Zmluva o spracúvaní osobných údajov

Medzi materskou školou a 4V3D OÜ, pre skupinovú službu Minute Mission. Verzia 1.0, 23. septembra 2026.

Toto je slovenské znenie zmluvy. Zmluva je zverejnená aj v angličtine a v estónčine a práve tieto dve znenia sú záväzné. Estónski zákazníci podpisujú estónske znenie. Ak sa tento preklad líši od anglického textu, rozhoduje anglický text.

Ako túto zmluvu uzavriete

Dvoma spôsobmi, oba majú rovnaký účinok.

• Pri objednávke. Zaškrtnite políčko, že prijímate túto zmluvu vo verzii 1.0. Verzia a dátum sa zaznamenajú k vášmu účtu, kópiu presného textu, ktorý ste prijali, vám pošleme e-mailom a zostáva dostupná vo vašom účte.
• Na papieri, ak vaša organizácia potrebuje podpis. Napíšte nám na info@4v3d.ee a pošleme vám ten istý text ako dokument s tabuľkou na vaše údaje. Podpíšte ho elektronicky (kvalifikovaným elektronickým podpisom podľa eIDAS, cez DocuSign, Adobe Sign alebo váš vlastný národný systém) a pošlite nám ho späť. 4V3D OÜ podpíše ten istý súbor a vráti vám ho. Zmluva nadobúda účinnosť neskorším z oboch podpisov.

Sprostredkovateľ: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estónsko. Zástupca: Oskar Viil, člen predstavenstva. Kontakt: info@4v3d.ee.

1. Čoho sa táto zmluva týka

Materská škola (prevádzkovateľ) používa Minute Mission, webovú aplikáciu prevádzkovanú spoločnosťou 4V3D OÜ (sprostredkovateľ), v ktorej učiteľka vedie tabuľu misií a odmien pre svoju skupinu. Na tento účel 4V3D OÜ spracúva osobné údaje opísané v prílohe II v mene materskej školy a podľa jej pokynov.

Táto zmluva obsahuje všetko, čo podľa Article 28(3) nariadenia GDPR a rovnako podľa UK GDPR musí byť medzi prevádzkovateľom a sprostredkovateľom dohodnuté písomne. Platí bez ohľadu na to, či je materská škola usadená v EHP alebo v Spojenom kráľovstve.

2. Aké právo sa na vás vzťahuje

• Materská škola v EHP. Uplatňuje sa GDPR. Uplatňuje sa aj oddiel 3.
• Materská škola v Spojenom kráľovstve. Uplatňuje sa UK GDPR a Data Protection Act 2018. Odkazy na GDPR nižšie sa čítajú ako odkazy na UK GDPR, odkazy na dozorný orgán ako odkazy na Information Commissioner a oddiel 3 sa neuplatňuje.
• Materská škola kdekoľvek inde. Na vás sa vzťahuje vaše vlastné právo ochrany osobných údajov a tieto podmienky zaväzujú 4V3D OÜ zmluvne. 4V3D OÜ je usadená v Európskej únii, takže je pri tomto spracúvaní viazaná nariadením GDPR tak či tak. Nič tu neuberá z práva, ktoré vám dáva vaše vlastné právo.

3. Štandardné zmluvné doložky Európskej komisie

Ak je materská škola usadená v EHP, strany uplatňujú štandardné zmluvné doložky medzi prevádzkovateľmi a sprostredkovateľmi uvedené v prílohe k vykonávaciemu rozhodnutiu Komisie Decision (EU) 2021/915, v ich úradnom anglickom znení. Tieto doložky tvoria súčasť tejto zmluvy a prílohy nižšie sú ich prílohami. Clause 5 (pristúpenie ďalších strán) sa neuplatňuje. V Clause 7.7 platí možnosť 2: všeobecné písomné povolenie ďalších sprostredkovateľov s tým, že každá zmena sa oznamuje 30 dní vopred. Ak sú doložky a táto zmluva v rozpore, prednosť majú doložky.

4. Čo sa každá strana zaväzuje robiť

4V3D OÜ sa zaväzuje:

• Spracúvať osobné údaje len na poskytovanie služby a len podľa zdokumentovaných pokynov materskej školy, vrátane pokynov o prenose do tretej krajiny. Týmito pokynmi sú táto zmluva a používanie služby materskou školou. Ak bude právo EÚ alebo členského štátu od 4V3D OÜ vyžadovať iné spracúvanie, oznámi to materskej škole vopred, ibaže by to takéto právo zakazovalo.
• Nikdy nepoužívať údaje na vlastné účely, nikdy ich nepredávať, nikdy ich nepoužívať na trénovanie čohokoľvek a nikdy ich neukázať nikomu okrem ďalších sprostredkovateľov uvedených v prílohe IV.
• Zabezpečiť, aby každý, kto má prístup, bol viazaný mlčanlivosťou.
• Dodržiavať bezpečnostné opatrenia uvedené v prílohe III a neoslabovať ich.
• Využívať len ďalších sprostredkovateľov uvedených v prílohe IV. 4V3D OÜ môže niektorého pridať alebo nahradiť, pričom to kontaktnej osobe materskej školy oznámi písomne 30 dní vopred. Materská škola môže počas týchto 30 dní vzniesť námietku; ak sa námietka nedá vyriešiť, materská škola môže službu ukončiť a nevyužitá časť mesiaca sa jej vráti.
• Pomôcť materskej škole odpovedať na žiadosť rodiča alebo zamestnanca. Učiteľky a riaditeľka si tieto údaje vedia v službe samy pozrieť, opraviť, exportovať aj vymazať. Ak žiadosť príde namiesto toho 4V3D OÜ, postúpi sa kontaktnej osobe materskej školy do piatich pracovných dní a neodpovedá sa na ňu priamo.
• Pomáhať materskej škole s jej povinnosťami podľa Articles 32 to 36 (bezpečnosť, oznamovanie porušení ochrany údajov, posúdenie vplyvu, predchádzajúca konzultácia) so zreteľom na to, čo 4V3D OÜ skutočne vie.
• Oznámiť kontaktnej osobe materskej školy porušenie ochrany osobných údajov do 24 hodín od chvíle, keď sa o ňom dozvie, s tým, čo je vtedy známe, a zvyšok priebežne, ako sa zistí.
• Po skončení služby vymazať údaje do 30 dní, prípadne ich najprv odovzdať späť, ak o to materská škola požiada. Zo šifrovaných záloh zmiznú do 90 dní. 4V3D OÜ písomne potvrdí, keď sú preč.
• Sprístupniť informácie potrebné na preukázanie splnenia týchto povinností a umožniť audit. V praxi to znamená písomné odpovede a dokumentáciu na požiadanie. Audit na mieste alebo audit treťou stranou sa dá dohodnúť s oznámením 30 dní vopred, na náklady materskej školy, najviac raz za rok, ibaže došlo k porušeniu ochrany údajov.
• Ihneď materskú školu upozorniť, ak sa zdá, že pokyn porušuje právo ochrany osobných údajov.

Materská škola sa zaväzuje:

• Zabezpečiť, že má na toto spracúvanie právny základ a že rodičia boli informovaní. 4V3D OÜ rodičov nevidí a nemôže to urobiť za vás.
• Uchovávať v službe len tie údaje, ktoré opisuje príloha II. Do voľných textových polí najmä nepíšte priezvisko dieťaťa, údaje o zdraví, hodnotenie dieťaťa ani nič o pomeroch v rodine.
• Udržiavať údaje svojho účtu správne a oznámiť 4V3D OÜ zmenu kontaktnej osoby.
• Spravovať si vlastné účty zamestnancov: keď učiteľka odíde, zrušiť jej prihlásenie.

5. Dve veci, ktoré nie sú spracúvaním vo vašom mene

Hovoríme to tu narovinu, aby to neskôr nikto nemusel hádať.

• Účty zamestnancov. Meno, e-mailová adresa a heslo učiteľky alebo riaditeľky sú potrebné na to, aby služba vôbec fungovala, a o tom, ako ju prevádzkovať, rozhoduje 4V3D OÜ. Na tento úzky účel je 4V3D OÜ prevádzkovateľom, nie sprostredkovateľom, a uplatňujú sa jej vlastné zásady ochrany osobných údajov. Všetko, čo sa týka detí, je spracúvaním v mene materskej školy a vzťahuje sa naň táto zmluva.
• Platba za službu. Ak materská škola platí kartou, platbu spracúva Stripe Payments Europe Ltd. Stripe dostáva fakturačné meno, adresu, IČ DPH, e-mail a údaje o karte materskej školy a žiadne údaje o deťoch. Prevádzkovateľom týchto fakturačných údajov je 4V3D OÜ. Stripe preto nie je ďalším sprostredkovateľom podľa tejto zmluvy a nie je uvedený v prílohe IV.

6. Trvanie, rozhodné právo a zodpovednosť

Táto zmluva trvá tak dlho, kým 4V3D OÜ spracúva údaje materskej školy, a po skončení služby platí ďalej až do vymazania údajov.

Uplatňuje sa estónske právo a príslušné sú súdy kraja Harju, ibaže je materská škola verejnou inštitúciou, ktorej vlastné pravidlá vyžadujú jej národné právo a súdy; v takom prípade sa na tom strany dohodnú pred podpisom.

Zodpovednosť je upravená v podmienkach používania Minute Mission, ktoré táto zmluva dopĺňa a nenahrádza.

Príloha I. Zmluvné strany

Prevádzkovateľ: materská škola, identifikovaná údajmi, ktoré uvedie pri objednávke alebo doplní do podpísanej kópie. Úloha: prevádzkovateľ údajov detí vedených na skupinovej tabuli.

Sprostredkovateľ: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estónsko. Kontakt: Oskar Viil, člen predstavenstva, info@4v3d.ee. Zodpovedná osoba nie je určená, pretože to tu GDPR nevyžaduje.

Ktorákoľvek strana môže zmeniť svoju kontaktnú osobu písomným oznámením druhej strane.

Príloha II. Opis spracúvania

Príloha III. Bezpečnostné opatrenia

• Údaje sú v Európskej únii. Aplikácia aj jej zálohy bežia v dátovom centre Hetzner Online GmbH v Helsinkách vo Fínsku (certifikácia ISO/IEC 27001). Servisné e-maily odchádzajú zo Scaleway SAS vo Francúzsku. K prenosu do tretej krajiny nedochádza.
• Všetko pri prenose je šifrované (HTTPS, s nastavenou Content Security Policy). Heslá sa nikdy neukladajú, len ich hash, a rovnako hashované sa ukladajú aj tokeny relácií, takže kópia databázy nie je zväzkom funkčných kľúčov.
• Každá skupina je samostatný účet. Učiteľka vidí len deti vo svojej skupine. Riaditeľka má jedno prihlásenie pre svoje skupiny a k žiadnym cudzím nemá prístup.
• Fotografie sa do skupinového účtu nedajú nahrať, push notifikácie sú vypnuté a obrázky detí sú pevne dané sadou kresieb.
• Denné šifrované zálohy, uchovávané 14 dní na serveri a 90 dní mimo neho. Sú šifrované verejným kľúčom, ktorý samotný server nemá, takže server nedokáže prečítať vlastné zálohy. Obnova zo zálohy bola otestovaná.
• Prístup k serveru má len člen predstavenstva 4V3D OÜ. Prístup nemá žiadny zamestnanec, dodávateľ ani pracovník podpory.
• Žiadna analytika, žiadne reklamné nástroje a žiadne sledovanie akéhokoľvek druhu. Jediné pravidelné hlásenie je denný počet registrácií, aktívnych účtov a chýb, ktorý neobsahuje žiadne mená.
• Obmedzenie počtu pokusov pri prihlasovaní a registrácii a 30-dňový limit na to, ako spätne sa dá misia odškrtnúť, takže omyl ani zneužitie nemôžu prepísať mesiace histórie.
• Písomná bezpečnostná previerka celého zdrojového kódu bola vykonaná dvakrát externým modelom, naposledy 20. septembra 2026, a jej zistenia boli uzavreté.

Príloha IV. Ďalší sprostredkovatelia

Obe sú v Európskej únii. Mimo EÚ nie je žiadny ďalší sprostredkovateľ a nie je čo posudzovať pri medzinárodnom prenose.