Dodatek č. 1 k Provoznímu řádu VPK
Dodatek č. 1 k Provoznímu řádu VPK
(smlouva mezi SC VPK a účastnickou knihovnou)
o ochraně osobních údajů a jejich zpracovávání a uchovávání
Správce osobních údajů
Národní technická knihovna Servisní centrum VPK Technická 2710/6
160 80 Praha 6 – Dejvice
IČO 61387142 DIČ CZ61387142
zastoupená ředitelem Ing. X. Xxxxxxxx (dále jen Správce)
a
Zpracovatel osobních údajů
Název adresa IČO DIČ
zastoupený
(dále jen Zpracovatel)
se v souladu s čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) („Nařízení“), dohodli takto:
I. ZÁKLADNÍ USTANOVENÍ
1. Zpracovatel na základě smlouvy Provozní řád VPK ze dne (dále
xxx Xxxxxxx) uzavřené s NTK jako Servisním centrem VPK (dále jen „SC VPK“) zpracovává osobní údaje uživatele systému VPK (subjektu údajů) předané mu Správcem za účelem poskytnutí služby dodávání dokumentů ve formě subdodávky pro systém VPK.
2. Předmět a dobu trvání zpracování, způsob zpracování a kategorii subjektů údajů určuje Knihovní řád VPK, Provozní řád VPK (tj. smlouva SC VPK se Zpracovatelem), Spisový a skartační řád NTK (vč. příloh) a příslušná legislativa.
Na základě Smlouvy nejsou zpracovávány zvláštní kategorie osobních údajů ani osobní údaje, které se týkají rozsudků v trestních věcech a trestných činů.
Osobní údaje, které jsou předávány zpracovateli: jméno a příjmení zákazníka, adresa, mailový kontakt, telefonní číslo, číslo uživatelského konta ve VPK; v případě institucí též kontaktní osoba.
II. ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
Osobní údaje se zpracovávají v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES.
1. Zpracovatel pro Správce na základě Smlouvy zajišťuje činnosti, při kterých dochází ke zpracování osobních údajů třetích osob spravovaných Správcem.
2. Osobní údaje jsou Zpracovatelem zpracovávány pouze pro účely a v rozsahu nezbytném pro plnění předmětu Smlouvy.
3. Osobní údaje budou Zpracovatelem uchovávány pouze po dobu nezbytně nutnou (viz bod I. 2 Dodatku č. 1 Smlouvy). Jakmile pomine účel, pro který byly osobní údaje zpracovávány, Zpracovavatel osobní údaje v souladu s platnou skartační směrnicí dané instituce skartuje či anonymizuje; anonymizování osobních údajů v databázi VPK je plně v kompetenci SC VPK.
III. POVINNOSTI ZPRACOVATELE
1. Zpracovatel je při zpracování osobních údajů na základě Xxxxxxx povinen postupovat s náležitou odbornou péčí tak, aby neporušil žádné ustanovení Nařízení.
2. Zpracovatel je povinen řídit se při zpracování osobních údajů pouze doloženými pokyny Správce. Zpracovatel je povinen upozornit Správce bez zbytečného odkladu na nevhodnou povahu pokynů, jestliže Zpracovatel mohl tuto nevhodnost zjistit. Zpracovatel je v takovém případě povinen pokyny provést pouze na základě písemného sdělení Správce, že Správce trvá na provedení takových pokynů, jinak Zpracovatel odpovídá Správci za případnou škodu způsobenou vznikem povinnosti Správce hradit škodu nebo nemajetkovou újmu v penězích subjektu osobních údajů či pokutu ÚOOÚ.
Pokud se subjekt osobních údajů bude domnívat, že Správce nebo Zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s Nařízením, a požádá Zpracovatele o vysvětlení nebo bude požadovat odstranění vzniklého stavu, zavazuje se Zpracovatel o tom neprodleně informovat Správce.
3. Zpracovatel je povinen Správci neprodleně oznámit provádění kontroly ze strany ÚOOÚ ve věci osobních údajů zpracovávaných pro Správce a poskytnout Správci na jeho žádost podrobné informace o průběhu kontroly a kopii kontrolního protokolu.
Zpracovatel je povinen Správci neprodleně oznámit každý případ porušení zabezpečení osobních údajů, který v souvislosti se zpracováním zjistí, a to telefonicky na číslo 232 002 437 a na emailovou adresu xxx.xxxxxxx@xxxxxxx.xx. V oznámení uvede veškeré informace dle čl. 33, odst. 3 Nařízení, které mu jsou známy.
Zpracovatel je povinen, pokud je to možné při zohlednění povahy zpracování osobních údajů, být prostřednictvím vhodných technických a organizačních opatření nápomocen Správci při plnění povinnosti Správce reagovat na žádosti o výkon práv subjektů osobních údajů, zejména na žádost o přístup k osobním údajům, o opravu či výmaz osobních údajů a o přenositelnost osobních údajů. Zpracovatel se zavazuje nepoužívat chráněné údaje pro žádné jiné účely než ty, které stanovil Správce, zejména pak pro své vlastní účely.
4. Zpracovatel je povinen dokumentovat přijatá a provedená technicko-organizační opatření k zajištění ochrany osobních údajů; Správce je oprávněn si takovou dokumentaci od Zpracovatele kdykoliv vyžádat k nahlédnutí. Zpracovatel je povinen umožnit audity, včetně inspekcí, prováděné Správcem nebo jiným auditorem, kterého Správce pověří, a k těmto auditům přispěje.
5. Zpracovatel je Správci nápomocen při posuzování vlivu na ochranu osobních údajů při ohlašování případů porušení zabezpečení osobních údajů ÚOOÚ či subjektům údajů a při předchozích konzultacích s ÚOOÚ, to vše při zohlednění povahy zpracování a informací, jež má k dispozici.
IV. ZAPOJENÍ DALŠÍHO ZPRACOVATELE
1. Zpracovatel nezapojí do zpracování žádného dalšího zpracovatele.
V. OPATŘENÍ K ZAJIŠTĚNÍ ZABEZPEČENÍ OCHRANY OSOBNÍCH ÚDAJŮ
1. Zpracovatel se zavazuje, že přijme s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody subjektů údajů vhodná technická a organizační opatření, aby vyloučil možnost neoprávněného nebo nahodilého přístupu k osobním údajům, k jejich změně, zničení či ztrátě, jakož i k jinému zneužití osobních údajů, zejména
a) zaváže své zaměstnance a další osoby oprávněné zpracovávat osobní údaje k mlčenlivosti a poučí je o jejich dalších povinnostech, které jsou povinni dodržovat, aby nedošlo k porušení zabezpečení;
b) bude osobní údaje uchovávat v náležitě zabezpečených objektech a místnostech;
c) osobní údaje systému VPK v elektronické podobě jsou uchovávány na zabezpečených serverech NTK; přístup k nim ze strany Zpracovatele (spolupracující účastnické knihovny) budou mít pouze pověření zaměstnanci na základě přístupových kódů či hesel;
d) pokud pověření zaměstnanci Zpracovatele převádějí objednávky, které jim systém VPK přiřadil k vyřízení, do papírové formy, zavazuje se Zpracovatel, že při jejich zpracování, manipulaci a uchování dodrží předpisy vyplývající z Nařízení a osobní data v nich obsažená bude archivovat jen po dobu nezbytně nutnou se zřetelem k vlastní spisové a skartační směrnici.
VI. ODPOVĚDNOST ZA ŠKODY
1. Zpracovatel odpovídá Správci za škodu způsobenou v důsledku porušení povinností uložených Zpracovateli Nařízením, Smlouvou nebo tímto Dodatkem č. 1, zejména je-li v důsledku porušení povinností Zpracovatele Správce povinen hradit náhradu škody nebo nemajetkové újmy subjektu osobních údajů či pokutu ÚOOÚ.
2. Zpracovatel je i po zániku Xxxxxxx povinen dodržovat veškeré povinnosti plynoucí mu z Nařízení, zejména předejít jakémukoliv neoprávněnému nakládání s osobními údaji.
VII. ZÁVĚREČNÁ USTANOVENÍ
1. Uzavřením Dodatku č. 1 se ostatní body Smlouvy nemění.
2. Smluvní strany shodně prohlašují, že si tento Dodatek řádně přečetly, rozumí jeho obsahu, souhlasí a zavazují se k jeho plnění, což stvrzují svými podpisy.
3. Tento Xxxxxxx je vypracován ve 2 vyhotoveních s platností originálu; každá ze smluvních stran obdrží po jednom vyhotovení.
V Praze dne V dne
Razítko a podpis Správce Razítko a podpis Zpracovatele