Zpracovatelská smlouva (DPA)

1. Strany a vznik smlouvy

Tato zpracovatelská smlouva je součástí všeobecných obchodních podmínek služby Úkolníček. Uzavírá ji ID apps s.r.o., IČO 19896867, se sídlem Hrdinů 122/11, Liberec XII-Staré Pavlovice, 460 01 Liberec (dále jen „zpracovatel“), se zákazníkem, který používá Úkolníček pro svou podnikatelskou nebo organizační činnost a určuje účely a prostředky zpracování osobních údajů vložených do služby (dále jen „správce“).

Smlouva se použije od okamžiku, kdy správce začne ve službě zpracovávat osobní údaje svým jménem. Na údaje účtu, které ID apps s.r.o. zpracovává pro vlastní smluvní, bezpečnostní a právní účely, se použijí zásady ochrany osobních údajů a ID apps s.r.o. je jejich samostatným správcem.

2. Předmět, doba, povaha a účel zpracování

3. Subjekty a druhy osobních údajů

Podle způsobu používání služby mohou být subjekty údajů zejména:

• zaměstnanci, spolupracovníci a uživatelé správce,
• zákazníci, dodavatelé, kontaktní osoby a obchodní partneři,
• další osoby uvedené v úkolech, komentářích, přílohách či sdílení.

Zpracovávané údaje mohou zahrnovat zejména:

• identifikační a kontaktní údaje,
• pracovní zařazení, organizaci a údaje o spolupráci,
• obsah úkolů, projektů, komentářů, příloh a termínů,
• technické identifikátory a údaje o používání sdílených funkcí.

Služba není určena k pravidelnému zpracování zvláštních kategorií osobních údajů ani údajů o rozsudcích a trestných činech. Pokud je správce přesto vloží, musí předem posoudit zákonnost, nezbytnost a přiměřené zabezpečení a jeho pokyn nesmí být v rozporu s právními předpisy.

4. Pokyny a povinnosti správce

Zpracovatel zpracovává osobní údaje pouze na doložené pokyny správce, jimiž jsou tato smlouva, nastavení a úkony správce v aplikaci a další písemné pokyny přijaté z ověřeného kontaktu. Předání údajů mimo EHP je také možné jen na pokyn správce nebo na základě právní povinnosti a s odpovídající zárukou podle kapitoly V GDPR.

Správce odpovídá zejména za to, že:

• má pro zpracování údajů platný právní základ a plní informační povinnost,
• vkládá jen údaje přiměřené a nezbytné pro stanovené účely,
• řídí oprávnění svých uživatelů a chrání přístupové údaje,
• pokyny zpracovateli jsou zákonné a neporušují práva subjektů údajů,
• oznámí zpracovateli bez zbytečného odkladu podezření na zneužití účtu.

Pokud se zpracovatel domnívá, že pokyn porušuje GDPR nebo jiný předpis o ochraně údajů, upozorní správce a může provedení pokynu pozastavit do jeho vyjasnění.

5. Povinnosti zpracovatele

Zpracovatel se zavazuje:

• zpracovávat údaje pouze podle doložených pokynů správce,
• zajistit, aby osoby oprávněné údaje zpracovávat byly vázány mlčenlivostí a měly přístup pouze v nezbytném rozsahu,
• přijmout opatření podle článku 32 GDPR popsaná v článku 11,
• dodržet pravidla pro další zpracovatele podle článku 6,
• přiměřeně pomáhat správci s žádostmi subjektů údajů, zabezpečením, posouzením vlivu a konzultací s dozorovým úřadem,
• dát správci informace potřebné k doložení souladu s článkem 28 GDPR a umožnit audit podle článku 9,
• po skončení služby data vrátit nebo vymazat podle článku 10.

6. Další zpracovatelé

Správce uděluje obecné písemné povolení k zapojení těchto kategorií a aktuálních dalších zpracovatelů:

WEDOS Internet, a.s. poskytuje DNS a doménové služby a běžně nemá přístup k obsahu uloženému v aplikaci. Může zpracovávat nezbytná technická metadata související s provozem DNS.

Zpracovatel zajistí, aby další zpracovatel převzal v podstatě stejné povinnosti ochrany údajů. Zamýšlenou podstatnou změnu seznamu oznámí správci e-mailem nebo v aplikaci alespoň 15 dnů předem, pokud tomu nebrání naléhavý bezpečnostní důvod. Správce může v této lhůtě vznést odůvodněnou námitku týkající se ochrany údajů. Pokud se strany nedohodnou na přiměřeném řešení, může správce službu před zapojením nového zpracovatele ukončit.

7. Žádosti subjektů údajů

Pokud zpracovatel obdrží žádost týkající se údajů, jejichž správcem je zákazník, žádost bez zbytečného odkladu předá správci a sám na ni nebude věcně odpovídat, ledaže jej k tomu správce pověří nebo mu to uloží zákon. Zpracovatel poskytne přiměřenou součinnost s ohledem na povahu zpracování a informace, které má k dispozici.

8. Porušení zabezpečení

Zpracovatel oznámí správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví. Oznámení podle dostupných informací popíše povahu incidentu, dotčené kategorie údajů a osob, pravděpodobné důsledky, přijatá nebo navržená opatření a kontakt pro další komunikaci. Informace může doplňovat postupně, pokud je nelze poskytnout současně.

9. Informace a audit

Zpracovatel na žádost poskytne přiměřené dokumenty a informace k doložení plnění této smlouvy. Pokud nejsou dostatečné, správce může jednou ročně a po předchozím oznámení alespoň 30 dnů provést audit sám nebo prostřednictvím nezávislého auditora vázaného mlčenlivostí. Audit nesmí ohrozit bezpečnost ani práva jiných zákazníků.

Každá strana nese své běžné náklady. Správce uhradí přiměřené mimořádné náklady zpracovatele, pokud audit neodhalí podstatné porušení této smlouvy. Omezení četnosti neplatí po bezpečnostním incidentu nebo na žádost dozorového úřadu.

10. Vrácení a výmaz údajů

Po dobu aktivního účtu může správce požádat o kopii svých údajů. Samoobslužný export do CSV bude doplněn přímo v aplikaci; do té doby jej lze vyžádat na rethy@dreamind.cz.

Po ukončení služby zpracovatel podle volby správce osobní údaje vrátí nebo odstraní z aktivních systémů bez zbytečného odkladu. Záložní kopie budou přepsány nejpozději do 30 dnů a do té doby zůstanou chráněné a nebudou použity k jinému účelu než obnově po havárii. Povinnost výmazu se nepoužije v rozsahu, v němž další uchování ukládá právo Evropské unie nebo České republiky.

11. Technická a organizační opatření

S ohledem na stav techniky, náklady, povahu zpracování a rizika zpracovatel udržuje zejména tato opatření:

• šifrovaný přenos dat prostřednictvím HTTPS/TLS,
• bezpečné ukládání přihlašovacích údajů a správa relací,
• řízení přístupu podle rolí a principu nejmenších oprávnění,
• oddělení produkčního prostředí a omezení administrátorského přístupu,
• pravidelné aktualizace závislostí a bezpečnostních oprav,
• zálohování s omezenou dobou uchování a postupy obnovy,
• provozní a bezpečnostní logování s omezenou dobou uchování,
• postup pro vyhodnocení a řešení bezpečnostních incidentů,
• mlčenlivost a omezení přístupu osob zajišťujících provoz.

Opatření může zpracovatel průběžně měnit, pokud tím nesníží celkovou úroveň ochrany odpovídající riziku.

12. Závěrečná ustanovení

Tato smlouva trvá po dobu, kdy zpracovatel pro správce zpracovává osobní údaje. V případě rozporu týkajícího se zpracování osobních údajů má tato smlouva přednost před všeobecnými obchodními podmínkami. Pojmy správce, zpracovatel, osobní údaje a zpracování mají význam podle GDPR.

Změny, které podstatně snižují ochranu údajů, oznámí zpracovatel předem. Dotazy a pokyny může správce posílat na rethy@dreamind.cz. Smlouva se řídí právem České republiky a příslušnými předpisy Evropské unie o ochraně osobních údajů.