1. Smluvní strany a předmět

1.1 Tato smlouva o zpracování osobních údajů (dále jen „smlouva“) se uzavírá podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679, obecného nařízení o ochraně osobních údajů (dále jen „GDPR“).

1.2 Správcem je zákazník služby Orqana, který do ní vkládá osobní údaje. Zpracovatelem je:

1.3 Smlouva je nedílnou součástí smlouvy o poskytování služby Orqana a uzavírá se přijetím obchodních podmínek. Uplatní se po celou dobu, po kterou zpracovatel zpracovává osobní údaje jménem správce.

1.4 V případě rozporu mezi touto smlouvou a obchodními podmínkami má v otázkách ochrany osobních údajů přednost tato smlouva.

2. Povinné náležitosti podle čl. 28 odst. 3 GDPR

2.1 Správce nevkládá do služby zvláštní kategorie osobních údajů podle čl. 9 GDPR ani údaje o odsouzeních podle čl. 10 GDPR. Vloží-li je přesto, činí tak na vlastní odpovědnost a je povinen zpracovatele předem písemně vyrozumět.

3. Práva a povinnosti správce

3.1 Správce odpovídá za zákonnost zpracování, zejména za existenci právního titulu a za splnění informační povinnosti vůči subjektům údajů.

3.2 Správce určuje rozsah údajů vkládaných do služby, nastavení oprávnění svých uživatelů a doby uchování v rozsahu, který služba umožňuje.

3.3 Správce je oprávněn kdykoli udělovat pokyny ke zpracování; pokyny musí být doložitelné a v souladu s právními předpisy.

3.4 Správce bere na vědomí, že zpracovatel není oprávněn posuzovat obsah vložených údajů z hlediska jejich potřebnosti.

4. Povinnosti zpracovatele podle čl. 28 odst. 3 písm. a) až h) GDPR

4.1 Písm. a), pokyny správce. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně předání do třetí země. Uloží-li mu takové zpracování právo Evropské unie nebo členského státu, informuje o tom správce před zpracováním, ledaže to takové právo zakazuje.

4.2 Písm. b), mlčenlivost. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Přístup má pouze nezbytný okruh osob a je evidován.

4.3 Písm. c), zabezpečení. Zpracovatel přijme opatření podle čl. 32 GDPR, zejména oddělení dat jednotlivých správců na úrovni databázového schématu, šifrování přenosu, šifrované uložení přístupových údajů, řízení přístupu podle rolí, dvoufázové ověření administrátorských účtů, auditní záznamy a pravidelné zálohování s ověřováním obnovitelnosti.

4.4 Písm. d), subzpracovatelé. Podmínky zapojení dalších zpracovatelů upravuje článek 5 této smlouvy.

4.5 Písm. e), součinnost při právech subjektů. Zpracovatel je správci nápomocen vhodnými technickými a organizačními opatřeními při plnění povinnosti reagovat na žádosti o výkon práv podle kapitoly III GDPR. Obrátí-li se subjekt údajů se žádostí přímo na zpracovatele, tento ji bez zbytečného odkladu předá správci a sám ji nevyřizuje.

4.6 Písm. f), součinnost při zabezpečení a posouzení vlivu. Zpracovatel je správci nápomocen při zajišťování souladu s čl. 32 až 36 GDPR, tedy při zabezpečení, ohlašování porušení, oznamování subjektům údajů, posouzení vlivu a předchozí konzultaci, a to s ohledem na povahu zpracování a jemu dostupné informace.

4.7 Písm. g), výmaz nebo vrácení. Podmínky po skončení zpracování upravuje článek 9 této smlouvy.

4.8 Písm. h), doložení souladu a audit. Podmínky upravuje článek 8 této smlouvy.

5. Zapojení dalších zpracovatelů

5.1 Správce uděluje zpracovateli obecné povolení k zapojení dalších zpracovatelů podle čl. 28 odst. 2 GDPR.

5.2 Zpracovatel zapojuje pouze subzpracovatele, kteří poskytují dostatečné záruky, a uloží jim smluvně stejné povinnosti ochrany, jaké má sám. Za jejich plnění odpovídá správci v plném rozsahu.

5.3 Aktuální seznam subzpracovatelů s uvedením obchodní firmy, sídla a účelu zpracování poskytne zpracovatel správci na písemnou žádost.

5.4 Zamýšlenou změnu v okruhu subzpracovatelů oznámí zpracovatel nejméně 30 dnů předem. Správce je oprávněn ve lhůtě 15 dnů od oznámení vznést odůvodněnou námitku z důvodů ochrany osobních údajů. Nedojde-li k dohodě, je správce oprávněn smlouvu o poskytování služby vypovědět ke dni účinnosti změny.

6. Předávání do třetích zemí

6.1 Osobní údaje se zpracovávají primárně na serverech v České republice.

6.2 K předání do země mimo Evropský hospodářský prostor dojde pouze na základě mechanismu podle kapitoly V GDPR, zejména rozhodnutí o odpovídající ochraně podle čl. 45 nebo standardních smluvních doložek podle čl. 46 odst. 2 písm. c), případně na základě výslovného pokynu správce.

6.3 Aktivuje-li správce ve svém workspace integraci s poskytovatelem umístěným mimo Evropský hospodářský prostor, považuje se to za jeho pokyn k předání a odpovědnost za posouzení jeho přípustnosti nese správce.

7. Porušení zabezpečení

7.1 Zpracovatel ohlásí správci každé porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, nejpozději do 48 hodin.

7.2 Ohlášení obsahuje popis povahy porušení, kategorie a přibližný počet dotčených subjektů a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontaktní místo. Nelze-li informace poskytnout současně, poskytne je zpracovatel postupně bez zbytečného odkladu.

7.3 Ohlášení dozorovému úřadu podle čl. 33 GDPR a oznámení subjektům údajů podle čl. 34 GDPR činí správce; zpracovatel mu k tomu poskytne nezbytnou součinnost.

8. Doložení souladu a kontrola

8.1 Zpracovatel poskytne správci na žádost informace nezbytné k doložení splnění povinností podle čl. 28 GDPR, zejména popis přijatých technických a organizačních opatření a záznam o testu obnovy záloh.

8.2 Kontrola probíhá přednostně formou předložení dokumentace. Nepostačuje-li, umožní zpracovatel audit provedený správcem nebo jím pověřeným auditorem, který není konkurentem zpracovatele.

8.3 Audit se ohlašuje nejméně 15 pracovních dnů předem, provádí se nejvýše jednou za 12 měsíců v pracovní době, nesmí nepřiměřeně narušit provoz a auditor je vázán mlčenlivostí. Náklady auditu nese správce, ledaže audit prokáže podstatné porušení na straně zpracovatele.

8.4 Zpracovatel neprodleně informuje správce, má-li za to, že pokyn správce porušuje GDPR nebo jiný předpis o ochraně osobních údajů.

9. Ukončení zpracování, výmaz a vrácení

9.1 Správce si může kdykoli a bez poplatku pořídit úplný strojově čitelný export osobních údajů prostřednictvím rozhraní služby.

9.2 Po ukončení poskytování služby zůstává export dostupný po dobu 30 dnů. Po uplynutí této lhůty zpracovatel podle volby správce osobní údaje vymaže nebo vrátí a odstraní existující kopie.

9.3 Zálohy obsahující osobní údaje se přepisují v běžném cyklu obměny, nejpozději do 30 dnů od výmazu produkčních dat.

9.4 Zpracovatel je oprávněn uchovat osobní údaje v rozsahu a po dobu, kterou mu ukládá právní předpis, zejména doklady podle zákona č. 563/1991 Sb., o účetnictví, a podle zákona č. 235/2004 Sb., o dani z přidané hodnoty.

9.5 Na žádost správce potvrdí zpracovatel provedení výmazu písemně.

10. Odpovědnost

10.1 Odpovědnost stran za újmu způsobenou zpracováním se řídí čl. 82 GDPR.

10.2 Omezení náhrady újmy sjednaná v obchodních podmínkách se nevztahují na pokuty uložené dozorovým úřadem té straně, která povinnost porušila, ani na nároky subjektů údajů podle čl. 82 GDPR.

11. Závěrečná ustanovení

11.1 Tato smlouva se řídí právním řádem České republiky, zejména GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

11.2 Změny této smlouvy se provádějí postupem podle článku o změnách obchodních podmínek; při podstatné změně má správce právo smlouvu o poskytování služby vypovědět.

11.3 Je-li některé ustanovení neplatné, ostatní zůstávají v platnosti a strany je nahradí ustanovením nejbližšího smyslu.