Dohoda o spracúvaní údajov

Táto dohoda o spracúvaní údajov („DPA“) tvorí súčasť dohody upravujúcej používanie platformy a služieb KWIGA vrátane Obchodné podmienky KWIGA (ďalej len „Dohoda“) medzi:

TUTERIA VCC, so sídlom na adrese 17A Vrabcha Street, Floor 1, Apt 3, 1000 Sofia, Bulgaria (ďalej len „KWIGA“, „TUTERIA“, „my“, „nás“ alebo „Spracovateľ“),

fyzickou osobou, spoločnosťou, organizáciou, školou, Expertom, tvorcom kurzu alebo iným subjektom používajúcim služby KWIGA a určujúcim účely a prostriedky spracúvania osobných údajov prostredníctvom platformy KWIGA (ďalej len „Zákazník“, „Používateľ platformy“ alebo „Prevádzkovateľ“).

Táto DPA sa uplatňuje, ak a v rozsahu, v akom spoločnosť TUTERIA VCC spracúva Osobné údaje v mene Zákazníka v súvislosti s poskytovaním služieb KWIGA.

Táto DPA dopĺňa Dohodu a vykladá sa spolu s dokumentom KWIGA Zásady ochrany osobných údajov a ďalšími uplatniteľnými zmluvnými dokumentmi.

1. Definície a úlohy zmluvných strán

1.1. Definície

Na účely tejto DPA:

„Uplatniteľné právne predpisy o ochrane údajov“ znamenajú všetky právne predpisy o ochrane údajov a súkromia uplatniteľné na spracúvanie Osobných údajov podľa tejto DPA vrátane, ak je to relevantné, nariadenia (EÚ) 2016/679 („GDPR“).

„Prevádzkovateľ“, „Spracovateľ“, „Dotknutá osoba“, „Osobné údaje“, „Spracúvanie“, „Porušenie ochrany osobných údajov“ a „Dozorný orgán“ majú význam, ktorý im je prisúdený podľa GDPR alebo iných uplatniteľných právnych predpisov o ochrane údajov.

„Zákazník“ znamená Používateľa platformy, ktorý používa služby KWIGA a určuje účely a prostriedky Spracúvania Servisných údajov.

„Servisné údaje“ znamenajú Osobné údaje nahrané na platformu KWIGA, zhromaždené prostredníctvom nej, vytvorené v rámci nej alebo inak spracúvané prostredníctvom platformy KWIGA Zákazníkom alebo v jeho mene v súvislosti s používaním Služieb.

Servisné údaje môžu zahŕňať Osobné údaje spracúvané prostredníctvom CRM, LMS, kurzov, vzdelávacích programov, funkcií na správu študentov a zákazníkov, komunikačných nástrojov, automatizácií, hodnotení a ďalších funkcií platformy KWIGA používaných Zákazníkom.

„Subspracovateľ“ znamená tretiu stranu poverenú spoločnosťou KWIGA spracúvaním Servisných údajov v mene Zákazníka.

1.2. Zákazník ako Prevádzkovateľ

Ak Zákazník určuje účely a prostriedky Spracúvania Servisných údajov, Zákazník koná ako Prevádzkovateľ takýchto Osobných údajov.

Zákazník zodpovedá za svoje činnosti Spracúvania a za dodržiavanie povinností uplatniteľných na Prevádzkovateľov podľa Uplatniteľných právnych predpisov o ochrane údajov.

1.3. TUTERIA VCC ako Spracovateľ

Ak spoločnosť TUTERIA VCC spracúva Servisné údaje v mene Zákazníka a v súlade s pokynmi Zákazníka, TUTERIA VCC koná ako Spracovateľ.

Spoločnosť TUTERIA VCC spracúva takéto Servisné údaje v súlade s touto DPA, Dohodou, zdokumentovanými pokynmi Zákazníka a Uplatniteľnými právnymi predpismi o ochrane údajov.

1.4. TUTERIA VCC ako nezávislý Prevádzkovateľ

Určité činnosti Spracúvania môže spoločnosť TUTERIA VCC vykonávať na účely nezávisle určené spoločnosťou TUTERIA VCC.

Takéto účely môžu zahŕňať, ak je to relevantné:

správu a prevádzku Platformy KWIGA;
bezpečnosť a integritu Platformy;
prevenciu podvodov a zneužitia;
odhaľovanie a vyšetrovanie neoprávneného prístupu a bezpečnostných incidentov;
dodržiavanie právnych alebo regulačných povinností;
správu vlastných zmluvných vzťahov spoločnosti TUTERIA VCC;
uplatňovanie, výkon alebo obhajobu právnych nárokov; a
iné účely opísané v Zásadách ochrany súkromia KWIGA.

Ak spoločnosť TUTERIA VCC nezávisle určuje účely a prostriedky takéhoto Spracúvania, koná vo vzťahu k tomuto Spracúvaniu ako nezávislý Prevádzkovateľ.

Takéto Spracúvanie sa riadi dokumentom KWIGA Zásady ochrany súkromia a Príslušnými právnymi predpismi o ochrane údajov a nepredstavuje Spracúvanie vykonávané spoločnosťou TUTERIA VCC ako Sprostredkovateľom podľa tejto DPA.

1.5. Žiadne automatické spoločné prevádzkovateľstvo

Skutočnosť, že Zákazník a TUTERIA VCC môžu Spracúvať určité informácie týkajúce sa tej istej Dotknutej osoby, sama osebe neznamená, že strany konajú ako spoloční prevádzkovatelia.

Úloha každej strany sa určí s ohľadom na účely a prostriedky príslušnej činnosti Spracúvania.

2. Povinnosti a pokyny Zákazníka

2.1.

Zákazník je povinný dodržiavať Príslušné právne predpisy o ochrane údajov v súvislosti so zhromažďovaním, používaním, sprístupňovaním a iným Spracúvaním Údajov o službe.

2.2.

Zákazník je zodpovedný za zabezpečenie toho, aby:

a. mal primeraný právny základ na Spracúvanie Údajov o službe;

b. Údaje o službe boli zhromaždené zákonne;

c. Údaje o službe boli zákonne sprístupnené alebo inak poskytnuté spoločnosti KWIGA na Spracúvanie;

d. Dotknuté osoby dostali všetky oznámenia o ochrane súkromia a informácie požadované podľa Príslušných právnych predpisov o ochrane údajov;

e. každý súhlas vyžadovaný na činnosti Spracúvania Zákazníka bol platne získaný;

f. pokyny Zákazníka spoločnosti KWIGA sú v súlade s Príslušnými právnymi predpismi o ochrane údajov;

g. Zákazník Spracúva iba Osobné údaje potrebné na svoje oprávnené a zákonné účely; a

h. pre Údaje o službe pod kontrolou Zákazníka sú stanovené primerané lehoty uchovávania.

2.3. Osobitné kategórie Osobných údajov

Zákazník nesmie používať Služby na zhromažďovanie alebo Spracúvanie Osobitných kategórií Osobných údajov v zmysle článku 9 GDPR, pokiaľ Zákazník nestanovil platný právny základ a, ak je to potrebné, príslušnú podmienku podľa článku 9 GDPR pre takéto Spracúvanie.

Ak Zákazník používa dotazníky, formuláre, vlastné polia, nahraný obsah alebo iné funkcie Služieb na zhromažďovanie alebo Spracúvanie takýchto údajov, Zákazník koná ako Prevádzkovateľ a je zodpovedný za určenie zákonnosti, účelov a rozsahu takéhoto Spracúvania, poskytnutie všetkých požadovaných informácií Dotknutým osobám, získanie výslovného súhlasu, ak sa spolieha na súhlas, a dodržiavanie všetkých ostatných uplatniteľných požiadaviek Príslušných právnych predpisov o ochrane údajov.

KWIGA Spracúva takéto Údaje o službe v mene Zákazníka a v súlade so zdokumentovanými pokynmi Zákazníka a touto DPA.

2.4.

Zákazník dáva spoločnosti KWIGA pokyn Spracúvať Údaje o službe v rozsahu potrebnom na:

poskytovanie Služieb vybraných a nakonfigurovaných Zákazníkom;
hostovanie a udržiavanie Údajov o službe;
poskytovanie funkcií CRM, LMS a iných funkcií Platformy;
poskytovanie prístupu ku kurzom a iným produktom;
správu funkcií vybraných Zákazníkom;
poskytovanie technickej podpory;
udržiavanie a zabezpečovanie Služieb; a
iné plnenie Zmluvy a zdokumentovaných pokynov Zákazníka.

2.5.

Používanie a konfigurácia Platformy KWIGA Klientom vrátane nastavení, činností a funkcionalít aktivovaných Klientom, ako aj vytváranie a zverejňovanie webových stránok, formulárov, oznámení a iných materiálov Klientom prostredníctvom Platformy sa môžu považovať za zdokumentované pokyny na účely tejto DPA.

2.6.

Klient samostatne určuje obsah svojich Zásad ochrany osobných údajov, oznámení o ochrane osobných údajov, formulárov a iných materiálov poskytovaných Dotknutým osobám prostredníctvom Platformy a zodpovedá za ich súlad s Príslušnými právnymi predpismi o ochrane údajov a so skutočným spracúvaním osobných údajov Klienta. KWIGA nie je povinná kontrolovať ani schvaľovať obsah takýchto materiálov.

2.7.

Ak sa KWIGA dôvodne domnieva, že pokyn od Zákazníka porušuje Platné právne predpisy o ochrane údajov, KWIGA o tom bude Zákazníka bez zbytočného odkladu informovať.

KWIGA môže pozastaviť príslušné Spracúvanie v rozsahu primerane nevyhnutnom, kým nebude pokyn zmenený, objasnený alebo potvrdený ako zákonný.

3. Povinnosti spoločnosti KWIGA ako Sprostredkovateľa

3.1.

KWIGA bude Spracúvať Servisné údaje len na základe zdokumentovaných pokynov Zákazníka, pokiaľ Spracúvanie nevyžaduje platné právo Únie alebo členského štátu.

Ak sa od spoločnosti KWIGA vyžaduje, aby na základe zákona Spracúvala Servisné údaje inak než podľa pokynov Zákazníka, KWIGA bude Zákazníka pred Spracúvaním informovať o tejto zákonnej požiadavke, pokiaľ zákon takéto informovanie nezakazuje z dôležitých dôvodov verejného záujmu.

3.2.

KWIGA zabezpečí, aby osoby oprávnené Spracúvať Servisné údaje:

Spracúvali takéto údaje len v rozsahu nevyhnutnom na plnenie svojich povinností;
podliehali primeraným povinnostiam mlčanlivosti; a
mali prístup len vtedy, ak je to primerane nevyhnutné.

3.3.

KWIGA zavedie primerané technické a organizačné opatrenia určené na ochranu Servisných údajov v súlade s oddielom 7 a prílohou B tejto DPA.

3.4.

So zreteľom na povahu Spracúvania a informácie dostupné spoločnosti KWIGA poskytne KWIGA Zákazníkovi primeranú súčinnosť pri plnení jeho povinností podľa Platných právnych predpisov o ochrane údajov vrátane povinností týkajúcich sa:

žiadostí Dotknutých osôb;
bezpečnosti Spracúvania;
Porušení ochrany osobných údajov;
posúdení vplyvu na ochranu údajov; a
konzultácií s Dozornými orgánmi, ak je to relevantné.

3.5.

KWIGA bude viesť záznamy a informácie týkajúce sa svojich činností Spracúvania v rozsahu vyžadovanom Platnými právnymi predpismi o ochrane údajov.

4. Žiadosti Dotknutých osôb

4.1.

Zákazník ako Prevádzkovateľ je primárne zodpovedný za odpovedanie na žiadosti Dotknutých osôb týkajúce sa Servisných údajov Spracúvaných spoločnosťou KWIGA v mene Zákazníka.

4.2.

KWIGA poskytuje Zákazníkovi funkcie a/alebo primerané mechanizmy na prístup k Servisným údajom pod kontrolou Zákazníka, ich správu a export a tam, kde to príslušná funkcia podporuje, aj na opravu alebo vymazanie takýchto Servisných údajov, s výhradou platných zákonných požiadaviek.

4.3.

So zreteľom na povahu Spracúvania poskytne KWIGA Zákazníkovi primeranú súčinnosť prostredníctvom vhodných technických a organizačných opatrení, pokiaľ je to možné, na splnenie povinností Zákazníka odpovedať na žiadosti Dotknutých osôb.

4.4.

Ak KWIGA dostane žiadosť Dotknutej osoby týkajúcu sa predovšetkým Servisných údajov, pre ktoré je Zákazník Prevádzkovateľom, KWIGA môže Dotknutú osobu odkázať na Zákazníka a prípadne Zákazníka o žiadosti informovať.

4.5.

KWIGA nebude samostatne odpovedať na takúto žiadosť v mene Zákazníka, pokiaľ:

ju k tomu Zákazník nepokynul;
to nie je povolené podľa Zmluvy; alebo
to nevyžaduje platný právny predpis.

5. Uchovávanie, export, vrátenie a vymazanie údajov

5.1. Zákazník určuje dobu uchovávania

Zákazník ako Prevádzkovateľ je zodpovedný za určenie primeraných lehôt uchovávania Servisných údajov Spracúvaných na účely určené Zákazníkom, s výhradou opatrení týkajúcich sa uchovávania a vymazania stanovených v tejto DPA a v Zmluve.

5.2. Doby uchovávania

Na Údaje služby sa môžu vzťahovať rôzne doby uchovávania v závislosti od povahy a účelu príslušných údajov a funkcionality, prostredníctvom ktorej sú tieto údaje Spracúvané.

Po ukončení alebo uplynutí platnosti predplatného Klienta môžu byť Údaje služby týkajúce sa príslušného Klienta uchovávané po dobu až deväťdesiatich (90) dní od dátumu ukončenia obdobia predplatného Klienta s cieľom umožniť opätovnú aktiváciu, získanie údajov a riadne ukončenie používania Služieb.

Po uplynutí uvedeného 90-dňového obdobia môže byť príslušný účet a/alebo škola deaktivovaný, skrytý alebo iným spôsobom zneprístupnený prostredníctvom bežného rozhrania Platformy KWIGA bez odstránenia alebo zmeny Údajov služby, ktoré sú v ňom obsiahnuté.

Príslušné Údaje služby môžu byť uchovávané počas ďalšieho obdobia až deväťdesiatich (90) dní s cieľom umožniť ich obnovenie, vyriešiť technické alebo zmluvné záležitosti a zabezpečiť riadne dokončenie poskytovania Služieb.

Po uplynutí celkového obdobia sto osemdesiatich (180) dní od ukončenia alebo uplynutia platnosti predplatného budú príslušné Údaje služby odstránené z aktívnych systémov Platformy KWIGA v súlade s príslušnými postupmi uchovávania a odstraňovania údajov.

Vyššie uvedený postup sa uplatňuje s prihliadnutím na zdokumentované pokyny príslušného Prevádzkovateľa, toto DPA a Príslušné Právne Predpisy o Ochrane Údajov. Nevzťahuje sa na Osobné Údaje, ktoré TUTERIA VCC nezávisle a zákonne Spracúva ako samostatný Prevádzkovateľ podľa Oddielu 5.7.

5.3. Uchovávanie počas používania Služieb

Servisné údaje sa vo všeobecnosti uchovávajú počas používania príslušných Služieb KWIGA Zákazníkom a v súlade s:

zdokumentovanými pokynmi Zákazníka;
touto DPA;
Zmluvou; a
Platné zákony o ochrane údajov.

Nič v tomto oddiele nezbavuje Zákazníka jeho zodpovednosti ako Prevádzkovateľa určiť, či konkrétne Servisné údaje zostávajú potrebné a mali by sa naďalej uchovávať.

5.4. Kontrola zo strany Zákazníka

KWIGA poskytuje Zákazníkovi funkcie a/alebo vhodné mechanizmy na prístup k Servisným údajom pod kontrolou Zákazníka, ich správu a export a tam, kde to príslušné funkcie podporujú, aj na vymazanie takýchto Servisných údajov, s výhradou platných právnych požiadaviek.

5.5. Ukončenie Služieb

Po ukončení alebo uplynutí platnosti predplatného Klienta môžu byť Údaje služby uchovávané v súlade s dobami a podmienkami stanovenými v Oddiele 5.2.

Počas prvých deväťdesiatich (90) dní môže byť Klientovi poskytnutá primeraná možnosť získať alebo exportovať Údaje služby s prihliadnutím na funkcionalitu príslušných Služieb.

Po uplynutí tohto obdobia môže byť príslušný účet a/alebo škola deaktivovaný, skrytý alebo zneprístupnený prostredníctvom bežného rozhrania Platformy KWIGA. Údaje služby môžu byť uchovávané počas ďalšieho obdobia až deväťdesiatich (90) dní v súlade s Oddielom 5.2.

5.6. Záložné kópie

Ak Servisné údaje po vymazaní z aktívnych systémov dočasne zostávajú v záložných systémoch, systémoch obnovy po havárii alebo podobných systémoch, takéto údaje naďalej podliehajú primeraným bezpečnostným opatreniam a nebudú obnovené ani používané na bežné Spracúvanie, s výnimkou prípadov, keď je to nevyhnutné na obnovu po havárii, bezpečnosť, dodržiavanie právnych predpisov alebo iné legitímne technické účely.

Takéto kópie budú vymazané alebo prepísané v súlade s platnými postupmi uchovávania záloh spoločnosti KWIGA.

5.7. Údaje spracúvané spoločnosťou TUTERIA VCC ako Prevádzkovateľom

Tento oddiel sa vzťahuje na Servisné údaje Spracúvané spoločnosťou TUTERIA VCC ako Sprostredkovateľom.

Nevyžaduje, aby spoločnosť TUTERIA VCC vymazala Osobné údaje, ktoré spoločnosť TUTERIA VCC nezávisle a zákonne Spracúva vo svojej funkcii Prevádzkovateľa.

Takéto údaje môžu byť uchovávané, ak je to potrebné na účely opísané v dokumente KWIGA Zásady ochrany súkromia a v súlade s Platnými zákonmi o ochrane údajov.

6. Sprostredkovatelia a Služby tretích strán vybrané Zákazníkom

6.1. Všeobecné oprávnenie

Zákazník poskytuje spoločnosti KWIGA všeobecné oprávnenie zapojiť Sprostredkovateľov, ak je to primerane potrebné na poskytovanie, údržbu, podporu, prevádzku alebo bezpečnosť Služieb KWIGA.

6.2. Povinnosti Sprostredkovateľov

Pred povolením Sprostredkovateľovi Spracúvať Servisné údaje spoločnosť KWIGA zabezpečí, aby sa na Sprostredkovateľa vzťahovali zmluvné povinnosti ochrany údajov, ktoré poskytujú primeranú úroveň ochrany Servisných údajov a spĺňajú požiadavky uplatniteľné na sprostredkovateľov podľa Platných zákonov o ochrane údajov.

6.3. Zodpovednosť

Spoločnosť KWIGA zostáva zodpovedná za plnenie svojich povinností v oblasti ochrany údajov svojimi Sprostredkovateľmi v rozsahu vyžadovanom Platnými zákonmi o ochrane údajov.

6.4. Informácie o Sprostredkovateľoch

KWIGA sprístupní Zákazníkom informácie o relevantných Sprostredkovateľoch prostredníctvom vhodného mechanizmu.

6.5. Zmeny Sprostredkovateľov

Ak to vyžadujú Platné zákony o ochrane údajov, KWIGA poskytne primerané oznámenie o zamýšľaných významných zmenách týkajúcich sa pridania alebo nahradenia Sprostredkovateľov.

Zákazník môže vzniesť primerané námietky, ktoré sa konkrétne týkajú obáv o ochranu údajov vyplývajúcich z navrhovaného Sprostredkovateľa.

Strany budú v dobrej viere spolupracovať na vyriešení každej takejto primeranej námietky.

6.6. Služby tretích strán vybrané Zákazníkom

Ak Zákazník nezávisle aktivuje alebo pripojí integráciu tretej strany pomocou vlastného účtu, prihlasovacích údajov alebo kľúčov API, spoločnosť TUTERIA spracúva a prenáša Servisné údaje tejto tretej strane na základe zdokumentovaných pokynov Zákazníka.

Zákazník je zodpovedný za určenie, či jeho používanie takejto služby tretej strany spĺňa Platné zákony o ochrane údajov, vrátane uzavretia všetkých požadovaných zmluvných dohôd a zavedenia záruk medzinárodného prenosu údajov s touto treťou stranou.

7. Bezpečnosť Spracúvania

7.1.

S prihliadnutím na súčasný stav techniky, náklady na zavedenie a povahu, rozsah, kontext a účely Spracúvania, ako aj na riziká rôznej pravdepodobnosti a závažnosti pre práva a slobody jednotlivcov, KWIGA zavedie a bude udržiavať primerané technické a organizačné opatrenia navrhnuté na zabezpečenie úrovne bezpečnosti primeranej riziku.

7.2.

V závislosti od povahy a rizík príslušného Spracúvania môžu takéto opatrenia zahŕňať:

a. mechanizmy kontroly prístupu a autorizácie;

b. opatrenia navrhnuté na zachovanie primeraného oddelenia a autorizácie medzi prostrediami a údajmi Zákazníkov;

c. opatrenia autentifikácie a správy prístupu;

d. zaznamenávanie a monitorovanie;

e. opatrenia určené na odhaľovanie podozrivej činnosti, zneužitia a neoprávneného prístupu;

f. kontroly prevádzky a požiadaviek vrátane obmedzenia frekvencie požiadaviek, ak je to vhodné;

g. riadenie zraniteľností;

h. bezpečnostné testovanie;

i. postupy na detekciu incidentov a reakciu na ne;

j. opatrenia zálohovania a obnovy;

k. kontroly týkajúce sa prístupu dodávateľov, poskytovateľov služieb a iných oprávnených osôb;

l. postupy na preskúmanie bezpečnostných udalostí a incidentov; a

m. pravidelné preskúmavanie a testovanie príslušných technických a organizačných bezpečnostných kontrol.

7.3.

Ďalšie informácie o kategóriách technických a organizačných opatrení zavedených spoločnosťou KWIGA sú uvedené v Prílohe B.

7.4.

KWIGA môže z času na čas aktualizovať svoje technické a organizačné opatrenia tak, aby zohľadňovali:

technologický vývoj;
identifikované riziká;
zmeny Služieb;
výsledky bezpečnostných preskúmaní;
bezpečnostné incidenty; a
zmeny príslušných právnych predpisov.

Takéto zmeny podstatne neznížia celkovú úroveň ochrany poskytovanej Údajom o službe.

8. Porušenia ochrany osobných údajov a bezpečnostné incidenty

8.1. Oznámenie Zákazníkovi

KWIGA bez zbytočného odkladu oznámi Zákazníkovi, že sa dozvedela o Porušení ochrany osobných údajov, ktoré sa týka Údajov o službe Spracúvaných spoločnosťou KWIGA v mene Zákazníka.

8.2. Poskytnuté informácie

V rozsahu, v akom má KWIGA príslušné informácie primerane k dispozícii, oznámenie bude obsahovať:

a. opis povahy Porušenia ochrany osobných údajov;

b. kategórie dotknutých Osobných údajov;

c. kategórie dotknutých Dotknutých osôb;

d. približný počet dotknutých Dotknutých osôb, ak je známy;

e. približný počet dotknutých záznamov Osobných údajov, ak je známy;

f. pravdepodobné dôsledky Porušenia ochrany osobných údajov, ak ich možno primerane určiť;

g. opatrenia prijaté alebo navrhované na obmedzenie, prešetrenie a nápravu Porušenia ochrany osobných údajov; a

h. kontaktné údaje alebo iný vhodný kontaktný kanál, prostredníctvom ktorého možno získať ďalšie informácie.

8.3. Postupné poskytovanie informácií

Ak v čase počiatočného oznámenia nie sú k dispozícii všetky príslušné informácie, KWIGA môže najprv poskytnúť dostupné informácie a dopĺňať ich postupne v priebehu vyšetrovania.

8.4. Vyšetrovanie a náprava

KWIGA prijme vhodné opatrenia na:

prešetrenie incidentu;
identifikáciu jeho povahy a rozsahu;
obmedzenie incidentu;
zmiernenie primerane predvídateľných nepriaznivých účinkov;
uchovať relevantné dôkazy;
primerane odstrániť identifikované zraniteľnosti; a
prijať primerané opatrenia určené na zníženie rizika opakovania.

8.5. Pomoc Zákazníkovi

S prihliadnutím na povahu Spracúvania a informácie dostupné spoločnosti KWIGA poskytne KWIGA Zákazníkovi primeranú pomoc pri plnení príslušných povinností týkajúcich sa:

oznámenia Dozornému orgánu;
komunikácie s dotknutými Dotknutými osobami;
posúdenia rizík pre práva a slobody jednotlivcov; a
dokumentácie Porušenia ochrany Osobných údajov.

8.6. Zodpovednosť Prevádzkovateľa

Zákazník zostáva vo svojej funkcii Prevádzkovateľa zodpovedný za určenie, či Porušenie ochrany Osobných údajov ovplyvňujúce Servisné údaje vyžaduje:

oznámenie Dozornému orgánu;
komunikáciu dotknutým Dotknutým osobám; alebo
iné opatrenie vyžadované podľa Príslušných právnych predpisov o ochrane údajov.

Tým nie sú dotknuté žiadne nezávislé právne povinnosti spoločnosti TUTERIA VCC týkajúce sa Osobných údajov, pri ktorých spoločnosť TUTERIA VCC vystupuje ako Prevádzkovateľ.

8.7. Bez uznania zodpovednosti

Oznámenie o Porušení ochrany Osobných údajov alebo spolupráca v súvislosti s ním samo osebe nepredstavuje uznanie zavinenia alebo zodpovednosti žiadnou zo strán.

9. Medzinárodné prenosy údajov

9.1.

Ak sú Servisné údaje Spracúvané v rámci Európskeho hospodárskeho priestoru („EHP“), takéto Spracúvanie nepredstavuje prenos do tretej krajiny na účely kapitoly V GDPR.

9.2.

Ak spoločnosť KWIGA alebo oprávnený Sprostredkovateľ prenáša Servisné údaje mimo EHP do jurisdikcie, ktorá nebola uznaná za jurisdikciu poskytujúcu primeranú úroveň ochrany podľa príslušných právnych predpisov, KWIGA zabezpečí zavedenie vhodného mechanizmu prenosu, ak sa to vyžaduje.

Takéto mechanizmy môžu zahŕňať:

rozhodnutie Európskej komisie o primeranosti;
štandardné zmluvné doložky schválené Európskou komisiou;
záväzné vnútropodnikové pravidlá, ak je to uplatniteľné; alebo
iný zákonný mechanizmus prenosu uznaný podľa Príslušných právnych predpisov o ochrane údajov.

9.3.

Ak sa to vyžaduje podľa Príslušných právnych predpisov o ochrane údajov, KWIGA zavedie doplňujúce opatrenia primerané príslušnému prenosu a súvisiacim rizikám.

9.4.

Ak sa to vyžaduje podľa Príslušných právnych predpisov o ochrane údajov, KWIGA na žiadosť Zákazníka poskytne primerané informácie o uplatniteľných zárukách medzinárodného prenosu.

10. Informácie o súlade a audity

10.1.

KWIGA sprístupní Zákazníkovi informácie primerane potrebné na preukázanie súladu s povinnosťami spoločnosti KWIGA ako Sprostredkovateľa podľa Príslušných právnych predpisov o ochrane údajov.

10.2.

Na základe primeranej písomnej žiadosti KWIGA poskytne relevantné informácie týkajúce sa:

spracúvania Servisných údajov;
uplatniteľných technických a organizačných opatrení;
relevantných Sprostredkovateľov; a
iných záležitostí primerane potrebných na to, aby Zákazník mohol posúdiť súlad spoločnosti KWIGA s touto DPA.

10.3.

Ak informácie sprístupnené spoločnosťou KWIGA nie sú primerane dostatočné na preukázanie súladu a ak sa audit vyžaduje podľa Príslušných právnych predpisov o ochrane údajov, KWIGA umožní primerané audity alebo kontroly týkajúce sa Spracúvania Servisných údajov a bude na nich spolupracovať.

10.4.

Ak Dozorný orgán alebo Príslušné právne predpisy o ochrane údajov nevyžadujú inak, Zákazník:

poskytne primerané písomné oznámenie o audite vopred;
obmedzí audit na záležitosti relevantné pre Spracúvanie podľa tejto DPA;
vykoná audit počas bežných pracovných hodín, ak je to primerane možné;
zabráni zbytočnému narušeniu prevádzky spoločnosti KWIGA; a
zabezpečiť, aby audítori podliehali primeraným povinnostiam mlčanlivosti.

10.5.

Audit neoprávňuje Zákazníka ani jeho audítora na prístup k:

Osobným údajom patriacim inému Zákazníkovi;
dôverným informáciám iného Zákazníka;
informáciám, ktoré by ohrozili bezpečnosť systémov KWIGA;
zdrojovému kódu ani inému chránenému duševnému vlastníctvu, s výnimkou prípadov, keď to výslovne vyžaduje uplatniteľné právo; alebo
informáciám, ktoré nesúvisia s činnosťami Zákazníka v rámci Spracúvania.

10.6.

Zmluvné strany budú v dobrej viere spolupracovať v súvislosti s primeranými požiadavkami na audit od príslušných Dozorných orgánov.

11. Posúdenia vplyvu na ochranu údajov a Dozorné orgány

11.1.

S prihliadnutím na povahu Spracúvania a informácie dostupné spoločnosti KWIGA poskytne KWIGA Zákazníkovi primeranú pomoc pri posúdeniach vplyvu na ochranu údajov, ak je Zákazník povinný vykonať takéto posúdenie podľa Uplatniteľných právnych predpisov o ochrane údajov.

11.2.

Ak to vyžadujú Uplatniteľné právne predpisy o ochrane údajov, KWIGA poskytne primeranú pomoc súvisiacu s predchádzajúcou konzultáciou s príslušným Dozorným orgánom týkajúcou sa Spracúvania vykonávaného prostredníctvom Služieb.

12. Dôvernosť

12.1.

Každá zmluvná strana bude chrániť Osobné údaje a dôverné informácie prijaté v súvislosti s touto DPA pred neoprávneným zverejnením.

12.2.

KWIGA zabezpečí, aby dodávatelia, poskytovatelia služieb a iné osoby oprávnené Spracúvať Servisné údaje podliehali primeraným povinnostiam mlčanlivosti alebo príslušnej zákonnej povinnosti mlčanlivosti.

12.3.

Zákazník zabezpečí, aby prihlasovacie údaje, prístupové práva a administratívne funkcie sprístupnené prostredníctvom Platformy KWIGA používali len primerane oprávnené osoby.

13. Záznamy a spolupráca

13.1.

Každá zmluvná strana bude viesť záznamy týkajúce sa jej činností Spracúvania v rozsahu vyžadovanom Uplatniteľnými právnymi predpismi o ochrane údajov.

13.2.

Zmluvné strany budú primerane spolupracovať, ak je to potrebné na odpovedanie na zákonné žiadosti Dozorných orgánov týkajúce sa Spracúvania upraveného touto DPA.

13.3.

Nič v tejto DPA nevyžaduje, aby ktorákoľvek zmluvná strana zverejnila informácie, ak je ich zverejnenie zakázané uplatniteľným právom.

14. Zodpovednosť

14.1.

Každá zmluvná strana zodpovedá za vlastné dodržiavanie Uplatniteľných právnych predpisov o ochrane údajov a za povinnosti, ktoré jej vyplývajú z tejto DPA.

14.2.

Zodpovednosť medzi zmluvnými stranami vyplývajúca z tejto DPA alebo v súvislosti s ňou podlieha obmedzeniam a vylúčeniam zodpovednosti uvedeným v Zmluve v rozsahu povolenom Uplatniteľnými právnymi predpismi o ochrane údajov.

14.3.

Nič v tejto DPA nevylučuje ani neobmedzuje zodpovednosť, ak je takéto vylúčenie alebo obmedzenie zakázané uplatniteľným právom.

15. Doba trvania a ukončenie

15.1.

Táto DPA nadobúda účinnosť, keď sa Zákazník stane viazaným Zmluvou a KWIGA začne Spracúvať Servisné údaje v mene Zákazníka.

15.2.

Táto DPA zostáva účinná, pokiaľ KWIGA Spracúva Servisné údaje v mene Zákazníka.

15.3.

Ukončenie alebo uplynutie platnosti Zmluvy nemá vplyv na ustanovenia tejto DPA, ktoré majú svojou povahou pretrvať aj po ukončení, vrátane ustanovení týkajúcich sa dôvernosti, vymazania alebo vrátenia Servisných údajov, zodpovednosti a uplatniteľného práva.

16. Vzťah k iným zmluvám

16.1.

Táto DPA tvorí súčasť Zmluvy medzi Zákazníkom a TUTERIA VCC upravujúcej používanie Služieb KWIGA.

16.2.

V prípade rozporu medzi touto DPA a iným ustanovením Zmluvy týkajúcim sa Spracúvania Servisných údajov spoločnosťou TUTERIA VCC ako Sprostredkovateľom má táto DPA prednosť vo vzťahu ku konfliktnej záležitosti ochrany údajov.

16.3.

Zásady ochrany súkromia Ochrana osobných údajov upravujú činnosti Spracúvania, pri ktorých TUTERIA VCC koná ako Prevádzkovateľ.

Táto DPA upravuje Spracúvanie Servisných údajov vykonávané spoločnosťou TUTERIA VCC v mene Zákazníka ako Sprostredkovateľom.

17. Uplatniteľné právo

17.1.

Táto DPA sa riadi právom uplatniteľným na Zmluvu medzi Zákazníkom a TUTERIA VCC, bez toho, aby boli dotknuté kogentné ustanovenia Uplatniteľných právnych predpisov o ochrane údajov.

17.2.

Nič v tejto DPA neobmedzuje uplatňovanie GDPR ani právomoci a jurisdikciu príslušného Dozorného orgánu, ak sa takéto právo alebo jurisdikcia uplatňuje.

18. Zmeny tejto DPA

18.1.

KWIGA môže túto DPA aktualizovať, ak je to primerane potrebné na:

dodržanie zmien Uplatniteľných právnych predpisov o ochrane údajov;
zohľadniť zmeny v Službách KWIGA;
aktualizovať technické alebo organizačné opatrenia;
aktualizovať opatrenia týkajúce sa Spracúvania; alebo
objasniť práva a povinnosti zmluvných strán.

18.2.

Ak zmena podstatne ovplyvní Spracúvanie Servisných údajov alebo práva a povinnosti Zákazníka v oblasti ochrany údajov, KWIGA poskytne primerané oznámenie, ak to vyžadujú platné právne predpisy alebo Zmluva.

19. Kontakt

Otázky týkajúce sa tejto DPA alebo Spracúvania Servisných údajov spoločnosťou KWIGA v mene Zákazníka možno zaslať na:

TUTERIA VCC
Ulica Vrabcha 17A, 1. poschodie, byt 3
1000 Sofia, Bulharsko
E-mail: support@kwiga.com

PRÍLOHA A

PODROBNOSTI O SPRACÚVANÍ

Táto príloha tvorí súčasť Dohody o spracúvaní údajov.

1. Predmet spracúvania

Spracúvanie Servisných údajov spoločnosťou KWIGA v rozsahu potrebnom na poskytovanie, údržbu, podporu a zabezpečenie Služieb KWIGA vybraných a nakonfigurovaných Zákazníkom.

2. Trvanie spracúvania

Počas obdobia používania príslušných Služieb KWIGA Zákazníkom. Po ukončení alebo uplynutí platnosti predplatného Zákazníka môžu byť Servisné údaje špecifické pre Zákazníka uchovávané až deväťdesiat (90) dní od skončenia obdobia predplatného Zákazníka, aby sa umožnila opätovná aktivácia, získanie údajov a riadne ukončenie poskytovania Služieb.

Po uplynutí tohto obdobia budú Osobné údaje obsiahnuté v Servisných údajoch špecifických pre Zákazníka vrátane súvisiacich údajov o objednávkach anonymizované v súlade s článkom 5 DPA a platnými postupmi uchovávania spoločnosti KWIGA. Po ďalších deväťdesiatich (90) dňoch od takejto anonymizácie budú príslušné údaje natrvalo vymazané z aktívnych systémov Platformy KWIGA v súlade s platnými postupmi uchovávania a vymazávania, pokiaľ ich ďalšie uchovávanie nevyžadujú platné právne predpisy alebo nie je inak povolené podľa DPA. Ak TUTERIA VCC Spracúva Osobné údaje v mene Zákazníka ako Sprostredkovateľ, tento proces uchovávania a vymazávania sa uplatňuje s výhradou zdokumentovaných pokynov Zákazníka, príslušnej dohody o spracúvaní údajov a Platných právnych predpisov o ochrane údajov.

Na Osobné údaje Spracúvané spoločnosťou TUTERIA VCC v jej postavení nezávislého Prevádzkovateľa sa vzťahujú lehoty uchovávania platné pre takéto Spracúvanie.

3. Povaha spracúvania

V závislosti od Služieb vybraných a nakonfigurovaných Zákazníkom môže Spracúvanie zahŕňať:

zhromažďovanie;
zaznamenávanie;
organizovanie;
štruktúrovanie;
uchovávanie;
hosting;
prispôsobovanie;
získavanie;
nahliadanie;
používanie;
prenos;
sprístupňovanie;
správa;
analýza podľa pokynov Zákazníka;
obmedzenie;
export;
vymazanie;
anonymizácia; a
iné Spracúvanie nevyhnutné na poskytovanie vybraných Služieb.

4. Účely spracúvania

Spracúvanie Servisných údajov na účely určené Zákazníkom vrátane, v závislosti od používania KWIGA Zákazníkom:

správa študentov a zákazníkov;
funkcionalita CRM;
funkcionalita LMS;
poskytovanie a správa kurzov a vzdelávacích programov;
správa prístupu k digitálnym produktom;
testy, kvízy a úlohy;
sledovanie pokroku v kurze;
certifikáty;
komunikácia so študentmi a zákazníkmi;
funkcionalita e-mailov a oznámení;
automatizácie;
správa objednávok;
funkcionalita integrácií;
zákaznícka podpora;
reportovanie a analytika vybrané Zákazníkom; a
ďalšie funkcionality povolené alebo nakonfigurované Zákazníkom.

5. Kategórie dotknutých osôb

V závislosti od toho, ako Zákazník používa Služby, môžu dotknuté osoby zahŕňať:

študentov;
učiacich sa;
zákazníkov;
potenciálnych zákazníkov;
odberateľov;
účastníkov kurzu;
zamestnancov a zmluvných pracovníkov Zákazníka;
lektorov;
administrátorov;
asistentov;
zástupcov Zákazníka; a
ďalšie osoby, ktorých Osobné údaje sú predložené alebo spracúvané prostredníctvom Platformy KWIGA Zákazníkom alebo v jeho mene.

6. Kategórie osobných údajov

V závislosti od Služieb využívaných Zákazníkom môžu Servisné údaje zahŕňať:

Identifikačné a profilové informácie

meno;
druhé meno;
priezvisko;
profilový obrázok;
identifikátory účtu alebo profilu.

Kontaktné informácie

e-mailová adresa;
telefónne číslo;
ďalšie kontaktné údaje poskytnuté Zákazníkom alebo Dotknutou osobou.

Informácie o vzdelávaní a učení

kurzy a programy;
zápis;
informácie o prístupe;
postup v kurze;
dokončenie lekcie;
odpovede na kvízy a testy;
výsledky testov;
skóre;
zadania;
komentáre;
certifikáty;
úspechy;
body a stavy.

Informácie o CRM a správe zákazníkov

značky;
skupiny;
stav zákazníka;
poznámky;
história zákazníka;
história komunikácie;
vlastné polia nakonfigurované Zákazníkom.

Informácie súvisiace s objednávkami a transakciami

identifikátory objednávok;
produkty;
sumy;
meny;
zľavy;
kupóny;
stav platby;
dátumy transakcií;
informácie o vrátení peňazí;
parametre splátok alebo predplatného;
ďalšie informácie o objednávkach spracúvané v mene Zákazníka.

KWIGA nevyžaduje, aby Zákazníci zadávali bezpečnostné údaje platobných kariet, ako sú úplné čísla kariet alebo kódy CVC, do bežných polí Servisných údajov CRM alebo LMS.

Komunikácia

správy;
e-maily;
komentáre;
informácie súvisiace s podporou;
iná komunikácia spracúvaná prostredníctvom funkcionality vybranej Zákazníkom.

Technické informácie
V rozsahu Spracúvania v mene Zákazníka:

IP adresa;
informácie o prihlásení/aktivite;
informácie o zariadení alebo prehliadači;
technické identifikátory;
časové pečiatky.

7. Osobitné kategórie osobných údajov

Služby KWIGA nevyžadujú, aby Zákazník Spracúval Osobitné kategórie osobných údajov. Servisné údaje však môžu zahŕňať Osobitné kategórie osobných údajov, ak sa Zákazník rozhodne takéto údaje zhromažďovať alebo inak Spracúvať prostredníctvom dotazníkov, formulárov, vlastných polí, nahraného obsahu, komunikácie alebo iných konfigurovateľných funkcií Služieb.

Zákazník určuje obsah a účely takéhoto Spracúvania a zodpovedá za stanovenie príslušného právneho základu a v prípade potreby aj príslušnej podmienky podľa článku 9 GDPR.

8. Frekvencia spracúvania

Spracúvanie môže prebiehať nepretržite alebo pravidelne počas doby používania príslušných Služieb Zákazníkom, v závislosti od vybranej funkcionality a pokynov Zákazníka.

PRÍLOHA B

TECHNICKÉ A ORGANIZAČNÉ OPATRENIA

TUTERIA VCC zavádza technické a organizačné opatrenia navrhnuté tak, aby poskytovali úroveň bezpečnosti primeranú rizikám spojeným so Spracúvaním Servisných údajov.

Nižšie opísané opatrenia predstavujú kategórie bezpečnostných opatrení a môžu sa z času na čas prispôsobiť alebo doplniť na základe povahy Spracúvania, technologického vývoja, identifikovaných rizík a zmien v Službách KWIGA.

1. Kontrola prístupu a autorizácia

KWIGA zavádza opatrenia určené na obmedzenie prístupu k Osobným údajom a funkcionalite Platformy na autorizovaných používateľov, oprávnené osoby a systémy.

Takéto opatrenia môžu zahŕňať:

autentifikáciu používateľov;
správu rolí a oprávnení;
kontroly autorizácie;
obmedzenia prístupu na základe príslušného kontextu používateľa alebo Zákazníka;
správu a preskúmavanie interných prístupových práv; a
opatrenia určené na zabránenie neoprávnenému prístupu medzi prostrediami Zákazníkov.

2. Oddelenie a autorizácia údajov Zákazníkov

KWIGA zavádza technické kontroly určené na zabezpečenie toho, aby bol prístup k údajom Zákazníka primerane obmedzený podľa Zákazníka, účtu, školy, projektu alebo iného príslušného kontextu autorizácie.

Kontroly autorizácie sa primerane preskúmavajú a testujú vo vzťahu k príslušnej funkcionalite.

3. Zaznamenávanie a monitorovanie

KWIGA používa mechanizmy zaznamenávania a monitorovania primerané prevádzke a bezpečnosti Služieb.

Tieto opatrenia môžu zahŕňať:

zaznamenávanie aplikácií a systémov;
monitorovanie bezpečnostných udalostí;
detekcia podozrivej aktivity;
monitorovanie chýb;
monitorovanie prevádzky;
analýza nezvyčajnej alebo potenciálne zneužívajúcej aktivity; a
uchovávanie príslušných záznamov o bezpečnostných incidentoch.

4. Prevencia zneužitia a neoprávneného prístupu

KWIGA zavádza opatrenia určené na detekciu, obmedzenie a reakciu na zneužitie, neoprávnený prístup a automatizované zneužívanie funkcií Platformy.

V závislosti od príslušnej služby alebo koncového bodu môžu tieto opatrenia zahŕňať:

kontroly požiadaviek;
kontroly miery požiadaviek;
obmedzenia prístupu;
automatizované alebo manuálne mechanizmy blokovania;
detekciu podozrivej aktivity; a
dodatočné overovacie alebo autorizačné kontroly.

5. Správa zraniteľností a testovanie bezpečnosti

KWIGA udržiava procesy na identifikáciu, posudzovanie a nápravu bezpečnostných zraniteľností.

Takéto opatrenia môžu zahŕňať:

bezpečnostné kontroly;
testovanie autorizačných kontrol;
automatizované testovanie, ak je to vhodné;
nápravu zraniteľností;
preskúmanie bezpečnostných zistení;
regresné testovanie; a
overenie nápravných opatrení.

6. Detekcia incidentov a reakcia na ne

KWIGA udržiava procesy určené na detekciu, eskaláciu, vyšetrovanie, zvládnutie a nápravu bezpečnostných incidentov a porušení ochrany osobných údajov.

Takéto procesy môžu zahŕňať:

eskaláciu incidentov;
technické vyšetrovanie;
uchovávanie a analýzu príslušných protokolov;
opatrenia na zvládnutie;
nápravu;
posúdenie rizík;
posúdenie oznamovania regulačným orgánom a Zákazníkovi;
preskúmanie po incidente; a
vykonanie nápravných opatrení.

7. Kontroly dôvernosti a oprávnených osôb

Osoby oprávnené na prístup k Servisným údajom podliehajú primeraným povinnostiam mlčanlivosti.

Prístup k osobným údajom sa poskytuje na základe prevádzkových požiadaviek a v primerane možnom rozsahu je obmedzený.

8. Zálohovanie a obnova

KWIGA udržiava procesy zálohovania a obnovy primerané príslušným Službám a infraštruktúre.

Zálohované údaje podliehajú primeraným kontrolám prístupu a bezpečnosti.

Vymazané Osobné údaje môžu dočasne zostať v záložných systémoch, kým nie sú vymazané alebo prepísané v súlade s príslušnými postupmi uchovávania záloh.

9. Dostupnosť a odolnosť

KWIGA zavádza opatrenia určené na podporu dostupnosti a odolnosti Služieb primerane povahe a riziku príslušného Spracúvania.

10. Bezpečnostná kontrola

Technické a organizačné opatrenia môžu byť preskúmané a aktualizované na základe:

zmien Platformy;
identifikovaných bezpečnostných rizík;
zistení zraniteľností;
incidentov;
zmien príslušných právnych požiadaviek; a
technologického vývoja.

Aktualizácie nesmú podstatne znížiť celkovú úroveň ochrany poskytovanú Údajom Služby.