Smlouva o zpracování osobních údajů

NÁVRH – ke kontrole právníkem. Tento text je pracovní návrh provozovatele. Než bude služba nabídnuta prvnímu zákazníkovi mimo provozovatele, musí ho zkontrolovat a schválit právník. Údaje v hranatých závorkách je třeba doplnit.

1. Smluvní strany a účel

Tato smlouva se uzavírá podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 (obecné nařízení o ochraně osobních údajů, dále „GDPR“) mezi:

• zákazníkem – firmou, za kterou smlouvu ve službě Dokladně odsouhlasil její vlastník (dále „správce“), a
• SurfaceGame s.r.o., IČO [doplnit IČO], se sídlem [doplnit sídlo] (dále „zpracovatel“).

Smlouva doplňuje všeobecné obchodní podmínky služby Dokladně. Upravuje, jak zpracovatel zpracovává osobní údaje, které správce do služby vloží nebo které ve službě vzniknou při jejím užívání.

2. Předmět, povaha a účel zpracování

Zpracovatel zpracovává osobní údaje jen za účelem poskytování služby: ukládání, zobrazování, úprav, tisku do PDF, odesílání e-mailem, zálohování, exportu a smazání dat správce. Zpracování probíhá automatizovaně na serveru zpracovatele.

3. Kategorie subjektů údajů a osobních údajů

Subjekty údajů jsou zejména:

• odběratelé a dodavatelé správce, kteří jsou fyzickými osobami (např. podnikatelé – fyzické osoby), a kontaktní osoby odběratelů a dodavatelů,
• uživatelé služby za správce (zaměstnanci, účetní a další osoby, které správce pozve).

Kategorie osobních údajů jsou zejména:

• identifikační údaje (jméno, příjmení, obchodní firma, IČO, DIČ, adresa),
• kontaktní údaje (e-mail, telefon),
• údaje o obchodních případech (doklady, položky, částky, data, úhrady, čísla bankovních účtů, variabilní symboly),
• údaje uživatelů služby (jméno, e-mail, role ve firmě, záznamy o přihlášení a o činnosti v auditu).

Zvláštní kategorie osobních údajů (čl. 9 GDPR) služba nevyžaduje a správce je do ní nemá vkládat.

4. Doba zpracování

Zpracování trvá po dobu trvání smlouvy o poskytování služby a dále po dobu lhůt podle všeobecných obchodních podmínek (režim jen pro čtení, archiv a smazání 90 dní po archivaci). Po smazání data ze záloh zmizí nejpozději po uplynutí doby uchování záloh [doplnit dobu uchování záloh].

Správce si může svá data kdykoli až do smazání vyexportovat.

5. Povinnosti zpracovatele

Zpracovatel:

• zpracovává osobní údaje jen na základě doložených pokynů správce; za pokyny se považuje užívání služby správcem a tato smlouva,
• zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti,
• přijme technická a organizační opatření podle čl. 32 GDPR (článek 6 této smlouvy),
• nezapojí dalšího zpracovatele bez předchozího obecného povolení správce podle článku 7,
• pomáhá správci plnit povinnost reagovat na žádosti subjektů údajů, zejména tím, že služba umožňuje údaje vyhledat, opravit, vyexportovat a smazat,
• pomáhá správci plnit povinnosti podle čl. 32 až 36 GDPR,
• ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do [doplnit, např. 48] hodin od zjištění,
• po skončení poskytování služby osobní údaje smaže podle článku 4,
• poskytne správci informace potřebné k doložení splnění povinností a umožní audity v rozumném rozsahu a po předchozí domluvě.

6. Zabezpečení

Zpracovatel uplatňuje zejména tato opatření:

• data jsou uložena v České republice na serveru zpracovatele,
• šifrované spojení (HTTPS), dvoufázové ověření pro vlastníky firem a pro pracovníky provozovatele,
• oddělení dat jednotlivých zákazníků na úrovni aplikace i databáze,
• pravidelné zálohy a jejich zkušební obnova,
• záznam bezpečnostně významných událostí do auditu,
• přístup podpory jen se souhlasem správce, jen ke čtení a časově omezený; každý vstup se zapisuje do auditu.

7. Další zpracovatelé (podzpracovatelé)

Správce uděluje obecné povolení k zapojení dalších zpracovatelů. Ke dni této verze jde o tyto kategorie (výčet bude doplněn):

• hosting – vlastní server zpracovatele v České republice; jiný poskytovatel hostingu se nezapojuje [ke kontrole: doplnit poskytovatele serverovny nebo připojení, pokud má k serveru přístup],
• transakční e-mail – poskytovatel odesílání systémových e-mailů (pozvánky, obnova hesla, upozornění); poskytovatel bude vybrán [doplnit název, sídlo a místo zpracování],
• zálohy – [doplnit umístění a poskytovatele úložiště záloh].

E-maily s doklady odesílá služba přes poštovní server, který si nastaví správce; jeho provozovatel je zpracovatelem správce, ne podzpracovatelem.

O zamýšlené změně dalších zpracovatelů zpracovatel správce informuje předem [doplnit lhůtu]; správce může proti změně vznést námitku a smlouvu vypovědět. Zpracovatel uloží dalším zpracovatelům stejné povinnosti ochrany údajů, jaké má sám.

8. Předávání mimo EU

Zpracovatel nepředává osobní údaje do zemí mimo Evropský hospodářský prostor. Pokud by to bylo u některého dalšího zpracovatele nutné, učiní tak jen při splnění podmínek kapitoly V GDPR a po předchozím oznámení správci.

9. Povinnosti správce

Správce odpovídá za to, že má pro zpracování osobních údajů, které do služby vkládá, právní základ a že subjekty údajů informoval. Správce nevkládá do služby údaje, které pro fakturaci a evidenci dokladů nepotřebuje.

10. Změny smlouvy

Novou verzi smlouvy zpracovatel oznámí předem. Od účinnosti nové verze vyžádá služba od vlastníka firmy nové odsouhlasení. Do odsouhlasení nové verze se řídí zpracování verzí, kterou správce odsouhlasil naposledy.

11. Závěrečná ustanovení

Smlouva se řídí právem České republiky a GDPR. Kontakt pro otázky ochrany osobních údajů: [doplnit kontaktní e-mail].