Zmluva o spracúvaní osobných údajov (DPA)

⚠️ NÁVRH — pred zverejnením musí schváliť právnik. Ide o vzor podľa čl. 28 GDPR zostavený z technického auditu systému. Nebol posúdený advokátom. Pred podpisom s konkrétnym zákazníkom ho dajte skontrolovať — najmä prílohu o subdodávateľoch a prenose do USA.

Vzor — verzia z 27. 7. 2026 (doplnený štatutárny zástupca)

Zmluvné strany

Prevádzkovateľ: zákazník — firma, ktorá službu GPSko používa (obchodné meno, sídlo, IČO doplní zákazník)

Sprostredkovateľ:

prevádzkovateľ služby GPSko

Zmluva sa uzatvára podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR) a tvorí súčasť Všeobecných obchodných podmienok.

1. Predmet a povaha spracúvania

Sprostredkovateľ spracúva osobné údaje výhradne na to, aby prevádzkovateľovi poskytoval službu GPSko — teda zaznamenávanie polohy vozidiel, tvorbu knihy jázd, výkazov a súvisiacich funkcií.

Spracúvanie zahŕňa: zber údajov z telematických jednotiek, ich uloženie, odvodenie jázd, prevod súradníc na adresy, zobrazenie v aplikácii, generovanie výkazov, zálohovanie a mazanie.

2. Doba spracúvania

Po dobu trvania zmluvy o poskytovaní služby a 30 dní po jej ukončení (lehota na prevzatie údajov). Potom sa údaje vymažú podľa čl. 8.

3. Kategórie dotknutých osôb

• zamestnanci a spolupracovníci prevádzkovateľa, ktorí vedú vozidlá,
• používatelia aplikácie u prevádzkovateľa (admin, dispečer, vodič),
• osoby uvedené ako držiteľ alebo používateľ vozidla.

4. Kategórie osobných údajov

Osobitné kategórie údajov podľa čl. 9 GDPR sa nespracúvajú.

Polohové údaje viazané na identifikovaného vodiča tvoria pohybový profil — sprostredkovateľ ich považuje za najcitlivejšiu kategóriu a uplatňuje na ne kratšiu dobu uchovávania (čl. 8).

5. Povinnosti sprostredkovateľa

Sprostredkovateľ:

a) spracúva údaje len na zdokumentovaný pokyn prevádzkovateľa; pokynom je aj používanie funkcií aplikácie, b) zaviaže osoby s prístupom k údajom mlčanlivosťou, c) prijme opatrenia podľa čl. 32 GDPR (pozri čl. 6), d) zapojí ďalšieho sprostredkovateľa len za podmienok podľa čl. 7, e) pomáha prevádzkovateľovi vybaviť žiadosti dotknutých osôb (prístup, oprava, výmaz, prenosnosť), f) pomáha pri plnení povinností podľa čl. 32–36 GDPR, g) po ukončení údaje vymaže podľa čl. 8, h) poskytne informácie potrebné na preukázanie súladu a umožní audit, i) bezodkladne, najneskôr do 48 hodín oznámi prevádzkovateľovi porušenie ochrany údajov, o ktorom sa dozvedel.

5a. Sprístupnenie údajov tretej strane na pokyn prevádzkovateľa

Systém umožňuje prevádzkovateľovi vytvoriť API prístup pre tretiu stranu (napríklad pre odberateľa prepravy) a určiť, ktoré konkrétne vozidlá tretia strana uvidí.

Zmluvné strany berú na vedomie, že:

1. Vytvorenie takého prístupu je pokynom prevádzkovateľa podľa čl. 28 ods. 3 písm. a) GDPR. Sprostredkovateľ tento pokyn iba technicky vykonáva.
2. Sprostredkovateľ prístup nezriaďuje z vlastnej iniciatívy ani na žiadosť tretej strany. Ak sa tretia strana obráti priamo na sprostredkovateľa, ten ju odkáže na prevádzkovateľa.
3. Za výber tretej strany, rozsah sprístupnených vozidiel, právny základ takého sprístupnenia a za splnenie informačnej povinnosti voči dotknutým osobám zodpovedá prevádzkovateľ. Sprostredkovateľ tieto skutočnosti neposudzuje a nemá na to podklady.
4. Sprostredkovateľ zabezpečuje, aby prístup technicky nepresiahol rozsah určený prevádzkovateľom (menovitý zoznam vozidiel), aby bol prístup kedykoľvek odvolateľný a aby sa jeho vytvorenie, zmena a zrušenie zaznamenávalo.
5. Cez API sa poskytuje poloha a prehľad jázd; podrobná trasa jazdy bod po bode sa neposkytuje.

Tretia strana, ktorej prevádzkovateľ prístup udelí, nie je ďalším sprostredkovateľom sprostredkovateľa podľa čl. 4 tejto zmluvy — jej vzťah k údajom vzniká priamo voči prevádzkovateľovi a ten si ho s ňou musí upraviť samostatne.

6. Bezpečnostné opatrenia

7. Ďalší sprostredkovatelia (subdodávatelia)

Prevádzkovateľ dáva všeobecný súhlas so zapojením ďalších sprostredkovateľov uvedených nižšie. Zmenu sprostredkovateľa oznámi sprostredkovateľ najmenej 30 dní vopred; prevádzkovateľ môže voči zmene namietať a v prípade neodstránenia námietky zmluvu ukončiť.

K AI asistentom: do Anthropic API sa odosiela len text otázky, ktorú používateľ napíše, spolu s našou znalostnou bázou. Neodosielajú sa jazdy, polohy, ani iné údaje z databázy — asistent k nim nemá prístup. Obsah konverzácií sa neukladá.

8. Vymazanie a vrátenie údajov

Po ukončení zmluvy si prevádzkovateľ zvolí, či údaje vráti (export v strojovo čitateľnom formáte) alebo vymaže. Ak si nezvolí do 30 dní, údaje sa vymažú.

Vymazanie zahŕňa: jazdy, surové polohové body, vodičov, vozidlá, jednotky, používateľov a súvisiace záznamy. Zo záloh údaje zmiznú do 30 dní podľa rotácie záloh. Sprostredkovateľ vydá o vymazaní písomné potvrdenie.

Doba uchovávania počas trvania zmluvy:

• surové polohové body: predvolene 24 mesiacov (nastaviteľné),
• jazdy: dlhšie, keďže sú účtovným a daňovým dokladom; prevádzkovateľ ako daňový subjekt zodpovedá za dodržanie archivačných lehôt,
• diagnostické záznamy o pripojení jednotiek vrátane IP: 7 dní.

9. Audit

Sprostredkovateľ poskytne na písomnú žiadosť informácie preukazujúce plnenie tejto zmluvy. Fyzický audit je možný po dohode, najviac raz ročne, v pracovnom čase a bez neprimeraného zásahu do prevádzky; náklady znáša prevádzkovateľ.

10. Zodpovednosť

Zodpovednosť sa riadi čl. 82 GDPR a Všeobecnými obchodnými podmienkami.

Prevádzkovateľ zodpovedá za to, že má na monitorovanie vozidiel právny základ a že si splnil informačnú povinnosť voči dotknutým osobám (vodičom). Sprostredkovateľ na to dodáva vzor informačnej povinnosti.

11. Záverečné ustanovenia

Zmluva nadobúda platnosť dňom začatia poskytovania služby a trvá po dobu jej poskytovania. Pri rozpore s Všeobecnými obchodnými podmienkami má vo veciach ochrany údajov prednosť táto zmluva.

Podpisy