Smlouva o zpracování osobních údajů

1. Předmět

Zpracovatel zpracovává osobní údaje jménem Správce v rozsahu nezbytném k poskytování služby Baaito podle smlouvy.

2. Doba trvání

Tato DPA se použije po dobu trvání smlouvy a po celou dobu, po kterou Zpracovatel zpracovává osobní údaje jménem Správce, včetně doby pro export a výmaz podle článku 12.

3. Povaha a účel zpracování

Zpracování spočívá v ukládání, uspořádávání, vyhledávání, předávání povoleným službám a výmazu osobních údajů pro účely přípravy dokumentů, konverzací s asistentem Baaito a vyhledávání ve zdrojích poskytnutých Správcem.

4. Kategorie údajů a subjektů údajů

• Subjekty údajů: uživatelé Správce; osoby uvedené v dokumentech a zdrojích Správce.
• Kategorie údajů: identifikační a kontaktní údaje, údaje o organizaci a rolích a veškeré osobní údaje obsažené v konverzacích, dokumentech, nahraných zdrojích a vstupech a výstupech generování.
• Správce nesmí vkládat zvláštní kategorie osobních údajů, pokud k tomu nemá právní základ a neposoudil rizika.

5. Zpracování na základě doložených pokynů

Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, a to i v případě předání do třetích zemí, ledaže mu zpracování ukládá právo EU nebo členského státu; v takovém případě informuje Správce před zahájením zpracování, pokud to právní předpisy nezakazují. Pokyny Správce tvoří smlouva, tato DPA a nastavení provedená administrátory Správce ve službě (například povolené modely AI a integrace). Zpracovatel informuje Správce, pokud se domnívá, že některý pokyn porušuje právní předpisy o ochraně osobních údajů.

6. Mlčenlivost pracovníků

Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala příslušná zákonná povinnost mlčenlivosti.

7. Technická a organizační opatření

Zpracovatel zavádí opatření uvedená v příloze 2 a zajišťuje jejich přiměřenost riziku v souladu s čl. 32 GDPR.

8. Další zpracovatelé

Správce uděluje obecné povolení k zapojení dalších zpracovatelů uvedených na /legal/subprocessors. Zpracovatel informuje Správce o každém zamýšleném doplnění nebo nahrazení dalšího zpracovatele alespoň 30 dnů předem; Správce může v této lhůtě vznést námitku z odůvodněných důvodů týkajících se ochrany osobních údajů. Není-li nalezeno řešení, může Správce ukončit využívání dotčené služby. Zpracovatel uloží každému dalšímu zpracovateli povinnosti v oblasti ochrany osobních údajů rovnocenné povinnostem podle této DPA a nadále odpovídá za plnění jeho povinností.

9. Mezinárodní předávání

Osobní údaje jsou předávány mimo EU/EHP pouze na základě rozhodnutí o odpovídající ochraně nebo standardních smluvních doložek (modul 3, předávání mezi zpracovateli), případně doplněných o dodatečná opatření.

10. Součinnost se Správcem

S ohledem na povahu zpracování poskytuje Zpracovatel Správci prostřednictvím vhodných opatření součinnost při vyřizování žádostí subjektů údajů, při posuzování vlivu na ochranu osobních údajů, při předchozích konzultacích s dozorovými úřady a při plnění dalších povinností Správce podle čl. 32 až 36 GDPR.

11. Porušení zabezpečení osobních údajů

Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozví, a poskytne informace, které má v daném okamžiku k dispozici. Další informace poskytuje průběžně, jakmile jsou dostupné.

12. Vrácení a výmaz

Po skončení smlouvy může Správce po dobu 30 dnů exportovat své údaje. Zpracovatel poté osobní údaje vymaže; záložní kopie budou vymazány do 35 dnů, pokud právo EU nebo členského státu nevyžaduje jejich uložení.

13. Audity

Zpracovatel zpřístupní informace nezbytné k doložení souladu s čl. 28 GDPR, zejména prostřednictvím certifikátů, zpráv a odpovědí na bezpečnostní dotazníky. Pokud tyto podklady nepostačují, může Správce po přiměřeném předchozím oznámení provést audit na místě, v pracovní době a na vlastní náklady, při zachování mlčenlivosti.

Příloha 1 – Popis zpracování

Příloha 2 – Technická a organizační opatření

• Šifrování údajů při přenosu (TLS).
• Logické oddělení údajů podle jednotlivých organizací a řízení přístupu na základě rolí.
• Vedení auditních záznamů o úkonech významných pro zabezpečení a o administrativních úkonech.
• Šifrované ukládání tajných údajů a přihlašovacích údajů ke konektorům.
• Uchovávání záloh po dobu 35 dnů.
• Dokumentované postupy řešení incidentů včetně ohlášení porušení zabezpečení osobních údajů do 48 hodin.