Zmluva o spracúvaní osobných údajov Imvora

Dátum účinnosti: 9.8.2026

Táto zmluva o spracúvaní osobných údajov (ďalej len „DPA“) je súčasťou SAXA Real Košice s.r.o., Pri Teleku 1522/12, Košice - mestská časť Krásna, 04018, Slovakia (SK), 57459363 (ďalej len „Imvora“ alebo „Sprostredkovateľ“) a Zákazníkom, ktorý prijal Podmienky (ďalej len „Prevádzkovateľ“). Uplatňuje sa, keď Imvora v súvislosti so Službou spracúva v mene Prevádzkovateľa osobné údaje obsiahnuté v Údajoch Zákazníka.

1. Vymedzenie pojmov a rozsah

„GDPR“ znamená nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679. Pojmy „Osobné údaje“, „Spracúvanie“, „Prevádzkovateľ“, „Sprostredkovateľ“, „Dotknutá osoba“ a „Porušenie ochrany osobných údajov“ majú význam podľa GDPR.

Predmet, doba, povaha a účely spracúvania, ako aj typy Osobných údajov a kategórie Dotknutých osôb sú uvedené v prílohe 1. Táto DPA sa uplatňuje počas trvania Podmienok a až do vrátenia alebo vymazania Osobných údajov podľa článku 8.

2. Pokyny a povinnosti Prevádzkovateľa

Imvora bude spracúvať Osobné údaje iba na základe zdokumentovaných pokynov Prevádzkovateľa, medzi ktoré patria Podmienky, táto DPA a spôsob používania Služby Prevádzkovateľom, pokiaľ sa spracúvanie nevyžaduje na základe práva EÚ alebo členského štátu. V takom prípade Imvora pred spracúvaním informuje Prevádzkovateľa o tejto právnej požiadavke, ak to zákon nezakazuje. Imvora bezodkladne upozorní Prevádzkovateľa, ak podľa jej názoru pokyn porušuje GDPR alebo iný príslušný predpis o ochrane osobných údajov.

Prevádzkovateľ zodpovedá za zákonnosť Osobných údajov a svojich pokynov, poskytovanie požadovaných informácií dotknutým osobám, určenie právneho základu, vybavovanie práv dotknutých osôb a zákonné používanie Služby jeho oprávnenými používateľmi. Prevádzkovateľ nesmie dať spoločnosti Imvora pokyn na spracúvanie osobitných kategórií údajov, údajov týkajúcich sa uznania viny za trestné činy a priestupky alebo údajov detí, ak vopred nezískal písomný súhlas spoločnosti Imvora a nezabezpečil vhodné záruky.

3. Mlčanlivosť a bezpečnosť

Imvora zabezpečí, aby osoby oprávnené spracúvať Osobné údaje boli viazané povinnosťou mlčanlivosti alebo primeranou zákonnou povinnosťou zachovávať dôvernosť. Imvora prijme primerané technické a organizačné opatrenia vyžadované článkom 32 GDPR, pričom zohľadní stav techniky, náklady na vykonanie, povahu, rozsah, kontext a účely spracúvania, ako aj riziká pre fyzické osoby. Tieto opatrenia sú opísané v prílohe 2 a môžu byť aktualizované za predpokladu, že sa celková úroveň ochrany podstatne nezníži.

4. Súčinnosť a oznámenie porušenia

So zohľadnením povahy spracúvania poskytne Imvora primeranú súčinnosť prostredníctvom vhodných technických a organizačných opatrení, aby Prevádzkovateľ mohol odpovedať na žiadosti Dotknutých osôb podľa kapitoly III GDPR. Imvora poskytne primerané informácie a súčinnosť pri plnení povinností Prevádzkovateľa v oblasti bezpečnosti, oznamovania porušení, posúdenia vplyvu a predchádzajúcej konzultácie podľa článkov 32 až 36 GDPR, a to v rozsahu vyžadovanom zákonom a so zohľadnením informácií dostupných spoločnosti Imvora.

Imvora oznámi Prevádzkovateľovi Porušenie ochrany osobných údajov týkajúce sa Údajov Zákazníka bez zbytočného odkladu po tom, ako sa o ňom dozvie, a poskytne mu primerane dostupné informácie potrebné na splnenie jeho oznamovacích povinností. Imvora nebude o takom porušení komunikovať s Dotknutými osobami, ak jej to nenariadi Prevádzkovateľ alebo nevyžaduje zákon.

5. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje spoločnosti Imvora všeobecné písomné povolenie využívať ďalších sprostredkovateľov uvedených v prílohe 3. Imvora uloží každému ďalšiemu sprostredkovateľovi povinnosti v oblasti ochrany osobných údajov, ktoré sú v podstatných ohľadoch v súlade s touto DPA. Imvora zostáva zodpovedná za plnenie povinností svojich ďalších sprostredkovateľov v rozsahu vyžadovanom GDPR.

Imvora môže poveriť nového alebo nahradiť existujúceho ďalšieho sprostredkovateľa po oznámení e-mailom alebo prostredníctvom Služby najmenej 30 dní vopred, okrem naliehavých bezpečnostných, zákonných alebo prevádzkových dôvodov. Prevádzkovateľ môže počas tejto lehoty písomne namietať z odôvodnených dôvodov ochrany osobných údajov. Strany budú v dobrej viere hľadať riešenie. Ak primerané riešenie nebude možné, Prevádzkovateľ môže ukončiť dotknutú Službu pred účinnosťou zmeny a získať pomernú náhradu vopred uhradených poplatkov za nevyužitú časť tejto dotknutej Služby, okrem prípadu, keď je zmena nevyhnutná z naliehavých bezpečnostných, zákonných alebo prevádzkových dôvodov.

6. Medzinárodné prenosy

Imvora neprenesie Osobné údaje mimo EHP inak než na základe zdokumentovaných pokynov Prevádzkovateľa alebo spôsobom povoleným kapitolou V GDPR. Ak prenos vyžaduje primeranú záruku, strany použijú príslušné štandardné zmluvné doložky Európskej komisie alebo iný platný mechanizmus prenosu. Prevádzkovateľ povoľuje prenosy uskutočňované spoločnosťou Imvora a schválenými ďalšími sprostredkovateľmi, ktoré sú potrebné na poskytovanie Služby a spĺňajú tento článok.

7. Informácie, audity a žiadosti orgánov

Na základe primeranej písomnej žiadosti a pri zachovaní dôvernosti poskytne Imvora informácie primerane potrebné na preukázanie súladu s touto DPA. Najviac raz za 12 mesiacov môže Prevádzkovateľ na vlastné náklady vykonať audit príslušných kontrol spracúvania spoločnosti Imvora, a to po oznámení najmenej 30 dní vopred, počas bežného pracovného času a bez neprimeraného narušenia prevádzky. Imvora môže žiadosti o audit vyhovieť poskytnutím aktuálnych správ z nezávislého auditu alebo rovnocennej dokumentácie, ak sú dostatočné. Audit nesmie sprístupniť údaje iných zákazníkov ani ohroziť bezpečnosť.

Ak Imvora dostane žiadosť dozorného orgánu alebo právne záväznú žiadosť o Údaje Zákazníka, oznámi ju Prevádzkovateľovi, ak je to právne dovolené a primerane uskutočniteľné. Na žiadosť odpovie iba v rozsahu vyžadovanom zákonom alebo povolenom Prevádzkovateľom.

8. Vrátenie a vymazanie

Podľa voľby Prevádzkovateľa a po skončení Služby alebo na základe jeho písomnej žiadosti zaslanej na [hello@imvora.app] Imvora vymaže alebo vráti Údaje Zákazníka, ak príslušné právne predpisy nevyžadujú ich uchovávanie. Vymazanie z aktívnych systémov sa uskutoční do [30 dní] od príslušnej žiadosti alebo ukončenia. Osobné údaje môžu zostať v šifrovaných zálohách až do ich prepísania v rámci bežného cyklu zálohovania spoločnosti Imvora, najviac však [90 dní], a nebudú sa aktívne spracúvať okrem obnovy, bezpečnostných alebo zákonných účelov.

9. Prednosť a zodpovednosť

Ak je táto DPA v rozpore s Podmienkami v otázke spracúvania Osobných údajov, prednosť má táto DPA. Zodpovednosť podľa tejto DPA sa riadi ustanoveniami Podmienok o zodpovednosti, okrem prípadov, keď GDPR vyžaduje inak.

Príloha 1 — Podrobnosti spracúvania

Predmet a doba. Poskytovanie, hosting, zabezpečenie, údržba a podpora CRM Imvora počas trvania predplatného Zákazníka a počas doby vymazania a uchovávania záloh podľa článku 8.

Povaha a účel. Získavanie, uchovávanie, usporadúvanie, prehliadanie, používanie, prenos podľa pokynov oprávnených používateľov, podpora, monitorovanie bezpečnosti, riešenie problémov a vymazávanie Údajov Zákazníka na účely poskytovania CRM.

Kategórie Dotknutých osôb. Potenciálni zákazníci, klienti, obchodné kontakty, kontakty súvisiace s ponukami a oprávnení používatelia Prevádzkovateľa a iné fyzické osoby, ktorých údaje Prevádzkovateľ vloží.

Typy Osobných údajov. Mená, e-mailové adresy, telefónne čísla, obchodné a kontaktné údaje, poznámky CRM, údaje o potenciálnych zákazníkoch, klientoch a ponukách, údaje o používateľskom účte a iné Osobné údaje vložené Prevádzkovateľom. Prevádzkovateľ nesmie bez písomnej dohody vložiť osobitné kategórie údajov, údaje týkajúce sa uznania viny za trestné činy a priestupky ani údaje detí.

Pokyny Prevádzkovateľa. Konfigurácia a používanie Služby Prevádzkovateľom, Podmienky, táto DPA a písomné pokyny zaslané na [hello@imvora.app], ak sú technicky uskutočniteľné a zákonné.

Príloha 2 — Technické a organizačné opatrenia

Imvora udržiava opatrenia primerané Službe a rizikám vrátane: riadenia prístupu podľa rolí; autentifikácie účtov a zabezpečenia relácií; šifrovania pri prenose; obmedzenia prístupu pracovníkov a podpory; protokolovania a monitorovania primeraného bezpečnostným činnostiam; správy zraniteľností a aktualizácií; postupov zálohovania a obnovy; postupov riešenia incidentov; a preverovania dodávateľov a zmluvných kontrol. Prevádzkovateľ zodpovedá za primerané prideľovanie prístupu používateľov, ochranu prihlasovacích údajov a používanie dostupných bezpečnostných nastavení.

Príloha 3 — Schválení ďalší sprostredkovatelia

Stripe spracúva platobné údaje pre vlastný fakturačný vzťah spoločnosti Imvora a spravidla nie je ďalším sprostredkovateľom Údajov Zákazníka v CRM. Ak Služba odosiela Údaje Zákazníka spoločnosti Stripe, pred takým spracúvaním pridajte Stripe do tejto prílohy.