Zmluva o spracúvaní osobných údajov

podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR) · Verzia 2026-11 · účinné od 11. 11. 2026

Táto zmluva je súčasťou obchodných podmienok a uzatvára sa registráciou zákazníka v portáli Nullklik.

1. Zmluvné strany

Prevádzkovateľ: zákazník služby Nullklik uvedený pri registrácii.
Sprostredkovateľ: InvitoGraphix, s.r.o., Južná 1769/55, 900 26 Slovenský Grob, Slovenská republika, IČO 55609457, IČ DPH SK2122038413.

2. Predmet, povaha a účel

Sprostredkovateľ spracúva osobné údaje návštevníkov webov prevádzkovateľa, ktorí prišli z platených reklám Google Ads, výlučne na účel ochrany prevádzkovateľa pred podvodnými a opakovanými klikmi: zber, uloženie, vyhodnotenie, odovzdanie IP adries ako vylúčení do účtu Google Ads prevádzkovateľa a vymazanie.

3. Kategórie údajov a dotknutých osôb

Dotknuté osoby: návštevníci webov prevádzkovateľa z platených reklám. Údaje:

• IP adresa návštevníka, ktorý prišiel z platenej reklamy (IPv6 skrátená na sieť /64),
• identifikátor kliku Google (gclid), ID kampane a typ zariadenia z odkazu reklamy,
• náhodný identifikátor prehliadača uložený v localStorage a cookie acg_vid na webe klienta,
• technický odtlačok zariadenia (hash z vlastností prehliadača, napr. rozlíšenie, grafický čip), operačný systém,
• doména webu, čas a typ udalosti (príchod z reklamy, klik na telefón alebo WhatsApp).

Nespracúvame mená, e-maily, telefónne čísla návštevníkov ani obsah formulárov.

4. Doba spracúvania

Počas trvania zmluvy o poskytovaní služby. Jednotlivé údaje sa mažú podľa týchto lehôt:

• udalosti a zaplatené kliky: 30 dní, potom sa automaticky mažú,
• blokované IP adresy: počas trvania bloku a 60 dní po jeho skončení,
• záznamy o blokovaných zariadeniach: najviac 540 dní (rovnako ako najdlhšie trvanie publika v Google Ads),
• výsledky kontroly VPN: 7 dní.

5. Povinnosti sprostredkovateľa

1. spracúva údaje iba na základe zdokumentovaných pokynov prevádzkovateľa (tieto podmienky a nastavenia v portáli), aj pokiaľ ide o prenos do tretích krajín,
2. zabezpečí, aby sa osoby oprávnené spracúvať údaje zaviazali k mlčanlivosti,
3. prijme technické a organizačné opatrenia podľa prílohy,
4. pomáha prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb a pri plnení povinností podľa čl. 32 až 36 GDPR,
5. porušenie ochrany údajov oznámi prevádzkovateľovi bez zbytočného odkladu, najneskôr do 48 hodín od zistenia,
6. po skončení služby údaje vymaže do 30 dní, ak právo neukladá ich uchovanie,
7. poskytne prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností a umožní audit po dohode o termíne, najviac raz ročne, na náklady prevádzkovateľa.

6. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje všeobecný súhlas so zapojením týchto subdodávateľov:

O zmene subdodávateľov informuje sprostredkovateľ e-mailom aspoň 30 dní vopred. Prevádzkovateľ môže zmenu odmietnuť ukončením zmluvy. Sprostredkovateľ ukladá subdodávateľom rovnaké povinnosti ochrany údajov.

7. Povinnosti prevádzkovateľa

Prevádzkovateľ zodpovedá za zákonnosť spracúvania, najmä za informovanie návštevníkov svojho webu a za právny základ, prípadne súhlas s uložením identifikátora v zariadení tam, kde ho vyžaduje právo.

Príloha: technické a organizačné opatrenia

• šifrovanie prenosu (TLS) na všetkých adresách služby,
• server v EÚ (Nemecko), firewall s otvorenými iba nevyhnutnými portmi, prístup k serveru iba SSH kľúčom, automatické bezpečnostné aktualizácie, ochrana proti opakovaným pokusom o prihlásenie,
• aplikácia beží v izolovanom kontajneri bez oprávnení správcu, iba na čítanie,
• logické oddelenie údajov každého prevádzkovateľa; každý používateľ portálu vidí iba údaje svojej firmy,
• prihlásenie do portálu jednorazovým odkazom, relácie s bezpečnou cookie, ochrana proti CSRF, záznam zmien,
• minimalizácia údajov: IPv6 skrátená na /64, žiadne mená ani kontakty návštevníkov,
• automatické mazanie podľa lehôt, denné zálohy databázy na serveri.