Zmluva o spracúvaní osobných údajov

1. Strany, začlenenie a účel

Táto zmluva o spracúvaní údajov (DPA) upravuje spracúvanie spoločnosťou World Travel Club s.r.o., IČO 07214073, so sídlom Ostrčilovo náměstí 462/4, Nusle, 128 00 Praha 2, Česká republika (Spoločnosť alebo MenuAI), v mene firemného zákazníka určeného v objednávke predplatného či zmluve o službách (Zákazník). Kontakt ochrany údajov: team@menuai.pro.

DPA je súčasťou zmluvy MenuAI po platnom začlenení a prijatí oprávnenými zástupcami oboch strán vrátane dohodnutého elektronického uzavretia. Zo zmluvy musí byť zistiteľná totožnosť Zákazníka, služby a záznam prijatia. Zverejnenie či návšteva hosťa samy neuzatvárajú zmluvu pre každú prevádzku.

Účelom sú záväzné podmienky spracúvania v mene Zákazníka podľa článku 28 nariadenia (EÚ) 2016/679 (GDPR) a príslušného práva. Prílohy sú súčasťou DPA. Podrobnosti služby a dôverný záznam z prílohy 3 ju dopĺňajú bez odstránenia povinnej ochrany.

Zákazník zabezpečí oprávnenie prijímajúcej osoby pre podnik a spracúvanie. Samostatná právnická osoba nie je automaticky viazaná len členstvom v skupine či značkou. Ďalšie subjekty potrebujú platné zmluvné pokrytie a príslušné pokyny.

2. Definície

Zákonné pojmy si zachovávajú právny význam. Nasledujúce výrazy určujú rozsah DPA; zmluvné označenie nemení skutočné úlohy strán.

• Zmluva je prijatá objednávka predplatného, zmluva o službách a riadne začlenené podmienky používania MenuAI Zákazníkom.
• Osobné údaje Zákazníka sú údaje spracúvané Spoločnosťou v jeho mene v službách a zákonných pokynoch. Nezahŕňajú automaticky všetky záznamy, pri ktorých Spoločnosť koná ako nezávislý prevádzkovateľ.
• Prevádzkovateľ je osoba či organizácia určujúca účely a podstatné prostriedky. Sprostredkovateľ je oddelená osoba či organizácia spracúvajúca v mene prevádzkovateľa.
• Spracúvanie zahŕňa zákonné operácie ako zber, zaznamenanie, organizáciu, uchovávanie, vyhľadávanie, prezeranie, používanie, prenos, obmedzenie, vrátenie a vymazanie.
• Dotknutá osoba je identifikovaná alebo identifikovateľná fyzická osoba, ktorej sa údaje týkajú, vrátane hostí a iných osôb v dohodnutom rozsahu.
• Zdokumentované pokyny sú zákonné inštrukcie v Zmluve, DPA, dohodnutých nastaveniach či inej priraditeľnej písomnej alebo elektronickej komunikácii oprávneného zástupcu.
• Ďalší sprostredkovateľ je sprostredkovateľ zapojený Spoločnosťou na konkrétne činnosti v mene Zákazníka. Nezávislý prevádzkovateľ ani služba priamo objednaná Zákazníkom ním nie sú automaticky.
• Porušenie ochrany osobných údajov je narušenie bezpečnosti vedúce k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému sprístupneniu či prístupu k údajom podľa DPA.
• Príslušné právo ochrany údajov je GDPR a ostatné záväzné ustanovenia Únie alebo členských štátov relevantné pre spracúvanie; ďalšie miestne povinnosti platia pri splnení podmienok.

3. Úlohy a oddelenie účelov

Pre prílohu 1 je Zákazník prevádzkovateľom a Spoločnosť sprostredkovateľom. Ak Zákazník zákonne koná pre iného prevádzkovateľa, Spoločnosť je jeho ďalším sprostredkovateľom; Zákazník získa nadradené oprávnenie a odovzdá zákonné pokyny. Povinnosti voči pôvodnému prevádzkovateľovi zostávajú.

Vlastné činnosti Spoločnosti ako prevádzkovateľa, napríklad predplatné, obchodné vzťahy, účtovníctvo či vlastné dopyty, sa riadia právom a zásadami súkromia. Bezpečnostné či užívateľské záznamy sa priraďujú podľa účelu; nie všetko z interakcie hosťa patrí automaticky jednej úlohe.

Spoločnosť nepoužije údaje na nesúvisiacu reklamu, predaj, opätovné použitie medzi prevádzkami či trénovanie všeobecných modelov. Zverené údaje slúžia príslušnej prevádzke a hosťovi v zákonných pokynoch. Licencia na Obsah Zákazníka ani tvrdenie o zlepšení služby nerozširujú účely.

DPA sama nezakladá spoločné prevádzkovateľstvo. Ak strany skutočne spoločne určujú účel a podstatné prostriedky, posúdia a zdokumentujú zákonom požadovanú dohodu. Nezávislý účel nemožno skryť do pokynu či vnútiť zmenou oznámenia o súkromí.

4. Zdokumentované a nezákonné pokyny

Spoločnosť spracúva len podľa zdokumentovaných pokynov vrátane prenosu do tretej krajiny či medzinárodnej organizácie, ak právo Únie alebo členského štátu nevyžaduje inak. Predtým informuje Zákazníka, ak to zákon nezakazuje z dôležitého verejného záujmu.

Prvé pokyny sú poskytovať funkcie, riešiť oprávnené interakcie a vykonávať prílohu 1 podľa DPA. Voľba funkcie povoľuje len spracúvanie primerane v oznámenom účele a rozsahu, nie neobmedzený zber, nezverejnených príjemcov či nové účely.

Oprávnený zástupca môže ďalšie pokyny poslať dohodnutým kanálom účtu či podpory. Zmeny rozsahu, bezpečnosti, prenosov, uchovania alebo cien sa zaznamenajú. Zákonnú povinnú požiadavku nemožno zdržať len pre formát odlišný od voliteľného postupu.

Spoločnosť okamžite informuje, ak podľa nej pokyn porušuje GDPR či právo Únie alebo štátu. Môže ho pozastaviť pri vyjasňovaní s najmenším narušením zlučiteľným s právom a ochranou osôb. Nesmie vedome vykonať nezákonný pokyn ani potichu dosadiť vlastný nesúvisiaci účel.

Ak pokyn nemožno splniť v službe, vysvetlí problém a strany zvážia zákonnú alternatívu alebo zmenu. Už platná povinnosť podľa práva či DPA nezaniká. Záznam pokynov zostáva dostupný na doloženie oprávnenia.

5. Zodpovednosť a práva Zákazníka

Zákazník zodpovedá za zákonnosť účelov, údajov a pokynov. Určí právne základy, poskytne informácie, rešpektuje súhlas a prístup k zariadeniam a vedie potrebné záznamy a zásady.

Obmedzí údaje na funkcie, udržuje primeranú presnosť a zákonné pokyny uchovania. Pridelí prístup oprávneným, aktualizuje kontakty vrátane incidentných a urýchlene hlási narušenie účtu či chybu pokynu týkajúcu sa údajov.

Posúdi ďalšie podmienky osobitných kategórií, detí a vysokého rizika. Zmluvná nevyhnutnosť sama podmienku osobitnej kategórie nespĺňa. Spoločnosť môže žiadať objasnenie alebo odmietnuť nedohodnuté použitie nemožné zákonne s vhodnými zárukami.

Zákazník si zachová práva na zákonné pokyny, hodnotiace informácie, námietky proti ďalším sprostredkovateľom podľa DPA, pomoc a zákonné audity. Povinnosti prevádzkovateľa nerušia tieto práva ani vlastné povinnosti Spoločnosti.

6. Predmet, trvanie a limity

Predmetom je spracúvanie pre objednané funkcie prevádzky a vzťahy s hosťami. Príloha 1 uvádza povahu, účely, osoby a údaje. Aktívne služby a zákonné pokyny opis zužujú; nevyžaduje sa každá kategória u každého hosťa.

Spracúvanie trvá službu a potom len pre vrátenie, výmaz či zákonné uchovanie podľa DPA. Koniec plateného prístupu nedokazuje výmaz všetkých kópií; nevyriešený pokyn neoprávňuje neobmedzené uchovanie.

Spoločnosť nerozšíri na nezlučiteľný účel alebo podstatne inú kategóriu len pre voľné úložisko. Podstatné zmeny sa pred začatím zdokumentujú a posúdia pre základy, bezpečnosť, prenosy a potrebné dohody.

Anonymizačné pokyny určujú zákonný účel a metódu. Odstránenie identifikátora či náhrada kódom nemusí anonymizovať. Kým údaje nie sú skutočne anonymné podľa práva, DPA platí ďalej.

7. Dôvernosť a oprávnený personál

Spoločnosť zabezpečí vhodnú zmluvnú či zákonnú mlčanlivosť oprávnených osôb. Prístup obmedzí na osoby a účely potrebné pre službu, ochranu či zákonnú povinnosť.

Personál dostane vhodné pokyny k údajom, prihlasovaniu a podozrivým incidentom. Oprávnenia sa preskúmajú pri zmenách a odoberú po strate dôvodu. Dôvernosť pretrvá po skončení prístupu podľa povahy a práva.

Údaje sa nesprístupnia len pre účasť v partnerskom programe, záujem o kúpu či ukážku. Podpora nežiada zbytočné citlivé informácie ani nepoužíva živé záznamy hostí na nesúvisiaci účel.

Dôvernosť chráni aj neverejné informácie súladu a bezpečnosti. Nebráni zákonnému sprístupneniu osobám, nezávislým audítorom, poradcom či úradom, ak je požadované alebo povolené so zárukami. Nesmie zakryť porušenie či odoprieť povinné právo.

8. Technické a organizačné bezpečnostné povinnosti

Spoločnosť zavedie a udržuje opatrenia podľa článku 32 GDPR s ohľadom na stav techniky, náklady, povahu, rozsah, kontext, účely a pravdepodobnosť a závažnosť rizík. Príloha 2 určuje zmluvné požiadavky.

Opatrenia zahŕňajú dôvernosť, integritu, dostupnosť, odolnosť, ochranu prenosu a uchovania, obnovu prístupu a pravidelné hodnotenie účinnosti. Šifrovanie a pseudonymizácia podľa rizika nie sú plošnou zárukou konkrétnej implementácie pre všetky údaje.

Pred zverením dostane Zákazník primerane potrebné informácie o zárukách a osobitných dohodnutých požiadavkách. Podrobné dôkazy možno dať dôverne chráneným kanálom. Všeobecný opis nie je certifikát, nezávislý audítorský výrok ani záruka nemožnosti všetkých incidentov.

Spoločnosť môže aktualizovať podľa rizík bez podstatného zníženia ochrany. Významné zmeny pre posúdenie oznámi podľa Zmluvy a práva. Zákazník zodpovedá za zariadenia, pridelenie prístupu a ochranu pod vlastnou kontrolou.

9. Všeobecné písomné povolenie ďalších sprostredkovateľov

S výhradou tejto časti a postupu zmien Zákazník všeobecne písomne povoľuje subjekty uvedené v aktuálnom dôvernom zozname dodanom pred zodpovedajúcim spracúvaním. Zoznam patrí do prílohy 3. Povolenie vzniká platným prijatím s dostupnými informáciami, nie schválením neoznámeného poskytovateľa.

Zoznam určuje právnickú osobu, úlohu, miesta vrátane vzdialeného prístupu a potrebný režim prenosov. Spoločnosť dodá dosť informácií na posúdenie. Všeobecná kategória dodávateľa nenahrádza totožnosť potrebnú na povolenie.

Pred prístupom Spoločnosť posúdi záruky a písomne uloží rovnaké relevantné povinnosti vrátane bezpečnosti, dôvernosti, pomoci, výmazu a auditu. Voči Zákazníkovi plne zodpovedá za plnenie podľa článku 28(4) GDPR.

Zoznam možno odovzdať chráneným obchodným kanálom namiesto zverejnenia. Obchodná dôvernosť neprevažuje nad informáciami Zákazníka, právami osôb či právomocami úradu. Nadväzujúce spracúvanie tiež potrebuje povolenia a rovnocenné povinnosti.

10. Zmeny, oznamovanie a námietky

Spoločnosť aktívne písomne oznámi pridanie či náhradu aspoň 30 kalendárnych dní pred novou činnosťou: subjekt, úlohu, miesta, začiatok a záruky pre zmysluplné posúdenie. Neohlásená úprava zoznamu nestačí.

Zákazník môže v lehote namietať z primeraných dôvodov ochrany údajov s dostatočným vysvetlením. Strany v dobrej viere hľadajú záruky či uskutočniteľnú alternatívu. Spoločnosť nezačne sporné spracúvanie pre Zákazníka pred dohodou alebo iným zákonným riešením.

Bez uspokojivého zákonného riešenia riešia službu vrátane pozastavenia či ukončenia a vyrovnajú predplatby a následky podľa Zmluvy a kogentného práva. Zákazník nesmie byť nútený k nezákonnému prenosu či neoznámenému sprostredkovateľovi len kvôli vráteniu či výmazu.

Pri všeobecnom písomnom povolení a bez námietky v lehote možno pokračovať v povolenom rozsahu pri ostatných zákonných podmienkach. Nejde o súhlas osoby ani vzdanie sa neskoršej podloženej právnej obavy. Skorší začiatok vyžaduje osobitné písomné povolenie či iný záväzný právny dôvod; naliehavosť sama neruší pravidlo 30 dní.

Zákazník udržiava aktuálny kontakt pre oznámenia. Spoločnosť uchová oznámenie, povolenie, námietku a vyriešenie a na žiadosť poskytne aktuálny zoznam.

11. Miesta a medzinárodné prenosy

Spoločnosť spracúva na zdokumentovaných miestach služby a povolených subjektov. Posudzuje sa aj prístup z inej krajiny; samotná lokalita úložiska nie je úplným posúdením. DPA nesľubuje výlučné spracúvanie či prístup v Európskom hospodárskom priestore.

Prenos kapitoly V GDPR potrebuje zákonné zdokumentované pokyny a základ, napríklad rozhodnutie o primeranosti či vhodné záruky vrátane správnych štandardných doložiek Európskej komisie s hodnotením a doplnkovými opatreniami.

Potrebné doložky či miestne nástroje sa doplnia o strany, modul, prílohy a záruky a platne začlenia pred prenosom. Publikovanie DPA samo neuzatvára všetky nástroje, nehodnotí vplyv prenosu ani nepovoľuje plošnú výnimku.

Spoločnosť poskytne primerané informácie k hodnoteniu a oznámi právne či prijímateľské okolnosti brániace zárukám. Prenos sa podľa práva pozastaví či napraví; všeobecné povolenie tieto podmienky neprebije.

Záväzné prenosové doložky majú prednosť. Informácie možno odovzdať chránené so zákonným začiernením, nie však brániacim skutočnému posúdeniu alebo povinnému právu.

12. Pomoc pri právach osôb

Podľa povahy Spoločnosť pomáha vhodnými technickými a organizačnými opatreniami v možnom rozsahu pri žiadostiach kapitoly III GDPR. Zahŕňa hľadanie, prístup, opravu, obmedzenie, vrátenie, výmaz a prenosnosť pri zákonných podmienkach.

Žiadosť v mene Zákazníka postúpi bez zbytočného odkladu a nerozhodne vecne za neho bez pokynov či zákona. Časť vlastnej prevádzkovateľskej činnosti vybaví podľa vlastných povinností.

Zákazník posúdi žiadosť, podľa potreby oprávnenie a zákonné pokyny odpovede. Spoločnosť oznámi limity a včas poskytne dostupné informácie. Súčinnosť nepredlžuje automaticky zákonné lehoty.

Overenie a odpoveď chránia osobu aj údaje iných. Vyhýba sa zbytočným dokladom, úplným záznamom neoverenému žiadateľovi a chápaniu výmazu ako povolenia na nesúvisiace údaje. Zákonné odmietnutie, výnimku uchovania či obmedzenie vysvetlí zodpovedná strana.

13. Porušenia údajov a spolupráca pri incidentoch

Spoločnosť bez zbytočného odkladu oznámi zistené porušenie údajov Zákazníka. Prvé oznámenie smeruje na určený kontakt a prípadný dohodnutý naliehavý kanál. S dostupnými informáciami nečaká na úplné vyšetrovanie.

Podľa vedomostí opíše povahu, kategórie a približné počty osôb a záznamov, dôsledky, prijaté či navrhované kroky a kontakt. Chýbajúce podrobnosti dodáva postupne bez ďalšieho odkladu, rozlišujúc fakty a skúmané otázky.

Prijme primerané kroky na obmedzenie, ochranu a zachovanie dôkazov a spolupracuje pri posúdení, oznámeniach a náprave. Vedie záznam a aktualizácie bez zbytočného odhalenia iných zákazníkov či narušenia zákonného vyšetrovania.

Zákazník rozhoduje ako prevádzkovateľ o oznámení úradu či osobám, ak zákon neukladá povinnosť priamo Spoločnosti. Lehota prevádzkovateľa vrátane príslušného rámca 72 hodín GDPR nie je povolením sprostredkovateľa čakať tak dlho. Nedohodnutá pevná hodinová úroveň incidentnej služby sa nepredpokladá.

Spoločnosť nezverejní za Zákazníka oznámenie bez oprávnenia okrem zákonnej povinnosti. Oznámenie a pomoc samy neuznávajú zodpovednosť, no nerušia povinnosti ani prostriedky nápravy osôb. Podozrenia sa hlásia na team@menuai.pro bez prihlasovacích údajov a nepotrebných citlivých materiálov.

14. Posúdenia bezpečnosti, vplyvu a konzultácie

Spoločnosť s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii, pomáha Zákazníkovi zabezpečiť súlad s článkami 32 až 36 GDPR. Pomoc zahŕňa relevantné informácie o dohodnutom spracúvaní, zárukách, rizikách, incidentoch, ďalších sprostredkovateľoch a prenosoch potrebné na posúdenie Zákazníkom.

Ak Zákazník musí vykonať posúdenie vplyvu na ochranu osobných údajov alebo konzultovať s dozorným orgánom, určí navrhovanú činnosť a primerane vymedzí informácie požadované od Spoločnosti. Spoločnosť poskytne dostupné relevantné informácie a primerane spolupracuje; nepreberá rozhodovaciu úlohu Zákazníka ani nepotvrdzuje zákonnosť každého navrhovaného obchodného použitia.

Ak posúdenie odhalí nevyriešené vysoké riziko, pred začatím dotknutej činnosti sa musí riešiť vhodnými opatreniami a prípadnou zákonom vyžadovanou konzultáciou. Nastavenie služby ani podpísané DPA toto posúdenie nenahrádzajú. Spoločnosť oznámi podstatné obmedzenia svojej schopnosti podporiť navrhované použitie namiesto poskytnutia nepodloženého uistenia.

Pomoc sa dohodne prostredníctvom určeného obchodného kontaktu pri zachovaní primeranej dôvernosti a s naliehavosťou zodpovedajúcou príslušnej zákonnej povinnosti. Každý osobitne dohodnutý poplatok musí byť v súlade s oddielom o nákladoch a nesmie slúžiť na zmarenie povinnej spolupráce.

15. Informácie, audity a kontroly

Spoločnosť sprístupní všetky informácie potrebné na preukázanie plnenia svojich povinností podľa článku 28 a umožní audity vrátane kontrol vykonávaných Zákazníkom alebo ním povereným audítorom a prispeje k nim. Dôkazy môžu zahŕňať relevantné pravidlá, záznamy o spracúvaní, opisy kontrolných opatrení, odpovede a existujúce nezávislé správy, ak také správy skutočne existujú.

Strany najprv zvážia, či na požiadavku možno odpovedať vhodnými listinnými dôkazmi. Ide o praktický východiskový bod, nie o náhradu kontroly, ktorá je primerane potrebná alebo vyžadovaná zákonom. DPA netvrdí existenciu konkrétnej certifikácie, nevyžaduje, aby Zákazník prijal neexistujúcu správu, ani nestanovuje všeobecný limit jedného auditu ročne pre všetky zákonné audity.

Pri plánovanej kontrole si strany dohodnú primerané oznámenie vopred, rozsah, čas, dôvernosť a ochranné opatrenia, aby obmedzili zbytočné narušenie prevádzky. Naliehavé incidenty, požiadavka príslušného orgánu alebo dôkazy o podstatnom nesúlade môžu odôvodniť kratšiu lehotu alebo dodatočné preskúmanie. Spoločnosť nesmie plánovanie používať na marenie časovo naliehavej zákonnej povinnosti.

Audítor musí konať nezávisle, zachovávať dôvernosť a pristupovať iba k tomu, čo súvisí s dotknutým spracúvaním. Ochrana iných zákazníkov, prihlasovacích údajov a nesúvisiacich chránených materiálov môže vyžadovať riadený prístup alebo začiernenie, nesmie však brániť účinnému preskúmaniu povinností Spoločnosti. Žiadne ustanovenie nepriznáva právo vykonávať invazívne testovanie bez dohodnutého bezpečného postupu.

Spoločnosť rieši podložené zistenia týkajúce sa jej povinností a spolupracuje pri dokumentovaní primeraných nápravných opatrení. Priebeh auditu ani prípadné poplatky nesmú odňať právomoci dozorného orgánu, práva fyzickej osoby ani povinnosť Spoločnosti poskytnúť potrebné informácie o súlade.

16. Orgány a sprístupnenie vyžadované zákonom

Spoločnosť spolupracuje s príslušnými dozornými orgánmi podľa uplatniteľného práva. Ak dostane záväznú požiadavku týkajúcu sa Osobných údajov Zákazníka, posúdi jej právny základ a rozsah, sprístupní iba to, čo zákon vyžaduje, a informuje Zákazníka, keď a v rozsahu, v akom je to dovolené.

Ak sa požiadavka javí ako nezákonná alebo neprimeraná, Spoločnosť zváži dostupné zákonné opravné prostriedky a ochranné opatrenia zodpovedajúce okolnostiam. Nejde o prísľub neuposlúchnutia záväzného príkazu ani záruku, že žiadny orgán nikdy nepožiada o prístup.

Zákonný zákaz oznámenia sa dodrží iba v rozsahu, v akom sa uplatňuje. Spoločnosť uchová primeraný záznam a poskytne informácie neskôr, ak je to dovolené a vyžadované. Prístup orgánov verejnej moci a prenos podliehajúci kapitole V sa musia riešiť aj v súlade so záväznými doložkami o prenose.

Žiadna strana nesmie používať ustanovenia DPA o dôvernosti na marenie zákonnej sťažnosti, povinnej transparentnosti alebo vyšetrovania orgánu. Aj sprístupnenie neverejných dôkazov Spoločnosti Zákazníkom musí byť obmedzené na zákonný účel a podľa potreby chránené.

17. Vrátenie, vymazanie a zákonné uchovávanie

Po skončení príslušných služieb spracúvania Spoločnosť podľa voľby Zákazníka vráti alebo vymaže Osobné údaje Zákazníka a vymaže existujúce kópie, pokiaľ právo Únie alebo členského štátu nevyžaduje uchovávanie. Ak je to možné, Zákazník oznámi svoju voľbu pred skončením prístupu. Ak pokyn chýba alebo je rozporný, Spoločnosť požiada Zákazníka o vysvetlenie namiesto predpokladania neobmedzeného oprávnenia údaje uchovávať.

Strany zaznamenajú rozsah vrátenia, vhodný bežne používaný formát, ak je primerane dostupný, chránený spôsob odovzdania a harmonogram dokončenia zodpovedajúci skutočnej službe a zákonným pokynom. Plnenie sa uskutoční bez zbytočného odkladu; tvrdená prevádzková ťažkosť musí byť vysvetlená a nesmie sa stať výnimkou umožňujúcou neurčité uchovávanie. DPA nesľubuje neoverený samoobslužný nástroj na export ani všeobecnú lehotu na obnovu.

Žiadosť o zrušenie účtu ani odstránenie informácií z aktívneho rozhrania samy osebe nepreukazujú úplné vymazanie. Spoločnosť zahrnie aktívne údaje aj uchovávané kópie do dohodnutého zákonného procesu vymazania a na požiadanie poskytne potvrdenie o dokončení s uvedením každej zostávajúcej zákonnej výnimky.

Ak chránenú obnovovaciu kópiu nemožno okamžite jednotlivo upraviť, Spoločnosť vysvetlí príslušný cyklus uchovávania a vymazania, obmedzí jej použitie na nevyhnutnú obnovu alebo zákonné účely a zabezpečí opätovné uplatnenie vymazania alebo obmedzenia pri obnove údajov. Toto usporiadanie nesmie nahradiť požadované vymazanie kópií ani odôvodňovať ich uchovávanie dlhšie, než je nevyhnutné.

Údaje, ktoré sa musia uchovávať podľa uplatniteľného práva, zostávajú chránené a spracúvajú sa iba na zákonný účel uchovávania. Spoločnosť v dovolenom rozsahu určí príslušnú požiadavku a dobu alebo kritériá. Účtovné záznamy, pri ktorých Spoločnosť vystupuje ako samostatný prevádzkovateľ, sa musia odlišovať od Osobných údajov Zákazníka uchovávaných iba v jeho mene.

18. Pozastavenie a ukončenie dotknutého spracúvania

Ak strana nemôže dodržať toto DPA, bez zbytočného odkladu o tom informuje druhú stranu v rozsahu dovolenom zákonom. Dotknuté spracúvanie sa musí pozastaviť, ak je to potrebné na zabránenie nezákonnému spracúvaniu alebo ochranu fyzických osôb počas hľadania vyhovujúceho riešenia.

Podstatné nevyriešené porušenie, nezákonný pokyn alebo nemožnosť zachovať nevyhnutnú záruku môžu odôvodniť ukončenie dotknutého spracúvania alebo služby podľa Zmluvy a práva. Strany posúdia relevantné skutočnosti, požadované oznámenie a prípadnú možnosť nápravy. Spor o voliteľný obchodný rozsah sa nesmie používať na obchádzanie povinnej ochrany údajov.

Ukončenie alebo obmedzenie služby automaticky neruší povinnosti Spoločnosti týkajúce sa dôvernosti, incidentov, pomoci ani vrátenia a vymazania. Spoločnosť naďalej zabezpečuje potrebnú ochranu údajov, ktoré stále zákonne drží, a nesmie zadržať povinnú odpoveď ani vrátenie iba na vynútenie súhlasu s novým sprostredkovateľom alebo nesúvisiacou podmienkou.

Finančné dôsledky sa riadia Zmluvou a uplatniteľným právom bez odňatia už vzniknutého práva na vrátenie peňazí alebo iný prostriedok nápravy. Ukončenie neoprávňuje používať Osobné údaje Zákazníka na nový samostatný účel.

19. Náklady na pomoc a zodpovednosť

Každá strana zostáva zodpovedná za povinnosti, ktoré jej ukladá právo a toto DPA. Obchodné rozdelenie zodpovednosti v Zmluve sa uplatňuje iba v zákonnom rozsahu zlučiteľnom so záväznými požiadavkami ochrany údajov a prípadnými doložkami o prenose. Toto DPA nezakladá automatické odškodnenie Spoločnosti za jej vlastné zavinenie.

Žiadne zmluvné obmedzenie neobmedzuje nevylúčiteľné práva fyzickej osoby, právomoci dozorného orgánu ani zodpovednosť, ktorú zákon zakazuje obmedziť. Zákonné rozdelenie náhrady škody alebo regresu medzi zodpovednými stranami naďalej podlieha príslušným zákonným podmienkam. Súhlas Zákazníka s ďalším sprostredkovateľom nezbavuje Spoločnosť zodpovednosti zaň podľa článku 28(4).

Bežná pomoc a informácie o súlade vyžadované dohodnutým spracúvaním nesmú byť skrytými poplatkami zbavené skutočného významu. Ak Zákazník požaduje dodatočnú prácu nad rámec už zahrnutej zmluvnej alebo zákonnej povinnosti, navrhovaný poplatok a rozsah sa musia vopred vysvetliť a schváliť. Rokovanie o nákladoch nesmie oddialiť naliehavé povinné oznámenie ani brániť výkonu zákonného práva.

Každá strana poskytne primeranú súčinnosť a prijme zákonné opatrenia na zníženie ujmy. Žiadne ustanovenie nevyžaduje dvojnásobnú náhradu tej istej škody, nezaručuje úspech všetkých nárokov ani neodníma obranu zachovanú kogentným právom.

20. Prednosť dokumentov a rozhodné právo

V osobitnej oblasti spracúvania v mene Zákazníka má toto DPA prednosť pred rozporným všeobecným ustanovením Zmluvy. Záväzné štandardné doložky o prenose a kogentné právo ochrany údajov majú prednosť v rozsahu vyžadovanom ich podmienkami a právom. Marketingový opis ani jednostranné označenie účtu nemôžu tieto povinnosti zmeniť.

DPA sa riadi právom Českej republiky s prihliadnutím na uplatniteľné kolízne normy a kogentné ustanovenia. Príslušné súdy v Prahe majú právomoc rozhodovať zmluvné spory v rozsahu, v akom je dohoda o právomoci v Zmluve platná a dovolená zákonom.

Toto dojednanie neobmedzuje zákonné právo fyzickej osoby podať sťažnosť alebo obrátiť sa na súd, pôsobnosť dozorného orgánu ani záväzné ustanovenie o príslušnosti v uplatniteľnom nástroji prenosu. Strany sa môžu usilovať vyriešiť zmluvnú otázku písomným rokovaním bez toho, aby toto rokovanie bránilo naliehavej ochrane alebo dodržaniu zákonnej lehoty.

Ak je ustanovenie neplatné alebo nevymáhateľné, jeho vplyv na zvyšok DPA sa určí podľa práva. Široké ustanovenie o dôvernosti alebo obmedzení sa nesmie vykladať tak, že odstraňuje inak povinnú povinnosť týkajúcu sa spracúvania.

21. Zmeny a priebežný súlad

Zmeny sa musia zdokumentovať platným zmluvným postupom a sprístupniť Zákazníkovi. Nová verzia na verejnej webovej stránke spätne neoprávňuje predchádzajúce spracúvanie, neruší zaznamenaný pokyn ani nemení už prijaté DPA iba preto, že Zákazník službu naďalej používa.

Aktualizácia na zachovanie účinnosti záruk alebo splnenie záväznej zákonnej požiadavky musí rešpektovať dohodnutú ochranu a prípadné požiadavky oznámenia alebo súhlasu. Zmeny ďalších sprostredkovateľov sa riadia osobitným postupom s lehotou 30 kalendárnych dní; zverejnenie revidovaného DPA toto oznámenie nenahrádza.

Strany primerane priebežne aktualizujú opis spracúvania, kontakty, pokyny, lokality a dôverný register. Navrhované rozšírenie na novú vysoko rizikovú činnosť sa musí posúdiť a zdokumentovať pred jej začatím namiesto predpokladu, že už patrí pod všeobecný opis služieb platformy.

Povinnosti týkajúce sa uchovávaných údajov, dôvernosti, pomoci, dôkazov auditu a zákonného vrátenia alebo vymazania trvajú, pokiaľ sú uplatniteľné. Samotné okamžité neuplatnenie práva ktoroukoľvek stranou nepredstavuje vzdanie sa kogentnej povinnosti.

22. Kontakty a jazykové verzie

Otázky k DPA, zdokumentované pokyny, hlásenia incidentov a žiadosti o príslušný dôverný záznam o spracúvaní posielajte na team@menuai.pro. Spoločnosťou je World Travel Club s.r.o., IČO 07214073, Ostrčilovo náměstí 462/4, Nusle, 128 00 Praha 2, Česká republika. Samostatná zodpovedná osoba pre ochranu údajov nebola vymenovaná; príslušnú korešpondenciu vybavuje tento kontakt.

Oprávnený kontakt Zákazníka a prípadný kanál na hlásenie incidentov sú uvedené v Zmluve alebo v následnom platnom pokyne. Každá strana udržiava svoje údaje aktuálne a používa kanál primeraný naliehavosti a citlivosti informácií. Pokyny a odovzdanie dôverných dôkazov môžu vyžadovať primerané overenie oprávnenia.

Anglická a ukrajinská verzia majú vyjadrovať rovnocenné práva a povinnosti. Toto DPA nezavádza prednosť žiadneho jazyka. Nezrovnalosť sa vyrieši podľa uplatniteľných výkladových pravidiel bez obmedzenia kogentných práv.

Verejná dostupnosť DPA nevyžaduje zverejnenie chránených podrobností implementácie. Potrebné dôkazy o súlade a informácie o príjemcoch sa však poskytnú oprávneným stranám vhodným zákonným postupom. Obchodná dôvernosť nie je všeobecnou výnimkou z vyššie uvedených povinností transparentnosti, povoľovania alebo auditu.

Príloha 1. Opis zvereného spracúvania

Predmet a účel: poskytovanie funkcií MenuAI objednaných pre prevádzku Zákazníka vrátane vybavovania interakcií s hosťami, objednávok, rezervácií, podujatí, doručenia a vernostného programu, ak sú zahrnuté. Spracúvanie slúži príslušnej prevádzke a hosťovi podľa zákonných pokynov Zákazníka; nezahŕňa samostatný účel trénovania naprieč prevádzkami ani reklamy.

Povaha a operácie: získavanie informácií poskytnutých prostredníctvom príslušnej funkcie; zaznamenávanie, usporadúvanie, uchovávanie, vyhľadávanie a zobrazovanie oprávneným používateľom; vybavovanie pokynu alebo žiadosti hosťa; nevyhnutná komunikácia oprávnenému príjemcovi; oprava, obmedzenie, vrátenie a vymazanie. Operácie a sprístupnenia musia zostať v rozsahu konkrétnej zapnutej služby.

Trvanie a frekvencia: počas zmluvnej služby spracúvania pri poskytovaní informácií a používaní funkcií, po čom nasleduje iba vrátenie, vymazanie alebo zákonom vyžadované obmedzené uchovávanie podľa oddielu 17. Zákonné pokyny Zákazníka na uchovávanie a prípadný harmonogram dokončenia pre konkrétnu službu sa zaznamenajú v príslušnom zázname o spracúvaní.

Nasledujúce kategórie sa uplatňujú iba v rozsahu, v akom ich Zákazník skutočne poskytuje alebo nariaďuje ich spracúvanie pre objednanú funkciu. Ich uvedenie nie je pokynom zbierať všetky také informácie ani vyžadovať od každého hosťa vytvorenie účtu.

• Fyzické osoby: hostia a zákazníci príslušnej prevádzky; osoby uskutočňujúce rezerváciu alebo zúčastňujúce sa rezervácie, podujatia či doručenia; osoby zastúpené pri oprávnenej rezervácii; a zamestnanci alebo iné obchodné kontakty, ktorých informácie Zákazník zapisuje do svojich prevádzkových záznamov. Samostatná správa účtov Spoločnosťou sa odlišuje od tohto zvereného spracúvania.
• Identifikácia a kontakt: mená, kontaktné údaje, identifikátory hosťa alebo zákazníka spojené s prevádzkou a informácie potrebné na komunikáciu o požadovanej službe. Poštová alebo doručovacia adresa sa zahŕňa iba vtedy, ak je pre službu potrebná.
• Objednávky a transakcie: vybrané položky, množstvá, sumy, stav objednávky, podrobnosti rezervácie alebo podujatia, pokyny na doručenie a stav platby alebo identifikátory transakcie poskytnuté prostredníctvom oprávnených usporiadaní. Tento opis nie je pokynom ukladať úplné čísla kariet ani bezpečnostné kódy kariet do bežných polí platformy.
• Vzťahy a preferencie: informácie o návštevách alebo vernosti týkajúce sa konkrétnej prevádzky, body alebo odmeny, zvolený jazyk, spätná väzba, uvedené preferencie a dátum narodenia alebo informácie o narodeninách, ak sú zákonne poskytnuté na zapnutý účel. Voliteľné informácie naďalej podliehajú minimalizácii údajov a zákonným základom Zákazníka.
• Technické informácie súvisiace so službou: identifikátory, záznamy o prístupe alebo činnosti a komunikácia potrebné na poskytovanie, ochranu alebo podporu zverenej funkcie, iba pokiaľ ich Spoločnosť spracúva v mene Zákazníka. Záznamy používané na samostatný účel Spoločnosti vyžadujú osobitné posúdenie roly.
• Možné osobitné kategórie: informácie o alergiách alebo stravovaní a požiadavky vo voľnom texte môžu odhaliť zdravie, vierovyznanie alebo iné chránené charakteristiky. Také informácie možno spracúvať iba vtedy, ak Zákazník určil právny základ podľa článku 6 aj príslušnú podmienku podľa článku 9, vydal zákonné pokyny a existujú vhodné záruky. Neudeľuje sa všeobecné oprávnenie na nesúvisiace citlivé informácie ani údaje o odsúdeniach za trestné činy.

Pri osobitných kategóriách alebo informáciách o deťoch záruky zahŕňajú minimalizáciu polí a voľného textu, obmedzenie prístupu na osoby zabezpečujúce príslušnú potrebu, predchádzanie zbytočnému sprístupneniu, vhodné uchovávanie a podporu opravy alebo vymazania. Zákazník musí pred použitím určiť potrebu dodatočnej ochrany; Spoločnosť nesmie prijať nepodporovanú vysoko rizikovú činnosť iba preto, že textové pole dokáže údaje prijať.

Príloha 2. Požadované bezpečnostné opatrenia

Nasledujúce ustanovenia sú zmluvnými požiadavkami na dotknuté spracúvanie, uplatňovanými primerane zdokumentovanému riziku. Opisujú výsledky ochrany a zodpovednosti bez odhalenia chránených podrobností implementácie. Nepredstavujú potvrdenie existencie konkrétnej certifikácie, nezávislého auditu, času obnovy ani implementácie. Zákazník má pred zverením údajov právo na informácie potrebné na vyhodnotenie opatrení.

• Riadenie a dôvernosť: určiť zodpovednosť za ochranu údajov a bezpečnosť, vydať vhodné pokyny na zaobchádzanie, zaviazať oprávnený personál k mlčanlivosti a preskúmavať jeho prístup a príslušné potreby informovanosti.
• Riadenie prístupu: identifikovať oprávnených používateľov, chrániť overovanie totožnosti a obnovu prihlasovacích údajov, uplatňovať prístup zodpovedajúci role a úlohe osoby a odobrať ho, keď už nie je odôvodnený. Privilegovaný prístup vyžaduje ochranu primeranú jeho dosahu.
• Oddelenie informácií zákazníkov: obmedziť prístup na oprávnený kontext zákazníka a prevádzky a zabrániť bežnému prístupu k záznamom iného zákazníka. Podporný alebo administrátorský prístup musí mať oprávnený účel a vhodný dohľad.
• Prenos a uchovávanie: chrániť osobné údaje pred neoprávneným prístupom alebo zmenou počas komunikácie a uchovávania pomocou záruk primeraných riziku vrátane šifrovania, ak je vhodné, a chrániť prihlasovacie údaje alebo iné bezpečnostne citlivé materiály pred sprístupnením.
• Minimalizácia údajov a zaobchádzanie: obmedziť získavanie, kópie, sprístupňovanie a uchovávanie na nariadený účel; vyhýbať sa zbytočným osobným údajom v diagnostických materiáloch; a chrániť informácie poskytnuté na podporu alebo overenie.
• Prevádzková integrita: spravovať relevantnú konfiguráciu a zmeny, riešiť zistené zraniteľnosti s naliehavosťou primeranou riziku a posudzovať zmeny, ktoré môžu podstatne ovplyvniť dohodnutú ochranu. Nepoužívať záznamy zákazníkov na nesúvisiace testovanie ani ukážky.
• Dôkazy o činnosti a odhaľovanie: uchovávať primerané dôkazy o bezpečnostne významnom prístupe a dôležitých úkonoch, ak sú potrebné na odhaľovanie, vyšetrovanie a preukázanie súladu, pri obmedzení prístupu k týmto záznamom a bez zbytočného citlivého obsahu.
• Dostupnosť a obnova: zabezpečovať opatrenia primerané službe a rizikám na odolnosť, podľa potreby chránené obnovovacie kópie a obnovenie dostupnosti a prístupu po incidente. Opatrenia obnovy sa musia posudzovať a testovať vo vhodných intervaloch; nevzniká žiadny nedohodnutý číselný cieľ obnovy.
• Reakcia na incidenty: zabezpečiť spôsob prijímania podnetov, posudzovať podozrenia na incidenty, obmedzovať porušenia, uchovávať relevantné dôkazy a oznamovať a pomáhať Zákazníkovi podľa oddielu 13. Záverečná vyšetrovacia správa nie je podmienkou prvotného oznámenia porušenia.
• Uchovávanie a likvidácia: uplatňovať zákonné pokyny na obmedzenie, vrátenie a vymazanie, riadiť zostávajúce obnovovacie kópie a zabrániť obchádzaniu platného vymazania alebo obmedzenia obnovenými informáciami. Likvidácia musí zahŕňať relevantné kópie, nielen viditeľné označenie účtu.
• Dohľad nad dodávateľmi: hodnotiť príslušných ďalších sprostredkovateľov, ukladať rovnocenné povinnosti, viesť záznamy o povoleniach a lokalitách a posudzovať zmeny alebo riziká prenosu pred začatím nového spracúvania.
• Preskúmanie a dôkazy: pravidelne posudzovať účinnosť relevantných opatrení, zaznamenávať podstatné zistenia a nápravné opatrenia a poskytovať informácie o súlade a súčinnosť pri audite vyžadované týmto DPA. Každé tvrdenie o certifikácii musí byť podložené aktuálnym uplatniteľným certifikátom, nie vyvodené z týchto požiadaviek.

Konkrétne opatrenia, zistenia o rizikách alebo dodatočné záruky potrebné pre konkrétneho Zákazníka sa musia zdokumentovať v chránenom zázname o spracúvaní pred zverením dotknutej činnosti. Ak dohodnutú požiadavku nemožno splniť, strany ju musia vyriešiť alebo sa dotknutého spracúvania zdržať; verejný bezpečnostný súhrn tento nedostatok nenapraví.

Príloha 3. Záznam o spracúvaní pre konkrétneho Zákazníka a dôverný register

Príslušná objednávka a priraditeľný písomný alebo elektronický záznam o spracúvaní určia Zákazníka, dotknutú službu, dátum prijatia, oprávnené kontakty a pokyny potrebné na uplatnenie tohto DPA. Aktuálny záznam musí byť dostupný obom stranám; samotným zobrazením tohto verejného dokumentu nie je dokončený.

Pred oprávnením príslušného ďalšieho sprostredkovateľa spracúvať Osobné údaje Zákazníka Spoločnosť poskytne aktuálny register dohodnutým chráneným kanálom. Register musí určiť právnickú osobu, službu alebo úlohu, relevantné lokality spracúvania a prístupu, uplatniteľné záruky prenosu a verziu alebo dátum registra. Záznam prepojí povolenie Zákazníka a prípadné obmedzenie konkrétnej služby s príslušnou verziou.

Záznam obsahuje aj potrebnú dohodnutú špecifikáciu kategórií údajov, osobitnej ochrany, podmienok vrátenia alebo vymazania a dodatočných dôkazov o opatreniach. Zahŕňa iba skutočne objednané funkcie a zákonne vydané pokyny. Strany musia vyriešiť chýbajúce podstatné informácie pred zverením dotknutého spracúvania.

Pri zmene Spoločnosť uchová písomné oznámenie a navrhovaný začiatok, prípadnú námietku a jej vyriešenie a výsledný aktualizovaný záznam. Oznámenie musí postupovať podľa oddielu 10 namiesto spoliehania sa na to, že Zákazník pravidelne objaví zmenený zoznam.

Podrobný register a bezpečnostné dôkazy sa nemusia zverejňovať na webe. Musia sa poskytnúť Zákazníkovi a iným oprávneným príjemcom podľa zákona s primeranou ochranou. Dohoda o dôvernosti môže tieto informácie chrániť, nesmie však brániť sprístupneniu toho, na čo má fyzická osoba alebo orgán zákonné právo.