Smlouva o zpracování osobních údajů

(2) Zpracování probíhá po dobu trvání Smlouvy a následně po dobu nezbytnou pro splnění zákonných povinností a archivačních lhůt dle čl. III odst. 6 této DPA.

(3) Povaha a účel zpracování spočívá v poskytování cloudové (SaaS) služby Consulaio, zejména v ukládání, indexaci a strojovém zpracování Vstupních dat za účelem generování Výstupů a v zajištění souvisejících provozních a bezpečnostních funkcí.

(2) Subjekty údajů jsou třetí osoby, jejichž osobní údaje Klient do aplikace vloží nebo jejichž údaje si na jeho pokyn aplikace vyžádá, zejména klienti, zaměstnanci a obchodní partneři Klienta a osoby uvedené ve veřejných rejstřících. Registrační, přístupové, provozní a fakturační údaje Klienta a osob, které Klient určí jako uživatele svého Účtu, zpracovává Poskytovatel v roli samostatného správce podle Zásad ochrany osobních údajů, nikoli podle této DPA.

(3) Klient se zavazuje nevkládat do aplikace zvláštní kategorie osobních údajů dle čl. 9 GDPR ani osobní údaje týkající se rozsudků v trestních věcech dle čl. 10 GDPR, ledaže pro jejich zpracování disponuje titulem dle čl. 9 odst. 2 nebo čl. 10 GDPR. Hodlá-li Klient takové údaje vkládat soustavně, oznámí to Poskytovateli předem písemně, aby Poskytovatel mohl odpovídající riziko zohlednit v opatřeních dle čl. III odst. 3. Poskytovatel bere na vědomí, že zvláštní kategorie údajů mohou být v podkladech mzdové a personální agendy obsaženy i bez takového oznámení, a opatření dle čl. III odst. 3 tomuto riziku přizpůsobuje.

(2) Poskytovatel zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

(3) Poskytovatel přijímá s ohledem na stav techniky vhodná technická a organizační opatření dle čl. 32 GDPR, zejména šifrování při přenosu (TLS 1.3) a v klidu (AES-256), řízení přístupu, vícefaktorovou autentizaci administrátorů, oddělení prostředí a pravidelnou kontrolu zabezpečení.

(4) Poskytovatel nepoužívá Vstupní data ani Výstupy k trénování ani dotrénování modelů umělé inteligence a smluvně zajišťuje totéž u svých dílčích zpracovatelů.

(5) Poskytovatel je Klientovi nápomocen prostřednictvím vhodných technických a organizačních opatření při plnění povinností Klienta reagovat na žádosti subjektů údajů (čl. 12 až 23 GDPR) a při plnění povinností podle čl. 32 až 36 GDPR.

(6) Poskytovatel oznámí Klientovi bez zbytečného odkladu jakékoliv porušení zabezpečení osobních údajů. Oznámení obsahuje přiměřený popis incidentu, kategorie a přibližný počet dotčených subjektů a údajů, pravděpodobné důsledky a přijatá nebo navržená opatření; oznámení lze poskytovat postupně, není-li možné poskytnout všechny informace současně. Ohlašovací povinnost vůči dozorovému úřadu a vůči subjektům údajů plní Klient jako správce.

(7) Po ukončení poskytování služeb Poskytovatel podle volby Klienta veškeré osobní údaje vymaže nebo vrátí, a vymaže existující kopie, pokud právo EU nebo právo členského státu neukládá uložení daných osobních údajů; standardně dochází ke smazání 30 dní po ukončení Smlouvy.

(2) Klient odpovídá za přesnost, aktuálnost a zákonnost osobních údajů a za pokyny, které Poskytovateli ke zpracování dává.

(3) Klient je povinen chránit přihlašovací údaje uživatelů svého účtu a neprodleně informovat Poskytovatele o jejich případném zneužití nebo ztrátě.

(2) Aktuální seznam dílčích zpracovatelů včetně země zpracování je dostupný na stránce Dílčí zpracovatelé. Poskytovatel uzavře s každým dílčím zpracovatelem písemnou smlouvu, která stanoví obdobné povinnosti jako tato DPA.

(3) Poskytovatel zveřejní změnu seznamu dílčích zpracovatelů na stránce Dílčí zpracovatelé a oznámí ji Klientovi na kontaktní e-mail nejméně 15 dní před účinkem změny.

(4) Klient je oprávněn vznést do 15 dnů námitku z doložených důvodů souvisejících s ochranou osobních údajů; nedohodnou-li se strany jinak, může Smlouvu vypovědět ke konci běžícího Fakturačního období. Zakládala-li by změna nově předání osobních údajů mimo Evropský hospodářský prostor, vrátí Poskytovatel Klientovi poměrnou část předem uhrazeného Předplatného.

(5) Vyžaduje-li bezpečnostní nebo provozní důvod okamžitou výměnu dílčího zpracovatele, je Poskytovatel oprávněn změnu provést i bez předchozí lhůty. O změně a jejích důvodech informuje Klienta bez zbytečného odkladu; lhůta pro námitku podle odst. 4 a právo Smlouvu vypovědět s vrácením poměrné části předem uhrazeného Předplatného Klientovi zůstávají zachovány a běží od doručení tohoto oznámení.

(6) Připojí-li Klient k aplikaci externí nástroj nebo server, který si sám zvolí, předává aplikace tomuto nástroji údaje v rozsahu nezbytném pro provedení vyžádané operace. Volbou takového nástroje určuje příjemce údajů Klient jako správce; Poskytovatel jej neposkytuje jako svého dílčího zpracovatele, neuzavírá s ním smlouvu podle čl. 28 GDPR a neodpovídá za zpracování, které u něj probíhá. Připojení takového nástroje není změnou dílčího zpracovatele podle odstavců 3 až 5. Totéž platí, zpřístupní-li Klient obsah svého Účtu externímu nástroji prostřednictvím přístupového oprávnění vydaného v Účtu. Přehled připojených nástrojů a vydaných oprávnění je Klientovi dostupný v Účtu a Klient je oprávněn je kdykoli zrušit.

(2) U dílčích zpracovatelů, kteří provozují globální infrastrukturu, může u údajů podle odst. 1 věty druhé dojít k předání osobních údajů do třetí země. Takové předání Poskytovatel uskuteční pouze za podmínek čl. 44 až 49 GDPR, zejména na základě rozhodnutí Evropské komise o odpovídající úrovni ochrany, včetně Rámce ochrany soukromí mezi EU a USA, nebo na základě standardních smluvních klauzulí. Vstupních dat a Výstupů se takové předání netýká.

(3) Země zpracování a právní titul případného předání jsou u každého dílčího zpracovatele uvedeny na stránce Dílčí zpracovatelé. Kopii standardních smluvních klauzulí poskytne Poskytovatel Klientovi na žádost.

(2) Klient je oprávněn na vlastní náklady provést jednou ročně audit zpracování, který se primárně realizuje formou dotazníku nebo poskytnutím relevantní bezpečnostní dokumentace (např. zprávy nezávislých auditorů, certifikací typu ISO 27001 nebo SOC 2). Fyzický audit na místě je možný pouze po předchozí písemné dohodě obou stran a s ohledem na ochranu důvěrných informací třetích osob.

(2) Tato DPA je nedílnou součástí Smlouvy a v rozsahu, v jakém by docházelo k rozporu mezi touto DPA a Obchodními podmínkami ve věcech zpracování osobních údajů jménem Klienta, má přednost tato DPA.

(3) DPA nabývá účinnosti okamžikem uzavření Smlouvy a zaniká současně se zánikem Smlouvy; tím nejsou dotčena ujednání, která mají z povahy věci trvat i po jejím skončení.

(4) Strany jsou oprávněny tuto Smlouvu o zpracování aktualizovat v souladu s vývojem právních předpisů; o věcných změnách Poskytovatel informuje Klienta minimálně 30 dní před účinkem změny.

(5) Pro dotazy ke zpracování osobních údajů kontaktujte Poskytovatele na adrese info@consulaio.cz.