Príloha č. 1 – Zmluva o spracúvaní osobných údajov

Zmluva o spracúvaní osobných údajov

Verzia 2.0 · Účinná od DOPLNIŤ · Obsahovo totožná s elektronickou Prílohou č. 1 k VOP verzie 2.0

uzavretá podľa čl. 28 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (GDPR) a zákona č. 18/2018 Z. z. o ochrane osobných údajov

Zmluvné strany

Prevádzkovateľ:

(ďalej len „Prevádzkovateľ“)

a

Sprostredkovateľ: e-Support s.r.o., so sídlom Černyševského 10, 851 01 Bratislava – mestská časť Petržalka, IČO: 54143381, zapísaná v Obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka č. 156166/B, zastúpená: Ing. Vladimír Bálint, konateľ, e-mail pre účely tejto zmluvy: gdpr@edudots.eu (ďalej len „Sprostredkovateľ“; spolu ďalej len „Zmluvné strany“)

Preambula

A. Zmluvné strany uzavreli zmluvu o poskytovaní služby EduDots – webovej aplikácie na podporu pedagogickej diagnostiky v materských školách (ďalej len „Hlavná zmluva“). Pri poskytovaní tejto služby Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa.

B. Účelom tejto zmluvy je upraviť vzájomné práva a povinnosti Zmluvných strán pri tomto spracúvaní tak, aby boli splnené všetky náležitosti podľa čl. 28 ods. 3 GDPR, a zabezpečiť ochranu práv dotknutých osôb, ktorými sú predovšetkým deti – teda osoby vyžadujúce osobitnú ochranu (recitál 38 GDPR).

C. Táto zmluva sa vyhotovuje z jediného zdrojového textu v dvoch podobách – elektronickej ako Príloha č. 1 Všeobecných obchodných podmienok služby EduDots a listinnej – ktoré sú obsahovo totožné a nesú rovnaké označenie verzie. Uzavretím ktorejkoľvek z nich vzniká jediný záväzkový vzťah; uzavretie druhej podoby nezakladá nový záväzok ani nemení obsah existujúceho. Ak by napriek tomu vznikol medzi podobami rozpor, platí znenie s vyšším číslom verzie; pri zhodnej verzii platí to znenie, ktoré poskytuje dotknutým osobám vyššiu úroveň ochrany.

Čl. I – Definície a výklad

1.1 Pojmy „osobné údaje“, „spracúvanie“, „prevádzkovateľ“, „sprostredkovateľ“, „dotknutá osoba“, „porušenie ochrany osobných údajov“, „dozorný orgán“ a ďalšie pojmy ochrany osobných údajov majú význam podľa čl. 4 GDPR.

1.2 „Služba“ znamená webovú aplikáciu EduDots vrátane súvisiacej technickej podpory podľa Hlavnej zmluvy. „Dotknuté údaje“ znamenajú osobné údaje spracúvané Sprostredkovateľom v mene Prevádzkovateľa podľa tejto zmluvy, špecifikované v Prílohe č. 1, a to bez ohľadu na to, či ide o osobné údaje detí alebo pedagogických zamestnancov Prevádzkovateľa.

1.3 Táto zmluva sa nevzťahuje na spracúvanie kontaktných, zmluvných a fakturačných údajov Prevádzkovateľa ako zákazníka Služby, pri ktorom je Sprostredkovateľ v postavení samostatného prevádzkovateľa; toto spracúvanie upravujú Zásady ochrany osobných údajov Sprostredkovateľa.

1.4 Odkazy na písomnú formu zahŕňajú aj e-mailovú komunikáciu medzi kontaktnými adresami Zmluvných strán uvedenými v záhlaví, pokiaľ táto zmluva výslovne nevyžaduje listinnú formu s podpisom.

1.5 Táto zmluva je samostatným dojednaním. Ak by Hlavná zmluva nevznikla, zanikla, nenadobudla účinnosť alebo sa podľa § 47a Občianskeho zákonníka považovala za neuzavretú, táto zmluva sa napriek tomu použije na každé spracúvanie Dotknutých údajov, ku ktorému medzi Zmluvnými stranami fakticky došlo, a to od prvého sprístupnenia Služby.

Čl. II – Predmet zmluvy

2.1 Predmetom tejto zmluvy je poverenie Sprostredkovateľa spracúvaním Dotknutých údajov v mene Prevádzkovateľa a úprava podmienok tohto spracúvania v súlade s čl. 28 GDPR.

2.2 Predmet, doba, povaha a účel spracúvania, typ osobných údajov a kategórie dotknutých osôb sú v súlade s čl. 28 ods. 3 GDPR podrobne vymedzené v Prílohe č. 1, ktorá je neoddeliteľnou súčasťou tejto zmluvy.

2.3 Sprostredkovateľ nesmie Dotknuté údaje spracúvať na vlastné účely ani určovať účely a prostriedky ich spracúvania, s výnimkou spracúvania podľa bodu 2.4. Ak by tak urobil, považuje sa v súlade s čl. 28 ods. 10 GDPR vo vzťahu k takémuto spracúvaniu za prevádzkovateľa so všetkými z toho vyplývajúcimi povinnosťami a zodpovednosťou.

2.4 Prevádzkovateľ udeľuje Sprostredkovateľovi zdokumentovaný pokyn na agregáciu a anonymizáciu Dotknutých údajov na účel zlepšovania Služby, jej bezpečnosti a spoľahlivosti, a to za týchto podmienok: (a) anonymizácia sa vykoná pred akýmkoľvek analytickým využitím výstupu; (b) anonymizovaný výstup nesmie umožňovať priamu ani nepriamu identifikáciu dieťaťa, pedagogického zamestnanca ani Prevádzkovateľa, a to ani spojením s inými informáciami, ktoré má Sprostredkovateľ primerane k dispozícii; (c) Sprostredkovateľ na písomnú žiadosť sprístupní Prevádzkovateľovi opis použitej metódy anonymizácie a výsledok posúdenia rizika opätovnej identifikácie; (d) Prevádzkovateľ je oprávnený tento pokyn kedykoľvek písomne odvolať.

Čl. III – Doba spracúvania a trvanie zmluvy

3.1 Táto zmluva nadobúda platnosť a účinnosť dňom, ktorý nastane najskôr z týchto dní: (a) deň uzavretia elektronickej podoby podľa písm. C Preambuly, (b) deň podpisu listinnej podoby oboma Zmluvnými stranami, (c) deň prvého sprístupnenia Služby Prevádzkovateľovi vrátane sprístupnenia v rámci bezplatnej verzie podľa čl. V VOP a uzatvára sa na dobu trvania Hlavnej zmluvy.

3.2 Spracúvanie Dotknutých údajov trvá po dobu trvania Hlavnej zmluvy a ďalej v rozsahu a po dobu nevyhnutnú na splnenie povinností podľa čl. XV tejto zmluvy (export, výmaz, prípadné zákonné uchovávanie).

3.3 Ustanovenia tejto zmluvy, ktorých povaha to vyžaduje – najmä čl. VII (mlčanlivosť), čl. X (porušenia), čl. XA (žiadosti orgánov verejnej moci), čl. XIV (audit vo vzťahu k obdobiu trvania zmluvy), čl. XV (výmaz), čl. XVII (zodpovednosť) – zostávajú v platnosti aj po skončení tejto zmluvy.

Čl. IV – Pokyny Prevádzkovateľa

4.1 Sprostredkovateľ spracúva Dotknuté údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, a to aj pokiaľ ide o prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii, s výnimkou prípadov, keď si to vyžaduje právo Únie alebo právo Slovenskej republiky, ktorému Sprostredkovateľ podlieha; v takom prípade Sprostredkovateľ oznámi Prevádzkovateľovi túto právnu požiadavku pred spracúvaním, pokiaľ dané právo takéto oznámenie nezakazuje zo závažných dôvodov verejného záujmu (čl. 28 ods. 3 písm. a) GDPR).

4.2 Za zdokumentované pokyny sa považujú: (a) táto zmluva a jej prílohy, (b) Hlavná zmluva a dokumentácia Služby, (c) konfigurácia a úkony vykonané Prevádzkovateľom alebo jeho používateľmi priamo v Službe (napr. vloženie, úprava, export alebo vymazanie údajov), (d) dodatočné individuálne pokyny udelené písomne kontaktnou osobou Prevádzkovateľa.

4.3 Dodatočné pokyny podľa bodu 4.2 písm. (d) je oprávnená udeľovať kontaktná osoba Prevádzkovateľa uvedená v záhlaví alebo iná osoba, ktorú Prevádzkovateľ Sprostredkovateľovi písomne oznámi. Sprostredkovateľ nie je povinný overovať interné oprávnenie takejto osoby nad rámec tohto oznámenia.

4.4 Ak sa Sprostredkovateľ domnieva, že pokyn Prevádzkovateľa porušuje GDPR, zákon č. 18/2018 Z. z. alebo iné predpisy Únie alebo členského štátu týkajúce sa ochrany údajov, bezodkladne o tom Prevádzkovateľa informuje (čl. 28 ods. 3 posledná veta GDPR). Do potvrdenia, zmeny alebo odvolania pokynu Prevádzkovateľom je Sprostredkovateľ oprávnený vykonanie takého pokynu pozastaviť; za omeškanie spôsobené týmto postupom Sprostredkovateľ nezodpovedá.

4.5 Ak pokyn presahuje rozsah spracúvania potrebný na poskytovanie Služby podľa Hlavnej zmluvy, dohodnú sa Zmluvné strany pred jeho vykonaním na primeraných podmienkach vrátane prípadnej úhrady účelne vynaložených nákladov (čl. XVI); tým nie je dotknutá bezodplatná súčinnosť podľa čl. XI a XII.

Čl. V – Povinnosti Sprostredkovateľa

5.1 Sprostredkovateľ sa zaväzuje, že:

• a) bude spracúvať Dotknuté údaje len na základe zdokumentovaných pokynov Prevádzkovateľa podľa čl. IV,

• b) zabezpečí, aby sa osoby oprávnené spracúvať Dotknuté údaje zaviazali k mlčanlivosti, alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti (čl. VII),

• c) prijme a bude udržiavať všetky opatrenia požadované podľa čl. 32 GDPR (čl. IX a Príloha č. 2),

• d) bude dodržiavať podmienky zapojenia ďalšieho sprostredkovateľa podľa čl. 28 ods. 2 a 4 GDPR (čl. VIII),

• e) po zohľadnení povahy spracúvania bude v čo najväčšej miere pomáhať Prevádzkovateľovi vhodnými technickými a organizačnými opatreniami pri plnení jeho povinnosti reagovať na žiadosti o výkon práv dotknutých osôb (čl. XI),

• f) bude pomáhať Prevádzkovateľovi zabezpečiť plnenie povinností podľa čl. 32 až 36 GDPR s prihliadnutím na povahu spracúvania a informácie dostupné Sprostredkovateľovi (čl. IX, X a XII),

• g) po ukončení poskytovania služieb spojených so spracúvaním na základe rozhodnutia Prevádzkovateľa všetky Dotknuté údaje vymaže alebo vráti Prevádzkovateľovi a vymaže existujúce kópie, ak právo Únie alebo právo Slovenskej republiky nepožaduje ich uchovávanie (čl. XV),

• h) poskytne Prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností stanovených v čl. 28 GDPR a umožní audity a prispeje k nim (čl. XIV).

5.2 Sprostredkovateľ vedie záznamy o kategóriách spracovateľských činností vykonávaných v mene Prevádzkovateľa podľa čl. 30 ods. 2 GDPR a na požiadanie ich sprístupní dozornému orgánu.

5.3 Sprostredkovateľ určil kontaktné miesto pre otázky ochrany osobných údajov uvedené v záhlaví tejto zmluvy a oznámi Prevádzkovateľovi každú jeho zmenu.

5.4 Sprostredkovateľ spolupracuje na požiadanie s dozorným orgánom pri plnení jeho úloh v zmysle čl. 31 GDPR a bezodkladne informuje Prevádzkovateľa o každom úkone dozorného orgánu, ktorý sa týka Dotknutých údajov, pokiaľ mu v tom nebráni právny predpis.

Čl. VI – Povinnosti a práva Prevádzkovateľa

6.1 Prevádzkovateľ zodpovedá za súlad spracúvania Dotknutých údajov s GDPR v rozsahu svojich povinností prevádzkovateľa, najmä za: (a) existenciu právneho základu spracúvania podľa čl. 6 GDPR (spravidla plnenie zákonných povinností pri vedení pedagogickej dokumentácie podľa zákona č. 245/2008 Z. z., prípadne plnenie úlohy vo verejnom záujme podľa čl. 6 ods. 1 písm. e) GDPR), a ak sa spracúvajú údaje podľa čl. 9 ods. 1 GDPR, aj za existenciu výnimky podľa čl. 9 ods. 2 GDPR a § 16 zákona č. 18/2018 Z. z., (b) splnenie informačnej povinnosti voči dotknutým osobám a ich zákonným zástupcom podľa čl. 13 a 14 GDPR, (c) správnosť, aktuálnosť a minimalizáciu údajov vkladaných do Služby, (d) vybavovanie žiadostí dotknutých osôb, (e) vykonanie posúdenia vplyvu na ochranu údajov podľa čl. 35 GDPR; Zmluvné strany berú na vedomie, že vzhľadom na to, že spracúvanie zahŕňa systematické hodnotenie zraniteľných dotknutých osôb, je toto posúdenie spravidla potrebné, (f) riadenie prístupov svojich používateľov v Službe.

6.2 Prevádzkovateľ udeľuje pokyny v súlade s GDPR a bezodkladne informuje Sprostredkovateľa o skutočnostiach na svojej strane, ktoré majú vplyv na plnenie tejto zmluvy (napr. zmena kontaktnej osoby alebo zodpovednej osoby, žiadosť dotknutej osoby doručená priamo Prevádzkovateľovi vyžadujúca súčinnosť, rozhodnutie dozorného orgánu).

6.3 Prevádzkovateľ má právo: (a) udeľovať pokyny podľa čl. IV, (b) na informácie a audit podľa čl. XIV, (c) namietať proti zapojeniu ďalšieho sprostredkovateľa podľa čl. VIII, (d) na export a výmaz Dotknutých údajov podľa čl. XV, (e) na súčinnosť podľa čl. IX až XII, (f) na sprístupnenie dokumentácie o prenosoch podľa bodu 13.3.

Čl. VII – Poverené osoby a mlčanlivosť

7.1 Sprostredkovateľ zabezpečí, aby k Dotknutým údajom mali prístup výlučne ním poverené osoby, ktoré ich potrebujú na plnenie svojich pracovných úloh, a to len v nevyhnutnom rozsahu (zásada need-to-know).

7.2 Sprostredkovateľ poučí poverené osoby o ich povinnostiach pri spracúvaní osobných údajov v rozsahu podľa § 79 zákona č. 18/2018 Z. z. a zabezpečí, aby sa písomne zaviazali k mlčanlivosti o Dotknutých údajoch a o prijatých bezpečnostných opatreniach; táto povinnosť mlčanlivosti trvá aj po skončení ich pracovného alebo obdobného pomeru a po skončení tejto zmluvy.

7.3 Sprostredkovateľ vedie evidenciu poverených osôb a na požiadanie Prevádzkovateľa preukáže splnenie povinností podľa tohto článku (bez sprístupnenia osobných údajov poverených osôb nad nevyhnutný rámec).

Čl. VIII – Ďalší sprostredkovatelia

8.1 Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné písomné povolenie v zmysle čl. 28 ods. 2 GDPR zapájať do spracúvania Dotknutých údajov ďalších sprostredkovateľov. Zoznam ďalších sprostredkovateľov zapojených ku dňu uzavretia tejto zmluvy je uvedený v Prílohe č. 3.

8.2 Sprostredkovateľ písomne informuje Prevádzkovateľa o každej zamýšľanej zmene týkajúcej sa pridania alebo nahradenia ďalšieho sprostredkovateľa s prístupom k Dotknutým údajom, a to najmenej 30 dní pred plánovanou zmenou; ak ide o zmenu, ktorú Sprostredkovateľovi oznámil jeho ďalší sprostredkovateľ s kratším predstihom, informuje Prevádzkovateľa bez zbytočného odkladu, najneskôr do 5 pracovných dní od jej oznámenia. Sprostredkovateľ tak poskytne Prevádzkovateľovi možnosť vzniesť voči takejto zmene námietky. Námietku môže Prevádzkovateľ vzniesť do 30 dní od doručenia informácie podľa tohto bodu.

8.3 Ak Prevádzkovateľ v lehote podľa bodu 8.2 vznesie odôvodnenú námietku, Sprostredkovateľ namietaného ďalšieho sprostredkovateľa na spracúvanie Dotknutých údajov Prevádzkovateľa nepoužije, kým nedôjde k dohode alebo k skončeniu zmluvy. Ak namietaného ďalšieho sprostredkovateľa nemožno prestať používať, pretože zmenu vykonal ďalší sprostredkovateľ Sprostredkovateľa, Sprostredkovateľ to Prevádzkovateľovi bezodkladne oznámi a Prevádzkovateľ je oprávnený Hlavnú zmluvu a túto zmluvu vypovedať s okamžitou účinnosťou s nárokom na vrátenie pomernej časti uhradenej odplaty za nevyčerpané obdobie. Zmluvné strany sa pokúsia nájsť riešenie (napr. iný subdodávateľ, dodatočné záruky, obmedzenie rozsahu prístupu). Ak sa riešenie nenájde do 30 dní od doručenia námietky, je Prevádzkovateľ oprávnený Hlavnú zmluvu a túto zmluvu vypovedať s okamžitou účinnosťou a má nárok na vrátenie pomernej časti uhradenej odplaty za nevyčerpané obdobie. Márne uplynutie lehoty podľa bodu 8.2 bez námietky sa považuje za súhlas so zmenou.

8.4 Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi zmluvou alebo iným právnym aktom podľa práva Únie alebo členského štátu rovnaké povinnosti ochrany osobných údajov, aké sú stanovené v tejto zmluve, najmä poskytnutie dostatočných záruk na vykonanie primeraných technických a organizačných opatrení (čl. 28 ods. 4 GDPR). Ak ďalší sprostredkovateľ nesplní svoje povinnosti ochrany údajov, voči Prevádzkovateľovi za ich splnenie plne zodpovedá Sprostredkovateľ.

8.5 Za ďalšieho sprostredkovateľa sa na účely tejto zmluvy považuje každý subjekt, ktorý má technický alebo iný prístup k Dotknutým údajom, a to aj vtedy, ak ide o prístup obmedzený na sieťovú vrstvu, na technickú infraštruktúru alebo na doručovanie správ. Úplný zoznam ďalších sprostredkovateľov ku dňu uzavretia tejto zmluvy je uvedený v časti A Prílohy č. 3.

8.6 Dodávatelia Sprostredkovateľa, ktorí spracúvajú výlučne kontaktné, zmluvné a fakturačné údaje Prevádzkovateľa ako zákazníka podľa bodu 1.3 a k Dotknutým údajom prístup nemajú, ďalšími sprostredkovateľmi v zmysle tejto zmluvy nie sú. Sprostredkovateľ ich napriek tomu uvádza v časti B Prílohy č. 3 na účely transparentnosti.

Čl. IX – Bezpečnosť spracúvania

9.1 Sprostredkovateľ prijal a udržiava, s prihliadnutím na najnovšie poznatky, náklady na vykonanie opatrení, povahu, rozsah, kontext a účely spracúvania, ako aj na riziká pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia na zaistenie úrovne bezpečnosti primeranej tomuto riziku v zmysle čl. 32 GDPR. Ich aktuálny prehľad tvorí Prílohu č. 2.

9.2 Pri určovaní primeranej úrovne bezpečnosti Sprostredkovateľ osobitne prihliada na skutočnosť, že dotknutými osobami sú prevažne deti, na možnú prítomnosť údajov podľa čl. 9 ods. 1 GDPR podľa Prílohy č. 1, a na riziká, ktoré predstavuje spracúvanie, najmä náhodné alebo nezákonné zničenie, strata, zmena, neoprávnené poskytnutie alebo neoprávnený prístup k Dotknutým údajom.

9.3 Sprostredkovateľ je oprávnený opatrenia podľa Prílohy č. 2 priebežne aktualizovať a rozvíjať, nesmie však znížiť celkovú úroveň bezpečnosti spracúvania. Podstatné zmeny opatrení oznámi Prevádzkovateľovi najmenej 30 dní vopred.

9.4 Sprostredkovateľ zabezpečí, aby prístup k Dotknutým údajom v Službe bol logicky oddelený od údajov iných zákazníkov Sprostredkovateľa.

9.5 Vývoj Služby prebieha na platforme Macaly, ktorej vývojové prostredie je napojené na produkčnú databázu Služby. Nástroje umelej inteligencie platformy pracujú pri vývoji len so zdrojovým kódom a s fiktívnymi testovacími údajmi; Dotknuté údaje sa nepoužívajú na vývoj, testovanie ani trénovanie alebo vyhodnocovanie modelov umelej inteligencie. Sprostredkovateľ zabezpečí, že (a) testovacie údaje sa vytvárajú len v osobitnom testovacom účte, ktorý neobsahuje Dotknuté údaje, (b) hromadné operácie, ktoré môžu Dotknuté údaje zmeniť alebo vymazať, sa pred použitím overia v skúšobnom režime bez zmeny údajov a (c) do serverových záznamov (logov), s ktorými pracujú vývojové nástroje, sa nezapisujú mená detí, obsah hodnotení ani e-mailové adresy.

Čl. X – Porušenie ochrany osobných údajov

10.1 Sprostredkovateľ oznámi Prevádzkovateľovi každé porušenie ochrany osobných údajov týkajúce sa Dotknutých údajov bez zbytočného odkladu po tom, ako sa o ňom dozvedel, najneskôr do 24 hodín, a to na kontaktný e-mail Prevádzkovateľa uvedený v záhlaví a súčasne na kontakt jeho zodpovednej osoby, ak bol uvedený. Sprostredkovateľ vyžaduje od každého ďalšieho sprostredkovateľa, aby mu porušenie oznámil bez zbytočného odkladu, a vynaloží primerané úsilie na to, aby ho zaviazal k lehote nie dlhšej ako 24 hodín.

10.2 Oznámenie podľa bodu 10.1 obsahuje minimálne informácie podľa čl. 33 ods. 3 GDPR, ktoré má Sprostredkovateľ k dispozícii: opis povahy porušenia vrátane, ak je to možné, kategórií a približného počtu dotknutých osôb a záznamov, meno a kontaktné údaje kontaktného miesta, opis pravdepodobných následkov a opis prijatých alebo navrhovaných opatrení na nápravu a zmiernenie následkov. Ak nie je možné poskytnúť všetky informácie súčasne, poskytujú sa postupne bez ďalšieho zbytočného odkladu.

10.3 Sprostredkovateľ porušenie zdokumentuje (skutkové okolnosti, následky, prijaté opatrenia), vedie o ňom záznam podľa čl. 33 ods. 5 GDPR a na požiadanie z neho poskytne Prevádzkovateľovi výpis týkajúci sa jeho Dotknutých údajov, poskytne Prevádzkovateľovi súčinnosť potrebnú na splnenie jeho oznamovacích povinností voči dozornému orgánu (čl. 33 GDPR, do 72 hodín) a dotknutým osobám (čl. 34 GDPR) a prijme primerané opatrenia na obmedzenie a nápravu porušenia.

10.4 Sprostredkovateľ neoznamuje porušenie dozornému orgánu ani dotknutým osobám namiesto Prevádzkovateľa, ibaže ho na to Prevádzkovateľ písomne splnomocní alebo mu takáto povinnosť vyplýva priamo z právnych predpisov.

10.5 Súčinnosť podľa bodu 10.3 zahŕňa na žiadosť Prevádzkovateľa aj poskytnutie návrhu textu oznámenia dozornému orgánu podľa čl. 33 GDPR a návrhu oznámenia dotknutým osobám podľa čl. 34 GDPR, obsahujúceho skutkové okolnosti známe Sprostredkovateľovi. Rozhodnutie o podaní oznámenia a o jeho konečnom obsahu prináleží výlučne Prevádzkovateľovi.

Čl. XA – Žiadosti orgánov verejnej moci

XA.1 Ak Sprostredkovateľovi alebo ktorémukoľvek ďalšiemu sprostredkovateľovi doručí orgán verejnej moci žiadosť o sprístupnenie Dotknutých údajov alebo neosobných údajov Prevádzkovateľa, Sprostredkovateľ: (a) o žiadosti bezodkladne informuje Prevádzkovateľa, pokiaľ mu to právny predpis výslovne nezakazuje; ak zákaz existuje, vynaloží primerané úsilie na jeho zrušenie alebo obmedzenie a informuje Prevádzkovateľa hneď, ako to bude prípustné; (b) žiadosť preskúma z hľadiska jej právneho základu a napadne ju dostupnými prostriedkami, ak existujú primerané dôvody domnievať sa, že je nezákonná, neurčitá alebo neprimeraná; (c) sprístupní len minimálny rozsah údajov nevyhnutne potrebný na splnenie žiadosti; (d) vedie o žiadostiach evidenciu a raz ročne poskytne Prevádzkovateľovi súhrnný prehľad. Tieto povinnosti uloží aj každému ďalšiemu sprostredkovateľovi.

Čl. XI – Súčinnosť pri právach dotknutých osôb

11.1 Sprostredkovateľ po zohľadnení povahy spracúvania pomáha Prevádzkovateľovi vhodnými technickými a organizačnými opatreniami, v čo najväčšej možnej miere, pri plnení jeho povinnosti reagovať na žiadosti dotknutých osôb o výkon ich práv podľa kapitoly III GDPR (najmä právo na prístup, opravu, výmaz, obmedzenie spracúvania, prenosnosť a namietanie). Základné funkcie Služby (vyhľadanie, oprava, export a vymazanie záznamov) sú Prevádzkovateľovi na tento účel dostupné priamo, bez potreby súčinnosti Sprostredkovateľa.

11.2 Ak žiadosť dotknutej osoby vyžaduje úkony nad rámec funkcií Služby, Sprostredkovateľ ich vykoná na pokyn Prevádzkovateľa bez zbytočného odkladu, najneskôr do 10 pracovných dní, aby Prevádzkovateľ stihol zákonnú lehotu podľa čl. 12 ods. 3 GDPR.

11.3 Ak dotknutá osoba adresuje žiadosť priamo Sprostredkovateľovi, Sprostredkovateľ ju bez zbytočného odkladu, najneskôr do 5 pracovných dní, postúpi Prevádzkovateľovi a dotknutú osobu na Prevádzkovateľa odkáže; žiadosť sám vecne nevybavuje.

11.4 Zmluvné strany berú na vedomie, že rozsah práv dotknutých osôb závisí od právneho základu spracúvania určeného Prevádzkovateľom; najmä právo na prenosnosť podľa čl. 20 GDPR a právo namietať podľa čl. 21 GDPR sa pri spracúvaní na základe čl. 6 ods. 1 písm. c) GDPR neuplatňujú.

Čl. XII – Súčinnosť pri posúdení vplyvu a konzultáciách

12.1 Sprostredkovateľ poskytne Prevádzkovateľovi na jeho žiadosť informácie o Službe a spracúvaní, ktoré má k dispozícii a ktoré sú potrebné na vykonanie posúdenia vplyvu na ochranu údajov podľa čl. 35 GDPR a na prípadnú predchádzajúcu konzultáciu s dozorným orgánom podľa čl. 36 GDPR – najmä opis spracovateľských operácií, tokov údajov a prijatých bezpečnostných opatrení.

12.2 Vykonanie samotného posúdenia vplyvu a rozhodnutie o jeho potrebe je povinnosťou Prevádzkovateľa (bod 6.1 písm. e)). Sprostredkovateľ poskytne Prevádzkovateľovi vzorový podklad pre posúdenie vplyvu obsahujúci opis spracovateľských operácií, tokov údajov a prijatých bezpečnostných opatrení; zodpovednosť za obsah a závery posúdenia zostáva Prevádzkovateľovi.

Čl. XIII – Prenosy do tretích krajín

13.1 Dotknuté údaje sú uložené v dátových centrách na území Európskej únie: aplikácia v EÚ regióne poskytovateľa Vercel Inc. (Frankfurt, Nemecko), databáza v EÚ regióne poskytovateľa Convex, Inc. (Írsko), sieťová vrstva prostredníctvom Cloudflare, Inc. (sieťová prevádzka môže byť spracúvaná aj mimo EÚ).

13.2 Sprostredkovateľ informuje Prevádzkovateľa, že poskytovatelia infraštruktúry uvedení v bode 13.1 sú spoločnosťami so sídlom v Spojených štátoch amerických. Keďže nemožno vylúčiť vzdialený prístup ich personálu z tretej krajiny na účely prevádzky, podpory a riešenia incidentov, považujú Zmluvné strany toto usporiadanie za prenos v zmysle kapitoly V GDPR. Na každý takýto prenos sa vzťahuje mechanizmus uvedený v Prílohe č. 3. Pri doručovaní systémových e-mailov prostredníctvom Astrodon Corporation (Resend) sa e-mailová adresa používateľského účtu spracúva v Spojených štátoch amerických; aj na tento prenos sa vzťahuje mechanizmus uvedený v Prílohe č. 3.

13.3 Sprostredkovateľ bezodkladne informuje Prevádzkovateľa, ak sa dozvie, že mechanizmus podľa bodu 13.2 prestal byť platný alebo účinný, a navrhne náhradné riešenie. Ak sa náhradné riešenie nenájde do 30 dní, je Prevádzkovateľ oprávnený túto zmluvu a Hlavnú zmluvu vypovedať s okamžitou účinnosťou s nárokom na vrátenie pomernej časti odplaty.

13.4 Akýkoľvek ďalší prenos Dotknutých údajov do tretej krajiny je prípustný len na základe predchádzajúceho zdokumentovaného pokynu Prevádzkovateľa alebo právnej povinnosti podľa bodu 4.1, a vždy len pri splnení podmienok kapitoly V GDPR (rozhodnutie o primeranosti, primerané záruky alebo výnimka podľa čl. 49 GDPR). O zámere zapojiť ďalšieho sprostredkovateľa spracúvajúceho Dotknuté údaje mimo EÚ/EHP platí postup podľa čl. VIII.

Čl. XIV – Audit a preukazovanie súladu

14.1 Sprostredkovateľ poskytne Prevádzkovateľovi na jeho žiadosť všetky informácie potrebné na preukázanie splnenia povinností stanovených v čl. 28 GDPR a v tejto zmluve, spravidla do 15 pracovných dní od doručenia žiadosti – najmä aktuálny prehľad technických a organizačných opatrení, zoznam ďalších sprostredkovateľov, relevantné certifikáty alebo správy z auditov, ak existujú.

14.2 Prevádzkovateľ je oprávnený vykonať audit dodržiavania tejto zmluvy, a to sám alebo prostredníctvom ním povereného audítora, ktorý nie je konkurentom Sprostredkovateľa a je viazaný povinnosťou mlčanlivosti. Audit sa vykoná po písomnom oznámení doručenom najmenej 30 dní vopred, v bežnom pracovnom čase, spôsobom, ktorý neprimerane nenarúša prevádzku Sprostredkovateľa a nezasahuje do práv jeho ostatných zákazníkov a dotknutých osôb. Zmluvné strany uprednostnia formu auditu s najnižšou mierou zásahu (písomný dotazník, predloženie dokumentácie a certifikátov, vzdialená kontrola), audit na mieste sa vykoná, len ak menej invazívne formy preukázateľne nepostačujú.

14.3 Audit možno vykonať najviac raz za 12 mesiacov; to neplatí, ak (a) audit nariadi dozorný orgán, alebo (b) existuje dôvodné podozrenie z porušenia tejto zmluvy, najmä po porušení ochrany osobných údajov podľa čl. X.

14.4 Každá Zmluvná strana znáša vlastné náklady auditu. Ak audit preukáže podstatné porušenie tejto zmluvy Sprostredkovateľom, nahradí Sprostredkovateľ Prevádzkovateľovi účelne vynaložené náklady auditu.

14.5 Informácie a zistenia získané pri audite sa považujú za dôverné informácie Sprostredkovateľa a Prevádzkovateľ ich použije výlučne na účely preukázania a zabezpečenia súladu s touto zmluvou a GDPR.

Čl. XV – Ukončenie spracúvania, výmaz a vrátenie údajov

15.1 Počas trvania Hlavnej zmluvy aj po jej skončení má Prevádzkovateľ možnosť exportovať všetky Dotknuté údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (najmä JSON) postupom podľa Hlavnej zmluvy, v súlade s nariadením EÚ 2023/2854 (Akt o údajoch).

15.2 Po skončení Hlavnej zmluvy poskytne Sprostredkovateľ Prevádzkovateľovi prechodné obdobie a následnú lehotu na získanie Dotknutých údajov v rozsahu podľa čl. XIII VOP; počas týchto lehôt Dotknuté údaje nevymaže a zachová ich dostupnosť a bezpečnosť. Pred vykonaním výmazu Sprostredkovateľ písomne vyzve Prevádzkovateľa, aby potvrdil, že vykonal export Dotknutých údajov a splnil svoje povinnosti podľa zákona č. 395/2002 Z. z. o archívoch a registratúrach.

15.3 Po uplynutí lehôt podľa bodu 15.2 Sprostredkovateľ podľa rozhodnutia Prevádzkovateľa všetky Dotknuté údaje vráti Prevádzkovateľovi a/alebo ich natrvalo a nenávratne vymaže z produkčného systému, a to do 5 pracovných dní. Zo záložných kópií sa Dotknuté údaje odstránia v rámci štandardného cyklu zálohovania, najneskôr do DOPLNIŤ dní; do ich odstránenia sú zálohy chránené opatreniami podľa tejto zmluvy a neslúžia na žiadne iné spracúvanie. Ak Prevádzkovateľ rozhodnutie neoznámi do 15 dní od výzvy podľa bodu 15.2, Sprostredkovateľ Dotknuté údaje vymaže.

15.4 Povinnosť podľa bodu 15.3 sa nevzťahuje na bezpečnostné logy, ktoré Sprostredkovateľ uchováva po dobu 6 mesiacov na účel zaistenia bezpečnosti spracúvania podľa čl. 32 GDPR; po uplynutí tejto doby ich natrvalo odstráni.

15.5 Povinnosť výmazu sa nevzťahuje na Dotknuté údaje, ktorých uchovávanie vyžaduje právo Únie alebo právo Slovenskej republiky; v takom prípade ich Sprostredkovateľ uchová len v nevyhnutnom rozsahu a po nevyhnutnú dobu, obmedzí ich spracúvanie výlučne na účel plnenia tejto právnej povinnosti, chráni ich podľa tejto zmluvy a po odpadnutí právneho dôvodu ich vymaže.

15.6 Na písomnú žiadosť Prevádzkovateľa vystaví Sprostredkovateľ do 15 pracovných dní písomné potvrdenie o vykonaní výmazu podľa tohto článku.

15.7 Ak Prevádzkovateľ zruší používateľský účet v nastaveniach Služby podľa bodu 13.7 VOP, považuje sa to za jeho pokyn na okamžité skončenie Hlavnej zmluvy a na vymazanie Dotknutých údajov. Prechodné obdobie a lehota na získanie údajov podľa bodu 15.2 sa v takom prípade neuplatnia a písomnú výzvu podľa bodu 15.2 nahrádza potvrdenie, ktoré Prevádzkovateľ udelí v Službe pred zrušením účtu. Sprostredkovateľ Dotknuté údaje vymaže z produkčného systému bez zbytočného odkladu, najneskôr do 5 pracovných dní, a zo záložných kópií v lehote podľa bodu 15.3; body 15.4 až 15.6 sa použijú primerane.

Čl. XVI – Odplata a náklady

16.1 Plnenie povinností Sprostredkovateľa podľa tejto zmluvy – vrátane súčinnosti podľa čl. IX až XII, štandardného exportu údajov, výmazu a potvrdenia o výmaze – je zahrnuté v cene Služby podľa Hlavnej zmluvy a Sprostredkovateľ zaň neúčtuje osobitnú odplatu.

16.2 Úhradu účelne a preukázateľne vynaložených nákladov môže Sprostredkovateľ požadovať len pri úkonoch vykonávaných na osobitný pokyn Prevádzkovateľa nad rámec Služby (bod 4.5) alebo pri opakovaných auditoch nad rámec bodu 14.3, a to vo výške vopred odsúhlasenej Prevádzkovateľom. Poskytnutie súčinnosti nevyhnutnej na plnenie zákonných povinností Prevádzkovateľa nesmie byť podmieňované úhradou.

Čl. XVII – Zodpovednosť

17.1 Zodpovednosť Zmluvných strán voči dotknutým osobám sa spravuje čl. 82 GDPR. Sprostredkovateľ zodpovedá za škodu spôsobenú spracúvaním len vtedy, ak neboli splnené povinnosti, ktoré GDPR ukladá výslovne sprostredkovateľom, alebo ak konal nad rámec alebo v rozpore s pokynmi Prevádzkovateľa udelenými v súlade so zákonom.

17.2 Vo vzájomnom vzťahu Zmluvných strán sa zodpovednosť za škodu spravuje ustanoveniami Hlavnej zmluvy (Všeobecných obchodných podmienok) o zodpovednosti, pokiaľ táto zmluva neustanovuje inak. Odchylne od bodu 12.1 VOP je celková zodpovednosť Sprostredkovateľa za škodu spôsobenú porušením tejto zmluvy alebo GDPR obmedzená sumou DOPLNIŤ EUR. Dojednané obmedzenie výšky náhrady škody sa nevzťahuje na: (a) škodu spôsobenú úmyselne alebo z hrubej nedbanlivosti, (b) regres podľa čl. 82 ods. 5 GDPR a (c) sankcie uložené Prevádzkovateľovi dozorným orgánom v rozsahu, v akom preukázateľne vznikli výlučne porušením povinností Sprostredkovateľa podľa tejto zmluvy alebo GDPR.

17.3 Zmluvná strana, ktorá nahradila škodu alebo zaplatila sankciu, má voči druhej Zmluvnej strane regresný nárok vo výške zodpovedajúcej jej podielu zodpovednosti na vzniknutej škode (čl. 82 ods. 5 GDPR).

Čl. XVIII – Záverečné ustanovenia

18.1 Táto zmluva je neoddeliteľne spätá s Hlavnou zmluvou. V otázkach spracúvania Dotknutých údajov má táto zmluva prednosť pred Hlavnou zmluvou a Všeobecnými obchodnými podmienkami. Tým nie je dotknutý bod 1.5.

18.2 Zmeny tejto zmluvy vyžadujú dohodu Zmluvných strán; postačuje výslovná dohoda prostredníctvom e-mailu kontaktných osôb oboch Zmluvných strán. Sprostredkovateľ je oprávnený jednostranne zmeniť túto zmluvu iba vtedy, ak je zmena nevyhnutná na dosiahnutie súladu so zmenou právneho predpisu, s rozhodnutím dozorného orgánu alebo s judikatúrou; o takejto zmene informuje Prevádzkovateľa najmenej 30 dní vopred a Prevádzkovateľ je oprávnený z tohto dôvodu zmluvu vypovedať ku dňu účinnosti zmeny bez sankcie a s nárokom na vrátenie pomernej časti odplaty. Aktualizácia Prílohy č. 2 sa riadi bodom 9.3 a aktualizácia Prílohy č. 3 postupom podľa čl. VIII; tieto aktualizácie nevyžadujú dodatok k zmluve.

18.3 Ak je alebo sa stane niektoré ustanovenie tejto zmluvy neplatným alebo nevykonateľným, nie je tým dotknutá platnosť a vykonateľnosť ostatných ustanovení. Zmluvné strany nahradia neplatné ustanovenie ustanovením platným, ktoré sa čo najviac približuje jeho účelu; do tej doby platí namiesto neho úprava GDPR a zákona č. 18/2018 Z. z.

18.4 Táto zmluva sa spravuje právnym poriadkom Slovenskej republiky. Práva a povinnosti výslovne neupravené touto zmluvou sa riadia GDPR, zákonom č. 18/2018 Z. z. a primerane Obchodným zákonníkom.

18.5 Zmluva sa vyhotovuje v dvoch rovnopisoch, po jednom pre každú Zmluvnú stranu, ak sa neuzatvára elektronicky podľa písm. C Preambuly.

18.6 Služba nie je systémom umelej inteligencie v zmysle čl. 3 bodu 1 nariadenia (EÚ) 2024/1689. Ak by Sprostredkovateľ do Služby zaviedol funkcionalitu založenú na systéme umelej inteligencie, oznámi to Prevádzkovateľovi najmenej 60 dní vopred spolu s informáciou o klasifikácii systému podľa uvedeného nariadenia a o dôsledkoch pre Prevádzkovateľa; Prevádzkovateľ je oprávnený z tohto dôvodu zmluvu vypovedať ku dňu zavedenia funkcionality bez sankcie.

Podpisové doložky

V …………………… dňa ……………………

Príloha č. 1 – Opis spracúvania (čl. 28 ods. 3 GDPR)

Predmet spracúvania

Spracúvanie osobných údajov nevyhnutné na poskytovanie webovej aplikácie EduDots na podporu vedenia a vizualizácie pedagogickej diagnostiky detí v materskej škole Prevádzkovateľa.

Doba spracúvania

Po dobu trvania Hlavnej zmluvy a následne po dobu podľa čl. XV zmluvy (lehota na export, výmaz z produkčného systému do 5 pracovných dní, záložné kópie do DOPLNIŤ dní (štandardný cyklus zálohovania infraštruktúry), prípadné zákonné uchovávanie); bezpečnostné logy 6 mesiacov; na bezpečnostné logy sa nevzťahuje lehota výmazu podľa bodu 15.3 zmluvy (pozri bod 15.4).

Povaha spracúvania

Zhromažďovanie (zadávanie pedagógmi), zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, vyhľadávanie, prehliadanie, vizualizácia (grafy a prehľady), export, obmedzenie a vymazanie – elektronicky, prostredníctvom webovej aplikácie.

Účel spracúvania

Podpora pedagogickej diagnostiky detí vykonávanej pedagógmi Prevádzkovateľa a vedenie súvisiacej pedagogickej dokumentácie vrátane technickej podpory Prevádzkovateľa a kontroly rozsahu využívania Služby podľa Hlavnej zmluvy (počet detí a hodnotení na účely cenového pásma a bezplatnej verzie). Sprostredkovateľ nespracúva Dotknuté údaje na žiadne vlastné účely s výnimkou spracúvania podľa bodu 2.4 zmluvy.

Typ osobných údajov

• identifikačné údaje dieťaťa: meno, priezvisko, dátum narodenia/vek, trieda,

• hodnotenia a výsledky pedagogickej diagnostiky dieťaťa zadané pedagógom,

• identifikačné a prihlasovacie údaje pedagogických zamestnancov: meno, priezvisko, e-mail,

• technické a prevádzkové údaje: bezpečnostné logy, IP adresa.

Osobitné kategórie osobných údajov. Zmluvné strany berú na vedomie, že hodnotenia a poznámky zadávané pedagógom môžu obsahovať údaje o zdraví v zmysle čl. 4 bodu 15 a čl. 9 ods. 1 GDPR, najmä informácie o oneskorenom vývine, o špeciálnych výchovno-vzdelávacích potrebách dieťaťa alebo o uplatnených podporných opatreniach. Prevádzkovateľ zodpovedá za existenciu výnimky podľa čl. 9 ods. 2 GDPR a § 16 zákona č. 18/2018 Z. z. Sprostredkovateľ prijme vo vzťahu k takýmto údajom opatrenia podľa časti 7 Prílohy č. 2. Prevádzkovateľ do Služby nevkladá osobitné kategórie osobných údajov nad rámec nevyhnutný na účel pedagogickej diagnostiky, najmä nevkladá genetické a biometrické údaje ani údaje o rasovom alebo etnickom pôvode, náboženskom presvedčení alebo politických názoroch.

Kategórie dotknutých osôb

• deti navštevujúce materskú školu Prevádzkovateľa,

• pedagogickí zamestnanci Prevádzkovateľa používajúci Službu.

Príloha č. 2 – Technické a organizačné opatrenia (čl. 32 GDPR)

1. Dôvernosť – kontrola prístupu

• prístup do administrácie Služby len po autentifikácii (používateľský účet Prevádzkovateľa s overenou e-mailovou adresou a heslom s dĺžkou najmenej 8 znakov); formulár pre pedagógov je prístupný len prostredníctvom neverejného odkazu obsahujúceho náhodný bezpečnostný kód, ktorý môže Prevádzkovateľ kedykoľvek zmeniť,

• riadenie prístupových práv poverených osôb Sprostredkovateľa na základe zásady need-to-know,

• evidencia a logovanie každého prístupu personálu Sprostredkovateľa k Dotknutým údajom prostredníctvom administrácie Služby; iný prístup (napr. priamo do databázy pri riešení incidentu) Sprostredkovateľ zaznamenáva v písomnej evidencii,

• postup pri nástupe a odchode zamestnanca vrátane bezodkladného odobratia prístupových práv,

• logické oddelenie dát jednotlivých zákazníkov.

2. Dôvernosť – kontrola prenosu a uloženia

• šifrovanie prenosu údajov (HTTPS/TLS) pre všetkých používateľov,

• ukladanie údajov v produkčnej databáze v dátových centrách v EÚ.

3. Integrita

• zaznamenávanie aktivity používateľov v bezpečnostných logoch (uchovávanie 6 mesiacov),

• logovanie exportov Dotknutých údajov zo Služby,

• sledovanie zraniteľností softvéru komerčne dostupnými nástrojmi a pravidelné aktualizácie, s lehotami na odstránenie podľa závažnosti: kritická DOPLNIŤ dní, vysoká DOPLNIŤ dní.

4. Dostupnosť a odolnosť

• pravidelné automatizované zálohovanie s uložením záloh v rovnako zabezpečených dátových centrách.

5. Organizačné opatrenia

• písomné záväzky mlčanlivosti a poučenie poverených osôb (§ 79 zákona č. 18/2018 Z. z.),

• vedenie záznamov o spracovateľských činnostiach (čl. 30 ods. 2 GDPR),

• interný postup pre riešenie a dokumentovanie bezpečnostných incidentov vrátane registra porušení podľa čl. 33 ods. 5 GDPR,

• vývoj a testovanie Služby len so zdrojovým kódom a s fiktívnymi údajmi v osobitnom testovacom účte, overenie hromadných operácií v skúšobnom režime a zákaz použitia Dotknutých údajov na vývoj a testovanie (bod 9.5 zmluvy),

• politika zodpovedného zverejňovania zraniteľností a zverejnený kontaktný bod pre bezpečnostné hlásenia,

• pravidelné preskúmavanie a aktualizácia týchto opatrení.

6. Testovanie a hodnotenie účinnosti (čl. 32 ods. 1 písm. d) GDPR)

• pravidelné posudzovanie účinnosti prijatých opatrení, najmenej raz ročne, s písomným záznamom,

• testovanie zraniteľností aplikácie najmenej raz ročne,

• preskúmanie prístupových práv najmenej raz ročne.

7. Opatrenia vo vzťahu k osobitným kategóriám osobných údajov

• upozornenie v používateľskom rozhraní pri zadávaní údajov do polí voľného textu.

Príloha č. 3 – Zoznam ďalších sprostredkovateľov

Zoznam ku dňu uzavretia zmluvy; aktualizácie podľa čl. VIII zmluvy.

Časť A – Ďalší sprostredkovatelia s prístupom k Dotknutým údajom

Poznámka: Vercel, Convex, Cloudflare a Resend sú subdodávateľmi platformy Macaly (nie priamymi subdodávateľmi Sprostredkovateľa). Vercel a Convex ukladajú Dotknuté údaje v rámci svojich EÚ regiónov; miesto spracúvania pri Cloudflare a Resend je uvedené v tabuľke vyššie. Ide o spoločnosti so sídlom v USA – pozri bod 13.2 tejto zmluvy. Platforma Macaly pri vývoji Služby využíva aj nástroje umelej inteligencie svojich subdodávateľov; tie pracujú len so zdrojovým kódom a k Dotknutým údajom nepristupujú (bod 9.5 zmluvy). Aktuálny zoznam subdodávateľov Macaly je dostupný na macaly.com/dpa; Sprostredkovateľ uchováva jeho archivovanú snímku ku dňu uzavretia tejto zmluvy a poskytne ju na požiadanie.

Časť B – Dodávatelia bez prístupu k Dotknutým údajom (uvedení na účely transparentnosti; nie sú ďalšími sprostredkovateľmi – bod 8.6)

Faktúry vystavuje priamo Služba; platby sa prijímajú bankovým prevodom. Platobnú bránu ani externý fakturačný softvér Sprostredkovateľ nevyužíva.