ROPA — Register spracovateľských činností (GDPR Art. 30)

# Register spracovateľských činností (ROPA)
## Record of Processing Activities — GDPR čl. 30

**Prevádzkovateľ:** {{CONTROLLER_NAME}}
**IČO:** {{CONTROLLER_ICO}}
**Adresa:** {{CONTROLLER_ADDRESS}}
**DPO:** {{DPO_NAME}} ({{DPO_EMAIL}})
**Dátum poslednej aktualizácie:** {{LAST_UPDATE}}
**Verzia:** 1.0

## Účel tohto registra
ROPA je povinný dokument podľa GDPR čl. 30 pre všetky organizácie s viac ako 250 zamestnancami a pre menšie organizácie, ktoré spracovávajú osobitné kategórie údajov (čl. 9), údaje o trestnej činnosti (čl. 10), alebo tam kde spracovanie nie je občasné alebo predstavuje riziko pre práva dotknutých osôb.

ROPA musí byť na požiadanie sprístupnený ÚOOÚ SR / ČR.

---

## Spracovateľské činnosti

### Aktivita 1: {{ACTIVITY_NAME_1}}

| Pole | Hodnota |
|------|---------|
| **Účel spracovania** | {{PURPOSE_1}} |
| **Právny základ (čl. 6)** | {{LEGAL_BASIS_1}} |
| **Právny základ čl. 9 (ak relevantné)** | {{ART9_BASIS_1}} |
| **Kategórie dotknutých osôb** | {{SUBJECTS_1}} |
| **Kategórie osobných údajov** | {{DATA_CATEGORIES_1}} |
| **Kategórie príjemcov** | {{RECIPIENTS_1}} |
| **Prenosy do tretích krajín** | {{TRANSFERS_1}} — základ: {{TRANSFER_BASIS_1}} |
| **Retention (doba uchovávania)** | {{RETENTION_1}} |
| **Technické opatrenia** | {{TECH_MEASURES_1}} |
| **Organizačné opatrenia** | {{ORG_MEASURES_1}} |
| **Spracovatelia (čl. 28)** | {{PROCESSORS_1}} |
| **DPIA vyžadovaná?** | {{DPIA_REQUIRED_1}} |

### Aktivita 2: {{ACTIVITY_NAME_2}}

| Pole | Hodnota |
|------|---------|
| **Účel** | {{PURPOSE_2}} |
| **Právny základ** | {{LEGAL_BASIS_2}} |
| **Dotknuté osoby** | {{SUBJECTS_2}} |
| **Kategórie údajov** | {{DATA_CATEGORIES_2}} |
| **Príjemcovia** | {{RECIPIENTS_2}} |
| **Medzinárodné prenosy** | {{TRANSFERS_2}} |
| **Retention** | {{RETENTION_2}} |
| **Opatrenia** | {{MEASURES_2}} |
| **Spracovatelia** | {{PROCESSORS_2}} |

### Aktivita 3: {{ACTIVITY_NAME_3}}
_(Duplikujte blok pre každú ďalšiu spracovateľskú činnosť)_

---

## Typické spracovateľské činnosti — vzor

Nižšie sú typické kategórie pre väčšinu SMEs:

### HR / Zamestnanci
- **Účel:** personálna evidencia, mzdová agenda, dochádzka
- **Právny základ:** čl. 6(1)(b) zmluva + čl. 6(1)(c) zákonná povinnosť (Zákonník práce, sociálne poistenie)
- **Retention:** 10 rokov mzdová agenda, 50 rokov evidenčné listy
- **Príjemcovia:** Sociálna poisťovňa, zdravotné poisťovne, daňový úrad

### Klienti / CRM
- **Účel:** plnenie zmluvy, komunikácia, CRM
- **Právny základ:** čl. 6(1)(b) zmluva
- **Retention:** doba zmluvného vzťahu + 10 rokov (občiansky zákonník)
- **Príjemcovia:** email provider, cloud SaaS (uviesť konkrétne)

### Marketing
- **Účel:** priamy marketing, newsletter
- **Právny základ:** čl. 6(1)(a) súhlas (nových) + čl. 6(1)(f) oprávnený záujem (existujúcich klientov — § 62 ods. 3 zák. 452/2021)
- **Retention:** do odvolania súhlasu / námietky
- **Príjemcovia:** email marketing provider (napr. Mailchimp, Sendinblue)

### Web / cookies a analytika
- **Účel:** meranie návštevnosti, funkčnosť webu
- **Právny základ:** čl. 6(1)(a) súhlas (cookies), čl. 6(1)(f) oprávnený záujem (nevyhnutné cookies)
- **Retention:** podľa typu cookie (session / persistent 13 mes. max)
- **Príjemcovia:** analytics provider

### Dodávatelia / fakturácia
- **Účel:** plnenie záväzkov, fakturácia
- **Právny základ:** čl. 6(1)(b) zmluva + čl. 6(1)(c) zákonná povinnosť (zákon o účtovníctve)
- **Retention:** 10 rokov (zákon o účtovníctve)

### IT security / logovanie
- **Účel:** prevencia neoprávneného prístupu, detekcia incidentov
- **Právny základ:** čl. 6(1)(f) oprávnený záujem
- **Retention:** {{SECURITY_LOG_RETENTION}} (odporúčanie: 90 dní audit, 30 dní prevádzkové logy)

---

## Údržba registra

- **Vlastník:** {{OWNER_NAME}} (DPO)
- **Aktualizácia:** pri každej zmene spracovania, nového vendora, novej aktivity. Minimálne ročná revízia.
- **Umiestnenie:** {{STORAGE_LOCATION}}
- **Dostupnosť pre ÚOOÚ:** na požiadanie do 72h.

## Súvisiace dokumenty
- Privacy notice (transparencia — čl. 13/14)
- DPIA (pre vysoké riziká)
- Data Processing Agreements s externými procesormi
- Politika kybernetickej bezpečnosti (NIS2 Art. 21)

---

_Orientačná šablóna v súlade s GDPR Art. 30 a usmerneniami ÚOOÚ SR / ČR. Minimalistická forma akceptovaná ÚOOÚ pri SME — väčšie organizácie by mali zvážiť rozšírenú formu s LIA balanc testom pre čl. 6(1)(f)._