Zmluva o spracúvaní osobných údajov
Verzia 1.0, účinná od 12. 10. 2026
1. Zmluvné strany a uzavretie
1.1 Túto zmluvu o spracúvaní osobných údajov (ďalej len „zmluva o spracúvaní“) uzatvára podľa čl. 28 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679, všeobecného nariadenia o ochrane údajov (ďalej len „GDPR“), zákazník ako prevádzkovateľ so sprostredkovateľom, ktorým je spoločnosť deriverge s.r.o., IČO 19456361, IČ DPH CZ19456361, so sídlom č.p. 201, 687 52 Korytná, Česká republika, zapísaná v obchodnom registri vedenom Krajským súdom v Brne, oddiel C, vložka 134680 (ďalej len „sprostredkovateľ“).
1.2 Zmluva o spracúvaní je súčasťou zmluvy o poskytovaní služby Poštárna (ďalej len „hlavná zmluva“). Uzatvára sa spolu s ňou prijatím obchodných podmienok pri registrácii a zákazník ju znova potvrdzuje pri objednávke plateného tarifu. Pojmy majú význam podľa GDPR a obchodných podmienok.
1.3 Ak zákazník spracúva osobné údaje ako sprostredkovateľ pre iného prevádzkovateľa, vyhlasuje, že je oprávnený zapojiť sprostredkovateľa ako ďalšieho sprostredkovateľa. Zmluva o spracúvaní sa potom použije primerane a pokyny prevádzkovateľa odovzdáva sprostredkovateľovi zákazník.
1.4 Vo veciach ochrany osobných údajov má zmluva o spracúvaní prednosť pred obchodnými podmienkami.
2. Predmet a doba spracúvania
2.1 Predmetom je spracúvanie osobných údajov, ktoré zákazník do služby Poštárna nahrá, získa jej formulármi, skriptami na svojom webe alebo pripojením svojho e-shopu, alebo ktoré služba vytvorí pri ich používaní.
2.2 Spracúvanie trvá počas trvania hlavnej zmluvy a ďalej do vymazania alebo odovzdania údajov podľa článku 13.
3. Povaha a účel spracúvania
3.1 Účelom spracúvania je poskytovať zákazníkovi službu Poštárna: správu kontaktov a ich súhlasov, odosielanie e-mailových kampaní a automatizácií, získavanie kontaktov formulármi, sledovanie doručenia, otvorení a preklikov, prepojenie s dátami e-shopu a štatistiky.
3.2 Spracúvanie zahŕňa najmä získavanie údajov (import súboru, formuláre, landing page, dotazníky, vyskakovacie formuláre a sledovanie košíka na webe zákazníka, API, konektor e-shopu a produktový feed a na pokyn zákazníka prenos z inej služby e-mailového marketingu), uloženie, usporiadanie do zoznamov a segmentov, úpravy, vyhľadávanie, použitie na odoslanie e-mailov (vrátane personalizácie a zľavových kódov), sledovanie doručenia, otvorení a preklikov, hodnotenie angažovanosti kontaktov, párovanie objednávok s e-mailmi, export, obmedzenie (zoznam potlačených adries) a vymazanie.
3.3 Na pokyn zákazníka sprostredkovateľ údaje aj poskytuje príjemcom, ktorých zákazník sám určí: na adresy, ktoré nastaví v automatizáciách (webhooky), asistentovi umelej inteligencie, ktorého pripojí cez protokol MCP, a skriptom, ktoré k dátam pristupujú jeho kľúčom API.
3.4 Spracúvanie prebieha automatizovane v systémoch sprostredkovateľa a ďalších sprostredkovateľov uvedených v prílohe 1.
4. Kategórie údajov a dotknutých osôb
4.1 Kategórie osobných údajov podľa toho, čo zákazník do služby vloží alebo zapne:
a) identifikačné a kontaktné údaje: e-mail, meno, priezvisko, tituly, oslovenie, pohlavie, jazyk, telefón, adresa, krajina, firma a IČO,
b) ďalšie údaje kontaktu: dátum narodenia, meniny, poznámky, aktivity, vlastné polia vytvorené zákazníkom a odpovede v jeho dotazníkoch,
c) údaje o odbere: zoznamy, stav odberu, súhlasy a účely spracúvania a záznam o nich (čas, IP adresa, typ prehliadača a stránka, na ktorej bol súhlas udelený alebo odvolaný) a dôvod odhlásenia,
d) údaje o komunikácii: odoslané e-maily, doručenia, nedoručenia, sťažnosti, odhlásenia a, ak má zákazník sledovanie zapnuté, otvorenia a prekliky (čas a odkaz) a z nich odvodená angažovanosť,
e) údaje z e-shopu, ak ho zákazník pripojí: zákaznícke záznamy (meno, firma, IČO, DIČ, telefón, adresa, dátum registrácie), objednávky (číslo, dátum, stav, sumy, položky, údaje o doručení, IČO a e-mail kupujúceho) a pridelené zľavové kódy,
f) obsah košíka prihláseného zákazníka e-shopu (kódy, názvy, množstvá a ceny položiek), ak zákazník na svoj web vloží skript sledovania košíka a má zapnutú automatizáciu opusteného košíka.
4.2 Dotknutými osobami sú zákazníci a potenciálni zákazníci zákazníka, odberatelia jeho obchodných oznámení, osoby, ktoré vyplnia jeho formuláre a dotazníky, kontaktné osoby jeho obchodných partnerov a jeho zamestnanci, ktorých adresy zákazník používa napríklad na testovacie e-maily.
4.3 Služba nie je určená na spracúvanie osobitných kategórií osobných údajov ani údajov o trestných činoch (čl. 9 a 10 GDPR). Zákazník ich do služby nevloží bez predchádzajúcej písomnej dohody so sprostredkovateľom.
5. Povinnosti zákazníka
5.1 Zákazník zodpovedá za to, že má na spracúvanie platný právny základ, že dotknutým osobám poskytol informácie podľa čl. 13 a 14 GDPR, že má súhlasy s ukladaním údajov v zariadení návštevníkov svojho webu tam, kde ich predpisy vyžadujú, a že dodržiava Zásady používania a pravidlá rozosielania.
5.2 Zákazník dáva pokyny v súlade s právnymi predpismi a do služby vkladá správne a aktuálne údaje.
5.3 Zákazník zodpovedá za nastavenie služby, ktoré ovplyvňuje spracúvanie, napríklad či sleduje otvorenia a prekliky, aké údaje o kontaktoch ukladá, kam ich poskytuje a kedy ich maže.
6. Pokyny zákazníka
6.1 Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov zákazníka, a to aj pokiaľ ide o prenos do tretích krajín. Pokynmi sú táto zmluva o spracúvaní, hlavná zmluva, nastavenia a úkony, ktoré zákazník vykoná v aplikácii alebo cez API, a pokyny, ktoré správca účtu pošle e-mailom na podpora@postarna.sk alebo podpora@postarna.cz.
6.2 Ak sprostredkovateľovi ukladá spracúvanie právny predpis Európskej únie alebo členského štátu, informuje o tom zákazníka vopred, ak to tento predpis nezakazuje.
6.3 Ak je podľa sprostredkovateľa pokyn v rozpore s GDPR alebo iným predpisom o ochrane osobných údajov, bez zbytočného odkladu na to zákazníka upozorní a do vyjasnenia ho nemusí vykonať.
6.4 Sprostredkovateľ nepoužije osobné údaje na vlastné účely, nepredáva ich a nepoužíva ich na reklamu ani na trénovanie modelov umelej inteligencie.
7. Mlčanlivosť a prístup osôb
7.1 Sprostredkovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli zaviazané mlčanlivosťou alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti. Povinnosť trvá aj po skončení zmluvy o spracúvaní.
7.2 K osobným údajom majú prístup len osoby, ktoré ho potrebujú na prevádzku, podporu alebo riešenie incidentov, a len v nevyhnutnom rozsahu. Nahliadnutie podpory do účtu zákazníka je len na čítanie, časovo obmedzené a zaznamenané.
8. Zabezpečenie
8.1 Sprostredkovateľ prijíma technické a organizačné opatrenia podľa čl. 32 GDPR. Ich prehľad je v prílohe 2.
8.2 Opatrenia pravidelne preskúmava a upravuje podľa vývoja techniky a rizík bez toho, aby znížil celkovú úroveň ochrany.
9. Ďalší sprostredkovatelia
9.1 Zákazník udeľuje sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov. Ku dňu účinnosti zmluvy o spracúvaní sú to sprostredkovatelia uvedení v prílohe 1.
9.2 Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi zmluvou rovnaké povinnosti ochrany osobných údajov, aké má sám podľa zmluvy o spracúvaní, a zodpovedá zákazníkovi za ich plnenie. Svojich vlastných ďalších sprostredkovateľov uvádzajú títo poskytovatelia na svojich webových stránkach.
9.3 Zamýšľané pridanie alebo nahradenie ďalšieho sprostredkovateľa oznámi sprostredkovateľ najmenej 30 dní vopred e-mailom správcom účtu a oznámením v aplikácii a aktualizuje prílohu 1. Zákazník môže v tejto lehote vzniesť odôvodnenú námietku z dôvodu ochrany osobných údajov.
9.4 Ak sprostredkovateľ námietke nevyhovie, zákazník môže hlavnú zmluvu vypovedať s okamžitou účinnosťou, najneskôr ku dňu zapojenia nového ďalšieho sprostredkovateľa; zaplatenú cenu za obdobie po skončení zmluvy mu sprostredkovateľ vráti.
9.5 Ak zákazník po dohode so sprostredkovateľom odosiela e-maily cez vlastný účet v Amazon Web Services, je Amazon Web Services na toto odosielanie sprostredkovateľom zákazníka podľa jeho vlastnej zmluvy, nie ďalším sprostredkovateľom sprostredkovateľa.
9.6 Príjemcovia podľa odseku 3.3, služba e-mailového marketingu, z ktorej zákazník prenáša dáta, a jeho e-shop nie sú ďalšími sprostredkovateľmi sprostredkovateľa; vzťah k nim si upravuje zákazník.
10. Prenos do tretích krajín
10.1 Osobné údaje sa ukladajú v Európskej únii. Ďalší sprostredkovatelia patria do skupín so sídlom v USA a k údajom môžu pristupovať aj z USA alebo z iných tretích krajín, napríklad pri podpore, správe infraštruktúry alebo spracúvaní technických záznamov. Schránka Google Workspace môže byť uložená aj mimo EÚ.
10.2 Prenos do USA sa opiera o vykonávacie rozhodnutie Komisie (EÚ) 2023/1795, podľa ktorého rámec pre ochranu osobných údajov medzi EÚ a USA (Data Privacy Framework) zaručuje primeranú úroveň ochrany; Render Services, Inc., Amazon.com, Inc. (vrátane Amazon Web Services, Inc.) a Google LLC sú do tohto rámca zapojené. Na prenos do iných tretích krajín a pre prípad, že by rozhodnutie o primeranej ochrane prestalo platiť, slúžia štandardné zmluvné doložky podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914, ktoré sú súčasťou zmlúv sprostredkovateľa s týmito poskytovateľmi.
10.3 Zákazník dáva pokyn na prenos v tomto rozsahu. Iný prenos do tretej krajiny sprostredkovateľ vykoná len s primeranými zárukami podľa kapitoly V GDPR a po oznámení podľa odseku 9.3.
11. Súčinnosť
11.1 Väčšinu žiadostí dotknutých osôb vybaví zákazník sám v aplikácii: nájde a upraví kontakt, vyexportuje všetky jeho údaje (prístup a prenosnosť), vymaže jeho údaje voľbou Výmaz na žiadosť, pridá jeho adresu na blacklist alebo zaznamená odvolanie súhlasu. Po výmaze na žiadosť zostane adresa len na zozname potlačených adries, ak na ňom už bola (napríklad po odhlásení, nedoručiteľnosti alebo sťažnosti), aby už nikdy nedostala e-mail, a v exportoch vytvorených pred výmazom, kým po 7 dňoch nevypršia. Zo záloh zmizne najneskôr do 30 dní. Voľba Zmazať kontakt naopak ponechá históriu odoslaných e-mailov a záznamy o súhlasoch.
11.2 Adresát sa môže sám odhlásiť odkazom v e-maile; služba odhlásenie zaznamená a adresu už neosloví.
11.3 Žiadosť dotknutej osoby, ktorá príde sprostredkovateľovi, sprostredkovateľ bez zbytočného odkladu postúpi zákazníkovi. Sám na ňu vecne odpovie, len ak ho o to zákazník požiada.
11.4 Sprostredkovateľ poskytne zákazníkovi informácie, ktoré má k dispozícii a ktoré zákazník potrebuje na zaistenie bezpečnosti, oznámenie porušenia ochrany osobných údajov, posúdenie vplyvu na ochranu údajov a predchádzajúcu konzultáciu s dozorným orgánom (čl. 32 až 36 GDPR).
11.5 Súčinnosť v rozsahu funkcií aplikácie a bežne dostupných informácií je bezplatná. Za mimoriadnu súčinnosť, napríklad ručné spracúvanie rozsiahlych dát, môže sprostredkovateľ po predchádzajúcej dohode účtovať primerané náklady.
12. Porušenie ochrany osobných údajov
12.1 Sprostredkovateľ oznámi zákazníkovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvie, najneskôr do 48 hodín, a to e-mailom správcom účtu.
12.2 Oznámenie obsahuje informácie podľa čl. 33 ods. 3 GDPR, ktoré má sprostredkovateľ k dispozícii: opis porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky, prijaté alebo navrhované opatrenia a kontakt. Informácie, ktoré ešte nemá, dopĺňa postupne.
12.3 Sprostredkovateľ bez odkladu prijme opatrenia na zmiernenie následkov a poskytne zákazníkovi súčinnosť pri oznámení dozornému orgánu a informovaní dotknutých osôb. Oznámenie dozornému orgánu a informovanie dotknutých osôb je povinnosťou zákazníka ako prevádzkovateľa.
12.4 Sprostredkovateľ vedie záznamy o porušeniach ochrany osobných údajov.
13. Skončenie spracúvania
13.1 Po skončení hlavnej zmluvy sprostredkovateľ osobné údaje nespracúva inak ako ich uložením do vymazania.
13.2 Do 30 dní od skončenia hlavnej zmluvy môže zákazník požiadať o odovzdanie údajov. Sprostredkovateľ ich odovzdá bezplatne v strojovo čitateľnom formáte vrátane záznamov o súhlasoch a odhláseniach do 30 dní od žiadosti.
13.3 Sprostredkovateľ osobné údaje vymaže najneskôr do 60 dní od skončenia hlavnej zmluvy, ak právny predpis neukladá ich ďalšie uloženie. Zo záloh zmiznú najneskôr do 30 dní od vymazania. Na žiadosť sprostredkovateľ zákazníkovi vymazanie písomne potvrdí.
13.4 Ak zákazník potrebuje doklady o súhlasoch uchovávať dlhšie, napríklad podľa § 116 ods. 5 zákona č. 452/2021 Z. z. o elektronických komunikáciách (najmenej 4 roky od odvolania súhlasu), vyžiada si ich pred vymazaním.
14. Informácie a kontroly
14.1 Sprostredkovateľ na žiadosť do 30 dní poskytne zákazníkovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR, najmä opis opatrení a zoznam ďalších sprostredkovateľov.
14.2 Ak tieto informácie nestačia, sprostredkovateľ umožní audit alebo kontrolu, ktorú vykoná zákazník alebo ním poverený audítor viazaný mlčanlivosťou, ktorý nie je konkurentom sprostredkovateľa. Zákazník audit oznámi najmenej 30 dní vopred. Audit sa koná najviac raz za kalendárny rok, v pracovnom čase, bez narušenia prevádzky a bez prístupu k dátam iných zákazníkov. Častejšie možno audit vykonať po porušení ochrany osobných údajov zákazníka alebo na žiadosť dozorného orgánu.
14.3 Náklady auditu znáša zákazník. Ak audit odhalí podstatné porušenie zmluvy o spracúvaní sprostredkovateľom, znáša sprostredkovateľ primerané náklady auditu.
14.4 Plnenie povinností ďalších sprostredkovateľov sa preukazuje ich certifikáciami a správami nezávislých audítorov, napríklad podľa ISO/IEC 27001 alebo SOC 2, ktoré sprostredkovateľ na žiadosť sprístupní, ak to podmienky poskytovateľov dovoľujú.
14.5 Sprostredkovateľ vedie záznamy o spracovateľských činnostiach podľa čl. 30 ods. 2 GDPR.
15. Záverečné ustanovenia
15.1 Zodpovednosť strán sa riadi obchodnými podmienkami a čl. 82 GDPR. Obmedzenie náhrady škody v obchodných podmienkach sa nepoužije v rozsahu, v akom ho právne predpisy nedovoľujú.
15.2 Zmluva o spracúvaní trvá počas trvania hlavnej zmluvy a do splnenia povinností podľa článku 13.
15.3 Zmluva o spracúvaní sa mení postupom podľa článku 17 obchodných podmienok: zmenu sprostredkovateľ oznámi najmenej 30 dní vopred e-mailom správcom účtu a oznámením v aplikácii a zákazník ju môže odmietnuť a hlavnú zmluvu vypovedať. Zoznam ďalších sprostredkovateľov sa mení podľa článku 9.
15.4 Zmluva o spracúvaní sa riadi právom Českej republiky.
15.5 Táto zmluva o spracúvaní vo verzii 1.0 je účinná od 12. 10. 2026.
Príloha 1: Ďalší sprostredkovatelia
1. Ku dňu účinnosti zmluvy o spracúvaní zapája sprostredkovateľ týchto ďalších sprostredkovateľov:
a) Render Services, Inc., 525 Brannan Street, Suite 300, San Francisco, CA 94107, USA: hosting aplikácie, databázy a súborov (správca súborov), spracúvanie požiadaviek verejných stránok a skriptov; miesto spracúvania: dátové centrum vo Frankfurte nad Mohanom, Nemecko (EÚ).
b) Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg: odosielanie e-mailov službou Amazon SES a príjem hlásení o doručení, nedoručení a sťažnostiach (Amazon SNS); miesto spracúvania: región eu-north-1, Štokholm, Švédsko (EÚ).
c) Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Ireland: e-mailová schránka podpory podpora@postarna.sk a podpora@postarna.cz (Google Workspace); osobné údaje kontaktov sa do nej dostanú, len keď ich podpore pošle zákazník alebo sám adresát; miesto spracúvania: dátové centrá Google v EÚ aj mimo nej.
2. Služba ďalej načítava fotografie z obrazovej banky Pixabay (Pixabay GmbH, Berlín, Nemecko): vyhľadávanie prebieha zo servera bez osobných údajov kontaktov a vybraná snímka sa uloží do správcu súborov zákazníka. Pixabay preto nie je ďalším sprostredkovateľom.
3. Aktuálny zoznam je vždy v tejto prílohe. Zmeny sa oznamujú podľa článku 9.3; otázky na podpora@postarna.sk.
Príloha 2: Technické a organizačné opatrenia
1. Šifrovanie prenosu: aplikácia, API, verejné stránky odberu a odkazy v e-mailoch fungujú cez HTTPS; prihlasovací súbor cookie sa posiela len šifrovane.
2. Prístup k účtu: heslo s dĺžkou najmenej 10 znakov uložené ako odtlačok scrypt, jednorazový kód z e-mailu pri každom prihlásení, voliteľné overovanie aplikáciou v telefóne, obmedzenie počtu chybných pokusov, relácia platná najdlhšie 14 dní a ukončená po 3 dňoch nečinnosti, prehľad a ukončenie aktívnych relácií, ukončenie ostatných relácií pri zmene hesla a ochrana proti podvrhnutým požiadavkám.
3. Riadenie oprávnení: roly používateľov s rozdielnymi oprávneniami; kľúče API s rolami, uložené len ako odtlačok a neplatné po 180 dňoch bez použitia; pripojenie asistentov umelej inteligencie len so súhlasom používateľa, s obmedzeným rozsahom a možnosťou kedykoľvek ich odpojiť; administrácia platformy len pre určené osoby poskytovateľa s overovaním aplikáciou v telefóne a záznamom každého vstupu a zmeny.
4. Oddelenie dát zákazníkov: každý záznam nesie identifikátor zákazníka a databáza vynucuje oddelenie na úrovni riadkov; automatické testy overujú oddelenie pri každom koncovom bode API.
5. Databáza a tajomstvá: databáza prijíma len spojenia z vnútornej siete hostingu a prístup zvonka sa povoľuje len dočasne na správu; aplikácia k nej pristupuje rolami s obmedzenými oprávneniami; tajné kľúče sú len v premenných prostredia hostingu, nikdy v zdrojovom kóde; tajné kľúče na overovanie aplikáciou v telefóne sú zašifrované.
6. Integrita a doklady: záznamy o súhlasoch a odhláseniach, záznamy o dôležitých úkonoch v účte a záznamy o prijatí dokumentov nemožno dodatočne meniť (výmaz kontaktu na žiadosť zo záznamov o súhlasoch len odstráni jeho adresu a doklady); zoznam potlačených adries nemožno hromadne mazať.
7. Verejné stránky (odhlásenie, nastavenia odberu, potvrdenie odberu, formuláre) a skripty na weboch zákazníkov používajú podpísané odkazy alebo overenie pôvodu požiadavky, nepoužívajú cookies a obmedzujú počet požiadaviek. Skript sledovania košíka nikdy nezakladá nové kontakty.
8. Obsah: HTML e-mailov sa pred uložením čistí od skriptov a nebezpečných prvkov; pri nahraných súboroch sa typ overuje podľa obsahu a súbory SVG sa neprijímajú.
9. Zálohy a obnova: priebežné zálohy databázy u poskytovateľa hostingu s obnovou k okamihu, zálohy uchovávané najviac 30 dní a zdokumentovaný postup obnovy.
10. Vývoj a prevádzka: automatické testy pred každou zmenou kódu, žiadne osobné údaje zákazníkov vo vývojovom prostredí ani v repozitári kódu; osobné údaje sa neposkytujú žiadnej službe, ktorá nie je uvedená ako ďalší sprostredkovateľ, ani nástrojom umelej inteligencie.
11. Organizácia: prístup k produkčným dátam len pre oprávnené osoby sprostredkovateľa, mlčanlivosť a postup na riešenie bezpečnostných incidentov.
Verzie a história zmien
Verzia 1.0, účinná od 12. 10. 2026: Prvé znenie zmluvy o spracúvaní osobných údajov s prílohou 1 (ďalší sprostredkovatelia) a prílohou 2 (technické a organizačné opatrenia).