Príloha Všeobecných obchodných podmienok platformy Ecommio.

PREAMBULA

Táto zmluva sa uzatvára podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (GDPR) medzi:

Prevádzkovateľom: Používateľ platformy Ecommio, identifikovaný údajmi uvedenými pri registrácii Sprostredkovateľom: SPACE Solutions s. r. o., Lermontovova 911/3, 811 05 Bratislava – Staré Mesto, IČO: 55 333 834

Táto zmluva je neoddeliteľnou súčasťou Všeobecných obchodných podmienok a Používateľ ju akceptuje registráciou na Platforme. Uzatvorenie samostatného dokumentu nie je potrebné.

1. PREDMET A POSTAVENIE STRÁN

1.1

Používateľ prevádzkuje na Platforme svoj e-shop a vkladá do nej osobné údaje, vo vzťahu ku ktorým určuje účely a prostriedky spracúvania, a je preto prevádzkovateľom.

1.2

Poskytovateľ spracúva tieto údaje výlučne v mene Používateľa na účel poskytovania Platformy, a je preto sprostredkovateľom.

1.3

Táto zmluva sa nevzťahuje na údaje, pri ktorých je Poskytovateľ sám prevádzkovateľom – registračné, fakturačné a kontaktné údaje Používateľa a údaje návštevníkov ecommio.sk. Tie upravujú Zásady ochrany osobných údajov Poskytovateľa.

2. ROZSAH SPRACÚVANIA (čl. 28 ods. 3 GDPR)

Položka	Špecifikácia
Predmet spracúvania	Poskytovanie cloudovej e-shopovej platformy
Doba spracúvania	Po dobu trvania zmluvy podľa VOP a 30 dní po jej skončení (lehota na export)
Povaha a účel	Uloženie, zobrazenie, zálohovanie a technické spracovanie údajov nevyhnutné na prevádzku e-shopu Používateľa
Typy osobných údajov	Meno a priezvisko, e-mail, telefón, dodacia a fakturačná adresa, história objednávok, prihlasovacie údaje zákazníckych účtov, IP adresa, obsah komunikácie
Kategórie dotknutých osôb	Zákazníci e-shopu Používateľa, návštevníci e-shopu, zamestnanci a spolupracovníci Používateľa s prístupom do administrácie
Osobitné kategórie údajov	Platforma nie je určená na spracúvanie osobitných kategórií údajov podľa čl. 9 GDPR

3. POVINNOSTI SPROSTREDKOVATEĽA

Poskytovateľ sa zaväzuje:

3.1 Spracúvať údaje len na základe pokynov

Spracúvať osobné údaje výlučne na základe zdokumentovaných pokynov Používateľa, za ktoré sa považujú aj tieto VOP a používanie funkcií Platformy. Ak by pokyn podľa názoru Poskytovateľa porušoval GDPR, bez zbytočného odkladu na to Používateľa upozorní.

3.2 Zabezpečiť mlčanlivosť

Zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti.

3.3 Prijať bezpečnostné opatrenia (čl. 32 GDPR)

Prijať primerané technické a organizačné opatrenia, najmä:

• šifrovanie prenosu (TLS) a šifrovanie údajov pri uložení,
• riadenie prístupov na princípe najnižšieho oprávnenia a logovanie prístupov do produkčných systémov,
• pravidelné zálohovanie a testovanie obnovy,
• oddelenie produkčného a testovacieho prostredia,
• pravidelné bezpečnostné aktualizácie.

3.4 Dodržiavať podmienky pre subdodávateľov

Postupovať podľa čl. 4 tejto zmluvy.

3.5 Poskytnúť súčinnosť pri právach dotknutých osôb

Poskytnúť Používateľovi primeranú súčinnosť pri vybavovaní žiadostí dotknutých osôb podľa čl. 15–22 GDPR, a to prostredníctvom funkcií Platformy (export, oprava, výmaz údajov v administrácii). Ak sa dotknutá osoba obráti priamo na Poskytovateľa, Poskytovateľ jej žiadosť nevybaví a postúpi ju Používateľovi.

3.6 Poskytnúť súčinnosť podľa čl. 32–36 GDPR

Poskytnúť Používateľovi súčinnosť pri zabezpečovaní bezpečnosti, oznamovaní porušení ochrany údajov a pri posúdení vplyvu (DPIA), a to v rozsahu primeranom povahe spracúvania a informáciám, ktoré má Poskytovateľ k dispozícii.

3.7 Oznámiť porušenie ochrany údajov

Oznámiť Používateľovi každé porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 24 hodín od jeho zistenia, spolu s dostupnými informáciami o povahe porušenia, dotknutých kategóriách údajov a prijatých opatreniach. Oznámenie dozornému orgánu podáva Používateľ.

3.8 Vymazať alebo vrátiť údaje

Po skončení poskytovania služieb podľa voľby Používateľa všetky osobné údaje vymazať alebo vrátiť, a existujúce kópie vymazať, s výnimkou údajov, ktorých uchovávanie vyžaduje právo EÚ alebo SR. Postup upravuje čl. 12 VOP.

3.9 Preukázať súlad a umožniť audit

Poskytnúť Používateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožniť audit postupom podľa čl. 6 tejto zmluvy.

4. SUBDODÁVATELIA (ĎALŠÍ SPROSTREDKOVATELIA)

4.1 Všeobecný súhlas

Používateľ udeľuje Poskytovateľovi všeobecný písomný súhlas so zapojením ďalších sprostredkovateľov podľa čl. 28 ods. 2 GDPR. Aktuálny zoznam tvorí Prílohu č. 2 – Zoznam subdodávateľov.

4.2 Zmeny zoznamu

Poskytovateľ oznámi zamýšľané pridanie alebo nahradenie subdodávateľa najmenej 30 dní vopred e-mailom a aktualizáciou Prílohy č. 2.

4.3 Právo namietať

Používateľ je oprávnený v lehote 30 dní od oznámenia proti zmene namietať z opodstatnených dôvodov týkajúcich sa ochrany údajov. Ak strany nedospejú k riešeniu, Používateľ je oprávnený zmluvu ukončiť ku dňu účinnosti zmeny s nárokom na vrátenie pomernej časti Predplatného.

4.4 Zodpovednosť

Poskytovateľ uloží každému subdodávateľovi rovnaké povinnosti v oblasti ochrany údajov, aké má sám podľa tejto zmluvy, a zodpovedá za ich plnenie tak, ako by ich plnil sám.

5. PRENOS DO TRETÍCH KRAJÍN

5.1

Osobné údaje spracúvané v rámci Platformy sú uložené a spracúvané na serveroch na území Európskej únie (Hetzner, Nemecko/Fínsko), vrátane záloh. Transakčné e-maily odosiela poskytovateľ so sídlom v Slovenskej republike.

5.2

Jediným subdodávateľom, pri ktorom môže dôjsť k prenosu údajov mimo EHP, je Stripe pri spracovaní platieb; prenos je zabezpečený štandardnými zmluvnými doložkami podľa čl. 46 GDPR.

5.3

Ak by v budúcnosti pribudol subdodávateľ spracúvajúci údaje mimo EHP, Poskytovateľ zabezpečí prenos výlučne na základe rozhodnutia Európskej komisie o primeranosti alebo na základe štandardných zmluvných doložiek spolu s posúdením a doplnkovými zárukami, a oznámi to postupom podľa čl. 4.2.

6. AUDIT

6.1

Poskytovateľ na písomnú žiadosť Používateľa poskytne informácie o prijatých opatreniach, prípadne dostupné bezpečnostné certifikácie alebo správy o audite.

6.2

Používateľ je oprávnený vykonať audit u Poskytovateľa najviac raz ročne, po oznámení najmenej 30 dní vopred, v pracovnom čase a spôsobom, ktorý neprimerane nenaruší prevádzku Platformy. Náklady na audit znáša Používateľ, ak sa auditom nepreukáže podstatné porušenie povinností Poskytovateľa.

6.3

Mimoriadny audit je možný pri preukázanom porušení ochrany osobných údajov alebo na základe pokynu dozorného orgánu.

7. ZODPOVEDNOSŤ

7.1

Každá strana zodpovedá za porušenie svojich povinností podľa GDPR. Obmedzenie zodpovednosti podľa čl. 14 VOP sa uplatňuje aj na túto zmluvu, s výnimkou nárokov dotknutých osôb podľa čl. 82 GDPR a pokút uložených dozorným orgánom, ktoré znáša strana, ktorá porušenie spôsobila.

7.2

Používateľ zodpovedá najmä za zákonnosť údajov vkladaných do Platformy, za právny základ ich spracúvania, za informačné povinnosti voči vlastným zákazníkom a za nastavenie súhlasov na svojom e-shope.

8. ZÁVEREČNÉ USTANOVENIA

8.1

Táto zmluva nadobúda účinnosť registráciou Používateľa a zaniká spolu so zmluvou podľa VOP.

8.2

V prípade rozporu medzi touto zmluvou a VOP má vo veciach ochrany osobných údajov prednosť táto zmluva.

8.3

Kontakt vo veciach ochrany osobných údajov: gdpr@ecommio.sk

PRÍLOHA Č. 2 – ZOZNAM SUBDODÁVATEĽOV

Aktualizované: 1. 8. 2026

Subdodávateľ	Účel	Spracúvané údaje	Krajina / záruka
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Nemecko	Hosting infraštruktúry a databáz, objektové úložisko pre zálohy	Všetky údaje e-shopu vrátane záloh	Nemecko / Fínsko (EÚ)
WebSupport s. r. o., Karadžičova 12, 821 08 Bratislava	Odosielanie transakčných e-mailov (SMTP)	E-mail, meno, obsah správy	Slovensko (EÚ)
Stripe Payments Europe, Ltd., Dublin, Írsko	Spracovanie platieb	Fakturačné a platobné údaje	Írsko (EÚ); pri prenose do USA štandardné zmluvné doložky
SuperFaktúra, s. r. o.	Vystavovanie faktúr	Fakturačné údaje	Slovensko (EÚ)

Poznámky k zoznamu:

1. Dopravcovia (Packeta, GLS, DPD, Slovenská pošta) nie sú štandardne subdodávateľmi Poskytovateľa. Platforma neposiela údaje príjemcov na ich rozhrania automaticky; prepravné štítky nahráva Používateľ manuálne.

2. Individuálne integrácie. Ak Poskytovateľ pre Používateľa realizuje napojenie na dopravcu, účtovný systém alebo iný externý systém na mieru, stáva sa takto napojený subjekt subdodávateľom vo vzťahu k tomuto Používateľovi. Takéto napojenie a jeho rozsah sa dokumentuje v objednávke alebo zmluve daného Používateľa a tvorí doplnok k tomuto zoznamu.

3. Poskytovateľ AI služby je per-tenant prepínateľný a beží pod prístupovým kľúčom Používateľa. Používateľ si vo svojom účte konfiguruje vlastný prístup k poskytovateľovi AI služby. Poskytovateľ AI služby preto nie je subdodávateľom Poskytovateľa – vzťah k nemu vrátane zmluvných podmienok, právneho základu a prípadného prenosu do tretej krajiny si zabezpečuje Používateľ vo vlastnom mene a na vlastnú zodpovednosť. Platforma údaje k poskytovateľovi AI služby len odosiela na pokyn Používateľa.

4. Google Analytics nie je subdodávateľom Poskytovateľa vo vzťahu k údajom e-shopov. Ak si Používateľ GA4 na svojom e-shope aktivuje, robí tak vo vlastnom mene a je vo vzťahu ku Google prevádzkovateľom sám. (Meranie návštevnosti na samotnej stránke ecommio.sk upravujú Zásady ochrany osobných údajov a Pravidlá cookies Poskytovateľa.)