Zmluva o spracúvaní osobných údajov

Uzatvorená podľa čl. 28 ods. 3 nariadenia (EÚ) 2016/679 (všeobecné nariadenie o ochrane údajov, „GDPR“).

1. Zmluvné strany

1. Prevádzkovateľ: organizácia, ktorá používa Juryline na organizovanie programov, uvedená v nastaveniach svojej organizácie v Juryline („organizátor“).
2. Sprostredkovateľ: Everlong s.r.o., Zámocká 8, 811 01 Bratislava, Slovensko, IČO 55 271 987, zapísaná v obchodnom registri Mestského súdu Bratislava III, oddiel: Sro, vložka č. 167806/B, e-mail hello@juryline.com („my“).
3. Osoba, ktorá túto zmluvu prijíma za organizátora, potvrdzuje, že je oprávnená konať v jeho mene.

2. Predmet a doba trvania

1. Osobné údaje spracúvame pre organizátora, keď v Juryline vedie programy: zber a uchovávanie prihlášok, formálna kontrola, hodnotenie porotcami, výsledky, správy a živé finále.
2. Účel: organizovanie výzvy a výberového konania organizátora.
3. Povaha spracúvania: zber prostredníctvom formulárov, uchovávanie, zobrazovanie oprávneným osobám, prideľovanie porotcom, výpočet poradia, odosielanie e-mailov, exporty, vymazanie a súvisiace bezpečnostné záznamy.
4. Dotknuté osoby: uchádzači a osoby uvedené v prihláškach (napríklad členovia tímu), porotcovia, zamestnanci organizátora a členovia publika, ktorí hlasujú na živom finále.
5. Kategórie osobných údajov: kontaktné údaje; odpovede v poliach, ktoré určí organizátor; nahrané súbory (každý najviac 25 MB); mená členov tímu; stav prihlášky, poznámky, formálna kontrola a rozhodnutia; údaje porotcov (mená, e-mailové adresy, príslušnosť k organizácii, vyhlásenia o konflikte záujmov, hodnotenia a komentáre); záznamy o správach; pri hlasovaní publika hash identifikátora zariadenia vytvorený s kľúčom a voliteľne takýto hash e-mailovej adresy.
6. Juryline nevyžaduje osobitné kategórie osobných údajov. Ak ich organizátor vo svojom formulári požaduje, zodpovedá za to, že má na to právny základ.
7. Táto zmluva trvá, kým organizátor používa Juryline.

3. Pokyny

1. Osobné údaje spracúvame len na základe zdokumentovaných pokynov organizátora vrátane pokynov týkajúcich sa prenosu do tretích krajín, pokiaľ právo EÚ alebo slovenské právo nevyžaduje inak.
2. Pokynmi sú táto zmluva a úkony organizátora v Juryline, napríklad zverejnenie výzvy, nastavenie polí a ich viditeľnosti pre porotcov, pozvanie porotcov, pridelenie prihlášok, odoslanie správ, export, nastavenie doby uchovávania a vymazanie údajov. Ďalšie pokyny možno dať e-mailom.
3. Organizátor nám dáva pokyn:
   • zobrazovať uchádzačom výzvu, informácie organizátora o ochrane osobných údajov a formulár,
   • odosielať potvrdenia, pripomienky a e-maily s výsledkami, ktoré organizátor spustí,
   • skrývať pred porotcami polia, ktoré organizátor označí ako skryté,
   • vymazať program so všetkými jeho prihláškami, súbormi a hodnoteniami po uplynutí nastaveného počtu mesiacov (predvolene 24) od zverejnenia výsledkov alebo od uzavretia výzvy, ak sa výsledky nikdy nezverejnia, pričom mesiac vopred na to upozorníme vlastníkov.
4. Ak sa domnievame, že pokyn porušuje predpisy o ochrane osobných údajov, upozorníme na to organizátora.

4. Naše povinnosti

1. Každý v spoločnosti Everlong, kto má prístup k osobným údajom, je viazaný mlčanlivosťou. Prístup majú len osoby, ktoré ho potrebujú na prevádzku a podporu Juryline. Naša podpora otvorí organizáciu len v zaznamenanej podpornej relácii na 2 h, v režime len na čítanie a s dôvodom, ktorý organizátor vidí vo svojich nastaveniach.
2. Prijímame opatrenia uvedené v prílohe 1 (čl. 32 GDPR) a pravidelne ich preverujeme.
3. Ďalších sprostredkovateľov zapájame len podľa článku 5.
4. Pomáhame organizátorovi vybavovať žiadosti dotknutých osôb a žiadosti, ktoré prídu k nám, mu bez zbytočného odkladu postúpime.
5. Pomáhame organizátorovi pri plnení povinností podľa čl. 32 až 36 GDPR s ohľadom na povahu spracúvania.
6. Údaje organizátora nepoužívame na vlastné účely, nepredávame ich a prihlášky, hodnotenia ani iné údaje z programov neposielame do služieb AI. Anonymné súhrnné údaje (napríklad počet prihlášok) môžeme používať na prevádzku a zlepšovanie Juryline.
7. Vedieme záznamy o spracovateľských činnostiach vykonávaných pre organizátorov (čl. 30 ods. 2 GDPR).

5. Ďalší sprostredkovatelia

1. Organizátor udeľuje všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov uvedených v prílohe 2.
2. Zamýšľané zmeny oznamujeme vlastníkom organizácií e-mailom najmenej 30 dní vopred. Organizátor môže namietať; ak sa nedohodneme, môže zmluvu ukončiť ešte pred účinnosťou zmeny.
3. Každého ďalšieho sprostredkovateľa zaväzujeme rovnakými povinnosťami v oblasti ochrany osobných údajov (čl. 28 ods. 4 GDPR).

6. Prenosy mimo EÚ

1. Databáza a súbory sú uložené v EÚ (Frankfurt, Nemecko) a aplikácia beží v EÚ.
2. Ak môže mať ďalší sprostredkovateľ prístup k údajom z krajiny mimo EÚ, prenos sa zakladá na kapitole V GDPR, najmä na rámci na ochranu údajov medzi EÚ a USA (EU-US Data Privacy Framework) alebo na štandardných zmluvných doložkách.

7. Porušenie ochrany osobných údajov

1. Porušenie ochrany osobných údajov oznámime organizátorovi bez zbytočného odkladu a najneskôr do 48 hodín po tom, ako sa o ňom dozvieme, e-mailom vlastníkom organizácie, s informáciami podľa čl. 33 ods. 3 GDPR v rozsahu, v akom sú k dispozícii.
2. Pomáhame organizátorovi oznámiť porušenie dozornému orgánu a dotknutým osobám. O oznámeniach rozhoduje organizátor.

8. Informácie a audity

1. Na požiadanie poskytneme informácie potrebné na preukázanie súladu s čl. 28 GDPR.
2. Organizátor alebo audítor viazaný mlčanlivosťou môže vykonať audit ohlásený najmenej 30 dní vopred, najviac raz ročne a na náklady organizátora, s výnimkou auditu po porušení ochrany osobných údajov alebo auditu, ktorý vyžaduje dozorný orgán.

9. Povinnosti organizátora

1. Organizátor zodpovedá za zákonnosť spracúvania, za svoje informácie o ochrane osobných údajov pre uchádzačov a porotcov a za dobu uchovávania, ktorú nastaví.
2. Organizátor sprístupní svoju organizáciu len osobám, ktoré prístup potrebujú. Keď ho už nepotrebujú, prístup im odoberie.
3. Organizátor zodpovedá za údaje, ktoré exportuje, stiahne alebo pošle mimo Juryline.

10. Skončenie zmluvy

1. Zmluva skončí vymazaním organizácie organizátora alebo ukončením služby podľa podmienok používania.
2. Pred skončením zmluvy môže organizátor svoje údaje exportovať. Do 30 dní od skončenia zmluvy vymažeme osobné údaje organizátora, pokiaľ nám právo EÚ alebo slovenské právo neukladá ich uchovávať. Zálohy sa prepíšu v rámci svojho bežného cyklu.

11. Záverečné ustanovenia

1. Spracúvanie podľa tejto zmluvy je súčasťou služby Juryline a nie je samostatne spoplatnené.
2. Zmluvné strany zodpovedajú podľa čl. 82 GDPR a slovenského práva.
3. Zmluva sa uzatvára elektronicky (čl. 28 ods. 9 GDPR), keď organizátor zverejní program a potvrdí, že prijíma podmienky používania a túto zmluvu. Zaznamenávame verziu, čas a konto, ktoré prijatie potvrdilo.
4. Ak je organizátor verejnou inštitúciou, ktorá musí zverejňovať zmluvy, zverejní túto zmluvu sám.
5. Vo veciach ochrany osobných údajov má táto zmluva prednosť pred podmienkami používania. Prílohy 1 a 2 sú jej súčasťou.

Príloha 1. Technické a organizačné opatrenia

• Umiestnenie: databáza, súbory a aplikácia v EÚ (Frankfurt, Nemecko).
• Šifrovanie: pri prenose pomocou TLS a HSTS; pri uložení ho zabezpečujú naši poskytovatelia hostingu.
• Riadenie prístupu: zabezpečenie na úrovni riadkov (row level security) v databáze určuje, čo môže každá osoba čítať a meniť. Organizátori vidia vlastné programy; porotcovia vidia len im pridelené prihlášky a nikdy nie skryté polia; uchádzači vidia len svoje prihlášky. Tieto pravidlá sa automaticky testujú pre každú rolu.
• Prihlásenie: bez hesiel; jednorazové kódy a osobné odkazy zasielané e-mailom; relácie končia po 30 dňoch nepoužívania.
• Súbory: neverejné úložisko, sťahovanie cez odkazy platné 5 minút po kontrole oprávnení, typ súboru overený podľa obsahu, limit veľkosti 25 MB.
• Integrita: hodnotenia, rozhodnutia formálnej kontroly, vyhlásenia o konflikte záujmov a rozhodnutia o výsledkoch nemožno prepísať; zmeny sa pridávajú ako nové záznamy. Protokoly sa zapečatia hashom SHA-256 a overovacím kódom.
• Prístup podpory: len v zaznamenaných, časovo obmedzených podporných reláciách v režime len na čítanie, ktoré organizátor vidí.
• Auditný záznam: exporty, stiahnutia protokolov, zmeny rolí, podporné relácie a udalosti fakturácie, uchovávané 24 mesiacov.
• Vymazanie: automaticky, denne, podľa doby uchovávania každého programu.
• Zálohy: denné zálohy databázy u nášho poskytovateľa hostingu, uchovávané 7 dní.
• Ochrana pred zneužitím: limity požiadaviek s pseudonymnými kľúčmi uchovávanými najviac 2 dni.
• AI: údaje z programov sa nikdy neposielajú do služieb AI.

Príloha 2. Ďalší sprostredkovatelia

Znenie z 27. októbra 2026.