Zmluva o spracúvaní osobných údajov (LimeWeb)
Verzia: 1.2
Účinné od: 14. októbra 2026 pre objednávky od tohto dňa
Právny rámec: čl. 28 nariadenia (EÚ) 2016/679 (GDPR) a zákon č. 18/2018 Z. z.
Prevádzkovateľ: zákazník identifikovaný obchodným menom, sídlom, IČO a oprávneným kontaktom v objednávke.
Sprostredkovateľ: Tatra Business Digital s.r.o., Černyševského 10, 851 01 Bratislava, IČO 52 274 926, DIČ 2120979553, IČ DPH SK2120979553, Obchodný register Mestského súdu Bratislava III, oddiel Sro, vložka 136171/B. Kontakt: [email protected].
Zmluva sa prijíma spoločným potvrdením objednávky a nadobúda účinnosť spolu so zmluvou o službe podľa bodu 4.2 VOP. Ukladá sa prijaté znenie, verzia, odtlačok SHA-256 a čas prijatia. Individuálna zmluva s primeraným obsahom uzavretá pred spracúvaním má prednosť.
1. Predmet a trvanie
1.1 Sprostredkovateľ spracúva údaje v mene prevádzkovateľa pri službe LimeWeb. Predmet, účely, operácie, osoby a údaje určuje príloha A. Spracúvanie trvá počas služby a následne do vrátenia alebo výmazu podľa článku 8.
1.2 Pri vlastnej zmluvnej evidencii, fakturácii, podpore zákazníka, bezpečnosti a meraní vlastného webu koná LimeWeb ako samostatný prevádzkovateľ podľa zásad súkromia. Tento režim neoprávňuje uchovávať celý zákaznícky obsah na vlastné účely.
2. Pokyny
2.1 Údaje sa spracúvajú iba podľa zdokumentovaných pokynov prevádzkovateľa, aj pri prenose do tretej krajiny. Pokyn tvorí táto zmluva, objednávka, VOP, schválené zadanie a písomné požiadavky oprávneného kontaktu.
2.2 O spracúvaní uloženom právom EÚ alebo SR sprostredkovateľ informuje vopred, ak to zákon nezakazuje.
2.3 Na pokyn odporujúci predpisom o ochrane údajov bez zbytočného odkladu upozorní a nevykoná ho. Potvrdenie zákazníkom nezákonnosť neodstraňuje.
2.4 Prevádzkovateľ určuje zákonné účely, základy, lehoty a informovanie osôb a odovzdáva iba potrebné údaje.
3. Dôvernosť a bezpečnosť
3.1 Prístup majú len poverené a poučené osoby viazané mlčanlivosťou, v rozsahu potrebnom na úlohu.
3.2 Sprostredkovateľ prijíma opatrenia podľa čl. 32 GDPR uvedené v prílohe B. Môže ich meniť bez zníženia ochrany.
4. Ďalší sprostredkovatelia
4.1 Prevádzkovateľ všeobecne povoľuje dodávateľov uvedených v prílohe D.
4.2 Pridanie alebo nahradenie sa oznámi e-mailom oprávnenému kontaktu 30 dní vopred s názvom, sídlom, účelom, údajmi, miestom a mechanizmom prenosu.
4.3 Prevádzkovateľ môže v tejto lehote odôvodnene namietať. Ak sa nenájde riešenie, môže dotknutú službu alebo celú zmluvu ukončiť pred zmenou bez sankcie. Bez námietky sa zmena považuje za povolenú.
4.4 Ďalší sprostredkovateľ musí zmluvne prevziať rovnaké povinnosti ochrany údajov v príslušnom rozsahu. Za ich plnenie voči prevádzkovateľovi naďalej zodpovedá LimeWeb podľa čl. 28 ods. 4 GDPR.
5. Pomoc prevádzkovateľovi
5.1 Sprostredkovateľ podľa povahy spracúvania a dostupných informácií pomáha vybavovať práva osôb a povinnosti podľa čl. 32 až 36 GDPR vrátane bezpečnosti, posúdenia vplyvu a konzultácie.
5.2 Žiadosť dotknutej osoby bez zbytočného odkladu postúpi prevádzkovateľovi. Vecne odpovie len na jeho poverenie.
5.3 Pomoc nad bežný rozsah možno účtovať po dohode podľa bodu 3.4 VOP. Vlastné zákonné povinnosti a náprava vlastných chýb sa neúčtujú ani nepodmieňujú úhradou.
6. Porušenie ochrany údajov
6.1 Dotknuté porušenie sprostredkovateľ oznámi oprávnenému kontaktu bez zbytočného odkladu, najneskôr do 48 hodín od zistenia.
6.2 Uvedie známu povahu porušenia, kategórie a približné počty osôb a záznamov, kontakt, pravdepodobné následky a opatrenia. Na dokončenie vyšetrovania nečaká, chýbajúce informácie dopĺňa priebežne.
6.3 Zachová dôkazy, zmierňuje následky a pomáha prevádzkovateľovi s oznámeniami úradu a osobám, za ktoré zodpovedá prevádzkovateľ.
7. Kontrola
7.1 Sprostredkovateľ poskytne informácie potrebné na preukázanie plnenia čl. 28 GDPR a umožní audit prevádzkovateľom alebo jeho audítorom viazaným mlčanlivosťou.
7.2 Bežný audit sa oznámi 14 dní vopred, spravidla raz ročne. Pri incidente, odôvodnenom podozrení na porušenie alebo požiadavke orgánu sa tieto obmedzenia neuplatnia, ak bránia účinnej kontrole. Audit chráni údaje iných klientov a primerane nenaruší prevádzku.
7.3 Prevádzkovateľ hradí svojho audítora. Sprostredkovateľ odstráni vlastné nedostatky na vlastné náklady v primeranej dohodnutej lehote.
8. Vrátenie a výmaz
8.1 Po skončení služby sprostredkovateľ podľa voľby prevádzkovateľa vráti alebo vymaže všetky existujúce osobné údaje spracúvané v jeho mene, vrátane podkladov, formulárov, súhlasov a pošty. Vrátenie je v bežnom strojovo čitateľnom formáte podľa registra v Rozsahu služby, aj keď web nebol spustený.
8.2 Štandardne zostáva 30 dní na žiadosť po skončení služby. Včasná žiadosť odloží výmaz do odovzdania a najmenej 7 dní na prevzatie. Pri prechode podľa bodu 9.6 VOP zostáva najmenej 30 dní na prevzatie po prechode. Potom sa prevádzkové údaje vymažú. Zálohy sa už nepoužívajú na nové účely a zaniknú rotáciou do 90 dní. Pri obnove sa výmazy uplatnia znova.
8.3 Následné uchovanie v úlohe sprostredkovateľa je prípustné len podľa povinnosti práva EÚ alebo SR. Vlastné nevyhnutné zmluvné a účtovné dôkazy sa vedú oddelene podľa bodu 1.2. Na požiadanie sa potvrdí výmaz a uvedú zákonné výnimky.
9. Prenosy a záverečné pravidlá
9.1 Prenos mimo EHP je prípustný iba podľa pokynov, pri dodávateľovi z prílohy D a s mechanizmom kapitoly V GDPR: rozhodnutím o primeranosti pre daný prenos alebo príslušnými štandardnými zmluvnými doložkami (SCC) a potrebnými doplnkovými opatreniami.
9.2 Zodpovednosť voči osobám upravuje čl. 82 GDPR, medzi stranami článok 13 VOP v dovolenom rozsahu.
9.3 Vo veciach spracúvania v mene zákazníka má táto zmluva prednosť pred VOP. Neobmedzuje práva osôb ani právomoci orgánov.
9.4 Zmenu zmluvy sprostredkovateľ navrhne e-mailom 30 dní vopred. Platí iba po výslovnom prijatí prevádzkovateľom. Bez prijatia zostáva doterajšie znenie, s výnimkou zmien vyplývajúcich priamo zo zákona. Pri nesúhlase možno pred navrhnutou účinnosťou ukončiť službu bez sankcie. Osobitný postup zmien ďalších sprostredkovateľov podľa článku 4 zostáva zachovaný. Pri tomto skončení aj podľa bodu 4.3 sa platby vyrovnajú podľa bodu 5.8 VOP.
9.5 Zmluva sa riadi právom SR a zanikne najskôr splnením povinností vrátenia a výmazu.
Príloha A: Spracúvanie
| Položka | Rozsah |
|---|---|
| Predmet a účely | Tvorba a hosting webu, formuláre, pošta, migrácia od pôvodného dodávateľa, spracovanie podkladov, správa Google profilu firmy a dohodnutej analytiky, podpora, bezpečnosť, zálohy a obnova |
| Operácie | Získanie, prenos, uloženie, usporiadanie, úprava a publikovanie podľa pokynu, nahliadnutie pri správe, analytika po súhlase, evidencia voľby cookies, zálohovanie, obnova, vrátenie a výmaz |
| Osoby | Návštevníci, zákazníci a záujemcovia prevádzkovateľa, korešpondenti, zamestnanci, partneri, autori recenzií a osoby v podkladoch |
| Údaje | Mená a kontakty, pracovné údaje, fotografie, texty, správy a prílohy, poštové hlavičky, recenzie a otázky v profile, IP a technické záznamy, analytické identifikátory a udalosti, pseudonymné voľby cookies s časom a verziou bez IP |
| Citlivé údaje a deti | Ich cielené spracúvanie sa nepredpokladá a vyžaduje predchádzajúcu písomnú dohodu a posúdenie |
| Frekvencia a trvanie | Priebežne počas služby, následne podľa článku 8 a prílohy C |
Konkrétne formuláre, polia, nástroje, príjemcov a lehoty určujú potvrdené podklady prevádzkovateľa. Dokumenty klientského webu sa zostavujú podľa skutočného riešenia a pred publikovaním sa skontrolujú. Poskytovateľ zodpovedá za dohodnutú prípravu a vlastné chyby, zákazník za svoje vecné údaje. Osobné podklady sa nepreberajú pred účinnosťou DPA.
Príloha B: Bezpečnostné opatrenia
| Oblasť | Opatrenia |
|---|---|
| Prístupy | Oddelené zákaznícke a pracovné účty, pracovné roly a povinné TOTP, ochrana pred opakovaním kódu, obmedzenie pokusov. Zákaznícke prihlásenie jednorazovým odkazom na 15 minút |
| Ochrana údajov | HTTPS, šifrované zmluvné záznamy, platobné operácie a obsah čakajúcich fakturačných správ v evidencii doručovania. Heslá účtov aplikácie ako jednosmerný odtlačok |
| Podklady | Súkromné úložisko, obmedzené a časovo ohraničené prístupy, náhodné názvy súborov, kontrola typu a čistenie vektorových obrázkov. Dočasné prístupy k náhľadu sa po skončení zrušia |
| Oddelenie a ochrana | Overovanie oprávnenia ku konkrétnemu projektu, ochrana formulárov pred robotmi, limity požiadaviek a podpisy platobných oznámení |
| Dostupnosť | Monitoring webu a pošty, evidencia incidentov, zálohy s retenciou 90 dní a obnova s opätovným uplatnením výmazov |
| Organizácia | Poverenie, poučenie a mlčanlivosť pracovníkov, záznam zásahov, riadenie incidentov a uchovávania, pravidelné posudzovanie a skúšanie účinnosti ochrany podľa rizika |
Doklady o zálohách, obnove, prístupoch a aktualizáciách sa vedú v prevádzkovej evidencii a na požiadanie sprístupnia podľa článku 7. Zákaznícky prístup k serverom, FTP či monitoringu sa neposkytuje, účinný audit tým nie je obmedzený. Incidenty: [email protected], predmet „BEZPEČNOSTNÝ INCIDENT“, zodpovedný pracovník Andrej Valigurčin.
Príloha C: Uchovávanie
Po skončení sa vždy uplatní článok 8, vrátane včasnej žiadosti a zákonných výnimiek.
| Údaje | Lehota počas služby |
|---|---|
| Web, obsah CMS, podklady a pošta | Počas služby, po nej 30 dní na vrátenie podľa článku 8. Pošta je v tejto lehote dostupná na čítanie a stiahnutie |
| Migračné prístupy | Do dokončenia presunu, potom výmaz a odporúčanie zmeniť heslá |
| Kópia kontaktných správ v CMS | Najviac 365 dní a 500 posledných správ. Kópia doručená do schránky sa riadi pravidlami prevádzkovateľa |
| Odosielacia fronta formulára | 30 dní od odoslania alebo zlyhania |
| Voľby cookies návštevníkov klientského webu | 13 mesiacov, po skončení výmaz s webom alebo vrátenie podľa článku 8 |
| Odtlačok IP pre bezpečnostné počítadlá CMS | 24 hodín od posledného použitia, následne výmaz pri pravidelnom čistení |
| Aplikačné logy | 14 dní |
| Bezpečnostné záznamy vedené v mene zákazníka | Najviac 12 mesiacov, po skončení výmaz podľa článku 8 |
| Zlyhané úlohy aplikácie LimeWeb | Týždenné čistenie po 30 dňoch, najneskôr do 37 dní |
| Zálohy webu, dát a pošty | 90 dní, po výmaze prevádzkových údajov zánik rotáciou do 90 dní |
Výmaz sa vykoná aj v úložiskách a u ďalších sprostredkovateľov. Pri analytike Google sa zadá výmaz a použije lehota jeho spracovateľskej zmluvy, najviac 180 dní, bez nového použitia údajov. Táto lehota nemení 90 dní vlastných záloh. Minimálne vlastné bezpečnostné dôkazy sa vedú oddelene podľa bodu 1.2, nie ako ďalší archív zákazníckych správ.
Príloha D: Ďalší sprostredkovatelia
Identita, činnosť a miesto spracúvania sú uvedené nižšie. Odkazy vedú na zmluvné podmienky a kontakty dodávateľov. Miesto servera v EÚ samo nevylučuje prístup z inej krajiny.
| Subjekt a adresa | Účel a údaje | Miesto a záruky prenosu |
|---|---|---|
| Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Írsko | Azure, kontinuita a obnova, údaje obnovovanej časti systému | Nemecko, Germany West Central. Zahraničný prístup podľa Microsoft DPA vrátane SCC |
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Nemecko | Servery, web, databáza a príslušné údaje z prílohy A | Nemecko, Falkenstein. Bez prenosu mimo EHP, podmienky ochrany údajov |
| Wasabi Technologies LLC, 75 Arlington Street, Suite 810, Boston, MA 02116, USA | Ukladanie záloh a údajov v nich | Holandsko, Amsterdam, možný prístup z USA. SCC podľa Wasabi DPA |
| Migadu-Mail GmbH, Rohnen 587, 9414 Schachen, Švajčiarsko | Schránky, správy, prílohy, adresy a hlavičky | Hosting vo Francúzsku podľa dodávateľa, možný prístup zo Švajčiarska na základe primeranosti. Podmienky |
| Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA | DNS, CDN, ochrana siete a formulárov, R2 podklady, IP a údaje prenosu | Globálna sieť vrátane USA. SCC podľa Cloudflare DPA, prípadne platné rozhodnutie o primeranosti pre príjemcu |
| Better Stack, Inc., USA. Kontaktná adresa: 9450 SW Gemini Dr, Beaverton, Oregon 97008-7105, USA | Monitoring a technické logy vrátane IP | Región EÚ, možný prístup z USA. SCC podľa Better Stack DPA, kontakt [email protected] |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Írsko, s Google LLC ako ďalším dodávateľom | Klientske GA4 a súvisiaca správa GTM, online identifikátory a udalosti po súhlase | Globálne vrátane USA. SCC podľa podmienok Google, prípadne platné rozhodnutie o primeranosti pre príjemcu |
Cloudflare pri ochrane webu koná ako ďalší sprostredkovateľ. Pri vlastnom zlepšovaní detekcie robotov Turnstile je samostatným prevádzkovateľom podľa Turnstile Privacy Addendum, čo sa uvedie aj v informáciách klientského webu.
Stripe spracúva platby za službu LimeWeb, nie údaje návštevníkov klientského webu. Pri tejto činnosti nie je ďalším sprostredkovateľom podľa tejto zmluvy.
Osobné údaje klientov sa nevkladajú do AI nástroja, ktorý nebol vopred zapojený podľa článku 4. Google profil firmy zostáva pod účtom zákazníka s jeho priamym vzťahom ku Google, LimeWeb má správu podľa pokynov a pri skončení ju ukončí. Pri Search Console, Maps a ďalších integráciách sa zaznamená skutočná rola a účet, návštevníci sa informujú a údaje sa odovzdávajú iba na príslušnom právnom základe.