Smlouva o zpracování osobních údajů

Zákazník je správcem osobních údajů ve Vstupních datech a Výstupech. Poskytovatel, společnost Remvila Labs s.r.o., se sídlem Nové sady 988/2, Staré Brno, 602 00 Brno, IČO 30003334, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, oddíl C, vložka 153656, je zpracovává jako zpracovatel jménem Zákazníka.

Údaje o Zákazníkovi a Uživatelích potřebné k vedení Účtu, fakturaci a provozu a to, co Poskytovateli Zákazník nebo Uživatel sám pošle, například hodnocení Výstupu nebo reklamaci, zpracovává Poskytovatel jako správce podle Zásad ochrany osobních údajů. Osobní údaje jiných osob do takových sdělení Zákazník uvádí jen v nezbytném rozsahu.

Poskytovatel osobní údaje ukládá a automatizovaně zpracovává, i umělou inteligencí, aby poskytoval Službu a zajistil její provoz a bezpečnost, po dobu Smlouvy a poté do smazání dat podle čl. 6.

Poskytovatel zpracovává osobní údaje jen na základě doložených pokynů Zákazníka, včetně předání do třetích zemí. Pokyny jsou Smlouva, úkony Zákazníka a Uživatelů ve Službě a operace, které k nim Služba provede. Pokyn, který přesahuje funkce Služby, provede Poskytovatel jen po dohodě.

K poskytování Služby patří i odstraňování chyb ve Službě pro Zákazníka; k tomu smí Poskytovatel používat záznamy o průběhu zpracování po dobu podle Přílohy 2. K vlastním účelům Vstupní data ani Výstupy nepoužívá (čl. 8.1 a 8.2 VOP).

Má-li Poskytovatel za to, že pokyn porušuje předpisy o ochraně osobních údajů, bez zbytečného odkladu na to Zákazníka upozorní. Ukládá-li mu zpracování právo EU nebo členského státu, předem o tom Zákazníka informuje, ledaže mu to právo zakazuje. Výzvu orgánu veřejné moci vyřizuje podle čl. 10.3 VOP.

Zpracovávají se osobní údaje, které Zákazník vloží do Služby nebo které Služba na jeho pokyn získá z veřejných zdrojů, zejména identifikační a kontaktní údaje a údaje z účetních, daňových, mzdových a personálních podkladů, v rozsahu, který určí Zákazník. Subjekty údajů jsou zejména klienti Zákazníka, jejich zaměstnanci a obchodní partneři.

Mzdové a personální podklady mohou obsahovat zvláštní kategorie údajů (čl. 9 GDPR) a údaje o rozsudcích v trestních věcech a trestných činech (čl. 10 GDPR); Poskytovatel tomu přizpůsobuje svá opatření. Zákazník je vkládá, jen má-li k tomu právní základ.

Osoby, které u Poskytovatele pracují s osobními údaji, se zavázaly k mlčenlivosti nebo jsou k ní vázány zákonem, a to i po skončení spolupráce.

Poskytovatel přijímá opatření podle čl. 32 GDPR, zejména šifrování při přenosu i v uložení, oddělení dat jednotlivých Zákazníků, řízení přístupu podle rolí, zálohování, záznamy o přístupu k datům a sledování bezpečnostních událostí, a jejich úroveň nesníží.

Poskytovatel pomáhá Zákazníkovi vyřizovat žádosti subjektů údajů (čl. 12 až 23 GDPR) a plnit povinnosti podle čl. 32 až 36 GDPR, s ohledem na povahu zpracování a dostupné informace, a žádost subjektu údajů, kterou dostane, předá Zákazníkovi bez zbytečného odkladu. Součinnost nad obvyklou míru, kterou nelze poskytnout nástroji Služby, poskytne za přiměřenou úhradu, na kterou předem upozorní, ledaže ji vyvolalo porušení této DPA Poskytovatelem.

O porušení zabezpečení osobních údajů informuje Poskytovatel Zákazníka bez zbytečného odkladu, nejpozději do 72 hodin poté, co se o něm dozví, e-mailem na kontaktní adresu Účtu. Uvede informace podle čl. 33 odst. 3 GDPR, a co nelze uvést hned, doplní postupně. Dozorovému úřadu a subjektům údajů porušení ohlašuje Zákazník jako správce. Oznámení ani součinnost nejsou uznáním odpovědnosti Poskytovatele.

Zákazník uděluje obecné povolení zapojit další zpracovatele uvedené v Příloze 1. Poskytovatel s každým uzavře smlouvu, i v podobě jeho standardních podmínek, se stejnými povinnostmi na ochranu osobních údajů, jaké ukládá tato DPA, a za jejich plnění odpovídá podle čl. 28 odst. 4 GDPR.

Zapojení nebo nahrazení dodavatele, rozšíření výjimky ve sloupci „Mimo EHP a Švýcarsko“ v Příloze 1 a zpřístupnění Vstupních dat či Výstupů dodavateli, jehož funkce v Příloze 1 to dosud nezahrnuje, oznámí Poskytovatel alespoň 30 dní předem e-mailem. Změnu u dalších zpracovatelů dodavatele, kterou dodavatel ohlásí s kratší lhůtou, oznámí bez zbytečného odkladu; lhůta k výpovědi podle čl. 5.3 pak běží od doručení oznámení.

Proti změně podle čl. 5.2 může Zákazník vznést námitku:

Nevyhoví-li Poskytovatel námitce, může Zákazník Smlouvu vypovědět do 30 dní od účinnosti změny, případně od doručení pozdějšího oznámení. Výpověď je účinná doručením, nejdříve však dnem před účinností změny. Zákazníkovi náleží Poměrné vrácení podle čl. 7.4 VOP.

Vyžaduje-li to bezpečnost nebo ukončení služby dodavatele, smí Poskytovatel zpracování ihned přesunout k jinému dodavateli z Přílohy 1 v rozsahu, který u něj uvádí, a bez zbytečného odkladu o tom informuje.

Bez oznámení se do Přílohy 1 promítne odebrání dodavatele, změna funkce nebo modelu u stávajícího dodavatele, nevede-li ke změně podle čl. 5.2, a přesun mezi jeho datovými centry v EHP. Úprava Přílohy 1 podle tohoto článku není změnou DPA.

Příjemce, kterého určí Zákazník podle čl. 9.2 VOP, není dalším zpracovatelem Poskytovatele.

Místo zpracování stanoví čl. 9.1 VOP a výjimky Příloha 1, včetně záruk podle kapitoly V GDPR, které Poskytovatel při předání do třetí země použije.

Lhůty uchování stanoví Příloha 2 a pravidla jejich změn čl. 8.4 VOP. U kopií, které uchovává Poskytovatel, je závazná horní hranice 12 měsíců; v jejích mezích smí Poskytovatel lhůty jen zkracovat, a to jako provozní změnu podle čl. 15.2 VOP.

Po skončení Smlouvy Poskytovatel osobní údaje smaže ve lhůtách podle Přílohy 2; na žádost je předtím Zákazníkovi vrátí formou exportu. Kopie v zálohách a bezpečnostních záznamech mohou zůstat jen po dobu podle Přílohy 2 a jen k obnově Služby a k zajištění bezpečnosti (čl. 32 GDPR). Jinak data uchová, jen vyžaduje-li to právo EU nebo členského státu.

Zálohy jsou chráněné stejně jako ostatní data. Poskytovatel postupuje tak, aby obnova ze zálohy nevrátila data, která Zákazník smazal; nelze-li to u některých dat zajistit, bez zbytečného odkladu o tom Zákazníka informuje.

Poskytovatel poskytne Zákazníkovi informace potřebné k doložení plnění této DPA a čl. 28 GDPR. Zákazník smí jednou ročně na své náklady provést audit dotazníkem nebo prověřením dokumentace; u dodavatelů slouží jejich auditní zprávy a certifikace.

Kontrolu na místě smí Zákazník provést sám nebo auditorem vázaným mlčenlivostí, který není soutěžitelem Poskytovatele, za těchto podmínek:

Kontrola nesmí narušit provoz Služby ani ohrozit důvěrné informace jiných Zákazníků. Přiměřené náklady hradí Zákazník, ledaže kontrola zjistí podstatné porušení této DPA.

Vůči subjektům údajů odpovídají strany podle čl. 82 GDPR, mezi sebou, včetně postihu podle čl. 82 odst. 5 GDPR, podle čl. 14 VOP.

Text DPA se mění postupem podle čl. 15 VOP, přílohy podle čl. 5 a 6 této DPA. Dotazy ke zpracování osobních údajů přijímá Poskytovatel na info@consulaio.cz.

Sloupec „Mimo EHP a Švýcarsko“ uvádí jediné výjimky ze závazku podle čl. 9.1 VOP. Certifikace podle rámce EU–USA (DPF) se týká společnosti ze skupiny dodavatele usazené v USA; pozbude-li platnosti, použijí se standardní smluvní doložky (SCC) ze smlouvy s dodavatelem.

Kontrola zneužití. Google Cloud a Microsoft mohou uchovat v EHP požadavky, které jejich systémy vyhodnotí jako možné zneužití, a nechat je posoudit oprávněnými zaměstnanci. Amazon Web Services může uchovat a nahlásit orgánům zjevný materiál zobrazující sexuální zneužívání dětí.

Veřejné rejstříky. Provozovateli veřejného rejstříku předá Služba jen údaje k vyhledání subjektu, například IČO; další zpracovatel to není.

A. Jak dlouho má Zákazník data k dispozici. Zkrácení těchto lhůt je Podstatná změna.

B. Jak dlouho Poskytovatel nejdéle uchovává kopie. Horní hranice je 12 měsíců; její překročení je Podstatná změna.