Zásady zpracování osobních údajů

Úvodní ustanovení

1. Společnost PROGRAMATORI s.r.o. (dále jen „Zpracovatel“) v postavení poskytovatele uzavřela s Objednatelem smlouvu o zpřístupnění služby BALÍKUJ (dále jen „Smlouva o zpřístupnění služby“), na základě které Zpracovatel formou vzdáleného přístupu zpřístupňuje Objednateli systém určený pro administraci odesílání a příjmu zásilek (dále jen „Systém Balíkuj“). Systém Balíkuj je umístěn na serverech Zpracovatele, a na tyto servery jsou ukládány rovněž osobní údaje subjektů údajů – odesílatelů či příjemců zásilek, jejichž administrace probíhá prostřednictvím Systému Balíkuj. Z tohoto důvodu má Zpracovatel postavení zpracovatele ve smyslu čl. 4 odst. 8 obecného nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně osobních údajů (dále jen „Nařízení“). Objednatel je ve smyslu čl. 4 odst. 7 Nařízení správcem osobních údajů ukládaných do Systému Balíkuj.

2. Vzhledem ke shora uvedenému uzavřeli Zpracovatel a Objednatel současně se Smlouvou Balíkuj elektronickou formou rovněž tuto smlouvu o zpracování osobních údajů ve smyslu čl. 28 Nařízení (dále jen „Smlouva o zpracování“).

Předmět zpracování

1. Předmět a způsob zpracování osobních údajů

   1. Předmětem zpracování jsou osobní údaje subjektů údajů, které jsou na základě Smlouvy o zpřístupnění služby a s vědomím Objednatele zpřístupněny přímo registrovanými dopravci (dále jen „Dopravce“), a tyto osobní údaje jsou následně zpracovávány prostřednictvím Systému Balíkuj.

   2. Prostřednictvím Systému Balíkuj jsou zpracovávány následující osobní údaje a informace:

      1. Identifikační a adresní údaje nezbytné pro určení odesílatele (za účelem vrácení nevyzvednuté zásilky), popř. nezbytné pro doručení zásilky adresátovi,

      2. Přihlašovací údaje Objednatele a případně dalších zástupců Objednatele ve formátu e-mailová adresa (uživatelské jméno) a heslo (Poskytovatel k heslům nemá přístup),

      3. Síťové identifikátory (např. údaje o internetovém prohlížeči subjektu údajů, IP adresy, cookies a další identifikátory, které mohou ve spojení s dalšími identifikátory sloužit k identifikaci konkrétní osoby).

      4. Případné další osobní údaje automatizovaně importované z informačního systému Dopravce.

   3. S ohledem na výše uvedené berou smluvní strany na vědomí, že Zpracovatel může po dobu trvání Smlouvy o zpřístupnění služby a na základě pokynu Objednatele (viz čl. 3) zpracovávat způsobem uvedeným dále v této Smlouvě o zpracování následující kategorie osobních údajů:

      1. identifikační (jméno, příjmení),

      2. adresní (včetně e-mailové adresy a tel. nebo mobilního čísla),

      3. popisné (např. akademický titul),

      4. síťové identifikátory,

      5. případné další kategorie osobních údajů, pokud budou importovány z informačního systému Dopravce.

   4. Typickou operací zpracování ze strany Zpracovatele je ukládání osobních údajů na servery Zpracovatele, k němuž dochází automatizovaně. Dalšími operacemi zpracování prováděnými automatizovaně za účelem plnění povinností Zpracovatele ze Smlouvy o zpřístupnění služeb jsou uspořádání, strukturování, vyhledání, nahlédnutí, seřazení či zkombinování a zpřístupnění přenosem.

2. Účel zpracování

   1. Účelem zpracování osobních údajů Objednatelem jako správcem je plnění povinností ze smluv uzavřených se svými zákazníky (zejména v souvislosti s povinností odeslat zákazníkům zboží nebo jiné movité věci), případně za účelem plnění jeho smluvních povinností, zákonných povinností (např. uplatnění práva zákazníka vrátit zboží bez udání důvodu, reklamace) nebo oprávněných zájmů Správce na přehledné administraci přijatých zásilek.

   2. Účelem zpracování osobních údajů Zpracovatelem je plnění povinností Zpracovatele ze Smlouvy o zpřístupnění, tj. umožnit Objednateli jednotnou administraci odesílání a příjmu zásilek, s čímž může být spojeno předávání osobních údajů dotčených subjektů údajů dopravcům a následně Zpracovateli.

3. Další zpracovatelé

   1. Objednatel bere na vědomí, že Služby jsou Zpracovatelem provozovány na vlastních serverech Zpracovatele (na serverech v jeho vlastnictví), které jsou umístěny v hostingovém centru společnosti SYNOT ICT Services, a. s., IČ 283 57 116 v rámci služby „Server housing“. Poskytovatel služby Server housing má pouze fyzický přístup k serverům Zpracovatele, nemá však přístup k datům, neprovádí žádné operace s osobními údaji a nevystupuje tak v pozici zpracovatele osobních údajů ve smyslu čl. 4 odst. 8 Nařízení.

   2. Zpracovatel je oprávněn i bez předchozího souhlasu Správce zapojit další subdodavatele jako další zpracovatele do zpracování osobních údajů dodavatele hostingových, cloudových nebo jiných služeb nezbytných ke splnění povinností ze Smlouvy. Zpracovatel je povinen zajistit, aby jakýkoli další zpracovatel zapojený do zpracování osobních údajů, dodržoval podmínky zpracování alespoň v rozsahu stejném, jaký je stanoven v této Smlouvě o zpracování. Zpracovatel odpovídá za plnění povinností dotčeného dalšího zpracovatele. O zapojení případného dalšího zpracovatele je Zpracovatel povinen informovat Správce prostřednictvím e-mailu s předstihem tak, aby mohl Správce vyslovit vůči těmto změnám námitky.

4. Úplata

   1. Zpracování osobních údajů je vedlejším závazkem Zpracovatele vyplývajícím ze Smlouvy o zpřístupnění služeb. Není-li v této Smlouvě o zpracování výslovně uvedeno jinak, je úplata za zpracování zahrnuta v ceně za poskytování Služby Balíkuj.

Zpracování na pokyn Objednatele

1. Ve smyslu čl. 28 odst. 3 písm. a) Nařízení je Zpracovatel jako zpracovatel povinen zpracovávat osobní údaje pouze na základě doložených pokynů Objednatele, který je v postavení správce.

2. Tato Smlouva o zpracování je pokynem Objednatele ke zpracování osobních údajů, a to v rozsahu, jaký vyplývá z popisu plnění Zpracovatele uvedeného ve Smlouvě o zpřístupnění služby. Ke zpracování osobních údajů prostřednictvím Systému Balíkuj proto není třeba žádných dalších výslovných pokynů Objednatele. Zpracovatel je však povinen dbát všech omezení, která jsou uvedena v této Smlouvě o zpracování.

Doba trvání zpracování

1. Doba trvání zpracování osobních údajů se sjednává na dobu určitou, a to až do ukončení nebo zrušení Smlouvy o zpřístupnění služeb. Tato Smlouva o zpracování tak zanikne automaticky dnem zániku Smlouvy o zpřístupnění služeb.

2. Poté, co dojde k zániku této Smlouvy o zpracování, je Zpracovatel povinen provést výmaz osobních údajů a všech existujících kopií ze všech svých datových úložišť, pokud právo Unie nebo členského státu EU nepožaduje uložení daných osobních údajů.

3. Provedení výmazu osobních údajů Zpracovatel na žádost potvrdí formou elektronického potvrzení, které pošle na kontaktní e-mailovou adresu Objednatele.

4. Tímto článkem 4 nejsou dotčena případná další opatření a povinnosti, které vyplývají ze Smlouvy o zpřístupnění služeb.

Místo zpracování

1. Místem zpracování osobních údajů jsou pouze členské státy Evropské unie.

2. Případné zpracování osobních údajů v třetí zemi mimo EU je možné pouze s předchozím písemným souhlasem Objednatele a současně pouze tehdy, že jsou splněny podmínky pro předání do třetí země, stanovené v čl. 44 a násl. Nařízení.

Povinnost mlčenlivosti, technická a organizační opatření na ochranu osobních údajů

1. Mlčenlivost

   1. Zpracovatel je povinen přijmout příslušná organizační opatření a prokazatelně seznámit všechny své zaměstnance a jiné osoby oprávněné zpracovávat osobní údaje, s povinností zachovávat mlčenlivost o osobních údajích a jakýchkoliv jiných důvěrných informacích nebo obchodním tajemství, se kterými přijdou do styku, jakož i zachovávat mlčenlivost o bezpečnostních, technických či organizačních opatřeních, jejichž zveřejnění by ohrozilo zabezpečení osobních údajů zpracovávaných prostřednictvím Systému Balíkuj. Zpracovatel seznámí zaměstnance také se skutečností, že tato povinnost mlčenlivosti je neomezená.

2. Technická a organizační opatření

   1. Zpracovatel je povinen přijmout vhodná technická opatření na ochranu osobních údajů, které zpracovává, a to s přihlédnutím k poslednímu stavu techniky, povaze, rozsahu, kontextu a účelům zpracování této Smlouvy o zpracování i k rizikům pro práva a svobody fyzických osob.

   2. Zpracovatel tímto prohlašuje, že přijal vhodná technická opatření na ochranu osobních údajů, mimo jiné přijal následující opatření:

      1. Zabezpečený přenos dat s využitím protokolu HTTPs nebo TLS,

      2. Využívání firewallů a monitorovacích systémů určených k detekci bezpečnostních hrozeb a varování před nimi,

      3. Využívání uživatelských rolí a hesel,

      4. Ukládání hesel v zašifrované podobě.

   3. Zpracovatel tímto prohlašuje, že přijal vhodná organizační opatření na ochranu osobních údajů, které zpracovává, a která jsou odpovídající rizikům vyplývajícím z povahy zpracování osobních údajů dle této Smlouvy o zpracování, zejména:

      1. Seznámil příslušné zaměstnance s povinností zachovávat mlčenlivost v rozsahu dle čl. 6.1;

      2. Uplatňuje řízený přístup k prostředkům určeným pro zpracování osobních údajů tak, aby zabránil fyzickému nebo on-line přístupu neoprávněným osobám;

      3. Seznámil své zaměstnance s povinnostmi vztahujícími se na zpracování osobních údajů, včetně práv subjektů údajů, které vyplývají z právních předpisů a pravidelně provádí školení zaměstnanců;

      4. Má zavedeny procesy vedoucí k pravidelnému testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování osobních údajů, a tyto procesy má zachyceny ve vnitřních předpisech;

      5. Techničtí pracovníci Zpracovatele absolvují pravidelně školení týkající se zabezpečení dat a bezpečnosti systémů.

Součinnost a pomoc Zpracovatele, odpovědnost

1. Součinnost Zpracovatele

   1. Zpracovatel je povinen poskytnout Objednateli potřebnou součinnost v souvislosti s případnou kontrolou prováděnou dozorovým úřadem v oblasti ochrany osobních údajů, např. Úřadem pro ochranu osobních údajů.

   2. Zpracovatel je povinen umožnit audity, včetně inspekcí, prováděné Objednatelem, nebo jiným auditorem pověřeným Objednatelem, a dále je povinen poskytnout řádnou součinnost nutnou k auditům, inspekcím a jiným kontrolám.

2. Povinnost být nápomocen

   1. Zpracovatel je povinen být nápomocen při zajišťování souladu s povinnostmi dle článků 32 až 36 Nařízení, a to při zohlednění povahy zpracování a informací, jež má k dispozici. Zpracovatel je v této souvislosti povinen:

      1. poskytnout Objednateli v případech porušení zabezpečení osobních údajů informace k tomu, aby Objednatel mohl vyhodnotit, zda porušení mělo za následek riziko pro práva a svobody dotčených subjektů údajů,

      2. být nápomocen k tomu, aby Objednatel mohl řádně a včas ohlásit porušení zabezpečení osobních údajů dozorovému úřadu (včetně údajů požadovaných v ohlášení dle čl. 33 odst. 3 Nařízení) a ohlásit je dotčeným subjektům údajů.

   2. Zjistí-li Zpracovatel v souvislosti s provozováním Systému Balíkuj porušení zabezpečení osobních údajů, které má za následek vysoké riziko pro práva a svobody fyzických osob, např. neoprávněné zpracování, poškození, ztrátu či zničení osobních údajů, je povinen o této skutečnost bez zbytečného odkladu od okamžiku, kdy se o něm dozvěděl, informovat Objednatele a je-li to možné, poskytnout mu informace v rozsahu dle čl. 33 odst. 3 Nařízení.

   3. Zpracovatel je dále povinen, pokud je to možné, být nápomocen prostřednictvím vhodných technických a organizačních opatření pro splnění povinností Objednatele (jako správce osobních údajů) reagovat na žádosti o výkon práv subjektů údajů, např. v souvislosti s právem na výmaz, opravu, přenositelnost osobních údajů aj. Systém Balíkuj základní vyhledávání a export dat umožňuje, pokud bude Objednatel přesto požadovat pomoc ve smyslu tohoto článku této Smlouvy o zpracování, provede Zpracovatel tyto činnosti za přiměřenou úplatu, která bude vycházet z rozsahu, odborné a časové náročnosti prací. Objednatel bere na vědomí, že je jako správce osobních údajů primárně a vlastním jménem odpovědný za splnění povinností vůči subjektům údajů, Zpracovatel pouze poskytuje pomoc, a to za úplatu a na výslovnou žádost Objednatele.

3. Odpovědnost smluvních stran

   1. Zpracovatel odpovídá za škodu způsobenou porušením povinností stanovených touto Smlouvou o zpracování, popř. jednal-li nad rámec nebo v rozporu se zákonným pokynem Objednatele. Zpracovatel se však může zprostit odpovědnosti, pokud prokáže, že nenese žádným způsobem odpovědnost za událost, která vedla ke vzniku škody nebo jiné újmy, způsobené v souvislosti se zpracováváním osobních údajů.

   2. Objednatel bere na vědomí, že je jako správce primárně a plně odpovědný za újmu, kterou způsobí zpracováním osobních údajů v rozporu s Nařízením nebo jinými právními předpisy. Zpracovatel není povinen ani oprávněn provádět kontrolu toho, zda Objednatel plní své povinnosti při zpracování osobních údajů, které má jako správce.

   3. Objednatel je povinen naplňovat při zpracování osobních údajů zásady uvedené v čl. 6 Nařízení.

   4. Objednatel je dále povinen aplikovat vlastní bezpečnostní zásady za účelem ochrany dat a osobních údajů, zejména zabránit fyzickému nezabezpečený přístupu k PC uživatele Systému Balíkuj, vyzrazení nebo uložení přístupových hesel uživatelů nebo volbě rizikového hesla pro přístup k uživatelskému účtu Systému Balíkuj (např. hesla typu „1234“, „2468“, která jsou krátká případně neobsahují kombinaci písmen, číslic a znaků). Zpracovatel neodpovídá za jakoukoliv vzniklou újmu nebo škody zapříčiněné porušením bezpečnostních zásad a povinností v oblasti organizačních a technických opatření na ochranu osobních údajů ze strany Objednatele.

   5. Zpracovatel není povinen kontrolovat, zda Objednatel dodržuje při zpracování osobních údajů subjektů údajů prostřednictvím Systému Balíkuj povinnosti stanovené Nařízením, ani za Objednatele neplní informační povinnost vůči subjektům údajů.

   6. Vznikne-li kterékoliv smluvní straně újma v důsledku zaviněného porušení povinnosti z této Smlouvy o zpracování druhou smluvní stranou, uplatní se ohledně náhrady takové újmy příslušná ujednání o náhradě újmy (škody) ve Smlouvě o zpřístupnění služby, včetně případného ujednání o limitaci náhrady újmy (škody).

Závěrečná ujednání

1. Tato Smlouva o zpracování se řídí českým právem.

2. Pokud Komise EU nebo dozorový úřad přijme ve smyslu čl. 28 odst. 7 nebo odst. 8 standardní smluvní doložky, provedou smluvní strany v případě potřeby úpravy této Smlouvy o zpracování.

3. Tato Smlouva o zpracování je vyhotovena v elektronické formě a je uzavřena prostřednictvím prostředků komunikace na dálku.