Zmluva o spracúvaní osobných údajov

Účinná od: 12. 10. 2026

Táto zmluva o spracúvaní osobných údajov (ďalej len „Zmluva o spracúvaní") sa uzatvára medzi spoločnosťou NUMIQ s.r.o., so sídlom Kominárska 1552/3A, Bratislava - mestská časť Nové Mesto 831 04, Slovenská republika, IČO 55 880 592, zapísanou v Obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka č. 174081/B (v tejto Zmluve o spracúvaní označovaná ako „Spoločnosť", v postavení sprostredkovateľa), a Používateľom (v postavení prevádzkovateľa osobných údajov) podľa článku 28 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR") a zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.

Zmluva o spracúvaní je neoddeliteľnou súčasťou Všeobecných obchodných podmienok Spoločnosti (ďalej len „VOP") podľa článku XVIII. bod 2 a článku XXI. bod 10 VOP a tvorí súčasť Zmluvy uzavretej medzi Spoločnosťou a Používateľom. Uzatvára sa elektronicky prijatím VOP postupom podľa článku III. VOP, bez potreby podpisu Zmluvných strán.

Článok 1 - Úvodné ustanovenia a pojmy

Pojmy začínajúce veľkým písmenom, ktoré nie sú v tejto Zmluve o spracúvaní osobitne vymedzené, majú význam uvedený v článku I. VOP, najmä Spoločnosť, Používateľ, Klient, Aplikácia, Služby, Účet, Informácie, Kalkulácia, Cenová ponuka, Server, Webová stránka a Zmluva.
Pojmy „osobné údaje", „spracúvanie", „prevádzkovateľ", „sprostredkovateľ", „dotknutá osoba", „porušenie ochrany osobných údajov", „tretia krajina" a ďalšie pojmy používané v tejto Zmluve o spracúvaní bez osobitného vymedzenia majú význam podľa článku 4 GDPR.
„Ďalší sprostredkovateľ" je subdodávateľ, ktorého Spoločnosť poveruje spracúvaním osobných údajov v mene Používateľa v súlade s článkom 8 tejto Zmluvy o spracúvaní. „Dotknuté osoby" sú osoby uvedené v Prílohe 1. „Osobné údaje Používateľa" sú osobné údaje Dotknutých osôb, ktoré Používateľ vložil, importoval, vytvoril alebo nechal vytvoriť v Aplikácii alebo ktoré v Aplikácii vznikajú v súvislosti s používaním Služieb Používateľom.
Táto Zmluva o spracúvaní upravuje spracúvanie Osobných údajov Používateľa Spoločnosťou v postavení sprostredkovateľa. Nevzťahuje sa na osobné údaje Používateľa, osôb konajúcich v mene Používateľa a návštevníkov Webovej stránky, ktoré Spoločnosť spracúva ako prevádzkovateľ vo vlastnom mene (najmä údaje o Účte, prihlasovacie údaje vrátane prihlásenia prostredníctvom účtu Google alebo Apple, fakturačné a platobné údaje a analytické údaje o používaní Aplikácie); tieto spracúvania sa riadia zásadami ochrany osobných údajov dostupnými na Webovej stránke.
V prípade rozporu medzi touto Zmluvou o spracúvaní a VOP v otázkach ochrany osobných údajov má prednosť táto Zmluva o spracúvaní. V ostatných otázkach sa uplatnia VOP.

Článok 2 - Predmet, povaha, účel a doba spracúvania

Predmetom tejto Zmluvy o spracúvaní je spracúvanie Osobných údajov Používateľa Spoločnosťou v mene Používateľa v rozsahu nevyhnutnom na poskytovanie Služieb podľa Zmluvy, najmä na uloženie údajov o Klientoch a adries stavieb, tvorbu Kalkulácií a Cenových ponúk, ich odosielanie Klientom, sledovanie ich otvorenia a prijatia, import cenníkov a recenzií Používateľa a na súvisiacu technickú podporu.
Predmet, povaha a účel spracúvania, kategórie Dotknutých osôb, kategórie osobných údajov a doba spracúvania sú podrobne uvedené v Prílohe 1 tejto Zmluvy o spracúvaní.
Spoločnosť spracúva Osobné údaje Používateľa po dobu trvania Zmluvy a následne po dobu potrebnú na ich výmaz alebo anonymizáciu podľa článku 13 tejto Zmluvy o spracúvaní.
Spoločnosť spracúva Osobné údaje Používateľa výlučne na účely uvedené v tejto Zmluve o spracúvaní a vo VOP. Spoločnosť nepoužíva Osobné údaje Používateľa na vlastné účely, s výnimkou ich použitia v anonymizovanej a agregovanej podobe podľa článku X. bod 8 VOP, pri ktorom nie je možné identifikovať Používateľa ani Klienta a ktoré sa po anonymizácii nepovažuje za spracúvanie osobných údajov.

Článok 3 - Pokyny Používateľa

Spoločnosť spracúva Osobné údaje Používateľa len na základe zdokumentovaných pokynov Používateľa. Za zdokumentované pokyny Používateľa sa považujú:

táto Zmluva o spracúvaní a VOP,
nastavenia Účtu a Aplikácie zvolené Používateľom a úkony Používateľa v Aplikácii (napr. uloženie údajov o Klientovi, zadanie adresy stavby, vytvorenie Kalkulácie prostredníctvom Kalkulanta, import cenníka, import recenzií, odoslanie Cenovej ponuky Klientovi, výmaz údajov),
ďalšie písomné pokyny Používateľa doručené Spoločnosti e-mailom na adresu support@numiq.com, ak sa týkajú spracúvania podľa tejto Zmluvy o spracúvaní a sú v súlade so Zmluvou.

Pokyn Používateľa zahŕňa aj prenos Osobných údajov Používateľa Ďalším sprostredkovateľom uvedeným v Prílohe 3, vrátane prenosu vstupov do služieb poskytovateľa modelov umelej inteligencie v rozsahu nevyhnutnom na vytvorenie Kalkulácie alebo iného AI obsahu, geokódovania adries stavieb, importu recenzií a odosielania e-mailov, a prenos do tretích krajín za podmienok podľa článku 9 tejto Zmluvy o spracúvaní.
Ak Spoločnosť dospeje k záveru, že pokyn Používateľa porušuje GDPR alebo iné právne predpisy Európskej únie alebo členského štátu týkajúce sa ochrany osobných údajov, bez zbytočného odkladu na to Používateľa upozorní. Spoločnosť je oprávnená vykonanie takého pokynu odložiť do jeho potvrdenia alebo úpravy Používateľom.
Pokyny Používateľa nad rámec funkcií Aplikácie a tejto Zmluvy o spracúvaní je Spoločnosť povinná vykonať len vtedy, ak sú technicky uskutočniteľné a Používateľ uhradí primerané náklady s nimi spojené, ktoré Spoločnosť vopred oznámi.
Spoločnosť je oprávnená spracúvať Osobné údaje Používateľa bez pokynu Používateľa, ak jej to ukladá právo Európskej únie alebo právo Slovenskej republiky; v takom prípade Spoločnosť Používateľa pred spracúvaním o tejto právnej požiadavke informuje, ibaže to príslušné právo zakazuje zo závažných dôvodov verejného záujmu.

Článok 4 - Povinnosti Spoločnosti

Spoločnosť sa zaväzuje:

spracúvať Osobné údaje Používateľa len na základe zdokumentovaných pokynov Používateľa podľa článku 3 tejto Zmluvy o spracúvaní,
zabezpečiť, aby osoby oprávnené spracúvať Osobné údaje Používateľa boli zaviazané mlčanlivosťou podľa článku 6 tejto Zmluvy o spracúvaní,
prijať a udržiavať technické a organizačné opatrenia podľa článku 32 GDPR a článku 7 tejto Zmluvy o spracúvaní,
dodržiavať podmienky zapojenia Ďalších sprostredkovateľov podľa článku 8 tejto Zmluvy o spracúvaní,
poskytovať Používateľovi súčinnosť pri plnení povinností voči Dotknutým osobám podľa článku 10 tejto Zmluvy o spracúvaní,
poskytovať Používateľovi súčinnosť pri plnení povinností podľa článkov 32 až 36 GDPR s prihliadnutím na povahu spracúvania a informácie, ktoré má Spoločnosť k dispozícii,
po skončení poskytovania Služieb Osobné údaje Používateľa vymazať alebo anonymizovať podľa článku 13 tejto Zmluvy o spracúvaní,
poskytnúť Používateľovi informácie potrebné na preukázanie plnenia povinností podľa článku 28 GDPR a umožniť audity podľa článku 12 tejto Zmluvy o spracúvaní.

Spoločnosť vedie záznamy o spracovateľských činnostiach vykonávaných v mene Používateľa v rozsahu podľa článku 30 ods. 2 GDPR.
Spoločnosť určila kontaktné miesto pre otázky ochrany osobných údajov: support@numiq.com. Ak Spoločnosť určí zodpovednú osobu, jej kontaktné údaje zverejní na Webovej stránke.
Spoločnosť Osobné údaje Používateľa nepredáva, neprenajíma ani ich nesprístupňuje tretím osobám na ich vlastné účely. Spoločnosť nepoužíva Osobné údaje Používateľa na trénovanie modelov umelej inteligencie vo vlastnom mene inak než v anonymizovanej a agregovanej podobe podľa článku X. bod 8 VOP.

Článok 5 - Povinnosti a vyhlásenia Používateľa

Používateľ je prevádzkovateľom Osobných údajov Používateľa a zodpovedá za zákonnosť ich spracúvania, najmä za existenciu právneho základu podľa článku 6 GDPR, za splnenie informačnej povinnosti voči Dotknutým osobám podľa článkov 13 a 14 GDPR, za presnosť a aktuálnosť osobných údajov a za zákonnosť pokynov udeľovaných Spoločnosti.
Používateľ je povinný vkladať do Aplikácie len osobné údaje, ktoré sú nevyhnutné na poskytovanie Služieb, a nevkladať do Aplikácie ani do vstupov pre umelú inteligenciu (vrátane importovaných cenníkov) osobitné kategórie osobných údajov podľa článku 9 GDPR, osobné údaje týkajúce sa uznania viny za trestné činy a priestupky, rodné čísla, čísla dokladov totožnosti ani iné osobné údaje, ktoré na daný účel nie sú potrebné, v súlade s článkom XI. bod 2 a článkom XVIII. bod 3 VOP.
Používateľ zodpovedá za to, že Klienti a ďalšie Dotknuté osoby boli informované o spracúvaní ich osobných údajov prostredníctvom Aplikácie, vrátane zasielania Cenových ponúk elektronicky, sledovania otvorenia Cenovej ponuky, geokódovania adresy stavby, importu recenzií a použitia nástrojov umelej inteligencie pri tvorbe Kalkulácií.
Používateľ je povinný chrániť prístupové údaje k Účtu, spravovať oprávnenia osôb, ktorým umožní prístup k Účtu, ak to Aplikácia umožňuje, a bezodkladne oznámiť Spoločnosti podozrenie z neoprávneného prístupu k Účtu.
Používateľ berie na vedomie, že Aplikácia umožňuje samostatný výmaz, opravu a export údajov o Klientoch, Kalkulácií a Cenových ponúk, a že tieto nástroje sú primárnym prostriedkom na plnenie povinností Používateľa voči Dotknutým osobám.
Používateľ je povinný bezodkladne informovať Spoločnosť, ak zistí, že spracúvanie podľa tejto Zmluvy o spracúvaní je v rozpore s právnymi predpismi, alebo ak sa dozvie o skutočnostiach, ktoré môžu mať vplyv na plnenie povinností Spoločnosti podľa tejto Zmluvy o spracúvaní.

Článok 6 - Dôvernosť

Spoločnosť zabezpečí, aby zamestnanci a iné osoby, ktoré sú oprávnené spracúvať Osobné údaje Používateľa, boli zaviazané povinnosťou mlčanlivosti na základe zmluvy alebo právneho predpisu a boli poučené o povinnostiach pri ochrane osobných údajov.
Spoločnosť obmedzuje prístup k Osobným údajom Používateľa len na osoby, ktoré ho potrebujú na poskytovanie Služieb, Služieb podpory, údržbu Aplikácie alebo plnenie právnych povinností.
Povinnosť mlčanlivosti trvá aj po skončení pracovného alebo iného vzťahu príslušnej osoby so Spoločnosťou a po zániku tejto Zmluvy o spracúvaní.

Článok 7 - Bezpečnosť spracúvania

Spoločnosť prijme a udržiava primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti primeranej riziku podľa článku 32 GDPR, a to s prihliadnutím na najnovšie poznatky, náklady na vykonanie opatrení, povahu, rozsah, kontext a účely spracúvania a na riziká pre práva a slobody Dotknutých osôb.
Opatrenia prijaté Spoločnosťou sú opísané v Prílohe 2 tejto Zmluvy o spracúvaní. Spoločnosť je oprávnená opatrenia priebežne aktualizovať a vylepšovať za podmienky, že nedôjde k zníženiu celkovej úrovne bezpečnosti spracúvania.
Používateľ posúdil opatrenia uvedené v Prílohe 2 a považuje ich za primerané rizikám spojeným so spracúvaním Osobných údajov Používateľa podľa tejto Zmluvy o spracúvaní. Ak Používateľ vzhľadom na povahu svojich údajov vyžaduje vyššiu úroveň zabezpečenia, je povinný to pred vložením takých údajov do Aplikácie prerokovať so Spoločnosťou.

Článok 8 - Ďalší sprostredkovatelia

Používateľ udeľuje Spoločnosti všeobecné písomné povolenie podľa článku 28 ods. 2 GDPR na zapojenie Ďalších sprostredkovateľov do spracúvania Osobných údajov Používateľa. Zoznam Ďalších sprostredkovateľov zapojených ku dňu účinnosti tejto Zmluvy o spracúvaní je uvedený v Prílohe 3; aktuálny zoznam je dostupný na Webovej stránke.
Spoločnosť uzatvorí s každým Ďalším sprostredkovateľom zmluvu alebo iný právny akt, ktorým sa Ďalšiemu sprostredkovateľovi uložia povinnosti ochrany osobných údajov v podstate rovnaké ako povinnosti Spoločnosti podľa tejto Zmluvy o spracúvaní, najmä povinnosť poskytnúť dostatočné záruky na prijatie primeraných technických a organizačných opatrení. Za Ďalších sprostredkovateľov sa považujú aj poskytovatelia, s ktorými je zmluva uzatvorená prijatím ich štandardných podmienok spracúvania údajov (data processing addendum).
Spoločnosť oznámi Používateľovi každú zamýšľanú zmenu v zozname Ďalších sprostredkovateľov (doplnenie alebo nahradenie) najmenej 15 dní pred jej účinnosťou, a to e-mailom na adresu uvedenú v Účte alebo oznámením v Aplikácii, a súčasne aktualizuje zoznam na Webovej stránke. Výnimočne, ak je zmena nevyhnutná na zabezpečenie bezpečnosti alebo prevádzky Aplikácie, môže Spoločnosť Ďalšieho sprostredkovateľa zapojiť s okamžitou účinnosťou a Používateľa informovať bez zbytočného odkladu.
Používateľ je oprávnený proti zapojeniu nového Ďalšieho sprostredkovateľa namietať z opodstatnených dôvodov týkajúcich sa ochrany osobných údajov, a to e-mailom na adresu support@numiq.com v lehote 15 dní od oznámenia zmeny. Ak Zmluvné strany nedosiahnu dohodu o riešení námietky (napr. vypnutím dotknutej funkcie Aplikácie), je Používateľ oprávnený Zmluvu pred účinnosťou zmeny vypovedať s okamžitou účinnosťou postupom podľa článku XV. VOP. Nevyužitá časť Predplatného sa v takom prípade vráti pomerne. Ak Používateľ v uvedenej lehote nenamieta a pokračuje v používaní Služieb, platí, že so zapojením Ďalšieho sprostredkovateľa súhlasí.
Spoločnosť zodpovedá Používateľovi za plnenie povinností Ďalšími sprostredkovateľmi v rozsahu, v akom zodpovedá za vlastné plnenie podľa tejto Zmluvy o spracúvaní a VOP.
Platobná brána (Stripe), prihlásenie prostredníctvom účtu Google alebo Apple a analytické nástroje (Google Analytics 4) spracúvajú výlučne údaje Používateľa (najmä fakturačné, platobné, prihlasovacie a analytické údaje), vo vzťahu ku ktorým Spoločnosť vystupuje ako prevádzkovateľ; ich spracúvanie sa riadi zásadami ochrany osobných údajov dostupnými na Webovej stránke. Na spracúvanie Osobných údajov Používateľa (najmä údajov Klientov) sa tieto služby nepoužívajú a ich poskytovatelia nie sú Ďalšími sprostredkovateľmi podľa tejto Zmluvy o spracúvaní.

Článok 9 - Prenosy do tretích krajín

Spoločnosť ukladá Osobné údaje Používateľa na serveroch nachádzajúcich sa v Európskej únii (región Frankfurt, eu-central-1). Niektorí Ďalší sprostredkovatelia uvedení v Prílohe 3 majú sídlo alebo spracúvajú údaje mimo Európskeho hospodárskeho priestoru, najmä v Spojených štátoch amerických a v Spojenom kráľovstve, a pri niektorých Ďalších sprostredkovateľoch nie je miesto spracúvania pevne určené.
Prenos Osobných údajov Používateľa do tretej krajiny alebo medzinárodnej organizácii sa uskutoční len za podmienok kapitoly V GDPR, a to najmä:

na základe rozhodnutia Európskej komisie o primeranosti, vrátane vykonávacieho rozhodnutia Komisie (EÚ) 2023/1795 o rámci ochrany údajov medzi EÚ a USA (EU-US Data Privacy Framework), ak je príjemca v tomto rámci certifikovaný, a rozhodnutia o primeranosti pre Spojené kráľovstvo, alebo
na základe štandardných zmluvných doložiek prijatých Európskou komisiou (vykonávacie rozhodnutie Komisie (EÚ) 2021/914) doplnených podľa potreby o dodatočné opatrenia, alebo
na základe iného nástroja prenosu podľa článkov 46 až 49 GDPR.

Používateľ týmto poveruje Spoločnosť, aby v jeho mene uzatvorila s Ďalšími sprostredkovateľmi štandardné zmluvné doložky alebo iné nástroje prenosu potrebné na zabezpečenie súladu prenosov podľa tohto článku. Na žiadosť Používateľa Spoločnosť poskytne informácie o nástroji prenosu použitom pri konkrétnom Ďalšom sprostredkovateľovi.
Ak nástroj prenosu použitý pri Ďalšom sprostredkovateľovi prestane byť platným základom prenosu, Spoločnosť bez zbytočného odkladu zabezpečí náhradný nástroj prenosu alebo zapojenie Ďalšieho sprostredkovateľa ukončí.

Článok 10 - Práva Dotknutých osôb a súčinnosť

Spoločnosť poskytne Používateľovi s prihliadnutím na povahu spracúvania súčinnosť prostredníctvom primeraných technických a organizačných opatrení pri plnení povinnosti Používateľa reagovať na žiadosti Dotknutých osôb o výkon ich práv podľa kapitoly III GDPR (najmä právo na prístup, opravu, vymazanie, obmedzenie spracúvania, prenosnosť a namietanie).
Súčinnosť podľa bodu 1 Spoločnosť poskytuje predovšetkým prostredníctvom funkcií Aplikácie, ktoré umožňujú Používateľovi údaje o Klientoch samostatne zobraziť, opraviť, exportovať a vymazať. Ak žiadosť Dotknutej osoby nie je možné vybaviť prostredníctvom funkcií Aplikácie, Spoločnosť poskytne Používateľovi potrebnú súčinnosť na základe jeho písomnej žiadosti bez zbytočného odkladu, spravidla do 10 pracovných dní.
Ak sa Dotknutá osoba obráti so žiadosťou o výkon práv priamo na Spoločnosť a žiadosť sa týka Osobných údajov Používateľa, Spoločnosť Dotknutej osobe neodpovedá vo veci samej, bez zbytočného odkladu žiadosť postúpi Používateľovi, ak je ho možné identifikovať, a Dotknutú osobu informuje, že žiadosť bola postúpená prevádzkovateľovi. To neplatí, ak Spoločnosti vyplýva povinnosť odpovedať priamo z právnych predpisov.
Spoločnosť poskytne Používateľovi s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii, súčinnosť pri posúdení vplyvu na ochranu údajov podľa článku 35 GDPR a pri predchádzajúcej konzultácii s dozorným orgánom podľa článku 36 GDPR, ak sa týkajú spracúvania podľa tejto Zmluvy o spracúvaní.
Ak súčinnosť podľa tohto článku presahuje bežný rozsah vzhľadom na povahu a cenu Služieb alebo je vyvolaná konaním Používateľa v rozpore s touto Zmluvou o spracúvaní, je Spoločnosť oprávnená požadovať úhradu primeraných nákladov, ktoré Používateľovi vopred oznámi.

Článok 11 - Porušenie ochrany osobných údajov

Spoločnosť oznámi Používateľovi porušenie ochrany Osobných údajov Používateľa bez zbytočného odkladu po tom, ako sa o ňom dozvedela, najneskôr do 48 hodín od jeho zistenia, a to e-mailom na adresu uvedenú v Účte.
Oznámenie obsahuje v rozsahu informácií dostupných Spoločnosti v čase oznámenia najmä:

opis povahy porušenia vrátane, ak je to možné, kategórií a približného počtu Dotknutých osôb a záznamov,
pravdepodobné následky porušenia,
opatrenia prijaté alebo navrhované na nápravu porušenia a zmiernenie jeho následkov,
kontaktné miesto, kde možno získať ďalšie informácie.

Ak nie je možné poskytnúť všetky informácie súčasne, Spoločnosť ich poskytuje postupne bez zbytočného odkladu po ich zistení.
Spoločnosť poskytne Používateľovi súčinnosť potrebnú na splnenie jeho povinností oznámiť porušenie ochrany osobných údajov dozornému orgánu podľa článku 33 GDPR a Dotknutým osobám podľa článku 34 GDPR. Oznámenie dozornému orgánu a Dotknutým osobám vykonáva Používateľ ako prevádzkovateľ; Spoločnosť ich vykoná len na základe výslovného pokynu Používateľa alebo ak jej to ukladajú právne predpisy.
Spoločnosť dokumentuje porušenia ochrany osobných údajov vrátane súvisiacich skutočností, následkov a prijatých nápravných opatrení a tieto informácie na žiadosť sprístupní Používateľovi.
Oznámenie porušenia ochrany osobných údajov podľa tohto článku sa nepovažuje za uznanie zodpovednosti Spoločnosti za porušenie ani za škodu z neho vzniknutú.

Článok 12 - Audity a preukazovanie súladu

Spoločnosť poskytne Používateľovi na jeho písomnú žiadosť informácie potrebné na preukázanie plnenia povinností podľa článku 28 GDPR a tejto Zmluvy o spracúvaní. Preukazovanie súladu sa uskutočňuje predovšetkým poskytnutím písomných informácií, opisu prijatých opatrení, výsledkov interných kontrol a dostupných certifikátov, správ z auditov alebo iných dokladov o súlade Ďalších sprostredkovateľov (napr. SOC 2, ISO/IEC 27001), ak ich Spoločnosť má k dispozícii a ak ich podmienky Ďalších sprostredkovateľov umožňujú sprístupniť.
Ak informácie podľa bodu 1 odôvodnene nepostačujú na preukázanie súladu, je Používateľ oprávnený vykonať sám alebo prostredníctvom nezávislého audítora viazaného mlčanlivosťou audit alebo kontrolu spracúvania podľa tejto Zmluvy o spracúvaní, a to za nasledujúcich podmienok:

audit sa oznámi Spoločnosti písomne najmenej 30 dní vopred s uvedením rozsahu, predmetu a predpokladaného trvania auditu,
audit sa vykonáva najviac raz za 12 mesiacov, ibaže je audit vyvolaný porušením ochrany osobných údajov alebo požiadavkou dozorného orgánu,
audit sa vykonáva v bežnom pracovnom čase, spôsobom, ktorý neprimerane nenarúša prevádzku Spoločnosti, a v rozsahu obmedzenom na spracúvanie Osobných údajov Používateľa,
audítor nesmie byť konkurentom Spoločnosti a je povinný pred začatím auditu uzavrieť so Spoločnosťou dohodu o mlčanlivosti,
náklady auditu znáša Používateľ, vrátane primeraných nákladov Spoločnosti na súčinnosť pri audite, ak audit nepreukáže podstatné porušenie tejto Zmluvy o spracúvaní zo strany Spoločnosti.

Audit sa nevzťahuje na priestory a systémy Ďalších sprostredkovateľov; vo vzťahu k nim sa súlad preukazuje dokladmi podľa bodu 1 a kontrolnými právami, ktoré má Spoločnosť voči Ďalším sprostredkovateľom.
Zmluvné strany sa dohodli, že informácie získané pri audite sú dôverné a Používateľ ich použije výlučne na účel preukázania súladu s GDPR. Používateľ poskytne Spoločnosti kópiu správy z auditu.
Právo dozorného orgánu vykonať kontrolu podľa právnych predpisov nie je týmto článkom dotknuté.

Článok 13 - Trvanie, ukončenie a výmaz osobných údajov

Táto Zmluva o spracúvaní sa uzatvára na dobu trvania Zmluvy. Zánikom Zmluvy z akéhokoľvek dôvodu zaniká aj táto Zmluva o spracúvaní, s výnimkou ustanovení, ktoré majú podľa svojej povahy trvať aj po jej zániku, najmä ustanovení o dôvernosti, výmaze osobných údajov, zodpovednosti a rozhodnom práve.
Pred zánikom Zmluvy je Používateľ povinný exportovať z Aplikácie všetky Osobné údaje Používateľa a Informácie, ktoré chce zachovať, prostredníctvom funkcií Aplikácie (najmä export do PDF alebo do iného dostupného formátu) v súlade s článkom XV. bod 5 VOP. Na žiadosť Používateľa doručenú pred zánikom Zmluvy Spoločnosť poskytne primeranú súčinnosť pri exporte údajov.
Po zániku Zmluvy Spoločnosť v súlade s článkom XV. bod 6 VOP Osobné údaje Používateľa vymaže alebo nezvratne anonymizuje najneskôr do 90 dní odo dňa zániku Zmluvy a zabezpečí ich výmaz u Ďalších sprostredkovateľov v lehotách podľa ich podmienok. Spoločnosť vymaže existujúce kópie, s výnimkou:

údajov, ktoré je Spoločnosť povinná alebo oprávnená uchovávať podľa práva Európskej únie alebo Slovenskej republiky, najmä účtovných a daňových dokladov,
údajov nevyhnutných na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov,
záložných kópií, ktoré sa vymažú v rámci bežného cyklu obmeny záloh, najneskôr do 90 dní od zániku Zmluvy, a ku ktorým je prístup obmedzený výlučne na účel obnovy systému.

Na uchované údaje podľa bodu 3 sa po zániku Zmluvy naďalej vzťahujú povinnosti dôvernosti a bezpečnosti podľa tejto Zmluvy o spracúvaní a Spoločnosť ich nebude spracúvať na iný účel.
Na žiadosť Používateľa Spoločnosť písomne potvrdí vykonanie výmazu podľa bodu 3.

Článok 14 - Zodpovednosť

Každá Zmluvná strana zodpovedá za škodu spôsobenú porušením svojich povinností podľa tejto Zmluvy o spracúvaní a GDPR v súlade s článkom 82 GDPR. Spoločnosť zodpovedá za škodu spôsobenú spracúvaním len vtedy, ak neplnila povinnosti, ktoré GDPR ukladá osobitne sprostredkovateľom, alebo ak konala nad rámec alebo v rozpore so zákonnými pokynmi Používateľa.
Zodpovednosť Spoločnosti voči Používateľovi za škodu podľa tejto Zmluvy o spracúvaní sa riadi článkom XIII. VOP, vrátane obmedzenia celkovej výšky náhrady škody a vylúčenia nepriamych a následných škôd, pokiaľ kogentné ustanovenia GDPR alebo iných právnych predpisov neustanovujú inak. Obmedzenia zodpovednosti sa nevzťahujú na náhradu škody Dotknutým osobám podľa článku 82 GDPR v rozsahu, v akom ju nemožno obmedziť.
Používateľ zodpovedá Spoločnosti za škodu, pokuty a náklady, ktoré Spoločnosti vzniknú v dôsledku porušenia povinností Používateľa ako prevádzkovateľa, najmä v dôsledku absencie právneho základu spracúvania, nesplnenia informačnej povinnosti voči Dotknutým osobám, vloženia osobných údajov v rozpore s článkom 5 tejto Zmluvy o spracúvaní alebo udelenia nezákonných pokynov, a to v súlade s článkom XVI. VOP.
Ak dozorný orgán uloží jednej Zmluvnej strane pokutu za porušenie, za ktoré zodpovedá druhá Zmluvná strana, je druhá Zmluvná strana povinná nahradiť jej vzniknutú ujmu v rozsahu, v akom to pripúšťajú právne predpisy.

Článok 15 - Záverečné ustanovenia

Táto Zmluva o spracúvaní nadobúda platnosť a účinnosť dňom uvedeným v jej záhlaví a vo vzťahu ku konkrétnemu Používateľovi okamihom prijatia VOP postupom podľa článku III. VOP. Pre Používateľov, ktorí Zmluvu uzavreli pred týmto dňom, nadobúda účinnosť postupom podľa článku XX. VOP.
Spoločnosť je oprávnená túto Zmluvu o spracúvaní meniť postupom podľa článku XX. VOP, najmä z dôvodu zmeny právnych predpisov, rozhodnutí dozorných orgánov, zmeny rozsahu Služieb alebo zmeny Ďalších sprostredkovateľov. Zmeny Prílohy 3 sa oznamujú postupom podľa článku 8 tejto Zmluvy o spracúvaní.
Táto Zmluva o spracúvaní a vzťahy z nej vyplývajúce sa riadia právnym poriadkom Slovenskej republiky, najmä GDPR a zákonom č. 18/2018 Z. z. o ochrane osobných údajov. Spory z tejto Zmluvy o spracúvaní rozhodujú súdy Slovenskej republiky s príslušnosťou určenou podľa článku XXI. bod 3 VOP.
Ak je alebo sa stane niektoré ustanovenie tejto Zmluvy o spracúvaní neplatné, neúčinné alebo nevymáhateľné, nemá to vplyv na ostatné ustanovenia; neplatné ustanovenie sa nahradí ustanovením, ktoré sa najviac približuje jeho účelu a požiadavkám článku 28 GDPR.
Ak pre Používateľa so sídlom v inom členskom štáte Európskej únie alebo Európskeho hospodárskeho priestoru vyplývajú z práva tohto štátu dodatočné požiadavky na obsah zmluvy so sprostredkovateľom, Zmluvné strany sa zaväzujú uzavrieť na žiadosť Používateľa dodatok, ktorý tieto požiadavky zohľadní.
Táto Zmluva o spracúvaní je vyhotovená v slovenskom jazyku. Spoločnosť môže sprístupniť jej preklady; v prípade nesúladu má prednosť slovenské znenie.
Neoddeliteľnou súčasťou tejto Zmluvy o spracúvaní sú Príloha 1 (Predmet, povaha a účel spracúvania), Príloha 2 (Technické a organizačné opatrenia) a Príloha 3 (Zoznam Ďalších sprostredkovateľov).

Príloha 1 - Predmet, povaha a účel spracúvania

Predmet spracúvania: spracúvanie osobných údajov Klientov a ďalších Dotknutých osôb, ktoré Používateľ vloží alebo importuje do Aplikácie alebo ktoré v Aplikácii vznikajú pri používaní Služieb, v mene a podľa pokynov Používateľa.

Povaha spracúvania: zhromažďovanie, zaznamenávanie, usporadúvanie, uchovávanie, prehliadanie, využívanie na tvorbu Kalkulácií a Cenových ponúk, geokódovanie adries stavieb, import a spracovanie cenníkov a recenzií, prenos Ďalším sprostredkovateľom v rozsahu nevyhnutnom na poskytovanie Služieb, sprístupňovanie Klientom prostredníctvom odkazu alebo e-mailu podľa pokynov Používateľa, zálohovanie, obmedzenie, výmaz a anonymizácia. Spracúvanie prebieha automatizovanými prostriedkami prostredníctvom Aplikácie.

Účel spracúvania: poskytovanie Služieb podľa Zmluvy, najmä:

správa údajov o Klientoch, adresách stavieb a projektoch Používateľa v Aplikácii,
tvorba Kalkulácií vrátane Kalkulácií s podporou umelej inteligencie (Kalkulant) a geokódovania adresy stavby na určenie regiónu,
import cenníkov Používateľa (vrátane fotografií, PDF a dokumentov Word) a ich spracovanie s podporou umelej inteligencie,
import recenzií firmy Používateľa z Google a ich spracovanie s podporou umelej inteligencie na účely ich zobrazenia v Cenových ponukách a prezentačných materiáloch Používateľa,
tvorba, odosielanie, zdieľanie a export Cenových ponúk, sledovanie ich otvorenia a online prijatia Klientom,
zasielanie e-mailových notifikácií súvisiacich s Cenovými ponukami,
zálohovanie, zabezpečenie a technická podpora Aplikácie.

Kategórie Dotknutých osôb:

Klienti Používateľa (fyzické osoby alebo kontaktné osoby právnických osôb), ktorým Používateľ adresuje Cenové ponuky alebo s ktorými zdieľa Kalkulácie,
zamestnanci, spolupracovníci a iné osoby oprávnené konať za Používateľa, ak ich údaje Používateľ vloží do Aplikácie (napr. do Cenovej ponuky alebo nastavení Účtu),
autori recenzií firmy Používateľa (recenzenti), ktorých recenzie Používateľ importuje z Google do Aplikácie,
osoby, ktorých údaje sú obsiahnuté v cenníkoch importovaných Používateľom (napr. kontaktné osoby dodávateľov), ak také údaje cenníky obsahujú,
iné osoby, ktorých údaje Používateľ do Aplikácie vloží (napr. kontaktné osoby na stavbe).

Kategórie osobných údajov:

identifikačné a kontaktné údaje: meno, priezvisko, obchodné meno, adresa, e-mailová adresa, telefónne číslo,
údaje o projekte: adresa stavby alebo miesta realizácie (vrátane jej geokódovania na určenie regiónu), popis a rozsah projektu, obsah Kalkulácií a Cenových ponúk vrátane cien, výmer, harmonogramu a splátkového kalendára,
údaje z recenzií: meno alebo prezývka recenzenta, text recenzie, hodnotenie a dátum recenzie v rozsahu importovanom z Google,
importované cenníky: obsah cenníkov nahraných Používateľom (vrátane fotografií, PDF a dokumentov Word), ak obsahujú osobné údaje, napr. mená alebo kontaktné údaje dodávateľov,
údaje o firme Používateľa vložené do Kalkulácií a Cenových ponúk: názov, adresa, logo, popis firmy a kontaktné údaje, ak ich Používateľ uvedie,
údaje o komunikácii: poznámky Klienta pri zobrazení alebo prijatí Cenovej ponuky, informácia o prijatí Cenovej ponuky,
technické údaje o interakcii: dátum a čas otvorenia Cenovej ponuky, prípadne IP adresa a základné údaje o zariadení a prehliadači Klienta v rozsahu nevyhnutnom na sledovanie otvorenia a zabezpečenie prístupu cez odkaz,
údaje o zamestnancoch a spolupracovníkoch Používateľa: meno, pracovná pozícia, kontaktné údaje, ak ich Používateľ uvedie.

Osobitné kategórie osobných údajov: nespracúvajú sa. Používateľ sa zaväzuje osobitné kategórie osobných údajov do Aplikácie nevkladať.

Doba spracúvania: po dobu trvania Zmluvy a následne do výmazu alebo anonymizácie podľa článku 13 tejto Zmluvy o spracúvaní, najneskôr do 90 dní od zániku Zmluvy, s výnimkami podľa článku 13 bod 3. Používateľ môže údaje o Klientoch, Kalkulácie, Cenové ponuky, importované cenníky a recenzie kedykoľvek počas trvania Zmluvy vymazať sám v Aplikácii.

Príloha 2 - Technické a organizačné opatrenia

Spoločnosť prijala a udržiava najmä nasledujúce technické a organizačné opatrenia:

1. Šifrovanie

Osobné údaje Používateľa sú pri prenose medzi zariadením Používateľa, Klienta a Serverom šifrované protokolom TLS.
Údaje uložené v databáze, úložisku súborov a zálohách sú šifrované pri uložení (encryption at rest) prostredníctvom nástrojov poskytovateľa cloudovej infraštruktúry.
Heslá Používateľov sa ukladajú výlučne v podobe kryptografického odtlačku (hash).

2. Oddelenie údajov a riadenie prístupu k Informáciám

Prístup k údajom v databáze je riadený politikami zabezpečenia na úrovni riadkov (Row Level Security), ktoré zabezpečujú, že Používateľ má prístup výlučne k vlastným Informáciám a údajom o vlastných Klientoch.
Cenové ponuky sú Klientom sprístupňované prostredníctvom unikátnych, ťažko uhádnuteľných odkazov; prístup k Cenovej ponuke je obmedzený na údaje danej Cenovej ponuky.

3. Riadenie prístupov osôb

Prístup k produkčným systémom a Osobným údajom Používateľa majú len poverené osoby Spoločnosti v rozsahu nevyhnutnom na plnenie ich úloh (princíp minimálnych oprávnení).
Administrátorské prístupy sú chránené silnými heslami a viacfaktorovou autentifikáciou, ak ju príslušný systém umožňuje.
Prístupové oprávnenia sa pravidelne preskúmavajú a po skončení spolupráce s osobou sa bezodkladne odoberajú.
Prístup Používateľa k Účtu je zabezpečený e-mailovou adresou a heslom spĺňajúcim požiadavky Spoločnosti, prípadne prihlásením prostredníctvom účtu tretej strany (Google alebo Apple).

4. Zálohovanie a dostupnosť

Databáza je pravidelne automaticky zálohovaná prostredníctvom poskytovateľa cloudovej infraštruktúry; zálohy sú šifrované a prístup k nim je obmedzený.
Zálohy sú uchovávané po obmedzenú dobu a po uplynutí tejto doby sa automaticky prepisujú alebo mažú.
Databáza, úložisko súborov a autentifikačné služby sú prevádzkované v dátovom centre v Európskej únii (región Frankfurt, eu-central-1) s opatreniami fyzickej bezpečnosti, redundanciou a monitorovaním; serverové funkcie a doručovanie obsahu Aplikácie zabezpečuje globálna sieť poskytovateľa hostingu.

5. Logovanie a monitorovanie

Prístupy k systémom, autentifikačné udalosti a významné operácie s údajmi sú zaznamenávané do logov s obmedzeným prístupom.
Spoločnosť monitoruje dostupnosť a bezpečnostné udalosti Aplikácie a využíva bezpečnostné upozornenia poskytovateľov infraštruktúry.
Aplikácia uplatňuje obmedzenia počtu požiadaviek a ďalšie opatrenia proti automatizovanému zneužitiu.

6. Minimalizácia pri použití umelej inteligencie a externých služieb

Do služieb poskytovateľa modelov umelej inteligencie (modely Google Gemini volané prostredníctvom Lovable AI) sa odovzdávajú len vstupy nevyhnutné na vytvorenie Kalkulácie alebo iného AI obsahu (najmä parametre projektu, miestnosť, remeslo, mesto, odpovede Používateľa v sprievodcovi, importované cenníky, údaje o firme Používateľa a texty recenzií); identifikačné a kontaktné údaje Klientov sa do vstupov neodovzdávajú, ak ich Používateľ sám do vstupu nevloží.
Spoločnosť používa výlučne rozhrania poskytovateľov modelov umelej inteligencie určené pre firemných zákazníkov (API), pri ktorých poskytovateľ podľa svojich zmluvných podmienok nepoužíva vstupy a výstupy na trénovanie svojich modelov.
Službám geokódovania sa odovzdáva výlučne adresa stavby bez identifikačných údajov Klienta; službe importu recenzií sa odovzdáva výlučne názov a adresa firmy Používateľa.
Používateľ je v Aplikácii upozornený na povinnosť nevkladať do vstupov pre umelú inteligenciu osobné údaje nad nevyhnutný rozsah.

7. Organizačné opatrenia

Osoby oprávnené spracúvať Osobné údaje Používateľa sú zaviazané mlčanlivosťou a poučené o zásadách ochrany osobných údajov a bezpečnosti.
Spoločnosť má zavedený postup riešenia bezpečnostných incidentov a porušení ochrany osobných údajov vrátane ich dokumentovania a oznamovania Používateľovi.
Ďalší sprostredkovatelia sú vyberaní s ohľadom na záruky bezpečnosti, ktoré poskytujú (najmä certifikácie SOC 2 alebo ISO/IEC 27001), a sú viazaní zmluvnými podmienkami spracúvania údajov.
Zmeny Aplikácie sa pred nasadením do produkcie testujú; závislosti a infraštruktúra sa priebežne aktualizujú.

8. Výmaz údajov

Používateľ môže údaje o Klientoch, Kalkulácie, Cenové ponuky, importované cenníky a recenzie kedykoľvek vymazať v Aplikácii.
Po zániku Zmluvy Spoločnosť Osobné údaje Používateľa vymaže alebo nezvratne anonymizuje najneskôr do 90 dní v súlade s článkom XV. bod 6 VOP a článkom 13 tejto Zmluvy o spracúvaní, s výnimkami uvedenými v tejto Zmluve o spracúvaní.

Príloha 3 - Zoznam Ďalších sprostredkovateľov

Spoločnosť zapája ku dňu účinnosti tejto Zmluvy o spracúvaní nasledujúcich Ďalších sprostredkovateľov. Aktuálny zoznam Ďalších sprostredkovateľov vrátane prípadných zmien je zverejnený na Webovej stránke spolu s touto Zmluvou o spracúvaní. Zmeny zoznamu sa oznamujú postupom podľa článku 8 tejto Zmluvy o spracúvaní.

1. Supabase, Inc. (prostredníctvom Lovable Cloud)

Sídlo: Spojené štáty americké
Účel spracúvania: databáza, autentifikácia Používateľov, úložisko súborov, plánované úlohy, zálohovanie
Kategórie údajov: všetky údaje uložené v Aplikácii (údaje o Klientoch, adresy stavieb, Kalkulácie, Cenové ponuky, importované cenníky, recenzie, logá a ďalšie súbory)
Miesto spracúvania: Európska únia, región Frankfurt (eu-central-1); podporné a administratívne činnosti môžu prebiehať v USA
Nástroj prenosu: EU-US Data Privacy Framework, ak je subjekt certifikovaný, inak štandardné zmluvné doložky EK

2. Lovable Labs Incorporated

Sídlo: Spojené štáty americké
Účel spracúvania: hosting a prevádzka Aplikácie a serverových funkcií; sprostredkovanie služieb umelej inteligencie (Lovable AI) voči poskytovateľovi modelov uvedenému v bode 3
Kategórie údajov: údaje prechádzajúce Aplikáciou a serverovými funkciami pri jej prevádzke; vstupy a výstupy AI funkcií v rozsahu podľa bodu 3
Miesto spracúvania: infraštruktúra Cloudflare, Inc. (Spojené štáty americké), globálna sieť, pri ktorej spracúvanie prebieha v mieste najbližšom k návštevníkovi Aplikácie
Nástroj prenosu: EU-US Data Privacy Framework, ak je subjekt certifikovaný, inak štandardné zmluvné doložky EK

3. Google Ireland Limited / Google LLC (modely umelej inteligencie Gemini)

Sídlo: Írsko / Spojené štáty americké
Účel spracúvania: poskytovateľ modelov umelej inteligencie Gemini volaných prostredníctvom Lovable AI; spracovanie vstupov na tvorbu Kalkulácií a iného AI obsahu v rozsahu nevyhnutnom na vygenerovanie výstupu
Kategórie údajov: text Kalkulácií a odpovede zo sprievodcu, importované cenníky (vrátane fotografií, PDF a dokumentov Word), údaje o firme Používateľa, texty recenzií
Miesto spracúvania: región nie je pevne určený (Európska únia / USA / iné regióny podľa nastavení služby)
Nástroj prenosu: EU-US Data Privacy Framework, ak je subjekt certifikovaný, inak štandardné zmluvné doložky EK

4. Plus Five Five, Inc. (Resend)

Sídlo: Spojené štáty americké
Účel spracúvania: odosielanie e-mailov vrátane zdieľania Cenovej ponuky Klientovi a e-mailových notifikácií
Kategórie údajov: e-mailová adresa a meno príjemcu, obsah e-mailu, odkaz na Cenovú ponuku
Miesto spracúvania: USA
Nástroj prenosu: EU-US Data Privacy Framework, ak je subjekt certifikovaný, inak štandardné zmluvné doložky EK

5. OpenStreetMap Foundation (služba Nominatim)

Sídlo: Spojené kráľovstvo
Účel spracúvania: geokódovanie adresy stavby na určenie regiónu pri tvorbe Kalkulácie
Kategórie údajov: adresa stavby
Miesto spracúvania: Spojené kráľovstvo / Európska únia
Nástroj prenosu: rozhodnutie Európskej komisie o primeranosti pre Spojené kráľovstvo; v rámci Európskej únie sa nástroj prenosu nevyžaduje

6. U.S. Census Bureau (služba Geocoder)

Sídlo: Spojené štáty americké
Účel spracúvania: geokódovanie adries stavieb nachádzajúcich sa v USA; používa sa výlučne v Krajinskej verzii USA
Kategórie údajov: adresa stavby
Miesto spracúvania: USA
Nástroj prenosu: EU-US Data Privacy Framework, ak je subjekt certifikovaný, inak štandardné zmluvné doložky EK

7. SerpApi, LLC

Sídlo: Spojené štáty americké
Účel spracúvania: import Google recenzií firmy Používateľa do Aplikácie
Kategórie údajov: odovzdáva sa názov a adresa firmy Používateľa; služba vracia mená recenzentov, texty recenzií a súvisiace údaje o recenziách
Miesto spracúvania: USA
Nástroj prenosu: EU-US Data Privacy Framework, ak je subjekt certifikovaný, inak štandardné zmluvné doložky EK

Poznámka k službám spracúvajúcim výlučne údaje Používateľa: Platobná brána Stripe (Stripe Payments Europe, Ltd. a Stripe, Inc.), prihlásenie prostredníctvom účtu Google alebo Apple a analytické nástroje (Google Analytics 4) spracúvajú výlučne údaje Používateľa, vo vzťahu ku ktorým vystupuje Spoločnosť ako prevádzkovateľ, a ich spracúvanie sa riadi zásadami ochrany osobných údajov dostupnými na Webovej stránke. Na spracúvanie osobných údajov Klientov sa tieto služby nepoužívajú a ich poskytovatelia nie sú Ďalšími sprostredkovateľmi podľa tejto Zmluvy o spracúvaní.