1. Predmet a doba trvania
Predmetom je spracúvanie osobných údajov pri poskytovaní LogCon ako softvéru ako služby. Doba trvania zodpovedá dobe trvania hlavnej zmluvy.
2. Povaha a účel spracúvania
Riadenie prepravy, AI podporované spracovanie objednávok, dispečing, komunikácia so zákazníkmi, dopravcami a vodičmi, tvorba dokumentov, príprava colného konania a fakturácia.
3. Kategórie údajov a dotknuté osoby
- Zamestnanci prevádzkovateľa: meno, e-mail, telefón, rola, jazyk, prihlasovacie údaje
- Vodiči (vlastní aj subdodávateľskí): meno, telefón, jazyk, kvalifikácie, polohové údaje počas jázd
- Kontaktné osoby u zákazníkov a dopravcov: meno, kontaktné údaje, obsah komunikácie
- Údaje o objednávkach, dokumentoch, colnom konaní a faktúrach s osobným vzťahom
4. Povinnosti sprostredkovateľa
- Spracúvanie iba na základe zdokumentovaných pokynov prevádzkovateľa
- Povinnosť mlčanlivosti pre všetky oprávnené osoby
- Implementácia technických a organizačných opatrení (príloha 1)
- Súčinnosť pri právach dotknutých osôb, posúdeniach vplyvu na ochranu údajov a oznamovacích povinnostiach
- Informovanie prevádzkovateľa, ak podľa názoru sprostredkovateľa pokyn porušuje právo na ochranu údajov
5. Sprostredkovatelia (subdodávatelia)
Prevádzkovateľ schvaľuje sprostredkovateľov uvedených v prílohe 2. O zamýšľaných zmenách informuje sprostredkovateľ prevádzkovateľa najmenej 30 dní vopred; prevádzkovateľ môže namietať z dôležitého dôvodu súvisiaceho s ochranou údajov.
6. Technické a organizačné opatrenia (príloha 1)
- Kontrola fyzického prístupu: dátové centrum v EÚ s certifikáciou ISO 27001, žiadny fyzický prístup zamestnancov sprostredkovateľa
- Kontrola prístupu do systému: heslá hashované bcryptom, dvojfaktorové overenie, zablokovanie po neúspešných pokusoch, JWT s obmedzenou platnosťou, API kľúče uložené iba ako hash
- Kontrola prístupu k údajom: oprávnenia na základe rolí, princíp najmenších oprávnení, celoplatformová administrácia iba s oprávnením overeným v databáze
- Kontrola oddelenia: ID spoločnosti (tenanta) v každej tabuľke, oddelené úložné cesty pre každú spoločnosť
- Šifrovanie: TLS pri prenose, AES-256-GCM pre prístupové údaje integrácií, šifrovanie diskov u poskytovateľa hostingu
- Kontrola vstupov: audit log so stavom pred/po pre zmeny a AI akcie
- Kontrola prenosu: webhooky podpísané pomocou HMAC, odchádzajúce e-maily iba cez nakonfigurované servery
- Dostupnosť: denné šifrované zálohy databázy a dokumentov, s uchovávaním 7 denných, 4 týždenných a 12 mesačných záloh, šifrovaná kópia mimo lokality u druhého poskytovateľa, zdokumentovaný postup obnovy, monitoring
- Riadenie ochrany údajov: záznamy o spracovateľských činnostiach, koncepcia vymazávania, proces reakcie na incidenty
7. Oznamovanie porušení ochrany údajov
Sprostredkovateľ oznamuje porušenia ochrany osobných údajov bez zbytočného odkladu, najneskôr do 24 hodín od zistenia, s informáciami podľa čl. 33 ods. 3 GDPR.
8. Práva na kontrolu
Prevádzkovateľ sa môže presvedčiť o dodržiavaní tejto zmluvy nahliadnutím do dôkazov a správ, ako aj po včasnom oznámení prostredníctvom kontrol na mieste.
9. Vymazanie a vrátenie údajov
Po skončení zmluvy sprostredkovateľ sprístupní úplný export údajov na 30 dní, potom vymaže všetky údaje prevádzkovateľa vrátane kópií a potvrdí vymazanie. Zákonné povinnosti uchovávania zostávajú nedotknuté; šifrované záložné kópie sa prepisujú v pravidelnom rotačnom cykle, najneskôr po 12 mesiacoch.
10. Prenosy do tretích krajín
Prenosy do tretích krajín sa uskutočňujú iba za podmienok čl. 44 a nasl. GDPR, najmä na základe rozhodnutia o primeranosti alebo štandardných zmluvných doložiek.
11. Transparentnosť AI (príloha 4)
AI agenti vytvárajú návrhy alebo – v závislosti od úrovne autonómie nastavenej prevádzkovateľom – vykonávajú akcie. Každá AI akcia sa zaznamenáva s údajmi o modeli, čase, miere istoty a stave pred/po; automatické akcie sú vratné. Údaje zákazníka sa nepoužívajú na trénovanie AI modelov.
12. Záverečné ustanovenia
V prípade rozporu má táto zmluva prednosť pred hlavnou zmluvou vo veciach ochrany údajov. Platí rakúske právo; miestom súdnej príslušnosti je Wien.
Príloha 2: Sprostredkovatelia
Pozri nasledujúcu tabuľku.
Sprostredkovatelia a príjemcovia údajov
Nasledujúci poskytovatelia služieb spracúvajú osobné údaje v našom mene. Zmeny oznamujeme zákazníkom najmenej 30 dní vopred.
| Poskytovateľ | Účel | Kategórie údajov | Miesto / právny základ |
|---|---|---|---|
| (bude doplnené) | Prevádzka aplikácie, databázy, úložiska súborov a záloh | Všetky údaje uložené v rámci služby | EÚ – (bude doplnené); zmluva o spracúvaní údajov, dátové centrum s certifikáciou ISO 27001 |
| Anthropic PBC | AI modely (Claude) pre agentov a Copilot | Obsah e-mailov, text dokumentov, údaje o objednávkach a základné údaje ako kontext príslušnej požiadavky | USA – tretia krajina; štandardné zmluvné doložky, resp. rámec EU-US Data Privacy Framework; žiadne trénovanie na údajoch zákazníkov |
| Stripe Payments Europe, Ltd.iba pri platených predplatných | Fakturácia platených predplatných | Meno, e-mailová adresa, fakturačná adresa; platobné údaje zbiera priamo Stripe | Írsko (EÚ); možný prenos do Stripe, Inc. (USA) – štandardné zmluvné doložky |
| (bude doplnené) | Odosielanie systémových e-mailov (napr. potvrdenia, obnovenie hesla, upozornenia) | E-mailová adresa, meno, obsah správy | (bude doplnené) |
| Služby OpenStreetMap (Nominatim, OSRM)voliteľné, podľa konfigurácie | Geokódovanie adries a výpočet trasy | Adresy (firemné adresy), resp. súradnice – žiadne osobné údaje | EÚ/UK, resp. podľa servera; v produkčnej prevádzke sa odporúčajú vlastné inštancie |
| Poskytovatelia telematiky (napr. Webfleet, Samsara)iba ak ju zákazník aktivuje | Import polôh vozidiel | Polohové údaje, identifikátory vozidiel | Zmluva medzi zákazníkom a poskytovateľom; LogCon poskytuje iba rozhranie |
| TIMOCOM GmbHiba ak ju zákazník aktivuje | Frachtbörse (burza prepráv) | Ponuky prepráv, firemné kontakty | Nemecko; zmluva medzi zákazníkom a poskytovateľom |