PODMIENKY SPRACÚVANIA OSOBNÝCH ÚDAJOV

1.              ÚVODNÉ USTANOVENIA

1.1.          Spoločnosť Jobiflow s. r. o., so sídlom Dlhé Nivy 420/90, 019 01 Ilava, Slovenská republika, IČO: 57 430 501, zapísaná v obchodnom registri Okresného súdu Trenčín, oddiel Sro, vložka 57450/R (ďalej len ako „Jobiflow“), vydáva tieto podmienky spracúvania osobných údajov (ďalej len ako „Zmluva o spracúvaní“) formou dodatku k Všeobecným obchodným podmienkam Jobiflow pre podnikateľov (ďalej len ako „VOP“), ktoré upravujú zmluvné vzťahy s podnikateľmi, do ktorých Jobiflow vstupuje v súvislosti s používaním Elektronických systémov Jobiflow.

1.2.          Na základe VOP a Zmluvy upravuje táto Zmluva o spracúvaní práva a povinnosti medzi spoločnosťou Jobiflow ako Sprostredkovateľom a Klientom, ako Prevádzkovateľom osobných údajov (spoločne ako „Strany“) v súvislosti so spracúvaním osobných údajov v Elektronických systémoch.

1.3.          Služby poskytované na základe Zmluvy zahŕňajú aktivity, pri ktorých môže dochádzať k spracúvaniu osobných údajov Sprostredkovateľom pre Prevádzkovateľa v zmysle nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (ďalej len ako „GDPR“).

1.4.          Strany majú záujem na dodržiavaní všetkých povinností, ktoré im vyplývajú z GDPR a prípadne iných miestnych právnych predpisov prijatých na základe GDPR, najmä zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len ako „Platné právne predpisy o ochrane osobných údajov“).

1.5.          Na základe čl. 28 GDPR je Prevádzkovateľ povinný uzavrieť so Sprostredkovateľom písomnú zmluvu o spracúvaní osobných údajov, v ktorej Sprostredkovateľ okrem iného poskytne dostatočné záruky o technickom a organizačnom zabezpečení ochrany osobných údajov.

1.6.          Strany uzatvárajú túto Zmluvu o spracúvaní, aby splnili svoje povinnosti vyplývajúce z GDPR a Platných právnych predpisov o ochrane osobných údajov s cieľom zabezpečiť ochranu osobných údajov, ktoré Strany spracúvajú pri plnení Zmluvy.

1.7.          Strany majú záujem, aby sa táto Zmluva o spracúvaní vzťahovala na všetky činnosti spracúvania osobných údajov, ktoré Sprostredkovateľ vykonáva pre Prevádzkovateľa v súvislosti so Službami poskytovanými na základe akejkoľvek Zmluvy.

1.8.          Pojmy uvedené s veľkým začiatočným písmenom, ktoré nie sú definované v tejto Zmluve o spracúvaní, majú význam priradený im vo VOP. Pojmy „prevádzkovateľ“, „sprostredkovateľ“, „dotknutá osoba“, „osobné údaje“, „spracúvanie“, „porušenie ochrany osobných údajov“ a ďalšie pojmy súvisiace s ochranou osobných údajov majú význam priradený im v čl. 4 GDPR.

1.9.          V prípade rozporu medzi touto Zmluvou o spracúvaní a VOP majú vo vzťahu k spracúvaniu osobných údajov prednosť ustanovenia tejto Zmluvy o spracúvaní.

2.              PREDMET A ÚČEL ZMLUVY O SPRACÚVANÍ

2.1.          Sprostredkovateľ bude spracúvať osobné údaje, ktoré Prevádzkovateľ získal alebo získa v súvislosti so svojou podnikateľskou činnosťou, alebo ktoré pre Prevádzkovateľa na tento účel získa samotný Sprostredkovateľ (ďalej len „Osobné údaje“), a to v rámci plnenia povinností Sprostredkovateľa vyplývajúcich zo Zmluvy.

2.2.          Účelom Zmluvy o spracúvaní je vymedzenie rozsahu práv a povinností Strán pri spracúvaní Osobných údajov. Zmluva o spracúvaní upravuje práva a povinnosti Strán pri poskytovaní Služieb podľa čl. 3.1 a vzťahuje sa osobitne na každú Službu poskytovanú na základe Zmluvy.

2.3.          Zmluva o spracúvaní ďalej stanovuje rozsah Osobných údajov, ktoré majú byť spracúvané, účel ich spracúvania a podmienky a záruky na strane Sprostredkovateľa ohľadom zaistenia technického a organizačného zabezpečenia Osobných údajov.

2.4.          Vo vzťahu k Osobným údajom Dotknutých osôb spracúvaným na základe pokynov Prevádzkovateľa pri poskytovaní Služieb vystupuje Klient v postavení prevádzkovateľa a Jobiflow v postavení sprostredkovateľa podľa čl. 4 ods. 7 a 8 GDPR. Vo vzťahu k osobným údajom, ktoré Jobiflow spracúva pre vlastné účely (najmä prevádzka, bezpečnosť, štatistika, vývoj a marketing Elektronického systému), vystupuje Jobiflow v postavení samostatného prevádzkovateľa. Spracúvanie pre vlastné účely sa nespravuje touto Zmluvou o spracúvaní, ale Zásadami spracúvania osobných údajov Jobiflow.

2.5.          Prevádzkovateľ zodpovedá za to, že disponuje platným zákonným titulom spracúvania Osobných údajov v zmysle čl. 6 ods. 1 GDPR, prípadne v zmysle čl. 9 ods. 2 GDPR, ak ide o osobitné kategórie osobných údajov, a že informačnú povinnosť voči Dotknutým osobám podľa čl. 13 a 14 GDPR plní v rozsahu vyžadovanom GDPR, ak nie je v tejto Zmluve o spracúvaní dohodnuté inak. Sprostredkovateľ za chýbajúci alebo neplatný zákonný titul spracúvania na strane Prevádzkovateľa nezodpovedá.

3.              SPRACÚVANIE OSOBNÝCH ÚDAJOV

3.1.          Sprostredkovateľ bude spracúvať pre Prevádzkovateľa Osobné údaje v súlade s dokumentovanými pokynmi Prevádzkovateľa v rozsahu potrebnom na plnenie povinností Sprostredkovateľa podľa Zmluvy a na účely ich využitia Prevádzkovateľom v rámci jeho podnikateľskej činnosti, najmä:

a)        správa náborového procesu (zverejňovanie Inzerátov, prijímanie reakcií uchádzačov, hodnotenie kandidátov a ďalšie funkcionality súvisiace s náborom) prostredníctvom Služby poskytovanej Jobiflow,

b)        vykonávanie prieskumov a získavanie informácií od pracovníkov Prevádzkovateľa prostredníctvom Služieb poskytovaných Jobiflow,

c)        realizácia prvého kola výberového konania prostredníctvom AI Avatar Pohovoru vrátane vyhotovenia audiovizuálneho záznamu, jeho prepisu a automatizovaného vyhodnotenia zhody odpovedí uchádzača s modelovými odpoveďami definovanými Prevádzkovateľom,

d)        sprostredkovanie marketingovej spolupráce s influencermi v rámci Influencer balíka, ak Klient takúto Službu objednal a

e)        iné činnosti súvisiace s poskytovanými Službami Jobiflow.

3.2.          Spracúvanie Osobných údajov podľa tejto Zmluvy o spracúvaní prebieha len v rozsahu Služieb dohodnutých v Zmluve.

3.3.          Sprostredkovateľ bude spracúvať Osobné údaje uchádzačov o zamestnanie a pracovníkov Prevádzkovateľa (ďalej len ako „Dotknuté osoby“) v nasledujúcom rozsahu:

Rozsah Osobných údajov podľa článku 3.1 (i) Zmluvy o spracúvaní

Uchádzači o zamestnanie: meno a priezvisko; dátum narodenia; adresa trvalého pobytu a kontaktná adresa; akademické tituly; osobnú profilovú fotografiu, kontaktné údaje (telefónne číslo, e-mailová adresa); názov pracovnej pozície; potvrdenie o pohovore (dátum, čas, miesto); dôvody odmietnutia; údaje uvedené v životopise uchádzača o zamestnanie; iné/ďalšie údaje poskytnuté uchádzačom počas pohovoru; iné/ďalšie údaje doplnené Prevádzkovateľom o príslušných uchádzačoch. Pri využití AI Avatar Pohovoru aj audiovizuálny záznam pohovoru, textový prepis odpovedí, percentuálne skóre zhody odpovedí s modelovými odpoveďami Prevádzkovateľa, časové metadáta pohovoru a záznam o udelení, odmietnutí alebo odvolaní súhlasu uchádzača

Pracovníci Prevádzkovateľa: meno a priezvisko; kontaktné údaje (telefónne číslo, e-mailová adresa); pracovná pozícia; aktivity a logy činností vykonávaných v Elektronickom systéme.

Rozsah Osobných údajov podľa článku 3.1 (ii) Zmluvy o spracúvaní

Pracovníci Prevádzkovateľa: meno a priezvisko; kontaktné údaje (e-mailová adresa); osobné číslo pridelené pracovníkovi Prevádzkovateľom; pracovná pozícia; údaje o štúdiu.

Rozsah Osobných údajov podľa článku 3.1 (iii) Zmluvy o spracúvaní

Influenceri: meno a priezvisko, používateľské meno na sociálnych sieťach (handle), e-mailová adresa, kontaktné údaje, údaje o profile a publiku, výstupy spolupráce.

Pracovníci Prevádzkovateľa: meno a priezvisko; e-mail; pracovná pozícia.

3.4.          V prípade, že Prevádzkovateľ Sprostredkovateľovi poskytne alebo Sprostredkovateľovi budú inak v súvislosti s činnosťou pre Prevádzkovateľa sprístupnené aj iné Osobné údaje Dotknutých osôb alebo Sprostredkovateľovi budú poskytnuté Osobné údaje iných dotknutých osôb a Sprostredkovateľ súčasne koná v pozícii sprostredkovateľa týchto Osobných údajov pre Prevádzkovateľa, je Sprostredkovateľ povinný spracúvať a chrániť aj tieto Osobné údaje v súlade s požiadavkami vyplývajúcimi z (i) GDPR, (ii) Platných právnych predpisov o ochrane osobných údajov a (iii) tejto Zmluvy o spracúvaní.

3.5.          Sprostredkovateľ bude spracúvať Osobné údaje Dotknutých osôb po dobu trvania tejto Zmluvy o spracúvaní.

3.6.          Kategóriami Dotknutých osôb, ktorých Osobné údaje sú spracúvané na základe tejto Zmluvy o spracúvaní, sú najmä: (i) uchádzači o zamestnanie reagujúci na Inzeráty Prevádzkovateľa, (ii) pracovníci a zástupcovia Prevádzkovateľa využívajúci Elektronický systém, (iii) influenceri spolupracujúci s Prevádzkovateľom v rámci Služby Influencer balík.

3.7.          Sprostredkovateľ neočakáva spracúvanie osobitných kategórií osobných údajov podľa čl. 9 GDPR ani osobných údajov týkajúcich sa uznania viny za trestné činy podľa čl. 10 GDPR. Ak Prevádzkovateľ vloží do Elektronického systému takéto údaje (najmä prostredníctvom obsahu Inzerátu, životopisu uchádzača alebo iných dokumentov), zodpovedá výlučne Prevádzkovateľ za zákonný titul ich spracúvania.

3.8.          Sprostredkovateľovi za spracúvanie Osobných údajov podľa Zmluvy o spracúvaní nevzniká nárok na žiadny ďalší poplatok okrem odmeny podľa Zmluvy.

4.              PRÁVA A POVINNOSTI SPROSTREDKOVATEĽA

4.1.          Sprostredkovateľ je pri spracúvaní Osobných údajov povinný postupovať s náležitou odbornou starostlivosťou tak, aby nedošlo k porušeniu GDPR alebo Platných právnych predpisov o ochrane osobných údajov.

4.2.          Ak Sprostredkovateľ zistí, že Prevádzkovateľ porušuje povinnosti, ktoré mu vyplývajú z GDPR, bezodkladne to oznámi Prevádzkovateľovi.

4.3.          Sprostredkovateľ je povinný riadiť sa pri spracúvaní Osobných údajov zdokumentovanými pokynmi Prevádzkovateľa. Pokyny musia byť udeľované v súlade s touto Zmluvou o spracúvaní väčšinou prostredníctvom príslušných funkcionalít jednotlivých produktov/služieb využívaných na základe Zmluvy.

4.4.          Sprostredkovateľ je povinný dbať na to, aby žiadna Dotknutá osoba neutrpela ujmu na svojich právach, najmä na práve na zachovanie ľudskej dôstojnosti, a tiež dbať na ochranu pred neoprávneným zásahom do súkromného a osobného života Dotknutých osôb.

4.5.          Sprostredkovateľ sa zaväzuje plniť za Prevádzkovateľa informačnú povinnosť podľa čl. 13 GDPR, ak Zmluva pre konkrétne produkty nestanovuje inak.

4.6.          Ak požiada Dotknutá osoba Sprostredkovateľa podľa čl. 15 GDPR o informácie týkajúce sa spracúvania jej Osobných údajov, Sprostredkovateľ poskytne Dotknutej osobe identifikačné údaje Prevádzkovateľa a odkáže ju na uplatnenie tohto práva u Prevádzkovateľa. Ďalej Sprostredkovateľ postupuje podľa písomných pokynov Prevádzkovateľa.

4.7.          Sprostredkovateľ informuje Prevádzkovateľa o vyšetrovaní vykonanom príslušným dozorným orgánom a o jeho výsledku, ak sa týka Osobných údajov spracúvaných pre Prevádzkovateľa alebo parametrov Služby poskytovanej Prevádzkovateľovi Sprostredkovateľom, a poskytne mu informácie o tom, že vyšetrovanie ovplyvnilo tieto parametre. Aby sa predišlo pochybnostiam, má sa za to, že za vykonané vyšetrovanie sa nepovažujú žiadosti príslušného dozorného orgánu týkajúce sa spracúvania Osobných údajov, ktoré nevedú k začatiu konania – kontrolného alebo správneho.

4.8.          Prevádzkovateľ oznámi Sprostredkovateľovi akúkoľvek kontrolu alebo začatie správneho konania o uložení nápravných opatrení a/alebo pokuty príslušným dozorným orgánom (ďalej len ako „Správne konanie“), ak sa kontrola alebo Správne konanie týka (i) Osobných údajov spracúvaných Sprostredkovateľom pre Prevádzkovateľa alebo (ii) parametrov Služby poskytovanej Prevádzkovateľovi, ak sa predpokladá, že vykonanie takejto kontroly alebo Správneho konania môže ovplyvniť tieto parametre.

4.9.          Sprostredkovateľ informuje Prevádzkovateľa o akomkoľvek porušení zabezpečenia, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu Osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú (ďalej len „Porušenie ochrany Osobných údajov“). V prípade zistenia Porušenia ochrany Osobných údajov v zmysle čl. 4 ods. 12 GDPR Sprostredkovateľ:

a)        bezodkladne, najneskôr do 24 hodín od zistenia porušenia, oznámi Prevádzkovateľovi jeho existenciu elektronicky na kontaktný e-mail Prevádzkovateľa uvedený v registrácii v Elektronickom systéme; počiatočné oznámenie môže byť predbežné a môže neobsahovať všetky informácie, ak ich Sprostredkovateľ v danom čase nemá k dispozícii,

b)        do 72 hodín od zistenia porušenia doplní dostupné informácie podľa čl. 33 ods. 3 GDPR, najmä: popis povahy porušenia, kategórie a odhadovaný počet dotknutých osôb a záznamov, meno a kontaktné údaje zodpovednej osoby alebo iného kontaktného miesta, opis pravdepodobných dôsledkov porušenia a popis opatrení prijatých alebo navrhovaných na riešenie porušenia,

c)        poskytne Prevádzkovateľovi plnú súčinnosť pri plnení jeho notifikačnej povinnosti voči dozornému orgánu (ÚOOÚ SR) a prípadne voči dotknutým osobám podľa čl. 33 a 34 GDPR,

d)        uchová dokumentáciu o porušení v zmysle čl. 33 ods. 5 GDPR po dobu minimálne 5 rokov od zistenia porušenia.

4.10.       Informácie o Porušení ochrany Osobných údajov musia obsahovať prinajmenšom:

a)        opis povahy daného prípadu Porušenia ochrany Osobných údajov vrátane, pokiaľ je to možné, kategórií a približného počtu Dotknutých osôb, a kategórií a približného množstva dotknutých záznamov Osobných údajov,

b)        opis pravdepodobných dôsledkov Porušenia ochrany Osobných údajov,

c)        opis opatrení, ktoré Sprostredkovateľ prijal alebo navrhol na prijatie s cieľom vyriešiť dané Porušenie ochrany Osobných údajov, vrátane prípadných opatrení na zmiernenie možných nepriaznivých dopadov a

d)        kontaktné údaje na zodpovednú osobu alebo iné kontaktné miesto, kde možno získať ďalšie informácie.

4.11.       Sprostredkovateľ sa zaväzuje umožniť vykonanie auditov, vrátane inšpekcií, Prevádzkovateľom alebo iným audítorom, ktorého Prevádzkovateľ poverí, a k týmto auditom prispeje (ďalej len „Audit“). Prevádzkovateľ berie na vedomie, že vykonávaním Auditu nemôžu byť dotknuté oprávnené záujmy tretích osôb (napr. iných prevádzkovateľov) alebo dotknutých osôb, najmä pokiaľ ide o zabezpečenie dôvernosti osobných údajov. Prevádzkovateľ potvrdzuje, že podmienky Auditu budú dohodnuté písomne (e-mailom) a že náklady Sprostredkovateľa spojené s Auditom budú predmetom osobitnej dohody o úhrade nákladov Prevádzkovateľom. Prevádzkovateľ nebude požadovať neodôvodnenú súčinnosť Sprostredkovateľa, najmä ak sú požadované informácie týkajúce sa Auditu dostupné na webovej stránke produktu/služby a/alebo v Zásadách spracúvania osobných údajov Jobiflow zverejnených v Elektronickom systéme.

4.12.       Prevádzkovateľ je oprávnený vykonať Audit najviac jedenkrát za 12 mesiacov, ak osobitné okolnosti (najmä Porušenie ochrany Osobných údajov alebo dôvodné podozrenie z porušenia povinností Sprostredkovateľa) nevyžadujú vykonanie Auditu skôr alebo opakovane. Prevádzkovateľ je povinný oznámiť svoj zámer vykonať Audit Sprostredkovateľovi najmenej 30 dní vopred a Audit musí byť vykonaný spôsobom, ktorý minimálne narušuje prevádzku Sprostredkovateľa. Audítor poverený Prevádzkovateľom nesmie byť konkurentom Sprostredkovateľa a pred začatím Auditu sa musí písomne zaviazať k zachovaniu mlčanlivosti.

4.13.       Sprostredkovateľ vykonal vo vzťahu k AI Avatar Pohovoru posúdenie vplyvu na ochranu osobných údajov v zmysle čl. 35 GDPR a jeho relevantné závery sprístupní Prevádzkovateľovi na požiadanie prostredníctvom Elektronického systému alebo e-mailom. Sprostredkovateľ poskytne Prevádzkovateľovi v zmysle čl. 28 ods. 3 písm. f) GDPR všetku súčinnosť potrebnú na vykonanie vlastného posúdenia vplyvu Prevádzkovateľom a na prípadnú predchádzajúcu konzultáciu s dozorným orgánom podľa čl. 36 GDPR. Prevádzkovateľ berie na vedomie, že povinnosť vykonať posúdenie vplyvu vo vzťahu k vlastnému výberovému konaniu zaťažuje Prevádzkovateľa ako prevádzkovateľa osobných údajov; závery posúdenia Sprostredkovateľa môže Prevádzkovateľ použiť ako podklad.

4.14.       Sprostredkovateľ sa zaväzuje Prevádzkovateľovi pomáhať pri plnení povinnosti Prevádzkovateľa reagovať na žiadosti o výkon práv Dotknutých osôb, najmä na žiadosť o prístup k Osobným údajom, na opravu či vymazanie Osobných údajov, na obmedzenie spracúvania či na prenosnosť Osobných údajov; pokiaľ tieto povinnosti môžu byť plnené prostredníctvom funkcionalít jednotlivých produktov, Prevádzkovateľ nebude vyžadovať neodôvodnenú súčinnosť Sprostredkovateľa.

4.15.       Sprostredkovateľ sa zaväzuje pomáhať Prevádzkovateľovi pri plnení povinností stanovených v GDPR, predovšetkým povinnosti zabezpečiť spracúvanie Osobných údajov, ohlasovať prípady porušenia ochrany Osobných údajov, zabezpečiť posúdenie vplyvu na ochranu osobných údajov alebo predchádzajúcu konzultáciu s dozorným orgánom, a to s prihliadnutím na povahu spracúvania a informácie, ktoré má Sprostredkovateľ k dispozícii.

4.16.       Sprostredkovateľ zabezpečí, že osoby oprávnené spracúvať Osobné údaje na strane Sprostredkovateľa sú písomne zaviazané povinnosťou mlčanlivosti alebo sa na ne vzťahuje zákonná povinnosť mlčanlivosti. Povinnosť mlčanlivosti trvá aj po skončení pracovnoprávneho alebo iného vzťahu týchto osôb k Sprostredkovateľovi.

4.17.       Sprostredkovateľ vedie záznamy o všetkých kategóriách spracovateľských činností vykonávaných v mene Prevádzkovateľa v rozsahu podľa čl. 30 ods. 2 GDPR a na požiadanie ich sprístupní Prevádzkovateľovi alebo dozornému orgánu.

4.18.       Prevádzkovateľ sa zaväzuje (i) udeľovať Sprostredkovateľovi pokyny v súlade s GDPR, (ii) zabezpečiť informovanie Dotknutých osôb v rozsahu, ktorý tým nezabezpečuje Sprostredkovateľ podľa čl. 4.5 Zmluvy o spracúvaní, (iii) bezodkladne informovať Sprostredkovateľa o uplatnení práv Dotknutej osoby, ktoré nie je možné vybaviť priamo prostredníctvom funkcionalít Elektronického systému, a (iv) bez zbytočného odkladu informovať Sprostredkovateľa o akejkoľvek zmene zákonného titulu spracúvania Osobných údajov.

5.              ZÁRUKY TECHNICKÉHO A ORGANIZAČNÉHO ZABEZPEČENIA OCHRANY OSOBNÝCH ÚDAJOV

5.1.          Sprostredkovateľ sa zaväzuje, že v zmysle čl. 32 GDPR prijme so zreteľom na najnovšie poznatky, na náklady na vykonanie opatrení, na povahu, rozsah, kontext a účel spracúvania osobných údajov a na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb všetky primerané technické a organizačné opatrenia na zaistenie úrovne ochrany Osobných údajov.

5.2.          Sprostredkovateľ sa zaväzuje prijať nasledujúce organizačné a technické opatrenia:

a)        bez toho, aby bol dotknutý čl. 5.3 tejto Zmluvy o spracúvaní, Sprostredkovateľ v prípade spracúvania Osobných údajov prostredníctvom vlastných zamestnancov poverí touto činnosťou iba svojich vybraných zamestnancov, ktorých poučí o ich povinnosti zachovávať mlčanlivosť ohľadom Osobných údajov a o ďalších povinnostiach, ktoré sú povinní dodržiavať tak, aby nedošlo k porušeniu GDPR či tejto Zmluvy o spracúvaní,

b)        nezverí spracúvanie Osobných údajov akejkoľvek tretej osobe bez predchádzajúceho písomného súhlasu Prevádzkovateľa, tým nie sú vylúčené čl. 5.3 a 5.4,

c)        bude používať zodpovedajúce technické zariadenie a programové vybavenie spôsobom, ktorý vylúči neoprávnený či náhodný prístup k Osobným údajom zo strany iných osôb než poverených zamestnancov Sprostredkovateľa,

d)        bude Osobné údaje uchovávať v náležite zabezpečených objektoch a miestnostiach,

e)        písomné dokumenty obsahujúce Osobné údaje bude uchovávať na zabezpečenom mieste, pričom bude viesť riadnu evidenciu o pohybe takýchto písomných dokumentov,

f)         Osobné údaje v elektronickej podobe bude uchovávať na zabezpečených serveroch alebo na nosičoch dát, ku ktorým budú mať prístup len poverené osoby na základe prístupových kódov či hesiel, a bude Osobné údaje pravidelne zálohovať,

g)        zabezpečí diaľkový prenos Osobných údajov buď len prostredníctvom verejne neprístupnej siete, alebo prostredníctvom zabezpečeného prenosu prostredníctvom verejných sietí, najmä prostredníctvom protokolu umožňujúceho zabezpečenú komunikáciu v počítačovej sieti. S prihliadnutím na povahu, rozsah, kontext a rôzne závažné riziká môžu byť niektoré osobné údaje zasielané e-mailom,

h)        prostredníctvom vhodných technických prostriedkov zabezpečí schopnosť obnoviť dostupnosť Osobných údajov a prístup k nim včas v prípade fyzických či technických incidentov, a to podľa parametrov dohodnutých pre danú Službu v súlade so Zmluvou,

i)         zabezpečí pravidelné testovanie, posudzovanie a hodnotenie účinnosti zavedených technických a organizačných opatrení na zaistenie bezpečnosti spracúvania,

j)         zabezpečí pseudonymizáciu a šifrovanie Osobných údajov všade tam, kde je to vzhľadom na povahu spracúvania a stav technického vývoja primerané a možné,

k)        implementuje primerané opatrenia na ochranu prihlasovacích údajov a riadenie prístupových oprávnení (najmä viacfaktorová autentifikácia pre administrátorské prístupy) a

l)         zabezpečí plnenie ďalších opatrení uvedených na webovej stránke produktu/služby v časti Technická špecifikácia a zabezpečenie.

5.3.          Sprostredkovateľ je oprávnený poveriť spracúvaním Osobných údajov ďalšieho sprostredkovateľa (ďalej len „Ďalší sprostredkovateľ“). Sprostredkovateľ informuje Prevádzkovateľa e-mailom zaslaným na adresu Prevádzkovateľa (čl. 7.2) a prostredníctvom zoznamu Ďalších sprostredkovateľov zverejneného v Elektronickom systéme alebo v Zásadách spracúvania osobných údajov Jobiflow (ďalej len „Informačná tabuľa“) o všetkých Ďalších sprostredkovateľoch, ktorých zamýšľa poveriť spracúvaním Osobných údajov alebo o akýchkoľvek zamýšľaných zmenách týkajúcich sa prijatia Ďalších sprostredkovateľov. Prevádzkovateľ má možnosť namietať voči prijatiu takýchto Ďalších sprostredkovateľov v súlade s podmienkami Zmluvy. V prípade námietok sa uplatní čl. 5.7 tejto Zmluvy o spracúvaní.

5.4.          Ak Sprostredkovateľ zapojí Ďalšieho sprostredkovateľa, aby vykonal určité činnosti spracúvania, musia byť tomuto Ďalšiemu sprostredkovateľovi uložené na základe písomnej zmluvy rovnaké povinnosti na ochranu Osobných údajov, aké sú uvedené v tejto Zmluve o spracúvaní, a to najmä poskytnutie dostatočných záruk, pokiaľ ide o zavedenie vhodných technických a organizačných opatrení tak, aby spracúvanie spĺňalo požiadavky GDPR.

5.5.          Prevádzkovateľ berie na vedomie, že Služby niektorých Ďalších sprostredkovateľov uvedené na Informačnej tabuli môžu zahŕňať spracúvanie osobných údajov mimo EÚ/EHP. Prevádzkovateľ zaručuje, že akýkoľvek prenos Osobných údajov do tretích krajín sa uskutoční len za podmienok stanovených v čl. 44 - 49 GDPR. Ak dôjde k zmene, zrušeniu alebo zneplatneniu nástrojov na prenos Osobných údajov do tretej krajiny, zaväzuje sa Prevádzkovateľ prijať také opatrenia, ktoré dosiahnu úroveň vyžadovanú právnymi predpismi EÚ. Strany sa zaväzujú poskytnúť si vzájomnú súčinnosť pri prijatí náhradných nástrojov prenosu a po dobu ich prijímania si neuplatňovať zmluvné sankcie z tohto dôvodu.

5.6.          Ak prenos Osobných údajov do tretej krajiny mimo EÚ/EHP vyžaduje uplatnenie štandardných zmluvných doložiek schválených Európskou komisiou v zmysle čl. 46 ods. 2 písm. c) GDPR (rozhodnutie Európskej komisie (EÚ) 2021/914), Strany sa dohodli, že tieto doložky budú medzi nimi uplatnené v príslušnom module (najmä modul 3 — sprostredkovateľ na sprostredkovateľa) a sú dostupné na v rámci rozhodnutia Komisie (EÚ) 2021/914.[1] Prevádzkovateľ uzatvorením Zmluvy o spracúvaní výslovne udeľuje Sprostredkovateľovi splnomocnenie uzatvárať štandardné zmluvné doložky s Ďalšími sprostredkovateľmi v mene Prevádzkovateľa.

5.7.          Jobiflow je oprávnený zapojiť ďalšieho sprostredkovateľa len po predchádzajúcom oznámení Klientovi najmenej 30 dní vopred. Klient je oprávnený do 15 dní od doručenia oznámenia vzniesť odôvodnené námietky. Ak dôjde k vzneseniu odôvodnených námietok a Strany sa nedohodnú inak, Jobiflow ďalšieho sprostredkovateľa nezapojí, ak to nie je nevyhnutné na poskytovanie dotknutej Služby; v takom prípade je ktorákoľvek zo Strán oprávnená ukončiť dotknutú Službu ku dňu účinnosti zmeny.

5.8.          Sprostredkovateľ je povinný zaviesť a dokumentovať prijaté a vykonané technicko-organizačné opatrenia na zabezpečenie ochrany Osobných údajov v súlade s GDPR a Platnými právnymi predpismi o ochrane osobných údajov.

6.              DOBA TRVANIA A UKONČENIE ZMLUVY O SPRACÚVANÍ

6.1.          Zmluva o spracúvaní nadobúda platnosť a účinnosť ku dňu uzatvorenia Zmluvy a zaniká najskôr zánikom účinnosti Zmluvy. V prípade, že Strany uzavreli alebo v budúcnosti uzavrú inú zmluvu, v rámci ktorej môže dochádzať okrem iného aj k spracúvaniu Osobných údajov, zaniká táto Zmluva o spracúvaní súčasne so zánikom poslednej z takto uzavretých zmlúv.

6.2.          Prevádzkovateľ je oprávnený túto Zmluvu o spracúvaní vypovedať v lehote 3 dní v prípade, že Sprostredkovateľ porušuje povinnosti preňho vyplývajúce z GDPR alebo z Platných právnych predpisov o ochrane osobných údajov a toto porušenie nenapraví do 15 dní od písomného upozornenia zo strany Prevádzkovateľa.

6.3.          Sprostredkovateľ je oprávnený túto Zmluvu o spracúvaní vypovedať v lehote 3 dní v prípade, že Prevádzkovateľ porušuje povinnosti preňho vyplývajúce z GDPR alebo z Platných právnych predpisov o ochrane osobných údajov a toto porušenie nenapraví do 15 dní od oznámenia Sprostredkovateľa podľa čl. 4.2 tejto Zmluvy o spracúvaní.

6.4.          Ak nie je v Zmluve pre konkrétne produkty uvedené inak, po ukončení Zmluvy alebo tejto Zmluvy o spracúvaní, po uplynutí účelu spracúvania Osobných údajov inými prostriedkami, po odvolaní súhlasu (ak je to relevantné) Dotknutou osobou alebo na základe žiadosti Dotknutej osoby podľa čl. 17 GDPR, je Sprostredkovateľ povinný podľa pokynov Prevádzkovateľa príslušné Osobné údaje zlikvidovať alebo ich preniesť Prevádzkovateľovi a zlikvidovať Osobné údaje, ktoré má k dispozícii. Pokyn Prevádzkovateľa na zničenie alebo prenos Osobných údajov musí byť Sprostredkovateľovi doručený najneskôr v deň ukončenia platnosti Zmluvy alebo Zmluvy o spracúvaní, alebo ak k nemu dôjde pred ukončením platnosti Zmluvy alebo Zmluvy o spracúvaní, do 10 pracovných dní odo dňa, keď Prevádzkovateľ alebo Sprostredkovateľ (podľa toho, čo nastane neskôr) je informovaný o ukončení účelu, na ktorý sa Osobné údaje spracúvajú, o odvolaní súhlasu alebo o prijatí žiadosti podľa čl. 17 GDPR, inak Sprostredkovateľ zlikviduje Osobné údaje Dotknutej osoby v deň ukončenia tejto Zmluvy o spracúvaní alebo Zmluvy alebo po uplynutí vyššie uvedených lehôt.

6.5.          Ak Prevádzkovateľ neudelí pokyn na prenos Osobných údajov do 30 dní od ukončenia Zmluvy alebo tejto Zmluvy o spracúvaní, je Sprostredkovateľ oprávnený a povinný vykonať bezpečnú likvidáciu Osobných údajov bez ďalšieho upozornenia. Toto neplatí pre Osobné údaje, ktoré je Sprostredkovateľ povinný uchovávať na základe rozhodného práva (najmä účtovné a daňové predpisy).

6.6.          Sprostredkovateľ je po zániku tejto Zmluvy o spracúvaní povinný dodržiavať všetky povinnosti vyplývajúce mu z GDPR a/alebo Platných právnych predpisov o ochrane osobných údajov vedúce najmä k predchádzaniu akémukoľvek neoprávnenému nakladaniu s Osobnými údajmi do doby, kým podľa pokynov Prevádzkovateľa tieto Osobné údaje Sprostredkovateľ odovzdá Prevádzkovateľovi alebo vykoná ich bezpečnú likvidáciu.

6.7.          Zánik Zmluvy o spracúvaní predstavuje skutočnosť, ktorá v závislosti od poskytovanej Služby znemožňuje všetky alebo iba niektoré konkrétne druhy činností na základe Zmluvy.

6.8.          Povinnosť zachovania dôvernej povahy Osobných údajov trvá aj po ukončení Zmluvy o spracúvaní.

6.9.          Bez ohľadu na ostatné ustanovenia tohto článku Sprostredkovateľ zlikviduje audiovizuálny záznam z AI Avatar Pohovoru a jeho prepis najneskôr do šiestich (6) mesiacov od ukončenia príslušného výberového konania, alebo bezodkladne po odvolaní súhlasu uchádzačom, podľa toho, čo nastane skôr, ak Prevádzkovateľ neudelí pokyn na skoršiu likvidáciu alebo ak uchovanie nie je nevyhnutné na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov v konkrétnom prebiehajúcom spore. Percentuálne skóre zhody a záznam o udelení súhlasu môžu byť uchované po dobu podľa čl. 3.5 tejto Zmluvy o spracúvaní.

7.              ZODPOVEDNOSŤ STRÁN A NÁHRADA ŠKODY

7.1.          Každá zo Strán zodpovedá za škodu spôsobenú Dotknutej osobe alebo druhej Strane v dôsledku porušenia povinností vyplývajúcich z GDPR, Platných právnych predpisov o ochrane osobných údajov alebo tejto Zmluvy o spracúvaní v rozsahu svojho zavinenia.

7.2.          Ak bude jednej zo Strán uložená pokuta zo strany dozorného orgánu (najmä Úradu na ochranu osobných údajov SR) alebo bude voči nej uplatnený nárok na náhradu škody Dotknutou osobou v dôsledku porušenia povinností druhej Strany podľa GDPR, Platných právnych predpisov o ochrane osobných údajov alebo tejto Zmluvy o spracúvaní, je druhá Strana povinná takto vzniknutú škodu vrátane uloženej pokuty nahradiť, a to v rozsahu svojej zodpovednosti za vznik tejto pokuty alebo škody.

7.3.          Celková zodpovednosť Sprostredkovateľa za škody vzniknuté Prevádzkovateľovi v súvislosti s touto Zmluvou o spracúvaní je obmedzená na sumu zodpovedajúcu cene zaplatenej Prevádzkovateľom Sprostredkovateľovi za poskytnuté Služby za posledných 12 mesiacov predchádzajúcich vzniku škody. Toto obmedzenie sa nevzťahuje na škody spôsobené úmyselne alebo z hrubej nedbanlivosti, ani na nároky Dotknutých osôb uplatnené podľa čl. 82 GDPR, ani na pokuty uložené dozorným orgánom v dôsledku porušenia povinností výlučne na strane Sprostredkovateľa.

7.4.          Strany sa zaväzujú v prípade uplatnenia nároku Dotknutej osoby alebo dozorného orgánu vzájomne si poskytnúť všetku potrebnú súčinnosť pri obhajobe a riešení takéhoto nároku, najmä si vzájomne odovzdávať relevantné informácie a dokumenty bez zbytočného odkladu.

8.              KONTAKTNÉ ÚDAJE

8.1.          Všetky oznámenia vrátane oznámení o Porušení ochrany Osobných údajov môžu byť doručené e-mailom na adresu: info@jobiflow.com.

8.2.          E-mail Prevádzkovateľa je kontaktný e-mail uvedený v registrácii Prevádzkovateľa v Elektronickom systéme Sprostredkovateľa alebo kontaktný údaj uvedený v Zmluve.

8.3.          Ak Sprostredkovateľ určí zodpovednú osobu (DPO) podľa čl. 37 GDPR, kontaktné údaje na zodpovednú osobu zverejní v Zásadách spracúvania osobných údajov a sprístupní ich aj na e-mailovej adrese podľa čl. 8.1 tejto Zmluvy o spracúvaní.

9.              ZÁVEREČNÉ USTANOVENIA

9.1.          Právne vzťahy, záväzky, práva a povinnosti vyplývajúce z tejto Zmluvy o spracúvaní, ako aj dodatky k nej a jej výklad, sa budú riadiť a vykladať v súlade s právnym poriadkom Slovenskej republiky. Zmluvné vzťahy medzi Prevádzkovateľom a Sprostredkovateľom, ktoré nie sú výslovne upravené v tejto Zmluve o spracúvaní, sa riadia ustanoveniami VOP zverejnenými v Elektronickom systéme Jobiflow.

9.2.          Informatívny preklad tejto Zmluvy o spracúvaní v anglickom znení môže byť dostupný na požiadanie. V prípade odlišností medzi anglickou alebo inou cudzojazyčnou verziou má prednosť slovenská jazyková verzia.

9.3.          Ak ktorékoľvek ustanovenie Zmluvy o spracúvaní vyhlási príslušný súd alebo iný orgán za neplatné, neúčinné, zdanlivé alebo nevymáhateľné, bude sa takéto ustanovenie považovať za vypustené z tejto Zmluvy o spracúvaní, pričom ostatné ustanovenia Zmluvy o spracúvaní budú i naďalej platné, pokiaľ z povahy takéhoto ustanovenia alebo z jeho obsahu alebo z okolností, za ktorých bolo uzavreté, nevyplýva, že ho nemožno oddeliť od ostatného obsahu Zmluvy o spracúvaní. Strany v takom prípade uzavrú také dodatky, ktoré umožnia dosiahnutie rovnakého účelu, a ak to nie je možné, potom čo najbližšieho tomu, aký sa mal dosiahnuť pôvodne neplatným, neúčinným, zdanlivým alebo nevymáhateľným ustanovením.

9.4.          Strany sa zaväzujú vyriešiť akýkoľvek spor vzniknutý v súvislosti s plnením tejto Zmluvy o spracúvaní zmierom. V prípade, že sa Stranám nepodarí vyriešiť spor zmierom do 30 dní, je ktorákoľvek zo Strán oprávnená predložiť spor vecne a miestne príslušnému súdu Slovenskej republiky.

9.5.          Rozsah spracúvaných Osobných údajov uvedený v čl. 3.3 Zmluvy o spracúvaní môže byť rozšírený alebo inak zmenený podľa funkcionality príslušného produktu bez potreby uzatvorenia dodatku k tejto Zmluve o spracúvaní alebo VOP.

9.6.          Pre prípad uzatvorenia tejto Zmluvy o spracúvaní sa Strany dohodli, že Zmluva o spracúvaní je uzavretá, len ak dôjde k úplnej zhode prejavov vôle Strán.

9.7.          Pojmy bližšie nešpecifikované touto Zmluvou o spracúvaní, ale v tejto Zmluve o spracúvaní uvedené, majú význam uvedený vo VOP a Zmluve.

9.8.          Sprostredkovateľ je oprávnený túto Zmluvu o spracúvaní jednostranne meniť alebo dopĺňať postupom podľa čl. 19 ods. 1 a 2 VOP. Zmena, ktorá je vyvolaná zmenou GDPR, Platných právnych predpisov o ochrane osobných údajov, rozhodnutím dozorného orgánu alebo súdu, sa stáva účinnou bez ohľadu na lehotu podľa čl. 19 ods. 1 VOP dňom účinnosti príslušnej zmeny právneho predpisu alebo dňom právoplatnosti rozhodnutia.

9.9.          Táto Zmluva o spracúvaní spolu s VOP, Zmluvou, Cenníkom, Zásadami spracúvania osobných údajov a Zásadami ochrany cookies predstavuje úplnú dohodu Strán o predmete spracúvania osobných údajov a nahrádza všetky predchádzajúce ústne alebo písomné dojednania v rovnakej veci.

9.10.       Zmluva o spracúvaní je platná a účinná od 26.5.2026..

Jobiflow s. r. o.

Príloha č. 1

Zoznam schválených subsprostredkovateľ

[1] https://eur-lex.europa.eu/legal-content/SK/TXT/?uri=CELEX%3A32021D0914