Obecné podmínky zpracování osobních údajů

1.1. Pojmy v tomto DPA, které začínají na velké písmeno, mají stejný význam jako definice uvedené ve VOP, pokud není v DPA výslovně stanoveno jinak.

1.2. Pro účely DPA se stanovují následující definice:

Další zpracovatel

Subdodavatel Zpracovatele.

Důvěrné informace

Informace, které:

• jsou zejména obchodního, technického, právního či smluvního charakteru a souvisí se Smlouvou a spoluprací Správce a Zpracovatele,
• nejsou běžně dostupné v obchodních kruzích.

Pro účely DPA se za Důvěrné informace považují i osobní údaje.

GDPR

Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů.

Správce

Zákazník, a to i v případě, kdy je Zákazník Zpracovatelem a Poskytovatel jeho dalším zpracovatelem.

Subjekt údajů

Fyzická osoba, jejíž osobní údaje jsou zpracovávané v rámci Softwaru.

Zpracovatel

Poskytovatel, a to i v případě, kdy je Zákazník Zpracovatelem a Poskytovatel jeho dalším zpracovatelem.

2.1. Obecné parametry zpracování osobních údajů, zejména předmět zpracování, doba trvání zpracování, povaha zpracování, účel zpracování, typ osobních údajů a kategorie subjektů údajů, jsou upraveny ve VOP týkajících se Služby.

3.1. Zpracovatel se zavazuje zpracovávat osobní údaje pouze na základě doložitelných pokynů Správce, které bude Správce Zpracovateli ukládat za podmínek uvedených v tomto čl. 3 DPA.

3.3. Zpracovatel není oprávněn zpracovávat osobní údaje bez doložitelných pokynů dle odst. 3.2 DPA s výjimkou případů, kdy mu takové zpracování ukládá zákon České republiky či právo Evropské unie, přičemž o takovém zpracování je povinen Zpracovatel Správce písemně informovat a pokud je to s přihlédnutím k povinnostem Zpracovatele možné, takové zpracování se Správcem projednat.

4.1. Pro vyloučení pochybností se smluvní strany zavazují přijmout přísnější podmínky mlčenlivosti, než jak je stanovena v čl. 28 odst. 3 písm. b) GDPR a chránit Důvěrné informace Zpracovatele stejně, jako Důvěrné informace Správce.

4.2. Strany se zavazují zachovat mlčenlivost ohledně Důvěrných informací, které jsou druhé straně zveřejněny, zejména tím, že budou s Důvěrnými informacemi nakládat tak, aby nedošlo k jejich úniku či zneužití, a vyvinou největší možné úsilí k zachování důvěrnosti Důvěrných informací a proti zpřístupnění jakékoliv třetí osobě s výjimkami uvedenými v DPA.

4.3. Povinnost dle odst. 4.2 DPA se nevztahuje na takové Důvěrné informace, které byly druhé smluvní straně známé ještě před zpřístupněním, byly veřejně známé ještě před zpřístupněním, byly označené jako nedůvěrné nebo vstoupily ve veřejnou známost.

4.4. Strany se zavazují nezpřístupnit Důvěrné informace žádné osobě s výjimkou případů uvedených v DPA, zejména vůči orgánům veřejné moci nebo vlastním zaměstnancům a dalším zpracovatelům v rozsahu nezbytném pro plnění Smlouvy.

5.1. Zpracovatel se zavazuje přijmout technická a organizační opatření tak, aby nedošlo k porušení zásady integrity a důvěrnosti, a to zejména k bezpečnostním incidentům.

5.3. Zpracovatel se zavazuje dokumentovat přijatá bezpečnostní opatření.

5.4. Pro vyloučení pochybností bezpečnostní opatření mohou být přijata ve formě organizačních opatření v případě, že jsou dostatečná a přijetí technických opatření by bylo spojeno s nepřiměřenými náklady.

5.5. Další bezpečnostní opatření mohou být uvedena v konkrétních podmínkách Služby.

6.1. Zpracovatel se zavazuje vyvinout veškeré nezbytné úsilí k tomu, aby odhalil případné porušení zásady integrity a důvěrnosti, přičemž v případě zjištění bezpečnostního incidentu se zavazuje o tom informovat Správce.

6.2. Oznámení o bezpečnostním incidentu bude obsahovat informace o povaze incidentu, včetně nezbytných informací pro posouzení závažnosti pro práva Subjektů údajů, a o přijatých opatřeních pro snížení dopadu do práv Subjektů údajů a zamezení dalších bezpečnostních opatření.

6.3. Zpracovatel se zavazuje zaslat Správci oznámení o bezpečnostním incidentu bez zbytečného odkladu poté, co se o bezpečnostním incidentu dozví, nejpozději do 24 hodin od okamžiku, kdy se o něm dozví.

7.1. Zpracovatel se zavazuje zapojit do zpracování osobních údajů pouze takového Dalšího zpracovatele, který poskytuje vhodné a dostatečné záruky zajištění a dodržování zásady integrity a důvěrnosti osobních údajů.

7.2. Správce uděluje Zpracovateli obecný a předchozí souhlas k zapojení Dalšího zpracovatele za podmínek uvedených v DPA, zejména na základě oznámení e-mailem a možnosti Správce zaslat odůvodněné připomínky do 5 pracovních dnů.

7.3. V případě, že Zpracovatel zapojí do zpracování Dalšího zpracovatele, zaváže ho takovými povinnostmi, které má vůči Správci Zpracovatel, a které jsou obsahem nejbližšího významu jednotlivých práv a povinností uvedených v tomto DPA.

7.4. Seznam všech dalších zpracovatelů, se kterými Správce vyjadřuje souhlas, je uveden na stránkách [DOPLNIT].

8.1. Správce nepověřuje v rámci jeho povinnosti Zpracovateli pokyn reagovat a umožňovat výkon práv subjektů údajů, pokud v tomto článku, popř. konkrétních podmínkách Služby není stanoveno jinak.

8.2. Správce bude v rámci výkonu práv Subjektů údajů využívat nástrojů uživatelského či administrativního prostředí Softwaru dle konkrétních Podmínek Služby.

8.3. V případě, že bude Správce požadovat nápomoc Zpracovatele při výkonu práv Subjektů údajů, které může Správce vykonávat sám prostřednictvím uživatelského či administrativního prostředí Softwaru, je Zpracovatel oprávněn požadovat po Správci přiměřenou úhradu nákladů s tím spojených.

8.4. Správce je oprávněn požadovat součinnost při výkonu práv Subjektů údajů v případě, že to neumožňuje samotný Software, prostřednictvím e-mailu. Zpracovatel je povinen do 5 pracovních dnů reagovat na požadavek Správce a navrhnout řešení, provést vypořádání žádosti, popř. stanovit přibližný termín řešení, pokud není možno vykonat právo do této lhůty, nejpozději však do 15 pracovních dnů od doručení požadavku Správce.

9.1. Zpracovatel se zavazuje poskytnout Správci součinnost při plnění jeho povinností, a to prostřednictvím poskytování informací, které si Správce vyžádá.

9.2. V případě, že bude pro splnění svých povinností Správce vyžadovat jinou nápomoc než prostřednictvím sdělení informací technického rázu, zejména právní stanoviska, právní rady či informace, které nemá Zpracovatel k dispozici, zavazuje se Správce uhradit Zpracovateli vynaložené náklady spojené s jeho žádostí.

9.3. Správce se zavazuje zaslat Zpracovateli jeho žádost e-mailem na adresu, v níž uvede rozsah informací či podobu nápomoci, kterou od Zpracovatele vyžaduje.

9.4. Zpracovatel se zavazuje do 15 dní od doručení žádosti podle odst. 9.3 DPA zaslat Správci informaci o tom, do kdy splní Správcovu žádost a v případě nápomoci dle odst. 9.2 DPA předběžný odhad nákladů k úhradě.

9.5. Zpracovatel se zavazuje vést „zpracovatelské“ záznamy o činnostech zpracování v souladu s čl. 30 odst. 2 GDPR.

10.1. V případě, že dojde k ukončení Smlouvy, zavazuje se Zpracovatel předat či zajistit výmaz osobních údajů tak, že buď si kopii a výmaz zajistí sám Správce prostřednictvím Softwaru, nebo Správce zašle nejpozději do 15 dní od ukončení Smlouvy pokyn k tomu, zda požaduje pouze výmaz kopií osobních údajů uložených v Softwaru, nebo vedle výmazu i předání kopií.

10.2. V případě, že Správce nebude postupovat podle odst. 10.1.b) DPA, je oprávněn Zpracovatel vytvořit kopii a tu vhodným způsobem předat Správci a osobní údaje v Softwaru vymazat.

11.1. Zpracovatel se zavazuje poskytnout Správci nezbytnou součinnost k tomu, aby doložil, že splňuje všechny povinnosti dle GDPR a DPA, to vše postupem uvedeným v tomto čl. 11 DPA.

11.2. Správce si před uzavřením Smlouvy ověřil, že Zpracovatel splňuje všechny povinnosti dle GDPR a poskytuje k tomu dostatečné záruky.

11.3. Správce je oprávněn vyžadovat od Zpracovatele poskytnutí informací a provedení auditu podle pravidel uvedených v DPA, zejména na základě předchozí e-mailové žádosti, s auditním intervalem nejvýše jednou za kalendářní rok, ledaže jde o hrubé porušení povinností nebo dohodu smluvních stran.

11.4. V rámci auditu bude Správce v místě určeném Zpracovatelem ověřovat, zda Zpracovatel řádně plní svoje povinnosti dle GDPR a DPA, přičemž Zpracovatel se zavazuje zajistit v daném termínu přítomnost jím pověřené osoby, která bude připravena předkládat Správci nezbytné doklady a informace. Zpracovatel není povinen zpřístupňovat přístup do prostor či zařízení, pokud by tím mělo dojít k ohrožení závazků týkajících se ochrany důvěrných informací.

11.5. Správce i Zpracovatel nesou náklady spojené s provedením auditu každý sám s výjimkou případů, kdy byl audit proveden na základě domnělého porušení povinností Zpracovatele, které se při auditu neprokáže; v takovém případě má Zpracovatel nárok na úhradu přiměřených nákladů.

11.6. Pro vyloučení pochybností může Správce pověřit provedením auditu i třetí osobu. Správce se zavazuje zaslat v přiměřeném předstihu kontaktní a identifikační údaje pověřené osoby a zaváže ji mlčenlivostí v rozsahu, jakým je vázán Správce sám.

11.7. Pro vyloučení pochybností je Zpracovatel oprávněn odmítnout poskytnout součinnost dle tohoto článku 11 DPA v případě, že se jedná o zjevně šikanózní či neodůvodněnou žádost.

12.1. Pokud není v DPA či Smlouvě stanoveno jinak, nenáleží smluvním stranám za plnění DPA odměna ani náhrada nákladů.