Smlouva o zpracování osobních údajů

Tato Smlouva o zpracování osobních údajů může tvořit přílohu individuální Smlouvy o poskytování služby Varilo nebo může být schválena elektronicky společně s Podmínkami služby. Pro účely svěřených údajů se „Správcem“ rozumí Zákazník Varilo a „Zpracovatelem“ Poskytovatel služby Varilo.

• Vesta Usługi i Szkolenia Marcin Makowskiul. Wrzosowa 33, 84-300 Lębork, PolandNIP (Polské DIČ): 841-161-18-09e-mail: kontakt@varilo.euWeb: varilo.pl

§ 1. Předmět a role Stran

Správce pověřuje společnost Vesta Usługi i Szkolenia Marcin Makowski zpracováním osobních údajů v rozsahu nezbytném pro poskytování platformy Varilo.

Zpracování je svěřeno v souladu s článkem 28 GDPR. Zpracovatel zpracovává osobní údaje pouze jménem Správce a na základě jeho doložených pokynů, ledaže zpracování vyžaduje právo Evropské unie nebo právo členského státu, kterému Zpracovatel podléhá.

Nastavení Účtu, vytváření Kontrolních seznamů, udělování oprávnění a další úkony Správce v rámci Služby představují doložené pokyny ke zpracování v rozsahu vyplývajícím z funkcionality Varilo.

§ 2. Doba trvání, povaha a účel zpracování

Zpracování trvá po dobu poskytování Služby a po dobu nezbytnou ke splnění povinností souvisejících s jejím ukončením, výmazem nebo vrácením údajů.

Zpracování je automatizované a může zahrnovat shromažďování, zaznamenávání, uspořádání, ukládání, vyhledávání, pozměňování, zpřístupňování oprávněným uživatelům, generování reportů, vytváření záloh, omezení, export a výmaz údajů.

Účelem zpracování je umožnit Správci užívat systém Varilo, zejména vytvářet a vyplňovat Kontrolní seznamy a Kontroly, vytvářet reporty a statistiky, spravovat přístupy, dokumentovat neshody a ukládat údaje související s těmito procesy.

§ 3. Kategorie subjektů údajů a typy údajů

Údaje se mohou týkat zejména:

• zaměstnanců, spolupracovníků a osob jednajících jménem Správce;
• zaměstnanců smluvních partnerů, subdodavatelů, dodavatelů a obchodních partnerů;
• řidičů, operátorů a uživatelů strojů, zařízení, vozidel nebo objektů;
• osob provádějících Kontroly;
• zákazníků, návštěvníků a dalších osob, jejichž údaje se Správce rozhodne v souladu se zákonem zpracovávat v systému Varilo.

Rozsah údajů může zahrnovat zejména:

• jméno a příjmení, e-mailovou adresu, identifikátor uživatele, pracovní pozici, oddělení nebo organizační jednotku;
• odpovědi uvedené v Kontrolních seznamech, datum a čas Kontroly, komentáře, informace o přijatých opatřeních a neshodách;
• fotografie, přílohy a další soubory vložené Správcem nebo osobami jednajícími jeho jménem;
• identifikátory zařízení, strojů, vozidel, objektů a lokací propojených s fyzickou osobou, pokud Správce proces tímto způsobem nastaví;
• další údaje zadané Správcem do polí formulářů.

Varilo pro svůj standardní provoz nevyžaduje zpracování zvláštních kategorií osobních údajů. Pokud se Správce rozhodne takové údaje zpracovávat, nese výhradní odpovědnost za existenci řádného právního základu, posouzení nezbytnosti a zavedení vhodných bezpečnostních opatření.

§ 4. Povinnosti Správce

Správce odpovídá za zákonnost shromažďování a zpracování, stanovení účelů a právních základů, rozsah údajů, obsah Kontrolních seznamů a plnění informačních povinností vůči subjektům údajů.

Správce se zavazuje neudílet Zpracovateli pokyny, které by byly v rozporu s GDPR nebo jinými právními předpisy na ochranu osobních údajů.

Správce odpovídá za udělování a odebírání oprávnění svým Uživatelům a za volbu konfigurace přístupu ke Kontrolním seznamům sdíleným prostřednictvím QR kódu, NFC nebo odkazu.

§ 5. Povinnosti Zpracovatele

• zpracovávat osobní údaje pouze na základě doložených pokynů Správce a v rozsahu nezbytném pro poskytování Služby;
• zajistit, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti;
• zavést vhodná technická a organizační opatření v souladu s článkem 32 GDPR;
• s přihlédnutím k povaze zpracování být Správci nápomocen, je-li to možné, při plnění práv subjektů údajů;
• být Správci nápomocen, s přihlédnutím k povaze zpracování a dostupným informacím, při plnění povinností podle článků 32 až 36 GDPR;
• po ukončení poskytování Služby dle volby Správce osobní údaje vymazat nebo vrátit, pokud právní předpisy nevyžadují jejich další uložení;
• poskytnout Správci informace nezbytné k prokázání splnění povinností podle článku 28 GDPR.

§ 6. Zabezpečení zpracování

Zpracovatel udržuje bezpečnostní opatření přiměřená riziku, povaze údajů a provozu Služby. Ta v rozsahu příslušném pro danou část systému zahrnují minimálně:

• ochranu přenosu dat pomocí aktuálních mechanismů šifrování spojení;
• řízení přístupu k Účtům a administrativním funkcím a uplatňování zásady nejnižších nutných oprávnění (least privilege);
• ochranu autentizačních údajů a omezení administrativního přístupu pouze na osoby, které jej nezbytně potřebují;
• aktualizace softwaru a prvků infrastruktury pod kontrolou Varilo;
• mechanismy podporující dostupnost a obnovu dat a využití bezpečnostních prvků nabízených poskytovatelem infrastruktury;
• postupy reakce na incidenty a porušení zabezpečení osobních údajů;
• pravidelné vyhodnocování přiměřenosti uplatňovaných bezpečnostních opatření.

Správce bere na vědomí, že bezpečnost Služby závisí také na řádném zabezpečení účtů, zařízení a procesů na straně Správce.

§ 7. Další zpracovatelé (podzpracovatelé)

Správce uděluje Zpracovateli obecné pověření k zapojení dalších zpracovatelů nezbytných k poskytování Varilo.

Zpracovatel zajistí, aby se na podzpracovatele vztahovaly povinnosti v oblasti ochrany osobních údajů odpovídající svěřeným činnostem, v souladu s článkem 28 odst. 4 GDPR.

Zpracovatel zůstává Správci plně odpovědný za plnění povinností podzpracovatelem v rozsahu vyžadovaném GDPR.

V případě plánované podstatné změny spočívající v zapojení nebo nahrazení podzpracovatele bude Varilo informovat Správce, zpravidla nejméně 14 dní předem, e-mailem nebo prostřednictvím Služby, což Správci umožní vznést odůvodněnou námitku týkající se ochrany osobních údajů.

§ 8. Současný podzpracovatel

Aktuální informace o podzpracovatelích lze získat na kontakt@varilo.eu.

§ 9. Předávání údajů mimo EHP

Správce bere na vědomí, že v souvislosti s využíváním infrastruktury Name.com mohou být svěřené údaje předávány mimo Evropský hospodářský prostor, včetně Spojených států amerických.

Zpracovatel zajišťuje, že jakékoli předání mimo EHP bude prováděno pouze způsobem povoleným podle kapitoly V GDPR, za použití vhodného mechanismu předání a v případě potřeby odpovídajících záruk.

Na žádost Správce poskytne Zpracovatel dostupné informace týkající se použitého mechanismu předání a příslušných záruk, s přihlédnutím k právům a obchodnímu tajemství poskytovatelů.

§ 10. Práva subjektů údajů

Pokud Zpracovatel obdrží žádost subjektu údajů přímo, a to ohledně údajů, pro které je správcem Zákazník, Zpracovatel o této žádosti samostatně nerozhodne, ledaže k tomu byl zmocněn nebo mu to ukládá zákon.

Zpracovatel předá žádost bez zbytečného odkladu Správci a s přihlédnutím k povaze zpracování poskytne přiměřenou součinnost při vyřízení žádosti prostřednictvím funkcí dostupných ve Službě nebo jiných technicky dostupných prostředků.

§ 11. Porušení zabezpečení osobních údajů

Poté, co se Zpracovatel dozví o porušení zabezpečení osobních údajů, které se týká svěřených údajů, bez zbytečného odkladu o tom uvědomí Správce.

V dostupném rozsahu poskytne Zpracovatel informace umožňující Správci posoudit dané porušení a splnit povinnosti podle článků 33 a 34 GDPR, zejména popis povahy porušení, pravděpodobné důsledky a opatření přijatá nebo navržená k řešení daného porušení a zmírnění jeho dopadů.

Pokud nelze veškeré informace poskytnout současně, mohou být doplňovány postupně bez zbytečného odkladu.

§ 12. Audity a prokazování souladu

Zpracovatel poskytne Správci informace nezbytné k prokázání splnění povinností podle článku 28 GDPR.

Správce může v přiměřeném rozsahu provést audit, a to na základě předchozího písemného oznámení a způsobem, který neoprávněně nenaruší provoz Varilo ani nezpůsobí zpřístupnění dat či důvěrných informací jiných Zákazníků.

Smluvní strany přednostně využijí dokladový (písemný) nebo vzdálený audit. Audit na místě může být proveden pouze v případě odůvodněné potřeby, kterou nelze přiměřeným způsobem zajistit jinak.

Náklady na audit nese Správce, ledaže audit prokáže podstatné porušení povinností ze strany Zpracovatele.

§ 13. Výmaz nebo vrácení údajů

Po ukončení poskytování Služby může Správce požádat o vrácení údajů v rozsahu podporovaném technicky dostupnými exportními funkcemi, nebo požádat o jejich výmaz.

Po provedení pokynu jsou údaje vymazány z aktivních systémů, pokud platné právní předpisy nevyžadují jejich další uchovávání.

Údaje mohou zůstat v záložních kopiích, dokud nebudou přepsány v rámci běžné rotace záloh. Do té doby podléhají závazkům mlčenlivosti a bezpečnosti a nejsou využívány pro jiné účely.

§ 14. Odpovědnost

Každá ze stran odpovídá za plnění povinností, které jí přímo ukládá GDPR.

Správce odpovídá zejména za zákonnost účelů a právních základů zpracování, rozsah předaných údajů, obsah pokynů a plnění informačních povinností.

Omezení odpovědnosti obsažená v hlavní smlouvě se použijí v rozsahu povoleném GDPR a dalšími kogentními právními předpisy.

§ 15. Doba trvání a závěrečná ustanovení

Tato DPA zůstává v platnosti po celou dobu, po kterou Zpracovatel zpracovává osobní údaje jménem Správce.

Povinnosti zachovávat mlčenlivost a zajišťovat bezpečnost údajů trvají i po ukončení spolupráce, a to ve vztahu k údajům, které dosud nebyly vymazány v souladu s touto DPA.

Tuto DPA lze uzavřít elektronicky, a to i jejím přijetím společně s Obchodními podmínkami služby Varilo.

Záležitosti zde neupravené se řídí GDPR a platnými právními předpisy Polska a Evropské unie.

V případě rozporu mezi touto DPA a jiným smluvním dokumentem má tato DPA přednost, pokud jde o ochranu svěřených osobních údajů.

Tato česká verze je překladem polské DPA. Není-li výslovně dohodnuto jinak, v případě výkladových rozporů má v rozsahu povoleném platnými právními předpisy přednost polské znění.

Příloha A. Kontaktní údaje a informace o hostingu

Kontakt pro ochranu osobních údajů Varilo: kontakt@varilo.eu.

Poskytovatel hostingu: Name.com. Veřejné právní podmínky a dokumentace týkající se zpracování údajů jsou k dispozici na webových stránkách Name.com, včetně sekce „Policies, Procedures and Agreements“ a dokumentu „Web Hosting Data Processing Addendum“.