Smlouva o zpracování osobních údajů

(2) Zpracování probíhá po dobu trvání Smlouvy a následně po dobu nezbytnou pro splnění zákonných povinností a archivačních lhůt; po jejím uplynutí se údaje vymažou podle čl. III odst. 7.

(3) Povaha a účel zpracování spočívá v poskytování cloudové (SaaS) služby Consulaio, zejména v ukládání, indexaci a strojovém zpracování Vstupních dat za účelem generování Výstupů a v zajištění souvisejících provozních a bezpečnostních funkcí.

(2) Subjekty údajů jsou třetí osoby, jejichž osobní údaje Klient do aplikace vloží nebo jejichž údaje si na jeho pokyn aplikace vyžádá, zejména klienti, zaměstnanci a obchodní partneři Klienta a osoby uvedené ve veřejných rejstřících. Registrační, přístupové, provozní a fakturační údaje Klienta a osob, které Klient určí jako uživatele svého Účtu, zpracovává Poskytovatel v roli samostatného správce podle Zásad ochrany osobních údajů, nikoli podle této DPA.

(3) Klient se zavazuje nevkládat do aplikace zvláštní kategorie osobních údajů dle čl. 9 GDPR ani osobní údaje týkající se rozsudků v trestních věcech dle čl. 10 GDPR, ledaže pro jejich zpracování disponuje titulem dle čl. 9 odst. 2 nebo čl. 10 GDPR. Hodlá-li Klient takové údaje vkládat soustavně, oznámí to Poskytovateli předem písemně, aby Poskytovatel mohl odpovídající riziko zohlednit v opatřeních dle čl. III odst. 3. Poskytovatel bere na vědomí, že zvláštní kategorie údajů mohou být v podkladech mzdové a personální agendy obsaženy i bez takového oznámení, a přihlíží k tomu při stanovení opatření podle čl. III odst. 3.

(2) Poskytovatel zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

(3) Poskytovatel přijímá s ohledem na stav techniky, náklady na provedení a povahu zpracování vhodná technická a organizační opatření podle čl. 32 GDPR, zejména šifrování údajů při přenosu i v uložení odpovídající aktuálnímu stavu techniky, řízení a omezení přístupu, vícefaktorové ověření administrátorských přístupů a oddělení provozních prostředí. Přehled aktuálně používaných opatření poskytne Poskytovatel Klientovi na žádost.

(4) Poskytovatel nepoužívá Vstupní data ani Výstupy k trénování ani dotrénování modelů umělé inteligence a zapojuje pouze takové dílčí zpracovatele, u nichž je toto použití vyloučeno.

(5) Poskytovatel je Klientovi s ohledem na povahu zpracování a informace, které má k dispozici, nápomocen vhodnými technickými a organizačními opatřeními při plnění povinností Klienta reagovat na žádosti subjektů údajů (čl. 12 až 23 GDPR) a při plnění povinností podle čl. 32 až 36 GDPR.

(6) Poskytovatel oznámí Klientovi bez zbytečného odkladu jakékoliv porušení zabezpečení osobních údajů. Oznámení obsahuje přiměřený popis incidentu, kategorie a přibližný počet dotčených subjektů a údajů, pravděpodobné důsledky a přijatá nebo navržená opatření; oznámení lze poskytovat postupně, není-li možné poskytnout všechny informace současně. Ohlašovací povinnost vůči dozorovému úřadu a vůči subjektům údajů plní Klient jako správce.

(7) Po ukončení poskytování služeb Poskytovatel podle volby Klienta veškeré osobní údaje vymaže nebo vrátí, a vymaže existující kopie, pokud právo EU nebo právo členského státu neukládá uložení daných osobních údajů; standardně dochází ke smazání 30 dní po ukončení Smlouvy.

(2) Klient odpovídá za přesnost, aktuálnost a zákonnost osobních údajů a za pokyny, které Poskytovateli ke zpracování dává.

(3) Klient je povinen chránit přihlašovací údaje uživatelů svého účtu a neprodleně informovat Poskytovatele o jejich případném zneužití nebo ztrátě.

(2) Aktuální seznam dílčích zpracovatelů včetně země zpracování je dostupný na stránce Dílčí zpracovatelé. Poskytovatel uzavře s každým dílčím zpracovatelem písemnou smlouvu, která stanoví obdobné povinnosti jako tato DPA.

(3) O zapojení nového dílčího zpracovatele nebo o nahrazení stávajícího informuje Poskytovatel Klienta předem, a to na kontaktní e-mail Klienta nebo oznámením zobrazeným Klientovi v rozhraní aplikace, a současně aktualizuje stránku Dílčí zpracovatelé; v oznámení uvede den, od kterého se změna uplatní. Vyžaduje-li bezpečnostní nebo provozní důvod okamžitou výměnu dílčího zpracovatele, informuje Poskytovatel Klienta o změně a o jejích důvodech bez zbytečného odkladu poté, co ji provede.

(4) Klient je oprávněn vznést proti změně námitku z doložených důvodů souvisejících s ochranou osobních údajů, a to do 30 dnů od oznámení podle odstavce 3; tím, že se změna mezitím uplatnila, toto právo nezaniká. Nedohodnou-li se strany jinak, může Klient Smlouvu vypovědět ke konci běžícího Fakturačního období. Vypoví-li Klient Smlouvu z tohoto důvodu, vrátí mu Poskytovatel poměrnou část předem uhrazeného Předplatného připadající na nevyčerpané období.

(5) Změnou podle odstavců 3 a 4 není změna služeb, které pro Poskytovatele zajišťuje dílčí zpracovatel již uvedený na seznamu, ani přesun zpracování mezi jeho datovými centry v Evropském hospodářském prostoru; účel zpracování uvedený u dílčího zpracovatele na seznamu vymezuje okruh zpracování, nikoli konkrétní technické řešení. Takovou změnu Poskytovatel promítne do seznamu při jeho nejbližší aktualizaci. Vede-li změna k předání osobních údajů do třetí země nebo ke zpřístupnění Vstupních dat nebo Výstupů subjektu, kterému dosud zpřístupněny nebyly, postupuje se podle odstavců 3 a 4.

(6) Připojí-li Klient k aplikaci externí nástroj nebo server, který si sám zvolí, předává aplikace tomuto nástroji údaje v rozsahu nezbytném pro provedení vyžádané operace. Volbou takového nástroje určuje příjemce údajů Klient jako správce; Poskytovatel jej neposkytuje jako svého dílčího zpracovatele, neuzavírá s ním smlouvu podle čl. 28 GDPR a neodpovídá za zpracování, které u něj probíhá. Připojení takového nástroje není změnou dílčího zpracovatele podle odstavců 3 až 5. Totéž platí, zpřístupní-li Klient obsah svého Účtu externímu nástroji prostřednictvím přístupového oprávnění vydaného v Účtu. Přehled připojených nástrojů a vydaných oprávnění je Klientovi dostupný v Účtu a Klient je oprávněn je kdykoli zrušit.

(2) U dílčích zpracovatelů, kteří provozují globální infrastrukturu, může u údajů podle odst. 1 věty druhé dojít k předání osobních údajů do třetí země. Takové předání Poskytovatel uskuteční pouze za podmínek čl. 44 až 49 GDPR, zejména na základě rozhodnutí Evropské komise o odpovídající úrovni ochrany, včetně Rámce ochrany soukromí mezi EU a USA, nebo na základě standardních smluvních klauzulí. Vstupních dat a Výstupů se takové předání netýká.

(3) Země zpracování a právní titul případného předání jsou u každého dílčího zpracovatele uvedeny na stránce Dílčí zpracovatelé. Informaci o zárukách použitých u konkrétního předání poskytne Poskytovatel Klientovi na žádost.

(2) Klient je oprávněn na vlastní náklady provést jednou ročně audit zpracování, který se primárně realizuje formou dotazníku nebo poskytnutím bezpečnostní dokumentace, kterou má Poskytovatel k dispozici. Fyzický audit na místě je možný pouze po předchozí písemné dohodě obou stran a s ohledem na ochranu důvěrných informací třetích osob.

(2) Tato DPA je nedílnou součástí Smlouvy a v rozsahu, v jakém by docházelo k rozporu mezi touto DPA a Obchodními podmínkami ve věcech zpracování osobních údajů jménem Klienta, má přednost tato DPA.

(3) DPA nabývá účinnosti okamžikem uzavření Smlouvy a zaniká současně se zánikem Smlouvy; tím nejsou dotčena ujednání, která mají z povahy věci trvat i po jejím skončení.

(4) Poskytovatel je oprávněn tuto DPA aktualizovat v souladu s vývojem právních předpisů a poskytované služby; o věcné změně informuje Klienta předem způsobem podle Obchodních podmínek.

(5) Pro dotazy ke zpracování osobních údajů kontaktujte Poskytovatele na adrese info@consulaio.cz.