Táto DPA tvorí neoddeliteľnú súčasť obchodných podmienok. Spĺňa článok 28 Nariadenia (EÚ) 2016/679 ("GDPR") a upravuje, ako spracúvame osobné údaje vo vašom mene.
1. Strany a roly
Prevádzkovateľ: Vy (zákaznícka organizácia, ktorá sa registrovala — typicky spoločenstvo vlastníkov bytov alebo jeho zástupca).
Sprostredkovateľ: Filip Vnenčák, samostatne zárobkovo činná osoba, Slovenská republika, prevádzkujúci ResiApp Cloud.
2. Predmet a doba
Predmet: hostovanie a prevádzkovanie izolovanej inštancie OpenResiApp vo vašom mene, vrátane úložiska databázy, behu aplikácie a automatických záloh.
Doba: do ukončenia základnej zmluvy o službe.
3. Povaha a účel spracovania
Osobné údaje spracúvame iba na prevádzku služby: ich uchovávanie, zálohovanie, zobrazovanie späť vám a zabezpečenie bezpečnosti a dostupnosti. Údaje zákazníka neanalyzujeme, neprofilujeme ani inak nepoužívame.
4. Kategórie dotknutých osôb
- Členovia vášho spoločenstva vlastníkov bytov
- Vlastníci a nájomcovia jednotiek vo vašom dome
- Členovia výboru / predstavenstva
- Hostia / dodávatelia uvedení v záznamoch
5. Kategórie osobných údajov
Čokoľvek nahráte — typicky: mená, adresy, čísla bytov, kontaktné údaje (e-mail, telefón), spoluvlastnícky podiel, hlasovacie záznamy, zápisnice zo schôdzí, prílohy dokumentov. Môžete tiež nahrávať osobitné kategórie údajov (napr. zdravotné informácie pre záznamy o prístupnosti); v takom prípade pozrite časť 13.
6. Naše povinnosti ako sprostredkovateľa
Zaväzujeme sa:
- spracúvať vaše údaje iba na základe vašich zdokumentovaných pokynov, okrem prípadov, ktoré vyžaduje právo EÚ alebo SR;
- zabezpečiť, aby osoby oprávnené pristupovať k vašim údajom boli viazané mlčanlivosťou;
- zaviesť primerané technické a organizačné bezpečnostné opatrenia (časť 9);
- zapojiť iba sub-spracovateľov uvedených v časti 7 a oznamovať vám zmeny;
- pomáhať vám pri vybavovaní žiadostí dotknutých osôb;
- pomáhať vám pri plnení povinností podľa čl. 32-36 GDPR (bezpečnosť, oznamovanie porušení, DPIA, predchádzajúca konzultácia);
- po ukončení zmluvy údaje zmazať alebo vrátiť (časť 10);
- poskytnúť informácie potrebné na preukázanie súladu a umožniť audity.
7. Sub-spracovatelia
Súhlasíte so sub-spracovateľmi uvedenými na /legal/subprocessors. Pridanie alebo nahradenie sub-spracovateľa vám oznámime e-mailom najmenej 30 dní vopred. Môžete namietať z odôvodnených dôvodov; ak námietke nemôžeme vyhovieť, môžete ukončiť zmluvu.
8. Medzinárodné prenosy
Údaje aplikácie sú hostované v EÚ (AWS eu-central-1, Nemecko). Stripe môže prenášať fakturačné údaje do USA na základe štandardných zmluvných doložiek EÚ (2021/914). Iné prenosy Údajov zákazníka mimo EHP sa neuskutočňujú.
9. Bezpečnostné opatrenia
- AES-256 šifrovanie pri uložení pre databázy a zálohy
- TLS 1.3 pri prenose
- Izolovaná databáza pre každú zákaznícku inštanciu
- Princíp najmenších oprávnení v IAM (žiadny priamy ľudský prístup k DB pri rutinnej prevádzke)
- Denné šifrované zálohy uchovávané 30 dní v samostatnom S3 bucket-e pre každú organizáciu
- Verejný prístup zablokovaný na všetkých záložných úložiskách
- Audit logy administrátorských akcií
- MFA dostupné pre administrátorské účty zákazníkov
- Pravidelné aktualizácie závislostí a bezpečnostné záplaty
10. Vrátenie a zmazanie údajov
Pri ukončení zmluvy o službe:
- vaše údaje zostávajú dostupné na export 30 dní;
- po 30 dňoch je produkčná databáza natrvalo zmazaná;
- šifrované zálohy môžu existovať ešte ďalších 30 dní v rámci našej politiky uchovávania záloh, potom sú automaticky zmazané;
- toto 30-dňové uchovávanie záloh je dokumentované ako bezpečnostné opatrenie podľa čl. 32 GDPR a je nevyhnutné na obnovu po incidentoch — 30-dňové okno je minimum, ktoré sme určili ako prevádzkovo primerané.
Skoršie zmazanie môžete požiadať e-mailom na privacy@resiapp.cloud. Produkčné údaje zmažeme do 7 dní; uchovávanie záloh sa stále uplatní (toto obmedzenie prijímate podpísaním tejto DPA).
11. Porušenia ochrany osobných údajov
Bez zbytočného odkladu, a v každom prípade do 72 hodín od oznámenia o porušení ochrany osobných údajov týkajúcom sa vašich údajov, vás budeme informovať so všetkými informáciami požadovanými čl. 33 ods. 3 GDPR, aby ste mohli splniť vlastné oznamovacie povinnosti voči dozornému orgánu.
12. Audit
Náš súlad s touto DPA môžete auditovať raz za kalendárny rok, s 30-dňovým písomným oznámením, počas bežných pracovných hodín a spôsobom, ktorý neobmedzuje našu prevádzku. Audity sa môžu vykonávať písomne (dotazník) alebo preskúmaním certifikácií tretích strán (napr. AWS SOC 2). Audit na mieste môže byť požadovaný z odôvodneného dôvodu.
13. Osobitné kategórie údajov
Ak nahrávate osobitné kategórie údajov (čl. 9 GDPR — zdravotné, biometrické, rasový/etnický pôvod, náboženské vyznanie atď.), zodpovedáte za zabezpečenie právneho základu podľa čl. 9 ods. 2. Všetky údaje spracúvame s rovnakými bezpečnostnými opatreniami bez ohľadu na kategóriu.
14. Zodpovednosť
Každá strana zodpovedá za škody vyplývajúce z vlastného porušenia GDPR. Obmedzenie zodpovednosti podľa hlavných obchodných podmienok sa vzťahuje na túto DPA, okrem prípadov, kde to zakazuje čl. 82 GDPR.
15. Zmeny tejto DPA
Podstatné zmeny (nové kategórie sub-spracovateľov, zmeny uchovávania, podstatné bezpečnostné zmeny) oznámime 30 dní vopred a môžu vyžadovať vaše opätovné prijatie. Vaše ďalšie používanie služby po dátume účinnosti predstavuje súhlas s nepodstatnými zmenami.
16. Prijatie
Prijatím podmienok pri registrácii súhlasíte s touto DPA. Vaše prijatie je zaznamenané s časovou pečiatkou a verziou DPA vo vašom organizačnom zázname. Podpísanú PDF kópiu si môžete kedykoľvek vyžiadať e-mailom na privacy@resiapp.cloud.