Zmluva o spracúvaní osobných údajov

Zmluvné strany a rozsah

Táto zmluva sa uzatvára medzi zákazníkom, ktorý používa TrustInk (prevádzkovateľ), a spoločnosťou UniqTec s.r.o., Slovensko (sprostredkovateľ). Je súčasťou obchodných podmienok a vzťahuje sa na všetky osobné údaje, ktoré sprostredkovateľ pri poskytovaní TrustInk spracúva v mene prevádzkovateľa.

Predmet, doba, povaha a účel

• Predmet: získavanie elektronických podpisov na dokumentoch, ktoré posiela prevádzkovateľ.
• Doba: kým prevádzkovateľ používa TrustInk a kým sa údaje nevymažú podľa tejto zmluvy.
• Povaha a účel: ukladanie dokumentov, posielanie pozvánok a pripomienok, overovanie podpisujúcich jednorazovými kódmi, zaznamenávanie krokov podpisu, vydanie certifikátu každému podpisujúcemu, vytvorenie podpísaného PDF a zapečateného súhrnu dôkazov a doručovanie webhookov a udalostí prevádzkovateľovi.

Dotknuté osoby a kategórie údajov

• Dotknuté osoby: účastníci, ktorých prevádzkovateľ pozve na podpis, a ďalšie osoby uvedené v dokumentoch, ktoré prevádzkovateľ nahrá.
• Kategórie údajov: meno a priezvisko, e-mailová adresa, telefónne číslo (pri kódoch cez SMS), voliteľne adresa a pohlavie, ak ich prevádzkovateľ uvedie, dokument a jeho obsah, nakreslený podpis, časové údaje, IP adresa a prehliadač pri každom kroku a certifikát vydaný podpisujúcemu.
• Osobitné kategórie údajov prevádzkovateľ nenahráva, pokiaľ neposúdil, že smie.

Povinnosti sprostredkovateľa

Sprostredkovateľ:

1. spracúva údaje len na základe zdokumentovaných pokynov prevádzkovateľa, ktorými sú tieto podmienky, volania API a nastavenia portálu, ak zákon nevyžaduje inak;
2. zabezpečí, aby každý, kto má k údajom prístup, bol viazaný mlčanlivosťou;
3. prijme technické a organizačné opatrenia uvedené v prílohe;
4. zapája ďalších sprostredkovateľov len podľa tejto zmluvy;
5. pomáha prevádzkovateľovi vybavovať žiadosti dotknutých osôb a plniť povinnosti podľa článkov 32 až 36 GDPR s ohľadom na povahu spracúvania;
6. oznámi prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do [48] hodín od zistenia;
7. na konci služby údaje vymaže alebo vráti, ako je uvedené nižšie;
8. poskytne informácie potrebné na preukázanie súladu a umožní audity s primeraným predstihom, najviac raz ročne, ak porušenie nedáva dôvod na viac.

Ďalší sprostredkovatelia

Prevádzkovateľ schvaľuje sprostredkovateľov uvedených na stránke dôvery. Sprostredkovateľ oznámi zamýšľané pridanie alebo výmenu aspoň 30 dní vopred; prevádzkovateľ môže z opodstatnených dôvodov namietať a ak sa nenájde riešenie, dotknutú službu ukončiť. Každému ďalšiemu sprostredkovateľovi sprostredkovateľ uloží rovnaké povinnosti ochrany údajov.

Miesto a prenosy

Údaje sa ukladajú a spracúvajú v EÚ (AWS, Írsko, eu-west-1). Prenos mimo EÚ sa uskutoční len s primeranými zárukami podľa kapitoly V GDPR.

Vymazanie

Dokumenty a údaje účastníkov sa uchovávajú počas doby, ktorú umožňuje plán a nastavenia prevádzkovateľa, a vymažú sa po jej uplynutí, keď prevádzkovateľ prípad vymaže, alebo do [30] dní po skončení zmluvy. Podpísané dokumenty, ktoré už boli doručené prevádzkovateľovi alebo účastníkom, sprostredkovateľ nemá pod kontrolou.

Príloha: technické a organizačné opatrenia

• Hosting v AWS eu-west-1, šifrovanie údajov v pokoji aj pri prenose (TLS).
• Kľúče certifikačných autorít TrustInk a pečate dokumentov sú uložené v AWS Key Management Service; ich súkromné časti ho nikdy neopustia.
• Prístup k produkcii len pre určených pracovníkov, s viacfaktorovým overením a auditnými záznamami.
• Prístup k API cez OAuth 2.0 client credentials; obsah webhookov podpísaný HMAC.
• Oddelenie údajov zákazníkov podľa tenanta v každej požiadavke.
• Monitorovanie a upozornenia na zlyhania.
• [Doplníme a preveríme pred podpisom zmluvy.]