Smlouva o zpracování osobních údajů (DPA)

Preambule

Tato smlouva o zpracování osobních údajů (dále jen „DPA“) tvoří nedílnou součást smluvního vztahu mezi:

Správcem: Zákazníkem služby StageCore (právnická nebo podnikající fyzická osoba uvedená ve smlouvě / objednávce),

a

uzavřenou v souladu s čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

Není-li v individuální smlouvě sjednáno jinak, považuje se akceptace VOP / smlouvy o poskytování StageCore zároveň za akceptaci této DPA ve znění účinném ke dni uzavření, resp. ve znění později oznámeném dle pravidel změn.

1. Předmět a doba zpracování

1.1 Zpracovatel zpracovává osobní údaje jménem Správce výhradně za účelem poskytování, provozu, údržby, podpory a rozvoje služby StageCore a plnění souvisejících smluvních povinností.

1.2 Zpracování trvá po dobu poskytování Služby a dále po dobu nutnou k ukončení (export / výmaz) dle této DPA, případně po dobu zákonné povinnosti uchování.

2. Povaha a účel zpracování

3. Pokyny Správce

3.1 Zpracovatel zpracovává osobní údaje pouze na doložené pokyny Správce — zejména smlouvu, konfiguraci Instance, požadavky podpory a písemné instrukce.

3.2 Zpracovatel neprodleně informuje Správce, pokud se pokyn podle jeho názoru příčí GDPR nebo jiným předpisům EU/ČR (čl. 28 odst. 3 GDPR).

3.3 Zpracovatel nezpracovává údaje pro vlastní účely (marketing Zpracovatele apod.), ledaže je ve vztahu k daným údajům sám správcem (např. smluvní evidence Zákazníka jako obchodního partnera).

4. Povinnosti Zpracovatele

Zpracovatel se zavazuje:

1. zajistit, aby osoby oprávněné zpracovávat osobní údaje byly vázány mlčenlivostí;
2. přijmout technická a organizační opatření dle čl. 32 GDPR přiměřená riziku (řízení přístupů, šifrování přenosu, oddělení prostředí, zálohování dle smlouvy, monitoring, školení);
3. dodržovat podmínky pro zapojení dalších zpracovatelů (čl. 5 DPA);
4. být Správci nápomocen při plnění povinností reagovat na žádosti subjektů údajů (čl. 12–22 GDPR) v rozsahu technických možností Služby;
5. být nápomocen při zabezpečení, ohlašování incidentů, DPIA a konzultacích s dozorovým úřadem, kde je to relevantní a přiměřené;
6. po ukončení Služby dle pokynu Správce vymazat nebo vrátit osobní údaje a smazat existující kopie, ledaže právo EU/ČR ukládá uchování;
7. poskytnout Správci informace nezbytné k doložení plnění čl. 28 GDPR a umožnit audity dle čl. 7 DPA.

5. Další zpracovatelé (subdodavatelé)

5.1 Správce uděluje obecný souhlas se zapojením dalších zpracovatelů Zpracovatelem pro účely hostingu, e-mailových/SMS bran, monitoringu infrastruktury a obdobných nezbytných služeb.

5.2 Zpracovatel vede aktuální přehled kategorií subdodavatelů. Orientační kategorie:

5.3 Zpracovatel informuje Správce o zamýšlených změnách subdodavatelů tak, aby Správce mohl vznést námitky. S subdodavatelem uzavře smlouvu ukládající stejné povinnosti ochrany údajů.

5.4 Integrace, které si Správce sám aktivuje a konfiguruje v Instance (např. iDoklad, Fio banka, Google Maps API, vlastní SMTP), jsou ve vztahu Správce–třetí strana; Zpracovatel za právní vztah Správce k těmto stranám neodpovídá, poskytuje pouze technické napojení dle dokumentace.

6. Předání mimo EU/EHP

6.1 Zpracovatel předává osobní údaje mimo EU/EHP jen s vhodným mechanismem dle kapitoly V GDPR (např. rozhodnutí o přiměřenosti, SCC), nebo na základě výslovného pokynu Správce.

6.2 Preferováno je uložení produkčních dat Instance v EU/EHP, není-li dohodnuto jinak.

7. Audity

7.1 Správce má právo na informace a audit plnění této DPA. Audit se provádí po předchozím oznámení (zpravidla alespoň 15 pracovních dnů), v pracovní době, bez nepřiměřeného narušení provozu, maximálně 1× za 12 měsíců (kromě incidentu nebo důvodného podezření na porušení).

7.2 Namísto on-site auditu může Zpracovatel poskytnout aktuální bezpečnostní shrnutí, odpovědi na dotazník nebo potvrzení o opatřeních, pokud to přiměřeně naplní účel auditu.

7.3 Náklady auditu nese Správce, ledaže audit prokáže podstatné porušení povinností Zpracovatele.

8. Bezpečnostní incidenty

8.1 Zpracovatel po zjištění porušení zabezpečení osobních údajů (personal data breach) oznámí Správci bez zbytečného odkladu informace potřebné k posouzení a případnému ohlášení dozorovému úřadu / subjektům údajů (povaha incidentu, kategorie a přibližný počet subjektů, pravděpodobné důsledky, přijatá opatření).

8.2 Zpracovatel neohlašuje incident dozorovému úřadu jménem Správce, ledaže se strany dohodnou jinak; ohlašovací povinnost správce zůstává na Správci.

9. Pomoc se žádostmi subjektů údajů

9.1 Pokud se subjekt údajů obrátí na Zpracovatele, Zpracovatel jej bez zbytečného odkladu odkáže na Správce, je-li zřejmé, že jde o údaje Instance Správce, a informuje Správce.

9.2 Zpracovatel poskytne součinnost (export, omezení přístupu, technická podpora výmazu), pokud o to Správce požádá a je to technicky proveditelné.

10. Povinnosti Správce

Správce zejména:

1. zajistí právní základ pro zpracování a informování subjektů údajů;
2. nevkládá do Služby údaje nad rámec nezbytnosti (minimalizace);
3. spravuje oprávnění Uživatelů a bezpečné přístupy;
4. bez zbytečného odkladu vydává srozumitelné pokyny k výmazu / exportu při ukončení;
5. odpovídá za obsah, který do Instance vloží, včetně zvláštních kategorií údajů.

11. Mlčenlivost

Zpracovatel a jeho pracovníci zachovají mlčenlivost o osobních údajích a důvěrných informacích Správce, i po ukončení zpracování, s výjimkami dle zákona.

12. Odpovědnost

Odpovědnost stran za porušení povinností při zpracování osobních údajů se řídí GDPR, zákonem č. 110/2019 Sb. a smlouvou o poskytování Služby včetně omezení odpovědnosti ve VOP, pokud to právo připouští.

13. Trvání, změny a ukončení

13.1 DPA trvá po dobu zpracování. Ukončením Služby nezanikají ustanovení, která mají z povahy přetrvat (mlčenlivost, výmaz, odpovědnost za porušení).

13.2 Změny DPA zveřejní Zpracovatel na https://stagecore.cz/legal/dpa-stagecore.html a oznámí Správci; podstatné změny nabývají účinnosti obdobně jako změny VOP, není-li dohodnuto jinak.

13.3 Po ukončení Zpracovatel v přiměřené lhůtě (není-li sjednáno jinak, do 30 dnů) umožní export a poté provede výmaz, s výjimkou záloh s odloženou rotací (výmaz při nejbližším cyklu) a zákonných archivací.

14. Kontaktní údaje pro ochranu údajů

Příloha A — Technická a organizační opatření (shrnutí)

• řízení přístupů na principu least privilege a autentizace Uživatelů,
• šifrování přenosu (TLS/HTTPS) v produkci,
• oddělení vývojových a produkčních prostředí,
• evidence oprávnění a audit vybraných operací,
• postupy pro zálohování a obnovu (dle smluvního modelu),
• řízení zranitelností a aktualizací,
• smluvní mlčenlivost a omezený okruh osob s přístupem k produkčním datům,
• postup reakce na incidenty.

Konkrétní rozsah hostingu a zálohování se řídí smlouvou o poskytování Služby.

Související dokumenty

• Všeobecné obchodní podmínky
• Zásady ochrany osobních údajů
• Zásady cookies