Podmínky zpracování osobních údajů

1. Úvodní ustanovení

Tato dokument upravuje podmínky zpracování osobních údajů Objednatele. Osobními údaji se pro účely těchto podmínek rozumí osobní údaje subjektů údajů, kterými jsou zejména zákazníci Objednatele, uživatelé aplikací Objednatele a další subjekty údajů, jejichž osobní údaje byly Dodavateli předány pro účel poskytování služeb dle smlouvy („Osobní údaje“).

V rámci poskytování služeb dle smlouvy, či při plnění dalších povinností dle smlouvy může Dodavatel zpracovávat informace a údaje, které lze považovat za osobní údaje ve smyslu právních předpisů o ochraně osobních údajů.

2. Úlohy a pokyny pro zpracování osobních údajů

Pokud Objednatel jedná jako zpracovatel, zaručuje Dodavateli, že příslušný správce schválil jeho pokyny a jednání v souvislosti s Osobními údaji, včetně pověření Dodavatele jako dalšího zpracovatele. Objednatel se zavazuje na žádost Dodavatele předložit písemný souhlas s jeho zapojením jako dalšího zpracovatele.

Dodavatel bude zpracovávat Osobní údaje pouze v souladu s platnými právními předpisy:

• za účelem poskytování služeb dle smlouvy,
• v souladu se smlouvou, a
• jak je dále uvedeno v dalších písemných pokynech udělených Objednatelem.

3. Doba trvání zpracování osobních údajů

Dodavatel bude Osobní údaje zpracovávat pouze po dobu trvání smlouvy a dále po dobu nezbytnou k provedení veškerých nutných úkonů spojených s ukončením smlouvy. Po skončení smlouvy je Dodavatel oprávněn osobní údaje zpracovávat jako správce pro naplnění vlastních účelů zpracování.

Po skončení smlouvy bez ohledu na způsob a důvod jejího skončení Dodavatel předá Objednateli na základě výzvy ze strany Objednatele do 30 (třiceti) dnů ode dne doručení výzvy veškeré Osobní údaje uložené na všech zařízeních a nosičích mimo zařízení a nosičů ve vlastnictví či užívání Objednatele a trvale je zničí, s výjimkou případů, kdy je uložení Osobních údajů vyžadované právem České republiky nebo Evropské unie.

4. Povaha a účel zpracování osobních údajů

Zpracování bude probíhat zejména za účelem poskytování služeb analýzy, implementace, vývoje, provozu či podpory, přičemž zpracování může zahrnovat ukládání, analýzy, testování osobních údajů a obdobné činnosti, které souvisí s předmětem smlouvy. Dodavatel bude zpracovávat osobní údaje pouze elektronicky.

5. Druhy osobních údajů

Osobní údaje se budou lišit dle rozsahu poskytnutých Osobních údajů Objednatelem, mohou však zahrnovat zejména identifikační údaje, přihlašovací údaje, kontaktní údaje, platební údaje, údaje uživatelského typu, údaje o aktivitách v aplikacích a další údaje, které se běžně vyskytují a zpracovávají při poskytování služeb dle smlouvy.

Předmětem zpracování nebudou zvláštní kategorie osobních údajů.

6. Kategorie subjektů údajů

Osobní údaje se budou týkat těchto kategorií subjektů údajů: subjektů údajů, jejichž osobní údaje byly Dodavateli předány pro účel poskytnutí služeb dle smlouvy, zákazníků Objednatele a uživatelů aplikací Objednatele.

7. Práva a povinnosti smluvních stran

Pokud třetí osoba, zejména subjekt údajů nebo dozorový úřad, požádá Objednatele nebo Dodavatele o jakékoli informace v souvislosti se zpracováním Osobních údajů či v této souvislosti podá žádost nebo uplatní jakékoli právo, zavazuje se strana, u níž k uplatnění došlo, o tomto postupu bez zbytečného odkladu informovat druhou stranu.

Objednatel odpovídá za splnění všech svých povinností v souvislosti se zpracováním Osobních údajů, zejména povinností informovat subjekty údajů o zpracování Osobních údajů, získat v případě potřeby souhlas se zpracováním Osobních údajů či reagovat na žádosti subjektů údajů týkající se výkonu jejich práv.

Pro účely ochrany Osobních údajů se Dodavatel zavazuje, že po dobu trvání zpracování Osobních údajů:

• Osobní údaje bude zpracovávat pouze v souladu se smlouvou nebo na základě jiných doložených pokynů Objednatele,
• zajistí, aby byly splněny veškeré bezpečnostní požadavky týkající se ochrany Osobních údajů vyžadované smlouvou s cílem ochránit je před porušením zabezpečení,
• v rozsahu přiměřeném povaze zpracování a dostupným informacím bude Dodavatel Objednateli poskytovat podporu při zajišťování vhodných technických a organizačních opatření pro zabezpečení Osobních údajů, oznamování případů porušení zabezpečení Osobních údajů jakémukoli dozorovému úřadu nebo subjektu údajů, posouzení dopadu na ochranu Osobních údajů a při předchozích konzultacích s dozorovým úřadem,
• bude Objednateli poskytovat veškeré informace nezbytné pro splnění povinnosti Objednatele reagovat na žádosti subjektů údajů o výkon jejich práv podle právních předpisů o ochraně osobních údajů,
• dozví-li se o porušení nebo hrozícím porušení zabezpečení Osobních údajů, náhodném nebo protiprávním zničení, ztrátě, změně nebo neoprávněném poskytnutí či zpřístupnění zpracovávaných Osobních údajů, neprodleně, nejpozději však do 48 (čtyřiceti osmi) hodin od doby, kdy se o porušení zabezpečení dozvěděl, informuje Objednatele,
• poskytne Objednateli veškeré informace potřebné k doložení toho, že dodržuje povinnosti uvedené v těchto podmínkách, a umožní audity, včetně kontrol, prováděné Objednatelem nebo jiným auditorem, kterého objednatel pověří. Pravidla auditů jsou uvedena v čl. 9 těchto podmínek.

Objednatel souhlasí se zapojením dalších zpracovatelů a pokud dojde k zapojení dalšího zpracovatele, budou tomuto dalšímu zpracovateli uloženy na základě smlouvy nebo právního aktu práva Evropské unie nebo členského státu stejné nebo přísnější povinnosti na ochranu Osobních údajů, jaké jsou uvedeny v těchto podmínkách.

8. Opatření pro bezpečnost Osobních údajů

Dodavatel přijal a zavazuje se udržovat tato opatření pro zajištění zabezpečení zpracování Osobních údajů po celou dobu zpracování.

Organizační opatření:

• pracovníci Dodavatele jsou seznámeni s pravidly bezpečné práce na pracovních zařízeních včetně principů ochrany Osobních údajů a všichni pracovníci jsou zavázání k mlčenlivosti minimálně v rozsahu předaných Osobních údajů.

Technická opatření:

• přístup k Osobním údajům je chráněn heslem, pracovní stanice, ze kterých dochází k přístupu k Osobním údajům jsou pravidelně udržovány a zabezpečeny;
• pracovníci Dodavatele využívají při přístupů do systémů, kde jsou zpracovávány Osobní údaje autentizační prvek.

Dodavatel zabezpečí zpracování před kybernetickými útoky nejvhodnějším způsobem s přihlédnutím k povaze Osobních údajů a stavu techniky.

9. Pravidla auditů

Jakoukoliv žádost o audit je Objednatel povinen zaslat výhradně na emailovou adresu Dodavatele uvedenou v prvním odstavci VOP. Po obdržení žádosti o audit se Objednatel a Dodavatel dopředu dohodnou na možném termínu provedení auditu, bezpečnostních opatřeních a způsobu zajištění dodržení závazků mlčenlivosti během auditu a předpokládaném začátku, rozsahu a době trvání auditu.

V případě, že ve lhůtě 30 dní od doručení žádosti nedojde k dohodě dle předchozího článku, oznámí Dodavatel jednostranně určené datum provedení auditu, a to alespoň 2 měsíce před jeho započetím.

Dodavatel může po Objednateli požadovat uhrazení poplatku (založeného na opodstatněných nákladech, kdy pro výpočet nákladů se použije hodinová sazba 2000 Kč za hodinu bez DPH) za jakýkoliv audit. Veškeré náklady auditorů jmenovaných Objednatelem k provedení auditu nese Objednatel.

Dodavatel může vznést písemné námitky proti jakémukoliv auditorovi, který byl pověřen Objednatelem, a to z jakéhokoli důvodu, na e-mailovou adresu objednatele uvedenou ve smlouvě či používanou pro komunikaci s Dodavatelem. Na základě vznesené námitky má Objednatel povinnost pověřit jiného auditora, nebo provést audit sám.