PŘÍLOHA 2: ZPRACOVATELSKÉ PODMÍNKY
1. ÚVODNÍ USTANOVENÍ
1.1. Úvod. Dodavatel poskytuje Objednateli službu definovanou ve Smlouvě o užívání služby Dayswaps a v čl. 2.8. Obchodních podmínek („Služba“). Dodavatel poskytuje Službu Objednateli na základě smluvního vztahu založeného Smlouvou o užívání služby Dayswaps („Smlouva“) a Obchodních podmínek vč. jejich příloh („Podmínky“). Celé tyto zpracovatelské podmínky jsou součástí Smlouvy.
1.2. Struktura dokumentu. Tento dokument je rozdělen na dvě části. V části A informuje Dodavatel Objednatele o tom, jak zpracovává osobní údaje Objednatele a jeho zaměstnanců či dalších pracovníků jako správce osobních údajů. V části B se nachází podmínky zpracování osobních údajů pro případy, kdy Dodavatel vystupuje v pozici zpracovatele osobních údajů. Jelikož Dodavatel provozuje v rámci poskytování Služby také mobilní aplikaci, informuje Dodavatel o zpracování osobních údajů uživatelů aplikace v samostatném dokumentu zde: https://dayswaps.com/compliance/data-protection-gdpr.
1.3. Soulad s právními předpisy. Zpracování osobních údajů je prováděno v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále také „GDPR“).
1.4. Pojmy. Pojmy uvedené s velkými písmeny mají stejný význam jako pojmy uvedené ve Smlouvě a v Obchodních podmínkách, pokud není dále v dokumentu uvedeno jinak.
ČÁST A – INFORMACE O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
Údaje spojené s objednávkou, jako jsou údaje spojené s užíváním Služby a další informace spojené s plněním objednávky.
Údaje obsažené v komunikaci, tj. informace, které Objednatel nebo pověřený zaměstnanec Objednatele uvede v e-mailové komunikaci, v kontaktním formuláři, v chatu na webových stránkách, případně další informace, které při vzájemné komunikaci sdělí Dodavateli.
Cookies a další technické údaje, kterými jsou údaje získané z technických souborů a podobných nástrojů a technologií, pokud Objednatel nebo pověřený zaměstnanec Objednatele navštíví webové stránky.
2. ÚČELY ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
2.1. Účely zpracování. Dodavatel zpracovává osobní údaje uvedené v předchozím článku jako správce osobních údajů pro následující účely:
a) Plnění smluvních povinností. Aby bylo možné vést mezi Dodavatelem a Objednatelem předsmluvní vyjednávání, uzavřít Smlouvu a následně plnit práva a povinnosti vyplývající ze Smlouvy a z Podmínek, poskytovat Objednateli Službu, vzájemně komunikovat, a provádět další činnosti související s plněním Smlouvy a Podmínek, zpracovává Dodavatel Identifikační údaje, Kontaktní údaje, Fakturační údaje, Údaje spojené s objednávkou a Údaje obsažené v komunikaci.
Právním základem pro toto zpracování je plnění Smlouvy mezi Dodavatelem a Objednatelem a nezbytnost učinit kroky před uzavřením Smlouvy. V případě, kdy subjekt údajů (např. zaměstnanec či jiný pracovník Objednatele) není přímo stranou smlouvy, je právním základem pro toto zpracování oprávněný zájem Dodavatele na plnění jakékoli uzavřené smlouvy. Údaje jsou zpracovávány po dobu existence smluvního vztahu vzniklého uzavřením Smlouvy a po dobu nezbytnou pro plnění povinností ze Smlouvy.
- b) Ochrana práv a právních zájmů Dodavatele. V souvislosti s potenciálním jednáním u soudních orgánů a jiných orgánů veřejné moci a v souvislosti s interním vyřízením nároků Dodavatel zpracovává za účelem ochrany vlastních práv a právních zájmů Identifikační údaje, Kontaktní údaje, Fakturační údaje, Údaje spojené s objednávkou a Údaje obsažené v komunikaci.
Právním základem pro toto zpracování je oprávněný zájem Dodavatele na ochraně jeho práv. Údaje jsou zpracovávány maximálně do uplynutí 10 let od ukončení uzavřené smlouvy (popř. v případě zahájení sporu i déle).
c) Plnění právních povinností. Dodavatel může zpracovávat osobní údaje také za tím účelem, aby plnil své právní povinnosti, zejména v oblasti účetní a daňové (např. při přijetí platby od Dodavatele). Za tímto účZPRACOVÁVANÉ OSOBNÍ ÚDAJE
Kategorie zpracovávaných údajů. Dodavatel zpracovává osobní údaje, které Dodavatel získal přímo od Objednatele nebo jeho zaměstnanců a pracovníků. Konkrétně dodavatel zpracovává tyto osobní údaje:
Identifikační údaje, jako jsou název a další identifikační údaje Objednatele, jméno, příjmení a pracovní pozice pověřeného zaměstnance Objednatele.
Kontaktní údaje, jako je telefonní číslo a e-mailová adresa Objednatele a pověřeného zaměstnance Objednatele.
Fakturační údaje, jako je IČO, název a adresa plátce či jiného subjektu, číslo bankovního účtu apod.
d) elem zpracovává Dodavatel Identifikační údaje, Kontaktní údaje, Fakturační údaje, Údaje spojené s objednávkou a Údaje obsažené v komunikaci.
Právním základem pro toto zpracování je plnění právních povinností Dodavatele. Údaje jsou zpracovány po dobu stanovenou právními předpisy, například v oblasti daní až po dobu 10 let.
- e) Zasílání obchodních sdělení. Dodavatel bude osobní údaje zpracovávat také za účelem zasílání obchodních sdělení. Za tímto účelem bude Dodavatel zpracovávat Identifikační údaje a Kontaktní údaje (e-mailová adresa).
Právním základem pro toto zpracování je oprávněný zájem Dodavatele, který spočívá v přímém marketingu, a to v případě, že Objednatel nevysloví nesouhlas se zasíláním obchodních sdělení souvisejících se Službou, s činností Dodavatele a se společností Dodavatele. Právním základem pro zpracování může být také souhlas Objednatele, a to v případě zasílání nabídek, které přímo nesouvisí se Službou, s činností Dodavatele a se společností Dodavatele. Dodavatel bude osobní údaje zpracovávat po dobu, dokud Objednatel zasílání obchodních sdělení neodmítne, což může učinit v každém jednotlivém e-mailu.
- f) Zajištění komunikace. Za účelem zajištění vzájemné komunikace mezi Dodavatelem a Objednatelem Dodavatel zpracovává Identifikační údaje, Kontaktní údaje a Údaje obsažené v komunikaci.
Právním základem je oprávněný zájem Dodavatele. Osobní údaje jsou uloženy po dobu nezbytnou pro vyřízení vzájemné komunikace, případně, pokud dojde k navázání smluvního vztahu, po dobu trvání tohoto smluvního vztahu.
- g) Soubory cookies. Pokud Objednatel nebo jeho zaměstnanec či jiný pracovník navštíví webové stránky, může Dodavatel zpracovávat Cookies a další technické údaje za účelem základního fungování a provozu služeb a ke zlepšení uživatelského komfortu a pro marketingové a analytické účely.
Právním základem pro zpracování nezbytných technických a funkčních souborů cookies je oprávněný zájem Dodavatele na řádném fungování a bezpečném provozu webových stránek. Právní základem pro zpracování analytických a marketingových cookies je souhlas Objednatele nebo jeho zaměstnance či jiný pracovníka. Údaje jsou zpracovávány zpravidla po dobu návštěvy webových stránek, nanejvýše po dobu 2 let od jejich získání.
Více informací týkajících se souborů Cookies je dostupných pod tímto odkazem: https://dayswaps.com/compliance/cookies.
3. SDÍLENÍ OSOBNÍCH ÚDAJŮ A PRÁVA SUBJEKTU ÚDAJŮ
3.1. Příjemci osobních údajů. Dodavatel pro zajištění Služby z pozice správce osobních údajů sdílí některé osobní údaje s příjemci, které jsou třetími stranami. Přehled kategorií příjemců nebo konkrétních příjemců je dostupný v části C samostatného informačního dokumentu, který je dostupný pod tímto odkazem: https://dayswaps.com/compliance/data-protection-gdpr.
3.2. Sdílení údajů do třetích zemí. Pokud Dodavatel sdílí osobní údaje Objednatele se správci a zpracovateli ve třetích zemích (mimo EHP), činí tak jen v případě, kdy je zde rozhodnutí Evropské komise, že určitá země mimo EHP zajišťuje dostatečnou úroveň ochrany údajů, včetně případů, kdy správci či zpracovatelé přijali dodatečná opatření ochrany údajů, například Závazná podniková pravidla (BCR) nebo Standardní smluvní doložky (SCC).
3.3. Práva subjektů údajů. Objednatel a další dotčené subjekty údajů, jejichž osobní údaje Dodavatel zpracovává jako správce, mají vůči Dodavateli práva související se zpracováním osobních údajů, která vyplývají z GDPR. Bližší informace o právech subjektů údajů a možnostech jejich výkonu jsou uvedené v části D samostatného informačního dokumentu, který je dostupný pod tímto odkazem: https://dayswaps.com/compliance/data-protection-gdpr.
ČÁST B – ZPRACOVATELSKÉ PODMÍNKY
4. PŘEDMĚT ZPRACOVATELSKÝCH PODMÍNEK
4.1. Předmět zpracovatelských podmínek. Dodavatel na základě Smlouvy a Podmínek poskytuje Objednateli Služby, v rámci čehož může ze strany Dodavatele docházet ke zpracování osobních údajů. Tyto zpracovatelské podmínky (dále také „Zpracovatelské podmínky“) upravují pravidla zpracování osobních údajů Dodavatelem jakožto zpracovatelem osobních údajů a jsou přílohou Podmínek a součástí Smlouvy.
4.2. Dodavatel jako správce. Objednatel bere na vědomí, že Dodavatel při provozu Služby v rozsahu některých údajů vystupuje vůči subjektům údajů (zejména vůči zaměstnancům a dalším pracovníkům Objednatele) jako správce jejich osobních údajů. Objednatel nese odpovědnost za to, že o této skutečnosti informuje své zaměstnance, pracovníky a další osoby, které prostřednictvím Objednatele využívají Službu.
5. DOBA TRVÁNÍ ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
- 5.1. Doba zpracování. Dodavatel bude osobní údaje zpracovávat po dobu trvání Smlouvy nebo po dobu potřebnou pro plnění povinností vyplývajících ze Smlouvy či z Podmínek nebo po dobu užívání Služby Objednatelem nebo po dobu řešení konkrétních požadavků souvisejících se Službou.
6. POVAHA A ÚČEL ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
6.1. Účel zpracování. Dodavatel bude zpracovávat osobní údaje pouze v souladu s platnými právními předpisy a za účelem:
a) poskytování Služby pro Objednatele;
b) plnění závazků vyplývajících ze Smlouvy a Podmínek;
c) dohledem nad zabezpečením IT infrastruktury pomocí bezpečnostního software;
d) reportingu;
e) řešení Incidentů a dalších činností podle čl. 3 Přílohy č. 1 Podmínek;
f) jak je dále uvedeno v dalších písemných pokynech udělených Objednatelem a
g) pokud to Dodavateli ukládá právo EU či jiného členského státu.
6.2. Povaha zpracování. Dodavatel bude pro účely poskytování Služby Objednateli a plnění povinností podle Smlouvy a Podmínek zpracovávat osobní údaje, a to v elektronické formě, přičemž předmětem zpracování bude nahlížení na osobní údaje, ukládání osobních údajů a jejich zálohování, zajištění přenosu a strukturování osobních údajů, včetně technických dat souvisejících s osobními údaji.
7. DRUHY OSOBNÍCH ÚDAJŮ
7.1. Předmět zpracování. Předmětem zpracování podle těchto Zpracovatelských podmínek budou následující osobní údaje:
a) identifikační údaje;
b) kontaktní údaje;
c) údaje o pracovním poměru vč. údajů o směnách, pracovní pozici, údajů spojených s odměňováním a další údaje související s pracovním poměrem;
d) údaje potřebné pro řešení Incidentů;
e) údaje, které budou zpracovány Dodavatelem v rámci poskytování Služby a plnění Smlouvy a Podmínek, a to v rozsahu poskytnutém Objednatelem.
8. KATEGORIE SUBJEKTŮ ÚDAJŮ
8.1. Kategorie subjektů údajů. Osobní údaje se budou týkat těchto kategorií subjektů údajů:
a) zaměstnanci a další pracovníci Objednatele vč. členů statutárního a kontrolního orgánu;
b) další osoby, jejichž osobní údaje jsou obsaženy v informacích, které jsou přenášeny při poskytování Služby a při plnění Smlouvy a Podmínek.
9. PRÁVA A POVINNOSTI STRAN
9.1. Povinnosti Dodavatele. Dodavatel prohlašuje a zavazuje se, že:
a) dozví-li se o porušení nebo hrozícím porušení zabezpečení osobních údajů, náhodném nebo protiprávním zničení, ztrátě, změně nebo neoprávněném poskytnutí či zpřístupnění zpracovávaných osobních údajů, neprodleně, nejpozději však do 48 hodin, písemně informuje Objednatele a co nejlépe popíše vzniklé či hrozící bezpečnostní riziko, přičemž Objednateli sdělí vhodná opatření pro zabránění nebo minimalizaci porušení zabezpečení Služby a přijme veškerá potřebná opatření pro minimalizaci škody;
b) osobní údaje budou zabezpečeny v souladu s čl.11 těchto Zpracovatelských podmínek;
c) osobní údaje bude zpracovávat pouze v souladu s těmito Zpracovatelskými podmínkami, Smlouvou, Podmínkami, poskytovanou Službou nebo na základě jiných písemných pokynů Objednatele;
d) bude Objednateli nápomocen při zavádění a udržování vhodných technických a organizačních opatření k zabezpečení osobních údajů, při ohlašování porušení zabezpečení osobních údajů dozorovému úřadu nebo subjektu údajů, při posuzování vlivu na ochranu osobních údajů a při předchozích konzultacích s dozorovým úřadem;
e) zajistí Objednateli prostřednictvím vhodných technických a organizačních opatření součinnost, nejpozději do 14 dnů od vznesení požadavku Objednatele, pro splnění Objednatelovy případné povinnosti reagovat na žádosti o výkon práv subjektů údajů;
f) poskytne Objednateli na jeho žádost neprodleně, nejpozději však do 14 dnů, veškerou součinnost nutnou k prokázání, že jsou osobní údaje organizačně a technicky zabezpečeny a poskytne veškerou součinnost v případech, kdy je u Objednatele zahájena kontrola dozorového orgánu.
9.2. Vyřizování žádostí. Pokud Dodavatel při zpracovávání osobních údajů obdrží od subjektu údajů ve vztahu k osobním údajům jakoukoliv žádost, sdělí subjektu údajů, aby se s žádostí obrátil přímo na Objednatele. Objednatel je odpovědný za vyřízení takové žádosti.
9.3. Zapojení zpracovatelů. Objednatel uděluje obecný souhlas se zapojením dalších zpracovatelů do zpracování Osobních údajů Dodavatelem. Dodavatel je povinen před zapojením dalšího zpracovatele písemně informovat Objednatele o tomto zapojení, přičemž Objednatel může proti zapojení dalšího zpracovatele vznést námitky, a to do 14 dnů. Pokud se Objednatel ve lhůtě nevyjádří, zapojí Dodavatel tohoto dalšího zpracovatele. Pokud Objednatel námitku vznese, Dodavatel ji posoudí, a pokud ji shledá oprávněnou, dalšího zpracovatele nezapojí. V takovém případě má také Dodavatel právo ukončit Smlouvu či její dílčí část, na kterou je navázáno zapojení tohoto dílčího zpracovatele. Při zapojení dalšího zpracovatele Dodavatel zajistí, aby dodržoval stejné povinnosti na ochranu osobních údajů, jaké jsou uvedeny v těchto Zpracovatelských podmínkách.
9.4. Nad rámec ustanovení čl. 10.3. těchto Zpracovatelských podmínek Objednatel výslovně souhlasí s tím, že Dodavatel zapojí:
a) pracovníky, kteří pro Dodavatele poskytují služby na základě smluv o spolupráci a obdobných dohod;
b) společnost DigitalOcean, LLC, se sídlem 101 Avenue OF The Americas FL 10 New York, NY, 10013-1905 Spojené státy americké, která Dodavateli zajišťuje server. Tento zpracovatel přijal opatření k zajištění dostatečné ochrany osobních údajů ve smyslu čl. 44 a násl. GDPR.
c) společnost Google LLC, se sídlem 1600 Amphitheatre Pkwy, Mountain View, CA 94043, která Dodavateli poskytuje služby úložiště a služby související se zasíláním notifikací. Tento zpracovatel přijal opatření k zajištění dostatečné ochrany osobních údajů ve smyslu čl. 44 a násl. GDPR.
d) společnost Intercom, Inc., se sídlem 55 2nd Street, Suite 400, San Francisco, CA 94105, jejíž služby Dodavatel využívá ke komunikaci ohledně zákaznické podpory. Tento zpracovatel přijal opatření k zajištění dostatečné ochrany osobních údajů ve smyslu čl. 44 a násl. GDPR.
9.5. Audity. Dodavatel je povinen umožnit Objednateli či jím pověřené osobě kontrolu (včetně auditu či inspekce) dodržování těchto Zpracovatelských podmínek, zejména povinností pro zpracování osobních údajů z nich vyplývajících, a k těmto kontrolám přispěje dle důvodných pokynů Objednatele či kontrolující osoby.
9.6. Pravidla uskutečnění auditů. Jakoukoliv žádost o audit je Objednatel povinen zaslat výhradně na e-mailovou adresu Dodavatele helpdesk@dayswaps.com. Po obdržení žádosti o audit se Dodavatel a Objednatel dopředu dohodnou na: (a) možném termínu provedení auditu, bezpečnostních opatřeních a způsobu zajištění dodržení závazků mlčenlivosti během auditu, a (b) předpokládaném začátku a době trvání auditu. V případě, že k dohodě nedojde ani do 14 dnů ode dne odeslání žádosti, určí podmínky auditu Dodavatel.
9.7. Výběr auditora. Dodavatel může vznést písemné námitky proti jakémukoliv auditorovi, který byl pověřen Objednatelem, pokud není auditor podle názoru Dodavatele dostatečně kvalifikován, není nezávislý, je v soutěžním postavení vůči Dodavateli nebo je jinak zjevně nevhodný. Na základě vznesené námitky má Objednatel povinnost pověřit jiného auditora, nebo provést audit sám.
9.8. Rozsah auditu. Objednatel je v rámci auditu oprávněn provádět pouze kontrolu dat a dokumentů, které se týkají zpracování osobních údajů, které Dodavatel provádí přímo pro něj na základě Smlouvy. Objednatel souhlasí s tím, že rozsah dat a dokumentů, které auditu podléhají, z tohoto důvodu vždy určuje Dodavatel.
9.9. Povinnost Objednatele. Objednatel je odpovědný za plnění všech povinností ve vztahu ke zpracování osobních údajů, zejména za řádné informování subjektů údajů o zpracování osobních údajů, získání souhlasu se zpracováním osobních údajů, pokud je zapotřebí, vyřizování žádostí subjektů údajů, týkajících se realizace jejich práv (jako je právo na informace, přístup, opravu, výmaz, omezení zpracování, vznést námitku apod.).
10. BEZPEČNOST OSOBNÍCH ÚDAJŮ
10.1. Bezpečnostní opatření. Dodavatel přijal níže uvedená opatření a zavazuje se je udržovat pro zajištění zabezpečení zpracování osobních údajů po celou dobu zpracování:
a) pseudonymizace a šifrování osobních údajů;
b) schopnost zajistit neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování – zavedená opatření a jejich korektní fungování budou pravidelně kontrolovány;
c) schopnost obnovit dostupnost osobních údajů a přístup k nim včas a v případě fyzických či technických incidentů;
d) proces pravidelného testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování.
11. DALŠÍ UJEDNÁNÍ
11.1. Náklady. Dodavatel je oprávněn vyúčtovat Objednateli účelně vynaložené náklady spojené s vyřizováním jakékoliv žádosti a plněním jakékoliv povinnosti dle těchto Zpracovatelských podmínek.
11.2. Vyloučení odpovědnosti. Dodavatel neodpovídá za jakoukoliv škodu včetně ušlého zisku či jinou újmu způsobenou Objednateli v souvislosti s plněním povinností dle těchto Zpracovatelských podmínek, zejména takovou, která je nezávislá na vůli Dodavatele ani za takovou, která je způsobená jednáním Objednatele jako správcem či zpracovatelem osobních údajů.
11.3. Změna podmínek. Dodavatel je oprávněn tyto Zpracovatelské podmínky jednostranně změnit, a to v souladu s čl. 11.2. Podmínek.