Dodatok o spracúvaní osobných údajov

1. Zmluvné strany a prijatie

Sprostredkovateľom je mespi s.r.o., sídlo Východná 4, 949 01 Nitra, Slovenská republika, IČO 52004040 („Torevo“). Prevádzkovateľom je obchodník identifikovaný svojím Shopify obchodom, predplatným alebo objednávkou („Zákazník“). Tento DPA nadobúda účinnosť prijatím verzie 2026-07-29 v aplikácii alebo podpisom zmluvy, ktorá naň odkazuje. Osoba prijímajúca DPA potvrdzuje oprávnenie konať za Zákazníka.

2. Predmet, účel a trvanie

Predmetom je spracúvanie potrebné na prevádzku nainštalovanej Shopify aplikácie, zapnutého modulu alebo dohodnutej integrácie. Účelom je bezpečne prijať, skontrolovať, preniesť, zosúladiť, zobraziť, exportovať alebo odstrániť údaje podľa funkcie, ktorú Zákazník použije. Spracúvanie trvá počas zmluvy a následných retenčných lehôt uvedených v zásadách ochrany osobných údajov.

3. Povaha operácií

Operácie môžu zahŕňať získanie zo Shopify, validáciu, normalizáciu, dočasné použitie, šifrované uloženie, prenos pripojenému poskytovateľovi, získanie stavu alebo PDF, audit, zálohovanie, export, anonymizáciu a odstránenie. Torevo neurčuje účtovný alebo obchodný účel zákazníckych údajov.

4. Kategórie údajov a osôb

Údaje môžu zahŕňať identifikátory obchodu a administrátora, objednávky, transakcie, fakturačné a firemné údaje, meno, adresu, e-mail a telefón zákazníka alebo príjemcu, identifikátory poskytovateľa, stav dokladu, šifrované PDF a technické, bezpečnostné a auditné záznamy. Dotknutými osobami môžu byť zákazníci, príjemcovia, pracovníci, zástupcovia a kontaktné osoby Zákazníka. Osobitné kategórie údajov nie sú určené na spracúvanie.

5. Pokyny Zákazníka

Zdokumentovanými pokynmi sú zmluva, nastavenia aplikácie, podporované akcie vykonané oprávneným používateľom a požiadavky odoslané bezpečným kanálom. Torevo spracúva údaje iba podľa týchto pokynov, ak právo EÚ alebo členského štátu nevyžaduje inak. O takej právnej požiadavke Zákazníka vopred informuje, pokiaľ to právo nezakazuje. Na pokyn, ktorý podľa dostupných informácií porušuje právo ochrany údajov, upozorní a môže jeho vykonanie pozastaviť.

6. Povinnosti a mlčanlivosť

Torevo zabezpečí, aby údaje spracúvali iba oprávnené osoby viazané mlčanlivosťou a aby mali prístup len v rozsahu potrebnom pre prevádzku, podporu, bezpečnosť alebo zákonnú povinnosť. Údaje nepredáva, nepoužíva na vlastnú reklamu ani na trénovanie všeobecných modelov umelej inteligencie.

7. Technické a organizačné opatrenia

Opatrenia zahŕňajú šifrovanie prenosu, šifrovanie tajomstiev a dokumentov pri uložení, oddelenie obchodov, kontrolu oprávnení, viacfaktorové overenie privilegovaných účtov, bezpečnú správu tajomstiev, auditné záznamy bez nadbytočných osobných údajov, oddelenie produkcie a testovania, monitorovanie, obnovu, obmedzenú retenciu záloh, riadenie zraniteľností a postup reakcie na incident. Opatrenia sa môžu technicky meniť, nesmú však znížiť primeranú úroveň ochrany.

8. Práva dotknutých osôb a súčinnosť

Torevo podľa povahy spracúvania poskytne primeranú súčinnosť pri prístupe, oprave, vymazaní, obmedzení, námietke a prenosnosti. Žiadosť prijatú priamo od dotknutej osoby bez zbytočného odkladu postúpi Zákazníkovi, ak jej nemôže vyhovieť ako samostatný prevádzkovateľ vlastných údajov. Zákazník zodpovedá za pokyn a komunikáciu s dotknutou osobou.

9. Bezpečnostné incidenty

Po potvrdení porušenia ochrany osobných údajov Torevo informuje Zákazníka bez zbytočného odkladu a poskytne dostupný opis povahy incidentu, kategórií údajov a osôb, pravdepodobných následkov, prijatých opatrení a kontaktný bod. Informácie môže dopĺňať postupne. Oznámenie samo osebe neznamená uznanie zavinenia.

10. Posúdenia, konzultácie a audit

Torevo poskytne primerané informácie potrebné na preukázanie splnenia článku 28 GDPR a podľa dostupných údajov pomôže s bezpečnosťou, oznámením incidentu, posúdením vplyvu a predchádzajúcou konzultáciou. Zákazník najprv využije dokumentáciu a nezávislé dôkazy. Audit oznámi primerane vopred, vykoná ho bez narušenia bezpečnosti iných zákazníkov a uhradí mimoriadne náklady, ak audit neodhalí podstatné porušenie Torevo.

11. Sub-sprostredkovatelia

Zákazník udeľuje všeobecné oprávnenie zapojiť sub-sprostredkovateľov uvedených na stránke Subdodávatelia. Torevo im uloží povinnosti ochrany údajov zodpovedajúce tomuto DPA a zostáva zodpovedné za ich plnenie v rozsahu GDPR. O plánovanej podstatnej zmene informuje Zákazníka primeraným kanálom. Zákazník môže pred zmenou uplatniť odôvodnenú námietku týkajúcu sa ochrany údajov. Ak sa nedohodne riešenie, dotknutú službu môže ukončiť.

12. Externé platformy zvolené Zákazníkom

Shopify, KROS, Packeta alebo iný poskytovateľ, ktorého účet Zákazník pripojí a ktorému prikáže odoslať údaje, nemusí byť sub-sprostredkovateľom Torevo. Jeho právne postavenie vyplýva z vlastných podmienok, pokynov Zákazníka a konkrétneho toku údajov. Torevo prenesie iba údaje potrebné pre vyžiadanú operáciu.

13. Medzinárodné prenosy

Ak sub-sprostredkovateľ prenáša údaje mimo EHP bez rozhodnutia o primeranosti, použije sa príslušný modul štandardných zmluvných doložiek EÚ, platná certifikácia Data Privacy Framework alebo iný zákonný mechanizmus spolu s doplňujúcimi opatreniami podľa rizika. Aktuálny mechanizmus je uvedený v zmluvnej dokumentácii príslušného poskytovateľa.

14. Vrátenie, odstránenie a zálohy

Po skončení služby Torevo podľa voľby Zákazníka poskytne dostupný export a údaje odstráni alebo anonymizuje, okrem rozsahu, ktorý musí uchovať podľa práva alebo na ochranu právneho nároku. Zálohy zostanú izolované od bežného použitia a zaniknú najneskôr podľa zverejneného retenčného cyklu.

15. Prednosť a zodpovednosť

Pri rozpore v otázke spracúvania osobných údajov má tento DPA prednosť pred všeobecnými podmienkami. Ostatná zodpovednosť a rozhodné právo sa riadia Podmienkami používania alebo osobitnou písomnou zmluvou. Povinnosti, ktoré GDPR nemožno obmedziť, zostávajú nedotknuté.

16. Kontakt a podpísaná kópia

Elektronické prijatie v aplikácii vytvára záznam o obchode, používateľovi, čase a verziách dokumentov. Ak Zákazník potrebuje samostatnú podpísanú kópiu alebo bezpečnostnú prílohu, napíše na torevo@torevo.tech a uvedie Shopify obchod a zmluvnú entitu bez posielania hesiel alebo API kľúčov.