Ochrana osobních údajů

Zásady ochrany osobních údajů a zpracovatelská smlouva systému IRVYS. Dokumentace GDPR & DPA, režim B2B / B2G (Evropská unie & EHP).

Jde o informativní překlad. V případě jakéhokoli výkladového rozporu má přednost slovenské znění. Závazné slovenské znění

Článek I. Identifikace správce a úvodní ustanovení

Tento dokument upravuje pravidla zpracování a ochrany osobních údajů v souvislosti s provozem a používáním cloudového vysílacího a informačního systému IRVYS v souladu s Nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „GDPR“) a slovenským zákonem č. 18/2018 Z. z. o ochraně osobních údajů v platném znění.
Poskytovatelem a provozovatelem Systému IRVYS je obchodní společnost:
Obchodní firma
Datawell s.r.o.
Sídlo
Jeruzalemská 293/2, 917 01 Trnava, Slovenská republika
IČO
53983483
DIČ
2121540751
DIČ pro DPH
SK2121540751
Zápis v rejstříku
Obchodní rejstřík Okresního soudu Trnava, oddíl: Sro, vložka č. 49729/T
Kontaktní e-mail pro oblast GDPR
info@irvys.net
(dále jen „Poskytovatel“).
Při poskytování Systému IRVYS v segmentu B2B a B2G (podnikatelé, obce, školy, instituce v rámci EU/EHP) vystupuje Poskytovatel ve dvou odlišných právních postaveních podle GDPR:
- A) Poskytovatel jako Správce (Článek II. až IV.): ve vztahu k osobním údajům zástupců, statutárních orgánů, kontaktních osob a administrátorů Klienta, které zpracovává za účelem uzavření smlouvy, fakturace, provozu uživatelských účtů a zákaznické podpory.
- B) Poskytovatel jako Zpracovatel (Článek V. – Smlouva o zpracování osobních údajů / DPA): ve vztahu k osobním údajům třetích osob, které do Systému IRVYS nahraje, uloží nebo jeho prostřednictvím vysílá sám Klient v rámci svého vysílaného Obsahu.

Článek II. Rozsah, účely a právní základy zpracování (Poskytovatel jako Správce)

V případech, kdy Poskytovatel vystupuje jako samostatný Správce (čl. 4 bod 7 GDPR), zpracovává osobní údaje zástupců a uživatelů na straně Klienta v následujícím rozsahu, k následujícím účelům a po uvedenou dobu uchovávání:

Účel zpracování	Právní základ (GDPR)	Kategorie osobních údajů	Doba uchovávání
Plnění Smlouvy a správa účtu v Systému IRVYS (zřízení přístupu, technická podpora, notifikace o provozu)	Čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy) a čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem na plnění smlouvy prostřednictvím zaměstnanců Klienta)	Jméno, příjmení, pracovní pozice, e-mailová adresa, telefonní číslo, přihlašovací jméno, šifrované heslo	Po dobu trvání Smlouvy a 30 dní po jejím skončení (do výmazu uživatelského účtu)
Účetní a daňová evidence (vystavování faktur, evidence DPH a výkazů VIES v EU)	Čl. 6 odst. 1 písm. c) GDPR (plnění zákonné povinnosti podle zákona o účetnictví a zákona o DPH)	Fakturační údaje, jméno a příjmení kontaktní osoby na faktuře, IČO, DIČ, DIČ pro DPH, platební údaje, historie plateb	10 let následujících po roce, kterého se účetní doklady a faktury týkají
Zabezpečení sítě, prevence podvodů a logování (ochrana serverů, řešení incidentů a hlášení podle DSA)	Čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem Poskytovatele na kybernetické bezpečnosti a funkčnosti Systému)	IP adresa, časová razítka přihlášení (logy), identifikátor koncového zařízení/obrazovky, záznamy o aktivitách v administraci	12 měsíců od vytvoření záznamu (logu), pokud incident nevyžaduje delší uchování
Uplatňování právních nároků a obchodní komunikace (vymáhání pohledávek, informace o aktualizacích Systému)	Čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem Poskytovatele na ochraně svých práv a přímém B2B marketingu vlastních služeb)	Kontaktní údaje zástupce Klienta, historie smluvní a e-mailové komunikace, informace o využívaných službách	Po dobu trvání Smlouvy a do uplynutí promlčecích lhůt podle slovenského Obchodního zákoníku (zpravidla 4 roky)

Článek III. Příjemci osobních údajů a předávání do třetích zemí

Poskytovatel zpřístupňuje osobní údaje pouze v nezbytném rozsahu prověřeným kategoriím příjemců a zpracovatelů, se kterými má uzavřenou smlouvu o zpracování osobních údajů podle čl. 28 GDPR:
- poskytovatelé certifikované cloudové, serverové a hostingové infrastruktury umístěné na území Evropské unie,
- externě spolupracující účetní, daňové a právní kanceláře vázané povinností mlčenlivosti,
- externí IT specialisté a vývojáři zajišťující technickou údržbu a vývoj Systému IRVYS,
- orgány veřejné moci (např. finanční úřad, soudy, orgány činné v trestním řízení) výhradně v případech, kdy to vyžaduje platný právní předpis SR nebo EU.
Lokalizace dat v EU/EHP: Poskytovatel ukládá a zpracovává osobní údaje primárně v datových centrech umístěných na území členských států Evropské unie nebo Evropského hospodářského prostoru (EHP). Předávání osobních údajů do třetích zemí mimo EU/EHP se neprovádí; pokud by k němu výjimečně došlo při využití globálních komunikačních nástrojů, uskuteční se výhradně na základě rozhodnutí Evropské komise o odpovídající ochraně (např. EU-US Data Privacy Framework) nebo standardních smluvních doložek (SCC) podle čl. 46 GDPR.
Poskytovatel při zpracování osobních údajů neprovádí automatizované individuální rozhodování ani profilování podle čl. 22 GDPR.

Článek IV. Práva subjektů údajů v rámci EU

Fyzická osoba, jejíž osobní údaje Poskytovatel zpracovává (dále jen „Subjekt údajů“), má v souladu s čl. 15 až 21 GDPR následující práva:
- Právo na přístup k údajům (čl. 15 GDPR): právo získat potvrzení, zda jsou zpracovávány její osobní údaje, a získat kopii těchto údajů.
- Právo na opravu (čl. 16 GDPR): právo na bezodkladnou opravu nepřesných nebo doplnění neúplných osobních údajů.
- Právo na výmaz – „právo být zapomenut“ (čl. 17 GDPR): právo dosáhnout výmazu osobních údajů, pokud pominul účel jejich zpracování a neexistuje jiný zákonný důvod pro jejich uchování (např. archivační lhůta faktur).
- Právo na omezení zpracování (čl. 18 GDPR) a právo na přenositelnost údajů (čl. 20 GDPR) ve strukturovaném a strojově čitelném formátu.
- Právo vznést námitku (čl. 21 GDPR): právo kdykoli vznést námitku proti zpracování osobních údajů, které probíhá na právním základě oprávněného zájmu Poskytovatele (včetně námitky proti zasílání obchodních novinek).
Subjekt údajů může svá práva uplatnit písemně na adrese sídla Poskytovatele nebo elektronicky na e-mailové adrese info@irvys.net. Poskytovatel vyřídí žádost bez zbytečného odkladu, nejpozději do 1 měsíce ode dne jejího doručení.
Právo podat stížnost u dozorového úřadu: Pokud se Subjekt údajů domnívá, že při zpracování jeho osobních údajů došlo k porušení GDPR, má právo podat návrh na zahájení řízení u dozorového úřadu ve Slovenské republice, kterým je Úrad na ochranu osobných údajov Slovenskej republiky (Hraničná 12, 820 07 Bratislava 27, www.dataprotection.gov.sk), nebo u příslušného dozorového úřadu pro ochranu údajů v členském státě EU, ve kterém má své obvyklé bydliště nebo místo výkonu práce.

Článek V. Smlouva o zpracování osobních údajů (DPA podle čl. 28 GDPR)

Předmět a povaha zpracování: Tento článek představuje závaznou Smlouvu o zpracování osobních údajů (Data Processing Agreement – DPA) ve smyslu čl. 28 odst. 3 GDPR mezi Klientem jako Správcem a Poskytovatelem jako Zpracovatelem. Uplatní se v případech, kdy Klient nahraje do Systému IRVYS, uloží na cloudové úložiště nebo prostřednictvím koncových obrazovek vysílá audio, video, textový nebo grafický Obsah obsahující osobní údaje třetích fyzických osob (např. fotografie a videa zaměstnanců, občanů obce, žáků, vystupujících osob nebo zákazníků Klienta).
Odpovědnost Klienta jako Správce: Klient je výhradně odpovědný za to, že pro zpracování a veřejné šíření osobních údajů obsažených v jeho Obsahu disponuje platným právním základem podle čl. 6 GDPR (např. souhlas subjektu údajů se zveřejněním fotografie/videa, plnění smlouvy, plnění úkolu ve veřejném zájmu obce/školy nebo oprávněný zájem) a že vůči subjektům údajů splnil informační povinnost podle čl. 13 a 14 GDPR.
Povinnosti Poskytovatele jako Zpracovatele: Poskytovatel se po dobu trvání hlavní Smlouvy o poskytování služeb zavazuje:
- zpracovávat osobní údaje obsažené v Obsahu výhradně na základě doložených pokynů Klienta, přičemž za pokyn se považuje nahrání, uložení, naplánování vysílání a smazání souboru Klientem v uživatelském rozhraní Systému IRVYS,
- zajistit, aby osoby oprávněné zpracovávat osobní údaje na straně Poskytovatele (zaměstnanci a administrátoři) byly zavázány mlčenlivostí,
- poskytovat Klientovi přiměřenou součinnost při vyřizování žádostí subjektů údajů a při plnění povinností podle čl. 32 až 36 GDPR (včetně bezodkladného ohlášení případného porušení zabezpečení osobních údajů na serverech Systému),
- umožnit Klientovi na jeho písemnou žádost ověření dodržování povinností podle tohoto článku formou poskytnutí příslušné bezpečnostní dokumentace.
Technická a organizační bezpečnostní opatření (čl. 32 GDPR): Poskytovatel přijal k ochraně dat v Systému IRVYS přiměřená bezpečnostní opatření, zejména šifrování přenosu dat (protokoly HTTPS / TLS), šifrování přihlašovacích hesel, logické oddělení dat jednotlivých Klientů v cloudovém úložišti, řízení přístupových oprávnění a pravidelnou aktualizaci serverové infrastruktury.
Zapojení dalších zpracovatelů (Sub-processors): Klient uděluje Poskytovateli obecné písemné povolení k zapojení dalších zpracovatelů zajišťujících cloudový hosting a údržbu Systému v rámci EU/EHP. Poskytovatel zajistí, aby další zpracovatel byl vázán stejnými povinnostmi ochrany údajů jako v této DPA.
Výmaz údajů po skončení Smlouvy: Po skončení hlavní Smlouvy o používání Systému IRVYS má Klient možnost během lhůty 14 dní (při okamžitém skončení) nebo před uplynutím výpovědní doby stáhnout svá data ze Systému. Nejpozději do 30 dní ode dne zániku Smlouvy Poskytovatel trvale a nevratně vymaže veškerý Obsah a osobní údaje Klienta ze všech produkčních serverů a záloh Systému IRVYS, pokud zvláštní předpis EU nebo SR nevyžaduje jejich uložení.

Článek VI. Závěrečná ustanovení

Tento dokument tvoří samostatnou součást smluvní dokumentace ke Všeobecným obchodním podmínkám používání systému IRVYS společnosti Datawell s.r.o.
Poskytovatel je oprávněn tyto Zásady ochrany osobních údajů aktualizovat v případě změn legislativy EU/SR nebo při technických změnách Systému IRVYS. Aktuální znění je vždy zveřejněno v rozhraní Systému a na webových stránkách Poskytovatele.
Tyto Zásady ochrany osobních údajů a zpracovatelská smlouva nabývají platnosti a účinnosti dne 3. 11. 2026.