Zmluva o spracúvaní osobných údajov

Tento dokument je zverejnený vo viacerých jazykoch. V prípade akéhokoľvek rozporu medzi jazykovými verziami je záväzná poľská verzia.

Verzia 2.2 · Posledná aktualizácia: 29. októbra 2026

Zmluva o spracúvaní osobných údajov v mene prevádzkovateľa podľa čl. 28 všeobecného nariadenia o ochrane údajov (GDPR)

medzi zákazníkom formexposed ako prevádzkovateľom (ďalej len „zákazník“) a LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poľsko, NIP (poľské daňové identifikačné číslo) 7252266190, ako sprostredkovateľom (ďalej len „my“).

Úvodné poznámky: o čom je táto zmluva

formexposed kontroluje kontaktné formuláre webových stránok z hľadiska ich ochrany pred spamom a zneužitím, monitoruje ich a hlási zmeny. Pri väčšine údajov, ktoré pritom vznikajú, sme prevádzkovateľom sami: pri zákazníckom účte, fakturácii, bezpečnosti služby, logoch a pri kontrolách bez účtu. Naše Zásady ochrany osobných údajov opisujú toto spracúvanie; táto zmluva sa naň nevzťahuje.

Niektoré funkcie však do služby prinášajú osobné údaje tretích osôb a o týchto údajoch rozhoduje zákazník: kópie skutočných dopytov od návštevníkov jeho webovej stránky, adresy osôb, ktoré dostávajú jeho upozornenia, prihlasovacie údaje testovacieho účtu, kód, ktorý nám odovzdá na spracovanie. Tieto údaje spracúvame len v mene zákazníka. Vzťahuje sa na ne táto zmluva. O ktoré funkcie ide v jednotlivostiach, je uvedené v prílohe 1 na konci tejto zmluvy.

Zmluva vychádza z čl. 28 ods. 3 GDPR a štruktúrou a obsahom je inšpirovaná štandardnými zmluvnými doložkami Európskej komisie medzi prevádzkovateľmi a sprostredkovateľmi (vykonávacie rozhodnutie (EÚ) 2021/915). Nepreberá ich doslovne, ale opisuje skutočnú službu. Ak niektorú povinnosť podľa čl. 28 GDPR upravujeme podrobnejšie, úroveň ochrany podľa nariadenia sa tým nesmie znížiť.

§ 1 Predmet, rozsah a úlohy

(1) Predmetom tejto zmluvy je spracúvanie osobných údajov nami v mene zákazníka pri poskytovaní služby podľa našich Podmienok používania. Predmet, povaha a účel spracúvania, typy osobných údajov a kategórie dotknutých osôb sú pre každú funkciu uvedené v prílohe 1.

(2) Táto zmluva sa nevzťahuje na spracúvanie, pri ktorom sme prevádzkovateľom sami, najmä zákaznícky účet a členovia pracovného priestoru, prihlásenie a bezpečnosť účtu, fakturácia, podpora, logy, zálohy týchto našich vlastných údajov, bezplatná kontrola bez účtu, kontroly domén v účte, pre ktoré zákazník ešte nepreukázal kontrolu, kontrola potenciálneho klienta, štúdia, odznak a to, čo prenáša plugin pre WordPress a rozšírenie pre TYPO3: denné čísla, zoznam pluginov a pri pripojenom plugine pre WordPress domény odkazov zo zablokovaných správ pre ochranu rojom (predvolene zapnutá). Okrem toho tieto údaje vzhľadom na konštrukciu týchto rozšírení neobsahujú žiadny obsah, mená, adresy ani IP adresy návštevníkov. Naopak, zálohy, pokiaľ obsahujú údaje zákazníka, a prístup k údajom zákazníka na účely prevádzky, odstraňovania chýb a bezpečnosti sú súčasťou spracúvania v mene zákazníka; vzťahuje sa na ne § 7 ods. 3 a § 15 ods. 5.

(3) Zákazník je prevádzkovateľom v zmysle čl. 4 bodu 7 GDPR pre údaje v prílohe 1. Ak zákazník sám koná ako sprostredkovateľ pre tretiu stranu, napríklad agentúra pre svojich klientov, sme pre tieto údaje ďalším sprostredkovateľom. Zákazník potom zabezpečí, aby bola táto zmluva zlučiteľná s povinnosťami podľa jeho vlastnej zmluvy, a pokyny tretej strany nám odovzdáva len prostredníctvom seba.

(4) Uzavretie: zmluva sa uzatvára pri registrácii spolu s obchodnými podmienkami, s každým zákazníkom, aj keď nevyužíva žiadnu z funkcií v prílohe 1. Uzatvára sa elektronicky; tým je splnený čl. 28 ods. 9 GDPR. Na tento účel ukladáme zobrazenú verziu, jej kontrolný súčet a čas, IP adresu a identifikátor prehliadača pri prijatí.

§ 2 Vymedzenie pojmov

Pojmy ako „osobné údaje“, „spracúvanie“, „prevádzkovateľ“, „sprostredkovateľ“ a „porušenie ochrany osobných údajov“ majú význam uvedený v čl. 4 GDPR. Ďalej:

Údaje zákazníka sú osobné údaje, ktoré spracúvame v mene zákazníka podľa prílohy 1.
Ďalší sprostredkovateľ je ďalší sprostredkovateľ, ktorého zapojíme a ktorý pritom spracúva údaje zákazníka (čl. 28 ods. 2 a 4 GDPR).
Pracovný priestor je oblasť v službe, v ktorej zákazník spravuje svoje domény, nastavenia a členov. Všetky údaje zákazníka sú priradené k pracovnému priestoru.
Textová forma je akýkoľvek čitateľný prejav na trvanlivom nosiči, najmä e-mail.
Dni sú kalendárne dni. Ak koniec lehoty pripadne na sobotu, nedeľu alebo štátny sviatok v Poľsku, skončí sa v najbližší pracovný deň.

§ 3 Trvanie

(1) Zmluva platí, kým spracúvame údaje zákazníka. Začína sa registráciou a nekončí len preto, že sa skončí platený plán: po vypovedaní pokračuje účet ako bezplatný účet a s ním prípadne aj údaje zákazníka. Končí sa, keď bol účet vymazaný a nemáme už žiadne údaje zákazníka, s výnimkou záloh až do ich uplynutia (§ 15).

(2) Povinnosti, ktoré svojou povahou pôsobia aj naďalej, trvajú aj po skončení, najmä mlčanlivosť, vymazanie, preukazovanie a zodpovednosť.

(3) Riadna výpoveď samotnej tejto zmluvy je vylúčená, pretože bez nej by nebolo možné spracúvať žiadne údaje zákazníka, kým účet existuje. Ak ju chce zákazník ukončiť, vymaže svoj účet (§ 15 ods. 3). Práva na výpoveď podľa § 9 ods. 3 a § 16 a práva na výpoveď podľa obchodných podmienok zostávajú nedotknuté.

§ 4 Pokyny

(1) Údaje zákazníka spracúvame len na základe zdokumentovaných pokynov zákazníka, a to aj pokiaľ ide o prenos do tretej krajiny alebo medzinárodnej organizácii. To neplatí, ak nám spracúvanie ukladá právo Únie alebo členského štátu, ktorému podliehame. V takom prípade zákazníka o tejto právnej požiadavke informujeme pred spracúvaním, pokiaľ takéto informovanie toto právo nezakazuje z dôležitých dôvodov verejného záujmu (čl. 28 ods. 3 druhá veta písm. a) GDPR).

(2) Pokyny zákazníka sú úplne zdokumentované v tejto zmluve, v obchodných podmienkach a v nastaveniach, ktoré zákazník v službe vykoná. Príklady: nastavenie kontroly doručenia je pokynom prijímať a vyhodnocovať kópie e-mailov z formulárov; vytvorenie cieľa upozornení je pokynom posielať tam oznámenia; uloženie testovacieho účtu je pokynom prihlasovať sa ním pri skenovaní za prihlásením. Služba je postavená tak, aby robila len to, čo tieto nastavenia stanovujú.

(3) Ďalšie pokyny dáva zákazník v textovej forme na contact@lukaswojcik.com alebo cez okno podpory. Oprávnení dávať pokyny sú vlastník a správcovia pracovného priestoru; pokyny prostredníctvom nastavení v službe dáva ten, komu jeho rola dovoľuje nastavenie vykonať. Ústny pokyn zákazník bez zbytočného odkladu potvrdí v textovej forme; dovtedy môžeme s jeho vykonaním počkať, pokiaľ sa pokyn netýka vymazania alebo obmedzenia údajov. Pokyn, ktorý presahuje dohodnutý rozsah služieb, považujeme za žiadosť o zmenu služieb; môžeme ho odmietnuť alebo podmieniť odmenou, ktorú vopred oznámime v textovej forme. Z tohto dôvodu neodmietneme pokyn, ktorý sa týka povinnosti podľa GDPR, napríklad vymazania.

(4) Ak podľa nášho názoru pokyn porušuje právo, bezodkladne o tom zákazníka informujeme (čl. 28 ods. 3 druhý pododsek GDPR). Jeho vykonanie môžeme pozastaviť, kým zákazník pokyn nepotvrdí alebo nezmení. Pokyn, ktorý je zjavne nezákonný, nevykonáme. Nie sme povinní vykonávať komplexné právne preskúmanie každého pokynu; zodpovednosť za jeho zákonnosť zostáva na zákazníkovi.

§ 5 Obmedzenie účelu a čo s údajmi zákazníka nerobíme

(1) Údaje zákazníka spracúvame len na účely uvedené v prílohe 1 a len v rozsahu, ktorý si príslušná funkcia vyžaduje.

(2) Údaje zákazníka nepoužívame na vlastné účely. Najmä ich neanalyzujeme na reklamné účely, nepredávame ich, nespájame ich s údajmi iných zákazníkov do profilov a nepoužívame ich na trénovanie jazykových modelov. Jazykový model, ktorý pomáha pri jednotlivých funkciách, beží na našom vlastnom serveri; nič sa neposiela externej službe AI.

(3) Zákazník nám povoľuje zostavovať z údajov zákazníka agregované čísla, ktoré už nemožno priradiť žiadnej osobe, žiadnemu zákazníkovi ani žiadnej doméne, napríklad o doručeniach, chybách alebo výsledkoch kontrol. Agregácia je spracúvaním podľa tejto zmluvy; výsledné čísla už nie sú osobnými údajmi ani údajmi zákazníka. Nepokúšame sa z nich opätovne identifikovať osoby.

§ 6 Povinnosti zákazníka

(1) Zákazník zodpovedá za zákonnosť spracúvania, ktorým nás poverí. Patrí k tomu, že má naň právny základ a že informuje dotknuté osoby podľa čl. 13 a 14 GDPR.

(2) Ak zákazník používa kontrolu doručenia, informuje návštevníkov svojej webovej stránky vo svojich zásadách ochrany osobných údajov, že kópia e-mailu z formulára sa posiela nám. Služba na stránke domény zobrazuje navrhovaný text; ďalšie textové bloky sú k dispozícii na stránke Text zásad ochrany osobných údajov pre Váš web. Návrh nenahrádza vlastné posúdenie zákazníka.

(3) Na skenovanie za prihlásením zákazník vytvorí osobitný testovací účet, ktorý má len práva potrebné na čítanie určených stránok a ktorý nezobrazuje žiadne skutočné údaje zákazníkov, pacientov, členov ani zamestnancov. Neukladá prihlasovacie údaje skutočnej osoby ani prihlasovacie údaje, ktoré nie je oprávnený používať. Pravidlá používania sú uvedené aj v dokumente Prijateľné používanie a zneužitie.

(4) Zákazník nedáva prostredníctvom služby spracúvať osobitné kategórie osobných údajov (čl. 9 GDPR) ani údaje týkajúce sa uznania viny za trestné činy (čl. 10 GDPR), pokiaľ sa tomu môže vyhnúť. Pri používaní funkcie „Fix it for me“ nevkladá kód obsahujúci skutočné osobné údaje a klientske portály vytvára len pre osoby, ktoré si správu objednali.

(5) Klientske portály: pri mesačnej správe odberateľom je prevádzkovateľom zákazník, spravidla agentúra. Služba si od každého odberateľa vyžiada potvrdenie prostredníctvom potvrdzovacieho odkazu (double opt-in) a v každom e-maile ponúka odhlásenie. Či sa súhlas vzťahuje na obsah správy, posudzuje zákazník.

(6) Ak zákazník zistí chyby alebo nezrovnalosti pri spracúvaní, bez zbytočného odkladu nás o tom informuje.

(7) Ak zákazník vloží odznak, nejde o spracúvanie v jeho mene; súvisiace spracúvanie opisujú naše Zásady ochrany osobných údajov. Zákazník to uvedie vo svojich zásadách ochrany osobných údajov.

§ 7 Dôvernosť

(1) Prístup k údajom zákazníka poskytujeme len osobám, ktoré ho potrebujú na svoje úlohy a ktoré sa zaviazali zachovávať dôvernosť alebo podliehajú príslušnej zákonnej povinnosti zachovávať dôvernosť (čl. 28 ods. 3 druhá veta písm. b) GDPR). Záväzok trvá aj po skončení ich činnosti.

(2) V súčasnosti prevádzkuje službu vlastník sám. Ak pribudnú ďalšie osoby, sú pred prvým prístupom zaviazané k dôvernosti a poučené o zaobchádzaní s osobnými údajmi.

(3) Do pracovného priestoru nahliadame len v rozsahu potrebnom na prevádzku, odstraňovanie chýb, podporu alebo predchádzanie zneužitiu. Funkcia podpory „zobraziť ako zákazník“ je obmedzená na jednu hodinu, blokuje zmeny hesla, adresy, druhého faktora, predplatného, exportu a vymazania a je zaznamenávaná; zákazník vidí prístup vo svojom exporte údajov.

§ 8 Bezpečnosť spracúvania

(1) Prijímame technické a organizačné opatrenia podľa čl. 32 GDPR, ktoré zaisťujú úroveň bezpečnosti primeranú riziku. Sú opísané na stránke Technické a organizačné opatrenia. Táto stránka je súčasťou tejto zmluvy (príloha 2) vo verzii, ktorá je tam v danom čase zverejnená. Zákazník si mohol opis pozrieť pred uzavretím zmluvy. Či opatrenia poskytujú primeranú úroveň bezpečnosti pre spracúvanie, ktorým nás zákazník poveruje, posudzuje zákazník na vlastnú zodpovednosť (čl. 28 ods. 1 GDPR), najmä predtým, ako zapne niektorú funkciu z prílohy 1.

(2) Stránka opisuje len opatrenia, ktoré boli skutočne zavedené. Čokoľvek plánované, ale ešte nezavedené, je tam výslovne označené ako „plánované“ a nie je súčasťou opatrení, ku ktorým sa zaväzujeme, kým nebude zavedené.

(3) Opatrenia môžeme prispôsobovať technickému pokroku a vývoju služby, pokiaľ sa celková úroveň ochrany nezníži. Každú zmenu zverejňujeme s novým číslom verzie a dátumom na stránke a v prehľade Zmeny zmluvných dokumentov. Ak zmena bez náhrady odstráni alebo oslabí predtým opísané opatrenie, zákazníkovi to navyše oznámime v textovej forme najmenej 30 dní vopred; zákazník potom môže namietať ako v prípade nového ďalšieho sprostredkovateľa (§ 9 ods. 3). Ak treba opatrenie nahradiť v krátkom čase na odvrátenie hrozby, možno tak urobiť bez predchádzajúceho oznámenia, ak sa tým úroveň ochrany nezníži; oznámenie potom nasleduje bez zbytočného odkladu.

§ 9 Ďalší sprostredkovatelia

(1) Zákazník nám udeľuje všeobecné písomné povolenie zapájať ďalších sprostredkovateľov (čl. 28 ods. 2 GDPR). Ďalší sprostredkovatelia, ktorých v súčasnosti zapájame, s ich sídlom, účelom, údajmi, miestom spracúvania a základom prípadného prenosu do tretej krajiny sú uvedení na stránke Ďalší sprostredkovatelia. Tento zoznam je súčasťou tejto zmluvy (príloha 3) vo verzii, ktorá je tam zverejnená. Pre ďalších sprostredkovateľov, ktorí sú tam uvedení, sa povolenie považuje za udelené.

(2) O každom zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa informujeme zákazníka najmenej 30 dní vopred e-mailom na adresu majiteľa účtu. Oznámenie uvádza ďalšieho sprostredkovateľa, jeho sídlo, dotknutú funkciu, údaje, miesto spracúvania a základ prípadného prenosu. Zároveň sa oznámená zmena zobrazí na stránke ďalších sprostredkovateľov a v prehľade zmien.

(3) Zákazník môže v textovej forme v rámci týchto 30 dní namietať, ak má objektívny dôvod týkajúci sa ochrany údajov; dôvod uvedie v námietke. Potom spolu so zákazníkom hľadáme riešenie, napríklad tak, že dotknutú funkciu pre zákazníka naďalej prevádzkujeme bez nového ďalšieho sprostredkovateľa alebo ju vypneme. Kým sa nenájde riešenie, nového ďalšieho sprostredkovateľa pre údaje tohto zákazníka nepoužívame; ak to technicky nie je možné, dotknutá funkcia sa pre zákazníka pozastaví. Ak sa riešenie nenájde, zákazník môže vypovedať zmluvu o službe alebo o dotknutej službe s účinnosťou ku dňu zmeny a ak ho až po tomto dni informujeme, že riešenie nie je možné, s okamžitou účinnosťou do 14 dní od tohto oznámenia. Za vopred zaplatené obdobie, ktoré v dôsledku toho už nemôže využiť, vrátime pomernú sumu. Naše právo na riadnu výpoveď podľa obchodných podmienok zostáva nedotknuté.

(4) Každému ďalšiemu sprostredkovateľovi zmluvne ukladáme rovnaké povinnosti v oblasti ochrany údajov, aké táto zmluva ukladá nám, najmä poskytnutie dostatočných záruk na prijatie primeraných technických a organizačných opatrení (čl. 28 ods. 4 prvá veta GDPR). Každého ďalšieho sprostredkovateľa starostlivo vyberáme a overujeme, či tieto záruky existujú, pred jeho zapojením, znova pri podstatnej zmene jeho podmienok a inak pri ročnom preskúmaní našich opatrení. Ak ďalší sprostredkovateľ poskytuje dôkazy len vo forme certifikátu, správy z auditu alebo svojich zverejnených podmienok, opierame naše overenie o tieto dôkazy, ak sú aktuálne a vypovedajúce. Na požiadanie zašleme zákazníkovi kópiu zmluvy s ďalším sprostredkovateľom alebo jeho podmienok ochrany údajov; obchodné tajomstvá a iné dôverné informácie, napríklad ceny, môžeme predtým začierniť.

(5) Ak ďalší sprostredkovateľ nesplní svoje povinnosti v oblasti ochrany údajov, zodpovedáme zákazníkovi za plnenie jeho povinností ako za vlastné konanie (čl. 28 ods. 4 druhá veta GDPR). Náš výber ďalšieho sprostredkovateľa neprenáša žiadnu zodpovednosť na zákazníka. Ak ďalší sprostredkovateľ neplní svoje zmluvné povinnosti a týka sa to údajov zákazníka, bez zbytočného odkladu o tom zákazníka informujeme. Ak sme fakticky zanikli, právne prestali existovať alebo sa stali platobne neschopnými bez toho, aby naše povinnosti prevzal právny nástupca, má mať zákazník možnosť požadovať od ďalšieho sprostredkovateľa vymazanie alebo vrátenie údajov zákazníka; dohodneme to s každým ďalším sprostredkovateľom, pokiaľ to umožňuje (porov. doložku 7.7 písm. e) štandardných zmluvných doložiek 2021/915).

(6) Ďalšími sprostredkovateľmi nie sú príjemcovia, ktorým sa údaje posielajú len preto, že ich zákazník sám nastaví v službe ako cieľ: chatovacie služby (napríklad Slack, Discord, Microsoft Teams, Google Chat) a adresy webhookov pre upozornenia. Nastavenie cieľa je pokynom poslať tam oznámenie; zmluvný vzťah s týmito poskytovateľmi a prípadný základ potrebný na prenos do tretej krajiny sú v zodpovednosti zákazníka. Naše vlastné povinnosti podľa tejto zmluvy až do okamihu odovzdania oznámenia zostávajú nedotknuté. Telegram je rovnako cieľ zvolený zákazníkom, funguje však inak: správu posielame cez nášho vlastného bota do chatu, ktorý príjemca s botom sám prepojil, a Telegram ju spracúva mimo Európskeho hospodárskeho priestoru. Voľbou Telegramu nám zákazník výslovne dáva pokyn prenášať tam oznámenia (čl. 28 ods. 3 druhá veta písm. a) GDPR); ak by mal byť Telegram v tomto ohľade považovaný za nášho ďalšieho sprostredkovateľa, voľba tohto cieľa sa zároveň považuje za osobitné povolenie podľa čl. 28 ods. 2 GDPR na tento účel. Základ podľa kapitoly V GDPR, na ktorom sa tento prenos uskutočňuje, zatiaľ nie je s konečnou platnosťou vyjasnený; kto sa chce vyhnúť prenosu bez vyjasneného základu, zvolí iný cieľ. Rovnako nie sú ďalšími sprostredkovateľmi poskytovatelia služieb, ktorí údaje len prenášajú, napríklad náš poskytovateľ internetových služieb.

(7) Servery, databázu a výpočtovú kapacitu vrátane kapacity pre jazykový model prevádzkujeme sami v Poľsku. Nie je zapojený žiadny poskytovateľ hostingu ani cloudu.

§ 10 Prenosy do tretích krajín

(1) Naše vlastné servery, na ktorých spracúvame údaje zákazníka, sa nachádzajú v Poľsku; ak údaje zákazníka spracúva ďalší sprostredkovateľ, príloha 3 uvádza miesto. Prenos do krajiny mimo Európskeho hospodárskeho priestoru sa uskutoční len vtedy, ak sú splnené podmienky čl. 44 až 49 GDPR, a len na pokyn zákazníka podľa § 4 alebo ďalšiemu sprostredkovateľovi povolenému podľa § 9.

(2) Základ pre každého ďalšieho sprostredkovateľa (rozhodnutie o primeranosti, napríklad rozhodnutie o rámci ochrany osobných údajov medzi EÚ a USA (EU-U.S. Data Privacy Framework) v prípade certifikovaných príjemcov, alebo štandardné zmluvné doložky podľa čl. 46 ods. 2 písm. c) GDPR) je uvedený v zozname ďalších sprostredkovateľov. Ak zoznam pri príjemcovi uvádza „na overenie“, údaje zákazníka sa mu neposielajú, kým nebude základ zdokumentovaný. Ak zapojíme ďalšieho sprostredkovateľa mimo Európskeho hospodárskeho priestoru bez uplatniteľného rozhodnutia o primeranosti, dohodneme s ním štandardné zmluvné doložky podľa vykonávacieho rozhodnutia (EÚ) 2021/914 (modul 3: sprostredkovateľ – sprostredkovateľ), vopred posúdime, či právo a prax krajiny určenia umožňujú ich dodržiavanie, prijmeme prípadné potrebné doplnkové opatrenia a výsledok zaznamenáme. Zákazník dostane na požiadanie zhrnutie tohto posúdenia.

(3) Za prenosy do cieľov, ktoré si zvolil sám zákazník (§ 9 ods. 6), zodpovedá za základ zákazník.

§ 11 Pomoc pri právach dotknutých osôb

(1) Berúc do úvahy povahu spracúvania, pomáhame zákazníkovi vhodnými technickými a organizačnými opatreniami, pokiaľ je to možné, pri vybavovaní žiadostí dotknutých osôb podľa kapitoly III GDPR (čl. 28 ods. 3 druhá veta písm. e) GDPR).

(2) Mnohé z toho môže zákazník urobiť v službe sám: zmeniť alebo vymazať ciele upozornení, testovacie prihlásenia a vlastné brandovanie; zmeniť alebo vypnúť cesty formulárov; zrušiť klientske portály (ich odberatelia zostávajú uložení až do vymazania pracovného priestoru); odstrániť doménu spolu s jej údajmi; stiahnuť export údajov. Ak to nestačí, pomôžeme na žiadosť v textovej forme.

(3) Ak sa na nás dotknutá osoba obráti so žiadosťou týkajúcou sa údajov zákazníka, vecne na ňu sami neodpovedáme, ale bez zbytočného odkladu, najneskôr do siedmich dní od doručenia, ju postúpime zákazníkovi, pokiaľ ho dokážeme identifikovať, a osobe oznámime, že sme tak urobili. Ak zákazníka identifikovať nedokážeme, oznámime osobe, aké informácie potrebujeme na jeho nájdenie.

(4) Jedno obmedzenie uvádzame otvorene: kópie e-mailov z formulárov z kontroly doručenia neukladáme do databázy a e-mail sa po úspešnom spracovaní zo schránky vymaže, prípadne s oneskorením v prípade chyby pri načítaní alebo vymazaní. Vo vzťahu ku konkrétnemu návštevníkovi preto spravidla vieme povedať len to, že už nemáme žiadny obsah.

(5) Ak sa dozvieme, že údaje zákazníka sú nesprávne alebo neaktuálne, bez zbytočného odkladu o tom zákazníka informujeme. Zákazník ich potom môže sám opraviť, vymazať alebo obmedziť v službe alebo pokynom nám.

§ 12 Pomoc pri bezpečnosti, posúdení vplyvu a konzultácii

(1) Berúc do úvahy povahu spracúvania a informácie, ktoré máme k dispozícii, pomáhame zákazníkovi pri plnení jeho povinností podľa čl. 32 až 36 GDPR: bezpečnosť spracúvania, oznamovanie porušení dozornému orgánu a dotknutým osobám, posúdenie vplyvu na ochranu údajov a predchádzajúca konzultácia s dozorným orgánom (čl. 28 ods. 3 druhá veta písm. f) GDPR).

(2) Na tento účel poskytujeme najmä opis opatrení, zoznam ďalších sprostredkovateľov a na požiadanie ďalšie informácie o tokoch údajov a dobách uchovávania. Naše vlastné posúdenie rizík služby zverejňujeme v dokumente Posúdenie vplyvu na ochranu údajov; zákazník ho môže použiť pre svoje vlastné posúdenie.

(3) Za pomoc podľa § 11 a 12, ktorú si zákazník nemôže zabezpečiť sám pomocou funkcií služby alebo zverejnených dokumentov, ktorá si vyžaduje viac než štyri hodiny práce za kalendárny rok a ktorá nie je spôsobená porušením tejto zmluvy alebo GDPR z našej strany, môžeme za čas nad tento rámec účtovať odmenu podľa hodinovej sadzby, ktorú vopred oznámime v textovej forme. Postupovanie žiadostí a oznamovanie porušení je vždy bezplatné. Pomoc, ktorú dlhujeme zo zákona, nepodmieňujeme platbou ani dohodou o odmene.

§ 13 Porušenia ochrany osobných údajov

(1) Ak sa dozvieme o porušení ochrany osobných údajov týkajúcom sa údajov zákazníka, oznámime to zákazníkovi bez zbytočného odkladu, podľa možnosti do 48 hodín, e-mailom na adresu majiteľa účtu (čl. 33 ods. 2 GDPR). Účelom je neskracovať 72-hodinovú lehotu, ktorú musí zákazník dodržať voči dozornému orgánu. O porušení vieme, len čo s primeranou istotou zistíme, že bezpečnostný incident sa týka údajov zákazníka; každé podozrenie preverujeme bez zbytočného odkladu. To isté platí pre porušenie u ďalšieho sprostredkovateľa, len čo nám ho oznámi.

(2) Oznámenie obsahuje, pokiaľ sú známe, informácie podľa čl. 33 ods. 3 GDPR: povahu porušenia vrátane času alebo obdobia, kedy k nemu došlo, podľa možnosti s kategóriami a približným počtom dotknutých osôb a záznamov, kontaktné miesto pre ďalšie informácie, pravdepodobné následky a prijaté alebo navrhované opatrenia. Čo v čase prvého oznámenia ešte nie je zistené, poskytneme bez ďalšieho zbytočného odkladu.

(3) Bezodkladne prijmeme opatrenia potrebné na nápravu porušenia a zmiernenie jeho následkov a ďalšie kroky dohodneme so zákazníkom. Každé porušenie zdokumentujeme so skutočnosťami, jeho následkami a prijatými nápravnými opatreniami a dokumentáciu na požiadanie sprístupníme zákazníkovi.

(4) Oznámenie dozornému orgánu alebo oznámenie dotknutým osobám vykonáva zákazník. My tak robíme len na jeho pokyn.

(5) Hlásenia bezpečnostných zraniteľností, ktoré tretie strany nájdu v službe, prijímame na stránke Bezpečnosť.

(6) Oznámenie a naša súčinnosť podľa tohto paragrafu nepredstavujú uznanie porušenia povinnosti ani zodpovednosti. Ak sa porušenie týka aj údajov, pre ktoré sme prevádzkovateľom sami, plníme pre tieto údaje svoje vlastné povinnosti podľa čl. 33 a 34 GDPR; údaje zákazníka pritom zverejňujeme len v rozsahu potrebnom na tento účel.

§ 14 Preukazovanie a audity

(1) Zákazníkovi sprístupňujeme všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožňujeme audity vrátane kontrol vykonávaných zákazníkom alebo audítorom, ktorého poveril, a prispievame k nim (čl. 28 ods. 3 druhá veta písm. h) GDPR).

(2) Dodržiavanie preukazujeme predovšetkým dokumentmi: opisom opatrení, zoznamom ďalších sprostredkovateľov, Záznamami o spracovateľských činnostiach pokrývajúcimi spracúvanie v mene zákazníkov (čl. 30 ods. 2 GDPR), písomnými odpoveďami na dotazníky a na požiadanie výpismi z logov alebo z výsledkov testu obnovy. Na dotazníky odpovedáme do 30 dní od doručenia a ak existuje dôvod podľa odseku 4, tak rýchlo, ako si tento dôvod vyžaduje. Externé správy z auditu ani certifikácie v súčasnosti neexistujú; uvádzame to, aby nikto nepredpokladal opak.

(3) Ak dokumenty nestačia, zákazník môže požiadať o audit, a to aj na mieste. Zákazník oznámi riadny audit najmenej 30 dní vopred v textovej forme s uvedením jeho predmetu, predpokladaného trvania a audítora; uskutoční sa v bežnom pracovnom čase v Poľsku a naplánuje sa tak, aby nebola zbytočne narušená prevádzka. Riadne audity na mieste sa uskutočňujú najviac raz za kalendárny rok; odsek 4 zostáva nedotknutý.

(4) Žiadna pevná čakacia lehota pri naliehavom dôvode. V prípade porušenia ochrany osobných údajov, ak existujú konkrétne náznaky porušenia tejto zmluvy alebo GDPR a ak audit požaduje dozorný orgán, neplatí ani 30-dňová lehota na oznámenie, ani obmedzenie na jeden audit ročne. Audit sa potom uskutoční, len čo si to dôvod vyžaduje a len čo je to organizačne možné.

(5) Zákazník môže poveriť audítora, ktorý je viazaný mlčanlivosťou a ktorý neponúka službu porovnateľnú s formexposed ani nepracuje pre takého poskytovateľa. Od audítorov môžeme požadovať, aby si neodnášali ani nezaznamenávali tajomstvá iných zákazníkov, prihlasovacie údaje ani bezpečnostné údaje. Zákazník a jeho audítor zaobchádzajú s tým, čo sa počas auditu dozvedia o našej prevádzke, ako s dôverným a používajú to len na overenie dodržiavania tejto zmluvy a GDPR; môžu to poskytnúť príslušnému dozornému orgánu, poradcom viazaným mlčanlivosťou a v rozsahu, v akom to vyžaduje zákon. Takéto dojednania nesmú zmariť zákonné práva na audit.

(6) Každá strana znáša vlastné náklady na audit. Ak naša celková práca na auditoch a dotazníkoch jedného zákazníka presiahne osem hodín za kalendárny rok, môžeme za čas nad tento rámec účtovať odmenu podľa hodinovej sadzby, ktorú vopred oznámime v textovej forme, nie však vtedy, ak audit odhalí porušenie z našej strany alebo sa uskutoční z dôvodu podľa odseku 4, za ktorý zodpovedáme. Samotný audit nepodmieňujeme platbou.

(7) Právomoci dozorných orgánov zostávajú nedotknuté. Dozorným orgánom príslušným pre nás je predseda Úradu na ochranu osobných údajov (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Obe strany na požiadanie sprístupnia príslušnému dozornému orgánu informácie podľa tohto paragrafu vrátane výsledkov auditov.

§ 15 Vymazanie a vrátenie

(1) Počas trvania platia doby uchovávania uvedené v prílohe 1. Presadzuje ich nočný proces, ktorý vymazáva podľa tých istých nastavení, ktoré sa uvádzajú aj v textoch.

(2) Voľba medzi vrátením a vymazaním. Po skončení spracúvania zákazník rozhodne, či údaje zákazníka vrátime alebo vymažeme (čl. 28 ods. 3 druhá veta písm. g) GDPR). Vrátenie sa uskutoční prostredníctvom exportu údajov, ktorý si zákazník môže sám stiahnuť v nastaveniach ako strojovo čitateľný súbor, alebo nami na žiadosť v textovej forme do 30 dní, pričom v takom prípade zahŕňa aj údaje zákazníka, ktoré export neobsahuje, pokiaľ ich možno vrátiť (odsek 4). Vymazanie sa uskutoční odstránením domény, ktorým sa vymažú jej údaje, alebo vymazaním účtu, ktoré zákazník spustí sám. Ak zákazník chce vrátenie aj vymazanie, najprv stiahne export a potom vymaže.

(3) Ak zákazník nezvolí nič a vymaže svoj účet, považuje sa to za voľbu vymazania. Pri vymazaní účtu sa pracovné priestory, ktorých je zákazník jediným vlastníkom, okamžite vymažú v živom systéme spolu so všetkými údajmi zákazníka. Ak má pracovný priestor ďalších členov, prechádza na člena, ktorý k nemu patrí najdlhšie, správcovia pred čitateľmi, a nevymaže sa; tento člen sa tým stáva zákazníkom pre daný pracovný priestor. Kto to nechce, odstráni pred vymazaním ostatných členov alebo domény. Ak sa zmluva o účte skončí inak, napríklad našou výpoveďou podľa obchodných podmienok, upozorníme zákazníka spolu s výpoveďou na export a zákazník si ho môže stiahnuť až do skončenia zmluvy. Najneskôr 30 dní po skončení zmluvy vymažeme účet spolu s údajmi zákazníka; v súčasnosti sa to robí ručne.

(4) Vopred uvádzame, čo nemožno vrátiť: prihlasovacie údaje pre skenovanie za prihlásením nie sú súčasťou exportu, pretože ich webový server nedokáže dešifrovať (príloha 1, bod 5); kópie z kontroly doručenia po spracovaní už neexistujú; kód z „Fix it for me“ sa vôbec neukladá.

(5) Zálohy. Databáza sa zálohuje každú noc. Každá záloha sa vymaže po 14 dňoch. Údaje zákazníka vymazané v živom systéme zostávajú dovtedy v starších zálohách; jednotlivé záznamy sa v zálohe selektívne nevymazávajú, pretože záloha musí byť nezmeneným obrazom určitého okamihu. Až do ich uplynutia sú zálohy chránené ako samotná databáza a používajú sa len na obnovu a testovanie obnovy; neprehľadávajú sa ani neanalyzujú. Ak musíme zálohu obnoviť, pred opätovným uvedením služby do prevádzky znova vykonáme žiadosti o vymazanie podané po jej dátume, pokiaľ o nich vieme. Záznam preto zmizne aj zo záloh najneskôr 14 dní po jeho vymazaní v živom systéme.

(6) Podľa súčasného stavu nemáme povinnosť údaje zákazníka uchovávať. Ak vznikne zákonná povinnosť uchovávania podľa práva Únie alebo poľského práva, dotknuté údaje namiesto vymazania obmedzíme, použijeme ich len na tento účel a vymažeme ich, keď povinnosť zanikne.

(7) Na požiadanie potvrdíme vymazanie v textovej forme do 30 dní s uvedením, čo ešte existuje podľa odsekov 5 a 6 a do kedy.

§ 16 Porušenia, pozastavenie a výpoveď

(1) Ak nie sme schopní splniť povinnosť podľa tejto zmluvy, z akéhokoľvek dôvodu, bez zbytočného odkladu o tom zákazníka informujeme.

(2) Ak porušíme túto zmluvu alebo GDPR, zákazník môže požadovať, aby sme pozastavili spracúvanie dotknutých údajov zákazníka, kým porušenie nebude odstránené. Ak porušenie pretrváva alebo je závažné, zákazník môže zmluvu o službe vypovedať z dôležitého dôvodu, najmä ak porušenie neodstránime do jedného mesiaca od oznámenia alebo nevyhovieme rozhodnutiu súdu alebo dozorného orgánu, ktoré sa ho týka. Poplatky zaplatené vopred za obdobie po skončení zmluvy vrátime pomerne.

(3) Ak zákazník trvá na pokyne, ktorý podľa § 4 ods. 4 považujeme za nezákonný, môžeme vypovedať zmluvu o dotknutej službe za predpokladu, že sme na to zákazníka vopred upozornili a on pokyn do jedného mesiaca nezmení.

(4) Po skončení sa uplatní § 15.

§ 17 Zodpovednosť

(1) Za škodu, ktorú utrpí dotknutá osoba, sa uplatní čl. 82 GDPR. Táto zodpovednosť nie je obmedzená žiadnym zmluvným obmedzením zodpovednosti vrátane obmedzenia v obchodných podmienkach.

(2) Ak strana zaplatila dotknutej osobe náhradu podľa čl. 82 GDPR, môže od druhej strany požadovať vrátenie časti zodpovedajúcej podielu druhej strany na zodpovednosti za škodu (čl. 82 ods. 4 a 5 GDPR). Ani tento regres nie je obmedzený obmedzeniami zodpovednosti v obchodných podmienkach.

(3) Pre všetky ostatné nároky medzi zákazníkom a nami podľa tejto zmluvy, napríklad na náhradu vlastnej škody alebo nákladov strany, sa uplatnia pravidlá zodpovednosti obchodných podmienok, pokiaľ to zákon dovoľuje. Za ďalších sprostredkovateľov zodpovedáme podľa § 9 ods. 5 ako za vlastné konanie. Pokutu uloženú dozorným orgánom strane za jej vlastné porušenie znáša táto strana sama.

(4) Ak voči strane uplatní nárok dotknutá osoba alebo dozorný orgán, táto strana o tom bez zbytočného odkladu informuje druhú stranu a obe spolupracujú pri objasňovaní veci. Žiadna strana bez súhlasu druhej strany neuzná nárok, pre ktorý chce od druhej strany požadovať regres; súhlas nemožno odoprieť bez objektívneho dôvodu.

§ 18 Kontaktné miesto a zodpovedná osoba

(1) Otázky ochrany údajov týkajúce sa tejto zmluvy, pokyny a oznámenia zákazník adresuje na contact@lukaswojcik.com alebo cez okno podpory a stránku Kontakt. Naše oznámenia podľa tejto zmluvy sa posielajú na e-mailovú adresu majiteľa účtu; zákazník ju udržiava aktuálnu.

(2) Zodpovednú osobu sme neurčili, pretože podľa nášho posúdenia nie sú splnené podmienky čl. 37 ods. 1 GDPR. Ak sa to zmení, určenie oznámime v tejto zmluve.

§ 19 Záverečné ustanovenia

(1) Prednosť. Ak je ustanovenie obchodných podmienok alebo inej dohody v rozpore s touto zmluvou, má táto zmluva prednosť vo všetkých veciach týkajúcich sa spracúvania údajov zákazníka; vlastné obchodné podmienky zákazníka sa neuplatňujú. Zmeny a doplnenia tejto zmluvy v jednotlivom prípade si vyžadujú textovú formu a musia na ňu výslovne odkazovať; stávajú sa súčasťou tejto zmluvy a v rozsahu svojich ustanovení majú pred ňou prednosť. Ak je táto zmluva v rozpore s kogentnými ustanoveniami GDPR, majú prednosť tieto ustanovenia.

(2) Zmeny. Túto zmluvu meníme len z niektorého z týchto objektívnych dôvodov: zmena právnych predpisov alebo ich výkladu súdmi a orgánmi, a to aj prostredníctvom nových štandardných zmluvných doložiek Európskej komisie; zmena služby, jej funkcií alebo jej technického základu; zmena u tretej strany potrebná na poskytovanie služby; predchádzanie zneužitiu alebo bezpečnostným rizikám; alebo oprava chýb a nejasností. Zmeny oznamujeme s uvedením zmeneného znenia, dôvodu a plánovaného dátumu najmenej 30 dní vopred e-mailom na adresu majiteľa účtu a v prehľade zmien. Bez tejto lehoty meníme len to, čo je výlučne v prospech zákazníka, má čisto jazykovú povahu alebo opravuje zjavné chyby, čo zákon, súd alebo orgán vyžaduje v kratšej lehote a čo je potrebné na odvrátenie bezprostredného bezpečnostného rizika; aj v týchto prípadoch zmenu oznámime čo najskôr a uvedieme dôvod. Mlčanie nepredstavuje súhlas. Ak si zmena vyžaduje súhlas zákazníka, získame ho výslovne; bez neho platí naďalej predchádzajúca verzia a zákonné a zmluvné práva na výpoveď zostávajú zachované. Zákazník môže proti oznámenej zmene namietať v textovej forme až do jej nadobudnutia účinnosti; následky upravujú ustanovenia obchodných podmienok o námietkach proti zmene. Zmeny príloh 2 a 3 upravujú § 8 ods. 3 a § 9 ods. 2 a 3. Všetky verzie sú zaznamenané v prehľade Zmeny zmluvných dokumentov.

(3) Rozhodné právo a miesto súdnej príslušnosti. Uplatní sa právo určené obchodnými podmienkami; kogentné ustanovenia GDPR zostávajú nedotknuté. Miesto súdnej príslušnosti sa riadi obchodnými podmienkami.

(4) Jazyk. Zmluva je k dispozícii vo všetkých úradných jazykoch Európskej únie. V prípade rozporov má prednosť poľská verzia.

(5) Ak je niektoré ustanovenie neplatné, zvyšok zmluvy zostáva platný. Neplatné ustanovenie sa nahradí zákonným ustanovením, ktoré je najbližšie jeho účelu; v prípade pochybností ustanovením, ktoré spĺňa požiadavky čl. 28 ods. 3 GDPR.

Príloha 1 – Spracúvanie v mene zákazníka

Táto príloha pre každú funkciu opisuje predmet, povahu a účel spracúvania, typy osobných údajov, kategórie dotknutých osôb a vymazanie (čl. 28 ods. 3 prvá veta GDPR). Ak nie je uvedené inak, povaha spracúvania je: získavanie, uchovávanie, vyhľadávanie, porovnávanie, prenos do cieľov určených zákazníkom a vymazanie. Miestom spracúvania sú naše vlastné servery v Poľsku; ak je zapojený ďalší sprostredkovateľ, je to uvedené. Lehoty v zložených zátvorkách sú nastavenia, podľa ktorých nočný proces vymazávania skutočne pracuje. Doba spracúvania je doba trvania tejto zmluvy (§ 3); v jej rámci platia lehoty vymazania uvedené pri jednotlivých funkciách. Spracúvanie prebieha priebežne, kým zákazník funkciu používa. Osobitné kategórie osobných údajov nie sú predmetom spracúvania; ak sa napriek tomu dostanú do služby prostredníctvom e-mailov z formulárov, uplatní sa § 6 ods. 4.

1. Kontrola doručenia

Účel: overiť, či e-maily z formulára zákazníka prichádzajú a či sú pravé (SPF, DKIM, DMARC).

Ako to funguje: funkcia je nepovinná. Zákazník vo svojom formulári zadá adresu kontrolnej schránky ako skrytú kópiu (Bcc). Výsledkom je, že nám sa posiela kópia každého e-mailu z formulára, nielen kópie našich testovacích odoslaní, ale aj kópie skutočných dopytov od jeho návštevníkov. Automatické načítanie cez IMAP prečíta hlavičky a najviac prvých 8 KB textu, priradí e-mail k doméne a prípadne k testovaciemu odoslaniu a skontroluje znaky pravosti. Po úspešnom spracovaní sa e-mail zo schránky vymaže. V prípade chyby pri načítaní alebo vymazaní môže v schránke zostať až do ďalšieho úspešného behu.

Údaje: obsah a hlavičky e-mailov z formulárov so všetkým, čo návštevníci zadajú, napríklad meno, e-mailová adresa, telefónne číslo a správa, ako aj adresy odosielateľa a príjemcu a technické informácie o zapojených poštových serveroch.

Dotknuté osoby: návštevníci webovej stránky zákazníka, ktorí odošlú formulár; príjemcovia e-mailov z formulárov u zákazníka.

Uloženie a vymazanie: v databáze sa ukladá len čas, priradenie k doméne, prípadne identifikátor testovacieho odoslania a výsledky kontroly pravosti. Čas a priradenie sa uchovávajú 180 dní; najnovší výsledok kontroly pravosti sa uchováva pri doméne, kým ho nenahradí ďalší e-mail alebo kým sa doména nevymaže. Výsledok kontroly pravosti obsahuje IP adresu doručujúceho poštového servera a doménu adresy odosielateľa; upozornenie uvádza túto doménu len vtedy, ak nepatrí k webovej stránke. Obsah a úplné adresy odosielateľov – návštevníkov sa v databáze neukladajú. Samotný e-mail sa po úspešnom spracovaní zo schránky vymaže, prípadne s oneskorením v prípade chyby pri načítaní alebo vymazaní.

Zapojení: poskytovateľ poštových služieb (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) pre schránku; kópie sa k nemu dostávajú priamo cez MX záznamy našej domény, nie cez presmerovanie, pozri Ďalší sprostredkovatelia.

Obmedzenie: zhoda potvrdzuje len to, že príslušná kópia dorazila do kontrolnej schránky, nie prijatie skutočným príjemcom ani záznam v CRM. Bez kontrolnej schránky funkcia nie je k dispozícii. Kópie by nemali obsahovať osobitné kategórie osobných údajov (§ 6 ods. 4).

2. Klientsky portál a mesačná správa odberateľom

Účel: zasielanie mesačnej správy o formulároch webovej stránky v mene zákazníka, typicky agentúry jej vlastným klientom, a poskytovanie portálu s týmito správami.

Údaje: e-mailová adresa, jazyk, čas a IP adresa prihlásenia na odber, čas potvrdenia (double opt-in) a odhlásenia; obsah správy (doména, výsledky kontrol, čísla).

Dotknuté osoby: klienti a kontaktné osoby zákazníka, ktorí sa prihlásia na odber správy.

Vymazanie: nepotvrdené prihlásenia po 30 dňoch. Po odhlásení sa záznam o prihlásení, potvrdení a odhlásení uchováva tri roky, aby zákazník mohol preukázať súhlas. Všetko sa vymaže najneskôr spolu s pracovným priestorom; samotné zrušenie portálu jeho odberateľov nevymaže.

Zapojení: poskytovateľ poštových služieb (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) na odosielanie.

3. Upozornenia, správy a incidenty

Účel: doručovanie upozornení, súhrnov a správ do cieľov, ktoré zákazník nastaví, a správa incidentov.

Údaje: e-mailové adresy, adresy webhookov a chatovacích kanálov, ID chatu v Telegrame po tom, ako ho príjemca prepojil; obsah oznámení (doména, udalosť, čas, odkaz do služby, pri upozorneniach z kontrol odkaz na správu, cez ktorý sú výsledky a snímky obrazovky prístupné bez prihlásenia; Telegram namiesto odkazu na správu dostáva len odkaz na stránku domény v účte, ktorý vyžaduje prihlásenie); záznam o odoslaní; pokusy o doručenie eskalácie podľa incidentu a cieľa (počet, časy, výsledok, chyba); meno alebo e-mailová adresa osoby, ktorá incident potvrdí, a zodpovedná osoba s termínom.

Dotknuté osoby: zamestnanci a poskytovatelia služieb zákazníka, ktorí dostávajú upozornenia alebo riešia incidenty.

Vymazanie: ciele, kým ich zákazník neodstráni alebo nevymaže doménu; záznam o odoslaní po 90 dňoch; zhromaždené oznámenia 30 dní po odoslaní; incidenty, kým nie sú vyriešené, a 180 dní po vyriešení spolu s ich pokusmi o doručenie eskalácie.

Zapojení: poskytovateľ poštových služieb (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) pre e-mail; pre chatovacie služby a webhooky poskytovatelia zvolení zákazníkom (§ 9 ods. 6).

4. Kontrola webových stránok zákazníka: náhodne viditeľné osoby

Účel: kontrola a monitorovanie formulárov a ich ochrany na doménach zákazníka, pre ktoré preukázal kontrolu. Kým pri doméne preukázanie chýba, kontrolujeme ju len pasívne a pre tieto kontroly sme prevádzkovateľom sami; opisujú to Zásady ochrany osobných údajov.

Údaje: sken číta verejné stránky domény: adresy stránok, štruktúru formulárov (názvy polí, typy, popisky, atribúty povinnosti a viditeľnosti, žiadne hodnoty; začiatky predvyplnených skrytých polí a dátových atribútov skener číta len počas kontroly a neukladá ich), vložené skripty, ochranné opatrenia. Vytvára snímky obrazovky viditeľnej oblasti domovskej stránky a formulárov a pri aktívnych testovacích odoslaniach aj stránky s odpoveďou; nie sú anonymizované. Tieto snímky a prečítaný obsah stránok môžu obsahovať osobné údaje, ktoré zákazník sám zverejňuje, napríklad mená a kontaktné údaje kontaktných osôb, fotografie alebo recenzie. Adresy príjemcov formulárov ukladáme len ako doménu. Pre každú kontrolu služba vytvorí správu pod náhodným odkazom, cez ktorý sú výsledky a snímky obrazovky prístupné bez prihlásenia, kým sa kontrola nevymaže; odkaz sa zobrazuje v účte a v upozorneniach (bod 3). Kto odkaz posunie ďalej, posúva ďalej správu.

Dotknuté osoby: osoby, ktorých údaje sú viditeľné na webovej stránke zákazníka.

Vymazanie: výsledky kontrol vrátane snímok obrazovky najviac 13 mesiacov; najnovšia kontrola sa uchováva, kým je doména v účte. Pri odstránení domény sa vymažú údaje domény vrátane kontrol, zistení a snímok obrazovky.

Poznámka: jazykový model na našom vlastnom serveri pomáha klasifikovať formuláre, ktorých účel samotné pravidlá nedokážu rozpoznať. Formuláre klasifikované týmto spôsobom sa nikdy neodosielajú a nezapočítavajú sa do skóre ani do verdiktu. Aktívne testovacie odoslania (najviac päť na kontrolu) obsahujú len označené testovacie texty bez osobných údajov.

5. Prihlasovacie údaje testovacieho účtu pre skenovanie za prihlásením

Účel: čítanie formulárov až na piatich stránkach za prihlásením určeným zákazníkom. Len pre overené domény, len vlastníkmi a správcami pracovného priestoru, len v platených plánoch. Testovací účet sa používa len pri úplnej kontrole, nie pri kontrolách v prehliadači (bod 6).

Údaje: adresa prihlásenia, používateľské meno a heslo testovacieho účtu, informácie o prihlasovacích poliach; to, čo je pre tento účet viditeľné na prečítaných stránkach, pokiaľ sa to týka štruktúry formulárov.

Dotknuté osoby: osoba, na ktorej meno je testovací účet vedený, ak je priradený osobe; osoby, ktorých údaje sú viditeľné v testovacom účte.

Ochrana: používateľské meno a heslo sa na webovom serveri šifrujú verejným kľúčom skenovacieho servera a viažu sa k doméne. Dešifrovať ich môže len skenovací server, počas skenu; webový server, databáza a zálohy obsahujú len šifrovaný text. Prihlasovacie údaje sa nikdy nezobrazujú, nikdy nezaznamenávajú do logov a nikdy nevydávajú cez rozhranie; používateľské rozhranie zobrazuje len prvý znak a dĺžku používateľského mena. Za prihlásením sa nič neodosiela, nevykonáva sa žiadny aktívny test a nevytvárajú sa snímky obrazovky; stránky na odhlásenie, vymazanie alebo zrušenie sa nenavštevujú.

Vymazanie: kým zákazník prihlasovacie údaje neodstráni alebo nevymaže doménu; odstránenie prepíše šifrovaný text a vyčistí čakajúce úlohy. Kópia priložená k jednotlivej úlohe skenu sa po behu vymaže, prípadné zvyšky najneskôr po jednej hodine.

6. Cesty formulárov a kontroly v prehliadači

Účel: opakované kontroly, či nakonfigurované formuláre fungujú v skutočnom prehliadači až po okamih pred odoslaním.

Údaje: adresy formulárov, selektory, predchádzajúce kliknutia a kroky kontroly, voľba prehliadača, zodpovedná osoba a termín; výsledky so stavom, technickými kategóriami chýb, očistenými chybovými hláseniami, časmi a snímkou obrazovky formulára so zakrytými vstupnými poľami. Vzťah k osobe vzniká najmä prostredníctvom zodpovednej osoby a obsahu, ktorý zákazník sám zapíše do krokov alebo popiskov.

Dotknuté osoby: zamestnanci zákazníka, ktorým sú formuláre priradené.

Vymazanie: konfigurácie až do vymazania domény; zákazník ich môže jednotlivo meniť alebo vypínať, v súčasnosti ich však nemôže jednotlivo odstrániť. Výsledky po 13 mesiacoch.

Obmedzenie: kontroly v prehliadači nič neodosielajú. Nezávislá druhá sonda je v službe predpokladaná, v súčasnosti však nie je nastavená; bez nej neexistuje potvrdenie z druhého miesta. Ak sa nastaví u tretej strany, uplatní sa § 9.

7. „Fix it for me“

Účel: vloženie ochranného komponentu do kódu formulára, ktorý zákazník vloží.

Údaje: vložený kód, ak obsahuje osobné údaje, napríklad v komentároch, vzorových hodnotách alebo napevno zapísaných adresách.

Dotknuté osoby: osoby, ktorých údaje sa v kóde nachádzajú.

Spracúvanie a vymazanie: komponent vkladá jazykový model na našom vlastnom serveri. Kód sa spracúva len počas trvania požiadavky a neukladá sa. Služba funguje bez prihlasovacích údajov k systémom zákazníka a na jeho servery nič neinštaluje.

8. Vlastné brandovanie (white-label)

Účel: zobrazenie značky zákazníka v správach a v klientskom portáli.

Údaje: názov firmy, webová stránka, kontaktné údaje a logo, prípadne meno a kontaktné údaje kontaktnej osoby.

Dotknuté osoby: kontaktné osoby zákazníka.

Vymazanie: kým zákazník údaje nezmení alebo nevymaže, najneskôr spolu s pracovným priestorom.

9. Doplnkové čísla bez vzťahu k osobe

Nepovinné čísla o chybách formulárov a polí z rozšírenia pre WordPress neobsahujú žiadne vstupy, názvy polí ani identifikátory návštevníkov a uchovávajú sa 13 mesiacov. Záznamník ciest formulárov uchováva kroky v prehliadači zákazníka najviac 15 minút; lokálne denné počítadlá zostávajú na jeho webovej stránke najviac 14 dní. Uvádzame ich tu pre úplnosť obrazu; vzhľadom na ich konštrukciu nie sú údajmi zákazníka.

10. Ochrana formulárov (formconfirmed)

Tento bod platí len vtedy, ak zákazník zapne ochranu formulárov (podmienky používania, bod 5.7).

Účel: hodnotenie odoslaní prostredníctvom formulárov na webových stránkach zákazníka s cieľom rozpoznať automatizované odoslania.

Ako to funguje: Pri otvorení stránky s chráneným formulárom si skript v prehliadači návštevníka vyžiada z nášho servera podpísanú úlohu a vyrieši ju (výpočtový dôkaz). Pri odoslaní predloží server zákazníka výsledok nášmu kontrolnému rozhraniu. Overujeme podpis, vek, jednorazové použitie a doménu kontrolného tokenu, ako aj ďalšie signály, napríklad dobu vypĺňania, neviditeľné pole pasce a opakované požiadavky z tej istej skrátenej adresy. Ak zákazník zapne kontrolu obsahu, jazykový model vyhodnotí text správy, ktorý server zákazníka pošle spolu s požiadavkou. Vracia sa skóre s odporúčanou akciou a dôvodmi; o tom, čo sa s odoslaním stane, rozhoduje zákazník. Nepoužívajú sa žiadne cookies, žiadne ukladanie v prehliadači ani odtlačok zariadenia.

Údaje: IP adresa návštevníka pri vyžiadaní úlohy a pri kontrole, adresa a doména stránky, časové údaje a doba vypĺňania, informácia, či bolo vyplnené pole pasce, identifikácia prehliadača v logu webového servera; len pri zapnutej kontrole obsahu text správy.

Dotknuté osoby: návštevníci webových stránok zákazníka, ktorí otvoria stránku s chráneným formulárom alebo takýto formulár odošlú.

Ukladanie a vymazanie: IP adresa sa ukladá len skrátená (IPv4 bez posledného bajtu, IPv6 prvých 48 bitov) a ako hash s denne meneným kľúčom, a to jednu hodinu; použité kontrolné tokeny najviac jedenásť minút; výsledky kontrol bez IP adresy a bez textu (akcia, skóre, dôvody, doména, kategória kontroly obsahu) 30 dní; denné čísla bez vzťahu k osobe 400 dní; log webového servera 14 dní. Text správy sa spracúva len v operačnej pamäti a neukladá sa, nezaznamenáva sa do logov ani sa nepoužíva na trénovanie.

Kde: na našich vlastných serveroch v Poľsku, jazykový model na vlastnom hardvéri; ďalší sprostredkovatelia sa nevyužívajú.

Príloha 2 – Technické a organizačné opatrenia

Opatrenia sú uvedené na stránke Technické a organizačné opatrenia. Je súčasťou tejto zmluvy vo verzii zverejnenej v danom čase; zmeny upravuje § 8 ods. 3.

Príloha 3 – Ďalší sprostredkovatelia

Povolení ďalší sprostredkovatelia sú uvedení na stránke Ďalší sprostredkovatelia. Je súčasťou tejto zmluvy vo verzii zverejnenej v danom čase; zmeny upravuje § 9 ods. 2 a 3.

Otvorené pred spustením: zamýšľaným poskytovateľom poštových služieb je Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Zmluva o spracúvaní údajov platná pre toto použitie, skutočné miesta spracúvania a vhodný základ prenosu ešte treba zdokumentovať. Táto verzia nepotvrdzuje ani uzavretú zmluvu, ani certifikáciu podľa rámca Data Privacy Framework.

Verzia

Verzia 2.2 z 29. októbra 2026, nahrádza verziu 2.1. Zmenené: nový bod 10 v prílohe 1 o ochrane formulárov formconfirmed; platí len vtedy, ak ju zákazník zapne. Žiadne iné ustanovenie sa nemení.

Verzia 2.1 z 22. októbra 2026, nahrádza verziu 2.0. Zmenené: v prípade rozporov má teraz prednosť poľská verzia namiesto nemeckej; zmluva je k dispozícii vo všetkých úradných jazykoch Európskej únie (jazyková doložka). Žiadne iné ustanovenie sa nemení.

Verzia 2.0 z 11. októbra 2026, nahrádza verziu z 9. októbra 2026. Zmenené: štruktúra podľa čl. 28 ods. 3 GDPR s odkazom na štandardné zmluvné doložky 2021/915; príloha 1 úplná pre každú funkciu, teraz vrátane prihlasovacích údajov pre skenovanie za prihlásením, ciest formulárov a obmedzení kontroly doručenia; technické a organizačné opatrenia a zoznam ďalších sprostredkovateľov sú samostatné stránky a sú súčasťou zmluvy ako prílohy 2 a 3; voľba medzi vrátením a vymazaním, zálohy s uplynutím a opätovným vykonaním žiadostí o vymazanie, žiadna pevná čakacia lehota pri naliehavých auditoch, zodpovednosť za ďalších sprostredkovateľov ako za vlastné konanie.

Ako Vám môžeme pomôcť?