Smlouva o zpracování osobních údajů

1. Strany a použití smlouvy

Zpracovatelem je Štěpán Frais, IČO 21459495, se sídlem Dr. Martínka 1489/1, 700 30 Ostrava, kontakt [email protected] (dále jen „zpracovatel“). Správcem je zákazník určený v objednávce nebo hlavní smlouvě (dále jen „správce“).

Tato smlouva je přílohou obchodních podmínek a uzavírá se spolu s hlavní smlouvou, pokud zpracovatel při poskytování CRM od Owlio zpracovává osobní údaje za správce. V otázkách zpracování osobních údajů má tato smlouva přednost před obecnými podmínkami.

2. Předmět, účel a doba zpracování

Předmětem je zpracování údajů vložených správcem nebo jeho uživateli do CRM od Owlio. Účelem je provoz služby, zpřístupnění dat oprávněným uživatelům, zabezpečení, zálohování, údržba, podpora, migrace a plnění dalších doložených pokynů správce.

Zpracování trvá po dobu hlavní smlouvy a následně jen po dobu nutnou k vrácení nebo výmazu dat, vyřízení bezpečnostní události či splnění právní povinnosti.

3. Povaha zpracování

Zpracování může zahrnovat získání dat od správce, zaznamenání, uspořádání, uložení, změnu, vyhledání, nahlížení, použití, zpřístupnění oprávněným osobám, propojení, omezení, export, zálohování, obnovu a výmaz. Rozsah se řídí zapnutými funkcemi, nastavením služby a pokyny správce.

4. Údaje a subjekty údajů

Zpracování se může týkat zejména:

• subjektů údajů: zákazníků a potenciálních zákazníků správce, jeho pracovníků, dodavatelů, obchodních partnerů, kontaktních osob a dalších osob evidovaných správcem;
• typů údajů: identifikačních, kontaktních, pracovních, komunikačních, smluvních, obchodních, fakturačních, finančních, provozních a dalších údajů v polích, dokumentech a komunikaci uložených správcem.

Zvláštní kategorie údajů nebo údaje o trestních věcech smí správce vložit pouze tehdy, má-li pro to právní důvod a předem ověřil, že sjednaná služba poskytuje odpovídající ochranu.

5. Pokyny a povinnosti správce

Za doložené pokyny se považují hlavní smlouva, nastavení a běžné používání služby oprávněnými uživateli, požadavky zadané prostřednictvím služby a písemné požadavky na podporu. Správce odpovídá za zákonnost pokynů, právní důvod zpracování, informační povinnost vůči subjektům a správu uživatelských oprávnění.

Má-li zpracovatel důvodně za to, že pokyn porušuje předpisy o ochraně údajů, bez zbytečného odkladu na to správce upozorní a může provedení pokynu pozastavit do jeho vyjasnění.

6. Povinnosti zpracovatele

Zpracovatel se zavazuje:

• zpracovávat údaje pouze podle doložených pokynů správce, včetně pokynů k předání mimo Evropský hospodářský prostor, ledaže zpracování ukládá právo; o takové povinnosti správce předem informuje, pokud to zákon nezakazuje;
• zajistit mlčenlivost osob oprávněných zpracovávat údaje;
• udržovat přiměřená organizační a bezpečnostní opatření s ohledem na povahu dat a rizika;
• pomáhat správci s vyřizováním práv subjektů údajů a s plněním povinností podle článků 32 až 36 GDPR, zejména při bezpečnostních událostech, posouzení vlivu a konzultaci s dozorovým úřadem;
• zpřístupnit správci informace nutné k doložení souladu s touto smlouvou a umožnit přiměřený audit;
• po skončení služby údaje podle volby správce vrátit nebo vymazat, nebrání-li tomu právní povinnost.

7. Bezpečnostní opatření

Zpracovatel podle rizika používá zejména řízení přístupu a uživatelských rolí, ochranu přenosu dat, evidenci přihlášení a bezpečnostních událostí, zálohování a obnovu, řízení aktualizací a zranitelností, oddělení zákaznických přístupů, mlčenlivost oprávněných osob a pravidelné prověřování účinnosti opatření.

8. Bezpečnostní události

Zpracovatel oznámí správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví. Podle dostupných informací popíše povahu události, dotčené údaje a osoby, pravděpodobné následky, přijatá nebo navržená opatření a kontaktní místo. Informace může doplňovat postupně.

9. Další zpracovatelé a předávání dat

Správce uděluje obecné písemné oprávnění zapojit další zpracovatele pro provoz služby, ukládání a zálohování dat, zabezpečení, dohled, podporu a doručování zpráv. Aktuální jmenný seznam poskytne zpracovatel přímo správci na vyžádání před přijetím této smlouvy i kdykoliv později.

O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje zpracovatel správce předem. Správce může z prokazatelných důvodů ochrany údajů vznést námitku. Zpracovatel uloží dalšímu zpracovateli stejné povinnosti a odpovídá za jejich plnění. Předání mimo Evropský hospodářský prostor proběhne pouze při splnění podmínek GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo vhodných smluvních záruk.

10. Vrácení, výmaz a audit

Správce může po dobu služby využít dostupný export a po skončení smlouvy požádat o vrácení nebo výmaz dat. Nevydá-li správce do 30 dnů jiný pokyn, zpracovatel data vymaže. Záložní kopie budou vyřazeny v rámci běžného cyklu obnovy a do té doby nebudou použity k jinému účelu. To neplatí pro údaje, které musí zpracovatel uchovat podle práva; u nich omezí zpracování na tento účel.

Audit proběhne po přiměřeném předchozím oznámení, za mlčenlivosti a způsobem, který neohrozí bezpečnost ani údaje jiných zákazníků. Zpracovatel může nejprve nabídnout zprávu nezávislého auditu nebo jiné dostatečné doklady.

11. Vlastní zpracování a závěrečná ustanovení

Údaje o zákaznickém účtu, objednávkách, fakturaci a vzájemné komunikaci zpracovává zpracovatel jako samostatný správce podle zásad zpracování osobních údajů.

Odpovědnost, rozhodné právo a řešení sporů se řídí hlavní smlouvou. Změna této smlouvy musí být zachycena novou verzí a oznámena správci před svou účinností.