkovateľ je povinný:

Spracúvať osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa, pokiaľ to nevyžaduje príslušný právny predpis
Zabezpečiť, aby osoby oprávnené spracúvať osobné údaje boli viazané povinnosťou mlčanlivosti
Implementovať primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti primeranej riziku
Nepoveriť iného sprostredkovateľa (ďalšieho sprostredkovateľa) bez predchádzajúceho písomného súhlasu prevádzkovateľa
Pomáhať prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb podľa článkov 15–22 GDPR
Pomáhať prevádzkovateľovi pri zabezpečení súladu s článkami 32–36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu)
Podľa voľby prevádzkovateľa vymazať alebo vrátiť všetky osobné údaje po ukončení služby, pokiaľ ich uchovávanie nevyžaduje príslušný právny predpis
Sprístupniť prevádzkovateľovi všetky informácie potrebné na preukázanie súladu so záväzkami stanovenými v tejto DPA a článku 28 GDPR

4. Bezpečnostné opatrenia

Sprostredkovateľ implementuje a udržiava nasledujúce technické a organizačné bezpečnostné opatrenia:

Šifrovanie údajov pri prenose (TLS 1.2 alebo vyššie) a v pokoji (AES-256)
Riadenie prístupu na základe rolí s princípom najmenších privilégií
Auditné záznamy všetkých významných akcií v rámci platformy
Pravidelné bezpečnostné testovanie a hodnotenie zraniteľností
Bezpečné postupy vývoja softvéru podľa usmernení OWASP
Automatizované zálohy so šifrovaným úložiskom
Prísne bezpečnostné hlavičky (HSTS, CSP, X-Frame-Options)

Sprostredkovateľ pravidelne preveruje a aktualizuje tieto opatrenia tak, aby odrážali súčasný stav techniky a povahu, rozsah a účely spracovania.

5. Ďalší sprostredkovatelia

Prevádzkovateľ poskytuje všeobecné oprávnenie Sprostredkovateľovi na zapojenie ďalších sprostredkovateľov, za podmienok uvedených v tejto časti.

Sprostredkovateľ informuje Prevádzkovateľa o akýchkoľvek plánovaných zmenách týkajúcich sa pridania alebo nahradenia ďalších sprostredkovateľov, čím Prevádzkovateľovi poskytne možnosť namietať proti takýmto zmenám.

Ak Sprostredkovateľ zapojí ďalšieho sprostredkovateľa, uloží mu rovnaké povinnosti ochrany údajov, ako sú stanovené v tejto DPA, prostredníctvom zmluvy, čím zabezpečí, že ďalší sprostredkovateľ poskytne dostatočné záruky na implementáciu primeraných technických a organizačných opatrení.

Sprostredkovateľ zostává voči Prevádzkovateľovi plne zodpovedný za plnenie povinností ďalšieho sprostredkovateľa.

6. Prenosy údajov

Všetky osobné údaje sa uchovávajú a spracúvajú v rámci Európskeho hospodárskeho priestoru (EHP).

Sprostredkovateľ nesmie preniesť osobné údaje do krajiny mimo EHP alebo medzinárodnej organizácii, pokiaľ: (a) prevádzkovateľ neposkytol predchádzajúce písomné povolenie a (b) nie sú zavedené primerané záruky v súlade s kapitolou V GDPR, ako sú štandardné zmluvné doložky EÚ alebo rozhodnutie Európskej komisie o primeranosti.

7. Oznámenie o porušení ochrany údajov

Sprostredkovateľ oznámi prevádzkovateľovi bez zbytočného odkladu po tom, čo sa dozvie o porušení ochrany osobných údajov týkajúcom sa osobných údajov spracúvaných podľa tejto DPA.

Oznámenie musí obsahovať: opis povahy porušenia, kategórie a približný počet dotknutých subjektov údajov, pravdepodobné dôsledky porušenia a opatrenia prijaté alebo navrhnuté na riešenie porušenia.

8. Práva na audit

Sprostredkovateľ sprístupní prevádzkovateľovi všetky informácie potrebné na preukázanie súladu so záväzkami stanovenými v článku 28 GDPR a tejto DPA a umožní audity vrátane kontrol vykonávaných prevádzkovateľom alebo iným audítorom povereným prevádzkovateľom a bude na nich spolupracovať.

Audity sa vykonávajú s primeraným upozornením a počas bežných pracovných hodín a nesmú neprimerane narúšať prevádzku sprostredkovateľa.

9. Vymazanie a vrátenie údajov

Po ukončení služby sprostredkovateľ podľa voľby prevádzkovateľa vymaže alebo vráti všetky osobné údaje prevádzkovateľovi a vymaže existujúce kópie, pokiaľ platné právne predpisy nevyžadujú pokračujúce uchovávanie.

Prevádzkovateľ môže pred ukončením požiadať o export údajov v bežne používanom strojovo čitateľnom formáte.

10. Zodpovednosť

Zodpovednosť každej strany podľa tejto DPA podlieha obmedzeniam a vylúčeniam stanoveným v hlavnej zmluve o poskytovaní služieb medzi stranami.

Nič v tejto DPA neobmedzuje zodpovednosť ktorejkoľvek strany za porušenie zákonov o ochrane údajov v rozsahu, v akom takúto zodpovednosť nemožno obmedziť podľa platného práva.

11. Rozhodné právo

Táto DPA sa riadi nórskym právom. Akýkoľvek spor vyplývajúci z tejto DPA alebo s ňou súvisiaci podlieha výlučnej jurisdikcii Okresného súdu v Osle, pokiaľ kogentné právo nestanoví inak.

12. Kontakt

V prípade otázok týkajúcich sa tejto DPA alebo záležitostí ochrany údajov kontaktujte:
Skiwo AS
Pilestredet 17, 0164 Oslo, Norway
Email: privacy@reportsecurely.com