Článok 28 GDPR

Dohoda o spracúvaní údajov

Zmluvné podmienky pre spracúvanie osobných údajov v pracovných priestoroch zákazníkov, s opisom spracúvania, zárukami a aktuálnymi subdodávateľmi na jednom mieste.

Verzia 1.1 · Platná od 14. augusta 2026

Status zmluvy

Táto DPA tvorí súčasť zmluvy o službách HansaChat.

Záväznou sa stáva, keď zákazník prijme zmluvu o službách alebo objednávku, ktorá ju zahŕňa, prijme aktualizované podmienky alebo s ňou inak elektronicky vysloví súhlas. Zákazník je identifikovaný svojou objednávkou, predplatným, pracovným priestorom alebo záznamom účtu. Vlastnoručný podpis sa nevyžaduje.

Zákazník: prevádzkovateľ (alebo sprostredkovateľ konajúci pre iného prevádzkovateľa)
HansaChat: sprostredkovateľ pre osobné údaje zákazníka v pracovnom priestore
HansaChat zostáva prevádzkovateľom svojich vlastných údajov o fakturácii, účtoch, bezpečnosti a plnení právnych povinností

Súhrn umiestnenia údajov

Primárne údaje pracovných priestorov sa uchovávajú v Nemecku.

Živé aplikačné databázy, nahrané súbory a samostatne hostovaná služba hovorov bežia na IONOS Cloud v Nemecku. Záložné kópie šifrované HansaChat pred prenosom sa uchovávajú vo Frankfurte a Štokholme. Voliteľné doručovanie e-mailov a mobilných push oznámení zahŕňa subdodávateľov a umiestnenia uvedené v prílohe 3.

Šifrované záložné kópie zostávajú podľa GDPR osobnými údajmi, pretože HansaChat si uchováva prostriedky na ich obnovu. Obidve záložné umiestnenia, Frankfurt a Štokholm, sa nachádzajú v EÚ.

Článok 28 GDPR

Strany a rozsah

Táto dohoda o spracúvaní údajov („DPA“) sa uzatvára medzi nasledujúcimi stranami a dopĺňa zmluvu, na základe ktorej HansaChat poskytuje službu („Zmluva o službách“). „Osobné údaje zákazníka“ znamenajú osobné údaje, ktoré HansaChat spracúva v mene zákazníka v súvislosti so službou.

Zákazník / prevádzkovateľ: Fyzická alebo právnická osoba označená ako zákazník v príslušnej objednávke, predplatnom, pracovnom priestore alebo zázname účtu HansaChat, vrátane jej poverených pridružených spoločností, ak ich Zmluva o službách zahŕňa.
Sprostredkovateľ: Igor Tverdokhleb, podnikajúci ako HansaChat, Barkentinenstr. 20, 23558 Lübeck, Nemecko · igor@hansa.chat

Ak sa táto DPA v oblasti spracúvania osobných údajov zákazníka dostane do rozporu so Zmluvou o službách, má prednosť táto DPA. Ak sa anglická a nemecká verzia rozchádzajú, má prednosť nemecká verzia.

1. Predmet, trvanie a roly

Táto DPA upravuje spracúvanie osobných údajov zákazníka spoločnosťou HansaChat na poskytovanie služby. Predmet, povaha, účel, kategórie údajov, dotknuté osoby a trvanie sú uvedené v prílohe 1.

Zákazník určuje účely a podstatné prostriedky spracúvania obsahu pracovného priestoru. HansaChat spracúva tieto údaje v mene zákazníka. Táto DPA sa nevzťahuje na osobné údaje, ktoré HansaChat spracúva ako nezávislý prevádzkovateľ za účelom fakturácie, správy účtov, bezpečnosti služby, predchádzania zneužívaniu, správy podpory alebo plnenia právnych povinností; toto spracúvanie je opísané v Zásadách ochrany osobných údajov.

2. Dokumentované inštrukcie a zákonnosť

HansaChat spracúva osobné údaje zákazníka výhradne na základe dokumentovaných inštrukcií zákazníka, vrátane Zmluvy o službách, tejto DPA, používania a konfigurácie služby zo strany zákazníka a následných inštrukcií zaslaných v textovej forme. HansaChat môže spracúvať údaje, ak to vyžaduje právo Únie alebo členského štátu, a informuje o tom zákazníka vopred, pokiaľ to právo z dôležitých dôvodov verejného záujmu nepripúšťa.

HansaChat okamžite informuje zákazníka, ak je podľa jej názoru inštrukcia v rozpore s GDPR alebo s iným uplatniteľným právom Únie alebo členského štátu v oblasti ochrany údajov, a môže dotknutú inštrukciu pozastaviť, kým nie je potvrdená alebo zmenená.

3.(mlnosť a prístup

HansaChat zabezpečuje, aby bola každá osoba poverená spracúvaním osobných údajov zákazníka viazaná mlčanlivosťou alebo primeranou zákonnou povinnosťou a aby získavala prístup len tam, kde je to nevyhnutné pre prevádzku, údržbu, riešenie problémov, bezpečnosť, predchádzanie zneužívaniu, plnenie právnych povinností alebo podporu vyžiadanú zákazníkom.

Ak sa uplatňuje § 3 nemeckého zákona o ochrane údajov pri telekomunikačných digitálnych službách (TDDDG), HansaChat chráni aj obsah a okolnosti komunikácie ako telekomunikačné tajomstvo. HansaChat nezískava znalosti nad rámec nevyhnutný na poskytovanie komunikačnej služby alebo ochranu svojich technických systémov a takéto znalosti použije na iný účel len tam, kde to v súvislosti s telekomunikáciami výslovne pripúšťa zákon.

Povinnosť mlčanlivosti trvá aj po skončení práce danej osoby a po skončení Zmluvy o službách.

4. Bezpečnosť spracúvania

S prihliadnutím na aktuálny stav techniky, náklady na implementáciu a povahu, rozsah, kontext a účely spracúvania udržiava HansaChat primerané technické a organizačné opatrenia podľa článku 32 GDPR. Súčasné opatrenia sú opísané v prílohe 2 a na stránke Bezpečnosť.

HansaChat môže tieto opatrenia aktualizovať s vývojom technológií a rizík, pokiaľ počas trvania Zmluvy o službách nedôjde k výraznému zníženiu celkovej úrovne ochrany.

5. Subdodávatelia

Zákazník udeľuje HansaChat všeobecné písomné povolenie na používanie subdodávateľov uvedených v prílohe 3. HansaChat ukladá každému subdodávateľovi podstatne rovnaké povinnosti v oblasti ochrany údajov, zostáva zodpovedná za jeho plnenie podľa tejto DPA a udržuje zoznam aktuálny.

HansaChat poskytne najmenej 30 dní vopred oznámenie e-mailom na kontaktnú adresu účtu zákazníka alebo prostredníctvom výrazného oznámenia v službe pred pridaním alebo výmenou subdodávateľa, ktorý spracúva osobné údaje zákazníka. Kratšia lehota môže byť použitá, ak je to nevyhnutné na riešenie naliehavého bezpečnostného, právneho rizika alebo rizika dostupnosti; HansaChat potom poskytne oznámenie čo najskôr.

Zákazník môže počas lehoty na oznámenie vzniesť námietky zo závažných dôvodov ochrany údajov. Strany budú v dobrej viere hľadať obchodne primerané riešenie. Ak také nie je k dispozícii, zákazník môže ukončiť dotknutú službu predtým, než nový subdodávateľ začne spracúvať údaje, bez sankcií za nevyužité predplatené obdobie danej služby.

6. Umiestnenia spracúvania a medzinárodné prenosy

Primárne úložisko pracovných priestorov sa nachádza v Nemecku. Šifrované záložné kópie Restic sa uchovávajú vo Frankfurte a Štokholme. Sieťové doručovanie a voliteľné podporné funkcie môžu zahŕňať ďalšie umiestnenia, ako je uvedené v prílohe 3.

HansaChat neprenáša osobné údaje zákazníka do tretej krajiny alebo medzinárodnej organizácie, pokiaľ to zákazník nenariadi, nie je to nevyhnutné na poskytnutie aktivovanej funkcie služby alebo to nevyžaduje zákon, a len tam, kde sú splnené požiadavky kapitoly V GDPR. Uplatniteľné záruky môžu zahŕňať rozhodnutie o primeranosti, štandardné zmluvné doložky Európskej komisie a doplnkové technické a organizačné opatrenia.

7. Žiadosti dotknutých osôb a pomoc pri plnení povinností

Ak HansaChat obdrží žiadosť dotknutej osoby týkajúcu sa osobných údajov zákazníka, bezodkladne ju prepošle zákazníkovi a neodpovedá na ňu, pokiaľ to zákazník nepovolí alebo to nevyžaduje zákon.

S prihliadnutím na povahu spracúvania a dostupné informácie HansaChat primerane pomáha zákazníkovi pri výkone práv dotknutých osôb a pri plnení povinností zákazníka podľa článkov 32 až 36 GDPR, vrátane bezpečnosti, posúdenia porušenia, posúdenia vplyvu na ochranu údajov a predbežnej konzultácie.

8. Porušenia ochrany osobných údajov

HansaChat oznámi zákazníkovi bez zbytočného odkladu po tom, čo sa dozvie o porušení ochrany osobných údajov ovplyvňujúcom osobné údaje zákazníka. Oznámenie obsahuje informácie dostupné HansaChat, ktoré zákazník primerane potrebuje na plnenie svojich povinností podľa článkov 33 a 34 GDPR, a ďalšie informácie môžu byť poskytované postupne, ako budú k dispozícii.

HansaChat urobí primerané kroky na zamedzenie, prešetrenie, odstránenie a zmiernenie porušenia a so zákazníkom spolupracuje. Oznámenie nie je priznaním viny alebo zodpovednosti.

9. Vrátenie a výmaz

Podľa voľby zákazníka HansaChat vráti alebo vymaže osobné údaje zákazníka po skončení služieb spracúvania a vymaže existujúce kópie, pokiaľ ich uchovávanie nevyžaduje právo Únie alebo členského štátu. Zákazník musí požiadať o vrátenie pred dátumom výmazu pracovného priestoru; ak zákazník neposkytne inštrukciu, zvolí sa výmaz.

Zrušené platené a skúšobné pracovné priestory zostávajú použiteľné počas aktuálneho plateného alebo skúšobného obdobia, potom sú 90 dní iba na čítanie a následne sa vymažú. Výmaz vyžiadaný vlastníkom urobí pracovný priestor okamžite iba na čítanie a vymaže ho po 30-dňovej odkladacej lehote, pokiaľ nie je žiadosť zrušená. Demo pracovné priestory sa vymažú po 24 hodinách. Bezplatné pracovné priestory zostávajú zapisovateľné a vymažú sa po 90 dňoch bez uloženej správy. Databázy pracovných priestorov a nahrané objekty sa odstránia príslušným procesom výmazu; vymazané údaje pracovných priestorov sa postupne odstraňujú zo šifrovaných záloh podľa harmonogramu v prílohe 2.

10. Informácie a audity

HansaChat sprístupní informácie primerane potrebné na preukázanie súladu s článkom 28 GDPR a s touto DPA. Zákazník môže auditu dotknutého spracúvania vykonať sám alebo prostredníctvom nezávislého, kvalifikovaného audítora viazaného mlčanlivosťou.

Audity by mali zvyčajne začať dostupnou dokumentáciou a vzdialeným preskúmaním. Kontrola na mieste je k dispozícii, ak dokumentácia nepostačuje alebo existujú primerané náznaky nedodržiavania, s primeraným vopredným oznámením a bez ohrozenia iných zákazníkov, bezpečnosti alebo obchodných tajomstiev. Zákazník nesie primerané náklady auditu, pokiaľ audit neodhalí významné porušenie zo strany HansaChat. Oprávnenia dozorných orgánov nie sú obmedzené.

11. Povinnosti zákazníka

Zabezpečiť, aby osobné údaje zákazníka boli zhromažďované a spracúvané zákonne a aby inštrukcie boli v súlade s uplatniteľným právom.
Poskytnúť požadované poučenia, zvoliť platný právny základ a získať prípadne potrebné súhlasy alebo schválenia zamestnaneckej reprezentácie.
Primerane rizikám zákazníka nakonfigurovať prístup, pozvánky, kanály, uchovávanie, mobilné push oznámenia a integrácie.
Nevkladať do HansaChat údaje osobitnej kategórie alebo údaje o trestných činoch, pokiaľ zákazník neposúdil ich nevyhnutnosť, právny základ a záruky.
Udržiavať presné kontaktné údaje účtu a bezodkladne hlásiť podozrenia na bezpečnostné problémy alebo problémy s ochranou údajov na igor@hansa.chat.

12. Trvanie, ukončenie a rozhodné podmienky

Táto DPA začína platiť, keď sa stane záväznou podľa časti Status zmluvy, a zostáva v platbe, kým HansaChat nevymaže všetky osobné údaje zákazníka. Ak HansaChat nemôže plniť túto DPA, bezodkladne o tom informuje zákazníka. Zákazník môže pozastaviť spracúvanie alebo ukončiť dotknutú službu, ak významné porušenie nie je odstránené v primeranej lehote.

Zodpovednosť, rozhodné právo a príslušný súd sa riadia Zmluvou o službách, pokiaľ to nezaväzujúce právne predpisy v oblasti ochrany údajov nevyžadujú inak. Nič v tejto DPA neobmedzuje práva dotknutých osôb ani oprávnenia príslušného dozorného orgánu.

Článok 28 GDPR

Príloha 1 · Opis spracúvania

Predmet: Poskytovanie a prevádzkovanie komunikačnej služby pracovných priestorov HansaChat v mene zákazníka.
Trvanie: Po dobu trvania Zmluvy o službách a počas obdobia výmazu/vrátenia opísaného v časti 9 a v prílohe 2.
Povaha spracúvania: Zhromažďovanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, vyhľadávanie, nahliadnutie, zobrazovanie, prenos medzi poverenými používateľmi, doručovanie e-mailom a push, zálohovanie, podporný prístup v prípade potreby, obmedzenie, export a výmaz.
Účely: Overovanie totožnosti; správa pracovných priestorov a členstiev; kanály a priame správy; doručovanie správ, vyhľadávanie, reakcie, zmienky, súbory, hovory a zdieľanie obrazovky; oznámenia; bezpečnosť; podpora; kontinuita; a výmaz.
Dotknuté osoby: Zamestnanci zákazníka, dodávatelia, členovia pracovných priestorov, pozvaní hostia, pozývané osoby, externí spolupracovníci a akékoľvek identifikovateľné osoby, ktorých údaje používatelia umiestnia do obsahu pracovného priestoru.
Kategórie osobných údajov: Meno, e-mailová adresa, profilové a rolové údaje, hash hesiel a autentifikačné záznamy, členstvá v pracovných priestoroch, správy a odpovede, súbory, reakcie, zmienky, metaúdaje kanálov a hovorov, tokeny zariadení a push, metaúdaje IP/žiadostí/bezpečnosti a podporné materiály poskytnuté zákazníkom.
Frekvencia: Nepretržite pre aktívne pracovné priestory a inak podľa iniciatívy poverených používateľov, plánovaných záloh, úloh uchovávania alebo inštrukcií podpory.

Údaje osobitnej kategórie a údaje o trestných činoch

HansaChat nie je navrhnutá špeciálne pre údaje podľa článku 9 alebo článku 10. Používatelia môžu napriek tomu takéto údaje umiestniť do voľných správ alebo súborov. O tom, či k tomu dôjde, rozhoduje zákazník, ktorý musí stanoviť právny základ, nevyhnutnosť, pravidlá prístupu a prípadné ďalšie záruky. HansaChat uplatňuje túto DPA a opatrenia z prílohy 2 na takéto údaje bez ich použitia na iný účel.

Článok 28 GDPR

Príloha 2 · Technické a organizačné opatrenia

Tieto opatrenia opisujú súčasnú službu. Sú to primerané záruky, nie tvrdenie o end-to-end šifrovaní, nezávislej certifikácii alebo zverejnenej správe z penetračného testovania.

Prístup a mlčanlivosť

Prístup operátorov podľa potreby na znalosť obmedzený na prevádzku, údržbu, riešenie problémov, bezpečnosť, plnenie právnych povinností alebo podporu vyžiadanú zákazníkom.
Povinnosti mlčanlivosti pre osoby poverené spracúvaním osobných údajov zákazníka, vrátane telekomunikačného tajomstva podľa § 3 TDDDG, ak sa uplatňuje.
Hašovanie hesiel bcrypt s automatickými soľami, voliteľné dvojfaktorové overovanie používateľov, šifrované cookies relácií, vypršanie po nečinnosti a regenerácia ID relácie po prihlásení.
Pravidlá prístupu na úrovni pracovného priestoru, verejných/súkromných kanálov, priamych správ, členstiev a rolí.

Izolácia a infraštruktúra

Každý pracovný priestor má samostatnú aplikačnú databázu; databázy bezplatných a demo pracovných priestorov môžu zdieľať základnú spravovanú databázovú službu, zatiaľ čo platené pracovné priestory získavajú samostatnú spravovanú databázu.
Primárne databázy, nahrané súbory a samostatne hostovaná mediálna služba LiveKit bežia na IONOS Cloud v Nemecku.
Nahrané súbory sa uchovávajú oddelene v IONOS Object Storage so šifrovaním AES-256 na strane servera v pokoji.
Spojenia medzi klientmi a HansaChat používajú HTTPS/TLS. HansaChat nie je šifrovaná end-to-end a uchováva technický prístup tam, kde to prevádzka vyžaduje.

Dostupnosť, zálohy a obnova

IONOS MariaDB DBaaS poskytuje zálohy spravované poskytovateľom uchovávané sedem dní a obnovu k vybranému času (point-in-time recovery).
HansaChat vytvára komprimované snímky Restic každých šesť hodín a šifruje ich pred prenosom do záložného objektového úložiska.
Kópie Restic sa uchovávajú vo Frankfurte (Nemecko) a Štokholme (Švédsko). Všetky snímky sa uchovávajú 7 dní, potom jedna denná 30 dní, jedna týždenná 12 týždňov a jedna mesačná 12 mesiacov.
Vymazané údaje pracovných priestorov sa postupne odstraňujú zo šifrovaných záloh podľa tohto zdokumentovaného harmonogramu uchovávania.

Monitorovanie a revízia

Prevádzkové a bezpečnostné protokolovanie chýb, overovania, žiadostí a signálov na predchádzanie zneužívaniu, s osobnými údajmi obmedzenými, kde je to praktické.
Prešetrovanie incidentov, zamedzenie, odstránenie a informovanie zákazníka podľa časti 8.
Závislosti, konfigurácie a prístupové kontroly sa preskúmavajú so zmenami služby; opatrenia možno aktualizovať bez výrazného zníženia celkovej ochrany.
Úlohy výmazu implementujú životné cykly pracovných priestorov uvedené v časti 9, s oddeleným odstraňovaním šifrovaných záloh.

Prečítať si podrobnú stránku Bezpečnosť

Článok 28 GDPR

Príloha 3 · Poverení subdodávatelia

Nasledujúce subjekty môžu spracúvať osobné údaje zákazníka na poskytovanie HansaChat. Voliteľné služby spracúvajú údaje len vtedy, keď sa používa príslušná funkcia.

IONOS Cloud GmbH

Služba a údaje: Primárny hosting, spravovaná MariaDB, Object Storage pre nahrané súbory, Kubernetes, sieťová infraštruktúra a samostatne hostovaná infraštruktúra hovorov LiveKit. Spracúva všetky osobné údaje zákazníka potrebné na poskytovanie základnej služby.
Umiestnenie spracúvania: Nemecko pre primárne/živé služby HansaChat.
Záruka: DPA podľa článku 28; spracúvanie vo vybraných nemeckých lokalitách IONOS; technické a organizačné opatrenia poskytovateľa.

BunnyWay d.o.o. (bunny.net)

Služba a údaje: CDN, doručovanie DNS/proxy, ochrana proti DDoS, obmedzené metaúdaje žiadostí a objektové úložisko pre šifrované záložné kópie Restic.
Umiestnenie spracúvania: Globálny prenos na edge uzloch; šifrované záložné kópie vo Frankfurte (Nemecko) a Štokholme (Švédsko).
Záruka: DPA podľa článku 28; minimalizácia údajov a šifrovaný obsah záloh; spracúvanie a uchovávanie záloh v EÚ/EEA a záruky podľa kapitoly V, kde sú potrebné.

Vercom S.A. (EmailLabs)

Služba a údaje: Transakčné a servisné e-maily, vrátane pozvánok do pracovných priestorov, overenia a správ na reset hesla. Spracúva adresu príjemcu, údaje odosielateľa, obsah e-mailu a metaúdaje doručenia.
Umiestnenie spracúvania: Európsky hospodársky priestor, predovšetkým Poľsko, Nemecko a Írsko podľa dokumentácie poskytovateľa.
Záruka: DPA podľa článku 28 a záväzky spracúvania v EEA.

Google Ireland Limited a pridružené spoločnosti Googlu (Firebase Cloud Messaging)

Služba a údaje: Voliteľné mobilné push oznámenia. Spracúva tokeny zariadení, identifikátory pracovného priestoru/kanála/odosielateľa a ukážku správy zaslanú v náplasti oznámenia.
Umiestnenie spracúvania: Google a jeho subdodávatelia môžu spracúvať globálne. Toto spracúvanie prebieha len pre zaregistrované zariadenia s mobilným push.
Záruka: Podmienky spracúvania údajov a bezpečnosti Firebase; mechanizmy primeranosti a/alebo štandardné zmluvné doložky Európskej komisie s doplnkovými opatreniami, kde sú potrebné.

Služby mimo tohto zoznamu subdodávateľov

Creem (fakturácia), správa účtov HansaChat a vlastné bezpečnostné/súladové záznamy HansaChat sa riadia Zásadami ochrany osobných údajov, pretože HansaChat tieto účely určuje ako prevádzkovateľ. Samostatne hostovaný server LiveKit je súčasťou infraštruktúry IONOS spoločnosti HansaChat a nie je samostatným cloudovým subdodávateľom.

Hlavné právne a poskytovateľské odkazy

Tieto odkazy podporujú due diligence. Nenahrádzajú ani nezúžujú záväzky uvedené v tejto DPA.

Kontakt na ochranu údajov

Otázky, inštrukcie alebo žiadosti o audit

Inštrukcie na ochranu údajov, žiadosti dotknutých osôb, otázky k incidentom a žiadosti o audit zasielajte na nižšie uvedenú adresu. Uveďte doménu pracovného priestoru a poverený kontakt zákazníka.

igor@hansa.chat