Zmluva o spracúvaní osobných údajov

Návrh k právní kontrole — verze 2026-10 (neplatné do schválení)

1. Strany a uzavretie zmluvy

1.1 Prevádzkovateľ: partner programu Tyreto Gang, teda podnikateľ, ktorý prijal Podmienky programu Tyreto Gang (ďalej „partner“).

1.2 Sprostredkovateľ: GPD a.s., so sídlom Předmostí 1860/6, Děčín V-Rozbělesy, 405 02 Děčín, Česká republika, IČO 25031881, zapísaná v obchodnom registri vedenom Krajským súdom v Ústí nad Labem pod sp. zn. B 1625 (ďalej „GPD“).

1.3 Táto zmluva sa uzatvára podľa čl. 28 nariadenia (EÚ) 2016/679 (ďalej „GDPR“) jedným súhlasom spolu s podmienkami programu, pri odoslaní prihlášky do programu.

2. Predmet

2.1 GPD pre partnera spracúva osobné údaje, ktoré partner alebo jeho členovia zapíšu do aplikácie Tyreto Gang o vlastných zákazníkoch partnera:

• vlastné rezervácie partnera (zákazníci, ktorí si termín nedohodli cez Tyreto);
• súpravy pneumatík vlastných zákazníkov v uskladnení a záznamy k nim (merania dezénu, fotografie, uskladnenie a vydanie).

3. Na čo sa zmluva nevzťahuje

3.1 Rezervácie z Tyreta: údaje zákazníkov, ktorí si prezutie objednali na tyreto.cz alebo tyreto.sk, a záznamy o pneumatikách a uskladnení k týmto rezerváciám sa touto zmluvou neriadia. GPD a partner sú ich samostatnými prevádzkovateľmi: GPD pre objednávku, zákaznícky účet a bezpečnostné upozornenia, partner pre vykonanie prezutia (podmienky programu, článok 14).

3.2 Súprava vlastného zákazníka, ktorú si zákazník sám pridá do svojho účtu na Tyrete pomocou kódu zo štítku a EČV: od pridania je GPD samostatným prevádzkovateľom údajov o tejto súprave (prevádzka, stav, sezóna, rozmer, značka a model, dezén, vek) vrátane tých, ktoré partner zapíše neskôr (merania dezénu, vydanie). Na žiadosť zákazníka mu ich ukazuje v účte a podľa nich mu môže poslať e-mail, že je čas na nové pneumatiky, ak na to zákazník dal súhlas, alebo ak nakúpil na Tyrete a zasielanie neodmietol. Meno a telefón zapísané partnerom sa v účte nezobrazujú a naďalej sa riadia touto zmluvou. Prepojenie môže partner kedykoľvek zrušiť; súprava potom v účte zákazníka nie je a e-maily k nej nechodia.

3.3 Údaje o partnerovi a jeho členoch spracúva GPD ako prevádzkovateľ podľa podmienok programu.

4. Doba trvania

4.1 Zmluva platí počas účasti partnera v programe. Po jej skončení trvá, kým GPD údaje podľa článku 10 nevymaže.

5. Povaha a účel spracúvania

5.1 GPD údaje ukladá, usporadúva, zobrazuje členom partnera v aplikácii, umožňuje v nich vyhľadávať (meno, EČV, telefón), tlačí z nich štítky, exportuje ich, opravuje a vymazáva, všetko podľa úkonov partnera v aplikácii.

5.2 Účelom je umožniť partnerovi viesť jeho vlastné rezervácie a uskladnenie pneumatík.

5.3 GPD údaje vlastných zákazníkov partnera nepoužije na vlastné účely: nekontaktuje ich, neposiela im správy a nevyhodnocuje ich pre seba. Výnimkou je len súprava, ktorú si zákazník sám pridá do svojho účtu: s jej údajmi, aj s tými zapísanými neskôr, nakladá GPD ako prevádzkovateľ podľa bodu 3.2 vrátane e-mailu, že je čas na nové pneumatiky.

6. Dotknuté osoby a kategórie údajov

6.1 Dotknuté osoby: vlastní zákazníci partnera, t. j. osoby, pre ktoré partner vykonáva práce alebo uskladňuje pneumatiky, a vodiči alebo prevádzkovatelia ich vozidiel.

6.2 Kategórie údajov:

• meno a telefón;
• evidenčné číslo vozidla (EČV), popis a druh vozidla;
• termín, stanovište a poznámky k rezervácii;
• údaje o pneumatikách: značka, model, rozmer, sezóna, rok výroby (DOT), hĺbka dezénu po kolesách, počet kolies, s diskami alebo bez;
• údaje o uskladnení: miesto uloženia, stav, poznámka o poškodení, dátumy uskladnenia a vydania, kód štítku;
• fotografie pneumatík a ich stavu (môžu zachytiť aj vozidlo alebo jeho EČV).

6.3 Partner do aplikácie nezapisuje osobitné kategórie osobných údajov (čl. 9 GDPR) ani údaje, ktoré na službu nepotrebuje.

7. Pokyny partnera

7.1 GPD spracúva údaje len na zdokumentované pokyny partnera. Pokynmi sú táto zmluva, podmienky programu a úkony partnera a jeho členov v aplikácii (zápis, úprava, výmaz, export, tlač štítkov).

7.2 Ak GPD ukladá iné spracúvanie právo Európskej únie alebo členského štátu, informuje o tom partnera vopred, ibaže to tento právny predpis zakazuje.

7.3 Ak GPD považuje pokyn za porušenie GDPR alebo iného predpisu o ochrane údajov, upozorní na to partnera.

8. Povinnosti GPD

8.1 GPD zabezpečí, aby sa osoby oprávnené spracúvať údaje zaviazali k mlčanlivosti alebo ňou boli viazané zo zákona.

8.2 GPD prijme opatrenia podľa čl. 32 GDPR; sú opísané v článku 9.

8.3 Ďalších sprostredkovateľov zapája GPD len podľa článku 11.

8.4 GPD partnerovi pomáha plniť povinnosti voči dotknutým osobám: aplikácia umožňuje údaje vyhľadať, opraviť, vymazať a exportovať; s ostatným GPD pomôže na žiadosť partnera.

8.5 GPD partnerovi pomáha plniť povinnosti podľa čl. 32 až 36 GDPR s ohľadom na povahu spracúvania a informácie, ktoré má k dispozícii.

8.6 Ak GPD zistí porušenie ochrany osobných údajov, oznámi ho partnerovi bez zbytočného odkladu, s informáciami podľa čl. 33 ods. 3 GDPR v rozsahu, v akom ich má.

8.7 GPD vedie záznamy o spracovateľských činnostiach podľa čl. 30 ods. 2 GDPR.

9. Technické a organizačné opatrenia

• Prístup majú len členovia partnera podľa svojej roly; členstvo sa overuje pri každej požiadavke a odobraný člen stráca prístup okamžite.
• Zariadenie v dielni má prístup len k jednej prevádzke a len v role mechanika; každý úkon sa zaznamená s menom člena, ktorého obsluha zariadenia zvolí.
• Vlastník alebo správca môže v aplikácii odhlásiť všetky zariadenia.
• Prihlasovacie kódy a odkazy sú jednorazové alebo časovo obmedzené, ukladajú sa len ako kryptografické odtlačky, majú obmedzený počet pokusov a početnosť požiadaviek je obmedzená.
• Tajné časti odkazov sú len za znakom # adresy, takže sa nedostanú na server ani do záznamov; stránky s takými odkazmi nenačítavajú meracie ani reklamné skripty tretích strán.
• Údaje jednej prevádzky nie sú dostupné inej prevádzke; vyhľadávanie podľa EČV a uskladnenie sú obmedzené na vlastnú prevádzku.
• Fotografie uskladnenia sú uložené mimo verejne dostupného úložiska, pod náhodnými názvami a bez metadát polohy a sprístupnia sa len po overení členstva.
• Prenos dát je šifrovaný (HTTPS).
• Export je chránený proti vloženiu vzorcov do tabuľkových programov.
• Zmeny rezervácií a záznamov sa zaznamenávajú do histórie.
• Pracovníci GPD majú prístup len v rozsahu potrebnom na prevádzku a podporu programu.

10. Výmaz a vrátenie údajov

10.1 Počas účasti môže partner údaje kedykoľvek vymazať. Inak GPD vymaže vlastné rezervácie 24 mesiacov po termíne a osobné údaje záznamov o uskladnení 24 mesiacov od posledného záznamu pri súprave, ktorá už nie je v uskladnení (vydaná, vrátená na vozidlo alebo zlikvidovaná); fotografie sa vymazávajú spolu s nimi.

10.2 Po skončení účasti si partner môže počas 30 dní stiahnuť export (súbory CSV: uskladnenie, merania dezénu, vlastné rezervácie, vlastní zákazníci). Tým GPD údaje partnerovi vracia. Po uplynutí tejto lehoty GPD osobné údaje vlastných zákazníkov partnera vymaže, ibaže ich uchovanie vyžaduje právny predpis.

11. Ďalší sprostredkovatelia

11.1 Partner udeľuje GPD všeobecné povolenie zapojiť ďalších sprostredkovateľov. Ku dňu tejto verzie sú to:

• hosting a prevádzka serverov: [[HOSTING — název, sídlo, místo zpracování]];
• sieť na doručovanie obsahu a ochranu webu, cez ktorú prechádzajú požiadavky na weby Tyreta a do aplikácie: [[CDN A OCHRANA WEBU — název, sídlo, místo zpracování]];
• doručovanie e-mailov: [[E-MAILOVÉ DORUČOVÁNÍ — název, sídlo, místo zpracování]];
• rozosielanie SMS: [[SMS BRÁNA — název, sídlo, místo zpracování]].

11.2 Zamýšľanú zmenu ďalších sprostredkovateľov oznámi GPD partnerovi e-mailom najmenej 15 dní vopred ako zmenu tejto zmluvy. Partner môže vzniesť námietku; ak sa nedohodnú, môže partner účasť v programe ukončiť bez poplatku.

11.3 GPD uloží ďalším sprostredkovateľom rovnaké povinnosti ochrany údajov, aké má podľa tejto zmluvy, a zodpovedá partnerovi za ich plnenie.

11.4 Preniesť údaje mimo Európskeho hospodárskeho priestoru možno len za podmienok kapitoly V GDPR.

12. Informácie a audit

12.1 GPD partnerovi poskytne informácie potrebné na preukázanie plnenia tejto zmluvy.

12.2 GPD umožní audit alebo kontrolu, ktorú vykoná partner alebo ním poverený audítor viazaný mlčanlivosťou, po oznámení najmenej 30 dní vopred a najviac raz za rok, ibaže došlo k porušeniu ochrany údajov. Audit nesmie ohroziť údaje iných partnerov; jeho náklady znáša partner.

13. Povinnosti partnera

13.1 Partner zodpovedá za to, že má na spracúvanie údajov svojich zákazníkov právny základ a že ich o spracúvaní informoval.

13.2 Partner zapisuje len presné a potrebné údaje a vybavuje žiadosti svojich zákazníkov, na čo mu slúžia nástroje aplikácie.

14. Odmena a zodpovednosť

14.1 GPD spracúva údaje bezodplatne ako súčasť bezplatného programu.

14.2 Zodpovednosť strán sa riadi čl. 82 GDPR.

15. Záverečné ustanovenia

15.1 Zmluva sa riadi českým právom. Mení sa rovnakým postupom ako podmienky programu (oznámenie najmenej 15 dní vopred).

15.2 V otázkach spracúvania osobných údajov vlastných zákazníkov partnera má táto zmluva prednosť pred podmienkami programu.

15.3 Zmluva je vyhotovená v češtine a slovenčine. V prípade rozporu má prednosť české znenie.