GDPR dokumentácia

1. Zmluva o spracovaní osobných údajov (DPA)

1.1 Strany zmluvy

Táto zmluva o spracovaní osobných údajov (ďalej len „DPA”) je uzavretá medzi prevádzkovateľom firmy využívajúcej systém Resovu (ďalej len „Správca”) a Lubomírom Unarom, IČO 05000386 (ďalej len „Spracovateľ”). DPA je neoddeliteľnou súčasťou podmienok používania služby Resovu.

1.2 Predmet a doba spracovania

Spracovateľ spracováva osobné údaje zákazníkov Správcu za účelom poskytovania rezervačného systému. Spracovanie prebieha po dobu trvania zmluvy o poskytovaní služieb. Kategórie subjektov: zákazníci Správcu vykonávajúci rezervácie, pri ubytovaní aj spolucestujúci hostia a pri aktivitách pre deti ich zákonní zástupcovia. Kategórie údajov: meno, priezvisko, e-mail, telefón, údaje o rezerváciách a pobytoch, voliteľné vlastné polia, vernostné body, hodnotenia a doklady vystavené zákazníkom. Pri ubytovaní podľa nastavenia Správcu aj údaje na evidenciu hostí (dátum a miesto narodenia, pohlavie, štátne občianstvo, adresa, druh a číslo dokladu totožnosti, vízum, účel pobytu) a so súhlasom hosťa odkaz na platobnú kartu uloženú v Stripe (identifikátor, značka, posledné štyri číslice) a záznam o súhlase.

1.3 Povinnosti spracovateľa

Spracovateľ sa zaväzuje: spracovávať osobné údaje iba na základe doložených pokynov Správcu; zabezpečiť, aby sa osoby oprávnené na spracovanie zaväzali k mlčanlivosti; prijať všetky opatrenia požadované čl. 32 GDPR; dodržiavať podmienky pre zapojenie ďalšieho spracovateľa; poskytnúť Správcovi súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR; po ukončení zmluvy vymazať alebo vrátiť všetky osobné údaje; poskytnúť Správcovi všetky informácie potrebné na preukázanie plnenia povinností.

1.4 Pokyny správcu

Správca udeľuje Spracovateľovi všeobecný pokyn na spracovanie osobných údajov v rozsahu nevyhnutnom pre poskytovanie služby Resovu. Správca môže udeľovať ďalšie pokyny prostredníctvom nastavení v administrácii systému. Spracovateľ bezodkladne informuje Správcu, ak sa domnieva, že pokyn porušuje GDPR.

1.5 Subspracovateľia

Správca udeľuje Spracovateľovi všeobecný súhlas so zapojením ďalších spracovateľov (subspracovateľov) uvedených v sekcii Zoznam subspracovateľov. Spracovateľ informuje Správcu o všetkých plánovaných zmenách týkajúcich sa pridania alebo nahradenia subspracovateľov. Správca má možnosť vysloviť námietku proti zmenám do 30 dní. Ak Správca pripojí vlastný účet u poskytovateľa SMS (napr. BulkGate alebo seven.io), Spracovateľ na pokyn Správcu odovzdáva tomuto poskytovateľovi telefónne číslo a text pripomienky; tento poskytovateľ je sprostredkovateľom Správcu na základe zmluvy uzavretej so Správcom a nie je subspracovateľom Spracovateľa. To isté platí pre ďalšie služby, ktoré Správca sám pripojí (rezervačné portály cez kalendár iCal, PriceLabs, webhooky, Zapier): Spracovateľ im odovzdáva údaje na pokyn Správcu a nie sú jeho subspracovateľmi.

1.6 Bezpečnostné opatrenia

Spracovateľ implementuje primerané technické a organizačné opatrenia: šifrovanie dát AES-256-GCM pre citlivé polia; HTTPS/TLS pre všetok prenos dát; izolácia dát nájomcov pomocou Row Level Security; riadenie prístupu na základe rolí (RBAC); hashovanie IP adries; automatické mazanie osobných údajov po uplynutí retenčnej doby; bezpečnostné hlavičky (CSP, HSTS, X-Frame-Options); rate limiting pre ochranu proti zneužitiu.

1.7 Oznámenie o narušení bezpečnosti

Spracovateľ oznámi Správcovi akékoľvek porušenie zabezpečenia osobných údajov bez zbytočného odkladu potom, čo sa o ňom dozvie, a to najneskôr do 48 hodín. Oznámenie obsahuje: popis povahy porušenia, kategórie a približný počet dotknutých subjektov, pravdepodobné dôsledky a prijaté opatrenia.

1.8 Súčinnosť pri výkone práv subjektov

Spracovateľ poskytne Správcovi súčinnosť pri plnení povinnosti reagovať na žiadosti subjektov údajov o výkon ich práv podľa kapitoly III GDPR. Systém umožňuje: export dát zákazníka (čl. 20), anonymizáciu/výmaz dát (čl. 17), prehľad spracovávaných údajov (čl. 15).

1.9 Audit

Spracovateľ umožní Správcovi alebo ním poverenému audítorovi vykonávať audity a kontroly a prispeje k nim. Spracovateľ poskytne Správcovi všetky informácie nevyhnutné na preukázanie dodržiavania povinností stanovených v čl. 28 GDPR. Audit je možné vykonať raz ročne s 30-dňovým predstihom.

1.10 Doba spracovania a výmaz

Po ukončení poskytovania služieb Spracovateľ vymaže všetky osobné údaje do 30 dní, pokiaľ právo EÚ alebo členského štátu nevyžaduje ich uchovávanie. Správca môže pred ukončením exportovať všetky dáta prostredníctvom funkcie GDPR export v administrácii systému.

2. Záznamy o činnostiach spracovania (ROPA)

Záznamy podľa čl. 30 GDPR o činnostiach spracovania vykonávaných prostredníctvom systému Resovu.

3. Postup pri narušení bezpečnosti osobných údajov

3.1 Detekcia a hlásenie

Resovu implementuje monitorovacie systémy pre detekciu bezpečnostných incidentov. Každý zamestnanec alebo spolupracovník je povinný bezodkladne hlásiť akékoľvek podozrenie na narušenie bezpečnosti dát vedeniu spoločnosti.

3.2 Posúdenie závažnosti

Po zistení incidentu zodpovedná osoba bezodkladne posúdi: rozsah dotknutých dát, počet dotknutých subjektov, pravdepodobný dopad na práva a slobody subjektov, či boli údaje šifrované, či je možné dopad zmirniť.

3.3 Oznámenie dozornému úradu

Ak porušenie zabezpečenia pravdepodobne predstavuje riziko pre práva a slobody fyzických osôb, Resovu oznámi incident príslušnému dozornému úradu do 72 hodín od zistenia. Oznámenie obsahuje: popis povahy porušenia, kontaktné údaje DPO, popis pravdepodobných dôsledkov, popis prijatých opatrení. Dozorné úrady: ÚOOÚ – www.uoou.cz (Česko), ÚOOU SR – www.dataprotection.gov.sk (Slovensko), BfDI – www.bfdi.bund.de (Nemecko), UODO – www.uodo.gov.pl (Poľsko), NAIH – www.naih.hu (Maďarsko), AEPD – www.aepd.es (Španielsko), Datatilsynet – www.datatilsynet.no (Nórsko); CNIL – www.cnil.fr (Francúzsko).

3.4 Oznámenie subjektom údajov

Ak porušenie pravdepodobne predstavuje vysoké riziko pre práva a slobody fyzických osôb, Resovu bez zbytočného odkladu informuje dotknuté subjekty. Oznámenie bude vykonané zrozumiteľným jazykom a bude obsahovať odporúčania pre zmiernenie dopadov.

3.5 Dokumentácia

Všetky bezpečnostné incidenty sú evidované v internom registri, vrátane: dátumu zistenia, popisu incidentu, dotknutých dát a subjektov, prijatých opatrení, rozhodnutí o oznámení úradom a subjektom, výsledkov vyšetrovania.

3.6 Kontakt pre hlásenie incidentov

Bezpečnostné incidenty hláste na: security@resovu.com. V predmete uveďte „Bezpečnostný incident“. Poskytnite čo najviac informácií o povahe a rozsahu incidentu.

4. Zoznam subspracovateľov