NIS2 READY

Zkusit

Smlouva o zpracování osobních údajů (DPA)

Smlouva o zajištění ochrany osobních údajů zpracovávaných zpracovatelem

uzavřená v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), a se zákonem č. 18/2018 Z. z. o ochraně osobních údajů a o změně a doplnění některých zákonů ve znění pozdějších předpisů

(dále jen „DPA“)

Smluvní strany

Tato DPA se uzavírá mezi:

Zákazníkem ve smyslu Všeobecných obchodních podmínek společnosti ITACON, s. r. o. (dále jen „VOP“), dostupných na webových stránkách Tazilla (dále jen „Správce“)

a

ITACON, s. r. o., se sídlem Kominárska 2, 831 04 Bratislava – městská část Nové Mesto, IČO: 50838563, zastoupená Terézií Rybárovou, jednatelkou (dále jen „Zpracovatel“).

(Správce a Zpracovatel dále jednotlivě také jako „Smluvní strana“ a společně také jako „Smluvní strany“.)

Preambule

Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR“), vyžaduje, aby vzájemné vztahy mezi Správcem a Zpracovatelem při zpracování osobních údajů byly upraveny smlouvou v písemné nebo elektronické podobě. Z uvedeného důvodu Smluvní strany uzavírají podle článku 28 GDPR tuto DPA.

Článek 1 – Úvodní ustanovení

  1. Cílem této DPA je zajištění bezpečného zpracování osobních údajů Správce Zpracovatelem v souvislosti s používáním aplikace Tazilla.
  2. Smluvní strany se zavazují při plnění závazků podle této DPA v souvislosti s ochranou osobních údajů dodržovat předpisy a ustanovení GDPR a zákona č. 18/2018 Z. z. o ochraně osobních údajů a o změně a doplnění některých zákonů ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“). Správce na základě této DPA pověřuje Zpracovatele zpracováním osobních údajů v rozsahu zajištění naplnění předmětu a účelu této DPA.
  3. Smluvní strany prohlašují, že při zpracování osobních údajů prostřednictvím Tazilla a v rámci kompetencí vyplývajících z této DPA budou za všech okolností dbát na maximální bezpečnost a ochranu zpracovávaných údajů před neoprávněným přístupem, únikem, ztrátou, zničením, zneužitím, modifikací nebo znehodnocením.
  4. Zpracovatel prohlašuje, že správu a provoz Tazilla zajišťuje v souladu s požadavky vyplývajícími ze zákona č. 69/2018 Z. z. o kybernetické bezpečnosti a o změně a doplnění některých zákonů, zákona o ITVS a souvisejících prováděcích předpisů.

Článek 2 – Předmět, účel a doba zpracování a trvání této DPA

  1. Předmětem této DPA je úprava práv a povinností Smluvních stran při zajištění ochrany osobních údajů Správce při jejich zpracování prostřednictvím Tazilla.
  2. Správce tímto pověřuje Zpracovatele zpracováním osobních údajů výlučně za účelem poskytování Služby podle VOP, zejména za účelem umožnění používání jednotlivých modulů aplikace Tazilla. Zpracování se provádí pouze po dobu poskytování služby. Zpracovatel zpracovává osobní údaje výlučně na základě pokynů Správce.
  3. Zpracovatel je oprávněn používat agregované nebo řádně anonymizované údaje, které již nepředstavují osobní údaje ve smyslu GDPR, za účelem zlepšování a optimalizace služby ze strany Správce.
  4. Rozsah zpracovávaných osobních údajů jménem Správce pro účely této DPA je ve smyslu čl. 28 GDPR specifikován v Zásadách ochrany osobních údajů, dostupných na webových stránkách Tazilla.
  5. Správce určuje obsah osobních údajů vkládaných do aplikace a je odpovědný za to, aby do systému nevkládal osobní údaje nad rozsah nezbytný pro plnění účelu zpracování.
  6. Zpracovatel nezpracovává zvláštní kategorie osobních údajů podle čl. 9 GDPR, pokud je do systému nevloží Správce, přičemž v takovém případě odpovídá za zákonnost jejich zpracování Správce.
  7. Doba zpracování osobních údajů ve smyslu této DPA je vymezena dobou trvání smluvního vztahu založeného akceptací VOP, tedy po dobu, během níž má Zákazník aktivní přístup ke Službě. Tato DPA se uzavírá na stejnou dobu jako uvedený smluvní vztah a zaniká okamžikem jeho ukončení způsobem upraveným v čl. 7 VOP.

Článek 3 – Práva a povinnosti Smluvních stran

  1. Správce odpovídá za zákonnost zpracování osobních údajů ve své organizaci, včetně zpracování prováděného jeho uživateli, zaměstnanci, partnery nebo jinými smluvními stranami prostřednictvím Tazilla.
  2. Zpracovatel se zavazuje zpracovávat osobní údaje Správce v rozsahu dohodnutém v článku 2 této DPA. Zpracovávat je bude pouze za tím účelem, takovými prostředky a takovým způsobem, které jsou dohodnuty v této DPA. Bude dbát na to, aby nebyla ohrožena důvěrnost, integrita a dostupnost zpracovávaných osobních údajů. Osobní údaje, se kterými se Zpracovatel seznámí, nevyužije pro vlastní potřebu a bude o nich zachovávat mlčenlivost i po skončení platnosti a účinnosti této DPA. Zpracovávané údaje bez souhlasu Správce nezveřejní, nezpřístupní je neoprávněné osobě, neuskuteční jejich přeshraniční přenos a neposkytne je třetí straně s výjimkou subdodavatelů nezbytných pro provoz cloudové služby (dále pro účely tohoto článku společně jako „subdodavatelé“). Seznam subdodavatelů je uveden v příloze č. 1 této DPA. Subdodavatelé mohou provádět zpracování osobních údajů pouze za podmínek dohodnutých v odst. 10 tohoto článku a jsou povinni splňovat stejné bezpečnostní standardy, jakož i požadavky GDPR, jako Zpracovatel. Zpracovatel nebude osobní údaje zpracovávat jiným způsobem, zejména je nebude uspořádávat, strukturovat, uchovávat, měnit, vyhledávat, prohlížet, využívat, poskytovat, přeskupovat, kombinovat, omezovat nebo vymazávat, pokud to nesouvisí s účelem zpracování osobních údajů vymezeným v této DPA. Zpracovatel po ukončení zpracování osobní údaje ve lhůtě 30 kalendářních dnů na základě písemného pokynu Správce podle povahy zpracovatelských operací vrátí Správci nebo vymaže a stejně tak vymaže všechny kopie a zálohy, které obsahují osobní údaje, pokud je to možné podle aktuálního nastavení (funkcionality) Tazilla a v souladu s příslušnými obecně závaznými právními předpisy.
  3. Zpracovatel je povinen zároveň bez zbytečného odkladu informovat Správce a relevantně odůvodnit, pokud se domnívá, že se pokynem Správce porušují ustanovení GDPR, zákona o ochraně osobních údajů nebo jiné obecně závazné právní předpisy týkající se ochrany osobních údajů.
  4. Zpracovatel je povinen poskytnout Správci bez zbytečného odkladu informace potřebné k prokázání splnění povinností Zpracovatele a poskytnout součinnost v rámci auditu ochrany osobních údajů a kontroly ze strany Správce nebo auditora, kterého pověřil Správce, a při přijímání opatření na základě žádosti subjektu údajů, při zajišťování plnění povinností týkajících se bezpečnosti ochrany osobních údajů a při prokazování splnění povinností v rámci auditu ochrany osobních údajů. Za tímto účelem je Zpracovatel povinen umožnit osobám, které takový audit nebo kontrolu provádějí, přístup k údajům a příslušné dokumentaci, a to nejen v případě, pokud tyto činnosti, resp. dokumentaci prokazatelně nedokáže zajistit sám Správce. Pokud Správce požádá Zpracovatele při auditu ochrany osobních údajů o součinnost, Zpracovatel se zavazuje tuto neodmítnout, pokud má dané informace prokazatelně k dispozici, a poskytnout mu součinnost bez zbytečného odkladu. O výsledcích auditu ochrany osobních údajů nebo kontroly se sepíše protokol, ve kterém se zaznamenají všechny skutečnosti podstatné pro ochranu osobních údajů, včetně oboustranně schválených opatření k odstranění zjištěných nesouladů s termínem jejich plnění.
  5. Zpracovatel se zavazuje v co největší míře bez zbytečného odkladu poskytovat Správci součinnost vhodnými technickými a organizačními opatřeními při plnění jeho povinností ve vztahu k výkonu práv subjektů údajů, kterých se předmětné zpracování podle této DPA týká.
  6. Zpracovatel se dále zavazuje poskytnout bez zbytečného odkladu nezbytnou součinnost Správci při vyřízení žádosti, resp. stížnosti subjektu údajů.
  7. V souladu s právy subjektů údajů, jejichž osobní údaje Zpracovatel zpracovává jménem Správce, bude Zpracovatel jednat a poskytovat Správci nezbytnou součinnost na základě písemných žádostí, ve kterých Správce poskytne Zpracovateli přiměřenou lhůtu, která nesmí být kratší než 5 pracovních dnů. V případě přijetí žádosti subjektu údajů související s vyřizováním jeho práv vůči Správci postoupí uvedenou žádost subjektu údajů Správci.
  8. Zpracovatel prohlašuje, že má zavedena nezbytná technická opatření pro bezpečné zpracování osobních údajů Správce ve smyslu této DPA. Zpracovatel prohlašuje, že má zavedena nezbytná personální a organizační opatření pro bezpečné zpracování osobních údajů, včetně zajištění, aby se osoby oprávněné zpracovávat osobní údaje zavázaly, že zachovají mlčenlivost o informacích, o kterých se v průběhu zpracování dozvěděly.
  9. Za přijetí organizačních a technických bezpečnostních opatření v rámci zpracování osobních údajů na straně Správce, jakož i za zpracování příslušné bezpečnostní dokumentace odpovídá Správce.
  10. Správce souhlasí s tím, aby Zpracovatel pověřil zpracováním osobních údajů své subdodavatele za účelem, v rozsahu a způsobem dohodnutým v této DPA. Zpracovatel oznámí Správci identifikační údaje všech subdodavatelů, kteří se podílejí, resp. budou podílet na plnění podle této DPA (při výkonu jejich smluvních činností může z jejich strany docházet ke zpracování osobních údajů Správce, resp. k seznamování se s nimi), před zapojením Subdodavatele do zpracování osobních údajů podle této DPA. V případě plánovaného přidání nebo nahrazení subdodavatele Zpracovatel oznámí elektronickou formou 14 dnů před plánovanou změnou (na adresu odpovědné osoby uvedené v této DPA) Správci jejich identifikační údaje. Subdodavatelé mohou provádět zpracování osobních údajů Správce pouze za dohodnutým účelem a v rozsahu daném oprávněním Správce vůči Zpracovateli a pouze na základě písemných pokynů ze strany Zpracovatele podle článku 28 odst. 4 GDPR. Zpracovatel odpovídá za činnost subdodavatelů v plném rozsahu.
  11. Správce je oprávněn ve lhůtě 10 pracovních dnů od doručení oznámení o změně Subdodavatele vznést písemnou a odůvodněnou námitku na adresu support@tazilla.com z důvodů týkajících se ochrany osobních údajů. Námitka musí být založena na prokazatelném riziku porušení právních předpisů o ochraně osobních údajů. V případě vznesení námitky se Smluvní strany zavazují jednat o jejím vyřešení. Pokud se nedohodnou a Zpracovatel trvá na použití nového Subdodavatele, je Správce oprávněn vypovědět Smlouvu ve vztahu k dotčené Službě bez nároku na náhradu škody na straně Zákazníka.
  12. Zpracovatel se zavazuje poskytnout Správci bez zbytečného odkladu veškerou požadovanou pomoc, součinnost při plnění závazků Správce vůči dozorovému orgánu, a to zejména při předchozí konzultaci s dozorovým orgánem, dodržování všech pokynů a rad pro zpracování osobních údajů, které poskytl dozorový orgán, a při výkonu pravomoci dozorového orgánu.
  13. Při nahlášení porušení ochrany osobních údajů podle článků 33 a 34 GDPR a ustanovení § 40 a § 41 zákona o ochraně osobních údajů a/nebo vzniku bezpečnostního incidentu, který je porušením ochrany osobních údajů, pokud se takový bezpečnostní incident zjistí na straně Zpracovatele a bude se týkat osobních údajů zpracovávaných na základě této DPA, je Zpracovatel povinen nahlásit bezpečnostní incident způsobem podle čl. 9 VOP, a to bez zbytečného odkladu Správci, nejpozději však do 24 hodin od okamžiku, kdy se o porušení ochrany osobních údajů dozvěděl, a poskytnout všechny relevantní informace, a to zejména povahu porušení, kategorie, přibližný počet dotčených subjektů údajů, počet příslušných záznamů o osobních údajích, pravděpodobné důsledky a opatření, která byla přijata k řešení a zmírnění porušení ochrany osobních údajů. Rozsah poskytnutých informací je nezbytný k provedení analýzy dopadů na práva a svobody fyzických osob a zhodnocení, zda bezpečnostní incident představuje riziko pro práva subjektů údajů, jakož i míru takového rizika.

Článek 4 – Odpovědnost za škodu a náhrada škody

  1. Zpracovatel odpovídá za škodu, která vznikla Správci, jakož i za škodu, která vznikla subjektům údajů, a to v důsledku jeho činnosti při zpracování osobních údajů, v případě, že porušil své povinnosti související se zpracováním osobních údajů stanovené v této DPA, v GDPR, v zákoně o ochraně osobních údajů, ve zvláštním předpisu nebo v mezinárodní smlouvě, kterou je Slovenská republika vázána, nebo pokud Zpracovatel jednal nad rámec, případně v rozporu s předmětnými pokyny Správce, které byly v souladu s GDPR, zákonem o ochraně osobních údajů, zvláštním předpisem nebo mezinárodní smlouvou, kterou je Slovenská republika vázána.
  2. Maximální výše náhrady škody podle této DPA je omezena na částku, kterou Zákazník skutečně uhradil Poskytovateli za poskytování Služby během období 12 měsíců bezprostředně předcházejících události, která vedla ke vzniku škody. Pokud ke dni vzniku škody trvání poskytování Služby nepřekročilo 12 měsíců, zohlední se částka skutečně uhrazená za toto kratší období, nejméně však ve výši 1 500 EUR. Uvedené omezení se nevztahuje na případy úmyslného jednání.
  3. Zpracovatel je podle odst. 1 tohoto článku povinen uhradit Správci, jakož i subjektům údajů způsobenou škodu v prokázané výši, pouze pokud se prokáže, že škodu zavinil.
  4. Za škodu se považuje také pokuta, kterou bude muset Správce uhradit dozorovému orgánu v důsledku porušení povinností Zpracovatelem podle zákona o ochraně osobních údajů.
  5. Zpracovatel se může zcela zprostit odpovědnosti podle tohoto článku této DPA, pokud prokáže, že nenese žádnou odpovědnost za událost, která způsobila škodu, jakož i v případě, pokud prokáže, že vznik škody nezavinil. Zpracovatel se může zprostit odpovědnosti zčásti, pokud prokáže, že na vzniku škody měla vliv také činnost Správce.
  6. V případě, že není možné určit podíl odpovědnosti Správce a Zpracovatele na vzniku škody při zpracování osobních údajů, avšak je prokázáno, že škoda vznikla činností Správce a Zpracovatele, Správce a Zpracovatel odpovídají za škodu společně a nerozdílně.
  7. V případě, že je podíl odpovědnosti možné určit a jedna Smluvní strana nahradí škodu způsobenou subjektům údajů, resp. pokutu dozorovému orgánu v plné výši, má vůči druhé Smluvní straně nárok na úhradu té části náhrady škody, resp. pokuty, která odpovídá jejímu podílu odpovědnosti.

Článek 5 – Pravidla vzájemné komunikace Smluvních stran

  1. Smluvní strany se dohodly, že jakékoli písemnosti týkající se předmětu této DPA, které mají, resp. mohou mít dopad na vzájemná práva a povinnosti Smluvních stran upravené touto DPA, budou doručovány způsobem podle čl. 9 VOP.

Článek 6 – Závěrečná ustanovení

  1. Tato DPA tvoří nedílnou součást smluvního vztahu založeného akceptací Všeobecných obchodních podmínek a je zároveň nedílnou součástí samotných VOP ve smyslu bodu 1.4 těchto VOP. DPA nabývá platnosti a účinnosti okamžikem, kdy konkrétní Zákazník vyjádří souhlas s VOP způsobem podle bodu 3.1 VOP.
  2. Smluvní strany prohlašují, že tuto DPA uzavírají svobodně a vážně, že jejich smluvní volnost není omezena.
  3. Smluvní strany prohlašují, že tato DPA nebyla uzavřena za nevýhodných podmínek nebo v tísni, že si ji řádně přečetly, jejímu obsahu porozuměly a na znamení souhlasu s jejím obsahem připojují oprávnění zástupci obou Smluvních stran své vlastnoruční podpisy.
  4. Pokud by kterékoli ustanovení této DPA bylo nebo se stalo neplatným nebo neúčinným, ať již zcela nebo jen zčásti, ostatní ustanovení této DPA, kterých se neplatnost nebo neúčinnost přímo netýká, tím nejsou dotčena a zůstávají nadále v platnosti a účinnosti. Smluvní strany se zároveň v takovém případě zavazují bez zbytečného odkladu nahradit neplatné nebo neúčinné ustanovení této DPA takovým ustanovením, které bude platné a účinné a které bude v co největší možné míře odpovídat vůli a úmyslu smluvních stran vyjádřeným v neplatném nebo neúčinném ustanovení. Pokud to nebude právně možné, na úpravu vztahu mezi smluvními stranami se použije taková platná právní úprava, která se svou povahou co nejvíce přibližuje účelu a obsahu této DPA.
  5. V případě vzniku sporu z této DPA nebo v souvislosti s ní se Smluvní strany zavazují vyvinout maximální úsilí k vyřešení takového sporu primárně vzájemnou dohodou a smírem a v případě neúspěchu jsou k projednání a rozhodnutí sporů příslušné soudy Slovenské republiky.
  6. Tuto DPA je Zpracovatel oprávněn jednostranně aktualizovat stejným způsobem a za stejných podmínek, jako je upravena aktualizace v čl. 4 VOP, včetně oznámení změn a práva Zákazníka vznést námitku nebo ukončit smluvní vztah, pokud se změnou nesouhlasí. Aktualizace nesmí vést ke snížení úrovně ochrany osobních údajů ani bezpečnostních opatření dohodnutých v této DPA.
  7. Nedílnou součástí této DPA jsou následující přílohy: Příloha č. 1: Seznam subdodavatelů.

Příloha č. 1 – Seznam subdodavatelů

Konsorciální partner redByte, s.r.o., Fialová 4036/10, 851 07 Bratislava – městská část Petržalka, IČO: 46557270, v rozsahu uvedeném v Zásadách ochrany osobních údajů.