Zmluva o spracúvaní osobných údajov (DPA) — štandardné zmluvné doložky

Verzia: 2026-08-01
Účinnosť od: 1. augusta 2026

Zverejnené

Verzia: 1.0, účinná od 1. augusta 2026 (rozhodnutie objednávateľa 2026-08-05; finálny identifikátor verzie sa mintuje cez legal-versions.json).

Táto zmluva o spracúvaní osobných údajov (ďalej „DPA“) sa uzatvára podľa čl. 28 ods. 3 a 4 nariadenia (EÚ) 2016/679 (ďalej „GDPR“) a preberá štandardné zmluvné doložky prijaté vykonávacím rozhodnutím Komisie (EÚ) 2021/915 zo 4. júna 2021 (ďalej „doložky“), doplnené v rozsahu, ktorý doložky výslovne pripúšťajú (doložka 2 písm. b)).

Sprostredkovateľ: WebHeroes s.r.o., Jaseňová 3249/38, 949 01 Nitra, IČO 53 202 309, OR OS Nitra, oddiel Sro, vložka č. 52605/N (v Službe aj „Poskytovateľ“).

Prevádzkovateľ: organizácia (klub) identifikovaná pri akceptácii tejto DPA v Službe (v Službe aj „Klub“) — pozri prílohu I.

DPA sa akceptuje elektronicky (klikom) pri vytvorení Organizácie v Službe; bez akceptácie sa Organizácia nevytvorí. Akceptáciu vykonáva administrátor Organizácie; Služba zaznamenáva akceptovanú verziu DPA, čas akceptácie a účet akceptujúcej osoby. DPA je neoddeliteľnou súčasťou zmluvy o používaní Služby podľa VOP a trvá počas jej trvania.

ODDIEL I

Doložka 1 — Účel a rozsah pôsobnosti

a) Účelom týchto doložiek je zabezpečiť súlad s článkom 28 ods. 3 a 4 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov).

b) Prevádzkovateľ a sprostredkovateľ uvedení v prílohe I súhlasili s týmito doložkami s cieľom zabezpečiť súlad s článkom 28 ods. 3 a 4 nariadenia (EÚ) 2016/679.

c) Tieto doložky sa vzťahujú na spracúvanie osobných údajov, ako sa uvádza v prílohe II.

d) Prílohy I až IV sú neoddeliteľnou súčasťou doložiek.

e) Týmito doložkami nie sú dotknuté povinnosti, ktoré sa vzťahujú na prevádzkovateľa podľa nariadenia (EÚ) 2016/679.

f) Tieto doložky samy osebe nezabezpečujú dodržiavanie povinností týkajúcich sa medzinárodných prenosov v súlade s kapitolou V nariadenia (EÚ) 2016/679.

Doložka 2 — Nemennosť doložiek

a) Zmluvné strany sa zaväzujú, že neupravia doložky s výnimkou doplnenia alebo aktualizácie informácií v prílohách.

b) To zmluvným stranám nebráni v tom, aby zahrnuli tieto štandardné zmluvné doložky do širšej zmluvy alebo aby doplnili iné doložky alebo dodatočné záruky za predpokladu, že nie sú priamo ani nepriamo v rozpore s doložkami ani neobmedzujú základné práva alebo slobody dotknutých osôb.

Doložka 3 — Výklad

a) Ak sa v týchto doložkách používajú pojmy vymedzené v nariadení (EÚ) 2016/679, tieto pojmy majú rovnaký význam ako v uvedenom nariadení.

b) Tieto doložky sa chápu a vykladajú so zreteľom na ustanovenia nariadenia (EÚ) 2016/679.

c) Tieto doložky sa nesmú vykladať spôsobom, ktorý je v rozpore s právami a povinnosťami stanovenými v nariadení (EÚ) 2016/679, ani tak, aby boli dotknuté základné práva alebo slobody dotknutých osôb.

Doložka 4 — Hierarchia

V prípade rozporu medzi týmito doložkami a ustanoveniami súvisiacich dohôd medzi zmluvnými stranami, ktoré existovali v čase, keď sa dohodli tieto doložky, alebo ktoré sa uzavreli neskôr, majú prednosť tieto doložky.

(Nepovinná doložka 5 — doložka o pristúpení — sa nepoužíva.)

ODDIEL II — POVINNOSTI ZMLUVNÝCH STRÁN

Doložka 6 — Opis spracúvania

Podrobnosti o operáciách spracovania, a najmä kategórie osobných údajov a účely, na ktoré sa osobné údaje spracúvajú v mene prevádzkovateľa, sú uvedené v prílohe II.

Doložka 7 — Povinnosti zmluvných strán

7.1 Pokyny

a) Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa s výnimkou prípadov, keď si to vyžaduje právo Únie alebo právo členského štátu, ktorému sprostredkovateľ podlieha. V tom prípade sprostredkovateľ oznámi prevádzkovateľovi túto právnu požiadavku pred spracúvaním, pokiaľ to dané právo nezakazuje zo závažných dôvodov verejného záujmu. Prevádzkovateľ môže počas celého trvania spracúvania osobných údajov vydávať aj následné pokyny. Tieto pokyny sa vždy zdokumentujú. Zdokumentovanými pokynmi sú najmä konfigurácia a používanie funkcií Služby oprávnenými Používateľmi prevádzkovateľa a písomné požiadavky prevádzkovateľa adresované sprostredkovateľovi.

b) Sprostredkovateľ bezodkladne informuje prevádzkovateľa, ak sa podľa jeho názoru pokynmi vydanými prevádzkovateľom porušuje nariadenie (EÚ) 2016/679 alebo uplatniteľné ustanovenia Únie alebo členského štátu o ochrane údajov.

7.2 Obmedzenie účelu

Sprostredkovateľ spracúva osobné údaje len na konkrétny účel, resp. účely spracúvania, ako sa stanovuje v prílohe II, pokiaľ nedostane od prevádzkovateľa ďalšie pokyny.

7.3 Trvanie spracúvania osobných údajov

Spracúvanie sprostredkovateľom sa uskutoční len počas obdobia uvedeného v prílohe II.

7.4 Bezpečnosť spracúvania

a) Sprostredkovateľ prijme aspoň technické a organizačné opatrenia uvedené v prílohe III s cieľom zaistiť bezpečnosť osobných údajov. To zahŕňa ochranu údajov pred narušením bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene či neoprávnenému zverejneniu údajov alebo prístupu k údajom (porušenie ochrany osobných údajov). Pri posudzovaní primeranej úrovne bezpečnosti zmluvné strany náležite zohľadnia najnovšie poznatky, náklady na vykonanie opatrení, ako aj povahu, rozsah, kontext a účely spracúvania a súvisiace riziká pre dotknuté osoby.

b) Sprostredkovateľ poskytne svojim zamestnancom prístup k osobným údajom, ktoré sa spracúvajú, len v rozsahu, ktorý je nevyhnutne potrebný na plnenie, riadenie a monitorovanie zmluvy. Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať poskytnuté osobné údaje zaviazali, že zachovajú dôvernosť informácií, alebo aby boli viazané vhodnou povinnosťou zachovávať dôvernosť informácií vyplývajúcou zo štatútu.

7.5 Citlivé údaje

Ak spracúvanie zahŕňa osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, genetické údaje alebo biometrické údaje na individuálnu identifikáciu fyzickej osoby, údaje týkajúce sa zdravia alebo sexuálneho života či sexuálnej orientácie osoby alebo údaje týkajúce sa odsúdení za trestné činy a trestných činov (ďalej len „citlivé údaje“), sprostredkovateľ uplatní osobitné obmedzenia a/alebo dodatočné záruky. Služba nie je určená na spracúvanie citlivých údajov ani rodných čísel; prevádzkovateľ ich do Služby nevkladá (pozri prílohu II).

7.6 Dokumentácia a súlad

a) Zmluvné strany musia byť schopné preukázať súlad s týmito doložkami.

b) Sprostredkovateľ bezodkladne a primerane rieši otázky prevádzkovateľa týkajúce sa spracúvania údajov v súlade s týmito doložkami.

c) Sprostredkovateľ sprístupní prevádzkovateľovi všetky informácie potrebné na preukázanie súladu s povinnosťami, ktoré sú stanovené v týchto doložkách a vyplývajú priamo z nariadenia (EÚ) 2016/679. Na žiadosť prevádzkovateľa sprostredkovateľ takisto povolí audity spracovateľských činností, na ktoré sa vzťahujú tieto doložky, a prispeje k nim v primeraných intervaloch alebo ak existujú náznaky nesúladu. Pri rozhodovaní o preskúmaní alebo audite môže prevádzkovateľ zohľadniť príslušné osvedčenia, ktorými disponuje sprostredkovateľ.

d) Prevádzkovateľ sa môže rozhodnúť vykonať audit sám alebo jeho vykonaním poveriť nezávislého audítora. Audity môžu zahŕňať aj inšpekcie v priestoroch alebo fyzických zariadeniach sprostredkovateľa a v prípade potreby sa primeraným spôsobom oznámi ich vykonanie.

e) Zmluvné strany na požiadanie sprístupnia príslušnému dozornému orgánu informácie uvedené v tejto doložke vrátane výsledkov všetkých auditov.

Písmená f) až j) sú doplnkové dojednania podľa doložky 2 písm. b); upravujú postup, nie rozsah práv prevádzkovateľa podľa písmen a) až e):

f) Odstupňovaný postup preukazovania. Strany postupujú pri preukazovaní súladu spravidla v tomto poradí:

1. stupeň 1 — informácie a existujúce správy tretích strán: sprostredkovateľ poskytne dostupné podklady, najmä výročnú audítorskú správu TÜV k spracovateľským činnostiam infraštruktúrneho sub-sprostredkovateľa Hetzner Online GmbH, prehľady výsledkov bezpečnostných kontrol vlastného vývojového a nasadzovacieho procesu (CI bezpečnostné brány), výsledky predchádzajúcich auditov a prípadné budúce certifikácie alebo osvedčenia (čl. 42 GDPR); 2. stupeň 2 — písomný dotazník: sprostredkovateľ odpovie na primeraný písomný dotazník prevádzkovateľa o plnení povinností podľa týchto doložiek; 3. stupeň 3 — kontrola na mieste: vykoná sa len vtedy, ak stupne 1 a 2 preukázateľne nepostačujú na preukázanie súladu.

g) Poradie je východiskom postupu, nie stropom práv. Odstupňovaním podľa písmena f) nie je dotknuté právo prevádzkovateľa rozhodnúť o vykonaní auditu vrátane inšpekcie podľa písmen c) a d); konečná voľba formy auditu ostáva prevádzkovateľovi (v súlade s usmerneniami EDPB 07/2020, bod 144) a prevádzkovateľ je oprávnený rozporovať rozsah, metodológiu aj výsledky preskúmania.

h) Podmienky kontroly na mieste. Kontrola na mieste sa oznamuje aspoň 30 dní vopred; rutinné kontroly sa vykonávajú najviac raz za 12 mesiacov — toto obmedzenie sa nevzťahuje na kontrolu pri náznakoch nesúladu alebo indíciách porušenia ochrany osobných údajov. Kontrola prebieha počas bežných prevádzkových hodín, spôsobom, ktorý neprimerane nenarúša prevádzku Služby, pod záväzkom dôvernosti (NDA) a bez prístupu k osobným údajom iných klubov ani k dôverným informáciám tretích strán.

i) Náklady. Náklady auditu znáša prevádzkovateľ; ak sa auditom preukáže podstatné porušenie týchto doložiek sprostredkovateľom, znáša náklady auditu sprostredkovateľ. Za súčinnosť sprostredkovateľa nad rámec stupňa 1 podľa písmena f) patrí sprostredkovateľovi úhrada účelne vynaložených nákladov v preukázanej výške.

j) Vzťah k dozornému orgánu. Žiadny záväzok dôvernosti podľa tejto doložky nebráni plneniu povinnosti podľa písmena e) sprístupniť informácie a výsledky auditov príslušnému dozornému orgánu.

7.7 Využívanie služieb ďalších sprostredkovateľov

a) VŠEOBECNÉ PÍSOMNÉ POVOLENIE: Sprostredkovateľ má všeobecné povolenie prevádzkovateľa na zapojenie ďalších sprostredkovateľov z dohodnutého zoznamu (príloha IV; aktuálny zoznam je trvalo zverejnený v Službe na adrese /legal/subprocessors). Sprostredkovateľ osobitne a písomne informuje prevádzkovateľa o všetkých zamýšľaných zmenách uvedeného zoznamu prostredníctvom doplnenia alebo nahradenia ďalších sprostredkovateľov aspoň 30 dní vopred, čím poskytne prevádzkovateľovi dostatočný čas na to, aby mohol proti takýmto zmenám vzniesť námietky pred zapojením príslušného ďalšieho sprostredkovateľa, resp. príslušných ďalších sprostredkovateľov. Sprostredkovateľ poskytne prevádzkovateľovi informácie potrebné na to, aby mohol uplatniť svoje právo namietať. Oznámenie sa doručuje administrátorom Organizácie elektronicky. Ak prevádzkovateľ vznesie námietku a riešenie sa v dobrej viere nenájde, môže zmluvu o používaní Služby vypovedať ku dňu účinnosti zmeny.

b) Ak sprostredkovateľ zapojí do vykonávania osobitných spracovateľských činností (v mene prevádzkovateľa) ďalšieho sprostredkovateľa, uloží tomuto ďalšiemu sprostredkovateľovi prostredníctvom zmluvy v podstate rovnaké povinnosti v oblasti ochrany údajov, ako sú povinnosti uložené sprostredkovateľovi v súlade s týmito doložkami. Sprostredkovateľ zabezpečí, aby ďalší sprostredkovateľ dodržiaval povinnosti, ktoré sa na sprostredkovateľa vzťahujú podľa týchto doložiek a nariadenia (EÚ) 2016/679.

c) Sprostredkovateľ poskytne prevádzkovateľovi na jeho žiadosť kópiu takejto dohody s ďalším sprostredkovateľom a všetkých následných zmien. Sprostredkovateľ môže pred poskytnutím kópie upraviť znenie dohody v rozsahu potrebnom na ochranu obchodného tajomstva alebo ostatných dôverných informácií vrátane osobných údajov.

d) Sprostredkovateľ zostáva plne zodpovedný voči prevádzkovateľovi za plnenie povinností ďalšieho sprostredkovateľa v súlade so zmluvou, ktorú s ním uzatvoril ďalší sprostredkovateľ. Sprostredkovateľ informuje prevádzkovateľa o akomkoľvek porušení zmluvných povinností ďalším sprostredkovateľom.

e) Sprostredkovateľ sa dohodne s ďalším sprostredkovateľom na doložke o oprávnenosti tretej strany, podľa ktorej — v prípade, že sprostredkovateľ fakticky zmizne, prestal právne existovať alebo sa stal platobne neschopným — má prevádzkovateľ právo vypovedať zmluvu uzavretú s ďalším sprostredkovateľom a nariadiť ďalšiemu sprostredkovateľovi, aby vymazal alebo vrátil osobné údaje.

7.8 Medzinárodné prenosy

a) Každý prenos údajov do tretej krajiny alebo medzinárodnej organizácii sprostredkovateľom sa realizuje len na základe zdokumentovaných pokynov prevádzkovateľa alebo s cieľom splniť konkrétnu požiadavku podľa práva Únie alebo práva členského štátu, ktoré sa vzťahuje na sprostredkovateľa, a uskutočňuje sa v súlade s kapitolou V nariadenia (EÚ) 2016/679. Spracúvanie podľa tejto DPA sa uskutočňuje výlučne v Európskej únii (pozri prílohy II a IV).

b) Prevádzkovateľ súhlasí s tým, že ak sprostredkovateľ zapojí v súlade s doložkou 7.7 do vykonávania osobitných spracovateľských činností (v mene prevádzkovateľa) ďalšieho sprostredkovateľa, pričom tieto spracovateľské činnosti zahŕňajú prenos osobných údajov v zmysle kapitoly V nariadenia (EÚ) 2016/679, sprostredkovateľ a ďalší sprostredkovateľ môžu zabezpečiť súlad s kapitolou V nariadenia (EÚ) 2016/679 použitím štandardných zmluvných doložiek prijatých Komisiou na základe článku 46 ods. 2 nariadenia (EÚ) 2016/679 za predpokladu, že sú splnené podmienky týkajúce sa používania uvedených štandardných zmluvných doložiek.

Doložka 8 — Pomoc prevádzkovateľovi

a) Sprostredkovateľ bezodkladne informuje prevádzkovateľa o každej žiadosti, ktorú dostal od dotknutej osoby. Na žiadosť neodpovie sám, pokiaľ k tomu nedostal oprávnenie od prevádzkovateľa.

b) Sprostredkovateľ pomáha prevádzkovateľovi pri plnení jeho povinnosti reagovať na žiadosti dotknutých osôb o výkon ich práv, pričom zohľadní povahu spracúvania. Sprostredkovateľ pri plnení svojich povinností v súlade s písmenami a) a b) dodržiava pokyny prevádzkovateľa.

c) Okrem povinnosti pomáhať prevádzkovateľovi podľa doložky 8 písm. b) sprostredkovateľ pomáha prevádzkovateľovi zabezpečiť plnenie týchto povinností, pričom zohľadňuje povahu spracúvania údajov a informácie, ktoré má k dispozícii:

1. povinnosť vykonať posúdenie vplyvu plánovaných spracovateľských operácií na ochranu osobných údajov (ďalej len „posúdenie vplyvu na ochranu údajov“), ak typ spracúvania pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb; 2. povinnosť uskutočniť pred spracúvaním konzultácie s príslušným dozorným orgánom, ak z posúdenia vplyvu na ochranu údajov vyplýva, že toto spracúvanie by viedlo k vysokému riziku v prípade, ak by prevádzkovateľ neprijal opatrenia na zmiernenie tohto rizika; 3. povinnosť zabezpečiť presnosť a aktuálnosť osobných údajov bezodkladným informovaním prevádzkovateľa, ak sa sprostredkovateľ dozvie, že osobné údaje, ktoré spracúva, sú nepresné alebo sa stali neaktuálnymi; 4. povinnosti uvedené v článku 32 nariadenia (EÚ) 2016/679.

d) Zmluvné strany stanovia v prílohe III primerané technické a organizačné opatrenia, ktorými sa od sprostredkovateľa vyžaduje, aby pomáhal prevádzkovateľovi pri uplatňovaní tejto doložky, ako aj rozsah požadovanej pomoci.

Doložka 9 — Oznámenie porušenia ochrany osobných údajov

V prípade porušenia ochrany osobných údajov sprostredkovateľ spolupracuje s prevádzkovateľom a pomáha mu pri plnení jeho povinností podľa článkov 33 a 34 nariadenia (EÚ) 2016/679, pričom zohľadňuje povahu spracúvania a informácie, ktoré má k dispozícii.

9.1 Porušenie ochrany údajov spracúvaných prevádzkovateľom

V prípade porušenia ochrany osobných údajov spracúvaných prevádzkovateľom sprostredkovateľ pomáha prevádzkovateľovi:

a) pri oznamovaní porušenia ochrany osobných údajov príslušnému dozornému orgánu, a to bez zbytočného odkladu po tom, ako sa o ňom prevádzkovateľ dozvedel, s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb;

b) pri získavaní informácií, ktoré sa podľa článku 33 ods. 3 nariadenia (EÚ) 2016/679 uvedú v oznámení prevádzkovateľa, pričom sa musia uviesť aspoň tieto informácie:

1. povaha osobných údajov, podľa možnosti vrátane kategórií a približného počtu dotknutých osôb a kategórií a približného počtu dotknutých záznamov o osobných údajoch; 2. pravdepodobné následky porušenia ochrany osobných údajov; 3. opatrenia prijaté alebo navrhované prevádzkovateľom s cieľom napraviť porušenie ochrany osobných údajov, podľa potreby vrátane opatrení na zmiernenie jeho možných nepriaznivých účinkov.

Pokiaľ nie je možné poskytnúť všetky uvedené informácie súčasne, pôvodné oznámenie obsahuje informácie, ktoré sú v tom čase k dispozícii, a ďalšie informácie sa následne poskytnú bez zbytočného odkladu hneď, ako budú k dispozícii;

c) pri dodržiavaní povinnosti stanovenej v článku 34 nariadenia (EÚ) 2016/679, t. j. povinnosti bez zbytočného odkladu oznámiť porušenie ochrany osobných údajov dotknutej osobe, ak je pravdepodobné, že porušenie ochrany osobných údajov povedie k vysokému riziku pre práva a slobody fyzických osôb.

9.2 Porušenie ochrany údajov spracúvaných sprostredkovateľom

V prípade porušenia ochrany osobných údajov spracúvaných sprostredkovateľom sprostredkovateľ informuje prevádzkovateľa bez zbytočného odkladu po tom, ako sa dozvedel o porušení. Takéto oznámenie obsahuje aspoň:

a) opis povahy porušenia (podľa možnosti vrátane kategórií a približného počtu dotknutých osôb a záznamov o osobných údajoch);

b) údaje o kontaktnom mieste, na ktorom možno získať viac informácií o porušení ochrany osobných údajov;

c) pravdepodobné následky porušenia a prijaté alebo navrhované opatrenia na jeho riešenie vrátane opatrení na zmiernenie jeho možných nepriaznivých účinkov.

Zmluvné strany stanovujú v prílohe III všetky ostatné prvky, ktoré má poskytnúť sprostredkovateľ pri poskytovaní pomoci prevádzkovateľovi pri plnení jeho povinností podľa článkov 33 a 34 nariadenia (EÚ) 2016/679.

ODDIEL III — ZÁVEREČNÉ USTANOVENIA

Doložka 10 — Nedodržiavanie doložiek a vypovedanie zmluvy

a) Bez toho, aby boli dotknuté akékoľvek ustanovenia nariadenia (EÚ) 2016/679, môže prevádzkovateľ v prípade, že sprostredkovateľ porušuje svoje povinnosti stanovené v týchto doložkách, nariadiť sprostredkovateľovi, aby pozastavil spracúvanie osobných údajov dovtedy, kým nedodrží tieto doložky alebo kým sa nevypovedá zmluva. Sprostredkovateľ bezodkladne informuje prevádzkovateľa v prípade, že z akéhokoľvek dôvodu nie je schopný dodržiavať tieto doložky.

b) Prevádzkovateľ je oprávnený vypovedať zmluvu, pokiaľ ide o spracúvanie osobných údajov v súlade s týmito doložkami, ak:

1. prevádzkovateľ pozastavil v súlade s písmenom a) spracúvanie osobných údajov sprostredkovateľom a dodržiavanie týchto doložiek sa neobnoví v primeranej lehote a v každom prípade do jedného mesiaca od pozastavenia; 2. sprostredkovateľ závažným alebo trvalým spôsobom porušuje tieto doložky alebo svoje povinnosti stanovené v nariadení (EÚ) 2016/679; 3. sprostredkovateľ nedodrží záväzné rozhodnutie príslušného súdu alebo príslušného dozorného orgánu, pokiaľ ide o jeho povinnosti stanovené v týchto doložkách alebo v nariadení (EÚ) 2016/679.

c) Sprostredkovateľ je oprávnený vypovedať zmluvu, pokiaľ ide o spracúvanie osobných údajov podľa týchto doložiek, ak prevádzkovateľ po tom, ako ho informoval, že jeho pokyny sú v rozpore s platnými právnymi požiadavkami podľa doložky 7.1 písm. b), trvá na dodržiavaní pokynov.

d) Po vypovedaní zmluvy sprostredkovateľ podľa rozhodnutia prevádzkovateľa vymaže všetky osobné údaje spracované v mene prevádzkovateľa a prevádzkovateľovi potvrdí, že tak urobil, alebo vráti všetky osobné údaje prevádzkovateľovi a vymaže existujúce kópie, pokiaľ sa v práve Únie alebo členského štátu nevyžaduje uchovávanie osobných údajov. Sprostredkovateľ zabezpečuje dodržiavanie týchto doložiek dovtedy, kým nedôjde k vymazaniu alebo vráteniu údajov. Vrátenie údajov sa vykonáva organizačným exportom v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (pozri VOP čl. 11).

Doplňujúce ustanovenia širšej zmluvy (doložka 2 písm. b))

Právo a jazyk. Táto DPA sa spravuje právom Slovenskej republiky; záväzné je slovenské znenie.
Verzovanie a zmeny. DPA je verzovaná; akceptovaná verzia a čas akceptácie sa zaznamenávajú v Službe. Zmeny doložiek sa vykonávajú novou verziou DPA a oznamujú sa rovnako ako zmeny VOP; doplnenie alebo aktualizácia informácií v prílohách (vrátane prílohy III a prílohy IV postupom podľa doložky 7.7 písm. a)) nie je zmenou doložiek.
Povinnosti prevádzkovateľa. Prevádzkovateľ zodpovedá za zákonnosť spracúvania, ktoré do Služby zadáva — najmä zaručuje, že na osobné údaje vkladané do Služby má právny základ a že voči dotknutým osobám splnil informačnú povinnosť (čl. 13/14 GDPR). Prevádzkovateľ zadáva do Služby len údaje potrebné na jej používanie; citlivé údaje (doložka 7.5) a rodné čísla sa do Služby nevkladajú.
Evidencia. Sprostredkovateľ vedie záznamy o spracovateľských činnostiach podľa čl. 30 ods. 2 GDPR.

PRÍLOHA I — Zoznam zmluvných strán

Prevádzkovateľ:

Meno/názov a adresa: organizácia (klub) identifikovaná pri akceptácii tejto DPA v Službe — obchodné meno/názov, právna forma, sídlo a identifikačné číslo, ako ich uviedla pri vytvorení Organizácie alebo v nastaveniach Organizácie.
Kontaktná osoba: administrátor Organizácie, ktorý DPA akceptoval (meno a e-mail zaznamenané v Službe).
Podpis a dátum: elektronická akceptácia v Službe — Služba zaznamenáva akceptovanú verziu DPA, dátum a čas akceptácie a účet akceptujúcej osoby; tento záznam nahrádza podpis.

Sprostredkovateľ:

Meno/názov: WebHeroes s.r.o.
Adresa: Jaseňová 3249/38, 949 01 Nitra, Slovenská republika; IČO 53 202 309, OR OS Nitra, oddiel Sro, vložka č. 52605/N.
Kontaktná osoba: Adrián Farmadin, konateľ, info@klubos.sk.
Podpis a dátum: sprostredkovateľ je viazaný zverejnenou verziou DPA odo dňa jej účinnosti.

Príslušný dozorný orgán: Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27.

PRÍLOHA II — Opis spracúvania

Kategórie dotknutých osôb, ktorých osobné údaje sa spracúvajú:

členovia Klubu (vrátane maloletých osôb, ktoré Klub eviduje vo svojej členskej základni),
zákonní zástupcovia maloletých členov,
funkcionári, tréneri a ďalší činovníci Klubu,
pozvané osoby a záujemcovia o členstvo,
kontaktné osoby súperov a prevádzkovateľov miest,
platitelia členských príspevkov.

Používateľské účty v Službe sú určené osobám starším ako 18 rokov; maloletých členov eviduje a zastupuje Klub, resp. ich zákonní zástupcovia.

Kategórie spracúvaných osobných údajov:

identifikačné a kontaktné údaje (meno, priezvisko, e-mail, telefón),
údaje o členstve, rolách a oprávneniach,
účasť na aktivitách a dochádzka,
predpisy a úhrady členských príspevkov vrátane údajov o bankových transakciách pri párovaní platieb (meno platiteľa, suma, správa pre prijímateľa),
obsah oznamov a dokumentov vložených Klubom,
auditné metadáta (kto, kedy, aká akcia).

Spracúvané citlivé údaje (v relevantných prípadoch) a uplatňované obmedzenia alebo záruky:

Žiadne. Služba nie je určená na spracúvanie citlivých údajov (doložka 7.5) ani rodných čísel a prevádzkovateľ sa zaväzuje ich do Služby nevkladať. Úplný zákaz sa vzťahuje aj na údaje o zdraví (potvrdené objednávateľom 2026-08-05: Služba nespracúva žiadne zdravotné údaje).

Povaha spracúvania:

uchovávanie, štruktúrovanie, zobrazovanie, zálohovanie, sprístupňovanie oprávneným Používateľom prevádzkovateľa a odosielanie notifikácií v rozsahu funkcií Služby.

Účel(-y), na ktorý(-é) sa osobné údaje spracúvajú v mene prevádzkovateľa:

poskytovanie SaaS platformy Klubos prevádzkovateľovi — vedenie členskej evidencie, organizácia aktivít a dochádzky, komunikácia s členmi, správa členských príspevkov a podpora klubového hospodárenia.

Trvanie spracúvania:

počas trvania zmluvy o používaní Služby, predĺžené o obdobie na získanie údajov (export) a výmaz po jej skončení podľa VOP čl. 11.

Spracúvanie ďalšími sprostredkovateľmi (predmet, povaha a trvanie):

Hetzner Online GmbH — predmet: prevádzka serverovej infraštruktúry (výpočtové zdroje, úložisko, sieť) pre aplikáciu, živé dáta (Falkenstein, DE) a zálohy (Norimberg, DE); povaha: uchovávanie a hosting; trvanie: počas trvania spracúvania podľa tejto DPA.
Scaleway S.A.S. — predmet: odosielanie transakčných e-mailov Služby (Transactional Email); povaha: prechodné spracúvanie e-mailových adries a obsahu správ pri odoslaní; trvanie: počas trvania spracúvania podľa tejto DPA.

PRÍLOHA III — Technické a organizačné opatrenia

Technické a organizačné opatrenia sprostredkovateľa vrátane opatrení na zaistenie bezpečnosti údajov (čl. 32 GDPR) a opatrení, ktorými sprostredkovateľ pomáha prevádzkovateľovi podľa doložky 8 písm. d) a doložky 9, sú konkrétne opísané v samostatnom, samostatne verzovanom dokumente „Technické a organizačné opatrenia“ (TOM), ktorý je súčasťou tejto prílohy.

Aktuálna verzia dokumentu TOM je trvalo zverejnená v Službe na adrese /legal/tom; každá verzia je označená číslom verzie a dátumom účinnosti.
Dokument TOM podlieha technickému pokroku a ďalšiemu vývoju; sprostredkovateľ smie zaviesť alternatívne primerané opatrenia, úroveň zabezpečenia stanovená dokumentom TOM sa však nesmie znížiť (záväzok neznižovania).
Podstatné zmeny dokumentu TOM sprostredkovateľ zdokumentuje; každá predchádzajúca verzia zostáva archivovaná s dátumom platnosti a na požiadanie prístupná prevádzkovateľovi.
Aktualizácia dokumentu TOM je aktualizáciou informácií v prílohe podľa doložky 2 písm. a); na svoju účinnosť nevyžaduje novú akceptáciu DPA.

PRÍLOHA IV — Zoznam ďalších sprostredkovateľov

Zoznam ďalších sprostredkovateľov, na ktorých sa vzťahuje všeobecné písomné povolenie podľa doložky 7.7 písm. a); zmeny zoznamu sa oznamujú aspoň 30 dní vopred. Aktuálny zoznam je trvalo zverejnený v Službe na adrese /legal/subprocessors.

Sprostredkovateľ	Adresa	Kontakt	Opis spracúvania	Zmluvný základ
Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Nemecko (EÚ).	data-protection@hetzner.com.	serverová infraštruktúra — aplikácia a živé dáta v dátovom centre Falkenstein (DE), zálohy v dátovom centre Norimberg (DE).	zmluva o spracúvaní osobných údajov (DPA) verzia 1.2, uzavretá 04.08.2026; samostatne verzovaný TOM dokument a výročná audítorská správa TÜV.
Scaleway S.A.S.	8 rue de la Ville l'Évêque, 75008 Paríž, Francúzsko (EÚ); R.C.S. Paris 433 115 904.	privacy@scaleway.com (tím ochrany súkromia); zodpovedná osoba (DPO): dpo@iliad.fr; oznámenia o porušení ochrany údajov: security@scaleway.com (podľa DPA Scaleway, znenie z 1. 6. 2024).	odosielanie transakčných e-mailov Služby (Transactional Email), EÚ.	DPA je neoddeliteľnou súčasťou zmluvy o službách Scaleway (čl. 1, znenie z 1. 6. 2024) — uzatvára sa objednaním služby.