Zmluvné strany: zákazník (firma registrovaná v aplikácii) ako prevádzkovateľ a FOX Consulting s.r.o., Sv. Cyrila a Metoda 1, Nová Dedinka 900 29, IČO: 35959215, e-mail: support@gocallai.eu ako sprostredkovateľ. Zmluva sa uzatvára elektronicky pri registrácii firmy (potvrdením súhlasu) a je súčasťou obchodných podmienok.
1. Predmet, povaha a účel spracúvania
Poskytovanie aplikácie na evidenciu pracovného času, klientov, úloh a checklistov. Sprostredkovateľ spracúva údaje iba na základe zdokumentovaných pokynov prevádzkovateľa, ktorými sú najmä nastavenia a úkony v aplikácii.
2. Kategórie dotknutých osôb a údajov
- Zamestnanci a spolupracovníci prevádzkovateľa: meno, e-mail, rola, pracovné záznamy (čas, klient, popis činnosti, poznámky), dovolenky, úlohy, plnenie checklistov a prílohy, IP adresy a časy prihlásení.
- Klienti prevádzkovateľa a ich kontaktné osoby: názov, telefón, e-mail a údaje vo vlastných stĺpcoch, ktoré si prevádzkovateľ zvolí.
- Osobitné kategórie údajov (čl. 9 GDPR) sa nespracúvajú; prevádzkovateľ ich nemá do aplikácie vkladať.
3. Povinnosti sprostredkovateľa (čl. 28 ods. 3 GDPR)
- spracúva údaje len na pokyn prevádzkovateľa, aj pokiaľ ide o prenos do tretích krajín;
- zabezpečí mlčanlivosť osôb s prístupom k údajom;
- prijme opatrenia podľa čl. 32 (príloha 2);
- ďalších sprostredkovateľov zapája podľa zoznamu subdodávateľov [všeobecné písomné povolenie; postup pri zmene doplní právnik];
- pomáha prevádzkovateľovi plniť práva dotknutých osôb (export údajov, oprava, anonymizácia priamo v aplikácii);
- oznámi prevádzkovateľovi porušenie ochrany údajov bez zbytočného odkladu [do 48 hodín] po tom, ako sa o ňom dozvie;
- po skončení zmluvy údaje vymaže (prevádzkovateľ si ich môže vopred exportovať zálohou); zálohy u poskytovateľa hostingu zaniknú do [7] dní;
- poskytne informácie potrebné na preukázanie súladu a umožní audit [podmienky doplní právnik].
Príloha 2 — technické a organizačné opatrenia
- Umiestnenie: aplikácia aj databáza bežia v dátovom centre v EÚ (Frankfurt).
- Šifrovanie: komunikácia výhradne cez HTTPS (TLS 1.2+, HSTS); dáta v databáze a zálohy šifrované na úrovni úložiska (AES-256).
- Sieť: databáza nie je dostupná z internetu, iba z aplikácie cez internú sieť.
- Oddelenie zákazníkov: každý záznam patrí jednej firme; aplikácia automaticky obmedzuje všetky dotazy na firmu prihláseného používateľa; overené automatickými testami.
- Prístup: heslá iba ako bcrypt hash (min. 8 znakov), obmedzenie počtu pokusov o prihlásenie, voliteľné a vynútiteľné dvojfaktorové overenie (TOTP), role správca/zamestnanec, okamžitá deaktivácia účtu.
- Relácie: zabezpečené cookies (Secure, HttpOnly, SameSite), ochrana proti CSRF, obmedzená platnosť prihlásenia.
- Webová bezpečnosť: Content-Security-Policy, ochrana proti vloženiu do iného webu (clickjacking), zákaz ukladania stránok s osobnými údajmi do cache.
- Záznamy: log prihlásení (90 dní) a audit citlivých akcií (365 dní), dostupné správcovi firmy.
- Minimalizácia: automatické mazanie starých logov, anonymizácia odchádzajúcich zamestnancov, žiadne sledovacie nástroje tretích strán.
- Dostupnosť a obnova: priebežné zálohy databázy s možnosťou obnovy k zvolenému času; export zálohy pre zákazníka.
- Organizačné: [prístup prevádzkovateľa služby k produkčným dátam len pri podpore na žiadosť zákazníka, dvojfaktorové overenie k účtom Render/GitHub/Stripe, postup pri bezpečnostnom incidente — doplniť].