Smlouva o zpracování osobních údajů

Tato stránka popisuje naši standardní smlouvu o zpracování osobních údajů, aby ji bylo možné prostudovat dříve, než o ni požádáte. Sama o sobě není smlouvou a nezakládá žádné povinnosti. Rozhodující je uzavřená DPA s jejími přílohami, a pokud se tato stránka od ní liší, má přednost uzavřená DPA.

Kdykoli vytváříme, hostujeme, udržujeme nebo podporujeme systém obsahující osobní údaje, které patří vám nebo vašim uživatelům. Vy jste správcem (nebo podnikem – business); DCI Brands LLC je zpracovatelem (nebo poskytovatelem služeb – service provider). DPA tvoří součást smlouvy o zakázce. Pokud se jedná o chráněné zdravotní informace, podepisuje se rovněž Smlouva o obchodním partnerství, jejíž podmínky mají pro tyto údaje přednost.

Vše, co vyžaduje čl. 28 odst. 3 GDPR, a obdobné náležitosti podle UK GDPR a švýcarského FADP:

1. Popis zpracování: předmět, doba trvání, povaha a účel, typy osobních údajů a kategorie subjektů údajů, v příloze specifické pro vaši zakázku.
2. Zpracování pouze na základě vašich zdokumentovaných pokynů, a to i pokud jde o předávání, a náš závazek informovat vás, pokud se domníváme, že pokyn porušuje právní předpisy o ochraně údajů.
3. Důvěrnost: každý, koho pověříme zpracováním vašich údajů, je vázán písemnou povinností mlčenlivosti.
4. Zabezpečení: technická a organizační opatření v příloze, splňující článek 32. Můžeme je aktualizovat, pokud se úroveň ochrany podstatně nesníží.
5. Další zpracovatelé: vaše obecné písemné povolení, naše písemné přenesení rovnocenných povinností a naše odpovědnost za jejich plnění.
6. Součinnost při uplatňování práv subjektů údajů: přístup, oprava, výmaz, přenositelnost, omezení a námitka, s přihlédnutím k povaze zpracování.
7. Součinnost podle článků 32 až 36: zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace, s přihlédnutím k informacím, které máme.
8. Výmaz nebo vrácení na konci zakázky, podle vaší volby.
9. Informace a audity, jak je popsáno v článku 8.
10. Podmínky předávání: standardní smluvní doložky, britský dodatek (UK Addendum) a švýcarské úpravy, s vyplněnými přílohami.
11. Podmínky podle zákonů států USA: vystupujeme jako poskytovatel služeb nebo zpracovatel, vaše údaje neprodáváme ani nesdílíme, neuchováváme, nepoužíváme ani nezpřístupňujeme je mimo přímý obchodní vztah ani pro žádný jiný účel než provedení zakázky a nekombinujeme je s údaji z jiných zdrojů.
12. Vaše ujištění: že máte právní základ, že byly poskytnuty informace a získány souhlasy, na které mají vaši uživatelé nárok, a že vaše pokyny jsou zákonné.

Zpracováváme je pouze na základě vašich zdokumentovaných pokynů a pouze k provedení zakázky: vývoj, testování, nasazení, hosting, monitorování, zálohování a podpora systému. Nepoužíváme je pro vlastní účely a neprodáváme je.

Vaše osobní údaje nepoužíváme k trénování, dolaďování ani zlepšování žádného modelu a naši další zpracovatelé jsou smluvně nastaveni tak, aby to rovněž nedělali. Souhrnné statistiky o provozu systému můžeme vytvářet pouze tehdy, pokud je nelze spojit s vámi, vašimi uživateli ani žádnou fyzickou osobou.

Další zpracovatele využíváme pouze tam, kde je zakázka potřebuje, na základě písemných podmínek poskytujících alespoň stejnou ochranu jako DPA, a za to, co dělají, nadále odpovídáme. Kategorie: cloudová infrastruktura v regionu uvedeném ve vaší nabídce, doručování transakčních e-mailů a poskytovatelé řeči, jazyka a modelů tam, kde to funkce vyžaduje a nabídka je uvádí. Uzavřená DPA uvádí konkrétní poskytovatele pro vaši zakázku.

Před přidáním dalšího zpracovatele vás upozorníme 30 dní předem. Během této lhůty můžete z přiměřených důvodů ochrany údajů vznést námitku, my s vámi budeme v dobré víře spolupracovat, a pokud ji nedokážeme vyřešit, může kterákoli strana dotčenou službu ukončit s poměrným vrácením předplacených nevyčerpaných poplatků. To je jediný prostředek nápravy. Dodávky na vlastní infrastruktuře zákazníka (on-premise) a v izolovaném prostředí (air-gapped) dalšího zpracovatele infrastruktury zcela odstraňují.

Dodávané systémy obsahují opatření stanovená v bezpečnostní příloze: minimálně šifrování při přenosu a v klidovém stavu, řízení přístupu na základě rolí, strukturované auditní záznamy a bezpečné mazání dočasných souborů. Přístup zaměstnanců je omezen na jmenovitě určené osoby, které jej potřebují, a zaznamenává se. Regulované zakázky přidávají kontrolní mechanismy uvedené ve vaší příloze.

O porušení zabezpečení osobních údajů, které se týká vašich údajů, vás informujeme bez zbytečného odkladu poté, co se o něm dozvíme, a v každém případě do 72 hodin od okamžiku, kdy jsme se o něm dozvěděli. Oznámení uvádí, co víme, co jsme učinili a co doporučujeme; první oznámení může být předběžné a doplňujeme je, jak zjišťujeme další informace. Neúspěšné pokusy o přístup, skenování ani pingy nehlásíme a oznámení není přiznáním zavinění ani odpovědnosti.

Pomáháme vám vyřizovat žádosti o přístup, opravu, výmaz a přenositelnost ve lhůtě, kterou vám dává zákon.

Audity začínají dokumenty. Na požádání, jednou v kterémkoli období 12 měsíců, poskytneme naši bezpečnostní dokumentaci, naši přílohu s opatřeními a vyplněný bezpečnostní dotazník. Pokud to skutečně nestačí, nebo po potvrzeném porušení zabezpečení, které se týká vašich údajů, nebo pokud to vyžaduje dozorový úřad, můžete u nás provést audit s písemným oznámením 30 dní předem, jednou v kterémkoli období 12 měsíců, v pracovní době, na své náklady, za podmínek mlčenlivosti, bez narušení našeho provozu nebo údajů jiných klientů a s auditorem, který není naším konkurentem.

Produkční údaje v klidovém stavu zůstávají v regionu uvedeném ve vaší nabídce. Administrativní přístup z jiných míst a jakékoli nevyhnutelné předání mimo EHP, Spojené království nebo Švýcarsko pokrývají standardní smluvní doložky a příslušné dodatky.

Vaše osobní údaje podle vaší volby vrátíme nebo vymažeme a výmaz písemně potvrdíme. Kopie v šifrovaných zálohách se mažou v rámci běžného cyklu zálohování a do té doby zůstávají chráněny. Uchováváme pouze to, co nám ukládá zákon.

Napište na constantine@vavusai.com s číslem své nabídky. DPA vám zašleme k podpisu spolu se smlouvou o zakázce. Vaši vlastní DPA přezkoumáme a podepíšeme ji, pokud jsou její podmínky v podstatných ohledech v souladu s našimi; jinak má přednost naše.