SK
Prihlásiť sa Vyskúšať zadarmo
Menu
Funkcie
Pozrieť funkcie
Zdroje Všetky nástroje zadarmo
Rady Všetky články
Vyskúšať zadarmo

Právne informácie

Zmluva o spracúvaní osobných údajov

Stav k 

Záväzné je nemecké znenie. Zobraziť nemecké znenie

Zmluvné strany#

Táto zmluva o spracúvaní osobných údajov (ďalej len „zmluva“) sa uzatvára medzi zákazníkom ako prevádzkovateľom a spoločnosťou ProductTickler B.V., vystupujúcou pod obchodným názvom Sellgrip, Meerwijkselaan 5, 6571 CM Berg en Dal, Holandsko, KvK 98314696, ako sprostredkovateľom („my“).

Je súčasťou zmluvy o používaní Sellgripu podľa všeobecných obchodných podmienok (VOP). Uzatvára sa tým, že ju zákazník prijme pri registrácii. Upravuje povinnosti podľa čl. 28 GDPR.

1. Predmet a doba trvania#

  1. V mene zákazníka spracúvame údaje z jeho predajného účtu na Kauflande. Patria k nim údaje o objednávkach, vráteniach a tiketoch a pri faktúrach aj meno a adresa kupujúcich.
  2. Zmluva platí počas trvania zmluvy o používaní a potom až do vymazania údajov podľa bodu 9.

2. Povaha a účel spracúvania#

  1. Účel: Zákazník v Sellgripe vybavuje svoje objednávky, vrátenia, tikety a faktúry a vyhodnocuje zisk, náklady, výplaty a ukazovatele svojho predaja na Kauflande.
  2. Povaha: načítanie cez Kaufland Seller API, uloženie, vyhodnotenie, zobrazenie, export a vymazanie. Na kliknutie používateľa odovzdávame Kauflandu jednotlivé úkony: nahlásenie odoslania a číslo zásielky, storno, vrátenie peňazí, rozhodnutie o vrátení, odpoveď na tiket alebo jeho uzavretie, nahranie faktúry, platený nákup prepravného štítka cez Kaufland, odoslanie chýbajúcich údajov o produkte, zmena ceny, minimálnej ceny, zásob, doby spracovania alebo stavu ponuky.
  3. Faktúry: Ak zákazník vystaví faktúru, načítame z Kauflandu fakturačnú adresu kupujúceho pre túto jednu objednávku, vytvoríme z nej faktúru vo formáte PDF, uchováme PDF ako kópiu pre zákazníka a nahráme ho na Kaufland.
  4. Tikety: Správy v tiketoch načítavame z Kauflandu, aby sme ich mohli zobraziť. Ich text neukladáme.

3. Kategórie údajov a dotknuté osoby#

Kategórie údajov:

  • Údaje o objednávkach: čísla objednávok a položiek, tovar (názov, EAN, SKU), ceny, poplatky, DPH, stav, krajina Kauflandu, časové údaje, údaje o doručení, čísla zásielok, dôvody storna. Meno, adresu, e-mailovú adresu a telefónne číslo kupujúcich pritom nepreberáme; zoznam povolených polí na rozhraní ku Kauflandu prepúšťa iba potrebné polia.
  • Fakturačné údaje: meno alebo obchodné meno a fakturačná adresa (ulica, číslo domu, PSČ, obec, krajina) kupujúceho, iba ak zákazník pre jeho objednávku vystaví faktúru, a iba vo faktúre vo formáte PDF.
  • Údaje o vráteniach: vrátené položky, tovar, stav, dôvod a časové údaje.
  • Údaje o tiketoch: číslo tiketu, dotknuté položky objednávky, stav, dôvod, téma a čas poslednej správy od kupujúceho a od predajcu. Text správ sa iba zobrazuje, neukladá sa.
  • Údaje o produktoch, ponukách, transakciách a výplatách zákazníka.
  • Protokol akcií: ktorý používateľ zákazníka kedy spustil akú akciu a s akým výsledkom, bez textu správ.

Dotknuté osoby:

  • kupujúci zákazníka na marketplace Kaufland
  • používatelia zákazníka v Sellgripe (vlastník, zamestnanec, účtovníctvo)
  • samotný zákazník, ak je fyzickou osobou

Údaje o účtoch používateľov (meno, e-mailová adresa, hash hesla) a fakturáciu spracúvame ako samostatný prevádzkovateľ. Opisujú to zásady ochrany osobných údajov.

4. Pokyny#

  1. Údaje spracúvame iba na základe zdokumentovaných pokynov zákazníka. Pokyny sú uvedené v tejto zmluve a vo VOP. Každá akcia, ktorú používateľ spustí v Sellgripe, je samostatným pokynom.
  2. Ďalšie pokyny dáva zákazník v textovej podobe na privacy@sellgrip.com.
  3. Ak považujeme pokyn za protiprávny, bez zbytočného odkladu to zákazníkovi oznámime. Do vyjasnenia môžeme jeho vykonanie pozastaviť.
  4. Údaje nepoužívame na vlastné účely a neposkytujeme ich tretím osobám, okrem prípadov podľa tejto zmluvy alebo ak nám to ukladá zákon.
  5. Údaje viacerých zákazníkov spoločne nevyhodnocujeme, ani v anonymizovanej podobe. Ak by sme to v budúcnosti plánovali, bude to možné iba po zmene tejto zmluvy.

5. Mlčanlivosť#

Všetky osoby, ktoré majú prístup k údajom, písomne zaväzujeme k mlčanlivosti, ak im povinnosť mlčanlivosti už neukladá zákon. Záväzok platí aj po skončení ich činnosti. Prístup dostanú iba osoby, ktoré ho potrebujú na prevádzku Sellgripu.

6. Bezpečnosť#

Prijímame technické a organizačné opatrenia podľa čl. 32 GDPR uvedené v prílohe 1. Prispôsobujeme ich aktuálnemu stavu techniky. Opatrenie možno nahradiť rovnocenným opatrením; úroveň ochrany sa pritom nesmie znížiť.

7. Ďalší sprostredkovatelia#

  1. Zákazník schvaľuje ďalších sprostredkovateľov uvedených v prílohe 2.
  2. Ak chceme ďalšieho sprostredkovateľa pridať alebo nahradiť, oznámime to zákazníkovi e-mailom najmenej 30 dní vopred. Zákazník môže do 14 dní vzniesť námietku z dôležitého dôvodu týkajúceho sa ochrany osobných údajov. Ak sa nedohodneme, môže každá strana vypovedať zmluvu o používaní ku dňu, ku ktorému by zmena nadobudla účinnosť.
  3. Každého ďalšieho sprostredkovateľa zmluvne zaviažeme k rovnakým povinnostiam v oblasti ochrany osobných údajov, aké ustanovuje táto zmluva.
  4. Údaje prenášame do krajiny mimo Európskeho hospodárskeho priestoru iba vtedy, ak sú splnené podmienky podľa čl. 44 až 49 GDPR.

8. Súčinnosť so zákazníkom#

  1. Práva dotknutých osôb: Poskytujeme zákazníkovi súčinnosť pri žiadostiach podľa čl. 12 až 22 GDPR. Export (JSON) a vymazanie má zákazník priamo k dispozícii v nastaveniach. Ak sa na nás obráti dotknutá osoba, jej žiadosť postúpime zákazníkovi.
  2. Povinnosti podľa čl. 32 až 36 GDPR: Poskytujeme zákazníkovi súčinnosť v rozsahu, ktorý umožňuje povaha spracúvania a informácie, ktoré máme k dispozícii, napríklad pri posúdení vplyvu na ochranu osobných údajov.
  3. Porušenie ochrany osobných údajov: Porušenie ochrany osobných údajov oznámime zákazníkovi bez zbytočného odkladu, najneskôr do 48 hodín potom, ako sme sa o ňom dozvedeli, e-mailom vlastníkovi účtu. Oznámenie obsahuje, pokiaľ sú známe, informácie podľa čl. 33 ods. 3 GDPR; chýbajúce informácie doplníme, hneď ako ich budeme mať. Zákazník tak môže dodržať svoju vlastnú 72-hodinovú lehotu na oznámenie. Bez zbytočného odkladu prijmeme opatrenia potrebné na zabezpečenie údajov a zmiernenie možných následkov.

9. Vymazanie a vrátenie údajov#

  1. Počas trvania zmluvy môže zákazník kedykoľvek exportovať svoje údaje vo formáte JSON a vymazať svoj účet so všetkými údajmi. Vymazanie účtu sa považuje za pokyn na vymazanie všetkých údajov, ktoré spracúvame v mene zákazníka. Vykonáme ho ihneď a naraz.
  2. Ak zmluva o používaní skončí inak, môže zákazník svoje údaje exportovať ešte 30 dní. Potom ich vymažeme, ak nám zákon neukladá povinnosť ich uchovávať.
  3. Zálohy sa po 30 dňoch automaticky vymažú. Nezávisle od toho môže Cloudflare databázy vrátiť k ľubovoľnému okamihu za posledných 30 dní; vymazané údaje v nich zostávajú najviac počas tejto doby. Ak obnovíme zálohu, vymazania vykonané od jej vytvorenia automaticky zopakujeme.
  4. Automatické vymazávanie jednotlivých údajov o objednávkach po uplynutí pevnej lehoty nie je nastavené. Údaje zostávajú uložené, kým sa neuplatní odsek 1 alebo 2. Ak takú lehotu zavedieme, vopred to zákazníkovi oznámime.
  5. Faktúry, ktoré zákazník vystavil cez Sellgrip, sa vymažú spolu s účtom. Zákazník si ich predtým stiahne, aby splnil svoje vlastné povinnosti uchovávania.

10. Preukazovanie a kontroly#

  1. Na požiadanie poskytneme zákazníkovi informácie, ktoré potrebuje na preukázanie plnenia povinností podľa čl. 28 GDPR, najmä opatrenia z prílohy 1 a zoznam z prílohy 2.
  2. Zákazník môže raz ročne, po primeranom oznámení vopred a v bežnom pracovnom čase, vykonať kontrolu sám alebo ju dať vykonať audítorovi viazanému mlčanlivosťou. Môžeme požadovať, aby sa najprv preverili dokumenty a informácie. Pri konkrétnom podnete, napríklad po porušení ochrany osobných údajov, je kontrola možná aj častejšie.

11. Zodpovednosť a záverečné ustanovenia#

  1. Na zodpovednosť sa vzťahuje bod 12 VOP. Čl. 82 GDPR zostáva nedotknutý.
  2. Ak si táto zmluva a VOP v otázkach ochrany osobných údajov odporujú, má prednosť táto zmluva.
  3. Inak platia VOP, a to aj pokiaľ ide o rozhodné právo a príslušnosť súdu. Záväzné je nemecké znenie.

Príloha 1: Technické a organizačné opatrenia#

Fyzický prístup k serverom#

  • Údaje sa ukladajú iba v dátových centrách v Európskej únii: Cloudflare Durable Objects, D1 a R2 s miestom uloženia v EÚ. Prevádzkovateľ (príloha 2) používa kontrolu vstupu a má certifikáciu ISO/IEC 27001.
  • Administrátorský prístup k účtu Cloudflare iba pre vedenie spoločnosti, s dvojfaktorovým prihlásením. Správcovské funkcie aplikácie iba za Cloudflare Access a navyše s tajným kľúčom. Vlastný server s prístupom cez SSH neexistuje.

Prihlásenie do Sellgripu#

  • Heslá s dĺžkou najmenej 12 znakov, uložené iba ako hash scrypt s vlastnou soľou pre každého používateľa.
  • Relácie cez súbor cookie, ktorý skripty nemôžu čítať (HttpOnly, SameSite=Lax, Secure). Ukladá sa iba hash kľúča relácie.
  • Relácie sa pri používaní predlžujú o 14 dní a končia najneskôr po 90 dňoch. Odhlásenie a zmena hesla ich ukončia ihneď; všetky relácie možno ukončiť naraz.
  • Odkazy na obnovenie hesla platia jednu hodinu a dajú sa použiť iba raz.
  • Obmedzenie počtu pokusov pri prihlásení, registrácii, obnovení hesla a pozvánkach, pre každú IP adresu a každý účet.

Prístup k údajom#

  • Prísne oddelenie zákazníkov: to, ktorého účtu sa požiadavka týka, vyplýva iba z relácie. Prístup k údajom iného zákazníka sa odmietne. Automatizované testy to overujú pre každé rozhranie.
  • Tri roly vynucované na serveri: vlastník (všetko vrátane prístupových údajov, tímu, fakturácie, exportu a vymazania), zamestnanec (objednávky, vrátenia, tikety, faktúry, náklady) a účtovníctvo (iba na čítanie).
  • Testovacie a ukážkové účty sa nikdy nepripájajú ku Kauflandu.

Šifrovanie#

  • Prenos iba cez TLS, s HSTS.
  • Kľúče Kaufland API sú šifrované pomocou AES-256-GCM. Kľúč na šifrovanie sa odvodzuje z tajomstva uloženého mimo databázy. Výmena kľúča je pripravená.
  • Požiadavky na Kaufland idú cez HTTPS a sú podpísané pomocou HMAC-SHA256.

Minimalizácia údajov#

  • Zoznam povolených polí na rozhraní ku Kauflandu: meno, adresa, e-mailová adresa a telefónne číslo kupujúcich sa z objednávok a tiketov nepreberajú.
  • Fakturačná adresa kupujúceho sa načíta iba pri vystavení faktúry a uloží sa iba vo faktúre.
  • Protokoly neobsahujú prístupové údaje, kľúče relácií ani údaje kupujúcich; z protokolovaných adries sa odstraňujú jednorazové kľúče.
  • Štatistika používania neukladá IP adresu ani prehliadač.

Dohľadateľnosť#

  • Protokol akcií pre každú akciu voči Kauflandu (používateľ, akcia, čas, výsledok) a pre každú zmenu v tíme (pozvánka, rola, odstránenie).
  • Notifikácie od Stripe sa prijímajú iba s platným podpisom.

Dostupnosť a obnova#

  • Denná konzistentná záloha databáz, šifrovaná pomocou AES-256-GCM. Uchovávajú sa zálohy za posledných 30 dní. Zálohy sú uložené u Cloudflare (príloha 2) v úložisku R2 s miestom uloženia v Európskej únii. Navyše môže Cloudflare databázy vrátiť k ľubovoľnému okamihu za posledných 30 dní.
  • Zdokumentovaný postup obnovy. Automatizovaný test ho prejde pri každej zmene vrátane opätovného vykonania vymazaní.

Bezpečná aplikácia#

  • Content Security Policy s novým nonce pre každú požiadavku, žiadne skripty tretích strán.
  • Ochrana pred vložením do cudzích stránok (X-Frame-Options DENY), nosniff, reštriktívna Referrer Policy a Permissions Policy.
  • Automatizovaná kontrola typov a testy pri každej zmene.

Príloha 2: Ďalší sprostredkovatelia#

  • Cloudflare, Inc., USA. Služba: prevádzka aplikácie, databáz a záloh (Cloudflare Workers, Durable Objects, D1 a R2), DNS a proxy. Miesto uloženia: Európska únia. Cloudflare prijíma požiadavky v dátových centrách svojej celosvetovej siete a vidí pritom IP adresy a údaje požiadaviek vrátane obsahu, ktorý Sellgrip posiela do prehliadača. Cloudflare tiež prijíma e-maily zaslané na naše adresy (info@, support@, privacy@sellgrip.com) a preposiela ich (Cloudflare Email Routing). Prenos do USA na základe rámca EU-US Data Privacy Framework (čl. 45 GDPR) a štandardných zmluvných doložiek (čl. 46 ods. 2 písm. c) GDPR).
  • Sendinblue SAS (Brevo), 9-17 rue Salneuve, 75017 Paris, Francúzsko. Služba: odosielanie e-mailov zákazníkovi a jeho používateľom (adresa príjemcu, predmet, text). Miesto spracúvania: Európska únia.

S každým ďalším sprostredkovateľom máme uzatvorenú zmluvu podľa čl. 28 ods. 4 GDPR.

Ďalšími sprostredkovateľmi nie sú:

  • Stripe: Stripe spracúva platby zákazníka voči nám a dostáva na to iba údaje samotného zákazníka, žiadne údaje z predajného účtu na Kauflande ani údaje kupujúcich.
  • Kaufland: Kaufland je zdrojom údajov a dostáva úkony, ktoré zákazník sám spustí. Zákazník má s Kauflandom vlastnú zmluvu.
  • Google: Google Analytics beží iba na webovej stránke; aplikácia Sellgrip ho nenačítava. So súhlasom aplikácia hlási službe Google Analytics iba registráciu, začiatok skúšobného obdobia a prvú zaplatenú faktúru. Ide o údaje o účte a fakturácii, ktoré spracúvame ako samostatný prevádzkovateľ (oddiel 3). Google nedostáva žiadne údaje, ktoré spracúvame v mene zákazníka.

Plánované, zatiaľ nepoužívané: prekladová služba (DeepL alebo Anthropic) na odpovede v jazyku kupujúceho. Spracúvala by správy z tiketov. Pred jej nasadením ju podľa bodu 7 doplníme do tohto zoznamu.