Smlouva o zpracování osobních údajů

Tuto smlouvu Strany uzavírají vždy, když Poskytovatel při plnění zpracovává osobní údaje za Objednatele. Bez ní čl. 28 GDPR porušují obě Strany, ne jen jedna.

1. Předmět zpracování

2. Povinnosti Zpracovatele

• Zpracovávat osobní údaje pouze na základě doložených pokynů Správce, včetně pokynů k předání do třetí země, ledaže mu zpracování ukládá právo Evropské unie nebo členského státu; v takovém případě Správce o tomto požadavku předem informuje, pokud to právo nezakazuje.
• Zajistit, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.
• Přijmout vhodná technická a organizační opatření podle čl. 32 GDPR, uvedená v článku 4 této smlouvy.
• Zapojit dalšího zpracovatele jen za podmínek podle článku 5 této smlouvy.
• Být Správci nápomocen vhodnými technickými a organizačními opatřeními při plnění povinnosti reagovat na žádosti subjektů údajů o výkon jejich práv.
• Být Správci nápomocen při zajišťování souladu s čl. 32 až 36 GDPR, s ohledem na povahu zpracování a informace, které má k dispozici.
• Ohlásit Správci jakékoli porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozvěděl, nejpozději do 24 hodin, a poskytnout mu součinnost při jeho posouzení a ohlášení.
• Poskytnout Správci veškeré informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožnit audit, včetně inspekce, prováděný Správcem nebo jím pověřeným auditorem, po předchozí písemné výzvě alespoň 14 dnů předem a nejvýše jednou ročně, nejde-li o audit vyvolaný porušením zabezpečení.
• Po ukončení poskytování služeb podle pokynu Správce všechny osobní údaje vymazat nebo je Správci vrátit a vymazat existující kopie, ledaže právo Evropské unie nebo členského státu jejich uložení vyžaduje.
• Neprodleně informovat Správce, má-li za to, že pokyn Správce porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.

3. Povinnosti Správce

• Zpracovávat osobní údaje v souladu s GDPR a odpovídat za právní základ zpracování, za informování subjektů údajů a za obsah dat, která do systémů vkládá nebo nechává vkládat.
• Dávat Zpracovateli pokyny v písemné podobě podle čl. 2 Obchodních podmínek. Pokyn udělený jinak Zpracovatel potvrdí písemně.
• Neposkytovat Zpracovateli osobní údaje nad rámec toho, co je pro sjednané služby potřeba.

4. Zabezpečení podle čl. 32 GDPR

• Provoz na virtuálních serverech v datovém centru v Evropské unii; infrastrukturu poskytuje devuni.cz, server spravuje Zpracovatel prostřednictvím nástroje Coolify.
• Šifrovaný přenos dat (HTTPS/TLS) a šifrovaný přístup ke správě serveru (SSH klíč, bez přihlášení heslem).
• Přístup k produkčním datům pouze pro Zpracovatele a pro osoby podle článku 5, a to v rozsahu nezbytném pro výkon práce.
• Vícefaktorové přihlášení u účtů, které to umožňují, a správa přístupových údajů v zabezpečeném úložišti.
• Pravidelné zálohování v rozsahu sjednaném ve Smlouvě o správě a servisu a ověřování obnovitelnosti záloh.
• Pravidelné aktualizace operačního systému, běhového prostředí a použitých knihoven.
• Oddělení testovacího a produkčního prostředí; do testovacího prostředí se produkční osobní údaje nepřenášejí, ledaže jsou anonymizovány.
• Do nástrojů umělé inteligence se osobní údaje subjektů údajů nevkládají, v souladu s čl. 9.3 Obchodních podmínek.

5. Další zpracovatelé

• Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Zpracovatel Správce písemně informuje o zamýšlené změně nejméně 14 dnů předem a Správce má právo vůči změně vznést námitku.
• Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti, jaké má sám podle této smlouvy, a odpovídá Správci za plnění jejich povinností.
• Ke dni uzavření této smlouvy jsou zapojeni tito další zpracovatelé: [poskytovatel serverové infrastruktury devuni.cz; poskytovatel e‑mailové služby ...; další: ...].

6. Závěrečná ustanovení

• Tato smlouva nabývá účinnosti dnem podpisu a trvá po dobu trvání Smlouvy, ke které se vztahuje.
• V otázkách zde neupravených se použijí Obchodní podmínky Poskytovatele a právo České republiky.
• Odměna za plnění podle této smlouvy je zahrnuta v ceně sjednané ve Smlouvě, ke které se vztahuje. Součinnost nad rámec této smlouvy se účtuje hodinovou sazbou 800 Kč.