Zpracovatelská smlouva

Pro koho tento dokument je: pro firmy, kterým provozujeme web nebo firemní systém obsahující osobní údaje jejich zákazníků. Tvoří přílohu smlouvy o poskytování služeb.

Hledáte, jak nakládáme s vašimi údaji jako návštěvníka webu nebo klienta realitních služeb? To najdete v Zásadách ochrany osobních údajů.

1. Úvodní ustanovení

Tento dokument tvoří smlouvu o zpracování osobních údajů podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „nařízení“). Uzavírá se mezi:

• Zpracovatelem – Cogniterra Group, s.r.o., IČO 23704624, se sídlem 5. května 159/15, 460 01 Liberec,
• Správcem – zákazníkem, kterému Zpracovatel poskytuje technologické služby podle obchodních podmínek.

Smlouva se uplatní tehdy, zpracovává-li Zpracovatel v rámci poskytovaných služeb osobní údaje, za jejichž zpracování odpovídá Správce – typicky údaje o zákaznících Správce vedené ve firemním systému nebo přijaté prostřednictvím webu, který Zpracovatel provozuje.

Smlouva se naopak neuplatní tam, kde Zpracovatel vystupuje jako samostatný správce, zejména u vlastních realitních služeb; ty upravují Zásady ochrany osobních údajů.

2. Předmět, povaha a účel zpracování

• Předmět: provoz a údržba systémů dodaných Zpracovatelem (webové stránky, firemní systém, evidence poptávek) a související technická podpora.
• Povaha: ukládání, uchovávání, zpřístupnění, oprava, zálohování a výmaz údajů; údaje se nezpracovávají za účelem vlastního rozhodování Zpracovatele.
• Účel: výhradně poskytnutí sjednané služby Správci.
• Doba: po dobu trvání smlouvy o poskytování služeb, není-li v čl. 10 stanoveno jinak.

Konkrétní kategorie údajů a subjektů údajů vymezuje Příloha A.

3. Pokyny Správce

• Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, včetně pokynů týkajících se předání do třetí země, nestanoví-li mu jinou povinnost právní předpis.
• Za pokyn se považuje i sjednaný rozsah služby podle smlouvy a obchodních podmínek.
• Má-li Zpracovatel za to, že pokyn Správce porušuje nařízení nebo jiný předpis o ochraně osobních údajů, neprodleně na to Správce upozorní.
• Správce odpovídá za to, že má pro zpracování platný právní základ a že údaje předává v souladu s právními předpisy.

4. Mlčenlivost

Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Povinnost trvá i po skončení jejich činnosti pro Zpracovatele.

5. Zabezpečení zpracování

Zpracovatel přijímá s ohledem na stav techniky, náklady na provedení a povahu zpracování vhodná technická a organizační opatření podle čl. 32 nařízení, zejména:

• šifrovaný přenos dat (HTTPS/TLS) mezi uživatelem, systémem a Zpracovatelem,
• řízení přístupu na základě individuálních účtů a hesel; přístup pouze pro osoby, které jej potřebují k plnění úkolů,
• oddělení provozního a testovacího prostředí,
• pravidelné zálohování a ověřování obnovitelnosti záloh,
• aktualizace použitého software a serverového prostředí,
• ochrana administrátorských rozhraní proti indexování a neoprávněnému přístupu.

Zpracovatel je oprávněn opatření měnit, nesmí však snížit dosaženou úroveň zabezpečení.

6. Další zpracovatelé

• Správce uděluje Zpracovateli obecné povolení zapojit do zpracování další zpracovatele uvedené v Příloze B.
• Zpracovatel uloží dalšímu zpracovateli stejné povinnosti v oblasti ochrany osobních údajů, jaké má sám podle této smlouvy, a odpovídá Správci za plnění jeho povinností.
• Zamýšlí-li Zpracovatel dalšího zpracovatele přidat nebo nahradit, oznámí to Správci nejméně 30 dnů předem. Správce může v této lhůtě z vážných důvodů souvisejících s ochranou osobních údajů vznést námitku; nedojde-li k dohodě, může kterákoli strana smlouvu o poskytování služeb vypovědět bez sankce.

7. Součinnost při výkonu práv subjektů údajů

Zpracovatel poskytne Správci s ohledem na povahu zpracování přiměřenou součinnost při plnění jeho povinnosti reagovat na žádosti subjektů údajů podle kapitoly III nařízení (přístup, oprava, výmaz, omezení, přenositelnost, námitka).

Obrátí-li se subjekt údajů se žádostí přímo na Zpracovatele, Zpracovatel ji sám nevyřizuje a bez zbytečného odkladu ji předá Správci.

8. Porušení zabezpečení a posouzení vlivu

• Zjistí-li Zpracovatel porušení zabezpečení osobních údajů, ohlásí je Správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl.
• Ohlášení obsahuje popis povahy porušení, dotčené kategorie a přibližný počet subjektů údajů a záznamů, pravděpodobné důsledky a přijatá či navrhovaná opatření, jsou-li tyto informace Zpracovateli známy.
• Zpracovatel poskytne Správci součinnost při plnění povinností podle čl. 32 až 36 nařízení, zejména při posouzení vlivu na ochranu osobních údajů a při předchozí konzultaci s dozorovým úřadem.

9. Doložení souladu a kontrola

• Zpracovatel poskytne Správci na jeho žádost informace potřebné k doložení plnění povinností podle čl. 28 nařízení.
• Správce je oprávněn provést kontrolu, a to nejvýše jednou za kalendářní rok, po písemném oznámení nejméně 14 dnů předem, v pracovní době a způsobem, který nenaruší provoz Zpracovatele. Náklady na kontrolu nese Správce, ledaže kontrola prokáže podstatné porušení této smlouvy.
• Kontrola se nesmí týkat údajů jiných zákazníků Zpracovatele ani jeho obchodního tajemství.

10. Výmaz a vrácení údajů

• Po ukončení poskytování služeb Zpracovatel podle volby Správce osobní údaje vymaže, nebo je Správci vrátí ve strojově čitelném formátu.
• Volbu sdělí Správce nejpozději do 30 dnů od ukončení služby. Neučiní-li tak, Zpracovatel údaje po uplynutí této lhůty vymaže.
• Zpracovatel je oprávněn ponechat si kopii údajů po dobu, po kterou mu to ukládá právní předpis, a v rozsahu nezbytném pro ochranu svých oprávněných zájmů; na takové údaje se nadále vztahuje čl. 4 a 5.
• Údaje obsažené v běžných provozních zálohách se vymažou nejpozději uplynutím obvyklého retenčního cyklu záloh.

11. Předávání do třetích zemí

Zpracování probíhá zpravidla na území Evropské unie. Někteří další zpracovatelé uvedení v Příloze B mohou zpracovávat údaje mimo EU a EHP. V takovém případě Zpracovatel zajistí, aby předání bylo založeno na některém z nástrojů podle kapitoly V nařízení, zejména na rozhodnutí o odpovídající ochraně nebo na standardních smluvních doložkách.

12. Odpovědnost

Odpovědnost smluvních stran se řídí nařízením a obchodními podmínkami. Ustanovení o omezení náhrady škody v obchodních podmínkách se nepoužije na povinnost nahradit újmu podle čl. 82 nařízení ani na správní pokuty uložené dozorovým úřadem.

13. Trvání a závěrečná ustanovení

• Smlouva nabývá účinnosti zahájením poskytování služby a trvá po dobu, po kterou Zpracovatel zpracovává osobní údaje pro Správce.
• Ustanovení o mlčenlivosti a o výmazu údajů trvají i po jejím skončení.
• Změny přílohy B provádí Zpracovatel postupem podle čl. 6.
• Ve zbytku se použijí obchodní podmínky Zpracovatele a právo České republiky.

Příloha A – Rozsah zpracování

Kategorie subjektů údajů

• zájemci a klienti Správce, kteří odeslali poptávku nebo jsou vedeni v jeho evidenci,
• uživatelé webu Správce, kteří vyplnili formulář nebo použili chatbota,
• zaměstnanci a spolupracovníci Správce s přístupem do systému.

Kategorie osobních údajů

• identifikační a kontaktní údaje: jméno a příjmení, e-mail, telefon, případně adresa,
• obsah komunikace: text poptávky, poznámky k jednání, historie konverzace,
• údaje o poptávce: typ a parametry nemovitosti nebo služby, zdroj poptávky, stav obchodu,
• technické údaje: IP adresa, časová razítka, identifikátor relace,
• přihlašovací údaje uživatelů systému.

Zvláštní kategorie údajů

Nejsou předmětem zpracování. Správce se zavazuje je do systému nevkládat, nedohodnou-li se strany písemně jinak.

Příloha B – Schválení další zpracovatelé

K datu poslední aktualizace tohoto dokumentu jsou zapojeni tito další zpracovatelé:

• Hetzner Online GmbH (Německo, EU) – provoz serverové infrastruktury, uložení databáze a záloh.
• Google Ireland Limited / Google LLC – přenos vybraných údajů o poptávkách do tabulky Správce, je-li tato funkce zapnuta.
• Telegram FZ-LLC (Spojené arabské emiráty) – zasílání upozornění na nové poptávky, obsahuje kontaktní údaje ze zprávy. Používá se pouze na výslovný pokyn Správce.
• OpenAI Ireland Ltd / OpenAI, L.L.C. – zpracování textu při provozu chatbota a obsahových funkcí; může zahrnovat obsah zprávy zadané uživatelem.

Aktuální seznam je vždy uveden na této stránce. Změny Zpracovatel oznamuje postupem podle čl. 6.