Zpracovatelská smlouva (DPA)

Tato zpracovatelská smlouva tvoří přílohu smlouvy o službě MarketingAIone mezi zákazníkem jako správcem osobních údajů („Správce“) a společností Yours Solution s.r.o., IČO 19233043, se sídlem Školská 689/20, Nové Město, 110 00 Praha 1 („Zpracovatel“). Použije se, pokud Zpracovatel zpracovává osobní údaje jménem Správce.

1. Předmět a doba zpracování

1. Zpracovatel zpracovává osobní údaje pouze za účelem poskytování, zabezpečení, podpory, exportu a ukončení služby MarketingAIone v rozsahu objednaných funkcí a dokumentovaných pokynů Správce.
2. Zpracování trvá po dobu hlavní smlouvy a následného období nutného pro bezpečný export, ověřený výmaz, rotaci záloh nebo splnění právní povinnosti.
3. Povaha operací může zahrnovat přijetí, uspořádání, uložení, čtení, analýzu, porovnání, generování pracovních výstupů, přenos do Správcem povolené integrace, zpřístupnění oprávněným uživatelům, export, omezení a výmaz.

2. Pokyny Správce

1. Zpracovatel zpracovává osobní údaje pouze na doložený pokyn Správce, včetně předání do třetí země, ledaže mu zpracování ukládá právo EU nebo členského státu. V takovém případě Správce předem informuje, pokud to právo nezakazuje z důležitých důvodů veřejného zájmu.
2. Dokumentovaným pokynem je hlavní smlouva, nastavení pracovního prostoru, oprávnění uživatelů, schválená integrace, příkaz podaný přes autorizované rozhraní a písemný pokyn oprávněného administrátora.
3. Má-li Zpracovatel za to, že pokyn porušuje GDPR nebo jiné použitelné právo ochrany údajů, bez zbytečného odkladu Správce informuje a provedení dotčené části pozastaví, dokud Správce pokyn nepotvrdí nebo neopraví. Zpracovatel není povinen poskytovat právní posouzení podnikání Správce.
4. Správce nebude zadávat zvláštní kategorie údajů, údaje o odsouzeních, úplná data platebních karet, hesla, státní identifikátory ani jiné vysoce rizikové údaje, pokud jejich zpracování nebylo výslovně sjednáno, posouzeno a technicky povoleno.

3. Povinnosti Správce

Správce:

• odpovídá za zákonnost účelu, právní důvod, transparentnost, přesnost a nezbytnost údajů;
• zajistí oprávnění k připojeným webům, účtům, zdrojům a příjemcům;
• přiděluje uživatelům nejmenší potřebná oprávnění a bezodkladně je odebírá;
• vyřizuje práva subjektů údajů a poskytne Zpracovateli jen pokyny nezbytné k součinnosti;
• provede posouzení vlivu, vyžaduje-li je zamýšlené použití, a nebude používat Službu pro zakázané nebo nesjednané vysoce rizikové rozhodování;
• informuje Zpracovatele o zvláštních retenčních, lokalizačních nebo bezpečnostních požadavcích před jejich použitím.

4. Mlčenlivost a osoby s přístupem

1. Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly vázány mlčenlivostí nebo odpovídající zákonnou povinností a měly přístup pouze v rozsahu své role.
2. Přístupy se přidělují jednotlivě, přezkoumávají a odebírají. Produkční zákaznická data se nepoužívají pro vývoj nebo testování, není-li to nezbytné k řešení konkrétního případu a řádně řízené.

5. Bezpečnost

1. Zpracovatel zavede přiměřená technická a organizační opatření podle čl. 32 GDPR se zohledněním stavu techniky, nákladů, povahy a rizika zpracování.
2. Výchozí opatření jsou uvedena v příloze B. Zpracovatel může opatření aktualizovat, pokud nesníží celkovou úroveň ochrany.
3. Správce odpovídá za bezpečnost svých zařízení, identit, obsahu, nastavení, připojených účtů a oprávnění, která ovládá.

6. Další zpracovatelé

1. Správce uděluje obecné písemné povolení použít další zpracovatele uvedené v aktuálním Seznamu zpracovatelů.
2. Zpracovatel oznámí zamýšlené přidání nebo nahrazení dalšího zpracovatele nejméně 15 dnů před tím, než začne zpracovávat osobní údaje Správce, s výjimkou naléhavé bezpečnostní nebo právní změny, kterou oznámí co nejdříve.
3. Správce může v této době vznést konkrétní a odůvodněnou námitku týkající se ochrany osobních údajů. Strany se pokusí najít přiměřené řešení. Není-li řešení možné, může Správce dotčenou funkci přestat používat nebo hlavní smlouvu ukončit v rozsahu dotčeného zpracování.
4. Zpracovatel uloží dalšímu zpracovateli smluvně stejné podstatné povinnosti ochrany údajů a zůstává vůči Správci odpovědný za plnění povinností dalšího zpracovatele podle GDPR.

7. Předávání do třetích zemí

1. Zpracovatel nebude předávat osobní údaje mimo EHP bez dokumentovaného pokynu a platného mechanismu podle kapitoly V GDPR.
2. Mechanismem může být rozhodnutí o odpovídající ochraně, platná certifikace v EU–US Data Privacy Framework nebo standardní smluvní doložky Evropské komise. Vyžaduje-li to riziko, Zpracovatel provede posouzení předání a zavede doplňková opatření.
3. Je-li Zpracovatel vývozcem údajů a příjemce dovozcem, příslušný modul standardních smluvních doložek se považuje za začleněný; informace v této DPA a seznamu zpracovatelů doplňují jeho přílohy. Rozpor se řeší ve prospěch doložek.

8. Práva subjektů údajů

1. Zpracovatel s ohledem na povahu zpracování pomůže Správci vhodnými technickými a organizačními opatřeními vyřídit žádosti podle kapitoly III GDPR.
2. Obdrží-li Zpracovatel žádost týkající se výhradně zákaznických dat, neodpoví věcně jménem Správce bez jeho pokynu a žádost mu bez zbytečného odkladu předá, ledaže to právo zakazuje.
3. Běžná samoobslužná součinnost je zahrnuta v plánu. Mimořádná ruční součinnost může být účtována podle předem sdělené ceny, nebrání-li to účinnému výkonu práv.

9. Součinnost s plněním GDPR

Zpracovatel s přihlédnutím k povaze a informacím, které má k dispozici, pomůže Správci se zabezpečením podle čl. 32 GDPR, oznámením porušení zabezpečení podle čl. 33 a 34 GDPR, posouzením vlivu a případnou předchozí konzultací podle čl. 35 a 36 GDPR a doložením souladu, popisem zpracování a relevantními informacemi o dalších zpracovatelích.

10. Porušení zabezpečení osobních údajů

1. Zpracovatel oznámí Správci potvrzené porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví; pokud možno první oznámení odešle do 24 hodin.
2. Oznámení podle dostupnosti popíše povahu incidentu, dotčené kategorie údajů a osob, pravděpodobné následky, přijatá nebo navržená opatření a kontaktní místo. Informace lze doplňovat postupně.
3. Zpracovatel incident zdokumentuje, omezí, vyšetří a přijme nápravná opatření. Oznámení samo o sobě není uznáním zavinění nebo odpovědnosti.
4. Správce rozhoduje o oznámení dozorovému úřadu a subjektům údajů, ledaže má Zpracovatel samostatnou zákonnou povinnost.

11. Vrácení a výmaz

1. Na konci služby Zpracovatel podle volby Správce umožní export a osobní údaje vrátí nebo vymaže, pokud právo nevyžaduje jejich uchování.
2. Výmaz probíhá až po ověření oprávnění, dokončení dostupného exportu, uplynutí sjednané ochranné lhůty, kontrole právního omezení a ověření navazujících poskytovatelů. Běžné zálohy se mažou bezpečnou rotací a nejsou vraceny do aktivního provozu jinak než při řízené obnově.
3. Zákonem uchované údaje se oddělí od běžného používání a po skončení důvodu se vymažou nebo nevratně anonymizují.

12. Informace a audity

1. Zpracovatel poskytne informace přiměřeně potřebné k doložení čl. 28 GDPR. Přednost mají aktuální bezpečnostní podklady, nezávislé zprávy, dotazník a vzdálené ověření.
2. Pokud podklady nestačí, Správce může jednou ročně a dále po závažném incidentu provést audit prostřednictvím nezávislého odborníka vázaného mlčenlivostí. Oznámí jej alespoň 30 dnů předem, nebude narušovat provoz ani přístup k datům jiných zákazníků a ponese své náklady. Zjištěné závažné nedostatky Zpracovatel napraví v přiměřené době.
3. Omezení frekvence se nepoužije na audit vyžádaný dozorovým úřadem nebo nutný kvůli doloženému závažnému riziku.

13. Použití pro AI

1. Zákaznická data lze předat modelu pouze pro Zákazníkem vyžádanou funkci a jen poskytovateli uvedenému v Seznamu zpracovatelů.
2. Zpracovatel nesmí použít zákaznická osobní data k trénování obecného modelu pro jiné zákazníky. Případná odlišná funkce vyžaduje samostatné ujednání, posouzení právního důvodu a technické oddělení.
3. Správce nebude do AI vstupů bez výslovného ujednání zadávat citlivé nebo vysoce rizikové údaje.

14. Pořadí a trvání

1. Při rozporu má tato DPA přednost před obecnými obchodními podmínkami v otázkách zpracování osobních údajů.
2. Povinnosti, které mají svou povahou trvat po skončení smlouvy, zejména mlčenlivost, výmaz, audity a odpovědnost, trvají do vypořádání zpracování.
3. Rozhodné právo a řešení sporů se řídí hlavní smlouvou, aniž jsou dotčena práva subjektů údajů a pravomoci dozorových orgánů.

Příloha A — Popis zpracování

Příloha B — Výchozí technická a organizační opatření

• šifrování přenosu a ochrana tajemství mimo zdrojový kód;
• tenantové oddělení, databázová pravidla přístupu a nejmenší oprávnění;
• ověřená identita, role, krátkodobé podepsané relace a ochrana CSRF;
• schvalovací brány, idempotence, rozpočtové a rozsahové limity pro externí akce;
• omezení velikosti, typu, cíle a doby síťových operací a ochrana proti SSRF;
• auditní a bezpečnostní události bez ukládání nepotřebných tajemství;
• řízené změny, kontrola závislostí, testy oddělení tenantů a bezpečné výchozí vypnutí integrací;
• zálohy, ověřovaná obnova, tenantový export a vícestupňová autorizace výmazu;
• proces pro incidenty, zranitelnosti, odnětí přístupu a změny dalších zpracovatelů;
• minimalizace, retenční pravidla a filtry pro potenciálně osobní vyhledávací dotazy.

Příloha C — Kontakty

• Zpracovatel a hlášení incidentu: info@bsolution.eu
• Kontakt Správce: administrátor a kontaktní údaje uvedené v objednávce nebo pracovním prostoru
• Aktuální další zpracovatelé: samostatný Seznam zpracovatelů, který musí být před účinností zveřejněn a verzován