Úvod
Táto zmluva o spracúvaní osobných údajov (Data Processing Agreement, ďalej „DPA") sa uzatvára podľa čl. 28 GDPR medzi Zákazníkom – klinikou alebo iným podnikateľským subjektom, ktorý službu využíva – ako prevádzkovateľom (ďalej „Prevádzkovateľ") a spoločnosťou CATMEDIA, s.r.o., prevádzkovateľom služby ClinicSpot, ako sprostredkovateľom (ďalej „Sprostredkovateľ"). Tvorí neoddeliteľnú súčasť hlavnej zmluvy (VOP).
1. Predmet, povaha, účel a doba spracúvania
Sprostredkovateľ spracúva osobné údaje výlučne v rozsahu potrebnom na poskytovanie služby ClinicSpot a na základe zdokumentovaných pokynov Prevádzkovateľa. Za zdokumentovaný pokyn sa považuje aj používanie Služby Prevádzkovateľom a jeho používateľmi v súlade s jej funkcionalitou a touto DPA.
Povaha a účel spracúvania: uchovávanie, organizovanie, sprístupňovanie, zálohovanie a ďalšie spracúvanie údajov vložených do Služby na účel prevádzky skladovej, prevádzkovej, personálnej a – ak ju Prevádzkovateľ využíva – rezervačnej agendy Prevádzkovateľa.
Doba spracúvania: po dobu trvania zmluvného vzťahu podľa VOP, predĺženú o lehotu na export údajov podľa čl. 7 tejto DPA. Po jej uplynutí Sprostredkovateľ údaje vymaže alebo anonymizuje, ak ich dlhšie uchovávanie nevyžaduje právny predpis.
2. Kategórie dotknutých osôb a údajov
- Dotknuté osoby: zamestnanci, spolupracovníci a používatelia Prevádzkovateľa; ak Prevádzkovateľ využíva rezervačný modul, aj jeho pacienti alebo klienti.
- Kategórie údajov: identifikačné a kontaktné údaje, prihlasovacie údaje, dochádzkové a prevádzkové údaje (napr. evidencia spotreby podľa používateľa); pri rezervačnom module údaje o objednanom termíne, zvolenej službe a poskytovateľovi, prípadne obsah poznámky alebo recenzie.
- Osobitné kategórie (čl. 9 GDPR): Sprostredkovateľ ich nevyžaduje ani nespracúva na vlastné účely. Ak však Prevádzkovateľ využíva rezervačný modul alebo vloží takéto údaje do voľných textových polí, môže ísť o údaje týkajúce sa zdravia; Sprostredkovateľ ich v takom prípade spracúva výlučne ako súčasť obsahu vloženého Prevádzkovateľom a s opatreniami podľa čl. 32 GDPR.
3. Povinnosti Sprostredkovateľa
- Spracúvať údaje len podľa pokynov Prevádzkovateľa.
- Zaviazať oprávnené osoby mlčanlivosťou.
- Prijať primerané technické a organizačné opatrenia (čl. 32).
- Bez zbytočného odkladu po zistení oznámiť Prevádzkovateľovi každé porušenie ochrany osobných údajov (čl. 33 ods. 2 GDPR) a poskytnúť mu informácie potrebné na splnenie jeho ohlasovacej povinnosti voči dozornému orgánu a dotknutým osobám.
- Pomáhať Prevádzkovateľovi pri plnení žiadostí dotknutých osôb (čl. 15 – 22 GDPR) a pri plnení povinností podľa čl. 32 – 36 GDPR.
- Sprístupniť informácie potrebné na preukázanie súladu a umožniť audit.
4. Zodpovednosť Prevádzkovateľa (Zákazníka)
Prevádzkovateľ zodpovedá za zákonný právny základ spracúvania údajov svojich zamestnancov a za splnenie informačnej povinnosti voči nim – najmä pri evidencii dochádzky a monitorovaní výkonu práce.
5. Ďalší sprostredkovatelia (sub-processori)
Prevádzkovateľ udeľuje všeobecný súhlas s využitím ďalších sprostredkovateľov, ktorí spracúvajú údaje v mene Sprostredkovateľa na účel prevádzky služby:
- Vercel Inc. – hosting a prevádzka aplikácie.
- Supabase – databáza a úložisko dát.
- Resend – odosielanie systémových a transakčných e-mailov.
- OpenAI – automatické rozpoznávanie údajov z faktúr a dokladov a súvisiace AI funkcie.
- CookieYes – správa súhlasu s cookies.
O zamýšľanej zmene v zozname sub-processorov (zapojenie nového alebo nahradenie doterajšieho) bude Prevádzkovateľ informovaný vopred, spravidla aspoň 14 dní pred jej účinnosťou. V tejto 14-dňovej lehote môže Prevádzkovateľ voči zmene z vážnych dôvodov týkajúcich sa ochrany osobných údajov písomne namietať. Ak námietku v lehote nevznesie, považuje sa zmena za odsúhlasenú.
Ak Prevádzkovateľ námietku vznesie, strany sa v dobrej viere pokúsia nájsť riešenie. Ak ho nedosiahnu, je ktorákoľvek zo strán oprávnená ukončiť dotknutú časť služby alebo zmluvu; do vyriešenia námietky Sprostredkovateľ nového sub-processora na spracúvanie údajov Prevádzkovateľa nezapojí.
6. Prenosy mimo EÚ/EHP
Spracúvanie prebieha v rámci EÚ/EHP. Prípadné prenosy do tretích krajín sa uskutočnia len s primeranými zárukami podľa GDPR.
7. Vymazanie a vrátenie údajov
Po ukončení poskytovania služby Sprostredkovateľ na pokyn Prevádzkovateľa údaje vráti (export) alebo vymaže, okrem prípadov, keď uchovávanie vyžaduje právny predpis. Lehota na export je 30 dní od ukončenia zmluvy; po jej uplynutí Sprostredkovateľ údaje vymaže alebo anonymizuje.
8. Záverečné ustanovenia
DPA sa riadi právom Slovenskej republiky a platí počas trvania hlavnej zmluvy. Účinnosť nadobúda uzavretím zmluvy o poskytovaní služby, akceptáciou VOP alebo začatím používania Služby – podľa toho, ktorá skutočnosť nastane skôr. Samostatný podpis tohto dokumentu sa nevyžaduje.
Ak sa niektoré ustanovenie tejto DPA dostane do rozporu s GDPR alebo s rozhodnutím dozorného orgánu, uplatní sa GDPR; ostatné ustanovenia zostávajú v platnosti.
Kontakt vo veciach ochrany osobných údajov: hello@clinicspot.eu.
Táto DPA nadobúda účinnosť dňom 05.08.2026.