Zpracovatelská smlouva pro data vašich klientů.

Dodatek o zpracování osobních údajů podle čl. 28 GDPR
Verze 0.9 – účinnost od [PŘED SPUŠTĚNÍM DOPLNIT]

Zpracovatel: Lukáš Tichánek, IČO 75882850, U Hřbitova 2785/40, 586 01 Jihlava, Česká republika, provozovatel služby VisitPass pod obchodní značkou Appoteka.
Správce: zákazník VisitPassu identifikovaný v uživatelském / fakturačním účtu.

Tato DPA tvoří součást smluvního vztahu mezi správcem a zpracovatelem. Pokud VisitPass zpracovává osobní údaje jménem zákazníka, řídí se zpracování touto DPA.

1. Předmětem je zpracování údajů, které správce nebo jeho uživatelé vloží do VisitPassu nebo které jsou vytvořeny při poskytování funkcí VisitPassu.
2. Účelem je poskytování provozního a rezervačního SaaS, zejména evidence klientů, rezervací, služeb, historie návštěv, provozu týmu, čekací listiny, návratů klientů, Smart Fill, pokladny, skladu, dokumentů a dalších aktivovaných funkcí.
3. Zpracování trvá po dobu používání Služby a následně po dobu smluvně nebo zákonně stanovené retence. Po skončení zpracování budou data podle volby a možností správce vrácena/exportována nebo odstraněna, s výjimkou dat, která musí být uchována podle práva.

• klienti a zákazníci provozovny správce,
• zaměstnanci, spolupracovníci a pracovníci správce,
• kontaktní osoby a další osoby, jejichž údaje správce oprávněně vloží do VisitPassu.

Podle využitých funkcí mohou být zpracovávány zejména:

• jméno a příjmení,
• telefon, e-mail a další kontaktní údaje,
• údaje o rezervacích, termínech, službách a pracovnících,
• historie návštěv a poskytovaných služeb,
• poznámky vložené správcem,
• údaje související s platbou za služby provozovny a provozní evidencí,
• fotografie, dokumenty a soubory uložené správcem,
• údaje o souhlasech, formulářích a dokumentaci, pokud jsou příslušné funkce aktivní,
• technická metadata potřebná k provozu, bezpečnosti a auditu.

Zákazník nesmí ukládat zvláštní kategorie osobních údajů nebo jiné vysoce citlivé údaje bez odpovídajícího právního základu, oprávnění a zabezpečení. Pokud takové údaje zpracovává, odpovídá za splnění povinností správce.

1. Zpracovatel zpracovává osobní údaje pouze na doložené pokyny správce, které vyplývají ze smlouvy, nastavení účtu, používání funkcí nebo samostatné písemné instrukce.
2. Pokud má zpracovatel za to, že pokyn porušuje GDPR nebo jiný předpis o ochraně osobních údajů, upozorní správce, pokud mu v tom nebrání právní povinnost.
3. Zpracovatel nezískává vlastní právo určovat účel zpracování klientských dat správce.

Osoby s oprávněným přístupem k osobním údajům jsou vázány důvěrností nebo odpovídající zákonnou povinností mlčenlivosti a mají přístup pouze v rozsahu nutném pro svou práci.

Zpracovatel zavede přiměřená opatření odpovídající rizikům a skutečné produkční architektuře, zejména:

• autentizaci uživatelů a ochranu účtů,
• role a oprávnění podle potřeb zákazníka,
• logické oddělení zákaznických dat,
• zabezpečený přenos v produkčním prostředí prostřednictvím HTTPS/TLS,
• omezený administrátorský přístup podle principu nezbytnosti,
• postupy pro aktualizace, opravy a řešení bezpečnostních incidentů,
• zálohování a obnovu podle skutečné produkční konfigurace,
• privátní ukládání klientských souborů bez veřejného přístupu podle skutečné produkční konfigurace,
• přiměřené logování bezpečnostně významných událostí.

[PŘED SPUŠTĚNÍM] Tuto přílohu je nutné porovnat s reálným hostingem, storage, backupem, logováním a přístupy a odstranit/změnit vše, co není skutečně implementováno.

1. Správce uděluje zpracovateli obecné písemné povolení zapojovat další zpracovatele, kteří jsou nezbytní k poskytování Služby.
2. Aktuální seznam subprocesorů bude zveřejněn na /subprocesori/ a bude uvádět alespoň dodavatele, účel, zpracovávanou oblast a zemi/region zpracování.
3. Zpracovatel bude správce o zamýšleném přidání nebo nahrazení subprocesoru informovat v přiměřeném předstihu tak, aby správce mohl vznést odůvodněnou námitku.
4. Zpracovatel uloží subprocesorovi povinnosti v zásadě odpovídající této DPA v rozsahu požadovaném GDPR.
5. [PŘED SPUŠTĚNÍM] Doplnit počáteční seznam podle skutečně používaného hostingu, e-mailu, backup/storage a dalších dodavatelů.

Zpracovatel nepředá osobní údaje mimo EHP bez splnění podmínek GDPR. Pokud některý subprocesor využívá zpracování mimo EHP, budou použity odpovídající mechanismy, například rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky, pokud jsou potřebné.

Zpracovatel poskytne správci přiměřenou součinnost při vyřizování žádostí subjektů údajů. Pokud se subjekt údajů obrátí přímo na zpracovatele ve věci klientských dat správce, zpracovatel žádost bez zbytečného odkladu předá správci, pokud právní předpis nevyžaduje jiný postup.

Zpracovatel oznámí správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, a poskytne dostupné informace potřebné pro posouzení incidentu a případné splnění oznamovacích povinností správce.

S ohledem na povahu zpracování a dostupné informace poskytne zpracovatel správci přiměřenou součinnost při posouzení vlivu na ochranu osobních údajů a případné předchozí konzultaci s dozorovým úřadem.

1. Zpracovatel poskytne informace přiměřeně potřebné k doložení souladu s čl. 28 GDPR.
2. Správce může po předchozí dohodě požadovat audit nebo kontrolu v přiměřeném rozsahu. Audity nesmí nepřiměřeně narušovat provoz ani bezpečnost jiných zákazníků a správce nese své náklady, není-li zjištěno závažné porušení na straně zpracovatele.

1. Po skončení služby budou data zpracována podle sjednané retenční politiky, možnosti exportu a pokynů správce.
2. Trial účet: po skončení trialu 30 dní read-only, provozní data celkem 90 dní, poté odstranění s výjimkou zákonně uchovávaných údajů.
3. [PŘED SPUŠTĚNÍM] Doplnit a sjednotit retenční pravidlo po skončení placeného předplatného.
4. Zálohy mohou být odstraněny v běžném cyklu záloh, pokud není právně nebo technicky možné okamžité selektivní odstranění; po dobu retence budou chráněny a nebudou znovu aktivně zpracovávány mimo obnovu po incidentu.

Odpovědnost stran se řídí GDPR, příslušnými právními předpisy a Obchodními podmínkami VisitPass. V případě rozporu mezi touto DPA a obecnou částí Obchodních podmínek má v otázkách zpracování osobních údajů přednost tato DPA.

Zpracovatel: Lukáš Tichánek, info@visitpass.cz, +420 724 316 584.

Před publikací: porovnej technická opatření se skutečnou produkční architekturou a doplň seznam subprocesorů.