Zmluva o spracúvaní osobných údajov

Stručne a zrozumiteľne

Tento prehľad slúži len na rýchlu orientáciu. Právne záväzné je úplné znenie nižšie.

• Keď si do frega ukladáte údaje o svojich klientoch, kontaktoch alebo spolupracovníkoch, ste ich prevádzkovateľom vy. My ich spracúvame len na váš pokyn, ako sprostredkovateľ podľa čl. 28 GDPR.
• Túto zmluvu uzatvárate automaticky prijatím Obchodných podmienok. Nič nemusíte podpisovať.
• Údaje používame len na poskytovanie Služby, nikdy na vlastné účely, a chránime ich primeranými opatreniami. Trezor je šifrovaný end-to-end a jeho obsah nevidíme.
• S niektorými úlohami nám pomáhajú ďalší sprostredkovatelia (zoznam je v Prílohe 1). O ich zmene vás vopred informujeme.
• Pri porušení ochrany údajov vás bez zbytočného odkladu upozorníme a pomôžeme vám s vybavením žiadostí dotknutých osôb.
• Po zrušení účtu sa údaje natrvalo vymažú po 30 dňoch.

Článok 1 – Zmluvné strany a uzavretie zmluvy

1.1 Táto zmluva o spracúvaní osobných údajov (ďalej len „Zmluva o spracúvaní“) sa uzatvára medzi:

a) Používateľom Služby frego, ktorý je vo vzťahu k osobným údajom podľa článku 3 prevádzkovateľom v zmysle nariadenia (EÚ) 2016/679 (ďalej len „GDPR“), a

b) spoločnosťou WCR Technologies s. r. o., Karpatské námestie 7770/10A, 831 06 Bratislava – mestská časť Rača, IČO: 57261733, zapísanou v Obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka č. 192642/B, e-mail: studio@wcr.sk, ktorá je vo vzťahu k týmto údajom sprostredkovateľom (ďalej len „Sprostredkovateľ“).

1.2 Zmluva o spracúvaní je súčasťou zmluvy o poskytovaní Služby uzavretej podľa Všeobecných obchodných podmienok (ďalej len „VOP“). Používateľ ju prijíma spolu s VOP pri registrácii; samostatný podpis sa nevyžaduje. Pojmy s veľkým začiatočným písmenom, ktoré nie sú definované v tejto Zmluve o spracúvaní, majú význam podľa VOP. Pojmy „osobné údaje“, „spracúvanie“, „dotknutá osoba“, „porušenie ochrany osobných údajov“ a ďalšie majú význam podľa GDPR.

1.3 Táto Zmluva o spracúvaní sa nevzťahuje na osobné údaje, ktoré Sprostredkovateľ spracúva ako prevádzkovateľ (najmä údaje o účte Používateľa, platobné údaje, komunikáciu s podporou a bezpečnostné záznamy); tie upravujú Zásady ochrany osobných údajov.

Článok 2 – Predmet, povaha, účel a doba spracúvania

2.1 Predmetom je spracúvanie osobných údajov, ktoré Používateľ, Členovia jeho Projektov alebo ním pozvané osoby vložia do Služby, a to výlučne na účel poskytovania Služby Používateľovi podľa VOP.

2.2 Povaha spracúvania zahŕňa najmä uchovávanie, usporiadanie, zobrazovanie, vyhľadávanie, sprístupňovanie Členom projektu podľa nastavení Používateľa, zálohovanie, zasielanie notifikácií, generovanie dokumentov (napríklad faktúr a výkazov práce), synchronizáciu so službami, ktoré Používateľ prepojí, spracovanie prostredníctvom AI funkcií, ktoré Používateľ spustí, a vymazanie.

2.3 Doba spracúvania zodpovedá dobe trvania zmluvy o poskytovaní Služby a lehote na vymazanie údajov podľa článku 10.

Článok 3 – Kategórie dotknutých osôb a osobných údajov

3.1 Kategórie dotknutých osôb: klienti Používateľa a ich zástupcovia a kontaktné osoby, Členovia projektu a ďalšie osoby pozvané do Projektov, dodávatelia a odberatelia uvedení na faktúrach a ďalšie osoby, o ktorých Používateľ v Službe vedie záznamy.

3.2 Kategórie osobných údajov: identifikačné a kontaktné údaje (meno, e-mail, telefón, adresa, IČO, DIČ, IČ DPH), údaje na faktúrach a o platbách, obsah úloh, komentárov, poznámok, špecifikácií, nápadov a myšlienkových máp, záznamy o odpracovanom čase, súbory a ich obsah, hlasové nahrávky, údaje o udalostiach v kalendári a položky Trezoru.

3.3 Položky Trezoru sa šifrujú v prehliadači end-to-end a Sprostredkovateľ ich uchováva iba v zašifrovanej podobe bez možnosti prístupu k ich obsahu.

3.4 Služba nie je určená na spracúvanie osobitných kategórií osobných údajov (čl. 9 GDPR) ani údajov týkajúcich sa trestných činov (čl. 10 GDPR). Ak ich Používateľ do Služby napriek tomu vloží, zodpovedá za to, že na ich spracúvanie má právny základ a že prijaté opatrenia sú pre ne dostatočné.

Článok 4 – Pokyny Používateľa

4.1 Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Používateľa. Za takéto pokyny sa považujú táto Zmluva o spracúvaní, VOP a úkony, ktoré Používateľ alebo ním oprávnené osoby vykonajú v Službe (napríklad vloženie, úprava, zdieľanie alebo vymazanie údajov, pozvanie Člena projektu, zapnutie integrácie či spustenie AI funkcie). Ďalšie pokyny môže Používateľ dať e-mailom na studio@wcr.sk, ak sú technicky uskutočniteľné a v súlade so Službou.

4.2 Sprostredkovateľ nespracúva osobné údaje na vlastné účely, nepredáva ich a nepoužíva ich na reklamu ani na trénovanie modelov umelej inteligencie.

4.3 Ak je Sprostredkovateľ povinný spracúvať osobné údaje na základe práva Únie alebo členského štátu, informuje o tom Používateľa pred spracúvaním, pokiaľ mu to dané právo nezakazuje.

4.4 Ak sa Sprostredkovateľ domnieva, že pokyn porušuje GDPR alebo iné predpisy o ochrane údajov, bezodkladne o tom Používateľa informuje a nie je povinný taký pokyn vykonať.

Článok 5 – Povinnosti Sprostredkovateľa

5.1 Sprostredkovateľ:

a) zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby podliehali zákonnej povinnosti mlčanlivosti, b) prijme a udržiava technické a organizačné opatrenia podľa čl. 32 GDPR, ktorých súhrn je uvedený v Prílohe 2; opatrenia môže meniť, ak sa tým úroveň ochrany nezníži, c) dodržiava podmienky zapojenia ďalších sprostredkovateľov podľa článku 6, d) poskytuje Používateľovi súčinnosť podľa článku 8, e) oznamuje porušenia ochrany osobných údajov podľa článku 9, f) po skončení poskytovania Služby postupuje podľa článku 10, g) poskytuje Používateľovi informácie a umožňuje audity podľa článku 11.

Článok 6 – Ďalší sprostredkovatelia

6.1 Používateľ udeľuje Sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov. Ďalší sprostredkovatelia zapojení ku dňu účinnosti tejto Zmluvy o spracúvaní sú uvedení v Prílohe 1.

6.2 Sprostredkovateľ informuje Používateľa o zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa e-mailom alebo v Službe najmenej 14 dní vopred a aktualizuje Prílohu 1. Používateľ môže proti zmene z odôvodnených dôvodov týkajúcich sa ochrany osobných údajov namietať na studio@wcr.sk. Ak sa strany nedohodnú na riešení, Používateľ môže Zmluvu ukončiť zrušením účtu pred účinnosťou zmeny, pričom má nárok na vrátenie pomernej časti zaplatenej ceny za obdobie po ukončení Zmluvy.

6.3 Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi zmluvou rovnaké povinnosti ochrany osobných údajov, aké sú uvedené v tejto Zmluve o spracúvaní, najmä povinnosť poskytnúť dostatočné záruky primeraných technických a organizačných opatrení. Za splnenie povinností ďalšieho sprostredkovateľa zodpovedá Sprostredkovateľ Používateľovi podľa čl. 28 ods. 4 GDPR.

Článok 7 – Prenos do tretích krajín

7.1 Sprostredkovateľ ukladá osobné údaje v Európskej únii. Niektorí ďalší sprostredkovatelia uvedení v Prílohe 1 môžu údaje spracúvať aj v USA. Takýto prenos sa uskutočňuje len na základe rozhodnutia o primeranosti (EU–US Data Privacy Framework) alebo štandardných zmluvných doložiek a v súlade s kapitolou V GDPR.

7.2 Údaje sa poskytovateľom AI funkcií odovzdávajú len vtedy, keď Používateľ alebo Člen projektu AI funkciu sám spustí, a len v rozsahu potrebnom na vykonanie danej akcie.

Článok 8 – Súčinnosť

8.1 Sprostredkovateľ s ohľadom na povahu spracúvania pomáha Používateľovi primeranými technickými a organizačnými opatreniami plniť povinnosť reagovať na žiadosti dotknutých osôb o výkon ich práv. Väčšinu žiadostí (prístup, opravu, vymazanie) môže Používateľ vybaviť priamo v Službe; v ostatných prípadoch mu Sprostredkovateľ na žiadosť poskytne súčinnosť, napríklad export údajov.

8.2 Ak sa dotknutá osoba obráti so žiadosťou priamo na Sprostredkovateľa, Sprostredkovateľ ju bez zbytočného odkladu postúpi Používateľovi, ak ho dokáže určiť, a sám na ňu vecne neodpovie, pokiaľ ho na to Používateľ nepoverí.

8.3 Sprostredkovateľ s ohľadom na povahu spracúvania a dostupné informácie pomáha Používateľovi pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu, predchádzajúca konzultácia).

Článok 9 – Porušenie ochrany osobných údajov

9.1 Sprostredkovateľ oznámi Používateľovi porušenie ochrany osobných údajov, ktoré sa týka jeho údajov, bez zbytočného odkladu po tom, ako sa o ňom dozvie, e-mailom na adresu účtu.

9.2 Oznámenie obsahuje, v rozsahu, v akom sú informácie dostupné, opis povahy porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné dôsledky a prijaté alebo navrhované opatrenia, ako aj kontakt na získanie ďalších informácií. Informácie, ktoré nie sú dostupné hneď, Sprostredkovateľ poskytne postupne.

9.3 Sprostredkovateľ bezodkladne prijme primerané opatrenia na zmiernenie následkov porušenia. Oznámenie porušenia dozornému orgánu a dotknutým osobám zabezpečuje Používateľ ako prevádzkovateľ; Sprostredkovateľ mu pri tom poskytne súčinnosť.

Článok 10 – Vymazanie a vrátenie údajov

10.1 Počas trvania účtu môže Používateľ osobné údaje kedykoľvek v Službe upraviť, stiahnuť (napríklad súbory a faktúry) alebo vymazať. Na žiadosť zaslanú na studio@wcr.sk mu Sprostredkovateľ poskytne údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte.

10.2 Po zrušení účtu sa účet okamžite zablokuje a po uplynutí 30 dní sa všetky osobné údaje spracúvané podľa tejto Zmluvy o spracúvaní natrvalo vymažú, vrátane súborov, Projektov a faktúr. Ak Používateľ pri zrušení účtu odovzdá Projekty niektorému z ich Členov, prechádzajú údaje v týchto Projektoch na nového Vlastníka projektu. Údaje Používateľa v Projektoch iných Vlastníkov sa anonymizujú podľa bodu 10.5 VOP.

10.3 Zálohy sa vytvárajú denne a uchovávajú 7 dní; vymazané údaje sa preto zo záloh odstránia najneskôr do 7 dní. Zálohy sú uložené v rámci infraštruktúry v EÚ a do ich odstránenia sa nepoužívajú na iný účel ako na obnovu Služby.

10.4 Povinnosť vymazania sa neuplatní, ak právo Únie alebo členského štátu vyžaduje uchovávanie osobných údajov.

Článok 11 – Informácie a audit

11.1 Sprostredkovateľ poskytne Používateľovi na požiadanie informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR, najmä písomný opis prijatých opatrení a aktuálny zoznam ďalších sprostredkovateľov.

11.2 Ak tieto informácie nepostačujú, Používateľ alebo ním poverený audítor viazaný mlčanlivosťou môže vykonať audit vrátane kontroly, a to po predchádzajúcom oznámení najmenej 30 dní vopred, v primeranom rozsahu, počas pracovného času, bez narušenia prevádzky Služby a bez prístupu k údajom iných Používateľov. Audit možno vykonať najviac raz za 12 mesiacov, okrem prípadu porušenia ochrany osobných údajov alebo požiadavky dozorného orgánu. Náklady auditu znáša Používateľ.

11.3 Audit u ďalších sprostredkovateľov sa vykonáva predložením ich certifikácií, správ o audite alebo iných dokumentov, ktoré títo poskytovatelia sprístupňujú.

Článok 12 – Povinnosti Používateľa

12.1 Používateľ zodpovedá za to, že osobné údaje do Služby vkladá a spracúva v nej zákonne, najmä že má na spracúvanie právny základ, že dotknuté osoby riadne informoval a že je oprávnený údaje sprístupniť osobám, ktoré pozve do Projektov.

12.2 Používateľ zodpovedá za výber rolí Členov projektu, za nastavenie zdieľania (napríklad verejných odkazov na súbory) a za to, aké údaje odovzdá AI funkciám.

12.3 Používateľ je povinný chrániť svoje prihlasovacie údaje, hlavné heslo a recovery kľúč k Trezoru a bez zbytočného odkladu oznámiť Sprostredkovateľovi akékoľvek podozrenie na neoprávnený prístup k svojmu účtu.

Článok 13 – Zodpovednosť

13.1 Zodpovednosť strán za škodu spôsobenú porušením tejto Zmluvy o spracúvaní sa riadi čl. 82 GDPR a článkom 15 VOP. Obmedzenia zodpovednosti podľa VOP sa neuplatnia v rozsahu, v akom ich nepripúšťajú kogentné ustanovenia právnych predpisov.

Článok 14 – Záverečné ustanovenia

14.1 Zmluva o spracúvaní sa uzatvára na dobu trvania zmluvy o poskytovaní Služby. Povinnosti, ktoré podľa svojej povahy majú trvať aj po jej skončení (najmä mlčanlivosť a vymazanie údajov), trvajú až do ich splnenia.

14.2 V otázkach ochrany osobných údajov má táto Zmluva o spracúvaní prednosť pred VOP.

14.3 Zmeny tejto Zmluvy o spracúvaní sa riadia článkom 21 VOP. Aktualizáciu Prílohy 1 podľa článku 6 a úpravu Prílohy 2, ktorou sa neznižuje úroveň ochrany, nemožno považovať za podstatnú nepriaznivú zmenu.

14.4 Zmluva o spracúvaní sa riadi právom Slovenskej republiky. Uzatvára sa v slovenskom jazyku; preklady majú len informatívny charakter.

14.5 Táto Zmluva o spracúvaní nadobúda účinnosť dňa 9. 10. 2026.

Príloha 1 – Zoznam ďalších sprostredkovateľov

Aktualizácie v reálnom čase (websockety) prevádzkuje Sprostredkovateľ na vlastných serveroch; prechádzajú cez sieť Cloudflare, bez zapojenia iných ďalších sprostredkovateľov. Spoločnosť Stripe spracúva len platobné a fakturačné údaje Používateľa ako zákazníka Sprostredkovateľa (nie údaje podľa článku 3), a preto nie je ďalším sprostredkovateľom podľa tejto Zmluvy o spracúvaní.

Príloha 2 – Technické a organizačné opatrenia

1. Šifrovanie prenosu: všetka komunikácia medzi prehliadačom, aplikáciou a serverom prebieha šifrovane protokolom TLS (HTTPS). Prevádzka prechádza cez sieť Cloudflare, ktorá Službu chráni pred útokmi; spojenie medzi sieťou Cloudflare a serverom je taktiež šifrované a certifikát servera sa overuje.
2. Heslá: heslá k účtom sa ukladajú len vo forme bezpečného jednosmerného hashu.
3. Trezor: obsah Trezoru sa šifruje end-to-end priamo v prehliadači Používateľa; Sprostredkovateľ uchováva iba zašifrovaný obsah a nemá prístup k hlavnému heslu ani recovery kľúču.
4. Šifrované tokeny: prístupové tokeny OAuth k službám Google sa ukladajú šifrovane.
5. Riadenie prístupu: údaje sú dostupné len Vlastníkovi projektu a Členom projektu podľa ich rolí; prístup k infraštruktúre a produkčným údajom majú len poverené osoby Sprostredkovateľa a len v rozsahu potrebnom na prevádzku a podporu. Prístup do administrácie Služby je chránený dvojfaktorovým overením, zásahy do účtov Používateľov sa zaznamenávajú a uchovávajú 2 roky a obsah Projektov sa v administrácii nezobrazuje.
6. Súbory: súbory v cloude Projektu sú uložené v súkromnom úložisku a sprístupňujú sa cez dočasné podpísané odkazy; profilové fotografie a prílohy úloh a komentárov sú uložené pod náhodnými, neuhádnuteľnými adresami; verejný odkaz na súbor vznikne len vtedy, keď ho Používateľ vytvorí.
7. Hosting v EÚ: aplikácia, databáza, súbory a zálohy sú umiestnené v dátovom centre DigitalOcean v Amsterdame (AMS3).
8. Zálohovanie a obnova: údaje sa denne zálohujú v rámci infraštruktúry v EÚ; zálohy sa uchovávajú 7 dní.
9. Minimalizácia a vymazávanie: zrušené účty sa natrvalo vymažú po 30 dňoch; história zmien sa maže po 365 dňoch, záznamy o AI požiadavkách po 12 mesiacoch, overovacie kódy po 7 dňoch, prečítané notifikácie po 12 mesiacoch, aplikačné záznamy po 14 dňoch a relácie po uplynutí platnosti.
10. Monitorovanie: chyby aplikácie sa sledujú prostredníctvom nástroja Sentry s predvolene vypnutým odosielaním osobných údajov; bezpečnostné upozornenia od spoločnosti Google k prepojeným účtom sa automaticky spracúvajú.
11. Bez sledovania: Služba nepoužíva analytické, marketingové ani reklamné nástroje tretích strán a písma načítava z vlastného servera.