Zmluva o spracúvaní osobných údajov

podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (GDPR) a § 34 zákona č. 18/2018 Z. z. o ochrane osobných údajov. Platná a účinná od 12. 11. 2026 (verzia 2026-11-12).

Zmluvné strany

Prevádzkovateľ: objednávateľ služby Ofrela – podnikateľ, ktorý sa zaregistroval a odsúhlasil túto zmluvu (údaje podľa jeho účtu), ďalej „prevádzkovateľ“.

Sprostredkovateľ: Patrik Radošovský - Reklamix, Obchodná 13, 921 01 Piešťany, IČO 41948106, IČ DPH SK1075605410, zapísaný v Živnostenskom registri Okresného úradu Piešťany, č. 230-13413, e-mail info@ofrela.com, ďalej „sprostredkovateľ“.

Táto zmluva je súčasťou zmluvy o poskytovaní služby Ofrela podľa Obchodných podmienok a uzatvára sa súhlasom pri registrácii.

1. Predmet a účel

1.1. Prevádzkovateľ používa službu Ofrela na spracovanie dopytov svojich zákazníkov a na prípravu a odoslanie cenových ponúk. Pri tom sprostredkovateľ v mene prevádzkovateľa spracúva osobné údaje, ktoré prevádzkovateľ do služby vloží alebo ktoré do nej prídu z jeho e-mailovej schránky.

1.2. Prevádzkovateľom týchto údajov je objednávateľ (firma), nie Ofrela. Objednávateľ určuje, o koho údaje ide a na čo sa používajú; zodpovedá za právny základ spracúvania a za informovanie svojich zákazníkov.

1.3. Účel spracúvania: príjem a spracovanie dopytov, príprava, úprava, odoslanie a sledovanie cenových ponúk (vrátane pripomienok a stránky ponuky pre zákazníka), evidencia zákazníkov a komunikácie k ponukám, technická podpora.

2. Rozsah spracúvania

2.1. Dotknuté osoby: zákazníci a potenciálni zákazníci prevádzkovateľa (a ich kontaktné osoby), odosielatelia dopytov, používatelia účtu prevádzkovateľa (zamestnanci).

2.2. Kategórie osobných údajov: meno a priezvisko, e-mailová adresa, telefón, názov firmy a pracovné zaradenie, adresa, obsah e-mailov a dopytov, prílohy (napr. fotky, výkresy, dokumenty), obsah ponúk a otázok k nim, údaje o otvorení a prijatí ponuky (čas, počet zobrazení), technické údaje potrebné na prevádzku a bezpečnosť (napr. IP adresa v záznamoch servera).

2.3. Osobitné kategórie osobných údajov (napr. o zdraví) sa v službe spracúvať nemajú. Ak ich prevádzkovateľovi pošle zákazník v dopyte, prevádzkovateľ zabezpečí, že ich spracúvanie je zákonné, alebo ich zo služby odstráni.

2.4. Spracovateľské operácie: získavanie (z e-mailovej schránky alebo preposlaním), uchovávanie, usporiadanie, vyhľadávanie, automatizované čítanie a vyhodnotenie obsahu dopytu umelou inteligenciou, úprava, poskytovanie zákazníkovi prevádzkovateľa (odoslanie ponuky), zálohovanie, vymazanie.

2.5. Doba spracúvania: počas trvania zmluvy o službe a lehoty na export po jej skončení podľa bodu 9.

3. Povinnosti sprostredkovateľa

Sprostredkovateľ:

3.1. spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa – pokynmi sú táto zmluva, obchodné podmienky, nastavenia a úkony prevádzkovateľa v aplikácii a jeho písomné (aj e-mailové) pokyny. Ak sa sprostredkovateľ domnieva, že pokyn porušuje právne predpisy, bez zbytočného odkladu na to upozorní;

3.2. zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti;

3.3. prijme primerané technické a organizačné opatrenia podľa čl. 32 GDPR (príloha – bod 11);

3.4. dodržiava podmienky zapojenia ďalších sprostredkovateľov (bod 5);

3.5. pomáha prevádzkovateľovi primeranými opatreniami pri vybavovaní žiadostí dotknutých osôb (prístup, oprava, vymazanie, prenos a pod.) – najmä tým, že mu umožní údaje v aplikácii nájsť, opraviť, stiahnuť a zmazať;

3.6. pomáha prevádzkovateľovi pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu, predchádzajúca konzultácia) s ohľadom na povahu spracúvania a dostupné informácie;

3.7. po skončení poskytovania služby osobné údaje vymaže alebo vráti podľa bodu 9;

3.8. poskytne prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audit podľa bodu 8;

3.9. nepoužije osobné údaje prevádzkovateľa na vlastné účely, najmä nie na reklamu, a nepredá ich.

4. Povinnosti prevádzkovateľa

4.1. Prevádzkovateľ zodpovedá za to, že má na spracúvanie osobných údajov svojich zákazníkov právny základ (spravidla predzmluvné vzťahy a oprávnený záujem odpovedať na dopyt) a že svojich zákazníkov informoval podľa čl. 13 a 14 GDPR, vrátane toho, že dopyty spracúva pomocou služby s umelou inteligenciou.

4.2. Prevádzkovateľ do služby nevkladá viac osobných údajov, ako potrebuje, a nastaví ju (napr. pripomienky ponúk, automatické odosielanie) v súlade s právnymi predpismi.

4.3. Prevádzkovateľ kontroluje a schvaľuje ponuky pred odoslaním; služba nerobí voči zákazníkom prevádzkovateľa automatizované rozhodnutia s právnymi účinkami – rozhoduje vždy prevádzkovateľ.

5. Ďalší sprostredkovatelia

5.1. Prevádzkovateľ udeľuje sprostredkovateľovi všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov. Ku dňu účinnosti sú to:

5.2. E-maily sa odosielajú a prijímajú cez vlastnú e-mailovú schránku prevádzkovateľa (jeho poskytovateľa pošty). Poskytovateľ pošty prevádzkovateľa je jeho vlastným dodávateľom, nie ďalším sprostredkovateľom Ofrely.

5.3. Google, Meta (Facebook, Instagram) a LinkedIn nie sú ďalšími sprostredkovateľmi pre údaje prevádzkovateľa. Ich nástroje (meranie návštevnosti a reklamy) sa používajú len na verejnom webe Ofrela pre návštevníkov, ktorí s tým súhlasili, a len podľa dokumentu Ochrana osobných údajov. Do aplikácie, k dopytom, ponukám ani na stránky ponúk pre zákazníkov prevádzkovateľa sa nenačítavajú.

5.4. O zámere pridať alebo vymeniť ďalšieho sprostredkovateľa informuje sprostredkovateľ prevádzkovateľa e-mailom alebo v aplikácii aspoň 30 dní vopred. Prevádzkovateľ môže v tejto lehote vzniesť odôvodnenú námietku; ak sa strany nedohodnú, prevádzkovateľ môže zmluvu o službe ukončiť ku dňu zmeny bez sankcie a s vrátením pomernej časti zaplatenej ceny.

5.5. Sprostredkovateľ zaviaže ďalšieho sprostredkovateľa v zmluve rovnakými povinnosťami ochrany údajov, ako má podľa tejto zmluvy, a voči prevádzkovateľovi zodpovedá za plnenie jeho povinností.

6. Prenos do tretích krajín

6.1. Osobné údaje sa môžu preniesť mimo Európskeho hospodárskeho priestoru len ďalšiemu sprostredkovateľovi uvedenému v bode 5 a len so zárukami podľa kapitoly V GDPR (rozhodnutie o primeranosti vrátane rámca EÚ – USA na ochranu údajov, alebo štandardné zmluvné doložky).

7. Porušenie ochrany osobných údajov

7.1. Sprostredkovateľ oznámi prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, e-mailom na adresu účtu. Oznámenie obsahuje dostupné informácie podľa čl. 33 ods. 3 GDPR a doplní sa, keď budú známe ďalšie.

7.2. Oznámenie Úradu na ochranu osobných údajov a dotknutým osobám robí prevádzkovateľ; sprostredkovateľ mu pri tom poskytne súčinnosť.

8. Kontrola a audit

8.1. Prevádzkovateľ môže požiadať o informácie o spracúvaní a opatreniach; sprostredkovateľ odpovie do 30 dní.

8.2. Prevádzkovateľ môže vykonať audit (aj prostredníctvom audítora viazaného mlčanlivosťou) po oznámení aspoň 30 dní vopred, najviac raz ročne, v pracovnom čase a bez narušenia prevádzky a dôvernosti údajov iných objednávateľov. Náklady auditu znáša prevádzkovateľ, ak audit neodhalí podstatné porušenie tejto zmluvy.

9. Ukončenie a vymazanie údajov

9.1. Po skončení zmluvy o službe si prevádzkovateľ môže 30 dní stiahnuť svoje údaje (export).

9.2. Potom sprostredkovateľ osobné údaje vymaže najneskôr do ďalších 30 dní, zo záloh najneskôr do 90 dní, ak právo EÚ alebo SR nevyžaduje ich ďalšie uchovávanie. Na požiadanie prevádzkovateľ dostane potvrdenie o vymazaní.

10. Zodpovednosť a záverečné ustanovenia

10.1. Na zodpovednosť zmluvných strán sa vzťahuje čl. 82 GDPR; inak platia ustanovenia o zodpovednosti v Obchodných podmienkach, ak to zákon dovoľuje.

10.2. Táto zmluva platí počas trvania zmluvy o službe a po jej skončení až do vymazania všetkých osobných údajov prevádzkovateľa.

10.3. Pri rozpore medzi touto zmluvou a obchodnými podmienkami má v otázkach ochrany osobných údajov prednosť táto zmluva.

10.4. Zmluva sa spravuje právom Slovenskej republiky. Zmeny sa robia rovnako ako zmeny obchodných podmienok.

11. Príloha – technické a organizačné opatrenia

• šifrované spojenie (HTTPS/TLS) medzi prehliadačom a službou a pri spojení so schránkou prevádzkovateľa (TLS 1.2 a vyššie) (certifikát Let's Encrypt)
• heslá používateľov uložené len ako jednosmerný odtlačok (scrypt), nikdy v čitateľnej podobe
• heslá k e-mailovej schránke prevádzkovateľa uložené šifrovane (AES-256-GCM)
• oddelenie údajov jednotlivých objednávateľov – každý vidí len svoje
• ochrana formulárov proti podvrhnutiu, obmedzenie počtu pokusov o prihlásenie
• stránka ponuky pre zákazníka je dostupná len cez náhodný, neuhádnuteľný odkaz a nie je indexovaná vyhľadávačmi
• na stránkach ponúk a v aplikácii sa nenačítavajú žiadne reklamné ani analytické nástroje tretích strán
• pravidelné zálohy (denne, na Hetzner Storage Box), obmedzený prístup k serveru (len sprostredkovateľ)
• aktualizácie softvéru a bezpečnostných opráv
• prístup k údajom prevádzkovateľa len pri podpore na jeho žiadosť alebo pri riešení poruchy