1. Rozsah a role — a ako túto zmluvu uzatvárate
Keď Vaša stajňa spravuje svoju prevádzku v Nose for Horse (ďalej len „Nose“), Vy (stajňa) ste prevádzkovateľom údajov o jazdcoch a prevádzkových údajov, ktoré zadávate, a Nose je Vaším sprostredkovateľom — s týmito údajmi nakladáme výlučne podľa Vašich zdokumentovaných pokynov. Táto zmluva o spracúvaní údajov (DPA) je zmluvou podľa článku 28 GDPR, ktorá tento vzťah upravuje.
DPA je súčasťou Vašich Podmienok služby: uzatvárate ju automaticky, keď Podmienky služby prijmete, a nie je potrebné podpisovať nič samostatne. Pri údajoch o Vašom vlastnom účte a Vašich kontaktných údajoch, pri údajoch z našej marketingovej stránky, pri analytike založenej na súhlase a pri bezpečnostných údajoch je prevádzkovateľom samotný Nose (pozri Zásady ochrany osobných údajov → „Kto je zodpovedný“).
2. Čo robíme s Vašimi údajmi — výlučne podľa Vašich pokynov
Osobné údaje Vašich členov spracúvame na účel poskytovania Služby a na nič iné: vytvorenie a izolácia Vášho vlastného prostredia (tenantu); vytváranie záznamov o jazdcoch, klientoch a účastníkoch vo Vašom mene; plánovanie jazdeckých lekcií a evidencia účasti; správa permanentiek a darčekových poukazov; zaznamenávanie toho, ako jazdec zaplatil (označenia hotovosť / permanentka / poukaz / prevod a, ak povolíte online platby, záznam o každej online platbe alebo dobití kreditu vo Vašom mene — s peňažnými prostriedkami a údajmi o karte nakladá Stripe na Vašom vlastnom účte Stripe, nikdy nie Nose); výpočet zárobku inštruktorov; odosielanie jednosmerných oznámení, ktoré iniciujete; uchovávanie súborov, ktoré ku koňovi nahráte Vy alebo majiteľ koňa — pas koňa, záznam o očkovaní, doklad o poistení a podobne — a ich sprístupnenie výlučne osobám, ktorým ste udelili oprávnenie vidieť daného koňa; poskytovanie samoobslužného prehľadu vlastných rezervácií každému členovi; a podpora, prevencia zneužívania a vedenie auditného protokolu, ktoré sú na prevádzku toho všetkého potrebné.
Vaše údaje nepoužívame na vlastné účely, nepredávame ich ani ich nezdieľame na reklamné účely a nepoužívame ich na trénovanie modelov umelej inteligencie ani strojového učenia.
Potvrdzujete, že máte právny základ podľa článku 6 GDPR (a v relevantných prípadoch podľa článku 9 alebo článku 8 GDPR) — alebo, ak ste usadení mimo EÚ a Spojeného kráľovstva, podľa právnych predpisov o ochrane údajov, ktoré sa na Vás vzťahujú — pre každý pokyn, ktorý nám dáte, a pre každý osobný údaj, ktorý vložíte do Nose; že ste svojim členom poskytli informácie, ktoré vyžadujú články 13 a 14 GDPR; a že Vaše pokyny nespôsobia, že porušíme právne predpisy.
3. Deti
Jazdecké školy učia deti, a preto je Nose navrhnutý tak, aby vo Vašom mene uchovával údaje o deťoch — typicky ide o dieťa, ktoré ako účastníka lekcie zadal rodič, ktorý je Vaším klientom. Zodpovedáte za právny základ a za akýkoľvek súhlas rodiča alebo oprávnenie, ktoré vyžadujú právne predpisy vzťahujúce sa na Vás — článok 8 GDPR v EÚ a v Spojenom kráľovstve; v Spojených štátoch COPPA a príslušné právne predpisy jednotlivých štátov; ak sa spoliehate na vlastný súhlas dieťaťa, potvrdzujete, že ste vynaložili primerané úsilie na overenie rodičovského oprávnenia. To, čo o dieťati uchovávame, obmedzujeme na minimum (spravidla meno a absolvované lekcie), a Službu deťom nikdy nepropagujeme ani na ne necielime.
4. Dôvernosť, bezpečnosť a ďalší sprostredkovatelia
Každý, kto má prístup k Vašim údajom, je viazaný povinnosťou mlčanlivosti, a uplatňujeme technické a organizačné opatrenia opísané na našej stránke Bezpečnosť a dôvera — vrátane zabezpečenia na úrovni riadkov vynucovaného priamo databázou, ktoré vymedzuje údaje každej stajne len na túto stajňu, šifrovania TLS pri prenose, šifrovania v pokoji a auditného protokolu, do ktorého možno záznamy iba pripisovať.
Na prevádzku Služby využívame malý okruh preverených ďalších sprostredkovateľov; aktuálny zoznam s účelom, regiónom a mechanizmom prenosu pri každom z nich nájdete na stránke Ďalší sprostredkovatelia a v Zásadách ochrany osobných údajov → „Zdieľanie — ďalší sprostredkovatelia“. Pred pridaním alebo nahradením ktoréhokoľvek z nich Vás upozorníme aspoň 15 dní vopred (e-mailom na adresu účtu stajne alebo oznámením v aplikácii zobrazeným správcom stajne) — skôr len tam, kde si to bezpečnosť alebo kontinuita služby skutočne vyžaduje; v takom prípade Vás upozorníme hneď, ako to bude rozumne možné, a stále môžete do 15 dní od tohto upozornenia vzniesť námietku. Ak námietku vznesiete a nepodarí sa nám ju vyriešiť, môžete ukončiť dotknutú časť Služby — alebo celú zmluvu, ak je pre ňu daný ďalší sprostredkovateľ nevyhnutný — s pomerným vrátením vopred zaplatených poplatkov za nevyužité obdobie. Každého ďalšieho sprostredkovateľa zaväzujeme povinnosťami v oblasti ochrany údajov, ktoré sú aspoň tak prísne ako táto DPA, a za ich plnenie voči Vám zostávame plne zodpovední.
Pôsobíme vo viac ako jednom regióne a s rastom ďalšie pridávame; aktuálny primárny región každého ďalšieho sprostredkovateľa je uvedený na stránke Ďalší sprostredkovatelia a s naším rozširovaním sa môže zmeniť. Pri každom prenose medzi regiónmi sa opierame o vhodný mechanizmus — štandardné zmluvné doložky EÚ, rámec EÚ – USA pre ochranu osobných údajov (a jeho rozšírenie pre Spojené kráľovstvo), dodatok Spojeného kráľovstva o medzinárodnom prenose údajov tam, kde sa uplatňuje britské GDPR, alebo ekvivalent, ktorý vyžaduje ďalší región — tak, ako je uvedené na stránke Ďalší sprostredkovatelia.
5. Audity
Na požiadanie Vám ako prvý krok poskytneme to, čo potrebujete na preukázanie nášho súladu s článkom 28 GDPR — našu stránku Bezpečnosť a dôvera, túto DPA, relevantné správy tretích strán od našich ďalších sprostredkovateľov tam, kde ich smieme zdieľať, a písomné odpovede na primerané dotazníky o bezpečnosti a spracúvaní. Ak to nestačí, dohodneme s Vami rozsah, načasovanie a priebeh ďalšieho auditu alebo inšpekcie — s oznámením aspoň 30 dní vopred (skôr len po bezpečnostnom incidente alebo na príkaz dozorného orgánu), najviac raz za kalendárny rok (okrem prípadov po porušení ochrany údajov, ktoré sa týka Vašich údajov, alebo ak to vyžaduje dozorný orgán), počas našich bežných pracovných hodín a bez neprimeraného narušenia Služby pre ostatné stajne. Primerané náklady na takýto ďalší audit znášate Vy, pokiaľ sa ním neodhalí podstatné porušenie tejto DPA z našej strany; v takom prípade znášame vlastné náklady na spoluprácu.
6. Práva Vašich členov a porušenia ochrany osobných údajov
Ak niektorý z Vašich členov uplatní právo podľa GDPR (prístup, oprava, vymazanie a podobne), o odpovedi rozhodujete Vy — ste ich prevádzkovateľom. Poskytujeme Vám súčinnosť a každú žiadosť, ktorá sa dostane k nám, Vám postúpime; sami o nej nerozhodujeme (článok 28 ods. 3 písm. e) GDPR).
Ak sa dozvieme o porušení ochrany osobných údajov, ktoré sa týka Vašich údajov, oznámime Vám to bez zbytočného odkladu, aby ste si mohli splniť vlastné povinnosti podľa článkov 33–34 GDPR.
Ak by pokyn, ktorý nám dáte, podľa nášho názoru porušoval GDPR alebo iné právne predpisy o ochrane údajov, oznámime Vám to skôr, než ho vykonáme. So zreteľom na povahu spracúvania a na informácie, ktoré máme k dispozícii, Vám tiež poskytneme primeranú súčinnosť pri posúdení vplyvu na ochranu údajov a pri predchádzajúcich konzultáciách s dozorným orgánom (články 35–36 GDPR), pokiaľ sa týkajú spracúvania v Nose.
7. Uchovávanie, vrátenie a vymazanie Vašich údajov
Vaše údaje uchovávame počas celej existencie Vášho aktívneho účtu, pretože stajňa potrebuje na svoju prevádzku vlastnú históriu. Keď sa vymaže jednotlivý člen, po 30-dňovej zvratnej ochrannej lehote odstránime jeho priame identifikátory (pseudonymizácia podľa čl. 4 bod 5 GDPR) a vo Vašich záznamoch zostanú deidentifikované finančné položky a položky lekcií, aby sa dali odsúhlasiť.
Archivácia alebo zatvorenie stajne automaticky spustí 90-dňové zvratné obdobie ukončenia služby. Počas neho možno stajňu obnoviť a na požiadanie je k dispozícii úplný export; Vaše údaje sa uchovávajú celkovo najviac 90 dní a po uplynutí tejto lehoty sa automaticky vymažú. Vlastné záznamy vyžadované zákonom (napríklad päťročné poľské účtovné záznamy a záznamy pre DPH) si uchovávate Vy — Nose nemá samostatnú povinnosť uchovávať osobné údaje jazdcov päť rokov, preto si pred uplynutím tohto obdobia vyexportujte všetko, čo potrebujete.
8. Zodpovednosť, poradie prednosti a pretrvanie záväzkov
Naša zodpovednosť podľa tejto DPA sa riadi obmedzeniami a výnimkami uvedenými vo Vašich Podmienkach služby, okrem rozsahu, v akom právne predpisy ich obmedzenie nepripúšťajú — vrátane článkov 82–83 GDPR. Ak sú táto DPA a Vaše Podmienky služby v rozpore v tom, ako sa spracúvajú osobné údaje, prednosť má táto DPA; ak je táto DPA v rozpore so štandardnými zmluvnými doložkami (SCC), o ktoré sa pri prenose opierame, prednosť majú SCC. Táto DPA trvá tak dlho, kým vo Vašom mene spracúvame Vaše údaje; časti, ktoré sa musia uplatňovať aj potom — mlčanlivosť, oznamovanie porušení ochrany údajov zistených neskôr, uchovávanie, vrátenie a vymazanie Vašich údajov, audity za obdobie pred Vaším odchodom a tento oddiel — jej skončenie prežívajú.
9. Čo tvorí túto DPA
Táto stránka obsahuje samotné zmluvné ustanovenia DPA. Spolu so stránkou Bezpečnosť a dôvera (naše technické a organizačné opatrenia), stránkou Ďalší sprostredkovatelia (zoznam schválených ďalších sprostredkovateľov) a podrobnosťami o spracúvaní opísanými vyššie tvorí úplnú zmluvu o spracúvaní údajov medzi Vašou stajňou a Nose — nie je potrebné podpisovať nič samostatne. Tam, kde si to cezhraničný prenos vyžaduje, sa uplatnia štandardné zmluvné doložky EÚ zapracované do zmlúv s našimi ďalšími sprostredkovateľmi (spolu s dodatkom Spojeného kráľovstva alebo rovnocenným mechanizmom, ak to vyžaduje iná jurisdikcia). Ak potrebujete vyhotovenie podpísané oboma stranami alebo podrobný záznam o spracúvaní pre vlastnú dokumentáciu zodpovednosti, napíšte nám na support@nose.horse a poskytneme Vám ho.