Spracúvanie osobných údajov

(Data Processing Agreement)

Účinné od 1. októbra 2026 · Verzia 1.1

Táto Zmluva o spracúvaní osobných údajov (ďalej len „DPA") tvorí neoddeliteľnú súčasť Všeobecných obchodných podmienok (ďalej len „VOP") a Klient ju akceptuje spolu s nimi. Uzatvára sa v zmysle čl. 28 Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (ďalej len „GDPR") a zákona č. 18/2018 Z. z. o ochrane osobných údajov.

Zmluvné strany:

• Prevádzkovateľ: Klient podľa VOP (prevádzkovateľ webovej stránky),
• Sprostredkovateľ: Otto AI, s. r. o., Veľká okružná 17, 010 01 Žilina, IČO: 57 769 354, DIČ: 2123095227, IČ DPH: SK2123095227 (ďalej len „Otto").

Článok 1 - Predmet, povaha, účel a doba spracúvania

1.1Otto ako sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa výlučne na účel poskytovania Služby (AI predajný asistent na webovej stránke Prevádzkovateľa).

1.2Povaha spracúvania: automatizované spracúvanie údajov Koncových zákazníkov pri ich komunikácii s Widgetom.

1.3Doba spracúvania: počas trvania zmluvy podľa VOP; po jej skončení sa postupuje podľa čl. 8.

1.4Predmet, kategórie dotknutých osôb a typy osobných údajov sú bližšie uvedené v Prílohe A.

Článok 2 - Kategórie dotknutých osôb a osobných údajov

2.1Dotknuté osoby: Koncoví zákazníci, návštevníci webovej stránky Prevádzkovateľa.

2.2Kategórie osobných údajov: kontaktné údaje (meno, e-mail, telefón, ak ich dotknutá osoba poskytne), obsah konverzácie a technické údaje (IP adresa, URL stránky, dátum a čas, údaje o prehliadači/zariadení). Detail v Prílohe A.

2.3Otto nespracúva osobitné kategórie osobných údajov; Prevádzkovateľ sa zaväzuje takéto údaje do Služby nezadávať a nevyžadovať.

Článok 3 - Pokyny Prevádzkovateľa

3.1Otto spracúva osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, ktorými sú táto DPA, VOP a nastavenia Služby vykonané Prevádzkovateľom.

3.2Ak sa Otto domnieva, že pokyn porušuje GDPR alebo iné predpisy o ochrane údajov, bezodkladne o tom informuje Prevádzkovateľa.

Článok 4 - Povinnosti Sprostredkovateľa

Otto sa v zmysle čl. 28 ods. 3 GDPR zaväzuje:

(a) spracúvať osobné údaje len na základe pokynov Prevádzkovateľa, vrátane prenosov do tretích krajín podľa čl. 6;

(b) zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti;

(c) prijať primerané technicko-organizačné opatrenia podľa čl. 32 GDPR (Príloha C);

(d) zapájať ďalších sprostredkovateľov (sub-sprostredkovateľov) len za podmienok podľa čl. 5;

(e) v rámci možností pomáhať Prevádzkovateľovi pri plnení jeho povinnosti reagovať na žiadosti dotknutých osôb (právo na prístup, opravu, výmaz, obmedzenie, prenosnosť, námietku);

(f) pomáhať Prevádzkovateľovi pri zabezpečení plnenia povinností podľa čl. 32 až 36 GDPR (bezpečnosť spracúvania, oznamovanie porušení, posúdenie vplyvu na ochranu údajov);

(g) po skončení poskytovania Služby osobné údaje podľa rozhodnutia Prevádzkovateľa vymazať alebo vrátiť podľa čl. 8;

(h) poskytnúť Prevádzkovateľovi informácie potrebné na preukázanie súladu s čl. 28 GDPR a umožniť audit podľa čl. 9.

Článok 5 - Sub-sprostredkovatelia

5.1Prevádzkovateľ udeľuje Otto všeobecné písomné povolenie zapájať sub-sprostredkovateľov na účel poskytovania Služby.

5.2Aktuálny zoznam sub-sprostredkovateľov je uvedený v Prílohe B a zverejnený na ottoai.sk.

5.3Otto informuje Prevádzkovateľa o zamýšľanej zmene sub-sprostredkovateľov (pridanie alebo nahradenie) vopred, a to e-mailom alebo oznámením v administrácii. Prevádzkovateľ môže voči zmene z oprávnených dôvodov namietať; ak nemožno námietke primerane vyhovieť, je Prevádzkovateľ oprávnený zmluvu vypovedať podľa VOP.

5.4Otto zaviaže každého sub-sprostredkovateľa rovnakými povinnosťami ochrany údajov, aké má samo voči Prevádzkovateľovi.

Článok 6 - Prenos do tretích krajín

6.1Niektorí sub-sprostredkovatelia spracúvajú osobné údaje mimo EÚ/EHP (USA). Takýto prenos je zabezpečený vhodnými zárukami podľa čl. 46 GDPR:

• Anthropic PBC (USA): Štandardné zmluvné doložky (SCC);
• Voyage AI / MongoDB (USA): EU-US Data Privacy Framework (DPF);
• Contabo GmbH (Nemecko, EÚ): bez prenosu do tretej krajiny.

6.2Podrobnosti sú uvedené v Prílohe B.

Článok 7 - Bezpečnosť spracúvania

7.1Otto prijíma primerané technicko-organizačné opatrenia na zaistenie úrovne bezpečnosti primeranej riziku podľa čl. 32 GDPR; tieto opatrenia sú uvedené v Prílohe C.

Článok 8 - Vymazanie a vrátenie osobných údajov

8.1Po skončení poskytovania Služby Otto podľa rozhodnutia Prevádzkovateľa osobné údaje vymaže alebo vráti a vymaže existujúce kópie, ak právo EÚ alebo SR nevyžaduje ich ďalšie uchovanie.

8.2Osobné údaje sa uchovávajú najviac po dobu retencie 24 mesiacov, alebo sa vymažú skôr na žiadosť Prevádzkovateľa.

Článok 9 - Audit a preukázanie súladu

9.1Otto na žiadosť poskytne Prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožní audit (vrátane inšpekcií) v primeranom rozsahu a čase, pri zachovaní dôvernosti a bezpečnosti údajov ostatných klientov.

Článok 10 - Porušenie ochrany osobných údajov

10.1Otto oznámi Prevádzkovateľovi každé porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvie, spolu s informáciami potrebnými na splnenie prípadnej ohlasovacej povinnosti Prevádzkovateľa voči dozornému orgánu a dotknutým osobám.

Článok 11 - Povinnosti Prevádzkovateľa

11.1Prevádzkovateľ zodpovedá za zákonnosť spracúvania a za existenciu právneho základu spracúvania.

11.2Prevádzkovateľ informuje svoje dotknuté osoby o spracúvaní osobných údajov a zabezpečuje potrebné súhlasy, najmä súhlas s používaním cookies na svojej webovej stránke.

Článok 12 - Záverečné ustanovenia

12.1Táto DPA sa riadi právnym poriadkom Slovenskej republiky a GDPR; v ostatnom platia VOP.

12.2V prípade rozporu medzi touto DPA a VOP v otázkach ochrany osobných údajov má prednosť táto DPA.

Príloha A - Opis spracúvania

• Účel spracúvania: poskytovanie AI predajného asistenta (odpovede na otázky, poradenstvo pri výbere, podpora pri reklamáciách/vráteniach) na webovej stránke Prevádzkovateľa.
• Dotknuté osoby: návštevníci (Koncoví zákazníci) Prevádzkovateľa.
• Kategórie osobných údajov: meno, e-mail, telefón (ak ich dotknutá osoba poskytne); obsah konverzácie; technické údaje (IP adresa, URL stránky, dátum a čas, údaje o prehliadači/zariadení).
• Povaha spracúvania: automatizované spracúvanie na účel komunikácie a poskytnutia odpovedí.
• Doba: počas trvania zmluvy; retencia najviac 24 mesiacov, resp. skôr na žiadosť Prevádzkovateľa.

Príloha B - Zoznam sub-sprostredkovateľov

Poznámka: Voyage AI sa zapája iba pri aktívnom vektorovom vyhľadávaní. Ak Služba beží v lexikálnom režime, embeddings sa počítajú len z produktového katalógu Prevádzkovateľa bez osobných údajov Koncových zákazníkov.

Príloha C - Technicko-organizačné opatrenia (čl. 32 GDPR)

• Šifrovanie prenosu: všetka komunikácia so Službou prebieha šifrovane cez protokol HTTPS/TLS.
• Šifrovanie osobných údajov: kontaktné a identifikačné osobné údaje Koncových zákazníkov (najmä meno, e-mail, telefón a súvisiace údaje) sú chránené aplikačným šifrovaním; šifrovanie sa vzťahuje aj na ich zálohy vrátane kópií v cloudovom úložisku a na offsite úložisku. Obsah konverzácií je chránený riadením prístupu.
• Riadenie prístupu: prístup k serverovej infraštruktúre a databáze majú výlučne oprávnené osoby prostredníctvom individuálnych, zabezpečených prístupov; uplatňuje sa zásada minimálnych oprávnení.
• Zálohovanie a obnova: pravidelné (týždenné) automatizované zálohy uchovávané vo viacerých geograficky oddelených lokalitách, na primárnej infraštruktúre, v cloudovom objektovom úložisku (Cloudflare R2) a na sekundárnom offsite úložisku; zabezpečená je schopnosť obnovy údajov zo zálohy.
• Minimalizácia údajov: spracúvajú sa iba osobné údaje nevyhnutné na poskytnutie Služby.
• Prevádzkové logovanie: prevádzkové záznamy s obmedzenou dobou uchovávania.
• Umiestnenie údajov: primárne spracúvanie prebieha na infraštruktúre v rámci EÚ (Nemecko).