Právne

Zmluva o spracúvaní osobných údajov (DPA)

Platné od 30. 9. 2026 · Verzia 1.5

Táto zmluva o spracúvaní osobných údajov (DPA) upravuje vzťah podľa čl. 28 GDPR medzi vlastníkom prevádzky (prevádzkovateľ) a OlimpiaS (sprostredkovateľ) pri používaní platformy. Je prílohou obchodných podmienok / zmluvy pre vlastníkov prevádzok. Kontakt: info@olimpias.sk.

Tento zmluvný balík platí rovnako pre všetky typy prevádzok — gastro, retail aj služby. Odvetvie určuje len rozsah zapnutých funkcií platformy, nie odlišný súd, inú lehotu oznámenia incidentu ani iné B2B podmienky voči Poskytovateľovi.

Súvisiace: Obchodné podmienky · Ochrana osobných údajov · Pravidlá pre personál.

1. Zmluvné strany a postavenie

1.1. Prevádzkovateľom je vlastník prevádzky, ktorý používa OlimpiaS na vedenie klientov, personálu, rezervácií, objednávok, dopytov a súvisiacej komunikácie.

1.2. Sprostredkovateľom je OlimpiaS (identifikačné údaje Poskytovateľa sú v zmluve / faktúre alebo na vyžiadanie).

1.3. DPA sa uplatní v rozsahu, v ktorom OlimpiaS spracúva osobné údaje v mene prevádzkovateľa.

1.4. Pri údajoch, ktorých účely a prostriedky určuje OlimpiaS samostatne (účet majiteľa / personálu, fakturácia SaaS, bezpečnosť platformy, zákonné povinnosti), vystupuje OlimpiaS ako samostatný prevádzkovateľ podľa zásad ochrany osobných údajov.

2. Predmet, trvanie, povaha a účel

2.1. Predmetom je technické poskytovanie platformy: uloženie, usporiadanie, vyhľadanie, zobrazenie, zmena, zálohovanie, prenos notifikácií a vymazanie podľa pokynov prevádzkovateľa.

2.2. Spracúvanie trvá počas používania služby a následne spravidla 30 dní na ukončenie / export / výmaz (ak zákon nevyžaduje inak); údaje v zálohách do uplynutia cyklu zálohy.

2.3. Účelom je najmä: klienti a personál; rezervácie a dostupnosť; objednávky (shop / gastro / služby); dopyty a chat; e-mailové, Discord alebo SMS oznámenia; Packeta (ak aktivované); história a stavy.

2.4. OlimpiaS nesmie údaje zákazníkov prevádzky spracúvať na vlastný marketing ani ich predávať.

3. Dotknuté osoby a kategórie údajov

Dotknuté osoby: klienti prevádzky; personál a oprávnení používatelia; kuriéri (ak sú zapnutí); osoby v poznámkach.

Kategórie: meno, e-mail, telefón; rezervácia / objednávka (služba, termín, cena, stav, personál); adresa; Packeta; dátum narodenia (age gate); poznámky; chat; technické údaje na notifikácie a bezpečnosť.

Osobitné kategórie (čl. 9 GDPR) nie sú štandardne vyžadované — nevkladajte ich do poznámok bez právneho základu.

4. Pokyny a povinnosti prevádzkovateľa

4.1. Pokyny sú táto DPA, obchodné podmienky, nastavenia a úkony v systéme.

4.2. Prevádzkovateľ zodpovedá za zákonnosť získania údajov, právny základ, informovanie zákazníkov a práva dotknutých.

4.3. Pri klientoch z telefónu / importu zodpovedá prevádzkovateľ za oprávnenie vložiť údaje.

4.4. Prístupy udeľuje len potrebným osobám a po skončení spolupráce ich odoberie.

4.5. Pri podozrení na protiprávny pokyn OlimpiaS upozorní a môže spracúvanie pozastaviť do objasnenia.

5. Povinnosti sprostredkovateľa

5.1. Spracúvať len podľa pokynov (okrem požiadavky zákona).

5.2. Mlčanlivosť a prístup v nevyhnutnom rozsahu.

5.3. Primerané TOM (čl. 32 GDPR): TLS, hash hesiel, role, oddelenie tenantov, zálohy, ochrana verejných endpointov.

5.4. Súčinnosť pri právach dotknutých a čl. 32–36 GDPR.

5.5. Oznámenie incidentu bez zbytočného odkladu (cieľovo do 24 hodín od zistenia).

6. Bezpečnosť a incidenty

Prevádzkovateľ používa silné heslá a hlási zneužitie. Oznámenie incidentu nie je uznaním zodpovednosti; o hlásení ÚOOÚ / osobám rozhoduje prevádzkovateľ.

7. Ďalší sprostredkovatelia

Čl. 28 ods. 4 GDPR: OlimpiaS zaväzuje každého ďalšieho sprostredkovateľa zmluvne na rovnaké alebo rovnocenné povinnosti ochrany údajov ako v tejto DPA a zodpovedá vlastníkovi (prevádzkovateľovi) za ich plnenie. Nový ďalší sprostredkovateľ: po aktualizácii tohto dokumentu / oznámení; odmietnutie môže vypnúť voliteľnú funkciu.

8. Prenosy mimo EÚ/EHP

Len so splnením kapitoly V GDPR (najmä Anthropic, Discord, niektorí e-mailoví poskytovatelia). Mechanizmus na požiadanie.

8a. Technické a organizačné opatrenia (súhrn)

TLS na prenose; bcrypt hashovanie hesiel; role majiteľ / personál; oddelenie tenantov; zálohy; aktualizácie; rate limiting a spam ochrana verejných endpointov; zaznamenanie verzie prijatého zmluvného balíka. E-maily, telefóny a podobné polia v DB nie sú šifrované na úrovni stĺpcov — ochrana je prístupová + TLS + hosting; diskové šifrovanie úložiska môže byť na strane hostingu. Prevádzkovateľ používa silné heslá, neodkladá prístupy a hlási incidenty. Podrobnosti v zásadách ochrany osobných údajov.

9. Informácie a audity

OlimpiaS poskytne primerané informácie na preukázanie čl. 28 GDPR. Audit po oznámení nesmie ohroziť bezpečnosť ani údaje iných zákazníkov.

10. Vrátenie a vymazanie

Po skončení: export a výmaz, alebo výmaz; zálohy do konca cyklu. Detailné lehoty v ochrane osobných údajov; pri rozpore pri spracúvaní v mene prevádzky má prednosť táto DPA a zákon.

11. Záverečné ustanovenia

DPA sa uplatní po prijatí zmluvného balíka (registrácia / upgrade). GDPR má prednosť pri rozpore. Kontakt: info@olimpias.sk.