PRÍLOHA Č. 1 K PODMIENKAM POSKYTOVANIA SLUŽBY KIVEA

(ďalej len “Spracovateľská zmluva”) uzatvorená medzi:

• Vami ktorí ste sa rozhodli používať službu Kivea;

(ďalej len „Správca“ alebo “vy”)

a

• Kivea s.r.o., IČO: 24372722, so sídlom Olešná 51, 338 24 Němčovice, zastúpená Ing. Petrom Ferschmannom, konateľom, zapísaná v obchodnom registri vedenom Krajským súdom v Plzni sp. zn. C 47916,

(ďalej len „Spracovateľ“, “Kivea”, alebo “my”)

(Spracovateľ a Správca ďalej spoločne ako „Zmluvné strany“ a jednotlivo „Zmluvná strana“).

Ak budete využívať službu Kivea (“Služba”), potom bude Kivea spracovateľom Osobných údajov, ktoré nám zveríte. Služba je poskytovaná na základe Podmienok poskytovania služby Kivea (“Podmienky”). Uzavretím Zmluvy potvrdzujete, že ste sa oboznámili a súhlasíte so Spracovateľskou zmluvou, a je pre Vás právne záväzná. Táto Spracovateľská zmluva sa vzťahuje na všetkých používateľov, ktorí majú k Službe prístup, alebo ju používajú.

Prečítajte si prosím pozorne túto Spracovateľskú zmluvu, ktorá vymedzuje podmienky spracovania Osobných údajov, za ktorých je Služba poskytovaná. V prípade otázok, ktoré sa budú týkať spracovania Osobných údajov, nás môžete kedykoľvek kontaktovať na privacy@kivea.eu.

Zmluvné strany spracovávajú Osobné údaje v súvislosti s uzatvorenou Zmluvou v súlade s právnymi predpismi, najmä v súlade s Nariadením Európskeho parlamentu a rady (EU) 2016/679 (ďalej len “GDPR”). Podľa GDPR musia Zmluvné strany písomne upraviť pravidlá spracovania, čo vykonávajú v tejto Spracovateľskej zmluve.

ÚVOD A KRÁTKY PREHĽAD OBSAHU ZMLUVY

• Predmet a účel Spracovateľskej zmluvy. Uzavretím tejto Spracovateľskej zmluvy ako Správca poverujete Spracovateľa, aby pre Vás vykonával spracovanie Osobných údajov v súvislosti s poskytovaním Služby. Cieľom je zaistenie ochrany Osobných údajov v rozsahu požadovanom právnymi predpismi. Rozsah spracovávaných Osobných údajov nájdete v Prílohe A tejto Spracovateľskej zmluvy.

• Služba Kivea. Služba Kivea spočíva najmä v poskytovaní platformy na spracovanie účtovných a obchodných dokladov a dát Užívateľa, v prepojení s Aplikáciami Užívateľa (resp. prenose dát medzi nimi) a v službách Inštalácie a Programátorských prác, ako je bližšie definovaná v Podmienkach.

• Čo znamená pozícia Spracovateľa a Správcu. Pri užívaní Služby nám predávate Osobné údaje, ktorých ste Správcom, ktoré následne na Váš pokyn a v rozsahu Vami zvolenom spracovávame. Pri spracovaní Osobných údajov ste v postavení Správcu Osobných údajov podľa článku 4 ods. 7 GDPR a Kivea je v postavení Spracovateľa podľa článku 4 ods. 8 GDPR.

• Písomná forma. Podľa článku 28 GDPR Zmluvné strany písomne upravujú pravidlá spracovania v tejto Spracovateľskej zmluve.

• Definície. Definície pojmov v Podmienkach budú prevzaté v rovnakom význame aj do tejto Spracovateľskej zmluvy.

• Doba trvania Podmienok. Táto Spracovateľská zmluva sa uzatvára na dobu trvania Zmluvy podľa Podmienok.

• Okamih uzavretia a ukončenia Spracovateľskej zmluvy. Spracovateľská zmluva je uzatvorená v okamihu dokončenia registrácie za účelom užívania Služby (uzavretie Zmluvy. Ukončiť Spracovateľskú zmluvu je možné za rovnakých podmienok ako ukončenie využívania Služby podľa Podmienok .

• Účinky ukončenia. Ukončenie tejto Spracovateľskej zmluvy má za následok zároveň ukončenie zmluvného vzťahu v oblastiach, ktorých sa táto Spracovateľská zmluva týka, ak sa Zmluvné strany nedohodnú inak. Ukončením Podmienok je ukončená aj táto Spracovateľská zmluva. Ukončením tejto Spracovateľskej zmluvy však nie sú dotknuté povinnosti Spracovateľa pri predávaní (vrátení) Osobných údajov Správcovi či ich likvidácii a dodržiavaní dôvernosti informácií.

SPOLOČNÉ POVINNOSTI SPRÁVCA A SPRACOVATEĽA

• Zákonnosť spracovania. Správca a Spracovateľ sa zaväzujú dodržiavať predpisy upravujúce ochranu Osobných údajov.

• Súčinnosť. Správca a Spracovateľ sa zaväzujú si byť navzájom v nevyhnutnom a primeranom rozsahu nápomocní pri plnení povinností pri spracovaní Osobných údajov, ktoré vyplývajú zo vzájomne uzatvorených zmlúv a právnych predpisov, a to najmä v súvislosti s reakciami na výkon práv subjektov údajov, s bezpečnostnými incidentmi a tiež aj s vypracovaním posúdenia vplyvu a s jednaním s dozornými orgánmi. Zmluvné strany sa zaväzujú poskytnúť nevyhnutné podklady pre vybavenie žiadosti týkajúcej sa spracovania Osobných údajov podľa Podmienok. Zmluvná strana tieto podklady poskytne bez zbytočného odkladu, najneskôr však do 10 pracovných dní od obdržania žiadosti o poskytnutie súčinnosti druhej Zmluvnej strane.

• Incident. Zmluvná strana oznámi druhej strane, že sa dozvedela o porušení zabezpečenia zabezpečenia do 48 hodín od chvíle, keď sa o porušení dozvie. Porušením treba chápať akýkoľvek prípad porušenia zabezpečenia Osobných údajov, ktoré môže potenciálne viesť k náhodnému alebo protiprávnemu zničeniu, zmene alebo neoprávnenému poskytnutiu alebo sprístupneniu Osobných údajov, ktoré sú spracované na základe Zmluvy v znení Podmienok.

PRÁVA A POVINNOSTI SPRACOVATEĽA

• Obmedzenie prístupu. Spracovateľ zaistí, aby bol prístup k Osobným údajom obmedzený iba na (a) zamestnancov, ktorí spracovávajú Osobné údaje v rámci pracovnej náplne, a ďalej (b) osoby, ktoré spolupracujú so Spracovateľom a v rámci spolupráce môžu pre neho spracovávať Osobné údaje, a to v súlade s podmienkami tejto Spracovateľskej zmluvy a za účelom poskytnutia Služieb na základe Zmluvy v znení Podmienok. Ak sa na tieto osoby nevzťahuje zákonná povinnosť mlčanlivosti, Spracovateľ zaistí ich zmluvnú mlčanlivosť.

• Záväzok Spracovateľa týkajúci sa prijatých opatrení. Spracovateľ prijal a zaväzuje sa udržovať po celú dobu trvania tejto Spracovateľskej zmluvy vhodné technické a organizačné opatrenia podľa nariadenia GDPR, ktoré sa na Spracovateľa vzťahujú. Prehľad prijatých opatrení nájdete v Prílohe B tejto Spracovateľskej zmluvy.

Záväzok Spracovateľa. Spracovateľ sa zaväzuje:

• pri spracovaní osobných údajov dodržiavať všetky povinnosti vyplývajúce pre spracovateľa Osobných údajov z relevantných právnych predpisov;

• spracovávať Osobné údaje výlučne na základe pokynov Správcu urobených podľa tejto Spracovateľskej zmluvy, vrátane v otázkach predania Osobných údajov do tretej krajiny alebo medzinárodnej organizácii;

• oznámiť bez zbytočného odkladu Správcovi prípady, keď je zo strany Úradu pre ochranu Osobných údajov či iného správneho orgánu začatá kontrola alebo iné správne konanie vo vzťahu ku spracovaniu Osobných údajov Spracovateľom, a poskytnúť Správcovi všetky informácie o priebehu a výsledkoch tejto kontroly, resp. priebehu a výsledkoch takéhoto konania;

• byť Správcovi nápomocný pri zaisťovaní súladu s povinnosťami Správcu týkajúcich sa zabezpečenia Osobných údajov podľa článku 32 až 36 GDPR pri zohľadnení povahy spracovania, ktoré má Spracovateľ vykonávať;

• umožniť Správcovi konanie interných auditov, vrátane inšpekcií, vykonávaných Správcom alebo iným audítorom, ktorého Správca poveril, a to za podmienky, že tieto budú Spracovateľovi oznámené jeden mesiac pred ich konaním; Spracovateľ môže vzniesť námietky proti proti akémukoľvek audítorovi, ktorý bol poverený Správcom, ak nie je nezávislý, je v súťažnom alebo obdobnom postavení voči Spracovateľovi. Na základe Spracovateľom vznesenej námietky má Správca povinnosť poveriť iného audítora;

• ohlásiť Správcovi o každom porušení zabezpečenia Osobných údajov, o ktorom sa dozvie, a to bez zbytočného odkladu, najneskôr do 48 hodín od chvíle, keď sa o porušení zabezpečenia dozvie. Minimálny rozsah tohto oznámenia je uvedený v článku 33 ods. 3 GDPR;

• viesť evidenciu všetkých porušení zabezpečenia Osobných údajov a prijatých nápravných opatrení k zaisteniu zodpovedajúcej úrovne zabezpečenia spracovania. Spracovateľ je povinný poskytnúť Správcovi všetku potrebnú súčinnosť spojenú s vyšetrovaním porušenia zabezpečenia a plnenie povinností Správcu podľa článku 33 až 34 GDPR;

• byť Správcovi nápomocný pri doložení procesov či dokumentov, ktoré preukazujú, že Správca dodržuje GDPR.

• Úhrada nákladov. Zmluvné strany sa dohodli, že Spracovateľ má voči Správcovi nárok na náhradu primeraných nákladov spojených s poskytnutím súčinnosti.

• Mlčanlivosť Spracovateľa. Spracovateľ sa zaväzuje dodržiavať povinnosť mlčanlivosti o všetkých Osobných údajoch predaných Správcom, a bude ich udržiavať v tajnosti, nezverejní ich, nesprístupní tretej osobe, a to ani ako celok, ani ich časti, ibaže má dôjsť k ich predaniu na základe pokynu Správcu, alebo ak tak predpokladá právny predpis.

• Obchodné tajomstvo. Všetky informácie a dokumenty, ktoré Spracovateľ Správcovi sprístupní v súvislosti s auditom alebo inšpekciou, tvoria súčasť obchodného tajomstva Spracovateľa, a ak nie je stanovené inak, podliehajú požiadavkám na zachovanie dôvernosti podľa tejto Spracovateľskej zmluvy. Tieto informácie a dokumenty smú byť sprístupnené iba oprávnenému dozornému úradu.

• Zákonnosť spracovania. Povinnosti Spracovateľa týkajúce sa ochrany Osobných údajov sa Spracovateľ zaväzuje plniť po celú dobu účinnosti Zmluvy, ak z ustanovení Zmluvy, tejto Spracovateľskej zmluvy alebo príslušných právnych predpisov nevyplýva, že majú trvať aj po zániku jej účinnosti.

• Zapojení spracovatelia a zapojenie nového spracovateľa. Spracovateľ ďalej zapojil do spracovania Osobných údajov poskytovateľa Hetzner Online GmbH (Hetzner), dáta u tohto poskytovateľa sú uložené vždy v rámci EU. Ak bude Spracovateľ zapojovať iných spracovateľov, informuje o tom Správcu pred touto zmenou prostredníctvom e-mailu alebo priamo v Dashboarde. V prípade, že Správca nebude so zapojením nového spracovateľa súhlasiť, môže podať námietku, a to najneskôr do 5 od doručenia oznámenia Spracovateľa. Podanie námietky, a teda nezapojenie nového (pod)spracovateľa, môže mať za následok znemožnenie užívania Služby.

• Programátori a ďalší špecialisti Spracovateľa. Správca výslovne súhlasí so zapojením ďalších spracovateľov – programátorov a iných špecialistov Spracovateľa v pozícii fyzických osôb podnikajúcich, ktorí poskytujú Spracovateľovi služby na základe zmluvy o spolupráci.

• Povinnosť Spracovateľa v prípade ukončenia spolupráce. Spracovateľ sa zaväzuje, že v prípade ukončenia poskytovania Služieb vymaže všetky Osobné údaje a na žiadosť Správcu ich vráti, vrátane všetkých kópií, ak právo EU alebo Českej republiky nevyžaduje ich uloženie. V takom prípade budú v lehote troch mesiacov od doručenia výzvy Správcu vrátené prostredníctvom zabezpečeného úložiska, ktoré Správca špecifikuje vo svojej výzve a zriadi k nemu Spracovateľovi prístup. Ak po uplynutí troch rokov od ukončenia spolupráce Správca nedá pokyn k predaniu Osobných údajov, upozorní ho Spracovateľ na možnosť vrátenia dát. Ak Správca nedá do jedného mesiaca od upozornenia pokyn na predanie dát, budú Osobné údaje s ohľadom na plnenie svojich právnych povinností zmazané.

ZÁVEREČNÉ USTANOVENIA

• Právny poriadok. Pre záležitosti osobitne neupravené v tejto Spracovateľskej zmluve platia všeobecne záväzné právne predpisy. Spracovateľská zmluva sa riadi a bude vykladaná v súlade s právnym poriadkom Českej republiky, najmä zákonom č. 89/2012 Zb., občiansky zákonník, v znení neskorších predpisov. Zmluvné strany sa dohodli, že obchodné zvyklosti nemajú prednosť pred žiadnymi ustanoveniami zákona, a to ani pred ustanoveniami zákona, ktoré nemajú donucujúce účinky.

• Vyššia moc. Spracovateľ nenesie zodpovednosť za situácie, keď nemohol splniť svoju povinnosť vyplývajúcu zo Spracovateľskej zmluvy z dôvodu udalosti označovanej ako vyššia moc (vojna, nepokoje, terorizmus, vzbury, štrajky, požiare, epidémie či prírodné katastrofy).

Komunikácia Zmluvných strán. Zmluvné strany sa dohodli, že ich komunikácia týkajúca sa Spracovateľskej zmluvy (vrátane oznámenia bezpečnostného incidentu) bude prebiehať bude prebiehať prostredníctvom e-mailových adries:

• Správca: e-mailová adresa, ktorou sa Správca registroval ku Službe;

• Spracovateľ: privacy@kivea.eu;

• Zákaz postúpenia. Žiadna Zmluvná strana nesmie akokoľvek postúpiť alebo previesť práva a povinnosti vyplývajúce z tejto Spracovateľskej zmluvy alebo súvisiace s touto Spracovateľskou zmluvou bez predchádzajúceho písomného súhlasu druhej Zmluvnej strany.

• Aktualizácie a zmeny. Spracovateľ si vyhradzuje právo túto Spracovateľskú zmluvu upraviť alebo aktualizovať. Ak vykonáme zmeny, ktoré menia práva a povinnosti zo Spracovateľskej zmluvy, budete o tom včas oboznámení prostredníctvom e-mailu, ktorý Vám zašleme. Ak budete využívať naďalej Službu, súhlasíte s aktualizovaným znením Spracovateľskej zmluvy. Ak so zmenami nebudete súhlasiť, prestaňte prosím Službu využívať.

• Účinnosť. Táto Spracovateľská zmluva je účinná v tomto znení od 1.3.2026.

Prílohy. Súčasťou Spracovateľskej zmluvy sú tieto prílohy:

• Príloha A: Povaha, rozsah, trvanie a účel spracovania Osobných údajov,
• Príloha B: Technické a organizačné opatrenia.

PRÍLOHA A

K ZMLUVE O SPRACOVANÍ OSOBNÝCH ÚDAJOV

POVAHA, ROZSAH, TRVANIE A ÚČEL SPRACOVANIA OSOBNÝCH ÚDAJOV

Povaha spracovania. Osobné údaje sú spracovávané automatizovane prostredníctvom systémov Spracovateľa používaných Spracovateľom pre poskytovanie Služby.

Účel. Účelom spracovania je umožniť Správcom využívanie Služby (plnenie Zmluvy), najmä spracovaním dokladov a dát a ich prenosom medzi Aplikáciami.

Právny dôvod spracovania. Právnym dôvodom pre spracovanie Osobných údajov v rámci poskytovania Služby je plnenie Zmluvy (v znení Podmienok).

Rozsah spracovania: V závislosti od toho, ako Správca využíva Službu (najmä voľbou funkcií a prepojených Aplikácií), môžu byť v súvislosti s poskytovaním Služby spracovávané najmä tieto Osobné údaje:

• Kontaktné údaje: Meno, priezvisko, e-mail, telefónne číslo, adresa, IČO, sídlo, číslo objednávky, číslo účtu;

• Údaje na daňových dokladoch: Kontaktné údaje, číslo objednávky, číslo účtu, číslo faktúry;

• Údaje v dokladoch, bankových výpisoch a evidencii partnerov: Mená a kontaktné údaje obchodných partnerov, čísla bankových účtov, variabilné symboly, popisy platieb;

• Údaje o zamestnancoch (iba ak Správca využíva mzdovú a personálnu agendu): Meno, priezvisko, kontaktné údaje, údaje o pracovnom pomere a mzde; alebo

• Prípadne ďalšie Osobné údaje spracovávané prostredníctvom Služby, spracovávané výhradne na pokyn Správcu.

Osobitné kategórie Osobných údajov. Správca sa zaväzuje, že Spracovateľovi nesprístupní žiadne Osobné údaje, ktoré spadajú do osobitnej kategórie Osobných údajov v zmysle článku 9 GDPR. Osobitné kategórie Osobných údajov môžu byť spracované iba po výslovnej predchádzajúcej dohode so Spracovateľom.

Čo sú osobitné kategórie Osobných údajov? Sú to také Osobné údaje, ktoré vypovedajú o rasovom či etnickom pôvode, politických názoroch, náboženskom vyznaní či filozofickom presvedčení, členstve v odboroch, zdravotnom stave či o sexuálnom živote alebo sexuálnej orientácii fyzickej osoby. Za osobitnú kategóriu údajov sú považované aj genetické a biometrické údaje, ak sú spracovávané za účelom jedinečnej identifikácie fyzickej osoby.

Subjekt údajov. Spravidla sa jedná o Osobné údaje zákazníkov alebo klientov Správcu, zamestnancov Správcu a iných spolupracujúcich osôb vrátane dodávateľov, užívateľov webových stránok Správcu, obchodných partnerov alebo ich zamestnancov či zástupcov.

Doba spracovania. Osobné údaje sú spracovávané po dobu, po ktorú sú Zmluvné strany viazané Zmluvou v znení Podmienok, ibaže dohoda Zmluvných strán alebo právny predpis nestanoví dobu dlhšiu.

PRÍLOHA B

K ZMLUVE O SPRACOVANÍ OSOBNÝCH ÚDAJOV

TECHNICKÉ A ORGANIZAČNÉ OPATRENIA

Technické a organizačné opatrenia. Bezpečnosť je pre nás veľmi dôležitá a preto sústavne pracujeme na tom, aby boli Vaše Osobné údaje chránené. Pri voľbe opatrení berieme do úvahy rozsah spracovania, rizikovosť spracovania alebo stav našej techniky.

• Pravidelné zálohujeme dáta;

• aktualizujeme antivírusové softvérové systémy;

• šifrujeme dáta pomocou SSL/TLS („secure sockets layer / transport layer security“) pre všetky predávanie údajov;

• používame zabezpečený https protokol;

• naše dáta na serveroch sú šifrované;

• prístupové heslá do informačných systémov (kde budú Osobné údaje spracované) a oprávnenie k prístupu sú kontrolované na úrovni jednotlivcov.

Organizačné opatrenia. Prijali sme a zaväzujeme sa dodržiavať nasledujúce opatrenia:

• Naši zamestnanci sú zaviazaní mlčanlivosťou;

• Naši zamestnanci sú riadne preškolení a tiež ďalej pravidelne školení ohľadom GDPR a oboznámení s pravidlami bezpečnej práce na pracovných zariadeniach;

• V prípade uchovávania API kľúčov odstraňujeme autorizačné údaje;

• Prístupy do všetkých systémov vrátane informačného systému sú personalizované a kryté bezpečnými heslami;

• Heslá v prevádzkovom prostredí uchovávame na oddelenom mieste (Safe store), do nehož sú evidované logy, aby sme mohli kontrolovať prístup zamestnancov k jednotlivým Osobným údajom Užívateľov.