Smlouva o zpracování osobních údajů

1. Smluvní strany

Správce — uživatel služby RevizePro (řemeslník / podnikatel), který do aplikace vkládá osobní údaje svých zákazníků. Identifikace správce vyplývá z údajů jeho uživatelského účtu.

Zpracovatel:

2. Předmět a povaha zpracování

Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování služby RevizePro správci — tedy evidence zákazníků správce, sledování termínů revizí a servisů a odesílání připomínkových e-mailů jménem správce. Zpracování probíhá automatizovaně v elektronické podobě po dobu trvání smlouvy mezi správcem a zpracovatelem.

3. Kategorie subjektů údajů a osobních údajů

• Subjekty údajů: zákazníci správce (koncoví zákazníci).
• Kategorie údajů: jméno a příjmení, e-mailová adresa, telefonní číslo, adresa, případně IČO/DIČ a kontaktní osoba, údaje o poskytnutých službách a jejich termínech a poznámky vložené správcem.

Správce nesmí do aplikace vkládat zvláštní kategorie osobních údajů (čl. 9 GDPR).

4. Povinnosti zpracovatele

Zpracovatel se zavazuje, že (čl. 28 odst. 3 GDPR):

• zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně pokynů daných samotným užíváním aplikace;
• zajistí, že osoby oprávněné zpracovávat osobní údaje jsou zavázány mlčenlivostí;
• přijme vhodná technická a organizační opatření k zabezpečení údajů dle čl. 32 GDPR (viz čl. 7);
• zapojí dalšího zpracovatele (sub-zpracovatele) pouze za podmínek dle čl. 5 této smlouvy;
• je správci nápomocen při plnění povinností reagovat na žádosti subjektů údajů (čl. 12–23 GDPR) — mj. tím, že správci umožňuje přístup k údajům, jejich opravu, export a výmaz přímo v aplikaci;
• je správci nápomocen při zajištění souladu s čl. 32–36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu);
• po ukončení poskytování služby všechny osobní údaje vymaže nebo vrátí (viz čl. 8);
• poskytne správci informace potřebné k doložení souladu a umožní audit či kontrolu (viz čl. 9);
• bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, oznámí správci případné porušení zabezpečení osobních údajů.

5. Sub-zpracovatelé

Správce uděluje zpracovateli obecné povolení zapojit do zpracování níže uvedené sub-zpracovatele. Zpracovatel s nimi má uzavřeny odpovídající smlouvy zajišťující stejnou úroveň ochrany:

O zamýšlené změně sub-zpracovatelů (přidání či nahrazení) zpracovatel správce informuje e-mailem nebo v aplikaci nejméně 14 dní předem; správce má právo proti změně z vážných důvodů vznést námitku, což může znamenat ukončení služby.

6. Předávání do třetích zemí

Někteří sub-zpracovatelé zpracovávají údaje mimo EU/EHP (zejména USA). Takové předání je zajištěno standardními smluvními doložkami (SCCs) schválenými Evropskou komisí, případně jiným vhodným zárukovým mechanismem dle kapitoly V GDPR.

7. Zabezpečení (čl. 32 GDPR)

• šifrování přenosu dat (HTTPS/TLS) a šifrované připojení k databázi;
• hashování hesel, dvoufaktorové ověření na straně uživatele;
• řízení přístupů, oddělení dat jednotlivých uživatelů na úrovni aplikace;
• pravidelné zálohování databáze u sub-zpracovatele;
• logování a monitoring provozu.

8. Ukončení a výmaz údajů

Po ukončení poskytování služby (zrušení účtu) zpracovatel osobní údaje zákazníků správce vymaže nejpozději do 30 dnů, nebrání-li tomu právní povinnost jejich uchování. Do té doby má správce možnost si data z aplikace vyexportovat.

9. Audit a součinnost

Zpracovatel na písemnou žádost poskytne správci informace nezbytné k doložení plnění povinností dle této smlouvy. Kontrola nesmí nepřiměřeně zasahovat do provozu zpracovatele ani do práv ostatních uživatelů; termín a rozsah se sjednávají předem.

10. Odpovědnost

Za zákonnost získání a vložení osobních údajů zákazníků do aplikace a za existenci odpovídajícího právního titulu zpracování odpovídá správce. Zpracovatel odpovídá za škodu způsobenou porušením povinností, které GDPR ukládá přímo zpracovateli, nebo porušením pokynů správce, v rozsahu dle čl. 82 GDPR.

11. Závěrečná ustanovení

Tato smlouva se řídí právním řádem České republiky a nabývá účinnosti přijetím Obchodních podmínek při registraci. V otázkách zde neupravených se použije GDPR a zákon č. 110/2019 Sb., o zpracování osobních údajů. Dozorovým orgánem je Úřad pro ochranu osobních údajů (www.uoou.cz).