Zmluva o spracúvaní osobných údajov

1. Zmluvné strany

1.1 Prevádzkovateľ: zákazník, ktorý používa niektorú zo služieb Cookix, Trackix, Pulsix, Feedix, Reviewix, Talkix, Lowix alebo Pixelix (ďalej „prevádzkovateľ“). Ak firmu v Gaelta Cockpit spravuje partner (napríklad agentúra) pre svojho klienta, prevádzkovateľom je klient a partner koná v jeho mene (bod 1.4).

1.2 Sprostredkovateľ: Gaelta Agency s.r.o., Novomestská ulica 9514/9, 917 01 Trnava, IČO 56659920, zapísaná v Obchodnom registri Okresného súdu Trnava, oddiel Sro, vložka č. 58156/T, kontakt pre ochranu údajov ahoj@gaelta.com (ďalej „sprostredkovateľ“).

1.3 Zmluva vzniká spolu so zmluvou o službe (súhlasom s obchodnými podmienkami pri registrácii alebo objednávke) a trvá, kým sprostredkovateľ pre prevádzkovateľa spracúva osobné údaje v niektorej službe, vrátane lehoty na vymazanie podľa bodu 10.

1.4 Ak zákazník sám spracúva údaje ako sprostredkovateľ pre iného prevádzkovateľa (napríklad agentúra pre svojho klienta), vyhlasuje, že má od neho písomné povolenie na zapojenie sprostredkovateľa ako ďalšieho sprostredkovateľa za podmienok tejto zmluvy, a pokyny prevádzkovateľa odovzdáva sprostredkovateľovi. V takom prípade sa ustanovenia o prevádzkovateľovi primerane vzťahujú na zákazníka.

2. Predmet, povaha a účel spracúvania

2.1 Sprostredkovateľ spracúva pre prevádzkovateľa osobné údaje výlučne na účel poskytovania služby, ktorú si prevádzkovateľ zvolil, v rozsahu jeho plánu a nastavení. Predmet, povahu, účel, kategórie osobných údajov a dotknutých osôb a dobu spracúvania pre každú službu opisuje príloha 1.

2.2 Táto zmluva sa nevzťahuje na údaje, ktoré sprostredkovateľ spracúva ako samostatný prevádzkovateľ, najmä údaje o zákazníkoch a používateľoch účtov v Gaelta Cockpit, fakturačné údaje, údaje partnerov a údaje návštevníkov webov sprostredkovateľa. O nich informujú zásady ochrany osobných údajov.

3. Pokyny prevádzkovateľa

3.1 Sprostredkovateľ spracúva osobné údaje iba na základe zdokumentovaných pokynov prevádzkovateľa. Pokynmi sú táto zmluva, obchodné podmienky, nastavenia, ktoré prevádzkovateľ urobí v službe alebo v Gaelta Cockpit, a pokyny, ktoré prevádzkovateľ pošle e-mailom z adresy vlastníka alebo správcu firmy.

3.2 Ak je spracúvanie nad rámec pokynov vyžadované právom EÚ alebo členského štátu, sprostredkovateľ prevádzkovateľa o tom informuje pred spracúvaním, ak mu to právo nezakazuje.

3.3 Ak sa sprostredkovateľ domnieva, že pokyn porušuje GDPR alebo iný predpis o ochrane údajov, bez zbytočného odkladu na to prevádzkovateľa upozorní a do vyjasnenia nie je povinný pokyn vykonať.

4. Povinnosti sprostredkovateľa

Sprostredkovateľ:

a) zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby podliehali zákonnej povinnosti mlčanlivosti, a to aj po skončení ich vzťahu so sprostredkovateľom;

b) prijme a udržiava technické a organizačné opatrenia podľa čl. 32 GDPR opísané v prílohe 2. Opatrenia môže meniť, ak sa ich úroveň neznižuje;

c) dodržiava podmienky zapojenia ďalších sprostredkovateľov podľa bodu 6;

d) s ohľadom na povahu spracúvania pomáha prevádzkovateľovi vhodnými opatreniami plniť povinnosť reagovať na žiadosti dotknutých osôb (čl. 12 až 22 GDPR), najmä nástrojmi na export a vymazanie údajov v službe. Ak žiadosť dotknutej osoby dostane priamo sprostredkovateľ, postúpi ju bez zbytočného odkladu prevádzkovateľovi a sám na ňu vecne neodpovie;

e) pomáha prevádzkovateľovi pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu, predchádzajúca konzultácia) s ohľadom na povahu spracúvania a informácie, ktoré má k dispozícii;

f) po skončení poskytovania služby údaje vymaže alebo vráti podľa bodu 10;

g) poskytne prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožní audit podľa bodu 8;

h) vedie záznamy o kategóriách spracovateľských činností podľa čl. 30 ods. 2 GDPR.

5. Povinnosti prevádzkovateľa

5.1 Prevádzkovateľ zodpovedá za zákonnosť spracúvania, najmä za to, že:

• má na spracúvanie právny základ a pri službách, ktoré to vyžadujú, získal platný súhlas dotknutých osôb (najmä cookie lištou pri Trackixe),
• informoval dotknuté osoby podľa čl. 13 a 14 GDPR, najmä v zásadách ochrany osobných údajov a cookies na svojom webe, vrátane toho, že využíva sprostredkovateľa, pri Trackixe posiela údaje spoločnostiam Meta a Google aj zo servera a pri Talkixe na rozhovory používa jazykový model,
• nastavenia služby zodpovedajú nástrojom a spracúvaniu na jeho webe,
• cez službu neposiela osobitné kategórie osobných údajov (čl. 9 GDPR), údaje o trestných činoch ani údaje, ktoré služba nepotrebuje.

5.2 Prevádzkovateľ bez zbytočného odkladu informuje sprostredkovateľa, ak zistí chybu alebo nezrovnalosť pri spracúvaní.

6. Ďalší sprostredkovatelia

6.1 Prevádzkovateľ dáva sprostredkovateľovi všeobecné povolenie na zapojenie ďalších sprostredkovateľov. Zoznam ďalších sprostredkovateľov ku dňu účinnosti tejto zmluvy je v prílohe 3 a jeho aktuálne znenie je zverejnené na webe každej služby (stránka Subdodávatelia).

6.2 O zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa informuje sprostredkovateľ prevádzkovateľa e-mailom a zverejnením na stránke Subdodávatelia aspoň 14 dní vopred. Prevádzkovateľ môže v tejto lehote z oprávnených dôvodov týkajúcich sa ochrany údajov namietať. Ak sa strany nedohodnú, môže prevádzkovateľ dotknutú službu vypovedať s okamžitou účinnosťou a sprostredkovateľ mu vráti pomernú časť zaplatenej ceny.

6.3 Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi zmluvou rovnaké povinnosti ochrany údajov, aké má podľa tejto zmluvy, najmä poskytnutie dostatočných záruk prijatia vhodných technických a organizačných opatrení. Za plnenie povinností ďalšieho sprostredkovateľa zodpovedá sprostredkovateľ prevádzkovateľovi ako za vlastné.

6.4 Za ďalších sprostredkovateľov sa nepovažujú:

• príjemcovia na pokyn prevádzkovateľa, ktorým sprostredkovateľ údaje odovzdáva preto, že ich prevádzkovateľ v službe zvolil a prepojil so svojím účtom u nich (najmä Meta a Google pri Trackixe, kanály upozornení Telegram, Slack, Discord a webhooky pri Pulsixe, odberatelia feedov pri Feedixe, platformy recenzií, na ktoré Reviewix odosiela odpovede zákazníka, helpdesk Chatwoot, ktorý si prevádzkovateľ pripojí k Talkixu). Vzťah prevádzkovateľa s nimi upravujú ich vlastné podmienky, ktoré prevádzkovateľ uzavrel. Ich prehľad je v časti B prílohy 3;
• zdroje údajov prevádzkovateľa (napríklad platforma jeho e-shopu, a to aj prostredníctvom Gaelta Connect, alebo jeho účet GA4), z ktorých sprostredkovateľ údaje na pokyn prevádzkovateľa načítava.

7. Prenos do tretích krajín

7.1 Sprostredkovateľ uchováva osobné údaje prevádzkovateľa v Európskej únii (príloha 3). Niektorí ďalší sprostredkovatelia (najmä Cloudflare) môžu údaje pri prenose a ochrane siete spracúvať aj mimo EHP.

7.2 Prenos do tretej krajiny sa uskutoční iba na základe rozhodnutia Európskej komisie o primeranosti (pri USA rámec EU-US Data Privacy Framework, ak je príjemca certifikovaný) alebo štandardných zmluvných doložiek podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914, prípadne iných primeraných záruk podľa čl. 46 GDPR. Aktuálny základ pre každého ďalšieho sprostredkovateľa uvádza príloha 3.

7.3 Prenos príjemcom na pokyn prevádzkovateľa (bod 6.4) sa riadi podmienkami, ktoré prevádzkovateľ s týmito príjemcami uzavrel.

8. Audit a informácie

8.1 Sprostredkovateľ na žiadosť prevádzkovateľa poskytne do 30 dní informácie potrebné na preukázanie plnenia tejto zmluvy, najmä aktuálny popis opatrení, zoznam ďalších sprostredkovateľov a dostupné správy alebo certifikáty ďalších sprostredkovateľov (napríklad ISO 27001 alebo SOC 2 spoločností Cloudflare, Supabase a Stripe).

8.2 Ak tieto informácie nestačia, umožní sprostredkovateľ audit alebo kontrolu prevádzkovateľom alebo audítorom, ktorého prevádzkovateľ poverí a ktorý je viazaný mlčanlivosťou, najviac raz za 12 mesiacov, po dohode o termíne a rozsahu, s oznámením aspoň 30 dní vopred, počas pracovnej doby a bez narušenia prevádzky a ochrany údajov iných zákazníkov. Obmedzenie počtu neplatí po porušení ochrany údajov alebo na pokyn orgánu dozoru.

8.3 Náklady auditu znáša prevádzkovateľ. Ak audit zistí podstatné porušenie tejto zmluvy, znáša primerané náklady auditu sprostredkovateľ.

9. Porušenie ochrany osobných údajov

9.1 Sprostredkovateľ oznámi prevádzkovateľovi porušenie ochrany osobných údajov, ktoré sa týka jeho údajov, bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, e-mailom vlastníkovi firmy.

9.2 Oznámenie obsahuje, v rozsahu dostupných informácií, popis povahy porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky, prijaté a navrhované opatrenia a kontakt. Informácie, ktoré nie sú dostupné hneď, poskytne sprostredkovateľ postupne bez zbytočného odkladu.

9.3 Sprostredkovateľ bez zbytočného odkladu prijme opatrenia na zmiernenie následkov a poskytne prevádzkovateľovi súčinnosť pri oznámení úradu a dotknutým osobám. Oznámenie úradu a dotknutým osobám robí prevádzkovateľ, ak sa strany nedohodnú inak.

10. Vymazanie a vrátenie údajov

10.1 Prevádzkovateľ si môže údaje počas trvania služby exportovať v rozsahu, ktorý umožňuje služba a jeho plán.

10.2 Po odstránení webu, firmy alebo účtu, alebo po skončení zmluvy o službe, sprostredkovateľ údaje dotknutej služby vymaže do 30 dní a zo záloh do 90 dní, ak právo EÚ alebo členského štátu nevyžaduje ich ďalšie uchovávanie. Ak prevádzkovateľ do odstránenia požiada o vrátenie údajov, ktoré nevie exportovať sám, sprostredkovateľ mu ich poskytne v bežnom strojovo čitateľnom formáte.

10.3 Doby uchovávania počas trvania služby určuje príloha 1 a plán prevádzkovateľa. Ich uplynutím sprostredkovateľ údaje priebežne vymazáva.

11. Zodpovednosť a záverečné ustanovenia

11.1 Zodpovednosť strán voči dotknutým osobám sa riadi čl. 82 GDPR. Vo vzťahu medzi stranami sa zodpovednosť riadi obchodnými podmienkami, ak GDPR alebo zákon neurčuje inak.

11.2 Ak sú obchodné podmienky a táto zmluva v rozpore v otázkach ochrany osobných údajov, má prednosť táto zmluva.

11.3 Táto zmluva sa riadi právom Slovenskej republiky. Mení sa rovnakým postupom ako obchodné podmienky (oznámenie aspoň 30 dní vopred), zmena prílohy 3 postupom podľa bodu 6.2 a zmena prílohy 2, ktorá neznižuje úroveň ochrany, aj bez oznámenia.

11.4 Na žiadosť prevádzkovateľa sprostredkovateľ túto zmluvu podpíše aj v listinnej podobe alebo elektronickým podpisom s rovnakým obsahom.

---

Príloha 1. Predmet spracúvania podľa služieb

1A. Cookix

1B. Trackix

1C. Pulsix

1D. Feedix

1E. Reviewix

1F. Talkix

1G. Lowix

1H. Pixelix

---

Príloha 2. Technické a organizačné opatrenia (čl. 32 GDPR)

Opatrenia platia pre všetky služby, ak nie je uvedené inak.

1. Dôvernosť

• Všetka komunikácia so službami a medzi službami je šifrovaná (HTTPS, TLS 1.2 a vyššie). Nešifrované spojenia sa presmerujú alebo odmietnu.
• Údaje sú uložené v spravovaných databázach a úložiskách (Cloudflare D1 a R2, Supabase Postgres) šifrovaných v pokoji poskytovateľom infraštruktúry.
• Prístupové údaje zákazníkov k službám tretích strán (tokeny Meta a GA4, kľúče API e-shopov, prístupy k exportom a k profilom na platformách recenzií) sú uložené šifrovane (AES-GCM) a nikdy sa nezobrazujú v plnom znení.
• Kontaktné údaje pri Trackixe sa hashujú (SHA-256) a v čitateľnej podobe sa neukladajú. IP adresy v záznamoch súhlasov Cookix sa skracujú. Talkix dostáva z objednávok e-shopu iba odtlačok e-mailu (SHA-256) a adresu stránky ukladá bez parametrov.
• Údaje sú oddelené podľa firmy a webu. Každý prístup do správy overuje, či má používateľ vo firme príslušnú rolu. V databáze Gaelta Cockpit je okrem toho zapnuté riadkové zabezpečenie (RLS) a tabuľky nie sú priamo dostupné z verejného rozhrania.
• Prihlásenie do Cockpitu je bez hesla, odkazom alebo kódom na e-mail. Staré heslá zo služieb sú uložené iba ako hash. Relácie majú obmedzenú platnosť. Prihlásenie do služieb z Cockpitu používa podpísané tokeny s krátkou platnosťou.
• Udalosti zo servera zákazníka do Trackixu sa overujú podpisom (HMAC). Webhooky platobnej brány sa overujú podpisom.
• Prístup k produkčným systémom má iba poverený personál sprostredkovateľa, s dvojfaktorovým overením v účtoch infraštruktúry (Cloudflare, Supabase, Stripe, GitHub), podľa zásady najmenších oprávnení. Prístupové kľúče sú uložené v správcovi hesiel alebo ako šifrované premenné prostredia, nie v zdrojovom kóde.
• Osoby s prístupom k údajom sú viazané mlčanlivosťou.

2. Integrita

• Zmeny kódu prechádzajú cez verziovací systém (GitHub) a žiadosť o zlúčenie (pull request) s automatickými testami pred nasadením. Nasadenie do produkcie je samostatný, schválený krok.
• Dôležité úkony vo firme (zmeny plánov, tímu, platieb a nastavení) sa zaznamenávajú do záznamu zmien s časom a používateľom.
• Vstupy z webov a rozhraní sa overujú (formát, veľkosť, povolené domény), aby sa zabránilo podvrhnutiu údajov.

3. Dostupnosť a odolnosť

• Služby bežia v globálnej sieti Cloudflare s ochranou proti útokom DDoS a s viacerými dátovými centrami.
• Databázy sa zálohujú automaticky (Cloudflare D1 s obnovou do bodu v čase, Supabase s dennými zálohami) a pri Cookixe aj do samostatného úložiska R2. Obnova zo zálohy je zdokumentovaná.
• Dostupnosť služieb a ich verejných adries priebežne monitoruje Pulsix z viacerých regiónov s upozornením zodpovednej osobe.
• Výpadok služby na webe zákazníka nemá brániť fungovaniu webu (skripty sa načítavajú tak, aby ich nedostupnosť web nezablokovala).

4. Pravidelné testovanie a vyhodnocovanie

• Automatické testy pri každej zmene kódu, kontrola závislostí a bezpečnostných upozornení.
• Pravidelná kontrola oprávnení k infraštruktúre a odobratie prístupov pri skončení spolupráce.
• Aspoň raz ročne revízia týchto opatrení a zoznamu ďalších sprostredkovateľov.

5. Minimalizácia a obmedzenie uchovávania

• Služby zbierajú iba údaje potrebné pre svoj účel (napríklad Pulsix ukladá iba počet objednávok, Trackix neuchováva udalosti po ich odovzdaní, Reviewix neposiela jazykovému modelu kontaktné údaje a po 180 dňoch maže kontakty zo zberu recenzií, Talkix maže rozhovory po 365 dňoch a nepotvrdené kontakty po 30 dňoch, Lowix pracuje iba s údajmi o produktoch a cenách, Pixelix posiela jazykovému modelu iba zmenšený obrázok).
• Lehoty uchovávania podľa prílohy 1 sa vykonávajú automatickými úlohami. Po odstránení webu alebo firmy sa údaje vymažú podľa bodu 10 zmluvy.

6. Organizačné opatrenia

• Zodpovedná osoba za ochranu údajov u sprostredkovateľa: konateľ, kontakt ahoj@gaelta.com.
• Postup pri porušení ochrany údajov: zistenie, obmedzenie, posúdenie rizika, oznámenie prevádzkovateľovi do 48 hodín, záznam o porušení.
• Ďalší sprostredkovatelia sa vyberajú s ohľadom na záruky ochrany údajov a so zmluvou podľa čl. 28 GDPR.

---

Príloha 3. Ďalší sprostredkovatelia a príjemcovia

Stav k 12. 11. 2026. Aktuálny zoznam je na webe každej služby na stránke Subdodávatelia.

A. Ďalší sprostredkovatelia

B. Príjemcovia na pokyn prevádzkovateľa (nie sú ďalšími sprostredkovateľmi, bod 6.4)

C. Čo do zoznamu nepatrí

• Stripe Payments Europe, Ltd. (Írsko) spracúva platobné a fakturačné údaje zákazníkov. Ide o údaje, ktoré sprostredkovateľ spracúva ako prevádzkovateľ (bod 2.2), nie údaje návštevníkov webov prevádzkovateľa. Uvádzame ho v zásadách ochrany osobných údajov.
• Google Analytics na weboch služieb (cookix.eu, trackix.eu, pulsix.eu, feedix.eu, po spustení aj talkix.eu) meria návštevnosť týchto webov so súhlasom návštevníka. Ide o spracúvanie sprostredkovateľa ako prevádzkovateľa.
• Platformy e-shopov (napríklad Shoptet, Upgates, WooCommerce, Shopify), z ktorých Pulsix, Feedix, Reviewix, Talkix, Lowix a Pixelix načítavajú údaje (priamo alebo cez Gaelta Connect), a platformy recenzií, z ktorých Reviewix recenzie načítava (napríklad Google, Facebook, Heureka), sú zdrojom údajov prevádzkovateľa (bod 6.4).