Smlouva o zpracování osobních údajů
Smlouva o zpracování osobních údajů
Zpracovatel: NAM system, a.s. U Pošty 1163/13 735 64 Havířov – Prostřední Suchá IČO: 25862731 DIČ: CZ25862731 OR: KS v Ostravě, č. spisové značky B 2365 Zastoupený: Ing. Xxxxx Xxxxxxxx, předsedou představenstva | Zákazník: je identifikován ve Smlouvě o poskytování služeb |
Zpracovatel a Zákazník jsou v této smlouvě označováni každý jako strana a společně jako strany.
ÚVODNÍ USTANOVENÍ
(A) Zpracovatel a Zákazník uzavřeli smlouvu či smlouvy o poskytování služeb ONI systemu, podle které/kterých Zpracovatel poskytuje Zákazníkovi služby spočívající v dálkovém sledování a/nebo střežení objektů (dále uvedená smlouva či smlouvy o poskytování služeb ONI systemu společně označovány jako “Smlouva o poskytování služeb”). Služby poskytované Zpracovatelem na základě Xxxxxxx o poskytování služeb zahrnují zpracování osobních údajů, které je blíže specifikováno v této smlouvě a Smlouvě o poskytování služeb.
(C) Pro zajištění bezpečného, správného a zákonného zpracování osobních údajů uvedených v článku (B) se strany dohodly na podmínkách a ujednáních stanovených v této smlouvě.
JE DOHODNUTO NÁSLEDUJÍCÍ
1 DEFINICE
1.1 Následující termíny mají v této smlouvě níže uvedené významy:
“Smlouvou” se rozumí tato smlouva o zpracování osobních údajů včetně příloh;
“Právními předpisy na ochranu osobních údajů” se rozumí GDPR a právní předpisy implementující nebo doplňující tento předpis;
“GDPR” se rozumí Nařízení Evropského parlamentu a rady 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů);
“Den účinnosti” znamená den uzavření Smlouvy;
„Osobní údaje“ znamenají osobní údaje o:
• objektech registrovaných v ONI systemu a uživatelích těchto objektů předané Zpracovateli Zákazníkem nebo třetí osobou jménem či z pověření Zákazníka nebo zadané Zákazníkem či uvedenou třetí osobou do ONI systemu; a
• provozních stavech, událostech a polohách těchto objektů Zákazníka generované ONI systemem při sledování nebo střežení těchto objektů.
„Osobními údaji“ pro účely Smlouvy však nejsou údaje uvedené v článku (D) Úvodního ustanovení Smlouvy.
1.2 Pojmy “třetí země”, “členský stát”, "správce", "subjekt údajů", "osobní údaje", "porušení zabezpečení osobních údajů", "zpracování" a "orgán dozoru" mají stejný význam jako v GDPR, a jejich příbuzné pojmy budou vykládány v souladu s nimi.
2 PŘEDMĚT A POVAHA ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
Zpracovatel na základě Smlouvy o poskytování služeb poskytuje Zákazníkovi služby spočívající v dálkovém sledování a/nebo střežení objektů. Za tím účelem musí Zpracovatel zpracovávat Osobní údaje. Bližší popis zpracování Osobních údajů je uveden v Pravidlech ochrany osobních údajů ONI system, které jsou přílohou 1 Smlouvy.
Zpracovatel zpracovává Osobní údaje automatizovaně ve svém IT systému.
3 DOBA TRVÁNÍ ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
Verze červen 2018
4 ÚČEL ZPRACOVÁNÍ
Zpracovatel zpracovává Osobní údaje za účelem poskytování služeb dle Xxxxxxx o poskytování služeb. Z pohledu Zákazníka je účelem zpracování Osobních údajů ochrana majetku Zákazníka, bezpečnost provozu vozidla - ochrana zdraví v případě dopravní nehody a
vedení knihy jízd pro daňové účely.
5 TYPY OSOBNÍCH ÚDAJŮ
Zpracovatel zpracovává Osobní údaje o:
• objektech (vozidlech) Zákazníka registrovaných v ONI systemu,
• uživatelích těchto objektů (vozidel),
• polohách objektů a jejich historii,
• provozních stavech, hodnotách a událostech týkajících se těchto objektů.
6 KATEGORIE SUBJEKTŮ ÚDAJŮ ZPRACOVÁVANÉ ZPRACOVATELEM
Zpracovatel zpracovává Osobní údaje uživatelů objektů (vozidlech) Zákazníka registrovaných v ONI systemu.
7 ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
7.1 Zákazník se zavazuje:
7.1.1 Zajistit právní základ pro zpracování Osobních údajů, na něž se vztahuje Xxxxxxx.
7.1.2 Zajistit, že veškeré Osobní údaje jsou shromažďovány a předávány Zpracovateli zákonným způsobem.
7.1.3 Zajistit, že subjekty údajů (uživatelé objektů Zákazníka) v souladu s ustanoveními Právních předpisů na ochranu osobních údajů obdržely dostatečné informace týkající se zpracování, včetně informací o tom, že Zpracovatel smí a bude jménem Zákazníka zpracovávat Osobní údaje.
7.1.4 Nevydat žádné pokyny Zpracovateli, které by byly jakýmkoliv způsobem v rozporu s Právními předpisy na ochranu osobních údajů, Smlouvou, Smlouvou o poskytování služeb nebo zákonnými právy subjektů údajů.
7.1.5 Neprodleně, jakmile se o tom dozví, informovat Zpracovatele o případných chybných, opravených, aktualizovaných nebo vymazaných Osobních údajích podléhajících zpracování údajů ze strany Zpracovatele.
7.1.7 Jednat jako kontaktní místo subjektů údajů.
7.2 Zpracovatel se zavazuje:
7.2.1 Nezpracovávat Osobní údaje jinak než na základě zdokumentovaných pokynů Zákazníka, včetně případného předávání Osobních údajů Zákazníka do třetích zemí nebo mezinárodním organizacím, ledaže to vyžadují právní předpisy Evropské unie nebo jejího členského státu, xxxx Xxxxxxxxxxx podléhá. V takovém případě bude před zpracováním Osobních údajů Zpracovatel o tomto právním požadavku informovat Zákazníka, ledaže tyto předpisy zakazují poskytnutí těchto informací na základě důležitého veřejného zájmu.
7.2.2 Zajistit, aby osoby pověřené ke zpracování Osobních údajů prováděly činnosti při zpracování v souladu s pokyny Zákazníka a zavázaly se k mlčenlivosti, nebo se na ně povinnost zachování mlčenlivosti vztahovala ze zákona.
7.2.3 Vzhledem ke stavu techniky, nákladům na realizaci a podstatě, rozsahu, kontextu a účelům zpracování osobních údajů, jakož i k různé pravděpodobnosti a závažnosti rizik pro práva a svobody fyzických osob, zavést dostatečná technická a organizační opatření, aby byla zajištěna úroveň bezpečnosti odpovídající tomuto riziku a aby byly plněny povinnosti Zákazníka reagovat na žádosti při uplatnění práv subjektu údajů na základě Právních předpisů na ochranu osobních údajů. Strany se dohodly, že bezpečnostní opatření přijatá Zpracovatelem uvedená také v příloze 2 Smlouvy splňují závazky Zpracovatele dle tohoto článku Smlouvy.
7.2.4 V případě ztráty, krádeže, zneužití, neoprávněného přístupu nebo protiprávního zpracování Osobních údajů Zpracovatel bez zbytečného odkladu o této události vyrozumí Zákazníka a poskytne Zákazníkovi veškerou potřebnou součinnost pro zjednání nápravy problémů vzniklých následkem této události a učiní veškeré nezbytné kroky pro splnění platných Právních předpisů na ochranu osobních údajů, zahrnující kromě jiného splnění oznamovací povinnost ze strany Zpracovatele Zákazníkovi, přičemž Zákazník si je vědom svých povinností ve vztahu k příslušným dozorovým úřadům a subjektům osobních údajů a tyto splní sám.
7.2.5 Poskytnout Zákazníkovi na náklady Zákazníka odůvodněnou součinnost při zajišťování plnění jeho povinností podle článků 32 až 36 GDPR (např. napomáhat správci v případě porušení zabezpečení Osobních údajů, při provádění posouzení vlivu na ochranu Osobních údajů a předchozích konzultacích) při zohlednění povahy zpracování údajů a informací, které má Zpracovatel k dispozici.
7.2.6 Zpřístupnit Zákazníkovi informace potřebné pro prokázání plnění povinností Zpracovatele stanovených ve Smlouvě a umožnit přezkoumání, včetně kontrol prováděných podle článku 9, a poskytnout na náklady Zákazníka svou součinnost při tomto.
7.3 Zpracovatel je oprávněn anonymizovat osobní údaje Zákazníka jako opatření ochrany a z technických důvodů a v souladu s právními předpisy.
8 SUBDODAVATELÉ
8.1 Zpracovatel v Den účinnosti nepoužívá subdodavatele pro zpracování Osobních údajů. Zákazník nicméně zmocňuje Zpracovatele, aby konkrétní činnosti spojené se zpracováním Osobních údajů prováděl prostřednictvím subdodavatelů, pokud takový subdodavatel splní veškeré povinnosti podle Xxxxxxx, co se týče zpracování Osobních údajů prováděného tímto subdodavatelem, jako by byl stranou Smlouvy. Jakýkoli subdodavatel poskytne dostatečné záruky a zavede dostatečná technická a organizační opatření tak, aby zpracování Osobních údajů
splňovalo požadavky Právních předpisů na ochranu osobních údajů a Xxxxxxx. V případě, že subdodavatel nesplní své povinnosti týkající se zpracování Osobních údajů, Zpracovatel je odpovídá vůči Zákazníkovi za plnění povinností daného subdodavatele.
8.2 Zpracovatel vyrozumí Zákazníka o veškerých zamýšlených změnách ohledně rozšíření nebo výměny subdodavatelů, čímž poskytne Zákazníkovi možnost vyslovení námitky proti tomuto opatření. Nebudou-li tyto námitky rozumně odůvodněné a budou mít za následek jakékoliv náklady navíc nebo výdaje na straně Zpracovatele, nahradí Zákazník Zpracovateli tyto náklady a výdaje navíc.
9 KONTROLA
9.1 Zpracovatel umožní a poskytne Zákazníkovi na jeho náklady součinnost v případě rozumně požadovaných přezkoumání, jejichž účelem je ověřit dodržování Smlouvy ze strany Zpracovatele i jeho subdodavatelů. Za účelem ochrany důvěrných obchodních informací Zpracovatele se strany dohodly, že tato přezkoumání budou prováděna nezávislou třetí stranou, kterou vybere Zákazník a Zpracovatel schválí.
9.2 Zpracovatel zajistí nezávislému auditorovi rozumný přístup do částí zařízení, kde Zpracovatel provádí činnosti spojené se zpracováním Osobních údajů, a k informacím týkajícím se zpracování Osobních údajů na základě Smlouvy, a to během běžné pracovní doby a na základě vyrozumění učiněného s dostatečným předstihem (přičemž za dostatečnou dobu se považuje lhůta nejméně 15 pracovních dnů). Přezkoumání bude provedeno co nejrychleji a nebude narušovat běžný provoz Zpracovatele. Auditor je povinen dodržovat pracovní řád, bezpečnostní požadavky a normy Zpracovatele při provádění návštěv pracoviště. Před započetím jakéhokoliv přezkoumání uzavře nezávislý auditor (včetně příslušných osob provádějících přezkoumání) se Zpracovatelem smlouvu o mlčenlivosti, kterou připraví Zpracovatel.
9.3 Orgán dozoru má vždy přímý a neomezený přístup do prostor Zpracovatele, k jeho zařízení pro zpracování Osobních údajů i dokumentaci pro účely vyšetření, zda je zpracování Osobních údajů Zpracovatelem prováděno v souladu s Právními předpisy na ochranu osobních údajů.
9.4 Zákazník odpovídá za veškeré náklady spojené s přezkoumáním uvedeným výše, vyjma situace, kdy se přezkoumáním zjistí zásadní porušení závazků Zpracovatele dle Smlouvy. V takovém případě Zpracovatel nahradí Zákazníkovi rozumné a prokázané náklady spojené s přezkoumáním.
10 ODMĚNA
10.1Odměna za plnění závazků Zpracovatele na základě Smlouvy, není-li dále uvedeno jinak, je zahrnuta do ceny placené Zákazníkem na základě Smlouvy o poskytování služeb. V případě pokynů Zákazníka nebo jiných žádostí na základě Smlouvy požadujících opatření navíc ze strany Zpracovatele, bude mít Zpracovatel nehledě na výše uvedené, vždy právo na náhradu (cenu) navíc podle vynaloženého času a materiálu. To zahrnuje například pomoc Zpracovatele při řešení žádostí subjektů údajů.
10.2V případě, že (i) Zákazník změní své písemné pokyny uvedené v odstavci 7.1.6, nebo (ii) Zákazník bude požadovat zavedení technických nebo organizačních opatření nad rámec opatření uvedených v příloze 2, přičemž tato skutečnost povede k navýšení nákladů Zpracovatele, má Zpracovatel právo na spravedlivé navýšení ceny placené na základě Smlouvy o poskytování služeb.
11 DOBA TRVÁNÍ A UKONČENÍ SMLOUVY
Smlouva nabývá platnosti a stává se účinná Dnem účinnosti. Smlouva bude účinná až do ukončení nebo vypršení doby trvání Smlouvy o poskytování služeb, přičemž v takovém případě bude automaticky ukončena bez dalšího vyrozumění.
12 VÝMAZ NEBO VRÁCENÍ OSOBNÍCH ÚDAJŮ ZÁKAZNÍKA
12.1S výjimkou odstavce 12.2 níže přestane Zpracovatel po ukončení Smlouvy zpracovávat Osobní údaje. Na základě písemného pokynu Zákazníka dále Zpracovatel zajistí na náklady Zákazníka vrácení Zákazníkovi veškerých Osobních údajů, které drží. Nepředloží-li Zákazník pokyn k vrácení do dvou (2) měsíců ode dne ukončení Smlouvy, Zpracovatel smí vymazat veškeré Osobní údaje, pokud není uchovávání Osobních údajů požadováno po Zpracovateli právními předpisy. Mají-li být Osobní údaje vráceny v souladu s výše uvedeným, budou vráceny v běžném čitelném formátu, na kterém se strany dohodnou.
13 ODPOVĚDNOST A ODŠKODNĚNÍ
13.1S výjimkou odstavců 13.2 až 13.3 níže poskytne každá strana kompenzaci druhé straně za veškeré škody vyplývající nebo vzniklé z jakéhokoliv porušení Smlouvy první stranou.
14 VYŠŠÍ MOC
Zpracovatel neodpovídá za jakékoliv porušení povinností nebo prodlení v plnění svých povinností na základě Smlouvy, jestliže je toto porušení nebo prodlení způsobeno okolnostmi mimo kontrolu Zpracovatele, které Zpracovatel nemohl rozumně předpokládat nebo jim zabránit (dále “vyšší moc”). Neplnění subdodavatelem bude považováno za událost vyšší moci, pokud je předmětným důvodem neplnění ze strany subdodavatele událost, která by byla považována za událost vyšší moci, pokud by se přímo vztahovala ke Zpracovateli.
15 RŮZNÉ
15.1Veškerá vyrozumění druhé straně na základě Smlouvy musí být v písemné formě a zasílaná na její adresu uvedenou na začátku Smlouvy nebo na jinou adresu, kterou strana písemně sdělí.
15.2Smlouvu lze měnit pouze na základě písemné dohody mezi stranami.
15.3 Je-li některé ustanovení Smlouvy prohlášeno za neplatné nebo nevymahatelné místně příslušným soudem, ostatní ustanovení Smlouvy budou nadále platná, pokud tato ostatní ustanovení nemusí být považována za nerozlučitelně spojená s neplatným nebo nevymahatelným ustanovením. V případě, že jsou ostatní ustanovení nadále platná, vynaloží obě strany snahu, aby nahradily neplatné či nevymahatelné ustanovení platným ustanovením, které se nejvíce blíží původnímu záměru stran.
15.4 Pro případ, že mezi smluvními stranami byla v minulosti uzavřena jakákoli smlouva o zpracování Osobních údajů ze strany Zpracovatele, či sjednáno jakékoli ujednání o zpracování Osobních údajů ze strany Zpracovatele, pak takováto smlouva či takovéto ujednání se okamžikem nabytí účinnosti Smlouvy nahrazuje touto Smlouvou.
16 ROZHODNÉ PRÁVO
Rozhodné právo a řešení sporů se řídí úpravou řešení sporů ve Smlouvě o poskytování služeb.
Vyhotoveno ve dvou (2) originálních výtiscích, přičemž každá strana potvrzuje převzetí jednoho (1) originálního výtisku.
V Havířově dne ...3.....7......2...0..1...8.. | V .......................... dne ........................... |
............................................................................ | ............................................................................ |
za Zpracovatele Xxx. Xxxx Xxxxxxx předseda představenstva | za Zákazníka ............................................... |
Příloha č.1 Pravidla ochrany osobních údajů ONI system – pravidla najdete na xxx.xxxxxxxxx.xx/xxxx
Příloha č.2 Bezpečnostní opatření
1 . ŘÍZENÍ PŘÍSTUPU DO MÍST ZPRACOVÁNÍ
Zpracovatel zavedl technická a organizační opatření, která znemožní neoprávněným osobám vstup do míst a k zařízením, kde dochází ke zpracování Osobních údajů.
Technická a organizační opatření pro řízení přístupu osob do míst zpracování Osobních údajů mohou být následující:
• Ochranná opatření pro zamezení krádeže, manipulace a škod na zařízení používaném pro zpracování Osobních údajů;
• Bezpečnostní zónování objektu;
• Přihlášení (logování) personálu na daném pracovišti;
• Řízený výdej klíčů (včetně přístupových oblastí);
• Fyzická ostraha v režimu 24/7/365;
• Bezpečnostní dokumentace;
• Monitorovací zařízení, např. poplachový systém, sledování pomocí kamerového systému.
2 . ŘÍZENÍ PŘÍSTUPU K SERVEROVÉ APLIKACI ONI SYSTEM
Zpracovatel zavedl technická a organizační opatření, která znemožní neoprávněným osobám přístup k Osobním údajům, které jsou zpracovávány v serverové aplikaci ONI systemu. Neoprávněné osoby nemají přístup k serverové aplikaci ONI systemu.
Technická a organizační opatření zajišťující identifikaci uživatele v systému mohou být následující:
• Fyzický přístup do technologického centra mají pouze pověření zaměstnanci Zpracovatele, kteří uzavřeli smlouvou o mlčenlivosti a ochraně informací
• Přístupová oprávnění (hesla, kódy apod.);
• Bezpečnostní monitoring (logování administrátorů a uživatelů);
• Automatické zamykání (např. heslo požadované pro opětovné přihlášení);
• Nastaven proces zajišťující okamžité odvolání veškerých přístupových práv v případě, že zaměstnanec ukončí pracovní proces;
• Bezpečnostní zálohy;
• Antivirová ochrana;
• Šifrování;
• Firewall;
• Kontinuální zvyšování úrovně odborných znalostí administrátorů;
• Bezpečnostní dokumentace.
3 . ŘÍZENÍ PŘÍSTUPU K ÚDAJŮM
Zpracovatel zajistil, aby osoby oprávněné používat ONI system měly přístup pouze k údajům, ke kterým mají přístupové právo. Dále Zpracovatel zajistil, aby tyto údaje nemohly být v serverové aplikaci ONI systemu neoprávněnou osobou přečteny, kopírovány, změněny či vymazány během jejich zpracování, používání a dalšího přechovávání.
Opatření k přístupovým a přihlašovacím právům a jejich monitorování jsou následující:
• Nastavení přístupových oprávnění, dle konkrétních potřeb (odlišné úrovně přístupů k údajům);
• Úložiště údajů jsou umístěna v zabezpečených místnostech, které jsou pravidelně kontrolovány z hlediska bezpečnosti;
• Dodržují se zásady need to know (zpřístupnit minimum potřebných informací);
• Neznámý / neoprávněný software nelze instalovat na hardware poskytovatele;
• Údaje jsou přechovávány šifrované;
• Bezpečnostní dokumentace.
4 . ŘÍZENÍ PŘENOSU
Zpracovatel zavedl opatření, aby bylo zajištěno, že během digitálního přenosu nebo dopravy / přechovávání na nosičích dat pro přenos nesmějí být Osobní údaje přečteny, kopírovány, změněny ani vymazány.
Opatření během přenosu, dopravy a přechovávání údajů na nosičích dat jsou následující:
• Přístupová opatření (hesla, kódy apod.);
• Šifrování;
• Kódování, síťové připojení (VPN = Virtual Private Network/virtuální soukromá síť);
• Digitální podpis;
• Bezpečnostní monitoring uživatelů;
• Opatření pro zamezení neřízeného přenosu údajů (např. zamykání portů USB);
• Bezpečnostní dokumentace.
5 . ŘÍZENÍ ZÁZNAMŮ
Zpracovatel zavedl opatření, aby bylo zajištěna kontrola, zda byly údaje v systému zpracování údajů zadány, změněny nebo vymazány, a kým.
Opatření pro následné ověření, zda byly údaje zadány, změněny nebo vymazány, a kým jsou následující:
• Bezpečnostní monitoring uživatelů (čtení, změna, pokusy o neoprávněný přístup apod., pravidelná analýza záznamů / speciální analýza záznamů, bude-li třeba);
• Pravidelné vyhodnocování bezpečnostního monitoringu;
• Bezpečnostní dokumentace.
6 . ŘÍZENÍ ZPRACOVÁNÍ ÚDAJŮ
Zpracovatel zavedl opatření, aby bylo zajištěno, že Osobní údaje budou zpracovávány pouze v souladu se smlouvou uzavřenou se Zákazníkem. Opatření pro odlišení povinností ve vztahu k Zákazníkovi jsou následující:
• Zaměstnanci Zpracovatele jsou povinni odlišovat zpracování údajů Zpracovatele, Zákazníka a dalších zákazníků Zpracovatele (dalších uživatelů);
• S údaji Zákazníka je Zpracovatelem nakládáno minimálně se stejnou péčí jako s vlastními "důvěrnými" údaji Zpracovatele;
• opatření ve formě vnitřního předpisu Zpracovatele pro zajištění toho, aby jeho zaměstnanci (jakákoliv fyzická osoba, která jedná z pověření správce nebo zpracovatele), kteří mají přístup k Osobním údajům, zpracovávaly Osobní údaje v souladu pravidly uvedenými ve Smlouvě těchto zásadách a s GDPR;
• Zpracovatel jmenoval pověřence na ochranu osobních údajů;
• Záznamy o činnostech zpracování Zpracovatele.
7 . ŘÍZENÍ DOSTUPNOST I ÚDAJŮ
Zpracovatel zavedl opatření, aby bylo zajištěno, že Osobní údaje v ONI systemu budou chráněny proti náhodnému zničení nebo ztrátě. Opatření pro zajištění zamezení zničení / ztráty údajů jsou následující:
• Zálohování;
• Oddělené přechovávání;
• Provádění zrcadlového otisku disků (např. postup RAID);
• Několikanásobné jištění napájecích zdrojů;
• Pravidelná kontrola stavu systému (monitorování);
• Antivirová ochrana;
• Nouzový plán (včetně pravidelných zkoušek);
• Automatizované protipožární a hasicí systémy
• Monitorování síťového provozu
• Pravidelné aktualizace zabezpečení
• Detekce a prevence rizik na úrovni sítě
8 . ŘÍZENÍ ODDĚLENÍ Z PRACOVÁNÍ
Zpracovatel zavedl opatření, aby bylo zajištěno, že zpracovávání a přechovávání Osobních údajů nashromážděných pro určitý účel odděleně od jakýchkoliv jiných dat.
Opatření pro zajištění odděleného zpracování Osobních údajů (přechovávání, změna, výmaz, přenos), pokud byly osobní údaje nashromážděny z odlišných důvodů, přijatá Zpracovatelem jsou následující:
• Více klientské řešení;
• Oddělení systémů v reálném čase a vyzkoušení prostředí;
• Dokumentované oddělení funkcí.
• Data zákazníků a klientů nejsou Zpracovatelem předávána žádné třetí straně (marketing, obchodní nabídky apod.) s výjimkou případů, kdy by to bylo Zpracovateli uloženo rozhodnutím orgánu veřejné moci a Zpracovatel systému data nezpracovává žádnými jinými způsoby, než které jsou nezbytné pro fungování služeb.