Zmluva o spracúvaní osobných údajov

Spoločná pre všetky produkty; produktová časť v článku 12 určuje údaje, účely a ďalších sprostredkovateľov. Verzia 1.3, účinná od 27. 10. 2026. Nahrádza zmluvu zverejnenú na sferin.sk od 11. 10. 2026.

Článok 1 – Zmluvné strany a vznik

1.1 Prevádzkovateľ je klient, ktorý cez službu poskytovateľa spracúva osobné údaje svojich zákazníkov (hostí, pacientov, návštevníkov, odberateľov). Sprostredkovateľ je WebiSfer s. r. o., Talinská 2388/9, 040 12 Košice, IČO 57 475 687, info@webisfer.sk.

1.2 Zmluva sa uzatvára podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (GDPR) spolu so Zmluvou o poskytovaní služby (objednávkou) a je jej súčasťou. Trvá počas trvania služby a potom do vymazania alebo vrátenia údajov podľa článku 9. V otázkach ochrany osobných údajov má prednosť pred VOP.

Článok 2 – Predmet, povaha a účel

2.1 Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa len na prevádzku objednanej služby na účely uvedené v produktovej časti (článok 12). Spracúvanie spočíva v zhromažďovaní cez formuláre webu a administráciu, uchovávaní v databáze, zobrazovaní v administrácii a aplikácii, odosielaní e-mailov a SMS v mene prevádzkovateľa, zálohovaní a príprave prehľadov. Údaje sa nepoužívajú na účely sprostredkovateľa, najmä nie na marketing ani na trénovanie modelov.

Článok 3 – Pokyny

3.1 Sprostredkovateľ spracúva údaje len na základe zdokumentovaných pokynov prevádzkovateľa (čl. 28 ods. 3 písm. a)): táto zmluva, nastavenia v administrácii a žiadosti e-mailom. Ak pokyn podľa jeho názoru porušuje GDPR, upozorní prevádzkovateľa. Prenos do tretích krajín len podľa kapitoly V GDPR (článok 7).

3.2 Prevádzkovateľ zodpovedá za právny základ spracúvania, informovanie dotknutých osôb (čl. 13 GDPR) a za to, že do systému vkladá len potrebné údaje. Vzory informačných textov dodá sprostredkovateľ.

Článok 4 – Mlčanlivosť

Osoby oprávnené spracúvať údaje sú viazané mlčanlivosťou (čl. 28 ods. 3 písm. b), § 79 zákona č. 18/2018 Z. z.), aj po skončení zmluvy. Sprostredkovateľ vedie zoznam oprávnených osôb a prístupov.

Článok 5 – Bezpečnosť (čl. 32 GDPR)

Šifrovaná komunikácia (HTTPS), šifrovanie citlivých údajov v databáze (AES-256-GCM: pri SFERIN doklady totožnosti a víza; pri ORDINUJ meno, telefón, e-mail, dátum narodenia, poznámky a názvy liekov), šifrovací kľúč uložený oddelene od databázy a zálohovaný samostatne, servery v dátovom centre v EÚ, denné zálohy uchovávané najmenej 7 dní, prístup do administrácie heslom s možnosťou dvojfaktorového overenia, oddelenie údajov jednotlivých prevádzkovateľov (každý vidí len svoje), ochrana Cloudflare pred útokmi a robotmi, priebežné aktualizácie, záznam dôležitých zásahov, pravidelná kontrola zraniteľností, obmedzený prístup k serveru (SSH kľúče, zákaz hesiel), pravidlá pre prístup administrátorov a ich revízia.

Článok 6 – Súčinnosť a porušenie ochrany údajov

6.1 Sprostredkovateľ pomáha vybavovať žiadosti dotknutých osôb (prístup, oprava, výmaz, obmedzenie, prenosnosť, námietka) a žiadosti doručené priamo jemu postúpi prevádzkovateľovi bez zbytočného odkladu (čl. 28 ods. 3 písm. e)). Pomáha pri povinnostiach podľa čl. 32 až 36 (písm. f)), vrátane podkladov pre posúdenie vplyvu, ak je potrebné.

6.2 Porušenie ochrany osobných údajov oznámi prevádzkovateľovi bez zbytočného odkladu, najneskôr do 48 hodín od zistenia; pri produkte ORDINUJ do 24 hodín. Oznámenie obsahuje povahu porušenia, dotknuté údaje a osoby, pravdepodobné následky a prijaté opatrenia. Oznámenie úradu a dotknutým osobám robí prevádzkovateľ; sprostredkovateľ dodá podklady.

Článok 7 – Ďalší sprostredkovatelia a prenos

7.1 Prevádzkovateľ dáva všeobecné povolenie na ďalších sprostredkovateľov uvedených v produktovej časti (čl. 28 ods. 2). Pridanie alebo výmenu oznámi sprostredkovateľ e-mailom 30 dní vopred; prevádzkovateľ môže namietať a ak sa nedohodnú, vypovedať službu ku dňu zmeny. Ďalší sprostredkovatelia sú zaviazaní rovnakými povinnosťami (čl. 28 ods. 4).

7.2 Spoloční pre všetky produkty: Contabo GmbH (Nemecko, servery a zálohy v EÚ), Cloudflare, Inc. (USA, DNS, ochrana pred útokmi, Turnstile; ako ochranná vrstva pred serverom spracúva prenos webu vrátane obsahu odoslaných formulárov len na jeho doručenie a ochranu pred útokmi, obsah neuchováva; EU-US Data Privacy Framework), Websupport s. r. o. (Slovensko, domény, e-mailové schránky a odosielanie e-mailov, ak idú cez schránku zriadenú sprostredkovateľom). Aktuálny zoznam ďalších sprostredkovateľov je zverejnený na webisfer.sk/sprostredkovatelia.

7.2a Platby kartou spracúva Stripe ako samostatný prevádzkovateľ (údaje platiaceho klienta, nie jeho zákazníkov). Ďalšie služby, ktoré osobné údaje zákazníkov klienta spracúvajú len okrajovo alebo vôbec: push upozornenia aplikácie (Google FCM, Apple, Mozilla, len identifikátor zariadenia používateľa aplikácie); služba na zmenšovanie fotografií (Tinify, bez osobných údajov); nástroje umelej inteligencie na zaradenie fotografií pri príprave náhľadov (OpenAI, bez osobných údajov). Ak zapneme funkciu, ktorá posiela správy hostí alebo pacientov nástrojom umelej inteligencie (napríklad návrh odpovede), doplníme poskytovateľa do zoznamu vopred podľa bodu 7.1.

7.3 Služby volané priamo prehliadačom návštevníka (mapy OpenStreetMap, Photon, Nominatim, Google Maps po kliknutí, Google Analytics a Meta Pixel, ak si ich prevádzkovateľ zapne a len so súhlasom návštevníka) dostávajú IP adresu a zadaný text, nie údaje z databázy; za ich zapnutie zodpovedá prevádzkovateľ.

Článok 8 – Informácie a audit

Sprostredkovateľ poskytne informácie na preukázanie plnenia čl. 28 a umožní audit prevádzkovateľom alebo povereným audítorom (písm. h)), najskôr písomným dotazníkom; kontrola na mieste najviac raz ročne, po dohode termínu a na náklady prevádzkovateľa, bez narušenia bezpečnosti údajov iných klientov.

Článok 9 – Po skončení

Na žiadosť do 30 dní od skončenia služby vráti údaje exportom (CSV/JSON); najneskôr do 90 dní od skončenia údaje vymaže vrátane kópií a záloh v bežnom cykle, ak právo Únie alebo SR nevyžaduje uchovanie (čl. 28 ods. 3 písm. g)). Zodpovedá čl. 13 VOP.

Článok 10 – Zodpovednosť

Zodpovednosť za škodu z porušenia GDPR podľa čl. 82 GDPR. Voči prevádzkovateľovi, ktorý je podnikateľom, je zodpovednosť sprostredkovateľa za škodu z tejto zmluvy obmedzená podľa čl. 15.1 VOP, okrem úmyslu, hrubej nedbanlivosti a pokút uložených prevádzkovateľovi výlučne pre porušenie povinností sprostredkovateľa.

Článok 11 – Záverečné ustanovenia

Riadi sa GDPR, zákonom č. 18/2018 Z. z. a právom SR. Uzatvára sa elektronicky spolu s objednávkou (Signi). Platí od podpisu objednávky.

Článok 12 – Produktová časť

A. SFERIN (ubytovanie)

Dotknuté osoby: hostia a osoby podávajúce rezerváciu.
Údaje: meno a priezvisko, dátum a miesto narodenia, štátna príslušnosť, e-mail, telefón, adresa, druh a číslo dokladu, pri cudzincoch údaje podľa zákona č. 404/2011 Z. z. (víza, účel pobytu), termín, počet hostí, cena, platby, poznámky a komunikácia, pri klientskej zóne a newsletteri e-mail a súhlas. Osobitné kategórie (čl. 9) sa nespracúvajú.
Účely: prevádzka webu a rezervačného formulára, správa rezervácií, kniha ubytovaných a evidencia hostí vrátane online check-inu, podklady k dani pre obec a hláseniu cudzincov, e-maily hosťom (potvrdenie, zálohová faktúra, pokyny, žiadosť o recenziu), newsletter so súhlasom.
Ďalší sprostredkovatelia: spoloční (7.2).

B. ORDINUJ (ambulancie)

Dotknuté osoby: pacienti a osoby objednávajúce (rodič, opatrovník), pri veterinároch majitelia zvierat.
Údaje: meno a priezvisko, telefón, e-mail, zdravotná poisťovňa, zvolený lekár, výkon a čas, poznámka pacienta (bez diagnózy a rodného čísla), stav termínu, čakací zoznam; pri žiadosti o predpis lieku aj dátum narodenia a názov lieku. Údaj o objednaní na výkon je údajom o zdraví (čl. 9); spracúva sa pod mlčanlivosťou zdravotníckeho pracovníka, čl. 9 ods. 2 písm. h) a ods. 3.
Účely: objednanie na termín, potvrdenie a pripomienka e-mailom a SMS, zrušenie a presun, čakací zoznam, odovzdanie žiadosti o predpis, administrácia pre personál.
Ďalší sprostredkovatelia: spoloční (7.2) + SMS brána smsfarm.sk (SR, doručenie pripomienok; dostáva telefónne číslo a text SMS bez výkonu a lieku).
Osobitné: oznámenie porušenia do 24 hodín; údaje pacientov šifrované; prístup len pre účty personálu ambulancie; záznamy o prístupoch uchovávané 12 mesiacov a potom mazané; údaje pacienta sa automaticky vymažú 12 mesiacov po poslednom termíne, ak prevádzkovateľ nenastaví kratšiu lehotu; žiadne súhlasy tam, kde je zákonný základ (výnimka psychológ mimo zdravotníctva); vzor informácie pre pacientov a textov formulárov s číslom verzie na ordinuj.sk/dokumenty; prípadné posúdenie vplyvu (DPIA) pripravíme ako vzor pre všetky ambulancie.

C. Firemné weby a weby na mieru

Dotknuté osoby: návštevníci webu, odosielatelia formulárov, zákazníci e-shopu.
Údaje: údaje z kontaktných a objednávkových formulárov (meno, e-mail, telefón, správa, adresa a objednávka pri e-shope), IP adresa na ochranu pred zneužitím.
Účely: doručenie formulára klientovi, spracovanie objednávky, ochrana pred spamom.
Ďalší sprostredkovatelia: spoloční (7.2) + podľa webu (platobná brána, dopravca) uvedení v objednávke.

D. Prevádzka a hosting cudzieho webu

Sprostredkovateľ spracúva údaje len v rozsahu uloženia a zálohovania súborov a databázy webu a e-mailových schránok; obsah a účely určuje prevádzkovateľ. Platia články 4, 5, 6, 7.2, 8 a 9.

WebiSfer s. r. o. (sprostredkovateľ)	Prevádzkovateľ
dátum, podpis	dátum, podpis