Zmluva o spracúvaní osobných údajov

Verzia 1.1, účinná od 26. 9. 2026 (zmena oproti 1.0: údaje po skončení zmluvy uchovávame 3 mesiace v obmedzenom režime; žiadosti o výmaz e-mailom do 14 dní)

Podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR) a § 34 zákona č. 18/2018 Z. z. o ochrane osobných údajov.

Zmluvné strany

Prevádzkovateľ: zákazník, ktorý si v portáli Monitra založil pracovný priestor (ďalej „zákazník“).

Sprostredkovateľ: Monitra, s. r. o., Budatínska 16, 851 06 Bratislava – Petržalka, IČO 57 305 803, zapísaná v obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka č. 193298/B, kontakt info@monitra.eu (ďalej „Monitra“).

Zmluvu zákazník prijíma spolu s obchodnými podmienkami pri registrácii zaškrtnutím políčka „Súhlasím s obchodnými podmienkami a zmluvou o spracúvaní osobných údajov“. Monitra zaznamená čas súhlasu a verziu tejto zmluvy. Je ich súčasťou a má prednosť pred nimi vo veciach ochrany osobných údajov.

1. Predmet a doba trvania

Monitra pre zákazníka spracúva osobné údaje návštevníkov jeho webov a aplikácií pri poskytovaní webovej analytiky. Zmluva trvá, kým trvá zmluva o poskytovaní služby, a ďalej, kým Monitra údaje zákazníka nevymaže alebo nevráti podľa bodu 12.

2. Povaha a účel spracúvania

Účelom je meranie návštevnosti a správania návštevníkov na weboch zákazníka a zobrazenie výsledkov zákazníkovi v portáli: zber udalostí meracím skriptom alebo cez serverové rozhranie, ich uloženie, spracovanie do prehľadov, odpovede AI asistenta nad súhrnnými číslami, export a na pokyn zákazníka odovzdanie do služieb, ktoré si zákazník pripojí.

Súčasťou je aj zisťovanie služieb tretích strán na weboch zákazníka pre cookie lištu Monitry: ak to súhlas návštevníka dovoľuje, merací skript raz za reláciu pošle zoznam služieb, ktoré stránka načítava (bod 3). Monitra ho uchováva 30 dní a používa len na to, aby zákazníkovi navrhla služby do jeho cookie lišty.

Monitra údaje nepoužíva na vlastné účely, nepredáva ich, nepoužíva ich na reklamu ani na trénovanie modelov a neprepája údaje rôznych zákazníkov.

3. Kategórie dotknutých osôb a osobných údajov

Dotknuté osoby: návštevníci webov a aplikácií zákazníka; ak zákazník posiela identifikátor používateľa, aj jeho registrovaní používatelia.

Osobné údaje:

• náhodné identifikátory prehliadača a návštevy (cookies _mtr_*),
• adresa a názov stránky, odkazujúca stránka, parametre kampane,
• user agent, jazyk, časové pásmo, rozmer obrazovky, typ zariadenia a prehliadača,
• IP adresa, z ktorej sa určí približná poloha (krajina, región, mesto); do analytickej databázy sa neukladá,
• udalosti a ich parametre, ktoré zákazník nastaví, napríklad objednávky, hodnota nákupu, produkty,
• identifikátor používateľa, ak ho zákazník posiela,
• rozhodnutie o súhlase s cookies a náhodné ID súhlasu, ak zákazník používa cookie lištu Monitry; ukladá sa bez IP adresy a uchováva 2 roky ako doklad o súhlase,
• raz za reláciu zoznam služieb tretích strán na stránke: názvy domén skriptov a iných vložených prvkov, názvy (nie hodnoty) cookies, názvy známych objektov v JavaScripte a cesta stránky; uchováva sa 30 dní v analytickej databáze.

Zákazník do služby neposiela osobitné kategórie osobných údajov (čl. 9 GDPR) ani údaje o trestných činoch.

4. Povinnosti a práva zákazníka

Zákazník:

• má pre spracúvanie právny základ a pri cookies súhlas návštevníka podľa § 109 zákona č. 452/2021 Z. z.,
• informuje návštevníkov o spracúvaní vo svojich zásadách ochrany osobných údajov,
• nastavením služby (projekt, merací skript, udalosti, integrácie) a písomne e-mailom dáva Monitre pokyny; tieto zmluva, obchodné podmienky a nastavenia v portáli sú úplné pokyny v čase uzavretia,
• zodpovedá za to, aké údaje do služby posiela.

5. Spracúvanie len na pokyn

Monitra spracúva osobné údaje len na zdokumentovaný pokyn zákazníka, vrátane prenosov do tretích krajín, okrem prípadu, keď jej spracúvanie ukladá právo EÚ alebo Slovenskej republiky. V takom prípade zákazníka vopred informuje, ak to právo nezakazuje.

Ak je podľa Monitry pokyn v rozpore s GDPR alebo iným predpisom o ochrane údajov, bez zbytočného odkladu na to zákazníka upozorní.

6. Mlčanlivosť

Monitra zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli viazané mlčanlivosťou, zmluvne alebo zo zákona. Mlčanlivosť trvá aj po skončení ich vzťahu s Monitrou.

7. Bezpečnostné opatrenia

Monitra prijala tieto opatrenia podľa čl. 32 GDPR. Opisujeme skutočný stav, nie ciele.

• Umiestnenie. Produkčný server je u Hetzner Online GmbH v dátovom centre vo Falkensteine v Nemecku. Databázy (PostgreSQL a ClickHouse) bežia na našom serveri, nepoužívame externú databázovú službu.
• Šifrovanie prenosu. Merací skript, zberný server, portál aj rozhrania komunikujú cez HTTPS (TLS).
• Heslá ukladáme len ako bcrypt hash.
• Prístup k serveru majú len poverené osoby Monitry, cez SSH kľúče.
• Prístup v portáli je oddelený podľa pracovných priestorov a rolí. Naši ľudia môžu pri podpore otvoriť portál zákazníka len na čítanie.
• Minimalizácia. IP adresa sa neukladá do analytickej databázy, použije sa len na určenie približnej polohy pomocou lokálnej databázy bez odoslania tretej strane. Záznamy servera s IP adresou (webový server a zberný server) sa mažú po 30 dňoch. Záznam súhlasov neobsahuje IP adresu. Zoznam služieb tretích strán sa maže po 30 dňoch a hodnoty cookies sa pri ňom nečítajú. Odmietnuté udalosti na ladenie sa mažú po 24 hodinách.
• Súhlas. Pri zapnutom čakaní na súhlas (requireConsent) skript nič neukladá do zariadenia ani neodosiela, kým návštevník nesúhlasí. Pri odvolaní súhlasu cookies Monitry zmaže a zber zastaví.
• Kľúče a tokeny pripojených služieb portál po uložení nezobrazuje.
• Zálohovanie. Zálohy databáz sa robia u Hetzner Online GmbH v Nemecku, teda u toho istého poskytovateľa a v tej istej krajine ako produkčný server.

Čo nemáme: certifikáciu ISO 27001, SOC 2 ani inú, a nesľubujeme dostupnosť v percentách.

Opatrenia môžeme meniť, ale nie tak, aby sa úroveň ochrany znížila.

8. Ďalší sprostredkovatelia

• Zákazník dáva všeobecný súhlas, aby Monitra zapojila ďalších sprostredkovateľov. Aktuálny zoznam je na stránke Sprostredkovatelia.
• Pridanie alebo výmenu sprostredkovateľa, ktorý spracúva údaje podľa tejto zmluvy, Monitra oznámi e-mailom a na stránke so zoznamom najmenej 30 dní vopred.
• Zákazník môže do 30 dní od oznámenia z oprávnených dôvodov namietať. Ak sa nedohodneme, môže zmluvu ukončiť ku dňu zapojenia nového sprostredkovateľa bez sankcie a Monitra mu vráti nevyčerpanú časť ceny.
• S každým sprostredkovateľom má Monitra zmluvu s rovnakými povinnosťami na ochranu údajov, ako má táto zmluva. Za jeho plnenie zodpovedá zákazníkovi Monitra.

Služby, ktoré si pripojí zákazník (napríklad Google Ads, Meta, TikTok, Google Analytics 4, Shopify, ERP alebo webhook na adresu, ktorú zadá zákazník), nie sú sprostredkovatelia Monitry. Údaje im Monitra odovzdáva na pokyn zákazníka, ktorý s nimi má vlastný zmluvný vzťah.

9. Prenos mimo EÚ

Údaje návštevníkov sa ukladajú a spracúvajú v EÚ. AI asistent posiela poskytovateľovi modelu (Google Cloud EMEA Limited, Vertex AI v regióne EÚ) len otázku používateľa zákazníka a súhrnné čísla (počty udalostí, relácií a návštevníkov, názov a doménu projektu), nie údaje o jednotlivých návštevníkoch. Ak by Monitra v budúcnosti preniesla osobné údaje návštevníkov mimo EÚ, urobí to len s primeranými zárukami podľa kapitoly V GDPR a postupom podľa bodu 8.

10. Súčinnosť

Monitra zákazníkovi pomáha:

• so žiadosťami dotknutých osôb. Žiadosti návštevníkov vybavuje zákazník ako prevádzkovateľ. Ak žiadosť príde Monitre, bez zbytočného odkladu ju postúpi zákazníkovi a sama na ňu neodpovedá. Žiadosť o výmaz alebo o prístup k údajom návštevníka pošle zákazník e-mailom na support@monitra.eu spolu s identifikátorom návštevníka: identifikátorom z cookie _mtr_uid (client_id) alebo identifikátorom používateľa, ktorý zákazník do služby posiela (user_id). Monitra pokyn vykoná, ak príde z e-mailovej adresy používateľa, ktorý je v portáli vlastníkom alebo správcom pracovného priestoru zákazníka; inak si ho u zákazníka overí. Údaje návštevníka vymaže do 14 dní od doručenia pokynu, zo záloh zmiznú pri ich pravidelnej výmene, najneskôr do 7 dní, a výmaz zákazníkovi potvrdí e-mailom. Pri žiadosti o prístup mu v rovnakej lehote pošle export údajov návštevníka (CSV alebo JSON). Podľa mena, e-mailu ani IP adresy Monitra návštevníka identifikovať nevie; IP adresu do analytickej databázy neukladá.
• s bezpečnosťou, posúdením vplyvu a konzultáciou s úradom poskytnutím informácií, ktoré má k dispozícii.

11. Porušenie ochrany údajov

Ak Monitra zistí porušenie ochrany osobných údajov, ktoré sa týka údajov zákazníka, oznámi mu to e-mailom do 48 hodín od zistenia. Uvedie, čo vie: povahu porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky a prijaté opatrenia. Chýbajúce informácie doplní postupne.

Oznámenie úradu a dotknutým osobám robí zákazník, Monitra mu pri tom poskytne súčinnosť.

12. Výmaz a vrátenie údajov

Po skončení zmluvy o poskytovaní služby Monitra údaje zákazníka uchová 3 mesiace v obmedzenom režime (bez prístupu v portáli a bez ďalšieho spracúvania); počas tejto doby si zákazník môže vyžiadať export údajov (CSV alebo JSON) alebo obnovenie účtu. Potom ich Monitra vymaže, okrem údajov, ktoré musí uchovávať podľa zákona; zo záloh zmiznú pri ich pravidelnej výmene, najneskôr do 7 dní. Na žiadosť zákazníka ich vymaže skôr, do 30 dní. Výmaz na požiadanie potvrdí e-mailom.

Počas trvania zmluvy môže zákazník e-mailom požiadať o výmaz údajov projektu; Monitra ho vykoná do 30 dní.

13. Preukázanie súladu a audit

Monitra zákazníkovi na požiadanie poskytne informácie potrebné na preukázanie plnenia tejto zmluvy, najmä písomné odpovede na otázky o spracúvaní a opatreniach.

Ak to nestačí, zákazník môže raz ročne vykonať audit sám alebo cez audítora viazaného mlčanlivosťou, s oznámením najmenej 30 dní vopred, v pracovnom čase a bez prístupu k údajom iných zákazníkov. Náklady auditu nesie zákazník. Audit na podnet dozorného orgánu alebo po porušení ochrany údajov na strane Monitry nie je obmedzený na raz ročne.

14. Zodpovednosť

Za škodu spôsobenú porušením tejto zmluvy zodpovedajú strany podľa čl. 82 GDPR. Vo vzťahu medzi stranami platí obmedzenie zodpovednosti z obchodných podmienok, ak to právo dovoľuje. Toto obmedzenie sa nevzťahuje na nároky dotknutých osôb ani na pokuty uložené dozorným orgánom.

15. Záverečné ustanovenia

Zmluva sa riadi právom Slovenskej republiky. Zmeny oznámi Monitra rovnako ako zmeny obchodných podmienok, teda najmenej 30 dní vopred, okrem zmien v zozname sprostredkovateľov, na ktoré sa vzťahuje bod 8.

Ak zákazník potrebuje zmluvu podpísanú, pošleme ju na požiadanie v PDF na podpis.