uzatvorená podľa článku 28 nariadenia (EÚ) 2016/679 (GDPR)
Zmluvné strany
Prevádzkovateľ: klient — podnikateľ, ktorý používa službu Callania Booking, identifikovaný údajmi uvedenými vo svojom účte.
Sprostredkovateľ: - Obchodné meno: MACET, s.r.o. · Sídlo: Nitrianska 32/189, 949 11 Nitra · IČO: 35 953 781 - Kontakt: booking@callania.eu
Zmluva je neoddeliteľnou súčasťou Všeobecných obchodných podmienok a uzatvára sa okamihom založenia prevádzky v službe.
1. Predmet a trvanie
Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa výhradne na účel prevádzky rezervačného systému — prijímanie a správu rezervácií, notifikácie zákazníkom, evidenciu zákazníkov a súvisiace funkcie, ktoré si prevádzkovateľ v službe zapne.
Zmluva trvá počas trvania hlavnej zmluvy a končí spolu s ňou.
2. Povaha spracúvania a kategórie údajov
| Dotknuté osoby | zákazníci prevádzkovateľa, ktorí si rezervujú termín alebo pobyt; osoby zapísané ako náhradníci; zamestnanci prevádzkovateľa s prístupom do systému |
| Kategórie údajov | meno a priezvisko, e-mail, telefónne číslo, jazyk, poznámka k rezervácii, história rezervácií a ich stavov, príznak neúčasti, zdroj návštevy, pri ubytovaní počet hostí a termín pobytu |
| Operácie | získavanie, uchovávanie, nahliadanie, úprava, prenos notifikácií, výmaz |
| Osobitné kategórie | služba nie je určená na spracúvanie údajov o zdraví ani iných osobitných kategórií. Ak ich prevádzkovateľ napriek tomu vloží (napríklad do poznámky), robí tak na vlastnú zodpovednosť a musí na to mať právny základ. |
3. Povinnosti sprostredkovateľa
Sprostredkovateľ:
1. spracúva údaje len na základe doložených pokynov prevádzkovateľa; za pokyn sa považuje aj používanie funkcií služby a jej nastavení 2. zabezpečí, že osoby s prístupom k údajom sú zaviazané mlčanlivosťou 3. prijme technické a organizačné opatrenia podľa článku 32 GDPR, uvedené v prílohe B 4. neposkytne údaje tretím osobám okrem subdodávateľov podľa článku 4 a prípadov uložených zákonom 5. pomáha prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb — poskytnutím exportu údajov, ich opravou alebo výmazom na pokyn prevádzkovateľa 6. pomáha pri plnení povinností podľa článkov 32 až 36 GDPR v rozsahu, ktorý zodpovedá povahe spracúvania a informáciám, ktoré má k dispozícii 7. oznámi porušenie ochrany údajov bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, spolu s tým, čo sa stalo, koho sa to týka a aké kroky robí 8. na výzvu sprístupní informácie potrebné na preukázanie plnenia týchto povinností 9. upozorní prevádzkovateľa, ak sa podľa jeho názoru pokyn prieči právnym predpisom
4. Subdodávatelia
Prevádzkovateľ dáva sprostredkovateľovi všeobecný súhlas so zapojením ďalších sprostredkovateľov uvedených v prílohe A.
Pri zmene zoznamu — pribudnutí alebo nahradení — informuje sprostredkovateľ prevádzkovateľa najmenej 30 dní vopred e-mailom. Prevádzkovateľ môže v tejto lehote namietať; ak námietke nemožno vyhovieť, môže hlavnú zmluvu vypovedať ku dňu účinnosti zmeny bez sankcie.
Sprostredkovateľ ukladá subdodávateľom rovnaké povinnosti a zodpovedá za ich plnenie.
5. Prenos mimo EÚ
K prenosu údajov mimo Európskeho hospodárskeho priestoru nedochádza. Ak by k nemu malo dôjsť, sprostredkovateľ o tom prevádzkovateľa vopred informuje a zabezpečí primerané záruky podľa kapitoly V GDPR.
6. Výmaz a vrátenie údajov
Po skončení zmluvy sprostredkovateľ na voľbu prevádzkovateľa údaje vymaže alebo vráti. Export je dostupný priamo v službe.
Ak si prevádzkovateľ export nevyžiada, údaje sa vymažú do 30 dní od skončenia zmluvy. Zálohy sa premazávajú v rámci bežného cyklu, najneskôr do 6 mesiacov; do tej doby sú šifrované a neprístupné bežnej prevádzke.
Sprostredkovateľ si môže ponechať údaje, ktorých uchovávanie mu ukladá právny predpis.
7. Kontrola
Prevádzkovateľ má právo overiť plnenie tejto zmluvy. Sprostredkovateľ mu na písomnú žiadosť poskytne potrebné informácie a doklady. Kontrola na mieste je možná po dohode, najviac raz ročne a s oznámením najmenej 14 dní vopred, tak aby nenarušila prevádzku; náklady na svoju kontrolu znáša prevádzkovateľ.
8. Zodpovednosť
Zodpovednosť strán sa riadi článkom 82 GDPR a obmedzením zodpovednosti podľa hlavnej zmluvy, ak to právne predpisy pripúšťajú.
Príloha A — Subdodávatelia
| Subdodávateľ | Čo robí | Umiestnenie |
|---|---|---|
| Hetzner Online GmbH | hosting servera, úložisko, zálohy | Nemecko |
| Webglobe, a.s. (IČO 52486567) | odosielanie e-mailových notifikácií | Slovensko |
| BulkGate s. r. o. | odosielanie SMS notifikácií (len ak si prevádzkovateľ doplnok zapne) | Česko |
Rezervačné portály (Booking.com, Airbnb) nie sú našimi subdodávateľmi — prevádzkovateľ s nimi má vlastný vzťah a my len vymieňame údaje o obsadenosti podľa jeho pokynu.
Príloha B — Technické a organizačné opatrenia
Prístup a sieť. Prihlásenie na server len kľúčom, bez hesiel, bez prihlásenia roota. Zvonku sú dostupné len porty pre web a správu. Databáza nie je dostupná z internetu.
Šifrovanie. Všetok prenos cez HTTPS. Heslá uložené algoritmom argon2id. Zálohy šifrované.
Oddelenie údajov. Údaje každej prevádzky sú oddelené a oddelenie je overované automatickými testami pri každej zmene.
Odolnosť. Denné zálohy, uchovávanie 14 denných a 8 týždenných, mesačné automatické overenie, že sa záloha dá obnoviť.
Zaznamenávanie. Prístupy a zmeny sa zapisujú do auditu. V prevádzkových logoch sa maskujú tokeny aj telefónne čísla.
Dohľad. Kontrola integrity systému, antivírusová kontrola, automatická detekcia neobvyklých zmien a denné hlásenie o stave.
Minimalizácia. Do notifikácií a exportov sa dostávajú len údaje potrebné na daný účel. Rezervačné feedy pre portály neobsahujú osobné údaje hostí, len kód rezervácie.