Článok I. Úvodné ustanovenia

1.

Článok 28 ods. 3 GDPR stanovuje povinnosť Prevádzkovateľa uzavrieť so Spracovateľom zmluvu o spracovaní osobných údajov pred začatím spracovania osobných údajov, najneskôr dňom začatia takéhoto spracovania.

2.

Táto zmluva nahrádza všetky predchádzajúce zmluvy týkajúce sa spracovania osobných údajov v správe Prevádzkovateľa.

3.

Táto zmluva je Prílohou č. 2 k rámcovej zmluve o vedení účtovníctva.

Článok II. Predmet zmluvy

1.

Predmetom tejto Zmluvy je upravenie práv a povinností Prevádzkovateľa a Spracovateľa pri spracovaní osobných údajov Prevádzkovateľa Spracovateľom.

2.

Predmetom spracovania sú osobné údaje subjektov uvedených ďalej v tejto zmluve. Spracovanie osobných údajov podľa tejto zmluvy predstavuje operáciu alebo súbor operácií s osobnými údajmi, vrátane zhromažďovania, zaznamenávania, systematizácie, používania, reorganizácie, zlučovania, uchovávania, aktualizácie, vyhľadávania, prehliadania, vymazania a zničenia, či už s použitím automatizovaných alebo neautomatizovaných prostriedkov.

Článok III. Predmet, charakter a účel spracovania

1.

Cieľom spracovania osobných údajov Spracovateľom je zabezpečiť činnosť podľa rámcovej zmluvy o vedení účtovníctva tak, aby Prevádzkovateľ mal pripravené kompletné materiály bez potreby dopĺňať osobné údaje subjektov vo vypracovaných dokumentoch, t.j. aby Prevádzkovateľ mohol plniť niektoré svoje zákonné povinnosti prostredníctvom Spracovateľa.

2.

Osobné údaje môžu byť zhromažďované len na konkrétne účely uvedené v tejto zmluve alebo v rámcovej zmluve o vedení účtovníctva a nesmú byť ďalej spracovávané spôsobom, ktorý nie je zlučiteľný s týmito účelmi.

3.

Spracovateľ spracováva osobné údaje Prevádzkovateľa v oddelených informačných systémoch:

a) informačný systém: zjednodušené účtovníctvo a daňové priznania fyzických osôb — účel: vedenie účtovníctva, fakturácia a pokladničné operácie.

b) informačný systém: kartotéka klientov — účel: vedenie klientskej dokumentácie, zmlúv o poskytovaní služieb, spoločných dokumentov.

c) informačný systém: personálna agenda a mzdy — účel: vedenie osobnej a mzdovej dokumentácie pre pracovnoprávne a poistné účely, výpočet daní zo miezd zamestnancov a vedenie mzdových výkazov pre osoby pracujúce na zmluvnom základe mimo pracovného pomeru.

d) informačný systém: podvojné účtovníctvo a daňové výkazy právnických osôb — účel: vedenie účtovníctva, fakturácia a pokladničné operácie.

e) informačný systém: služobné cesty — účel: vedenie údajov o služobných a súkromných cestách autom, spotrebe paliva, nákladoch na prevádzku vozidiel; príprava a výpočet cestovných náhrad.

Článok IV. Doba spracovania

1.

Spracovateľ pri spracovaní osobných údajov sa riadi princípom minimalizácie uchovávania podľa článku 5 ods. 1 písm. c) GDPR a preto uchováva osobné údaje vo forme umožňujúcej identifikáciu subjektov údajov najdlhšie, ako je nevyhnutné na účely, na ktoré sú spracúvané.

2.

Doba spracovania osobných údajov subjektov Spracovateľom sa určuje dobou trvania zmluvného vzťahu medzi Prevádzkovateľom a Spracovateľom, t.j. počas platnosti rámcovej zmluvy o vedení účtovníctva.

Článok V. Kategórie subjektov údajov a rozsah osobných údajov

1.

Spracovateľ spracováva pre Prevádzkovateľa osobné údaje nasledujúcich kategórií subjektov a nasledujúci rozsah osobných údajov (podľa jednotlivých informačných systémov):

a) zjednodušené účtovníctvo a daňové priznania fyzických osôb: meno a priezvisko; adresa subjektu; dátum narodenia; číslo bankového účtu; registračné číslo vozidla; VIN; osobné identifikačné číslo; číslo dokladu totožnosti; telefónne číslo; e-mailová adresa; údaje o rodinnom stave týkajúce sa manžela/manželky a detí.

b) kartotéka klientov: meno a priezvisko; adresa subjektu; osobné identifikačné číslo; dátum narodenia; číslo dokladu totožnosti; telefón; e-mail.

c) personálna agenda a mzdy: osobné číslo; meno, priezvisko, titul; predchádzajúce priezvisko; osobné identifikačné číslo; dátum narodenia; číslo dokladu totožnosti; národnosť; štátna príslušnosť; miesto a okres narodenia; rodinný stav; trvalá adresa pobytu; dočasná adresa; telefón, e-mail; doba trvania pracovného pomeru; druh vykonávanej práce; údaje týkajúce sa mzdy; informácie o kvalifikácii a pracovných skúsenostiach (vzdelanie, kurzy, jazykové schopnosti atď.); údaje o získaní dôchodku, právo na dôchodok, zdravotné obmedzenia; čísla účtov (pre výplaty); informácie o manželovi a deťoch (mená, dátumy narodenia, adresy, identifikačné údaje); údaje o odmenách a zrážkach; informácie o poistných príspevkoch atď.; názov zdravotnej poisťovne; čísla sociálneho a/alebo zdravotného poistenia; vymeriavacie základy a výšky príspevkov; pracovné charakteristiky, hodnotenie práce; údaje týkajúce sa bezpečnosti a ochrany zdravia pri práci; životopis; evidovanie pracovných úrazov a chorôb z povolania.

d) podvojné účtovníctvo a daňové výkazy právnických osôb: meno a priezvisko; adresa subjektu; dátum narodenia; registračné číslo vozidla; VIN; osobné identifikačné číslo; číslo dokladu totožnosti; číslo bankového účtu; telefón; e-mail.

e) služobné cesty: meno a priezvisko; adresa subjektu; dátum narodenia; registračné číslo vozidla; VIN.

Článok VI. Práva a povinnosti Spracovateľa

1.

Spracovateľ spracováva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa a len v rozsahu nevyhnutnom na plnenie rámcovej zmluvy o vedení účtovníctva a nesmie tieto osobné údaje používať na iné účely. Spracovateľ nemá právo vytvárať databázy osobných údajov na účely odlišné od plnenia svojich zmluvných povinností podľa rámcovej zmluvy o vedení účtovníctva.

2.

Pojem „zdokumentovaný pokyn“ v tejto zmluve zahŕňa túto zmluvu a iné zmluvy uzavreté medzi stranami, pokiaľ sú osobné údaje v rámci predmetu plnenia týchto zmlúv spracovávané s rovnakým účelom ako je účel spracovania uvedený v tejto zmluve.

3.

Spracovateľ sa zaväzuje zachovávať dôvernosť informácií vyplývajúcich zo spracovania osobných údajov podľa tejto zmluvy a rámcovej zmluvy o vedení účtovníctva a zachovávať mlčanlivosť o všetkých osobných údajoch klientov, zamestnancov alebo iných osôb, ktoré mu boli alebo budú poskytnuté, odhalené alebo s ktorými nadviaže kontakt, počas trvania tejto zmluvy a rámcovej zmluvy, ako aj po ich skončení. Spracovateľ nesmie zverejňovať osobné údaje tretím osobám, vrátane svojich poskytovateľov služieb, bez súhlasu Prevádzkovateľa.

4.

Spracovateľ nesmie používať osobné údaje bez súhlasu Prevádzkovateľa iným spôsobom, než je uvedené v tejto zmluve, nesmie ich zverejňovať ani poskytovať tretím osobám. Táto povinnosť platí aj po skončení tejto zmluvy a rámcovej zmluvy.

5.

Spracovateľ sa zaväzuje prijať vhodné technické a organizačné opatrenia s cieľom zabezpečiť úroveň bezpečnosti zodpovedajúcu rizikám spracovania, najmä na predchádzanie náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému zverejneniu alebo neoprávnenému prístupu k osobným údajom; tieto opatrenia zahŕňajú:

— schopnosť zabezpečiť nepretržitú dôvernosť, integritu, dostupnosť a odolnosť systémov spracovania osobných údajov a súvisiacich služieb;

— schopnosť včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade technického alebo iného zlyhania;

— proces pravidelného testovania, hodnotenia a posudzovania účinnosti technických a organizačných opatrení na zabezpečenie spracovania; v prípade potreby pseudonymizáciu a šifrovanie osobných údajov.

6.

Minimálne technické a organizačné opatrenia zahŕňajú:

— kontrolu prístupu: ochranu pred neoprávneným prístupom k zariadeniam na spracovanie údajov (napr. kľúče, magnetické/čipové karty, elektrické otvárače dverí, zámky, ochranka, alarm, kamerový systém);

— kontrolu prístupu k systémom: ochranu pred neoprávneným používaním systémov (napr. heslá, automatické blokovanie, šifrovanie nosičov dát); zabezpečenie samostatného priestoru, bezpečné uchovávanie fyzických nosičov dokumentov (napr. v uzamykateľných skrinkách), zariadenie na zničenie fyzických nosičov (skartovačka);

— zákaz neoprávneného čítania, kopírovania, zmeny alebo vymazania v rámci systému;

— pseudonymizáciu: ak je to možné, primárne identifikačné znaky sa odstraňujú a uchovávajú oddelene.

7.

Spracovateľ sa zaväzuje prijať opatrenia tak, aby každá fyzická osoba konajúca na základe pokynov Spracovateľa spracovávala údaje len podľa pokynov Prevádzkovateľa, okrem prípadov stanovených platným právom.

8.

Spracovateľ má právo spracovávať osobné údaje osobne, prostredníctvom svojich zamestnancov a prostredníctvom svojho orgánu riadenia. Spracovateľ sa zaväzuje poučiť svojich zamestnancov a členov orgánu riadenia o ich povinnostiach vyplývajúcich z legislatívy o ochrane osobných údajov a zaväzuje ich zachovávať mlčanlivosť v rozsahu stanovenom touto zmluvou až do vykonania prvej operácie s osobnými údajmi. Spracovateľ sa zaväzuje vyhotoviť písomný záznam o tomto poučení a na požiadanie Prevádzkovateľa poskytnúť potvrdenie o jeho existencii.

9.

Ak Spracovateľ, s predchádzajúcim písomným súhlasom Prevádzkovateľa, prizve na vykonanie spracovania iného sub-spracovateľa, zaväzuje sa uzavrieť so sub-spracovateľom zmluvu o spracovaní osobných údajov, ktorá sub-spracovateľa zaväzuje rovnakými povinnosťami na ochranu osobných údajov ako Spracovateľa podľa tejto zmluvy, najmä povinnosť poskytnúť primerané záruky vykonania primeraných technických a organizačných opatrení tak, aby spracovanie bolo v súlade s GDPR; na požiadanie Prevádzkovateľa Spracovateľ neodkladne poskytne kópiu takejto zmluvy. Spracovateľ nesmie zveriť spracovanie tretej osobe, ak by to mohlo ohroziť práva subjektov údajov. Spracovateľ nesie plnú zodpovednosť voči Prevádzkovateľovi za plnenie povinností sub-spracovateľa, ak sub-spracovateľ nesplní ktorúkoľvek z týchto povinností. Spracovateľ je povinný neodkladne informovať Prevádzkovateľa o ukončení spracovania údajov sub-spracovateľom.

10.

Na požiadanie Prevádzkovateľa Spracovateľ poskytuje Prevádzkovateľovi maximálnu možnú súčinnosť (vrátane príslušných technických a organizačných opatrení) pri plnení povinností Prevádzkovateľa pri vybavovaní žiadostí subjektov údajov. Ak Spracovateľ obdrží žiadosť od subjektu údajov, je povinný neodkladne, najneskôr do 5 pracovných dní od jej prijatia, preposlať túto žiadosť Prevádzkovateľovi e-mailom a poskytnúť mu príslušné dokumenty.

11.

Na požiadanie Prevádzkovateľa a s prihliadnutím na informácie, ktorými Spracovateľ disponuje, Spracovateľ poskytuje Prevádzkovateľovi maximálnu možnú súčinnosť pri plnení povinností Prevádzkovateľa pri zabezpečení bezpečnosti spracovania, oznamovaní porušení ochrany osobných údajov dozornému orgánu a dotknutým subjektom údajov.

12.

Spracovateľ je povinný neodkladne informovať Prevádzkovateľa o akomkoľvek porušení ochrany osobných údajov v rámci tejto zmluvy alebo v súlade s platnou legislatívou, najneskôr do 24 hodín od zistenia porušenia, e-mailom Prevádzkovateľa. Správa musí obsahovať minimálne:

— opis povahy porušenia ochrany osobných údajov, vrátane, ak je to možné, kategórií a približného počtu dotknutých subjektov a záznamov;

— meno/názov a kontaktné údaje zodpovednej osoby alebo iného kontaktného miesta pre získanie ďalších informácií;

— opis pravdepodobných dôsledkov porušenia;

— opis opatrení prijatých alebo navrhovaných Spracovateľom na odstránenie porušenia a zmiernenie možných negatívnych dôsledkov.

13.

Spracovateľ je povinný neodkladne po ukončení tejto zmluvy vymazať všetky osobné údaje, ktoré spracovával na jej základe, alebo ich neodkladne vrátiť Prevádzkovateľovi a zničiť všetky ich kópie.

14.

Spracovateľ sa ďalej zaväzuje:

— zabezpečiť, aby zhromaždené osobné údaje boli spracovávané len tak dlho, ako je potrebné na dosiahnutie účelu spracovania;

— pri prvom kontakte informovať subjekt údajov, že jeho/jej osobné údaje sú spracúvané v mene Prevádzkovateľa na konkrétny účel;

— udržiavať presnosť a aktuálnosť osobných údajov a bez zbytočného odkladu informovať Prevádzkovateľa o potrebe ich aktualizácie;

— spracovávať osobné údaje v súlade so záujmami Prevádzkovateľa;

— prijať opatrenia, aby osobné údaje neboli kopírované alebo reprodukované a aby originály dokumentov alebo ich kópie s osobnými údajmi neboli odovzdávané tretím osobám, okrem Prevádzkovateľa;

— poskytnúť Prevádzkovateľovi všetky informácie potrebné na preukázanie dodržiavania povinností podľa článku 28 GDPR.

15.

Spracovateľ je povinný viesť záznamy o všetkých kategóriách operácií spracovania, ktoré vykonáva v mene Prevádzkovateľa, v písomnej a elektronickej forme v súlade s článkom 30 ods. 2 GDPR a poskytnúť tieto záznamy na požiadanie dozornému orgánu.

16.

Spracovateľ je povinný spolupracovať s dozorným orgánom na jeho žiadosť.

17.

Spracovateľ vyhlasuje, že nevykonáva cezhraničný prenos osobných údajov do tretích krajín, ktoré nezabezpečujú primeranú úroveň ochrany. V prípade potreby môže Spracovateľ odchýliť sa od tohto ustanovenia len s predchádzajúcim písomným súhlasom Prevádzkovateľa a pri dodržaní príslušných ustanovení GDPR (napr. štandardné zmluvné doložky) a podmienok tejto zmluvy.

18.

Spracovateľ môže začať spracovávať osobné údaje klientov v mene Prevádzkovateľa až od dátumu účinnosti tejto zmluvy.

Článok VII. Práva a povinnosti Prevádzkovateľa

1.

Prevádzkovateľ je povinný včas a riadne poskytnúť Spracovateľovi osobné údaje, ktoré Spracovateľ musí spracovávať v mene Prevádzkovateľa.

2.

Prevádzkovateľ je povinný neodkladne informovať Spracovateľa o uplatnení práva subjektu údajov na opravu, vymazanie alebo obmedzenie spracovania osobných údajov.

3.

Prevádzkovateľ je povinný neodkladne informovať Spracovateľa o zmenách v spracovaní osobných údajov subjektov, najmä o ukončení spracovania osobných údajov.

4.

Prevádzkovateľ je povinný plniť informačné povinnosti voči subjektom údajov a na požiadanie poskytnúť Spracovateľovi potvrdenie o ich splnení.

5.

Ak dozorný orgán alebo iná oprávnená osoba uloží Prevádzkovateľovi sankcie za porušenie povinností Spracovateľa podľa tejto zmluvy, Prevádzkovateľ je povinný neodkladne informovať Spracovateľa o tejto skutočnosti, aby Spracovateľ mohol účinne namietať proti takému opatreniu alebo sankcii.

6.

Ak Prevádzkovateľ zistí nedostatky v spracovaní osobných údajov Spracovateľom, je povinný neodkladne informovať Spracovateľa o týchto nedostatkoch a Spracovateľ je povinný prijať opatrenia na ich odstránenie.

Článok VIII. Ukončenie zmluvy, odovzdanie dokumentov

1.

Táto zmluva sa ukončuje:

— automaticky dňom ukončenia rámcovej zmluvy o vedení účtovníctva;

— odstúpením jednej zo strán, ak druhá strana podstatne porušila túto zmluvu v súlade so zákonom;

— dohodou strán.

2.

Právne následky ukončenia zmluvy:

— právo Spracovateľa na spracovanie osobných údajov zaniká dňom skutočného ukončenia tejto zmluvy;

— Spracovateľ je povinný odovzdať Prevádzkovateľovi všetky osobné údaje spôsobom dohodnutým s Prevádzkovateľom pred ukončením zmluvy alebo iným vhodným spôsobom;

— všetky práva a povinnosti strán podľa tejto zmluvy zanikajú, s výnimkou povinnosti zachovať mlčanlivosť.

3.

Na doručovanie písomných oznámení podľa tejto zmluvy sa používa spôsob doručovania uvedený v rámcovej zmluve o vedení účtovníctva.

Článok IX. Záverečné ustanovenia

1.

Táto zmluva obsahuje úplnú dohodu strán o jej predmete a nahrádza všetky predchádzajúce ústne a písomné zmluvy a dohody týkajúce sa predmetu tejto zmluvy. Práva a povinnosti podľa tejto zmluvy prechádzajú na právnych nástupcov strán.

2.

Táto zmluva sa riadi slovenským právnym poriadkom, najmä zákonom č. 513/1991 Zb. Obchodným zákonníkom.

3.

Ak sa zistí, že niektoré ustanovenie tejto zmluvy je neplatné alebo neúčinné, nemá to za následok neplatnosť ostatných ustanovení zmluvy ani celej zmluvy. V takom prípade sa strany zaväzujú bezodkladne nahradiť toto ustanovenie novým, zachovávajúc účel, ktorý sa sledoval sporným ustanovením v čase uzavretia zmluvy.

4.

Zmeny tejto zmluvy sú možné len na základe vzájomnej dohody strán vo forme písomných dodatkov.

5.

Táto zmluva sa uzatvára na dobu neurčitú.

6.

Zmluva je vyhotovená v dvoch exemplároch, po jednom pre každú stranu.