Smlouva o zpracování osobních údajů

Tato smlouva upravuje, jak společnost CIE AS („Zpracovatel“) zpracovává osobní údaje jménem Zákazníka („Správce“), když Zákazník používá AllSeats CRM.

Zpracovatel zpracovává osobní údaje pouze za účelem poskytování služby a na základě doložených pokynů Správce, a to i pokud jde o předávání údajů mimo EHP. Pokyny Správce tvoří obchodní podmínky, tato smlouva a způsob, jakým Správce používá funkce služby. Smlouva splňuje požadavky čl. 28 odst. 3 GDPR.

• Účel: ukládání, uspořádání a zobrazování údajů o zákaznících a kontaktech Správce, obchodů, úkolů a příloh a zasílání upozornění uživatelům Správce.
• Kategorie subjektů údajů: kontaktní osoby Správce, jeho zákazníci (včetně fyzických osob), dodavatelé a další obchodní partneři a uživatelé Správce.
• Typy osobních údajů: jméno, pracovní pozice, e-mail, telefon, adresa, příslušnost k firmě, souhlas se zasíláním obchodních sdělení, poznámky, úkoly, obchodní informace, obsah nahraných souborů a e-maily, které Správce zašle na CRM adresu své firmy.
• Doba trvání: po dobu aktivního předplatného Správce a poté až do výmazu údajů podle článku 9.

Správce nesmí do služby vkládat zvláštní kategorie osobních údajů (například údaje o zdravotním stavu) ani údaje o rozsudcích v trestních věcech, ledaže k tomu má jasný právní základ a sám vyhodnotí úroveň zabezpečení jako dostatečnou.

Správce odpovídá za to, že má pro zpracování právní základ, za informování subjektů údajů a za vyřizování jejich žádostí o výkon práv.

Zpracovatel se zavazuje:

• zpracovávat údaje pouze na základě pokynů Správce a upozornit Správce, pokud je podle jeho názoru určitý pokyn v rozporu s předpisy o ochraně osobních údajů,
• zajistit, aby všechny osoby s přístupem k údajům byly vázány povinností mlčenlivosti,
• v přiměřeném rozsahu pomáhat Správci při vyřizování žádostí subjektů údajů a při plnění povinností podle čl. 32 až 36 GDPR: zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace s dozorovým úřadem,
• vést záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR,
• nepoužívat údaje pro vlastní účely, jako je marketing, prodej nebo trénování umělé inteligence.

Zpracovatel přijme vhodná technická a organizační opatření, zejména:

• šifrování veškeré komunikace (HTTPS/TLS) a šifrování uložených dat u subdodavatele,
• logické oddělení zákazníků v databázi (zabezpečení na úrovni řádků), aby žádná firma nikdy nezískala přístup k datům jiné firmy,
• individuální přihlašovací údaje, role a možnost dvoufázového ověření a přístupových klíčů (passkeys),
• neveřejná úložiště souborů, v nichž lze přílohy otevřít pouze prostřednictvím krátkodobých podepsaných odkazů,
• zálohování a omezený přístup vlastních zaměstnanců Zpracovatele, kteří k datům Správce přistupují pouze tehdy, je-li to nezbytné pro provoz nebo podporu.

Správce uděluje Zpracovateli obecné předchozí povolení k zapojení těchto dalších zpracovatelů:

• Supabase Inc. (USA) – databáze, přihlašování a ukládání souborů. Data jsou uložena v regionu AWS eu-central-1 (Frankfurt). Předání je zajištěno standardními smluvními doložkami EU (SCC).
• Vercel Inc. (USA) – provoz aplikace, serverové funkce ve Frankfurtu. Certifikace v rámci EU–USA Data Privacy Framework, navíc SCC.
• One.com Group AB (Švédsko) – odesílání e-mailů z adresy noreply@allseats.no. Zpracování probíhá v datových centrech v Dánsku (EU); smlouva o zpracování osobních údajů je součástí smlouvy s One.com.
• Brevo (Sendinblue SAS, Francie) – odesílání e-mailových kampaní a příjem e-mailů zaslaných na CRM adresy firem. Zpracování probíhá v EU; smlouva o zpracování osobních údajů je součástí podmínek Brevo.

Zpracovatel oznámí Správci e-mailem zapojení nového dalšího zpracovatele nejméně 30 dní předem. Správce může v této lhůtě vznést námitku a má pak právo smlouvu bezplatně vypovědět.

Zpracovatel uloží dalším zpracovatelům alespoň stejné povinnosti, jaké vyplývají z této smlouvy, a odpovídá Správci za jejich zpracování.

Údaje jsou uloženy v Evropské unii. Technický přístup dalších zpracovatelů ze zemí mimo EHP probíhá pouze na základě platného mechanismu předání podle kapitoly V GDPR.

Zpracovatel sídlí v Norsku, kde GDPR platí na základě Dohody o EHP. Předávání údajů mezi Norskem a EU proto není předáváním do třetí země.

Zpracovatel oznámí Správci porušení zabezpečení, které se týká údajů Správce, bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozvěděl. Oznámení popíše, co se stalo, kterých údajů a subjektů údajů se porušení týká a jaká opatření byla přijata, aby Správce mohl porušení ohlásit dozorovému úřadu do 72 hodin.

Správce může svá data bezplatně exportovat (CSV nebo Excel) po celou dobu trvání smlouvy a 30 dní po skončení předplatného. Poté jsou údaje ze služby vymazány, nejpozději do 60 dní od skončení. Zálohy se mažou postupně při jejich rotaci, nejpozději do 90 dní.

Na žádost Správce Zpracovatel výmaz písemně potvrdí. Povinnost výmazu se nevztahuje na údaje, které je Zpracovatel povinen uchovávat podle norského práva nebo práva EU.

Zpracovatel zpřístupní Správci informace potřebné k doložení plnění této smlouvy a umožní provedení auditu. Audit musí být oznámen nejméně 30 dní předem, provádí se v běžné pracovní době a jeho náklady nese Správce. Jako doklad lze použít zprávy dalších zpracovatelů (například SOC 2).

Tato smlouva platí, dokud Zpracovatel zpracovává osobní údaje pro Správce. V případě rozporu mezi touto smlouvou a obchodními podmínkami má ve věcech osobních údajů přednost tato smlouva. Omezení odpovědnosti podle obchodních podmínek se vztahuje i na tuto smlouvu, pokud to právní předpisy připouštějí.

Rozhodné právo a příslušnost soudu se řídí článkem 13 obchodních podmínek.

Smlouva je vyhotovena v českém a anglickém jazyce. Rozhodující je české znění.