Zmluva o spracúvaní osobných údajov (DPA)

Verzia dokumentu: v1.0 Účinnosť od: 29.07.2026 Posledná aktualizácia: 29.07.2026

Tento dokument nie je právnym poradenstvom. Je to štandardizovaná príloha k obchodným podmienkam, ktorú Firma (zákazník) akceptuje pri založení účtu v Službe JUA. Pred použitím pri väčších/citlivejších zákazkách odporúčame dať znenie potvrdiť advokátom.

Táto Zmluva o spracúvaní osobných údajov (ďalej len „DPA“) je uzatvorená medzi:

Prevádzkovateľom (ďalej len „Zákazník“ alebo „Firma“) — organizáciou, ktorá založila účet Firmy v Službe JUA a v mene ktorej sa spracúvajú osobné údaje jej zamestnancov, spolupracovníkov a iných dotknutých osôb, a

Sprostredkovateľom: Martin Bednár, IČO: 50634551, miesto podnikania: Južná ulica 2598/8, 915 01 Nové Mesto nad Váhom, e-mail: shifts.saver@gmail.com (ďalej len „Sprostredkovateľ“ alebo „JUA“),

(spolu ďalej len „Strany“), v súlade s čl. 28 nariadenia (EÚ) 2016/679 (GDPR).

DPA dopĺňa Obchodné podmienky a Zásady spracúvania osobných údajov a je ich neoddeliteľnou súčasťou. V prípade rozporu má DPA vo veciach spracúvania osobných údajov Firmy prednosť.

1. Predmet a trvanie

1.1. Sprostredkovateľ spracúva osobné údaje v mene Zákazníka výlučne v rozsahu potrebnom na poskytovanie Služby JUA (evidencia zmien, pracovné tabuľky, fakturácia, správa tímu a súvisiace funkcie) podľa Obchodných podmienok.

1.2. DPA sa uplatňuje po celú dobu trvania Predplatného Zákazníka a zaniká spolu s ním, s výnimkou ustanovení, ktoré majú podľa svojej povahy trvať aj po jeho skončení (najmä bod 8 — výmaz/vrátenie údajov, bod 9 — mlčanlivosť).

2. Povaha a účel spracúvania, kategórie údajov a dotknutých osôb

2.1. Povaha a účel: hostovanie, ukladanie, zobrazovanie a spracúvanie údajov v rámci poskytovania funkcií Služby (evidencia pracovného času a nákladov, fakturácia, správa tímu, pracovné tabuľky) — v rozsahu a spôsobom opísaným v Zásadách spracúvania osobných údajov, body 3.2 a 4.4.

2.2. Kategórie dotknutých osôb: zamestnanci, spolupracovníci a iné osoby, ktorých údaje Firma do Služby vkladá (napr. členovia tímu, odberatelia uvedení na faktúrach).

2.3. Kategórie osobných údajov: identifikačné a kontaktné údaje (meno, e-mail, telefón), pracovné záznamy (zmeny, pokuty, zálohy, cestovné, náradie), fakturačné údaje odberateľov, prílohy nahrané k záznamom — v rozsahu podľa bodu 4 Zásad spracúvania osobných údajov. Sprostredkovateľ neočakáva, že by Firma do Služby bežne vkladala osobitné kategórie údajov (čl. 9 GDPR); ak sa tak stane z rozhodnutia Firmy, zodpovednosť za zákonnosť tohto rozhodnutia nesie Firma.

3. Pokyny Zákazníka

3.1. Sprostredkovateľ spracúva osobné údaje len na zdokumentovaný pokyn Zákazníka, ktorým sa rozumie najmä konfigurácia a používanie Služby Zákazníkom (napr. vytváranie záznamov, pozývanie členov tímu, generovanie faktúr) a ustanovenia Obchodných podmienok a tejto DPA.

3.2. Ak sa Sprostredkovateľ domnieva, že pokyn Zákazníka porušuje GDPR alebo iný predpis o ochrane údajov, bezodkladne o tom Zákazníka informuje.

4. Mlčanlivosť

Sprostredkovateľ zabezpečí, že osoby oprávnené spracúvať osobné údaje (vrátane neho samotného, ak koná ako fyzická osoba, a akýchkoľvek budúcich zamestnancov či spolupracovníkov s prístupom) sa zaviazali k mlčanlivosti alebo podliehajú zákonnej povinnosti mlčanlivosti.

5. Technické a organizačné opatrenia (čl. 32 GDPR)

Sprostredkovateľ prijal opatrenia uvedené v Prílohe A (Technické a organizačné opatrenia) tejto DPA, zodpovedajúce opatreniam podľa bodu 10 Zásad spracúvania osobných údajov.

6. Sub-spracovatelia

6.1. Zákazník udeľuje Sprostredkovateľovi všeobecné povolenie na využívanie ďalších sprostredkovateľov (sub-spracovateľov) uvedených v Prílohe B tejto DPA.

6.2. Sprostredkovateľ so sub-spracovateľmi uzatvára zmluvy zabezpečujúce rovnakú úroveň ochrany údajov, akú vyžaduje táto DPA.

6.3. Ak Sprostredkovateľ plánuje pridať alebo nahradiť sub-spracovateľa, informuje o tom Zákazníka vopred (napr. e-mailom alebo oznámením v aplikácii) a Zákazník má právo do primeranej doby (spravidla 14 dní) proti zmene namietať z oprávnených dôvodov súvisiacich s ochranou údajov. Ak sa Strany nedohodnú, Zákazník môže Predplatné ukončiť bez sankcie.

7. Pomoc pri žiadostiach dotknutých osôb a súlade

7.1. Sprostredkovateľ v primeranom rozsahu a s ohľadom na technické možnosti Služby pomáha Zákazníkovi plniť jeho povinnosti reagovať na žiadosti dotknutých osôb (prístup, oprava, výmaz, prenosnosť a i.) a povinnosti podľa čl. 32 – 36 GDPR (zabezpečenie, posúdenie vplyvu, konzultácie s úradom).

7.2. Sprostredkovateľ sprístupní Zákazníkovi informácie primerane potrebné na preukázanie súladu s touto DPA a umožní audity/kontroly vykonávané Zákazníkom alebo ním povereným audítorom, a to v primeranom rozsahu, po predchádzajúcom oznámení a spôsobom, ktorý neohrozí bezpečnosť alebo dáta ostatných zákazníkov Sprostredkovateľa.

8. Porušenie ochrany osobných údajov

Sprostredkovateľ oznámi Zákazníkovi bez zbytočného odkladu po tom, čo sa dozvie o porušení ochrany osobných údajov týkajúcom sa údajov spracúvaných v mene Zákazníka (čl. 33 ods. 2 GDPR), spolu s dostupnými informáciami potrebnými na to, aby Zákazník mohol splniť svoje vlastné oznamovacie povinnosti.

9. Výmaz alebo vrátenie údajov

Po skončení poskytovania Služby Sprostredkovateľ podľa rozhodnutia Zákazníka a v rozsahu technických možností Služby buď vymaže, alebo vráti Zákazníkovi všetky osobné údaje spracúvané v jeho mene, a vymaže existujúce kópie, pokiaľ právo Únie alebo členského štátu nevyžaduje uchovanie týchto údajov (napr. účtovné doklady podľa bodu 8 Zásad spracúvania osobných údajov).

10. Prenosy mimo EÚ/EHP

Ak sub-spracovateľ podľa Prílohy B prenáša údaje mimo EÚ/EHP, deje sa tak na základe primeraných záruk podľa GDPR (rozhodnutie o primeranosti a/alebo štandardné zmluvné doložky) — podrobnosti v bode 7 Zásad spracúvania osobných údajov.

11. Zodpovednosť a vzťah k Obchodným podmienkam

Táto DPA sa riadi rozhodným právom a doložkou o riešení sporov podľa Obchodných podmienok (body 13). Obmedzenia zodpovednosti dohodnuté v Obchodných podmienkach (bod 10) sa vzťahujú aj na túto DPA, pokiaľ kogentné právo neustanovuje inak.

12. Akceptácia

12.1. Táto DPA sa považuje za akceptovanú Zákazníkom okamihom založenia Firmy v Službe JUA (potvrdením pri registrácii), s časovou pečiatkou uloženou k záznamu Firmy.

12.2. Pri Firmách založených pred účinnosťou tejto DPA (29.07.2026) sa DPA považuje za akceptovanú pokračovaním v používaní Služby po tom, čo bola Firma o zavedení tejto DPA informovaná (e-mailom a/alebo oznámením v aplikácii), v súlade s bodom 12.2 Obchodných podmienok.

12.3. Zákazník môže požiadať aj o podpísanú verziu na shifts.saver@gmail.com.

Príloha A: Technické a organizačné opatrenia (TOMs)

• Autentifikácia cez Firebase Authentication (e-mail/heslo a/alebo Google prihlásenie).
• Riadenie prístupu podľa rolí (Freelancer, Employee, CompanyOwner, CompanyCoOwner, Accountant, Admin) a firemných väzieb (companyId).
• Pravidlá prístupu k databáze a úložisku (Firestore Security Rules, Storage Rules) vynucujúce, že používateľ vidí len dáta svojej Firmy/svoje vlastné dáta podľa role.
• Šifrovanie prenosu dát (HTTPS/TLS).
• Obmedzenie veľkosti a typu nahrávaných súborov (Storage).
• Cloud Functions bežiace v regióne europe-west3 (EÚ).
• Oddelenie prostredí (produkcia beží s odlišnou konfiguráciou než vývoj, vrátane analytiky — pozri Zásady cookies).
• Pravidelné aktualizácie závislostí a monitorovanie chýb aplikácie.

Príloha B: Zoznam sub-spracovateľov

Aktuálny zoznam sa môže meniť podľa bodu 6.3 tejto DPA.