1. Predmet a trvanie
Táto Zmluva o spracúvaní osobných údajov (ďalej len „DPA") upravuje podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (ďalej len „GDPR") spracúvanie osobných údajov, ktoré spoločnosť CATMEDIA, s.r.o., IČO 36 759 376 (ďalej len „Poskytovateľ"), vykonáva ako sprostredkovateľ pre Zákazníka ako prevádzkovateľa pri poskytovaní služby ClinicSpot (ďalej len „Služba") podľa Všeobecných obchodných podmienok (ďalej len „VOP"). Pojmy s veľkým začiatočným písmenom majú význam podľa VOP.
Povahou spracúvania je uchovávanie, usporiadanie, vyhľadávanie, sprístupnenie, prenos, zálohovanie a vymazanie údajov vložených do Služby. Účelom je poskytovanie Služby na vedenie skladovej, prevádzkovej, personálnej a rezervačnej agendy Zákazníka. Spracúvanie trvá počas trvania zmluvy a lehoty podľa čl. 9. Zákazník dáva pokyn vytvárať z údajov agregované štatistiky bez osobných údajov na prevádzku Služby.
2. Kategórie dotknutých osôb a údajov
- Zamestnanci a používatelia Zákazníka: meno, e-mail, telefón, pozícia, fotografia, rola a oprávnenia; prihlasovacie a bezpečnostné údaje (hash hesla a PIN, údaje dvojfaktorového overenia a prístupových kľúčov); dochádzka vrátane overenia polohy (GPS súradnice a presnosť, názov a identifikátor siete WiFi, IP adresa, zariadenie), rozvrhy, absencie vrátane druhu absencie a priloženého dokladu; dokumenty zamestnancov; záznamy o činnosti v Službe; komunikácia s AI asistentom.
- Pacienti Zákazníka, len ak Zákazník používa rezervačný modul: meno, telefón, e-mail, termín, zvolená služba a lekár, poznámka personálu, súhlas a IP adresa, recenzie (hodnotenie, text, iniciály), zápis na čakaciu listinu, údaje pacientskej relácie (e-mail, IP adresa, prehliadač).
- Osobitné kategórie (čl. 9 GDPR): údaje o zdraví, ktoré môžu vyplývať z lekárskeho potvrdenia pri absencii, zo zvolenej služby alebo z poznámky k rezervácii.
Záznamy prihlásení na účel bezpečnosti Služby a komunikáciu s podporou spracúva Poskytovateľ ako prevádzkovateľ podľa Zásad ochrany osobných údajov.
Zákazník zodpovedá za právny základ spracúvania a za splnenie informačnej povinnosti, najmä pri evidencii dochádzky, overovaní polohy, absenciách a údajoch pacientov.
3. Pokyny
Poskytovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Zákazníka. Pokynom je táto DPA a používanie Služby Zákazníkom a jeho používateľmi. Ak je podľa Poskytovateľa pokyn v rozpore s GDPR alebo iným predpisom o ochrane údajov, bez zbytočného odkladu na to Zákazníka upozorní. Mimo pokynov spracúva údaje len vtedy, ak mu to ukladá právo EÚ alebo Slovenskej republiky; o takej povinnosti Zákazníka vopred informuje, ak to právo nezakazuje.
4. Povinnosti Poskytovateľa
- Zaviaže mlčanlivosťou každú osobu oprávnenú spracúvať osobné údaje.
- Prijme primerané opatrenia podľa čl. 32 GDPR, najmenej v rozsahu Prílohy A.
- Pomáha Zákazníkovi vhodnými opatreniami pri vybavovaní žiadostí dotknutých osôb podľa čl. 12 až 22 GDPR a pri plnení povinností podľa čl. 32 až 36 GDPR.
- Porušenie ochrany osobných údajov oznámi Zákazníkovi bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, s informáciami podľa čl. 33 ods. 3 GDPR, ktoré má k dispozícii.
- Sprístupní Zákazníkovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožní audit podľa čl. 8.
5. Subdodávatelia
Zákazník udeľuje všeobecný súhlas so zapojením ďalších sprostredkovateľov. Ku dňu účinnosti DPA sú zapojení:
| Subdodávateľ | Účel | Miesto spracúvania | Prenos |
|---|---|---|---|
| Vercel Inc., USA | hosting a prevádzka aplikácie | EÚ (Írsko) | rozhodnutie o primeranosti EU-US DPF |
| Supabase Pte. Ltd., Singapur | databáza a úložisko súborov | EÚ (Írsko) | štandardné zmluvné doložky |
| Resend, Inc., USA | odosielanie e-mailov | USA | štandardné zmluvné doložky |
| OpenAI Ireland Ltd., Írsko | AI rozpoznávanie faktúr a produktov | USA | štandardné zmluvné doložky |
| Cloudflare, Inc., USA | ochrana rezervačného formulára a systému podpory | EÚ a USA | štandardné zmluvné doložky |
| Hostinger International Ltd., Cyprus | hosting systému podpory TwigHub (tikety, prílohy) | EÚ (Frankfurt) | neuplatňuje sa |
Poskytovateľ ukladá subdodávateľom povinnosti ochrany údajov v rozsahu čl. 28 ods. 4 GDPR, spravidla v štandardných podmienkach subdodávateľa, a za ich plnenie zodpovedá Zákazníkovi ako za vlastné. Zamýšľané zapojenie alebo nahradenie subdodávateľa oznámi Zákazníkovi najmenej 14 dní vopred. Zákazník môže v tejto lehote zo závažných dôvodov ochrany údajov namietať; ak sa strany nedohodnú, môže zmluvu vypovedať ku dňu zapojenia subdodávateľa.
6. Prenosy do tretích krajín
Databáza a súbory Zákazníka sú uložené v EÚ. Do USA sa údaje prenášajú pri AI rozpoznávaní dokladov, odosielaní e-mailov (pri pacientoch vrátane názvu objednanej služby), ochrane rezervačného formulára a sieťovej ochrane systému podpory, a to na základe záruk uvedených v tabuľke v čl. 5. Zákazník na tieto prenosy dáva pokyn.
7. AI asistent na vlastnom kľúči Zákazníka
AI asistent podpory pracuje len s API kľúčom spoločnosti Anthropic, ktorý Zákazník sám vloží do Služby. Anthropic nie je subdodávateľom Poskytovateľa. Zákazník aktiváciou asistenta potvrdzuje, že má s ním uzavreté podmienky spracúvania údajov, a zodpovedá za prenos údajov k nemu a za informovanie Používateľov. Poskytovateľ prenáša len konverzáciu a prílohy, meno a rolu používateľa, názov kliniky a na vyžiadanie skladové údaje.
8. Audit
Zákazník alebo ním poverený audítor viazaný mlčanlivosťou môže overiť plnenie tejto DPA raz ročne, ďalej po porušení ochrany údajov alebo na žiadosť dozorného orgánu, vždy na náklady Zákazníka a po oznámení najmenej 30 dní vopred. Audit sa vykonáva prednostne formou dokumentácie a písomných vyjadrení Poskytovateľa; na mieste len v priestoroch Poskytovateľa a bez prístupu k údajom iných zákazníkov.
9. Vrátenie a vymazanie údajov
Po skončení zmluvy umožní Poskytovateľ Zákazníkovi export údajov v lehote podľa čl. 15 VOP. Najneskôr do 60 dní po skončení zmluvy údaje v databáze aj v úložisku súborov vymaže a na žiadosť to písomne potvrdí; kópie v zálohách zaniknú najneskôr do 30 dní od vymazania. To neplatí, ak uchovávanie údajov ukladá právo EÚ alebo Slovenskej republiky.
10. Záverečné ustanovenia
DPA sa riadi právom Slovenskej republiky. Účinnosť nadobúda podpisom zmluvy o poskytovaní Služby alebo akceptáciou VOP, podľa toho, čo nastane skôr. Zmeny DPA sa oznamujú podľa čl. 9 VOP; Zákazník môže do účinnosti zmeny namietať alebo zmluvu vypovedať, inak je zmena účinná dňom uvedeným v oznámení. Zmena subdodávateľov sa oznamuje podľa čl. 5. Pri rozpore s GDPR sa uplatní GDPR.
Kontakt vo veciach ochrany osobných údajov: hello@clinicspot.eu.
Toto znenie je účinné od 17.10.2026 a nahrádza znenie 2026-10.
Príloha A: Technické a organizačné opatrenia
- Šifrovanie prenosu (TLS).
- Heslá a PIN uložené ako hash (bcrypt).
- Voliteľné dvojfaktorové overenie (kód e-mailom, TOTP, prístupový kľúč) s obmedzením počtu pokusov.
- Dôverné kľúče (API kľúče, tokeny, TOTP) šifrované algoritmom AES-256-GCM.
- Prístup podľa rolí a jednotlivých oprávnení; logické oddelenie údajov kliník.
- Záznamy o prihláseniach, akceptácii dokumentov, skladových pohyboch a overeniach dochádzky.
- Obmedzenie počtu požiadaviek na verejnom rezervačnom rozhraní.
- Prístup k produkčným údajom majú len menovite určené osoby Poskytovateľa.
- Infraštruktúra v EÚ s pravidelnými zálohami databázy u poskytovateľa databázy.