Zmluva o spracúvaní údajov (DPA)

1. Zmluvné strany a úlohy

Podľa tejto DPA je cestovná kancelária (zákazník) prevádzkovateľom údajov; určuje účely a prostriedky spracúvania osobných údajov svojich sprievodcov a účastníkov zájazdov.

First Point (Your Next Tours) je sprostredkovateľom údajov; spracúva osobné údaje výlučne v mene prevádzkovateľa údajov a v súlade s jeho pokynmi.

Kontakt pre sprostredkovateľa: contact@firstpoint.com.tr. Právny názov, adresa a podrobnosti o registri budú vyplnené v podpisových dodatkoch pre jednotlivých zákazníkov.

2. Predmet, trvanie, povaha a účel

Predmet: spracúvanie osobných údajov potrebných na poskytovanie služby Your Next Tours (funkcie účtu, konfigurácie, relácie a hodnotenia súvisiace s telefonickým, offline zvukovým vysielaním počas zájazdov).

Trvanie: spracúvanie pokračuje počas platnosti hlavnej zmluvy o poskytovaní služieb a končí sa jej uplynutím alebo ukončením v súlade s oddielom 9.

Povaha a účel: údaje sa spracúvajú automatizovanými prostriedkami na vytvorenie a správu účtu, ukladanie šablón zájazdov a konfigurácie WiFi/peňaženky, vykonávanie registrácií pred zájazdom, ukladanie a vykazovanie údajov o reláciách a hodnoteniach a poskytovanie podpory.

3. Kategórie dotknutých osôb a osobných údajov

Kategórie dotknutých osôb: sprievodcovia/personál prevádzkovateľa a účastníci zájazdov.

Údaje o účte: e-mailová adresa, zobrazované meno, názov organizácie (spoločnosti), jazykové preferencie a obrázok profilu (avatar).

Údaje o používaní: relácie zájazdov a ich trvanie, počty účastníkov, hodnotenia a komentáre a zobrazované meno účastníka.

Konfiguračné údaje: adresy krypto peňaženiek (sieť a adresa), podrobnosti profilu WiFi (SSID a heslo) a šablóny zájazdov.

Údaje o podpore a registrácii pred zájazdom: zadané meno účastníka, model telefónu, stav slúchadiel/powerbanky a poznámky vo voľnom texte.

Nie je zamýšľané spracúvanie osobitných kategórií (citlivých) údajov; prevádzkovateľ sa zaväzuje nezadávať takéto údaje do služby.

4. Povinnosti prevádzkovateľa

Prevádzkovateľ zaručuje, že jeho pokyny a spracúvanie osobných údajov dotknutých osôb sú v súlade so zákonmi, že poskytol požadované oznámenia a že získal súhlas tam, kde sa vyžaduje.

Prevádzkovateľ zodpovedá za zdokumentované pokyny, ktoré poskytuje sprostredkovateľovi, ako aj za správnosť a zákonnosť údajov, ktoré nahráva do služby.

5. Povinnosti sprostredkovateľa a zdokumentované pokyny

Sprostredkovateľ spracúva osobné údaje iba na základe zdokumentovaných pokynov prevádzkovateľa, ktoré sú tvorené touto DPA a hlavnou zmluvou. Ak sprostredkovateľ považuje pokyn za nezákonný, informuje o tom prevádzkovateľa.

Zabezpečuje, aby osoby oprávnené spracúvať osobné údaje boli viazané mlčanlivosťou (zmluvne alebo zákonne) a udeľuje prístup len na základe potreby vedieť (need-to-know).

Sprostredkovateľ nepoužíva osobné údaje na vlastné účely, nepredáva ich ani ich nezdieľa s tretími stranami okrem poskytovania služby.

6. Opatrenia zabezpečenia (článok 32 GDPR)

Sprostredkovateľ zavádza technické a organizačné opatrenia zodpovedajúce danému riziku. Všeobecne medzi ne patria: vhodné šifrovanie/ochrana pri prenose a uložení, riadenie prístupu a prístup na základe najmenších oprávnení, autentifikácia, zaznamenávanie/monitorovanie, zálohovanie a pravidelné preskúmanie.

Zvukové vysielanie POČAS zájazdu prebieha cez prenosnú lokálnu sieť WiFi bez prístupu na internet; táto živá komunikácia neprechádza cez cloudový backend. Živý preklad je jedinou voliteľnou výnimkou: keď ho sprievodca výslovne povolením zapne a potvrdí dialógové okno so súhlasom, vlastný hlas sprievodcu – nikdy nie mikrofón účastníka – sa prenáša do nášho backendu a do služby Google Gemini na preklad v reálnom čase a neukladá sa na našich serveroch. Táto architektúra minimalizuje prenos údajov účastníkov počas zájazdu.

V tomto texte sa neuvádza žiadna konkrétna certifikácia (napr. ISO 27001); podrobnosti a aktuálny zoznam uplatňovaných kontrol môžu byť špecifikované v bezpečnostnom dodatku pre konkrétneho zákazníka.

7. Sprostredkovatelia (ďalší sprostredkovatelia)

Prevádzkovateľ udeľuje sprostredkovateľovi všeobecné povolenie na zapojenie ďalších sprostredkovateľov (napr. poskytovateľov hostingu a infraštruktúry) na poskytovanie služby.

Aktuálny zoznam ďalších sprostredkovateľov je poskytnutý zákazníkovi (Príloha). Sprostredkovateľ písomne zaväzuje každého ďalšieho sprostredkovateľa k povinnostiam v oblasti ochrany údajov, ktoré sú rovnocenné s povinnosťami v tejto DPA, a naďalej zodpovedá za konanie ďalšieho sprostredkovateľa.

Sprostredkovateľ informuje prevádzkovateľa pred pridaním alebo výmenou ďalšieho sprostredkovateľa a poskytne prevádzkovateľovi primeranú lehotu na vznesenie námietky.

8. Práva dotknutej osoby, oznamovanie porušení a asistencia

Spracovateľ pomáha prevádzkovateľovi v primeranom rozsahu a prostredníctvom vhodných technických a organizačných opatrení pri vybavovaní žiadostí dotknutých osôb o výkon ich práv (prístup, oprava, vymazanie, namietanie, prenosnosť).

Spracovateľ bez zbytočného odkladu, potom čo sa dozvie o porušení ochrany osobných údajov, informuje prevádzkovateľa a poskytne mu informácie potrebné na to, aby prevádzkovateľ mohol splniť svoje zákonné povinnosti týkajúce sa oznamovania.

Spracovateľ primerane pomáha prevádzkovateľovi s plnením povinností podľa článkov 32 až 36 GDPR (bezpečnosť, oznamovanie porušení a posúdenie vplyvu na ochranu údajov).

9. Vymazanie alebo vrátenie údajov

Po skončení spracovateľských činností spracovateľ podľa rozhodnutia prevádzkovateľa vymaže alebo vráti osobné údaje a zničí existujúce kópie v primeranej lehote, pokiaľ si uchovanie údajov nevyžaduje platné právo.

Prevádzkovateľ môže počas trvania zmluvy vymazať účet a časti údajov aj prostredníctvom panelu.

10. Audity

Spracovateľ poskytuje prevádzkovateľovi v primeranom rozsahu informácie potrebné na preukázanie súladu s povinnosťami v tejto DPA.

Prevádzkovateľ môže požiadať o audit/inšpekciu po poskytnutí primeranej lehoty a počas pracovných hodín, a to pri dodržaní obmedzení týkajúcich sa dôvernosti a bezpečnosti a bez toho, aby to neprimerane narušilo poskytovanie služby. Podrobnosti je možné dohodnúť individuálne so zákazníkom.

11. Medzinárodné prenosy

Ak sa osobné údaje prenášajú mimo Turecka alebo Európskeho hospodárskeho priestoru, uplatňujú sa platné mechanizmy prenosu a primerané záruky podľa KVKK a GDPR (napr. štandardné zmluvné doložky).

Krajiny, do ktorých sa údaje prenášajú, a uplatnené záruky sú v prípade potreby špecifikované v prílohe pre sprostredkovateľov.