Zmluva o spracúvaní údajov

Zmluva o spracovaní údajov (AVV) podľa článku 28 GDPR

Stav: 20.03.2026

Medzi

registrovaným zákazníkom spoločnosti Biscotti CMP – ďalej len „správca“ alebo „zákazník“ –

a

spoločnosťou Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Spolková republika Nemecko

Registračný súd: Okresný súd Potsdam Registračné číslo: HRB 40180 P DIČ: DE368000447 Daňové číslo: 29/249/36095 Zastúpená: Daniel Bosch (CEO), Philipp André Marschall (prokurista) E-mail: [email protected] Telefón: +49 3322 50703301 Otváracie hodiny: Po–Pia, 09:00 – 17:00 hod . – ďalej len „spracovateľ“ alebo „poskytovateľ“ –

– prevádzkovateľ a spracovateľ sú ďalej spoločne označovaní ako „strany“ –

Preambula

Vitajte v spoločnosti Campcruisers GmbH! Tešíme sa, že vás môžeme privítať ako zákazníkov. Transparentnosť, najvyššie bezpečnostné štandardy a partnerský prístup na rovnocennej úrovni sú pre nás na prvom mieste. Ochrana vašich údajov a údajov návštevníkov vašej webovej stránky nie je pre nás len zákonnou povinnosťou, ale aj kľúčovým sľubom kvality našej spoločnosti.

Správca používa cloudové riešenie typu Software-as-a-Service (SaaS) „Biscotti CMP“ (Consent Management Platform), ktoré vyvinul, prevádzkuje a distribuuje spracovateľ. V rámci poskytovania týchto služieb SaaS, ktoré sú k dispozícii pod doménou biscotti-cmp.com a v aplikácii app.biscotti-cmp.com, spracúva spracovateľ osobné údaje v mene a na pokyn prevádzkovateľa. Táto zmluva konkretizuje povinnosti strán v oblasti ochrany osobných údajov, ktoré vyplývajú z používania Biscotti CMP. Uplatňuje sa na všetky činnosti, ktoré súvisia s hlavnou zmluvou (zmluva o používaní služieb SaaS) a pri ktorých môžu zamestnanci spracovateľa alebo ním poverené tretie strany prísť do styku s osobnými údajmi prevádzkovateľa.

Táto zmluva je nevyhnutná na splnenie požiadaviek nariadenia (EÚ) 2016/679 (Všeobecné nariadenie o ochrane údajov – GDPR), najmä článku 28 GDPR, ako aj doplňujúcich ustanovení Spolkového zákona o ochrane údajov (BDSG) a Zákona o ochrane údajov v telekomunikáciách a digitálnych službách (TDDDG).

[!POZNÁMKA] Uzatvorenie zmluvy v elektronickom obchode Táto zmluva sa uzatvára v elektronickom formáte v súlade s článkom 28 ods. 9 GDPR. Pri prihlásení/registrácii zo strany prevádzkovateľa je neoddeliteľnou súčasťou Všeobecných obchodných podmienok (VOP) spoločnosti Biscotti CMP. Zmluva sa uzatvára výslovným elektronickým súhlasom v priebehu registrácie (napr. kliknutím na potvrdzovacie tlačidlo) a na svoju platnosť a právnu účinnosť nevyžaduje žiadny osobitný vlastnoručný podpis.

§ 1 Predmet a trvanie spracúvania

1.1 Predmet spracovania Spracovateľ poskytuje prevádzkovateľovi služby v oblasti správy súhlasov (Consent Management) a automatizácie dodržiavania predpisov o ochrane osobných údajov. Predmet spracovania osobných údajov vyplýva z hlavnej zmluvy uzavretej medzi stranami o používaní Biscotti CMP. Spracovanie zahŕňa všetky operácie súvisiace s údajmi, ktoré sú potrebné na poskytovanie zmluvne dohodnutých funkcií softvéru. Patrí sem najmä, ale nie výlučne:

• Zabezpečenie a dodávanie bannerov so súhlasom (cookie bannerov) na webových stránkach prevádzkovateľa.
• Zaznamenávanie, ukladanie, spravovanie a dokumentovanie rozhodnutí o súhlase (súhlas / odmietnutie) koncových používateľov (návštevníkov webových stránok) prevádzkovateľa v súlade s článkom 7 ods. 1 GDPR a § 25 ods. 1 TDDDG.
• Vykonávanie skenovania súborov cookie s podporou umelej inteligencie na webových stránkach prevádzkovateľa na účely identifikácie a kategorizácie technológií sledovania a ich porovnania s databázou poskytovateľov IAB.
• Spracovanie signálov v rámci Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) a Global Privacy Control (GPC).
• Určenie jurisdikcie návštevníka webovej stránky na základe IP adresy s cieľom dynamického zobrazenia variantov bannerov v súlade s právnymi predpismi (napr. GDPR, CCPA/CPRA).
• Generovanie právnych textov (impressum, vyhlásenie o ochrane osobných údajov, smernica o súboroch cookie) s podporou umelej inteligencie prostredníctvom integrovaného asistenta Legal Suite s využitím Alibaba Cloud Qwen.
• Poskytovanie kontrolných protokolov (audit logs), webhookov na zasielanie oznámení v reálnom čase, funkcií A/B testovania, ako aj funkcií exportu údajov na účely splnenia práv dotknutých osôb podľa čl. 15 GDPR.
• Správa podúčtov agentúry v rámci tarifu „Agency“, vrátane správy klientov a white-label brandingu.

1.2 Trvanie spracovania Trvanie tejto zmluvy o spracovaní údajov sa riadi trvaním príslušnej hlavnej zmluvy o používaní Biscotti CMP. Zmluva nadobúda platnosť registráciou prevádzkovateľa a aktiváciou účtu (v prípade bezplatných tarifov) alebo potvrdením platby (v prípade platených tarifov, ako sú Starter, Growth, Business, Agency). Automaticky končí ukončením hlavnej zmluvy, bez ohľadu na právny dôvod (napr. riadnou výpoveďou, mimoriadnou výpoveďou alebo zrušením účtu). Výpovedná lehota pre hlavnú zmluvu je 1 deň pred koncom príslušného zúčtovacieho obdobia. Ustanovenia tejto zmluvy, ktoré majú podľa svojej povahy platiť aj po jej ukončení (najmä ustanovenia týkajúce sa vymazania a vrátenia údajov, ako aj otázky zodpovednosti), zostávajú ukončením zmluvy nedotknuté.

§ 2 Druh a účel spracovania

2.1 Druh spracovania Druh spracovania zahŕňa zber, zaznamenávanie, organizáciu, usporiadanie, ukladanie, úpravu alebo zmenu, čítanie, vyhľadávanie, používanie, zverejňovanie prostredníctvom prenosu, šírenia alebo inej formy sprístupnenia, porovnávanie alebo prepojenie, obmedzenie, vymazanie alebo zničenie údajov. Spracovanie prebieha primárne automatizovane v cloudovej infraštruktúre spracovateľa (napr. hostované na Hetzner Online GmbH, umiestnenie servera zvyčajne v Európskej únii).

2.2 Účel spracovania Účelom spracovania je výlučne plnenie zmluvných povinností vyplývajúcich z hlavnej zmluvy. To zahŕňa:

• Preukázateľnosť súhlasu: Ukladanie údajov o súhlase na splnenie povinnosti zodpovednosti prevádzkovateľa podľa čl. 5 ods. 2 v spojení s čl. 7 ods. 1 GDPR.
• Technické zabezpečenie: Zobrazenie banneru so súhlasom a zabezpečenie funkčnosti webovej stránky prevádzkovateľa s ohľadom na preferencie používateľov.
• Analýza súladu: Automatizovaná kontrola webových stránok prevádzkovateľa z hľadiska rizík v oblasti ochrany osobných údajov (skener súborov cookie).
• Vytváranie právnych textov: Spracovanie firemných a kontaktných údajov prevádzkovateľa na účely vytvorenia právnych textov na mieru s využitím umelej inteligencie.
• Fakturácia a správa účtov: Správa používateľských účtov, prideľovanie limitov relácií (napr. 5 000 relácií v tarife Free, 500 000 v tarife Business) a spracovanie prevodov relácií.
• Správa agentúry: Umožnenie správy až 25 podúčtov v tarife Agency, vrátane poskytovania stránok pre predajcov a funkcií odosielania e-mailov.

Spracovanie údajov na vlastné účely spracovateľa, najmä na vlastné reklamné účely alebo na vytváranie profilov používateľov, ktoré presahujú rámec zmluvného plnenia, je prísne zakázané, pokiaľ neexistuje výslovné zákonné povolenie alebo samostatný súhlas.

§ 3 Druh osobných údajov

V rámci spracovania na základe zmluvy sa spracúvajú nasledujúce kategórie osobných údajov. Správca určuje presný rozsah údajov prostredníctvom používania Biscotti CMP a konfigurácie softvéru:

• Údaje o súhlase: rozhodnutia (súhlas/nesúhlas pre rôzne kategórie, ako sú základné, funkčné, analytické, marketingové, služby umelej inteligencie), časová pečiatka (dátum a presný čas udelenia súhlasu), jednoznačné identifikačné číslo (na pseudonymné priradenie rozhodnutia k príslušnému koncovému zariadeniu/prehliadaču).
• Technické údaje: IP adresy (spracúvajú sa primárne na účely identifikácie jurisdikcie na základe polohy a spravidla sa okamžite anonymizujú/skracujú, pokiaľ prevádzkovateľ nenastaví inú konfiguráciu), informácie o prehliadači, informácie o zariadení, reťazce User-Agent, údaje o relácii.
• Údaje z cookies a trackerov: Výsledky skenovania webových stránok prevádzkovateľa, vrátane nájdených cookies, obsahu lokálneho úložiska, trackerov tretích strán a ich klasifikácie.
• Obsah generovaný umelou inteligenciou: Údaje, ktoré prevádzkovateľ zadáva do asistenta Legal Suite na generovanie právnych textov (vyhlásenie o ochrane osobných údajov, tiráž, VOP). Môžu to byť údaje o spoločnosti, mená oprávnených zástupcov, adresy a špecifické činnosti spracovania, ktoré sa spracúvajú prostredníctvom rozhrania Alibaba Cloud Model Studio (Qwen) API.
• Kontaktné údaje (majitelia účtov): meno a priezvisko, e-mailová adresa, názov spoločnosti, adresa, telefónne číslo, identifikačné číslo pre daň z pridanej hodnoty (DIČ) zákazníkov alebo majiteľov účtov.
• Údaje o používaní: aktivity na riadiacom paneli, štatistiky bannerov (zobrazenia, interakcie, miery akceptácie), správy o súlade, protokoly o kontrolách zmien účtu.
• Platobné údaje: fakturačné informácie, ktoré sa spracúvajú prostredníctvom poskytovateľa platobných služieb Stripe (pričom údaje o kreditných kartách sa tokenizujú priamo v Stripe a neukladajú sa v čitateľnej podobe u spracovateľa).

§ 4 Kategórie dotknutých osôb

Spracovanie sa týka nasledujúcich kategórií dotknutých osôb:

• Návštevníci webových stránok (koneční používatelia): Fyzické osoby, ktoré navštevujú webové stránky prevádzkovateľa a ktorých rozhodnutia o súhlase sú zisťované, spracúvané a ukladané prostredníctvom banneru Biscotti CMP.
• Zákazníci (majitelia účtov): Fyzické osoby, živnostníci alebo zástupcovia právnických osôb, ktorí si ako zmluvní partneri spracovateľa zaregistrovali účet v Biscotti CMP.
• Členovia tímu a zamestnanci: osoby, ktoré boli majiteľom účtu (správcom) pozvané do riadiaceho panela Biscotti CMP ako ďalší používatelia s cieľom spravovať systém.
• Zákazníci agentúr (majitelia podúčtov): Koneční zákazníci agentúr, ktorí využívajú tarifu „Agency“ a pre ktorých boli vytvorené podúčty.

§ 5 Povinnosti a práva prevádzkovateľa

5.1 Zákonnosť spracúvania Za posúdenie prípustnosti spracúvania na základe poverenia, ako aj za ochranu práv dotknutých osôb zodpovedá výlučne zodpovedná osoba (čl. 4 ods. 7 GDPR). Správca zabezpečí, aby existoval účinný právny základ (napr. súhlas podľa čl. 6 ods. 1 písm. a) GDPR alebo oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR) pre spracúvanie osobných údajov sprostredkovateľom. To platí najmä pre použitie Biscotti CMP na získavanie súhlasov podľa § 25 ods. 1 TDDDG.

5.2 Informačné povinnosti Prevádzkovateľ nesie plnú zodpovednosť za to, aby dotknuté osoby (najmä návštevníci webovej stránky) boli v súlade s článkom 13 a článkom 14 GDPR transparentne, presne a včas informované o spracúvaní údajov. Spracovateľ na tento účel poskytne prevádzkovateľovi potrebné technické informácie o fungovaní Biscotti CMP, ako aj vzorové texty prostredníctvom asistenta Legal Suite. Právna kontrola a začlenenie vyhlásenia o ochrane osobných údajov je povinnosťou prevádzkovateľa.

5.3 Využitie agentúrou a pred ajcami Ak prevádzkovateľ využíva tarifu „Agency“ a vytvára podúčty pre svojich vlastných zákazníkov, zostáva vo vzťahu k sprostredkovateľovi jediným zmluvným partnerom a prevádzkovateľom v zmysle právnych predpisov o ochrane údajov. Správca zaručuje, že má so svojimi konečnými zákazníkmi uzavreté potrebné zmluvné dohody (vrátane vlastných zmlúv o spracovaní údajov). Ak správca zriadi stránku pre predajcov alebo používa vlastné e-mailové servery pod vlastnou doménou, nesie výhradnú zodpovednosť za ochranu údajov a hospodársku súťaž v súvislosti s touto infraštruktúrou. Spracovateľ za to nenesie žiadnu zodpovednosť.

5.4 Oznamovanie chýb Správca je povinný bezodkladne a úplne informovať spracovateľa, ak pri kontrole výsledkov zákazky zistí chyby alebo nezrovnalosti týkajúce sa ustanovení o ochrane osobných údajov.

§ 6 Právo zodpovednej osoby vydávať pokyny

6.1 Druh a rozsah pokynov Spracovateľ spracúva osobné údaje výlučne na základe zdokumentovaných pokynov prevádzkovateľa, pokiaľ nie je k tomu povinný na základe práva Únie alebo členských štátov, ktorému podlieha (čl. 28 ods. 3 písm. a) GDPR). V takomto prípade spracovateľ oznámi prevádzkovateľovi túto zákonnú požiadavku pred spracovaním, pokiaľ príslušné právo nezakazuje takéto oznámenie z dôvodu dôležitého verejného záujmu.

Hlavná zmluva, ako aj tieto VOP predstavujú počiatočné zdokumentované pokyny. Využívanie funkcií Biscotti CMP (napr. konfigurácia banneru, spustenie skenovania, generovanie textov) zo strany prevádzkovateľa v riadiacom paneli sa považuje za zdokumentované individuálne pokyny.

6.2 Forma pokynov Pokyny je možné spravidla vydávať prostredníctvom používateľského rozhrania softvéru (aplikácie). Pokyny nad rámec toho je potrebné vydávať v písomnej forme (napr. e-mailom na adresu [email protected]). Ústne pokyny musí prevádzkovateľ bezodkladne potvrdiť v písomnej forme.

6.3 Výhrady voči pokynom Spracovateľ bezodkladne informuje prevádzkovateľa, ak sa domnieva, že pokyn porušuje GDPR, BDSG alebo iné predpisy o ochrane údajov Únie alebo členských štátov. Spracovateľ je oprávnený pozastaviť vykonávanie príslušného pokynu, kým ho prevádzkovateľ nepotvrdí alebo nezmení. Zjavne nezákonné pokyny môže spracovateľ odmietnuť.

§ 7 Povinnosť zachovávať dôvernosť

7.1 Povinnosť zamestnancov Spracovateľ potvrdzuje, že všetky osoby oprávnené na spracúvanie osobných údajov prevádzkovateľa (zamestnanci, externí spolupracovníci, orgány) zaviazal k zachovaniu dôvernosti pred začatím činnosti (čl. 28 ods. 3 písm. b) GDPR) alebo že tieto osoby podliehajú primeranej zákonnej povinnosti mlčanlivosti. Táto povinnosť zahŕňa aj utajenie údajov a trvá aj po ukončení činnosti alebo pracovného pomeru.

7.2 Školenie a zvyšovanie povedomia Spracovateľ zabezpečí, aby osoby oprávnené na spracúvanie boli pravidelne školené a informované o ustanoveniach týkajúcich sa ochrany údajov (GDPR, BDSG) a bezpečnosti údajov. Spracovateľ, zastúpený vedením spoločnosti (Daniel Bosch, Philipp André Marschall), dbá na firemnú kultúru v súlade s ochranou údajov.

7.3 Poverenec pre ochranu údajov Spracovateľ údajov vymenoval odborného a spoľahlivého poverenca pre ochranu údajov, pokiaľ to vyžaduje zákon podľa § 38 ods. 1 BDSG alebo čl. 37 GDPR (napr. v prípade, že sa automatizovaným spracovaním trvalo zaoberá spravidla najmenej 20 osôb).

Ak neexistuje zákonná povinnosť vymenovať poverenca, spracovateľ údajov aj tak zabezpečí, aby vedenie spoločnosti v plnom rozsahu dohliadalo na plnenie povinností v oblasti ochrany údajov a aby boli tieto povinnosti dodržiavané.

§ 8 Technicko-organizačné opatrenia (TOM) podľa článku 32 GDPR

8.1 Zásada bezpečnosti spracúvania Spracovateľ záväzne vyhlasuje, že s ohľadom na stav techniky, náklady na implementáciu a povahu, rozsah, okolností a účelov spracúvania, ako aj rôznej pravdepodobnosti výskytu a závažnosti rizika pre práva a slobody fyzických osôb prijal vhodné technické a organizačné opatrenia (TOM), aby zabezpečil úroveň ochrany primeranú riziku (čl. 32 GDPR). Tieto opatrenia sa riadia uznávanými štandardmi IT bezpečnosti (ako ISO 27001 a SOC 2).

8.2 Konkrétne opatrenia Spracovateľ vykonáva najmä nasledujúce opatrenia a dodržiava ich počas celej doby trvania zmluvy:

a) Pseudonymizácia a šifrovanie (čl. 32 ods. 1 písm. a) GDPR)

• Šifrovanie pri prenose: Všetky prenosy údajov medzi koncovým používateľom, prevádzkovateľom a infraštruktúrou Biscotti CMP prebiehajú výlučne prostredníctvom najmodernejších šifrovacích protokolov (TLS 1.2 alebo TLS 1.3).
• Šifrovanie v kľude: Všetky databázy a pamäťové médiá na platforme Google Cloud (umiestnenie servera NL) sú šifrované na úrovni pevného disku (AES-256).
• Pseudonymizácia: Rozhodnutia o súhlase nie sú spojené s pravými menami, ale s náhodne generovaným kryptografickým identifikačným číslom. IP adresy sú štandardne skrátené/anonymizované hneď po dokončení priradenia na základe polohy.

b) Dôvernosť (kontrola prístupu a prístupových oprávnení)

• Kontrola prístupu: Fyzickú bezpečnosť používaných serverov zabezpečuje externý poskytovateľ infraštruktúry (napr. Google Cloud). Dátové centrá podliehajú prísnym kontrolám prístupu a bezpečnosti, ktoré sú bežné v tomto odvetví. Vlastné kancelárske priestory spoločnosti Campcruisers GmbH sú zabezpečené primeranými fyzickými obmedzeniami prístupu (napr. bezpečnostnými zámkami).
• Kontrola prístupu: Prístup k IT systémom spracovateľa je zabezpečený reštriktívnymi smernicami pre heslá, viacfaktorovou autentifikáciou (MFA) pre relevantné administratívne prístupy, ako aj časovými limitmi relácií. Systémy ako Cloudflare Turnstile sa používajú na ochranu pokusov o prihlásenie pred útokmi botov.
• Kontrola prístupu: Platí princíp minimálneho prideľovania práv (Role-Based Access Control – RBAC). Zamestnanci spracovateľa majú prístup len k tým údajom, ktoré sú nevyhnutne potrebné na vykonanie ich príslušnej úlohy. Údaje zákazníkov z rôznych tarifných programov sú logicky oddelené (multi-tenant).

c) Integrita (kontrola prenosu, vkladania a oddelenia)

• Kontrola prenosu: Údaje sa neprenášajú na fyzických nosičoch. Prenos prebieha výlučne cez zabezpečené siete.
• Kontrola zadávania: Biscotti CMP disponuje komplexným protokolom o kontrolách (audit log). Kedykoľvek je možné zistiť, ktorý používateľ (zákazník, člen tímu, agentúra) v akom čase vykonal aké zmeny v riadiacom paneli (napr. zmena textov bannerov, úprava kategórií súborov cookie).
• Kontrola oddelenia: Údaje, ktoré boli zhromaždené na rôzne účely, sa spracúvajú oddelene. Produkčné, testovacie a vývojové prostredia sú od seba prísne izolované.

d) Dostupnosť a odolnosť (čl. 32 ods. 1 písm. b) a c) GDPR)

• Dostupnosť: Spracovateľ prijíma primerané opatrenia bežné v danom odvetví na zabezpečenie dostupnosti systémov (hosting na platforme Google Cloud). Nezaručuje sa však žiadna explicitná dostupnosť podľa SLA a neexistuje úplná redundancia infraštruktúry.
• Odolnosť: Architektúra systému je navrhnutá tak, aby sa očakávané objemy relácií spravidla spoľahlivo spracovali. Nepoužívajú sa však žiadne špecializované mechanizmy vyrovnávania zaťaženia ani automatické mechanizmy škálovania (auto-scaling).
• Obnoviteľnosť: Spracovateľ prijme primerané opatrenia (napr. pravidelné zálohovanie databáz), aby v prípade technickej poruchy umožnil obnovenie údajov. Neexistuje však žiadna záruka obnovy bez strát, preto je prevádzkovateľ vyzvaný, aby na vlastnú zodpovednosť využíval exportné funkcie, ktoré má k dispozícii.

e) Postupy pravidelnej kontroly (čl. 32 ods. 1 písm. d) GDPR)

• Sprostredkovateľ pravidelne interne kontroluje účinnosť prijatých technických a organizačných opatrení.
• Existujú interné procesy na reakciu na bezpečnostné incidenty (Incident-Response), aby bolo možné riešiť potenciálne incidenty v rámci zákonných predpisov.
• TOM podliehajú procesu neustáleho zlepšovania.

8.3 Úprava technických a organizačných opatrení Technické a organizačné opatrenia podliehajú technickému pokroku a ďalšiemu vývoju. Spracovateľ je oprávnený zavádzať alternatívne primerané opatrenia, pokiaľ sa tým nezníži úroveň bezpečnosti stanovených opatrení. Podstatné zmeny je potrebné oznámiť prevádzkovateľovi v písomnej forme.

§ 9 Subspracovatelia

9.1 Poverenie subzpracovateľov Správca týmto udeľuje spracovateľovi všeobecné písomné povolenie (čl. 28 ods. 2 GDPR) na zapojenie ďalších spracovateľov (subzpracovateľov). Sprostredkovateľ zabezpečí, aby starostlivo vyberal subdodávateľov a zmluvne ich zaviazal k dodržiavaniu rovnakých povinností v oblasti ochrany údajov, aké sú stanovené v tejto zmluve (čl. 28 ods. 4 GDPR).

9.2 Aktuálne schválení subdodávatelia V čase uzavretia zmluvy sú nasledujúci subdodávatelia aktívni pri poskytovaní služieb Biscotti CMP a sú považovaní za schválených prevádzkovateľom. Spracovateľ zabezpečil, aby v prípade amerických poskytovateľov fungovala ako zmluvný partner príslušná pobočka v EÚ, aby bola zachovaná úroveň ochrany údajov EÚ:

9.3 Prenos do tretej krajiny Ak dochádza k spracovaniu prostredníctvom subdodávateľov mimo Európskej únie (EÚ) alebo Európskeho hospodárskeho priestoru (EHP) (napr. v prípade spoločnosti Resend), spracovateľ zabezpečí, aby boli splnené osobitné podmienky uvedené v článku 44 a nasl. GDPR. To sa zvyčajne uskutočňuje uzatvorením aktuálnych štandardných zmluvných doložiek (SCC) Európskej komisie v spojení s posúdením vplyvu prenosu (Transfer Impact Assessment) a implementáciou dodatočných technických opatrení (napr. šifrovanie).

9.4 Zmena alebo zapojenie nových subspracovateľov Spracovateľ informuje prevádzkovateľa o každej zamýšľanej zmene týkajúcej sa zapojenia alebo nahradenia subspracovateľov. Informácia sa poskytuje v písomnej forme (napr. e-mailom na adresu uvedenú v účte) najmenej 30 dní pred plánovanou zmenou. Správca môže z dôležitých dôvodov týkajúcich sa ochrany osobných údajov namietať proti zmene do 14 dní od doručenia oznámenia. Ak nedôjde k námietke, zmena sa považuje za schválenú. V prípade oprávneného nesúhlasu, ktorý spracovateľ nemôže odstrániť primeranými opatreniami, je prevádzkovateľ oprávnený mimoriadne vypovedať hlavnú zmluvu k dátumu nadobudnutia účinnosti zmeny.

§ 10 Podpora pri uplatňovaní práv dotknutých osôb

10.1 Povinnosť poskytovať podporu Spracovateľ v rámci možností podporuje prevádzkovateľa vhodnými technickými a organizačnými opatreniami pri plnení jeho povinnosti odpovedať na žiadosti o uplatnenie práv dotknutých osôb uvedených v kapitole III GDPR (čl. 15 až 22 GDPR) (čl. 28 ods. 3 písm. e) GDPR).

10.2 Technická implementácia v Biscotti CMP Biscotti CMP má za cieľ technicky podporovať prevádzkovateľa pri plnení jeho povinností:

• Právo na informácie (čl. 15 GDPR) a právo na prenosnosť údajov (čl. 20 GDPR): Softvér ponúka možnosti exportu údajov (napr. vo formáte CSV), resp. je možné požiadať podporu o export konkrétnych ID súhlasov v súlade s predpismi o ochrane údajov.
• Právo na odvolanie (čl. 7 ods. 3 GDPR): Banner súhlasu v Biscotti CMP ponúka koncovým používateľom funkciu, pomocou ktorej môžu zobraziť nastavenia a kedykoľvek ich odvolať.
• Právo na vymazanie (čl. 17 GDPR): Zozbierané údaje môže prevádzkovateľ vymazať prostredníctvom funkcií dostupných v riadiacom paneli alebo ich vymazanie môže preukázateľne iniciovať u podpory.

10.3 Postupovanie žiadostí Ak dotknutá osoba uplatní svoje práva priamo voči spracovateľovi, ten na žiadosť neodpovie sám, ale dotknutú osobu bezodkladne odkáže na prevádzkovateľa, pokiaľ je na základe dostupných údajov možné priradiť ju k prevádzkovateľovi. Spracovateľ bezodkladne postúpi žiadosť prevádzkovateľovi.

§ 11 Podpora pri posúdení vplyvu na ochranu údajov a oznamovacích povinnostiach

11.1 Posúdenie vplyvu na ochranu údajov (čl. 35 GDPR) Sprostredkovateľ podporuje prevádzkovateľa pri vykonávaní posúdenia vplyvu na ochranu osobných údajov (DSFA) podľa článku 35 GDPR, ako aj pri prípadnej potrebnej predchádzajúcej konzultácii s dozorným orgánom (článok 36 GDPR), s prihliadnutím na charakter spracúvania a informácie, ktoré má k dispozícii.

11.2 Oznamovanie porušení ochrany osobných údajov Spracovateľ je povinný bezodkladne, najneskôr však do 48 hodín od zistenia, písomne oznámiť prevádzkovateľovi každé porušenie ochrany osobných údajov (únik údajov), ktoré sa týka údajov spracúvaných na základe zmluvy.

§ 12 Vymazanie a vrátenie údajov

12.1 Vymazanie po ukončení zmluvy Po ukončení poskytovania služieb spracovania (ukončenie hlavnej zmluvy) je spracovateľ povinný podľa voľby prevádzkovateľa všetky osobné údaje buď vymazať, alebo vrátiť, pokiaľ podľa práva Únie alebo práva členských štátov (napr. obchodnoprávne a daňové povinnosti uchovávania podľa HGB a AO) neexistuje povinnosť uchovávať osobné údaje.

12.2 Štandardný postup spoločnosti Biscotti CMP Pokiaľ prevádzkovateľ nevydá iné pokyny, platí nasledujúci štandardný postup: Prevádzkovateľ má možnosť si svoje údaje pred ukončením zmluvy samostatne zálohovať prostredníctvom funkcie exportu (CSV). Po nadobudnutí účinnosti výpovede a uplynutí zúčtovacieho obdobia bude účet prevádzkovateľa deaktivovaný. Osobné údaje uložené na účte sa uchovávajú počas prechodného obdobia 30 dní (lehota na uchovávanie), aby bolo možné v prípade náhodného downgradeu údaje obnoviť. Po uplynutí týchto 30 dní sa údaje neodvolateľne a v súlade s predpismi o ochrane údajov vymažú z prevádzkových systémov.

12.3 Potvrdenie vymazania Spracovateľ na výslovnú žiadosť prevádzkovateľa potvrdí v písomnej forme vymazanie údajov v súlade s predpismi o ochrane osobných údajov.

§ 13 Kontrolné práva a audity

13.1 Právo na kontrolu Spracovateľ poskytne prevádzkovateľovi všetky potrebné informácie na preukázanie dodržiavania povinností stanovených v článku 28 GDPR a v tejto zmluve. Umožní kontroly – vrátane inšpekcií –, ktoré vykonáva prevádzkovateľ alebo ním poverený audítor zaviazaný mlčanlivosťou, a prispieva k nim.

13.2 Vykonávanie auditov Aby nebola ohrozená bezpečnosť dátových centier a dôvernosť údajov iných zákazníkov (oddelenie klientov), strany sa dohodli na nasledujúcom postupe pri auditoch:

• Správca bude svoje právo na kontrolu vykonávať primárne prostredníctvom vyžiadania a vyhodnotenia relevantných certifikátov (napr. ISO 27001) alebo prostredníctvom podrobných dotazníkov týkajúcich sa IT bezpečnosti.
• Ak tieto informácie nebudú postačujúce, zodpovedná osoba je oprávnená vykonať inšpekciu na mieste v obchodných priestoroch spoločnosti Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Inšpekcie na mieste je potrebné oznámiť s primeraným predstihom (zvyčajne najmenej 14 dní).

§ 14 Zodpovednosť a náhrada škody

14.1 Vonkajší vzťah (voči dotknutým osobám) Za náhradu škody zodpovedá prevádzkovateľ a spracovateľ voči dotknutej osobe v súlade s článkom 82 GDPR. Spracovateľ zodpovedá za škodu spôsobenú spracovaním len vtedy, ak nesplnil svoje povinnosti vyplývajúce z GDPR alebo konal v rozpore s právoplatnými pokynmi prevádzkovateľa.

14.2 Vnútorný vzťah (medzi stranami) Vo vnútornom vzťahu sa strany zbavujú zodpovednosti, ak jedna zo strán preukáže, že v žiadnom ohľade nie je zodpovedná za okolnosť, ktorou škoda vznikla.

14.3 Obmedzenie zodpovednosti vyplývajúce z hlavnej zmluvy Doplňujúco platia ustanovenia o zodpovednosti uvedené v hlavnej zmluve (VOP). Zodpovednosť za ľahkú nedbanlivosť je vylúčená, pokiaľ nejde o porušenie podstatných zmluvných povinností (kardinálnych povinností). V tomto prípade je zodpovednosť obmedzená na škodu typickú pre daný druh zmluvy a predvídateľnú.

§ 15 Záverečné ustanovenia

15.1 Písomná forma a zmeny Zmeny a doplnenia tejto zmluvy vyžadujú textovú formu (napr. e-mail). Spracovateľ si vyhradzuje právo zmeniť túto zmluvu s cieľom prispôsobiť ju zmeneným právnym pomeroch alebo technickému vývoju. Prevádzkovateľ bude o zmenách informovaný e-mailom.

15.2 Hierarchia Ak by jednotlivé ustanovenia tejto zmluvy o spracovaní údajov boli v rozpore s ustanoveniami hlavnej zmluvy (VOP), ustanovenia tejto zmluvy o spracovaní údajov majú prednosť, pokiaľ ide o ochranu a bezpečnosť údajov.

15.3 Salvátorská doložka Ak by niektoré ustanovenia tejto zmluvy boli alebo sa stali neplatnými alebo nevykonateľnými, neovplyvní to platnosť ostatných ustanovení. Zmluvné strany sa zaväzujú nahradiť neplatné alebo nevykonateľné ustanovenie platným a vykonateľným ustanovením.

15.4 Rozhodné právo a súdna príslušnosť Táto zmluva sa riadi výlučne právom Spolkovej republiky Nemecko s vylúčením Dohovoru OSN o zmluvách o medzinárodnom predaji tovaru. Výhradnou súdnou príslušnosťou pre všetky spory vyplývajúce z tejto zmluvy alebo s ňou súvisiace je, pokiaľ to zákon dovoľuje, sídlo spracovateľa (Falkensee). Zmluvným jazykom je nemčina.