Podmínky zpracování osobních údajů⁠

1. Úvodní ustanovení

1.1. Tyto podmínky zpracování osobních údajů jsou nedílnou součástí Smlouvy uzavřené mezi Objednatelem a Dodavatelem. Pokud není v této příloze stanoveno jinak, mají použité pojmy stejný význam, jaký je určený ve Smlouvě či v Podmínkách.

1.2. Dodavatel se na základě Smlouvy zavázal provádět díla a poskytovat služby pro Objednatele (dále také „Služby“). Osobními údaji se pro účely této přílohy rozumí osobní údaje osob, kterým Objednatel udělil přístup k webovým stránkám, zaměstnanci a další spolupracovníci Objednatele a další osoby, jejichž Osobní údaje byly Dodavateli předány pro účel poskytování Služeb a plnění dalších povinností dle Smlouvy a Podmínek (dále také „Osobní údaje“).

1.3. V rámci poskytování Služeb může docházet ke zpracování Osobních údajů. Tato příloha upravuje podmínky zpracování osobních údajů Dodavatelem jako zpracovatelem osobních údajů ve smyslu čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).

2. Úlohy a pokyny pro zpracování údajů

2.1. Strany berou na vědomí a souhlasí s tím, že:

• a) Dodavatel je zpracovatelem Osobních údajů,
• b) Objednatel je správcem, případně zpracovatelem Osobních údajů,
• c) Obě Strany se zavazují plnit své povinnosti vyplývající z platných právních předpisů, které se vztahují na zpracování Osobních údajů.

2.2. Pokud Objednatel jedná jako zpracovatel, zaručuje Dodavateli, že příslušný správce schválil jeho pokyny a jednání v souvislosti s Osobními údaji, včetně pověření Dodavatele jako dalšího zpracovatele.

2.3. Dodavatel bude zpracovávat Osobní údaje pouze v souladu s platnými právními předpisy a za účelem: a) poskytování Služeb pro Objednatele, a b) jak je dále uvedeno v dalších písemných pokynech udělených Objednatelem.

3. Doba trvání zpracování osobních údajů

3.1. Dodavatel bude Osobní údaje zpracovávat pouze po dobu trvání Smlouvy nebo do doby výmazu všech Osobních údajů ze strany Dodavatele dle této přílohy.

4. Povaha a účel zpracování osobních údajů

4.1. Dodavatel bude pro účely poskytování Služeb Objednateli zpracovávat Osobní údaje, a to v elektronické formě, přičemž předmětem zpracování bude nahlížení na Osobní údaje, strukturování Osobních údajů, uložení a další činnosti, které jsou potřebné pro poskytování Služeb a ke kterým bude Dodavatel pověřen Objednatelem.

4.2. Účelem zpracování osobních údajů je poskytování Služeb.

5. Druhy osobních údajů

5.1. Předmětem zpracování podle této přílohy budou následující osobní údaje:

• a) identifikační údaje – zejména jména a příjmení, ip adresy;
• b) kontaktní údaje – zejména e-mailová adresa;
• c) přístupové údaje – zejména uživatelská jména (loginy) a hesla;
• d) údaje o využívání webových stránek;
• e) další údaje, které budou zpřístupněny v souvislosti s poskytováním Služeb. S ohledem na skutečnost, že Dodavatel poskytuje služby tvorby a správy webových stránek Objednatele, nelze přesnou množinu Osobních údajů vymezit, když závisí na obsahu konkrétních webových stránek.

6. Kategorie subjektů údajů

6.1. Osobní údaje se budou týkat těchto kategorií subjektů údajů:

• a) osoby, kterým Objednatel udělil přístup k webovým stránkám (včetně návštěvníků webových stránek);
• b) zaměstnanci a spolupracovníci Objednatele;
• c) další osoby, jejichž Osobní údaje byly Dodavateli předány pro účel poskytování Služeb a plnění dalších povinností dle Smlouvy, zejména osoby, jejichž údaje se nachází na webových stránkách.

7. Práva a povinnosti stran

7.1. Dodavatel prohlašuje a zavazuje se, že:

• a) dozví-li se o porušení nebo hrozícím porušení zabezpečení Osobních údajů, náhodném nebo protiprávním zničení, ztrátě, změně nebo neoprávněném poskytnutí či zpřístupnění zpracovávaných Osobních údajů, neprodleně, nejpozději však do 48 (dvaceti čtyř) hodin, písemně informuje Objednatele a co nejlépe popíše vzniklé či hrozící bezpečnostní riziko, přičemž Objednateli sdělí vhodná opatření pro zabránění nebo minimalizaci porušení zabezpečení a přijme veškerá potřebná opatření pro minimalizaci škody;
• b) bude Osobní údaje zpracovávat pouze v rámci EU či EHP;
• c) Osobní údaje budou zabezpečeny v souladu s čl. 8 této přílohy;
• d) Osobní údaje bude zpracovávat pouze v souladu s touto přílohou, nebo na základě jiných písemných pokynů Objednatele v souladu s čl. 2.3. této přílohy;
• e) bude Objednateli nápomocen při zavádění a udržování vhodných technických a organizačních opatření k zabezpečení Osobních údajů, při ohlašování porušení zabezpečení Osobních údajů dozorovému úřadu nebo subjektu údajů, při posuzování vlivu na ochranu Osobních údajů a při předchozích konzultacích s dozorovým úřadem;
• f) zajistí Objednateli prostřednictvím vhodných technických a organizačních opatření součinnost, nejpozději do 14 (čtrnácti) dnů od vznesení požadavku Objednatele, pro splnění Objednatelovy povinnosti reagovat na žádosti o výkon práv subjektu údajů;
• g) poskytne Objednateli na jeho žádost neprodleně, nejpozději však do jednoho týdne, veškerou součinnost nutnou k prokázání, že jsou Osobní údaje dostatečně organizačně a technicky zabezpečeny a poskytne veškerou součinnost v případech, kdy je u Objednatele zahájena kontrola dozorového orgánu.

7.2. Pokud Dodavatel při zpracovávání Osobních údajů obdrží od subjektu údajů ve vztahu k Osobním údajům jakoukoliv žádost, sdělí subjektu údajů do 14 dnů, aby se s žádostí obrátil přímo na Objednatele. Objednatel je odpovědný za vyřízení takové žádosti. Dodavatel se zavazuje poskytnout Objednateli veškerou součinnost potřebnou pro vyřízení práv subjektů údajů.

7.3. Objednatel souhlasí s tím, aby Dodavatel zapojil další zpracovatele pro zpracování Osobních údajů a v případě zapojení těchto dalších zpracovatelů zajistí, aby dodržovali stejné povinnosti na ochranu Osobních údajů, jaké jsou uvedeny v této příloze. Před zapojením dalšího zpracovatele je Dodavatel povinen informovat Objednatele, který může písemně vznést proti zapojení námitky. Dodavatel je povinen se těmito námitkami zabývat a v případě důvodnosti jim vyhovět. Objednatel výslovně souhlasí s tím, že Dodavatel zapojí do zpracování následující zpracovatele:

• a) pracovníky Dodavatele, kteří pro Dodavatele pracují na základě příkazní či obdobné smlouvy;
• b) společnost VSHosting s.r.o., která zajišťuje služby hostingu webu;
• c) společnost Automattic Inc, která zajišťuje platformu pro tvorbu webu Wordpress;
• d) společnosti Webflow, Inc, která zajišťuje platformu pro tvorbu webu.

7.4. Dodavatel je povinen umožnit Objednateli či jím pověřené osobě kontrolu (včetně auditu či inspekce) dodržování této přílohy, zejména povinností pro zpracování osobních údajů z ní vyplývajících, a k těmto kontrolám přispěje dle důvodných pokynů Objednatele či kontrolující osoby.

7.5. Jakoukoliv žádost o audit je Objednatel povinen zaslat výhradně na e-mailovou adresu Dodavatele vojtechsobek@expirio.cz. Po obdržení žádosti o audit se Dodavatel a Objednatel dopředu dohodnou na: (a) možném termínu provedení auditu, bezpečnostních opatřeních a způsobu zajištění dodržení závazků mlčenlivosti během auditu, a (b) předpokládaném začátku, rozsahu a době trvání auditu. V případě, že k dohodě nedojde ani do 30 dnů ode dne odeslání žádosti, určí podmínky auditu Dodavatel.

7.6. Dodavatel může vznést písemné námitky proti jakémukoliv auditorovi, který byl pověřen Objednatelem, pokud není auditor podle názoru Dodavatele dostatečně kvalifikován, není nezávislý, je v soutěžním postavení vůči Dodavateli nebo je jinak zjevně nevhodný. Na základě vznesené námitky má Objednatel povinnost pověřit jiného auditora, nebo provést audit sám.

7.7. Objednatel je odpovědný za plnění všech povinností ve vztahu ke zpracování Osobních údajů, zejména za řádné informování subjektů údajů o zpracování Osobních údajů, získání souhlasu se zpracováním Osobních údajů, pokud je zapotřebí, vyřizování žádostí subjektů údajů, týkajících se realizace jejich práv (jako je právo na informace, přístup, opravu, výmaz, omezení zpracování, vznést námitku apod.).

8. Bezpečnost osobních údajů

8.1. Dodavatel přijal níže uvedená opatření a zavazuje se je udržovat pro zajištění zabezpečení zpracování Osobních údajů po celou dobu zpracování.

8.2. Organizační opatření:

• a) Dodavatel či pracovníci Dodavatele jsou pravidelně školeni na zásady a principy ochrany osobních údajů a kybernetickou bezpečnost;
• b) Dodavatel a jeho pracovníci jsou zavázáni k mlčenlivosti v souvislosti s prací s Osobními údaji;
• c) Dodavatel má nastavenou politiku přístupů k Osobním údajům, kdy je umožněno přistupovat k Osobním údajům jen vybraným pracovníkům Dodavatele.

8.3. Technická opatření:

• a) na pracovních zařízeních, na kterých Dodavatel provádí činnosti, jsou šifrovány HDD;
• b) využívání dostatečně silných hesel při práci s Osobními údaji;
• c) pro přístup k infrastruktuře, na které dochází ke zpracování Osobních údajů, je využíváno pouze zabezpečené připojení.

8.4. Dodavatel zabezpečí zpracování před kybernetickými útoky nejvhodnějším způsobem s přihlédnutím k povaze Osobních údajů a stavu techniky.

9. Předání osobních údajů po skončení zpracování

9.1. V případě skončení Smlouvy předá Dodavatel veškeré Osobní údaje do 30 dnů od skončení Smlouvy zpět Objednateli a Osobní údaje na všech svých zařízeních a nosičích trvale zničí, s výjimkou případů, kdy je uložení Osobních údajů vyžadované právem České republiky nebo Evropské unie. Ke zničení Osobních údajů na nosičích Dodavatele však dojde až po vypršení doby, po kterou jsou tyto údaje uloženy v rámci automatické zálohy, kterou Dodavatel na základě SOW pro Objednatele provedl.

10. Další ujednání

10.1. Dodavatel je oprávněn vyúčtovat a Objednatel je povinen zaplatit účelně vynaložené náklady spojené s vyřizováním jakékoliv žádosti, uvedené v čl. 7. této přílohy a kontrolou podle čl. 7.4. této přílohy. Tyto náklady Dodavatel vyúčtuje Objednateli do 30 (třiceti) dnů od jejich vzniku vystavením faktury.