Zmluva o spracúvaní osobných údajov

podľa článku 28 nariadenia (EÚ) 2016/679 (GDPR)

1. Strany a uzavretie

• Prevádzkovateľ: zákazník služby rexguard.
• Sprostredkovateľ: Datarex s. r. o., Trieda SNP 1534/22, 974 01 Banská Bystrica, IČO 53058968.

Zmluva sa uzatvára prijatím pri registrácii alebo objednávke a je súčasťou zmluvy o poskytovaní služby rexguard podľa Obchodných podmienok.

2. Predmet a doba spracúvania

Predmetom je spracúvanie osobných údajov návštevníkov stránok prevádzkovateľa pri poskytovaní služby rexguard. Spracúvanie trvá počas trvania zmluvy o službe a po jej skončení do uplynutia dôb uchovávania podľa článku 12.

3. Povaha a účel spracúvania

Uzly sprostredkovateľa prijímajú požiadavky návštevníkov na stránky prevádzkovateľa, kontrolujú ich (signatúry útokov, zoznamy reputácie, pravidlá a limity prevádzkovateľa, overenie prehliadača, odhaľovanie neobvyklej prevádzky, model na roboty), nebezpečné zastavia a ostatné odovzdajú serveru prevádzkovateľa. Požiadavky zaznamenávajú na zabezpečenie stránok, štatistiky a riešenie problémov pre prevádzkovateľa; pre domény stránok získavajú certifikáty.

4. Kategórie osobných údajov

• IP adresa a port návštevníka a z nej odvodená krajina a sieť (ASN),
• čas požiadavky, parametre šifrovaného spojenia a ich odtlačok (JA4),
• doména, cesta a parametre adresy, prehliadač (user agent), odkazujúca stránka (referer),
• veľkosti a stav odpovede a rozhodnutie ochrany,
• cookie rexguard_pass po overení prehliadača (24 hodín).

Obsah požiadaviek a odpovedí (vrátane hlavičiek a cookies) prechádza uzlami a kontroluje sa, ale neuchováva sa. Ak stránky prevádzkovateľa spracúvajú osobitné kategórie osobných údajov, môžu nimi takto prechádzať.

5. Kategórie dotknutých osôb

Návštevníci stránok prevádzkovateľa, vrátane jeho zamestnancov a používateľov jeho stránok.

6. Pokyny prevádzkovateľa

Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa. Pokynmi sú táto zmluva, Obchodné podmienky a nastavenia stránok, ktoré prevádzkovateľ zadá v portáli. Ak je pokyn podľa sprostredkovateľa v rozpore s právnymi predpismi, bezodkladne na to prevádzkovateľa upozorní. Prenos do tretích krajín sa uskutoční len podľa článku 14.

7. Mlčanlivosť

Osoby, ktoré majú u sprostredkovateľa prístup k osobným údajom, sú zaviazané mlčanlivosťou.

8. Bezpečnosť

Sprostredkovateľ prijíma opatrenia podľa článku 32 GDPR, najmä:

• šifrovanie komunikácie (TLS) medzi návštevníkmi a uzlami a podľa nastavenia prevádzkovateľa aj medzi uzlami a jeho serverom,
• prístup k údajom len pre správcov služby,
• šifrované uchovávanie kľúčov certifikátov,
• pseudonymizáciu údajov uchovávaných dlhšie ako 14 dní (článok 12),
• automatické mazanie údajov po uplynutí dôb uchovávania.

9. Ďalší sprostredkovatelia

Prevádzkovateľ dáva sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov. Na spracúvanie údajov návštevníkov sprostredkovateľ v súčasnosti nezapája nikoho ďalšieho; servery prevádzkuje sám. O zamýšľanom zapojení alebo výmene ďalšieho sprostredkovateľa sprostredkovateľ informuje prevádzkovateľa aspoň 30 dní vopred; prevádzkovateľ môže namietať a pred účinnosťou zmeny zmluvu ukončiť. Ďalšieho sprostredkovateľa zaviaže rovnakými povinnosťami ako táto zmluva.

10. Pomoc prevádzkovateľovi

Sprostredkovateľ pomáha prevádzkovateľovi:

• pri vybavovaní žiadostí dotknutých osôb (záznamy s IP adresami sú dostupné 14 dní),
• pri zabezpečení spracúvania, posúdení vplyvu na ochranu údajov a predchádzajúcej konzultácii,
• pri porušení ochrany osobných údajov: oznámi ho prevádzkovateľovi bez zbytočného odkladu po tom, čo sa o ňom dozvie, s informáciami podľa článku 33 ods. 3 GDPR, ktoré má k dispozícii.

11. Údaje použité na ochranu všetkých stránok

Na ochranu všetkých stránok, ktoré služba chráni, sprostredkovateľ používa aj údaje z prevádzky stránok prevádzkovateľa:

• IP adresy, ktoré útočia na niektorú stránku, sa až do 24 hodín po poslednom útoku blokujú na všetkých stránkach,
• z pseudonymizovaných údajov (článok 12) sa učí model na roboty a určuje sa bežná prevádzka na odhaľovanie neobvyklej prevádzky.

Pri tomto spracúvaní sprostredkovateľ určuje účel sám a koná ako prevádzkovateľ na základe oprávneného záujmu na bezpečnosti sietí a informácií. [na potvrdenie: postavenie Datarex pri tomto spracúvaní]

12. Doby uchovávania a koniec spracúvania

• záznamy požiadaviek s IP adresami: 14 dní,
• pseudonymizované záznamy: 1 rok (IP adresa nahradená kľúčovaným odtlačkom, ktorého kľúč sa mení každý mesiac a 3 dni po skončení mesiaca sa zničí; zostáva sieť /24 alebo /48, krajina, ASN, odtlačok spojenia, prehliadač, doména, cesta, názvy parametrov bez hodnôt a doména odkazujúcej stránky),
• súhrnné štatistiky bez IP adries: 1 rok.

Keď prevádzkovateľ stránku odstráni alebo zmluva skončí, uzly stránku hneď prestanú obsluhovať a nové údaje nevznikajú. Už zaznamenané údaje sa vymažú automaticky po uplynutí uvedených dôb; skoršie vymazanie ani vrátenie týchto záznamov sa neposkytuje. [na potvrdenie: súlad s článkom 28 ods. 3 písm. g) GDPR] Domény chránených stránok zostávajú vo verejných záznamoch certifikátov (Certificate Transparency).

13. Informácie a audity

Sprostredkovateľ poskytne prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa článku 28 GDPR a umožní audity vrátane kontrol, ktoré vykoná prevádzkovateľ alebo ním poverený audítor, po dohode o termíne a rozsahu.

14. Prenos do tretích krajín

Servery služby sú na Slovensku; údaje návštevníkov sprostredkovateľ neprenáša mimo Európskeho hospodárskeho priestoru.

15. Záverečné ustanovenia

Zmluva sa riadi právom Slovenskej republiky. Pre zmeny zmluvy platí postup pri zmene Obchodných podmienok. Kontakt na sprostredkovateľa: info@rexguard.app.