Zmluva o spracúvaní osobných údajov

Prevádzkovateľ: klient služby VYNOS, ktorý prijal Všeobecné obchodné podmienky (ďalej „prevádzkovateľ“).

Sprostredkovateľ: KANIK Advisory, s.r.o., so sídlom Panská 27, 811 01 Bratislava, IČO: 57 852 863, DIČ: 2123315623, nie je platiteľom DPH, zapísaná v Obchodný register Mestského súdu Bratislava III, oddiel Sro, vložka č. 203859/B (ďalej „sprostredkovateľ“).

Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa výlučne na účel poskytovania služby VYNOS: analýzu rezervácií a výkonnosti zariadenia, prípravu cenových odporúčaní, reportov a plánu krokov a pri úrovniach L2 a L3 synchronizáciu s rezervačným systémom (PMS) prevádzkovateľa.

Povaha spracúvania: získavanie (nahratie súboru, synchronizácia z PMS), uchovávanie, usporiadanie, vyhodnocovanie, prenos ceny späť do PMS a výmaz.

Dotknuté osoby: hostia ubytovacieho zariadenia prevádzkovateľa; používatelia portálu na strane prevádzkovateľa.

Kategórie údajov:

• rezervačné údaje — číslo rezervácie, dátumy pobytu a vytvorenia rezervácie, typ izby, počet osôb, cena, provízia, predajný kanál, stav rezervácie,
• údaje obsiahnuté v súboroch, ktoré prevádzkovateľ nahrá (exporty z PMS) — môžu obsahovať aj meno, kontaktné údaje, krajinu alebo poznámky k hosťovi; tieto stĺpce sa do databázy služby neprenášajú; pôvodný súbor sa uchováva v šifrovanom súkromnom úložisku len na kontrolu spracovania a automaticky sa maže 30 dní po nahratí (súbor čakajúci na ručné spracovanie najneskôr po 90 dňoch), spracované údaje ostávajú,
• údaje používateľov portálu — meno, e-mail, prihlasovacie údaje a záznamy o činnosti.

Osobitné kategórie osobných údajov (čl. 9 GDPR) sa nespracúvajú; prevádzkovateľ ich do služby nesmie vkladať.

Spracúvanie trvá počas trvania zmluvy o poskytovaní služby. Po jej skončení sprostredkovateľ podľa voľby prevádzkovateľa údaje vráti a do 90 dní ich vymaže vrátane pôvodných súborov, ak právne predpisy neukladajú ich ďalšie uchovávanie. Zo záloh sa údaje vymažú v rámci bežného cyklu ich obnovy.

• spracúvať osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa, ktorými sú zmluva, nastavenia služby zvolené prevádzkovateľom a jeho písomné pokyny; ak by pokyn podľa jeho názoru porušoval právne predpisy, bez zbytočného odkladu na to upozorní,
• zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti,
• prijať primerané technické a organizačné opatrenia podľa čl. 32 GDPR (článok 7),
• pomáhať prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb a pri plnení povinností podľa čl. 32 až 36 GDPR,
• oznámiť prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, s informáciami podľa čl. 33 ods. 3 GDPR, ktoré má k dispozícii,
• poskytnúť prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa tejto zmluvy a umožniť audit (článok 8),
• nepoužívať osobné údaje na vlastné účely, s výnimkou anonymizácie podľa článku 10a.

Prevádzkovateľ udeľuje sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov. Ku dňu účinnosti sú to:

• Supabase Inc. — databáza a úložisko súborov, dáta uložené v Írsku (AWS eu-west-1),
• Vercel Inc. — prevádzka aplikácie, výpočty v Írsku (región dub1),
• Resend Inc. — doručovanie e-mailov (reporty, oznámenia) z regiónu EÚ,
• Anthropic PBC — návrh textu plánu krokov zo súhrnných údajov o zariadení; osobné údaje hostí sa neposielajú.

O zamýšľanom pridaní alebo výmene ďalšieho sprostredkovateľa sprostredkovateľ informuje prevádzkovateľa e-mailom najmenej 30 dní vopred. Prevádzkovateľ môže z oprávnených dôvodov namietať; ak sa strany nedohodnú, môže zmluvu o poskytovaní služby ukončiť ku dňu zmeny. Sprostredkovateľ ukladá ďalším sprostredkovateľom rovnaké povinnosti ochrany údajov a zodpovedá za ich plnenie.

Rezervačný systém (PMS) prevádzkovateľa nie je ďalším sprostredkovateľom sprostredkovateľa; ide o systém prevádzkovateľa, ku ktorému sprostredkovateľ pristupuje s jeho povolením.

• šifrovanie prenosu (TLS/HTTPS, HSTS) a šifrovanie uložených dát na strane poskytovateľa databázy,
• uloženie dát v Európskej únii,
• riadenie prístupu na úrovni databázy (Row Level Security), prístup aplikácie len cez serverový kľúč, žiadny priamy prístup z prehliadača,
• oddelenie klientskej a internej domény; klient vidí výhradne svoje zariadenia,
• prihlasovanie heslom s kryptografickým odtlačkom, serverové relácie, zámok účtu po 8 neúspešných pokusoch, obmedzenie počtu pokusov,
• záznamy o úkonoch personálu a klientov v aplikácii,
• odstraňovanie stĺpcov s osobnými údajmi hostí pred uložením rezervácií do databázy a automatický výmaz pôvodných súborov po 30 (najviac 90) dňoch,
• denné zálohy databázy,
• prístup k produkčným dátam len pre poverené osoby sprostredkovateľa viazané mlčanlivosťou,
• zápis cien do PMS len po výslovnom zapnutí, s globálnym núdzovým vypínačom.

Sprostredkovateľ na žiadosť poskytne prevádzkovateľovi dokumentáciu o prijatých opatreniach. Audit na mieste, vykonaný prevádzkovateľom alebo ním povereným audítorom viazaným mlčanlivosťou, je možný po ohlásení najmenej 30 dní vopred, najviac raz ročne, ak nejde o šetrenie porušenia ochrany údajov; náklady auditu znáša prevádzkovateľ.

Ak dochádza k prenosu osobných údajov mimo Európskeho hospodárskeho priestoru (napr. v rámci podpory ďalšieho sprostredkovateľa so sídlom v USA), uskutočňuje sa na základe rozhodnutia Európskej komisie o primeranosti (EU–US Data Privacy Framework) alebo štandardných zmluvných doložiek.

Prevádzkovateľ zodpovedá za zákonnosť spracúvania osobných údajov, ktoré do služby poskytne, najmä za existenciu právneho základu a splnenie informačnej povinnosti voči hosťom. Do služby poskytuje len údaje potrebné na jej účel.

Prevádzkovateľ dáva sprostredkovateľovi pokyn rezervačné údaje anonymizovať: odstrániť mená, kontaktné údaje, čísla rezervácií a ďalšie identifikátory hostí a ponechať len údaje o pobyte (dátumy, typ izby, počet osôb, cena, predajný kanál, stav). Takto anonymizované údaje nie sú osobnými údajmi; sprostredkovateľ ich môže používať na vývoj a trénovanie modelov služby aj po skončení zmluvy.

Osobné údaje hostí v identifikovateľnej podobe sa na vývoj ani trénovanie modelov nepoužívajú a po skončení zmluvy sa vymažú podľa článku 4.

Zmluva je účinná prijatím Všeobecných obchodných podmienok a trvá, kým sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa. Zodpovednosť strán sa riadi čl. 82 GDPR a Všeobecnými obchodnými podmienkami. Ak si prevádzkovateľ želá túto zmluvu uzavrieť aj v listinnej alebo podpísanej elektronickej podobe, sprostredkovateľ mu ju na požiadanie zašle na podpis.