Zmluva o spracúvaní osobných údajov
Účinné od 5. 12. 2026. Verzia 1.0.
Podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR), verzia 1.0. Zmluva je súčasťou obchodných podmienok Porticanu a klient ju prijíma registráciou obchodu. Na požiadanie pošleme klientovi podpísané vyhotovenie.
Účinnosť a zmeny. Táto verzia je účinná uplynutím 30 dní od odoslania oznámenia klientom e-mailom. Pre klienta, ktorý sa zaregistruje neskôr, je účinná dňom registrácie. Každú ďalšiu zmenu oznámime klientom e-mailom a je účinná uplynutím 30 dní od odoslania oznámenia. Klient, ktorý so zmenou nesúhlasí, môže zmluvu ukončiť ku dňu jej účinnosti.
1. Strany
Prevádzkovateľ: klient Porticanu, ktorý prevádzkuje obchod (ďalej „klient“), podľa údajov zadaných pri registrácii.
Sprostredkovateľ: Nydrok LLC, 1209 Mountain Road Pl NE, Ste R, Albuquerque, NM 87110, USA, EIN 36-5152970. Zástupca v EÚ podľa čl. 27 GDPR: Matúš Mikčo, Duplín 119, 091 01 Stropkov, Slovenská republika, matus@portican.com.
2. Predmet, povaha a účel
Sprostredkovateľ spracúva osobné údaje zákazníkov klienta výlučne na to, aby klientovi prevádzkoval obchod Portican: zobrazenie obchodu, prijímanie a vybavovanie objednávok, zákaznícke účty, komunikáciu so zákazníkmi, dopravu, doklady, zálohovanie, podporu a asistenta v administrácii. Spracúva len v rozsahu funkcií, ktoré si klient zapol.
3. Rozsah
| Dotknuté osoby | zákazníci a záujemcovia obchodu klienta, príjemcovia zásielok, obsluha obchodu a partneri s prístupom do administrácie |
|---|---|
| Kategórie údajov | meno, kontaktné údaje, fakturačné a dodacie adresy, objednávky, stav platieb (bez údajov platobných kariet), komunikácia, prihlasovacie a technické údaje |
| Osobitné kategórie (čl. 9) | klient ich do obchodu nevkladá; ak ich potrebuje spracúvať (napríklad pri zdravotníckom sortimente), vopred to oznámi a strany sa dohodnú na doplnkových opatreniach |
| Trvanie | počas trvania zmluvy a lehôt podľa čl. 11 obchodných podmienok |
4. Práva a povinnosti klienta
Klient zodpovedá za zákonnosť spracúvania a za pokyny, ktoré dáva. Má právo dávať pokyny, kontrolovať plnenie tejto zmluvy a namietať zapojenie ďalších sprostredkovateľov podľa článku 6.
5. Povinnosti sprostredkovateľa
Sprostredkovateľ:
- spracúva údaje len na zdokumentovaný pokyn klienta, a to aj pri prenose do tretej krajiny, ibaže mu spracúvanie ukladá právo Únie alebo členského štátu; v takom prípade o tejto požiadavke informuje klienta pred spracúvaním, ak to toto právo nezakazuje z dôležitých dôvodov verejného záujmu. Pokynom sú tieto podmienky, nastavenia obchodu a písomné pokyny klienta. Ak by pokyn podľa neho porušoval právo, bezodkladne na to klienta upozorní;
- zaväzuje mlčanlivosťou každú osobu, ktorá má k údajom prístup;
- prijíma technické a organizačné opatrenia podľa prílohy 1;
- zapája ďalších sprostredkovateľov len podľa článku 6;
- pomáha klientovi plniť povinnosti voči dotknutým osobám podľa kapitoly III GDPR (prístup, oprava, výmaz, obmedzenie spracúvania, prenosnosť, námietka), a to funkciami administrácie a exportom;
- pomáha klientovi pri zabezpečení, oznamovaní porušení ochrany údajov, posúdení vplyvu a predchádzajúcej konzultácii;
- porušenie ochrany osobných údajov oznámi klientovi bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, s informáciami, ktoré má k dispozícii;
- po skončení zmluvy podľa voľby klienta údaje vymaže, alebo mu ich vráti exportom a potom vymaže, vrátane existujúcich kópií. Lehoty sú v čl. 11 obchodných podmienok: klient má po skončení zmluvy 90 dní prístup do administrácie s možnosťou exportu, potom sa údaje uchovávajú ešte 90 dní bez jeho prístupu a potom sa vymažú. Kópie v zálohách zaniknú najneskôr 90 dní po vymazaní. Vymazanie sa netýka údajov, ktoré musí sprostredkovateľ uchovať podľa práva Únie alebo členského štátu, najmä dokladov a účtovných záznamov;
- poskytne klientovi informácie potrebné na preukázanie súladu a umožní audit vrátane kontroly. Audit môže vykonať klient alebo ním poverený audítor viazaný mlčanlivosťou. Vykonáva sa najprv písomným dotazníkom; obhliadku na mieste klient oznámi aspoň 30 dní vopred a hradí ju sám, ak neodhalí porušenie.
6. Ďalší sprostredkovatelia
Klient dáva všeobecný súhlas so zapojením ďalších sprostredkovateľov uvedených v prílohe 2. O zámere pridať alebo vymeniť sprostredkovateľa informuje sprostredkovateľ klienta e-mailom aspoň 30 dní vopred. To platí aj pre nového poskytovateľa jazykového modelu pre asistenta a ostatné nástroje v administrácii. Klient môže do 14 dní namietať; ak sa nedohodnú, klient môže zmluvu ukončiť bez sankcie ku dňu zmeny.
Nydrok LLC je povinný mať s každým ďalším sprostredkovateľom, ktorému sprístupňuje osobné údaje zákazníkov klienta, zmluvu, ktorá mu ukladá tie isté povinnosti ochrany údajov v rozsahu čl. 28 ods. 4 GDPR, a za jeho plnenie zodpovedá klientovi. Nástroje fal.ai uvedené v prílohe 2 nie sú určené na spracúvanie osobných údajov zákazníkov.
7. Prenos mimo Európskej únie
Server a databáza obchodov sú v Európskej únii (netcup, Viedeň, Rakúsko). Obrázky, súkromné súbory, exporty a kópie záloh ukladá Cloudflare v úložisku R2 (príloha 2). Sprostredkovateľ sídli v USA a správca platformy pristupuje k službe na diaľku aj z krajín mimo EHP (príloha 2). Ide preto o prenos údajov do tretej krajiny.
- Na prenos od klienta k sprostredkovateľovi sa uplatňujú štandardné zmluvné doložky podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914, modul 2 (prevádzkovateľ sprostredkovateľovi), ako vhodná záruka podľa čl. 46 ods. 2 písm. c) GDPR. Klient je vývozca, Nydrok LLC dovozca a sprostredkovateľ. Doložky sú do tejto zmluvy zapracované odkazom s týmito voľbami: doložka 7 (pristúpenie) sa použije; doložka 9 písm. a) možnosť 2 (všeobecný súhlas, oznámenie 30 dní vopred); doložka 11 bez nezávislého orgánu riešenia sporov; doložka 13: príslušný je dozorný orgán členského štátu, v ktorom je klient usadený (príloha I.C); doložka 17 možnosť 1, právo Slovenskej republiky; doložka 18 súdy Slovenskej republiky. Prílohy doložiek tvoria články 1 až 3 a prílohy 1 a 2 tejto zmluvy.
- Prenos k ďalším sprostredkovateľom mimo EHP zabezpečuje Nydrok LLC certifikáciou dodávateľa v EU-US Data Privacy Framework (vykonávacie rozhodnutie Komisie (EÚ) 2023/1795), štandardnými zmluvnými doložkami v zmluve s dodávateľom, alebo rozhodnutím Komisie o primeranosti krajiny dodávateľa.
- Ak by doložky, rámec alebo rozhodnutie o primeranosti prestali platiť, sprostredkovateľ bez odkladu prejde na iný nástroj podľa kapitoly V GDPR a klienta o tom informuje.
8. Rozhodné právo
Táto zmluva sa spravuje právom Slovenskej republiky. Spory rozhodujú súdy Slovenskej republiky.
Príloha 1: Technické a organizačné opatrenia
| Oblasť | Opatrenie |
|---|---|
| Umiestnenie | server a databáza obchodov u netcup GmbH vo Viedni (Rakúsko); obrázky, súkromné súbory, exporty a kópie záloh v úložisku Cloudflare R2 |
| Prenos | šifrované spojenie HTTPS, ochrana pred útokmi cez Cloudflare |
| Zálohy | záloha každú noc, overená obnovením do dočasnej databázy; na serveri 7 denných a 4 týždenné kópie; kópia mimo servera v Cloudflare R2, kde sa uchováva 90 dní |
| Tajomstvá integrácií | šifrovanie AES-256-GCM, v administrácii maskované |
| Oddelenie obchodov | každý obchod má vlastný kanál a oprávnenia, export a mazanie len pre daný obchod |
| Prístup | meno a heslo; dvojfaktorové overenie (TOTP so záložnými kódmi) povinné pre správcov platformy, pre obsluhu obchodu voliteľné alebo nariadené obchodom |
| Asistent v administrácii | osobné údaje zákazníka dostane jazykový model len po výslovnom súhlase obsluhy; súhlas sa zapisuje a platí len pre toho, kto súhlasil, a pre oznámené miesto spracovania (v EÚ alebo mimo EÚ); v jednom rozhovore najviac 20 sprístupnení |
| Mazanie | vymazanie obchodu spúšťa ručne správca platformy po uplynutí lehôt, s potvrdením vypísaním označenia obchodu; doklady a účtovné záznamy sa uchovávajú po dobu podľa predpisov |
| Záznamy servera | prístupové záznamy obchodov najviac 7 dní |
| Platobné karty | údaje kariet spracúva len Stripe, Portican ich nemá |
Príloha 2: Ďalší sprostredkovatelia a krajiny prístupu
| Sprostredkovateľ | Činnosť | Miesto spracúvania | Nástroj prenosu |
|---|---|---|---|
| netcup GmbH, Karlsruhe, Nemecko | server, databáza, zálohy na serveri | EÚ, Viedeň (Rakúsko) | netreba |
| Cloudflare, Inc., USA | doručovanie webu, ochrana pred útokmi, úložisko R2 (obrázky, súkromné súbory, exporty obchodov, kópie záloh) | celosvetová sieť; úložisko R2 podľa jurisdikcie nastavenej pri bucketoch | čl. 7 bod 2 |
| Mailgun Technologies, Inc., európska oblasť | odosielanie e-mailov obchodov (predvolený poskytovateľ) | EÚ | čl. 7 bod 2 |
| Amazon Web Services, Inc. (Amazon SES) | záložné odosielanie e-mailov pri výpadku Mailgunu, alebo hlavné, ak ho správca platformy prepne | oblasť podľa nastavenia, predvolene EÚ (Frankfurt) | čl. 7 bod 2 |
| OpenAI OpCo, LLC, USA | asistent v administrácii: rozhovor s obsluhou, obrázky a súbory, ktoré obsluha priloží, a po výslovnom súhlase obsluhy aj meno, e-mail, telefón a adresa zákazníka konkrétnej objednávky; písanie a preklad obsahu (blog, karty tovaru, preklady katalógu); čítanie obrázkov produktov; hlas podcastu z textu | USA | čl. 7 bod 2 |
| Features & Labels Inc. (fal.ai), USA | generovanie a úprava obrázkov produktov a reklám, hlas podcastu z textu | USA a ďalšie krajiny | nástroje nie sú určené na osobné údaje (pozri nižšie) |
| OpenStreetMap Foundation (služba Nominatim), Spojené kráľovstvo | prevod adresy, ktorú zákazník zadá v obchode, na polohu pri výpočte ceny dopravy podľa vzdialenosti; len ak obchod túto funkciu nastaví | Spojené kráľovstvo | rozhodnutie Komisie o primeranosti |
Stripe tu nie je: platby zákazníkov obchodu prijíma obchodník cez vlastný účet Stripe (platba vzniká kľúčom obchodu na jeho účte), takže Stripe je jeho zmluvný partner, nie ďalší sprostredkovateľ Nydrok LLC. Nydrok LLC používa Stripe len na platby predplatného a na výplaty provízií partnerom (Stripe Connect), čo sa údajov zákazníkov obchodov netýka.
OpenAI a fal.ai. Spracúvajú údaje len vtedy, keď obsluha obchodu použije príslušný nástroj. Osobné údaje zákazníkov môže dostať len jazykový model asistenta, a len po výslovnom súhlase obsluhy. Asistent najprv obsluhe oznámi, že údaje pôjdu na server jazykového modelu, a či je v EÚ alebo mimo EÚ. Až po súhlase môže modelu poslať meno, e-mail, telefón a adresu zákazníka konkrétnej objednávky. Súhlas sa zapisuje (kto a kedy súhlasil, miesto spracovania, ktoré údaje a ktorej objednávky) a platí len pre toho, kto súhlasil, a len pre oznámené miesto spracovania; pri zmene miesta sa pýta znova. V jednom rozhovore asistent sprístupní údaje zákazníkov najviac 20-krát. Nástroje fal.ai sú určené na fotky produktov a obrázky reklám; obsluha do nich nemá vkladať údaje zákazníkov ani fotky osôb.
Krajiny vzdialeného prístupu správcu: USA (sídlo Nydrok LLC) a ďalšie krajiny mimo EHP, z ktorých správca platformy dočasne pristupuje na diaľku. Ich aktuálny zoznam vedie Nydrok LLC v zázname o spracovateľských činnostiach a poskytne ho klientovi pred začatím prístupu a pri každej zmene. Pre tieto krajiny Nydrok LLC vypracuje písomné posúdenie vplyvu prenosu podľa doložky 14.