Zmluva o spracúvaní osobných údajov
Posledná aktualizácia: 19. októbra 2026
1. Zmluvné strany
Táto zmluva o spracúvaní osobných údajov (ďalej len „Zmluva o spracúvaní“) sa uzatvára podľa čl. 28 ods. 3 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR) medzi Používateľom služby Termio, ktorý ako vlastník Firmy vystupuje ako prevádzkovateľ (ďalej len „Prevádzkovateľ“), a spoločnosťou codevo s. r. o., IČO: 57437807, DIČ: 2122728047, so sídlom Mlynský Sek 16, 941 02 Lipová, zapísanou v Obchodnom registri Okresného súdu Nitra, oddiel: Sro, vložka č. 68539/N, ktorá vystupuje ako sprostredkovateľ (ďalej len „Sprostredkovateľ“).
2. Uzavretie a vzťah k Obchodným podmienkam
Zmluva o spracúvaní sa uzatvára akceptovaním Obchodných podmienok pri registrácii a tvorí ich neoddeliteľnú súčasť. Pojmy, ktoré nie sú definované v tejto Zmluve o spracúvaní, majú význam podľa Obchodných podmienok a GDPR. Vo veciach ochrany osobných údajov má pri rozpore prednosť táto Zmluva o spracúvaní.
3. Predmet a doba trvania
Predmetom Zmluvy o spracúvaní je spracúvanie osobných údajov v mene Prevádzkovateľa, ktoré Prevádzkovateľ, Členovia tímu alebo jeho klienti pri online rezervácii vkladajú do Služby. Zmluva o spracúvaní sa uzatvára na dobu trvania zmluvného vzťahu podľa Obchodných podmienok a zaniká jeho skončením. Povinnosti týkajúce sa vymazania údajov a dôvernosti trvajú aj po jej zániku.
4. Povaha a účel spracúvania
Sprostredkovateľ spracúva osobné údaje výlučne na účel poskytovania Služby, teda online rezervácie termínov a správy klientov: vedenie kalendára a rezervácií, evidencia klientov a histórie ich návštev, zasielanie potvrdení, pripomienok a žiadostí o hodnotenie, vedenie čakacej listiny a darčekových poukazov, zápis rezervácií do Google Kalendára, ak ho Prevádzkovateľ prepojí, a ďalšie funkcie, ktoré Prevádzkovateľ v Službe zapne. Spracovateľské operácie zahŕňajú najmä získavanie, zaznamenávanie, uchovávanie, usporiadanie, vyhľadávanie, zasielanie notifikácií, export, anonymizáciu a vymazanie údajov.
5. Kategórie osobných údajov a dotknutých osôb
Dotknuté osoby: klienti Prevádzkovateľa (koncoví zákazníci, ktorí si rezervujú alebo majú rezervované termíny, sú na čakacej listine alebo sú držiteľmi darčekového poukazu) a zamestnanci či spolupracovníci Prevádzkovateľa, ktorým Prevádzkovateľ vytvorí v Službe prístup alebo profil. Kategórie osobných údajov: identifikačné a kontaktné údaje (meno, priezvisko, email, telefónne číslo), história rezervácií a návštev (termíny, služby, ceny, stav rezervácie, zrušenia a neúčasti), údaje na riadenie rezervácií, ktoré nastaví Prevádzkovateľ (napríklad zablokovanie klienta a poznámka k nemu), poznámky, ktoré ku klientovi zapíše Prevádzkovateľ, údaje z vlastných polí rezervačného formulára, hodnotenia a komentáre klientov, údaje o darčekových poukazoch a pri zamestnancoch aj pracovné údaje (pozícia, pracovný čas, neprítomnosť a fotografia, ak ju Prevádzkovateľ nahrá). Služba nie je určená na spracúvanie osobitných kategórií osobných údajov podľa čl. 9 GDPR (napríklad údajov o zdraví). Ak ich Prevádzkovateľ do Služby vloží, zodpovedá za existenciu právneho základu na ich spracúvanie.
6. Pokyny Prevádzkovateľa
Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, a to aj pokiaľ ide o prenos osobných údajov do tretej krajiny. Takýmito pokynmi sú Obchodné podmienky, táto Zmluva o spracúvaní a nastavenia a úkony, ktoré Prevádzkovateľ vykoná v Službe. Ak Sprostredkovateľovi ukladá spracúvanie právo Únie alebo členského štátu, informuje o tom Prevádzkovateľa pred spracúvaním, pokiaľ mu to toto právo nezakazuje. Ak je podľa Sprostredkovateľa pokyn v rozpore s GDPR alebo inými predpismi o ochrane údajov, bezodkladne na to Prevádzkovateľa upozorní.
7. Dôvernosť
Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali zachovávať dôvernosť alebo aby podliehali zákonnej povinnosti mlčanlivosti. Prístup k osobným údajom majú len osoby, ktoré ho potrebujú na prevádzku, podporu a údržbu Služby.
8. Bezpečnosť spracúvania
Sprostredkovateľ prijíma primerané technické a organizačné opatrenia podľa čl. 32 GDPR, najmä šifrovanie prenosu údajov (TLS), bezpečné ukladanie hesiel pomocou hashovania, logické oddelenie údajov jednotlivých Prevádzkovateľov v rámci Služby, riadenie prístupu podľa rolí, uloženie údajov v dátovom centre v EÚ, priebežné bezpečnostné aktualizácie a monitoring chýb a incidentov. Sprostredkovateľ opatrenia pravidelne preveruje a prispôsobuje stavu techniky a rizikám spracúvania.
9. Ďalší sprostredkovatelia
Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov. Sprostredkovateľ v súčasnosti využíva: – DigitalOcean, LLC (USA) – hosting serverov a databáz v dátovom centre vo Frankfurte nad Mohanom (Nemecko, EÚ); – Stripe (Írsko a USA) – platby; – Resend (USA) – odosielanie emailov; – Cloudflare (USA) – sieť na doručovanie obsahu (CDN), ochrana webu a vlastné domény; – Google (USA) – prihlásenie cez Google a synchronizácia Google Kalendára, len ak ju Prevádzkovateľ zapne; – Sentry (USA) – monitoring chýb. O zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa Sprostredkovateľ informuje Prevádzkovateľa emailom najmenej 30 dní vopred, aby mal Prevádzkovateľ možnosť voči zmene namietať. Ak Prevádzkovateľ so zmenou nesúhlasí a námietke nemožno vyhovieť, môže zmluvný vzťah pred účinnosťou zmeny bez sankcie ukončiť zmazaním Firmy; Sprostredkovateľ mu v takom prípade vráti pomernú časť zaplatenej ceny za nevyčerpané obdobie. Sprostredkovateľ ukladá ďalším sprostredkovateľom rovnaké povinnosti ochrany údajov, aké vyplývajú z tejto Zmluvy o spracúvaní, a voči Prevádzkovateľovi zodpovedá za ich plnenie.
10. Miesto spracúvania a prenos údajov mimo EÚ
Údaje Služby sú uložené na serveroch v EÚ (DigitalOcean, Frankfurt nad Mohanom, Nemecko). Niektorí ďalší sprostredkovatelia – DigitalOcean, Stripe, Resend, Cloudflare, Google a Sentry – sú však usadení v USA alebo môžu údaje spracúvať v USA. Prenos sa uskutočňuje na základe rozhodnutia Európskej komisie o primeranosti pre rámec ochrany údajov EÚ – USA (EU-US Data Privacy Framework), ak je príjemca v tomto rámci certifikovaný, inak na základe štandardných zmluvných doložiek schválených Európskou komisiou podľa čl. 46 ods. 2 písm. c) GDPR.
11. Súčinnosť pri právach dotknutých osôb
Sprostredkovateľ s prihliadnutím na povahu spracúvania pomáha Prevádzkovateľovi vhodnými technickými a organizačnými opatreniami plniť povinnosť reagovať na žiadosti dotknutých osôb o výkon ich práv, najmä práva na prístup, opravu, vymazanie a prenosnosť. Na tento účel Služba umožňuje údaje klienta upraviť, exportovať do súboru JSON a vymazať, pričom vymazaním sa osobné údaje klienta vrátane poznámok, komentárov v hodnoteniach a záznamov na čakacej listine nezvratne anonymizujú. Ak dotknutá osoba podá žiadosť priamo Sprostredkovateľovi, Sprostredkovateľ ju bez zbytočného odkladu postúpi Prevádzkovateľovi. Sprostredkovateľ tiež poskytne Prevádzkovateľovi primeranú súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR.
12. Porušenie ochrany osobných údajov
Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvie, a to na email vlastníka Firmy uvedený v Službe. Oznámenie obsahuje informácie, ktoré má Sprostredkovateľ k dispozícii a ktoré Prevádzkovateľ potrebuje na splnenie povinností podľa čl. 33 a 34 GDPR, najmä opis porušenia, dotknuté kategórie a približný počet údajov a osôb, pravdepodobné následky a prijaté alebo navrhované opatrenia. Informácie, ktoré nie je možné poskytnúť naraz, Sprostredkovateľ poskytuje postupne.
13. Vymazanie a vrátenie údajov
Prevádzkovateľ môže údaje svojej Firmy kedykoľvek exportovať v Nastaveniach Služby (Export údajov), čím mu Sprostredkovateľ údaje vracia. Zmluvný vzťah Prevádzkovateľ ukončí zmazaním Firmy v Nastaveniach. Sprostredkovateľ potom všetky osobné údaje spracúvané v mene Prevádzkovateľa natrvalo vymaže po uplynutí 30 dní od zmazania Firmy, ak právo Únie alebo členského štátu nevyžaduje ich ďalšie uchovávanie. Ak zmluvný vzťah ukončí Sprostredkovateľ, umožní Prevádzkovateľovi údaje pred vymazaním exportovať a vymaže ich po uplynutí 30 dní od skončenia zmluvného vzťahu. Faktúry a údaje o Predplatnom nie sú údajmi spracúvanými v mene Prevádzkovateľa; Sprostredkovateľ ich ako prevádzkovateľ uchováva po dobu vyžadovanú účtovnými a daňovými predpismi podľa Zásad ochrany osobných údajov. Zmazané údaje nie je možné obnoviť, preto odporúčame pred zmazaním Firmy údaje exportovať.
14. Preukazovanie súladu a audity
Sprostredkovateľ poskytne Prevádzkovateľovi na požiadanie informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audity vrátane kontrol, ktoré vykoná Prevádzkovateľ alebo ním poverený audítor viazaný mlčanlivosťou. Audit je potrebné oznámiť v primeranom predstihu a vykonať tak, aby nenarušil prevádzku Služby ani dôvernosť údajov iných Používateľov. Žiadosti posielajte na [email protected].
15. Povinnosti Prevádzkovateľa
Prevádzkovateľ zodpovedá za zákonnosť spracúvania osobných údajov, ktoré do Služby vkladá alebo ktoré v nej zbiera prostredníctvom rezervačnej stránky, najmä za existenciu právneho základu, za splnenie informačnej povinnosti voči svojim klientom a zamestnancom podľa čl. 13 a 14 GDPR, za obsah poznámok a vlastných polí formulára a za oprávnenia, ktoré udelí Členom tímu.
16. Kontakt
Otázky k tejto Zmluve o spracúvaní posielajte na [email protected] alebo na adresu codevo s. r. o., Mlynský Sek 16, 941 02 Lipová.