Zpracovatelská smlouva

Příloha č. 1 Všeobecných obchodních podmínek

Tato smlouva upravuje zpracování osobních údajů podle čl. 28 nařízení (EU) 2016/679 (GDPR). Uzavírá se automaticky spolu se Smlouvou o poskytování služby a nevyžaduje samostatný podpis.

Proč tento dokument existuje

Když v aplikaci Plodio vedete své zaměstnance a řidiče, evidujete dodavatele nebo sledujete, kdo obsluhoval který stroj, zpracováváte osobní údaje jiných lidí. O těchto údajích rozhodujete vy — jste jejich správcem. My je pro vás jen technicky zpracováváme.

GDPR pro takový vztah vyžaduje písemnou smlouvu. Bez ní byste porušovali zákon už jen tím, že naši aplikaci používáte. Tento dokument tuto povinnost plní.

Pojmy psané s velkým písmenem mají význam podle Všeobecných obchodních podmínek.

1. Smluvní strany a jejich role

1.1 Správcem je Uživatel — podnikatel, který uzavřel Smlouvu a užívá Aplikaci.

1.2 Zpracovatelem je Plodio s.r.o., IČO 29597528, se sídlem Nové sady 988/2, Staré Brno, 602 00 Brno, spisová značka C 151833 vedená Krajským soudem v Brně.

1.3 Tato smlouva se vztahuje výhradně na osobní údaje třetích osob, které Správce nebo jím pověřené osoby vloží do Aplikace nebo které v Aplikaci vzniknou v souvislosti s jejich činností.

1.4 Tato smlouva se nevztahuje na údaje o samotném Uživateli a jeho podniku — u těch je Plodio v postavení správce a zpracování popisují Zásady ochrany osobních údajů.

2. Předmět, povaha a účel zpracování

2.1 Předmět: zpracování osobních údajů nezbytné k poskytování Aplikace a souvisejících služeb.

2.2 Povaha zpracování: shromažďování, ukládání, strukturování, nahlížení, používání, změna, seskupování, zpřístupnění Správci a jím pověřeným osobám, zálohování a výmaz. Zpracování probíhá automatizovaně.

2.3 Účel zpracování: výlučně poskytování Aplikace podle Smlouvy — zejména vedení evidence hospodaření, automatický záznam provedených prací, přiřazení práce k obsluze stroje, evidence obchodních partnerů, zpracování nahraných dokumentů a předávání evidence do státních registrů na pokyn Správce.

2.4 Doba zpracování: po dobu trvání Smlouvy a dále po dobu podle článku 9.

3. Kategorie subjektů údajů a rozsah údajů

3.1 Zpracovávanými kategoriemi subjektů údajů jsou zejména:

• zaměstnanci, řidiči a spolupracující osoby Správce,
• další uživatelé, kterým Správce zřídil přístup do Aplikace,
• dodavatelé a odběratelé Správce a osoby jednající jejich jménem,
• pronajímatelé a propachtovatelé pozemků a další osoby uvedené v dokumentech, které Správce do Aplikace nahraje.

3.2 Zpracovávanými kategoriemi osobních údajů jsou zejména:

3.3 Aplikace není určena ke zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR ani údajů o rozsudcích v trestních věcech. Správce se zavazuje takové údaje do Aplikace nevkládat.

3.4 Správce bere na vědomí, že spojení lokalizačních údajů s identifikací obsluhy představuje monitorování zaměstnanců. Zavazuje se před použitím těchto funkcí splnit informační povinnost podle § 316 odst. 2 a 3 zákona č. 262/2006 Sb., zákoníku práce, posoudit přiměřenost takového zásahu a zajistit pro zpracování platný právní důvod. Zpracovatel k tomu poskytuje vzorový dokument; jeho použití nezbavuje Správce odpovědnosti za splnění vlastních povinností.

4. Povinnosti zpracovatele

Zpracovatel se zavazuje:

4.1 Zpracovávat osobní údaje pouze na základě doložených pokynů Správce. Pokynem Správce je zejména Smlouva, tato zpracovatelská smlouva a užívání funkcí Aplikace Správcem a jím pověřenými osobami.

4.2 Neprodleně informovat Správce, má-li za to, že jeho pokyn porušuje GDPR nebo jiný právní předpis o ochraně osobních údajů.

4.3 Zpracovávat osobní údaje mimo pokyny Správce pouze tehdy, ukládá-li mu to právo Evropské unie nebo členského státu; v takovém případě Správce o tomto požadavku předem informuje, ledaže to dané právo zakazuje.

4.4 Zajistit, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí a aby k údajům měly přístup jen v rozsahu nezbytném pro plnění svých úkolů.

4.5 Přijmout a udržovat vhodná technická a organizační opatření podle čl. 32 GDPR, zejména:

• šifrování přenášených dat protokolem TLS a šifrování dat uložených v databázi a úložišti,
• oddělení dat jednotlivých podniků na úrovni databáze pravidly řízení přístupu k řádkům, takže přístup k datům cizího podniku je technicky vyloučen,
• ukládání hesel výhradně v podobě kryptografického otisku,
• šifrování zvlášť citlivých položek, zejména klíče k webové službě Portálu farmáře, algoritmem AES-256-GCM,
• vedení záznamů o změnách dat a o přístupech provedených v režimu technické podpory,
• pravidelné zálohování s možností obnovy k určitému okamžiku,
• omezení a pravidelnou kontrolu přístupových oprávnění.

4.6 Být Správci nápomocen při plnění jeho povinností reagovat na žádosti subjektů údajů podle kapitoly III GDPR. Obrátí-li se subjekt údajů se žádostí přímo na Zpracovatele, Zpracovatel ji sám nevyřídí a bez zbytečného odkladu ji předá Správci.

4.7 Být Správci nápomocen při zajišťování souladu s čl. 32 až 36 GDPR, tedy při zabezpečení zpracování, ohlašování porušení a posouzení vlivu na ochranu osobních údajů, a to s ohledem na povahu zpracování a informace, které má k dispozici.

4.8 Ohlásit Správci jakékoli porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, a poskytnout mu informace potřebné k tomu, aby Správce mohl splnit svou ohlašovací povinnost vůči dozorovému úřadu a subjektům údajů.

4.9 Poskytnout Správci informace nezbytné k doložení souladu s čl. 28 GDPR a umožnit audity a inspekce prováděné Správcem nebo jím pověřeným auditorem podle článku 8.

4.10 Nepředávat osobní údaje do třetí země nebo mezinárodní organizaci jinak než za podmínek podle článku 7.

5. Povinnosti správce

5.1 Správce odpovídá za to, že má pro zpracování osobních údajů v Aplikaci platný právní důvod a že splnil informační povinnost vůči subjektům údajů podle čl. 13 a 14 GDPR.

5.2 Správce odpovídá za správnost, přiměřenost a aktuálnost údajů, které do Aplikace vkládá, a za to, že jejich rozsah nepřesahuje účel zpracování.

5.3 Správce uděluje pokyny prostřednictvím Aplikace nebo písemně na e-mail info@plodio.cz.

5.4 Správce odpovídá za správu přístupových oprávnění Dalších uživatelů — zejména za jejich odebrání osobám, které již nemají důvod k údajům přistupovat.

6. Další zpracovatelé

6.1 Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele za podmínek tohoto článku.

6.2 Aktuální seznam dalších zpracovatelů, včetně účelu jejich zapojení a umístění zpracování, je zveřejněn na stránce Seznam zpracovatelů a tvoří Přílohu č. 2 obchodních podmínek.

6.3 Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti v oblasti ochrany osobních údajů, jaké má sám podle této smlouvy. Neplní-li další zpracovatel své povinnosti, odpovídá Správci za plnění jeho povinností Zpracovatel.

6.4 O zamýšleném zapojení nového dalšího zpracovatele nebo o nahrazení stávajícího Zpracovatel Správce informuje nejméně 30 dnů předem, a to zveřejněním změny na uvedené stránce a oznámením v Aplikaci nebo e-mailem.

6.5 Správce je oprávněn proti změně podat odůvodněnou námitku do 15 dnů od oznámení. Nedohodnou-li se strany do 30 dnů od doručení námitky na řešení, je Správce oprávněn Smlouvu vypovědět s účinností ke dni, kdy má změna nabýt účinnosti; v takovém případě mu Zpracovatel vrátí poměrnou část předplacené ceny za nevyužité období.

7. Předávání do třetích zemí

7.1 Osobní údaje jsou uloženy na území Evropské unie.

7.2 Část zpracování probíhá ve Spojených státech amerických — konkrétně zpracování umělou inteligencí, převod hlasu na text, mapové podklady a odesílání e-mailů. Konkrétní příjemci jsou uvedeni v Seznamu zpracovatelů.

7.3 Předání do třetí země Zpracovatel zajišťuje na základě standardních smluvních doložek přijatých Evropskou komisí podle čl. 46 odst. 2 písm. c) GDPR, případně na základě rozhodnutí o odpovídající ochraně podle čl. 45 GDPR, je-li příjemce zařazen v rámci EU-US Data Privacy Framework.

7.4 Správce bere na vědomí a souhlasí s tím, že dokumenty, které do Aplikace nahraje k automatickému zpracování, jsou předávány poskytovateli umělé inteligence v plném znění, včetně veškerých osobních údajů, které obsahují. Zpracovatel z obrazových souborů a dokumentů PDF osobní údaje předem neodstraňuje, neboť to technicky není možné. Správce zvažuje s ohledem na tuto skutečnost, které dokumenty ke zpracování nahraje.

8. Audit

8.1 Zpracovatel poskytne Správci na jeho písemnou žádost informace nezbytné k doložení souladu s čl. 28 GDPR.

8.2 Správce je oprávněn provést audit nejvýše jednou za kalendářní rok, po písemném oznámení nejméně 30 dnů předem, v pracovní době a způsobem, který nenaruší provoz Zpracovatele. Mimořádný audit lze provést též po porušení zabezpečení osobních údajů.

8.3 Osoby provádějící audit jsou vázány mlčenlivostí. Auditem nesmí být dotčeno soukromí a bezpečnost dat ostatních zákazníků Zpracovatele.

8.4 Náklady auditu nese Správce, ledaže audit prokáže podstatné porušení povinností Zpracovatele.

9. Naložení s údaji po skončení zpracování

9.1 Po ukončení Smlouvy zpřístupní Zpracovatel Správci osobní údaje k exportu po dobu 30 dnů.

9.2 Po uplynutí této lhůty Zpracovatel osobní údaje vymaže, včetně kopií, ledaže mu jejich další uchování ukládá právo Evropské unie nebo členského státu. Zálohy se odstraní v souladu s běžným cyklem jejich obměny, nejpozději do 90 dnů.

9.3 Požádá-li o to Správce před uplynutím lhůty podle odstavce 9.1, provede Zpracovatel výmaz dříve.

9.4 Na žádost Správce Zpracovatel provedení výmazu písemně potvrdí.

10. Odpovědnost a závěrečná ustanovení

10.1 Odpovědnost stran za porušení povinností podle této smlouvy se řídí čl. 82 GDPR a příslušnými ustanoveními Všeobecných obchodních podmínek.

10.2 Tato smlouva nabývá účinnosti společně se Smlouvou a zaniká současně s ní, s výjimkou povinností podle článku 9, které trvají až do jejich splnění.

10.3 Změny této smlouvy se provádějí postupem podle článku 20 Všeobecných obchodních podmínek.

10.4 Tato smlouva se řídí právním řádem České republiky.