Zmluva o spracúvaní osobných údajov (DPA, čl. 28 GDPR) — palivový audit — DRAFT

STATUS: agent-authored DRAFT, NOT legally reviewed. Pripravené na odblokovanie predajného procesu (koncíerž-audit + opakovaný mesačný audit). Mike + právnik finalizujú a schvaľujú pred prvým podpisom so zákazníkom; viazané na otvorené brány v QUESTIONS.md (A1 — právna sada) a na spinu legal/no-sole-basis-clause-DRAFT.md, ktorej znenie tento dokument preberá do čl. 9 a 10. Retenčná lehota v čl. 6 ([30] dní) a zoznam subdodávateľov v čl. 8 vyžadujú ratifikáciu Mikeom.

EN abstract. Data Processing Agreement (GDPR Art. 28) between the carrier (controller) and Engineers-incubator s.r.o. (processor) for the concierge / recurring fuel audit. Scope is strictly vehicle-level fuel-card, tank and odometer data. Driver-identifiable data is out of scope by design: if received, it is deleted immediately without further processing and vehicle-level data is re-requested (mirrors the AI-Act carve-out — the service does not identify or evaluate individual drivers). Source files follow a process-and-discard retention rule. Subprocessors: Google Cloud (EU region) and the Anthropic API. Primary data residency: EU. No automated individual decision-making; a human reviews every output and the report may never be the sole basis for any employment measure.

1. Zmluvné strany

Prevádzkovateľ (ďalej „Prevádzkovateľ"):

Obchodné meno: [doplniť — dopravca] Sídlo: [doplniť] IČO: [doplniť] Zastúpený: [doplniť] E-mail: [doplniť]

Sprostredkovateľ (ďalej „Sprostredkovateľ"):

Engineers-incubator s.r.o. Horná 67, 974 01 Banská Bystrica, Slovenská republika IČO: 53 741 200, DIČ: 2121479470, IČ DPH: SK2121479470 Zapísaná v Obchodnom registri Okresného súdu Banská Bystrica, [doplniť oddiel a vložku] Zastúpená: Artashes Arakelian, konateľ E-mail: hello@euhub-ai.com

Táto zmluva sa uzatvára podľa čl. 28 ods. 3 Nariadenia (EÚ) 2016/679 (GDPR) a zákona č. 18/2018 Z. z. o ochrane osobných údajov a tvorí neoddeliteľnú prílohu zmluvy o poskytovaní služby palivového auditu (objednávka + obchodné podmienky, tos-audit-DRAFT-sk.md).

2. Predmet a účel spracúvania

2.1 Sprostredkovateľ spracúva údaje výlučne na účel poskytnutia služby palivového auditu: analýza odchýlok spotreby paliva na úrovni vozidla, vypracovanie mesačného memoranda a súvisiaca konzultácia (ďalej „Služba").

2.2 Sprostredkovateľ spracúva údaje len na základe zdokumentovaných pokynov Prevádzkovateľa. Za zdokumentovaný pokyn sa považuje táto zmluva, objednávka Služby a pokyny zaslané e-mailom. Ak Sprostredkovateľ považuje pokyn za rozporný s GDPR alebo iným právnym predpisom, bezodkladne na to Prevádzkovateľa upozorní.

2.3 Sprostredkovateľ nepoužije údaje na žiadny iný (sekundárny) účel — najmä nie na tréning modelov, tvorbu vlastných porovnávacích štatistík alebo marketing — bez osobitnej písomnej dohody s Prevádzkovateľom.

3. Rozsah spracúvaných údajov — výlučne úroveň vozidla

3.1 Predmetom spracúvania sú výlučne prevádzkové údaje na úrovni vozidla:

• transakcie palivových kariet priradených k vozidlu (dátum, čas, miesto, objem, suma),
• údaje o tankovaní a stave nádrže,
• stavy odometra / kilometrické nájazdy,
• evidenčné čísla vozidiel (EVČ) — pri spracúvaní sa maskujú/pseudonymizujú,
• technické parametre vozidla (typ, norma spotreby),
• kontaktné údaje kontaktných osôb Prevádzkovateľa (meno, pracovný e-mail, telefón) na účely komunikácie o Službe.

3.2 Kategórie dotknutých osôb: kontaktné osoby Prevádzkovateľa; osoby potenciálne nepriamo identifikovateľné cez EVČ (toto riziko sa minimalizuje maskovaním EVČ podľa bodu 3.1).

4. Údaje identifikujúce vodičov — mimo rozsahu (AI-Act carve-out)

4.1 Údaje umožňujúce identifikáciu jednotlivých vodičov (mená, osobné čísla, palivové karty priradené k osobe, fotografie, prihlasovacie identifikátory vodičov a pod.) sú výslovne mimo rozsahu tejto zmluvy a Služby. Prevádzkovateľ sa zaväzuje takéto údaje Sprostredkovateľovi neodovzdávať.

4.2 Ak Sprostredkovateľ napriek tomu prijme súbory obsahujúce údaje identifikujúce vodičov, bezodkladne ich vymaže bez akéhokoľvek ďalšieho spracúvania (t. j. bez analýzy, bez uloženia do výstupov, bez prenosu subdodávateľom) a vyžiada si od Prevádzkovateľa nové podklady výlučne na úrovni vozidla. O vymazaní informuje Prevádzkovateľa e-mailom.

4.3 Služba neidentifikuje ani nehodnotí jednotlivých vodičov. Výstupy Služby sa viažu výlučne na vozidlá a vzorce spotreby; neobsahujú žiadne pole s identifikátorom osoby.

5. Pseudonymizácia a minimalizácia

5.1 EVČ sa v analytickom prostredí maskujú; do výstupov a k subdodávateľom podľa čl. 8 sa odovzdávajú údaje v podobe navrhnutej tak, aby neobsahovali osobné údaje (agregované hodnoty na úrovni vozidla s maskovaným EVČ).

5.2 Sprostredkovateľ spracúva len údaje nevyhnutné na účel podľa čl. 2 (minimalizácia, čl. 5 ods. 1 písm. c) GDPR).

6. Uchovávanie — režim „spracuj a vymaž" (process-and-discard)

6.1 Zdrojové súbory (exporty palivových kariet, tankovacie a kilometrové podklady) sa spracujú na účel vytvorenia výstupu a vymažú sa najneskôr do [30] dní od odovzdania príslušného výstupu Prevádzkovateľovi, ak Prevádzkovateľ písomne nepožiada o skoršie vymazanie (vtedy bezodkladne).

6.2 Po skončení zmluvy Sprostredkovateľ podľa voľby Prevádzkovateľa všetky údaje vráti alebo vymaže a vymaže existujúce kópie, s výnimkou údajov, ktorých uchovávanie vyžaduje právo Únie alebo SR (napr. účtovné doklady); o takejto výnimke Prevádzkovateľa informuje.

7. Bezpečnosť spracúvania (čl. 32 GDPR)

7.1 Sprostredkovateľ prijme primerané technické a organizačné opatrenia, najmä: šifrovanie prenosu (TLS) a úložiska, riadenie prístupov na princípe najnutnejšieho rozsahu, oddelenie prostredí, logovanie prístupov, pseudonymizáciu EVČ podľa čl. 5, zálohovanie a pravidelné preverovanie účinnosti opatrení.

7.2 Osoby oprávnené spracúvať údaje sú zaviazané mlčanlivosťou (zmluvne alebo zo zákona).

8. Subdodávatelia (ďalší sprostredkovatelia)

8.1 Prevádzkovateľ udeľuje všeobecné písomné povolenie na zapojenie subdodávateľov. Sprostredkovateľ informuje Prevádzkovateľa o zamýšľaných zmenách vopred e-mailom; Prevádzkovateľ môže voči zmene namietať do 14 dní.

8.2 Ku dňu podpisu sú zapojení títo subdodávatelia:

8.3 Sprostredkovateľ uloží každému subdodávateľovi zmluvou rovnaké povinnosti ochrany údajov, aké má sám podľa tejto zmluvy, a zodpovedá Prevádzkovateľovi za ich plnenie.

8.4 Rezidencia údajov: EÚ. Primárne ukladanie a spracúvanie prebieha v EÚ. Prenos do tretej krajiny je prípustný len s primeranými zárukami podľa kapitoly V GDPR — rozhodnutie o primeranosti (EU-U.S. Data Privacy Framework) a/alebo štandardné zmluvné doložky (čl. 46 ods. 2 písm. c) GDPR). Údaje odovzdávané do Anthropic API sú navrhnuté tak, aby neobsahovali osobné údaje (bod 5.1); využíva sa režim bez uchovávania vstupov na strane poskytovateľa API v rozsahu, v akom ho poskytovateľ zmluvne ponúka.

9. Žiadne automatizované individuálne rozhodovanie — ľudská kontrola

9.1 Služba nevykonáva automatizované individuálne rozhodovanie v zmysle čl. 22 GDPR. Každý výstup Služby pred odovzdaním skontroluje a schváli človek na strane Sprostredkovateľa; AI nástroje slúžia len ako podpora analýzy.

9.2 Výstupy Služby sú pravdepodobnostné odhady — označujú odchýlky, ktoré nemožno vysvetliť nákladom ani trasou, a odporúčajú ich overiť. Nie sú zistením o konaní žiadnej osoby.

10. Povinnosti a vyhlásenia Prevádzkovateľa (no-sole-basis)

10.1 Prevádzkovateľ zodpovedá za právny základ spracúvania vrátane splnenia informačnej povinnosti voči zamestnancom, ak z jeho vlastného spracúvania vyplýva (čl. 13 GDPR; Zákonník práce § 13 ods. 4).

10.2 Prevádzkovateľ zaručuje, že odovzdané podklady neobsahujú osobné údaje vodičov (len EVČ; tie Sprostredkovateľ maskuje) — čl. 4 tým nie je dotknutý.

10.3 Prevádzkovateľ sa zaväzuje nepoužiť výstup Služby ako jediný podklad pre žiadne pracovnoprávne, disciplinárne ani personálne opatrenie. Prevádzkovateľ zostáva plne zodpovedný za to, ako s výsledkami naloží.

11. Súčinnosť

11.1 Sprostredkovateľ poskytne Prevádzkovateľovi primeranú súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu, konzultácie s dozorným orgánom) a — s prihliadnutím na povahu spracúvania — pri vybavovaní žiadostí dotknutých osôb podľa kapitoly III GDPR. Žiadosti dotknutých osôb doručené priamo Sprostredkovateľovi bezodkladne postúpi Prevádzkovateľovi.

12. Oznamovanie porušení ochrany osobných údajov

12.1 Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvedel, najneskôr do 48 hodín, s opisom povahy porušenia, pravdepodobných následkov a prijatých či navrhovaných opatrení.

13. Audit

13.1 Sprostredkovateľ poskytne Prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožní audity vrátane inšpekcií vykonávaných Prevádzkovateľom alebo ním povereným audítorom, po písomnom oznámení aspoň 14 dní vopred, v bežnom pracovnom čase a bez neprimeraného narušenia prevádzky.

14. Trvanie a záverečné ustanovenia

14.1 Táto zmluva trvá po dobu trvania zmluvy o Službe; čl. 6.2, 12 a povinnosť mlčanlivosti trvajú aj po jej skončení.

14.2 Zmluva sa spravuje právom Slovenskej republiky. Zmeny len písomne (e-mail postačuje, ak obe strany potvrdia znenie).

14.3 Zmluvu možno uzavrieť aj elektronicky — výmenou e-mailov s potvrdením súhlasu podľa objednávky (order-form-recurring-audit-DRAFT-sk.md).