Smlouva o zpracování osobních údajů

Smlouva o zpracování osobních údajů

uzavřená dle čl. 28 odst. 3 Nařízení Evropského parlamentu a Rady (EU) 2016/679
o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), dále jen „Nařízení“

Smluvní strany

Vysoká škola báňská -Technická univerzita Ostrava, Centrum podpory inovací

se sídlem: 17. listopadu 2172/15, 708 00 Ostrava-Poruba

zastoupená: doc. Ing. Xxxxxx Xxxxxx, prorektorem pro komercializaci a spolupráci s průmyslem

IČ: 61989100

DIČ: CZ 61989100

dále jen „Správce“

a

Obchodní firma/Název:

se sídlem:

zastoupená:

zapsaná v obchodním rejstříku vedeném u xx soudu v ……., oddíl ….., vložka č. …..

IČ:

DIČ: CZ

dále jen „Zpracovatel“

dále společně jen „Smluvní strany“

I.

Předmět a účel smlouvy

1. Smluvní strany uzavřely dne ………….. smlouvu o dílo na vytvoření internetového kariérního portálu VŠB-TUO č. .....….., jejímž předmětem je zhotovení díla: „Vytvoření internetového kariérního portálu VŠB-TUO“ a poskytování služeb servisní podpory (SLA), při jejich plnění jsou Správcem zpřístupněny Zpracovateli osobní údaje subjektů získané činnostmi Správce.

2. Tato Xxxxxxx se uzavírá za účelem vymezení rozsahu práv a povinností, které pro její účastníky vyplývají z příslušných právních předpisů regulujících ochranu osobních údajů, tj. zejména Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016
   o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (GDPR) a související národní legislativy, při plnění služeb podle předchozího odstavce a zpracovávání osobních údajů.

3. Předmětem Smlouvy je zajištění zpracování osobních údajů Zpracovatelem, a to v rozsahu dle čl. II odst. 3 Smlouvy (dále také „zpřístupněné osobní údaje“).

4. Tato Xxxxxxx se uzavírá za účelem ochrany zpřístupněných osobních údajů při jejich zpracovávání Zpracovatelem v rámci poskytování služeb Správci.

5. Zpracovatel se zavazuje zpracovávat pro Správce zpřístupněné osobní údaje, které Správce získal nebo získá v souvislosti se svou činností, a které za tím účelem Zpracovateli předá v rozsahu a postupy dle této Smlouvy.

II.

Rozsah zpracovávaných údajů

1. Smluvní strany berou na vědomí a činí mezi nimi nesporným, že Správce (a nikoliv Zpracovatel) je ten, kdo je odpovědný za určení:

1. které osobní údaje subjektů údajů budou zpracovávány,

2. na základě jakých právních důvodů (titulů) budou tyto údaje zpracovávány,

3. doby uchování, tj. po jakou dobu budou osobní údaje zpracovávány a jak dlouho mají být uchovány,

4. kategorii subjektů údajů,

5. kategorii příjemců údajů.

2. Účelem zpracování osobních údajů je zhotovení díla „Vytvoření internetového kariérního portálu VŠB-TUO“ a poskytování služeb servisní podpory (SLA) v souladu se smlouvou o dílo uvedenou v čl. I odst. 1. a s obecně závaznými právními předpisy.

3. Osobní údaje budou Zpracovatelem zpracovávány v rozsahu:

• jméno, příjmení a titul

• datum narození

• adresa trvalého bydliště

• osobní číslo

• e-mailová adresa

• telefonní číslo

• občanství

• typ studia

• forma studia

• ročník studia

4. Kategorie subjektů údajů jsou:

• studenti

• zákazníci - fyzické osoby

• zástupci – fyzické osoby zákazníka ve formě právnické osoby

5. Smluvní strany se dohodly, že zpracování osobních údajů dle této smlouvy je realizováno bezplatně, nárok Zpracovatele na odměnu za zhotovení díla a poskytování servisní podpory (SLA) je zachován.

III.

Oprávněné osoby

1. Mezi oprávněné osoby, které budou na straně Zpracovatele osobní údaje zpracovávat, patří:

   1. zaměstnanci Zpracovatele

   2. poddodavatelé Zpracovatele uvedení v nabídce Zpracovatele pro veřejnou zakázku „Vytvoření internetového kariérního portálu VŠB-TUO“, jsou-li nějací.

IV.

Práva a povinnosti stran

1. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, včetně v otázkách předání osobních údajů do třetí země nebo mezinárodní organizaci.

2. V případě, že Zpracovatel dojde k závěru, že určitý pokyn Správce porušuje Nařízení nebo jiný právní předpis, je povinen o tom Správce neprodleně informovat.

3. Zpracovatel je povinen neprodleně Správce informovat o zániku oprávnění nebo smluv, podstatných pro plnění Smlouvy.

4. Zpracovatel je povinen strpět kontrolu nebo audit Správce nebo Správcem pověřené třetí strany a k těmto auditům se zavazuje přispět. Smluvní strany jsou si povinny předat podklady pro naplnění tohoto cíle. Tato povinnost smluvních stran bude realizována zejména v případě jednání s Úřadem pro ochranu osobních údajů nebo jinými orgány veřejné správy.

5. Zpracovatel bude předkládat Správci dle jeho pokynů nálezy a zprávy z kontrol a auditů, které jsou podstatné pro jeho schopnost zajistit ochranu osobních údajů, a to i v případě, že se nejedná o audit nebo kontrolu nařízenou nebo vyžádanou Správcem.

6. Zpracovatel poskytne Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v Nařízení, zejména v článku 28.

7. Zpracovatel na vyžádání předloží Správci výsledky analýzy rizik a popis implementovaných opatření v rámci řízení bezpečnosti.

8. Zpracovatel je povinen neprodleně informovat Správce o významných změnách u svých dodavatelů, jako je například změna nebo zánik certifikace, změna provozovny, změna technologie a podobně.

9. Zpracovatel přijal a zavazuje se průběžně přijímat taková technická, administrativní, fyzická
   a jiná opatření, aby nemohlo dojít k náhodnému nebo protiprávnímu zničení, ztrátě, pozměnění, neoprávněnému zpřístupnění nebo neoprávněnému přístupu k osobním údajům, jakož i k jejich jinému zneužití. Tato povinnost platí i po ukončení zpracování osobních údajů Zpracovatelem či služeb, které Zpracovatel Správci poskytuje dle této Smlouvy a Smlouvy uvedené ve čl. I. 1., nebo do úplné likvidace dle bodu 19 tohoto článku.

10. Zpracovatel za účelem plnění svých závazků s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, přijal a zavazuje se průběžně zpracovávat a dokumentovat přijatá a provedená technická a organizační opatření k zajištění ochrany osobních údajů v souladu s Nařízením a související vnitrostátní legislativou
    a v souladu s instrukcemi Správce. Zpracovatel zajišťuje kontrolu a odpovídá zejména za:

1. zpracování osobních údajů pouze k tomu oprávněnými osobami, které k osobním údajům mají bezprostřední přístup vzhledem k účelu zpracování;

2. zabránění neoprávněným osobám přistupovat k osobním údajům a prostředkům pro jejich zpracování;

3. zabránění neoprávněného čtení, vytváření, kopírování, přenosu, úpravám, vymazání či jakémukoliv jinému zpracování záznamů obsahujících zpřístupněné osobní údaje;

4. opatření, která umožní i zpětně určit a ověřit, komu byly zpřístupněné osobní údaje předány, kým byly zpracovány, pozměněny nebo smazány.

11. Zpracovatel se zavazuje zajistit, že osoby, které budou zpracovávat osobní údaje na základě smlouvy se Zpracovatelem, budou tyto údaje zpracovávat pouze za podmínek a v rozsahu stanoveném Zpracovatelem, v souladu s Nařízením a touto smlouvou. Zpracovatel, jeho zaměstnanci nebo spolupracující osoby budou zachovávat mlčenlivost o osobních údajích, a to i po skončení zaměstnání nebo příslušných prací pro Zpracovatele. Zpracovatel je povinen dodržovat všechny závazky, které přijal za účelem zachování mlčenlivosti o informacích, dle smluv, které byly mezi Správcem a Zpracovatelem uzavřeny, nebo vyplývají s právních předpisů k těmto informacím se vztahujícím.

12. Smluvní strany se zavazují poskytnout si vzájemně veškerou potřebnou součinnost a podklady pro zajištění bezproblémové a efektivní realizace této Smlouvy. V rámci součinnosti se Zpracovatel zavazuje umožnit Správci provést kontrolu zavedených opatření v místě zpracování údajů, a to kdykoliv si to Správce vyžádá a nejpozději do 5 pracovních dnů od žádosti či termínu stanoveným Správcem. V případě podezření na nedodržení podmínek stanovených touto smlouvou umožní takovou kontrolu ihned.

13. Zpracovatel se zavazuje neprodleně Správci písemně oznámit jakýkoliv incident, který by mohl vést, nebo vedl k narušení integrity nebo zabezpečení zpřístupněných údajů. Zároveň s tím je Zpracovatel povinen přijmout vhodná a efektivní opatření k odstranění závadného stavu, k opětovnému zaručení bezpečnosti osobních údajů a minimalizaci škod. Zpracovatel je povinen stejným způsobem hlásit také podezření na incident, a to bez ohledu na to, kde a kdy k takovému incidentu může nebo mohlo dojít. Zpracovatel je povinen hlásit také porušení povinností, vyplývajících z této smlouvy, včetně porušení takových povinností třetí stranou
    a nezaviněné nemožnosti dodržet takovou povinnost.

14. Zpracovatel se zavazuje nezapojit do zpracování žádného dalšího zpracovatele bez předchozího konkrétního nebo obecného písemného povolení Správce. V případě obecného písemného povolení Zpracovatel Správce informuje o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a poskytne tak Správci příležitost vyslovit vůči těmto změnám námitky.

15. Pokud Zpracovatel zapojí dalšího zpracovatele, aby jménem nebo pro potřeby Správce provedl určité činnosti zpracování, musí být tomuto dalšímu zpracovateli uloženy na základě smlouvy nebo jiného právního aktu podle práva Unie nebo členského státu stejné povinnosti na ochranu údajů, jaké jsou uvedeny ve smlouvě nebo jiném právním aktu mezi Správcem
    a Zpracovatelem, a to zejména poskytnutí dostatečných záruk, pokud jde o zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky Nařízení. Neplní-li uvedený další zpracovatel své povinnosti v oblasti ochrany údajů, odpovídá Správci za plnění povinností dotčeného dalšího zpracovatele i nadále plně Zpracovatel, který je účastníkem této smlouvy.

16. Zpracovatel se zavazuje v případě předání zpřístupňovaných osobních údajů do třetích zemí dodržet veškeré legislativní požadavky, s využitím mechanismů předávání osobních údajů v souladu s čl. 44 a násl. Nařízení. Tedy s poskytnutím dostatečných záruk, že technická
    i organizační opatření budou realizována tak, aby zpracování zajistilo ochranu práv dotčených subjektů údajů, např. formou standardních smluvních doložek podle rozhodnutí Evropské Komise 2010/87/EU nebo standardních ochranných doložek podle čl. 46 Nařízení.

17. Zpracovatel se zavazuje zajistit výkon práv subjektů údajů tak, jak vyplývají z Nařízení, tedy je Správci nápomocen při splnění Správcovy povinnosti reagovat na žádosti o výkon práv subjektů údajů. Jedná se zejména o umožnění legitimního přístupu k údajům subjektu, opravu nesprávných údajů nebo jejich vymazání, v případě, že o to subjekt požádá, a je to v souladu s platnou legislativou.

18. Zpracovatel a jeho případný zástupce je povinen vést záznamy o všech kategoriích činností zpracování prováděných pro Správce minimálně v rozsahu a způsobem dle článku 30 Nařízení.

19. Doba zpracování osobních údajů je omezena na dobu trvání smlouvy, tj. do uplynutí 24 měsíců od uvedení díla uvedeného v čl. I odst. 1. této Smlouvy do ostrého provozu (ukončení služeb servisní podpory (SLA)). Zpracovatel se zavazuje poté osobní údaje předat Správci nebo je prokazatelně zlikvidovat nejpozději ve lhůtě 30 dnů po skončení doby zpracování; uvedená povinnost platí i v případě předčasného ukončení platnosti Smlouvy.

20. Ve smyslu zákona č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (dále jen „zákon o registru smluv“) se smluvní strany dohodly na tom, že tato Smlouva uzavřená k doplnění Smlouvy uvedené v čl. I. odst. 1. této Smlouvy bude ve shodě s příslušnými ustanoveními zákona o registru smluv uveřejněna v registru smluv, které zajistí bez zbytečného odkladu po jejím uzavření Správce.

V.

Doba trvání a zánik smlouvy

1. Správce a Zpracovatel se dohodli, že tato smlouva se uzavírá na dobu určitou,
   a to až do ukončení plnění Zpracovatele dle Smlouvy uvedené v čl. I odst. 1, ledaže z konkrétních okolností vyplyne, že vybrané závazky Zpracovatele z této smlouvy mají trvat i po ukončení nebo zrušení Smlouvy.

2. Tuto Smlouvu lze ukončit písemnou dohodou smluvních stran, písemnou výpovědí s výpovědní dobou v trvání 2 měsíců, která počíná běžet prvním dnem měsíce následujícího po doručení výpovědi druhé smluvní straně. Po dobu trvání výpovědní doby jsou Smluvní strany plně vázány touto smlouvou.

3. Kterákoli Smluvní strana je rovněž oprávněná od smlouvy kdykoliv písemně odstoupit, pokud druhá Smluvní strana závažným způsobem poruší jakékoliv závazky dané jí touto Smlouvou nebo příslušnou legislativou. Správce je oprávněn od smlouvy odstoupit, pokud Zpracovatel závažným způsobem porušuje povinnosti, dané mu touto Smlouvou nebo obecně závaznými právními předpisy. Účinky odstoupení nastávají dnem doručení písemného odstoupení druhé smluvní straně.

VI.

Odpovědnost za škodu

1. Zpracovatel je odpovědný za škodu způsobenou Správci, která vznikla na základě, v důsledku nebo v souvislosti s porušením jakékoliv podmínky této smlouvy či jejích příloh, nebo porušením zákonných ustanovení, které se vztahují na Správce či jeho spolupracující osoby.

2. Ze škody se nevylučuje ušlý zisk a škoda jmenovitě zahrnuje i veškeré náklady vynaložené na případné soudní vymáhání úhrady škody.

3. Zpracovatel se při případném porušení podmínek této smlouvy zavazuje se Správcem plně spolupracovat ve snaze minimalizovat škodlivý následek takovým porušením způsobený nebo hrozící.

4. V případě porušení jakékoli povinnosti stanovené Zpracovateli v čl. IV. této Smlouvy je Zpracovatel povinen zaplatit Správci smluvní pokutu ve výši 100.000,- Kč (slovy: stotisíckorun), a to za každé jednotlivé porušení povinnosti. Smluvní pokuta je splatná do třiceti (30) kalendářních dnů ode dne doručení písemné výzvy k jejímu zaplacení. Úhrada smluvní pokuty se nedotýká práva Správce na náhradu způsobené škody, kterou lze vymáhat v plné výši samostatně vedle smluvní pokuty.

VII.

Závěrečná ustanovení

1. Tato smlouva nabývá platnosti dnem uzavření potvrzeným podpisy oběma Smluvními stranami. Účinnou se stane po jejím uveřejnění v registru smluv.

2. Neplatnost některého ustanovení této smlouvy nemá za následek neplatnost celé smlouvy. V takovém případě jsou obě Smluvní strany povinny vynaložit veškeré potřebné úsilí
   a součinnost k nahrazení ustanovení neplatného ustanovením právně bezvadným.

3. Tuto smlouvu lze měnit a doplňovat jen na základě písemných a číslovaných dodatků podepsaných oprávněnými zástupci obou Smluvních stran.

4. Tato smlouva je vyhotovena v jednom stejnopise v elektronické podobě.

5. Tato smlouva a vztahy z ní vyplývající se řídí Nařízením, související národní legislativou
   a zákonem č. 89/2012 Sb., občanským zákoníkem, ve znění pozdějších předpisů.

6. Smluvní strany níže svým podpisem stvrzují, že si smlouvu před jejím podpisem přečetly, s jejím obsahem souhlasí, a tato je sepsána podle jejich pravé a skutečné vůle, srozumitelně
   a určitě, nikoliv v tísni a za nápadně nevýhodných podmínek.

Za Správce Za Zpracovatele

V Ostravě dne ……………….. V …………………….. dne …………………

……………………………………….. …………………………………..

doc. Xxx. Xxxx Xxxx, Ph.D. jméno:

prorektor pro komercializaci funkce:

a spolupráci s průmyslem

1/7