Smlouva o zpracování osobních údajů
Smlouva o zpracování osobních údajů
Smluvní strany
[jméno]
sídlo: [adresa sídla]
IČO: [IČO]
DIČ: [DIČ]
zapsán v [údaj o zápisu do veřejného rejstříku]
zastoupen: [jednající osoba], [funkce]
(dále jen „Zpracovatel“)
Regionální organizátor pražské integrované dopravy, příspěvková organizace
sídlo: Xxxxxxxx 000/00, Xxxxx Xxxxx, 000 00 Xxxxx 0
IČO: 60437359
DIČ: CZ60437359
zastoupen: Ing. et Xxx. Xxxx Xxxxxx, ředitel
(dále jen „Správce“)
(zpracovatel a správce dále společně též jako „smluvní strany“ nebo každý jednotlivě jako „smluvní strana“)
Preambule
Vzhledem k tomu, že
smluvní strany spolu uzavřely dne [datum] smlouvu o [název nebo jiná specifikace smlouvy] (dále jen „Hlavní smlouva“),
za účelem plnění Hlavní smlouvy je nezbytné, aby ze strany Zpracovatele nebo jím pověřených subjektů docházelo ke zpracování osobních údajů, jejichž správcem je výše uvedený Správce a které budou Zpracovateli za tímto účelem předány,
podle ustanovení čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „obecné nařízení“), se zpracování osobních údajů zpracovatelem povinně řídí smlouvou s předepsanými náležitostmi, uzavřenou písemně mezi správcem a příslušným zpracovatelem,
dohodly se smluvní strany na uzavření této smlouvy o zpracování osobních údajů.
1.1Účelem této smlouvy je splnění požadavků kladených na správce a zpracovatele osobních údajů ustanovením čl. 28 obecného nařízení v případě zpracování osobních údajů zpracovatelem.
1.2Předmětem této smlouvy je úprava práv a povinností výše uvedeného Správce (jakožto správce ve smyslu obecného nařízení) a Zpracovatele (jakožto zpracovatele ve smyslu obecného nařízení) při zpracování osobních údajů v rámci plnění Hlavní smlouvy.
2Specifikace zpracovávaných osobních údajů
2.1Předmětem zpracování budou osobní údaje následujících fyzických osob:
zákazníci, přispěvatelé, zaměstnanci, uchazeči o zaměstnání a obchodní partneři Správce (včetně osob, které ještě nejsou zákazníky, přispěvateli, zaměstnanci nebo obchodními partnery Správce, ale Správce je za tímto účelem oslovil nebo hodlá oslovit) (dále souhrnně jen „Subjekty údajů“ nebo každý jednotlivě „Subjekt údajů“).
2.2Předmětem zpracování budou následující kategorie osobních údajů Subjektů údajů:
osobní jméno (případně další jména), příjmení, rodné příjmení, akademický titul, adresa bydliště nebo trvalého pobytu, datum narození, rodné číslo, telefonní číslo, e-mailová adresa, číslo bankovního účtu, zákaznické číslo nebo jiný obdobný identifikátor ze Správcovy databáze (dále souhrnně jen „Osobní údaje“ nebo každý jednotlivě „Osobní údaj“).
2.3Předmětem zpracování podle této smlouvy nebudou zvláštní kategorie osobních údajů ve smyslu čl. 9 obecného nařízení.
2.4Účelem zpracování Osobních údajů Zpracovatelem je plnění jeho právních povinností vyplývajících z Hlavní smlouvy.
2.5Osobní údaje budou zpracovávány způsobem vyplývajícím z Hlavní smlouvy.
2.6Osobní údaje mohou být zpracovávány pouze po dobu platnosti Hlavní smlouvy.
3Práva a povinnosti Správce
3.1Správce prohlašuje, že veškeré osobní údaje, které předá Zpracovateli ke zpracování, byly získány v souladu s právními předpisy a že Správce disponuje řádným právním titulem k jejich zpracování v rozsahu a způsobem, které požaduje po Zpracovateli. Na požádání je Správce povinen bez zbytečného odkladu sdělit a doložit Zpracovateli konkrétní zákonné důvody, které Správce opravňují ke zpracování.
3.2Správce je ve vztahu k Osobním údajům, Subjektům údajů a Zpracovateli povinen postupovat v souladu s příslušnými právními předpisy a plnit všechny jemu uložené právní povinnosti.
3.3Správce se zavazuje, že bude Zpracovateli předávat Osobní údaje pouze v nezbytném rozsahu, který je nutný ke splnění povinností Zpracovatele vyplývajících z Hlavní smlouvy.
3.4Správce je povinen poskytovat Zpracovateli součinnost nezbytnou pro plnění této smlouvy. Správce je takto zejména povinen v případě, že pro plnění povinností Zpracovatele dle této smlouvy budou nutné jakékoli písemné podklady od Správce, a to včetně vystavení plné moci či jiného pověření či oprávnění pro Zpracovatele, poskytnout tyto dokumenty Zpracovateli bez zbytečného odkladu.
4Práva a povinnosti Zpracovatele
4.1Správce je ve vztahu k Osobním údajům, Subjektům údajů a Správci povinen postupovat v souladu s příslušnými právními předpisy a plnit všechny jemu uložené právní povinnosti.
Pokyny Správce
4.2Zpracovatel smí zpracovávat Osobní údaje pouze na základě doložených pokynů Správce.
4.3Uzavřením této Smlouvy dává Správce Zpracovateli výslovný pokyn ke zpracování Osobních údajů za účelem plnění Hlavní smlouvy, a to všemi způsoby specifikovanými v Hlavní smlouvě nebo z ní vyplývajícími a po celou dobu její platnosti a účinnosti; jakákoliv změna tohoto pokynu musí být Zpracovateli předložena v písemné formě.
4.4V případě, že by právo Evropské unie nebo České republiky ukládalo Zpracovateli povinnost předat kterýchkoli z Osobních údajů do třetí země nebo mezinárodní organizaci, informuje Zpracovatel o tomto právním požadavku před zpracováním, ledaže by příslušné právní předpisy toto informování zakazovaly z důležitých důvodů veřejného zájmu.
Mlčenlivost
4.5Zpracovatel je povinen zajistit, aby se osoby, které použije ke zpracovávání Osobních údajů, zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.
Zabezpečení zpracování
4.6Zpracovatel je povinen přijmout opatření požadovaná podle čl. 32 obecného nařízení.
4.7Zpracovatel prohlašuje, že na svých pracovištích, na kterých bude docházet ke zpracování Osobních údajů, zavedl odpovídající technická a organizační opatření k zajištění bezpečnosti svěřených Osobních údajů, díky nimž je především zajištěno, aby Osobní údaje nebyly standardně bez zásahu člověka zpřístupněny neomezenému počtu fyzických nebo právnických osob, a aby zároveň byla eliminována možnost zničení či ztráty Osobních údajů, jejich neoprávněných přenosů, jiného neoprávněného zpracování či zneužití.
4.8Technická a organizační opatření podle čl. 4.7, spočívají zejména ve fyzickém zabezpečení objektu, v němž se nacházejí pracoviště Zpracovatele, v odpovídajícím proškolení zaměstnanců a dalších osob, které se na zpracování Osobních údajů podílejí, a v implementaci odpovídajících opatření k zajištění kybernetické bezpečnosti používané výpočetní techniky.
4.9Zpracovatel je oprávněn Osobní údaje zpracovávat na celém území Evropské unie a při dodržení podmínek čl. 44 až 50 obecného nařízení je Zpracovatel oprávněn k naplnění účelu zpracování Osobních údajů předávat tyto Osobní údaje i do třetích zemí.
Zapojení dalšího zpracovatele
4.10Zpracovatel je oprávněn do zpracování Osobních údajů zapojit dalšího zpracovatele pouze na základě předchozího konkrétního nebo obecného písemného povolení Správce.
4.11Pokud Zpracovatel zapojí do zpracování Osobních údajů dalšího zpracovatele, musí zajistit, aby tomuto dalšímu zpracovateli byly uloženy stejné povinnosti na ochranu údajů, jaké jsou uvedeny v této smlouvě, a to zejména poskytnutí dostatečných záruk, pokud jde o zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky obecného nařízení.
4.12Neplní-li další zpracovatel své povinnosti v oblasti ochrany údajů, odpovídá Správci za plnění povinností dotčeného dalšího zpracovatele i nadále plně Zpracovatel.
4.13V případě odvolání povolení k zapojení dalšího zpracovatele budou smluvní strany postupovat podle následujících pravidel:
4.13.1Odvolání povolení je možné pouze ze závažných důvodů, a to vždy pouze ve vztahu ke konkrétnímu dalšímu zpracovateli. Závažným důvodem pro odvolání povolení je zejména porušení obecného nařízení při zpracování Osobních údajů tímto dalším zpracovatelem.
4.13.2Odvolání povolení musí být Správcem učiněno písemně vůči Zpracovateli, a to s uvedením konkrétního důvodu odvolání povolení.
4.13.3Po obdržení odvolání povolení je Zpracovatel povinen bez zbytečného odkladu, nejpozději však do 30 dnů, ukončit zpracování Osobních údajů tímto dalším zpracovatelem.
4.13.4V případě nedůvodného odvolání povolení, anebo pokud je povolení odvoláno z důvodů, které nemají původ v porušení obecného nařízení dotčeným dalším zpracovatelem, je Správce povinen Zpracovateli nahradit veškerou újmu, která mu v souvislosti s ukončením zapojení příslušného dalšího zpracovatele vznikne.
Poskytování součinnosti
4.14Zpracovatel je povinen poskytovat Správci vhodným způsobem součinnost při plnění Správcovy povinnosti reagovat na žádosti o výkon práv subjektu údajů stanovených v čl. 12 až 23 obecného nařízení.
4.15Součinnost Zpracovatele podle čl. 4.14 spočívá zejména v poskytování potřebných informací Správci a v plnění případných pokynů Správce vydaných za účelem realizace práv Subjektů údajů předvídaných v čl. 16 až 22 obecného nařízení (např. právo na opravu nebo právo být zapomenut).
4.16V případě, že se některý ze Subjektů údajů v souvislosti s Osobními údaji obrátí se žádostí o výkon práv subjektu údajů stanovených v čl. 12 až 23 obecného nařízení přímo na Zpracovatele, je Zpracovatel povinen o žádosti bez zbytečného odkladu informovat Správce. Vyřízení takové žádosti je povinností Správce, Zpracovatel za ně nijak neodpovídá a ani k němu není oprávněn.
4.17Zpracovatel je dále povinen být Správci nápomocen při zajišťování souladu s povinnostmi Správce podle čl. 32 až 36 obecného nařízení, a to při zohlednění povahy zpracování a informací, jež má Zpracovatel k dispozici.
4.18Jakmile Zpracovatel zjistí porušení bezpečnosti Osobních údajů, ohlásí je bez zbytečného odkladu Správci a následně postupuje v mezích svých právních povinností dle Xxxxxxxxxxx pokynů.
4.19Zpracovatel je povinen poskytovat součinnost podle čl. 4.14 až 4.18 bez zbytečného odkladu, nedohodne-li se se Správcem v konkrétním případě jinak.
Kontrola dodržování povinností Zpracovatele
4.20Zpracovatel poskytne Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v čl. 28 obecného nařízení.
4.21Zpracovatel je povinen umožnit audity, včetně inspekcí, prováděné Správcem nebo jiným subjektem, kterého Správce pověřil, a k těmto auditům přispět. Při tom budou smluvní strany postupovat podle následujících pravidel:
4.21.1Správce provádí audity nebo inspekce pouze v nezbytně nutném rozsahu, a to tak, aby tím Zpracovatele nezatěžoval více, než je nezbytně nutné ke splnění právních povinností Správce.
4.21.2Za účelem provedení auditu nebo inspekce na místě samém kontaktuje Správce Zpracovatele nejméně 3 pracovní dny předem a v rámci informace o chystaném auditu nebo inspekci sdělí Zpracovateli termín auditu/inspekce, důvod auditu/inspekce, místo auditu/inspekce, zaměření auditu/inspekce a identifikační údaje zástupců Správce, kteří budou audit/inspekci realizovat.
4.21.3V případě provádění auditu nebo inspekce přímo na pracovišti Zpracovatele je Správce povinen řídit se pokyny Zpracovatele (zejména v otázkách vstupu na pracoviště, dodržování bezpečnostních pravidel apod.) a respektovat jeho oprávněné provozní potřeby.
4.21.4V případě zjištění jakéhokoliv nesouladu poskytne Správce Zpracovateli přiměřenou lhůtu k vyjádření a toto vyjádření zohlední při svém dalším postupu.
Postup při podezření na porušení právních předpisů ze strany Správce
4.22Domnívá-li se Zpracovatel, že určitý pokyn Správce porušuje obecné nařízení nebo jiné předpisy Evropské unie nebo České republiky týkající se ochrany osobních údajů, je povinen o tom Správce neprodleně informovat.
4.23Domnívá-li se Zpracovatel, že v souvislosti s Osobními údaji dochází nebo může docházet u Správce k porušení obecného nařízení nebo jiných předpisů Evropské unie nebo České republiky týkajících se ochrany osobních údajů, je oprávněn se na Správce obrátit se žádostí o vysvětlení. V pochybnostech je Zpracovatel rovněž oprávněn požadovat po Správci doložení konkrétního zákonného důvodu ke zpracování předaných Osobních údajů.
4.24Nepředloží-li Správce v případech podle čl. 4.22 nebo 4.23 Zpracovateli uspokojivé vysvětlení nebo jinak nerozptýlí pochybnosti sdělené Zpracovatelem, je Zpracovatel oprávněn přerušit další zpracování dotčených Osobních údajů.
4.25Povinnosti a postupy Zpracovatele podle čl. 4.18 nejsou tímto nijak dotčeny.
5Trvání smlouvy
5.1Tato smlouva se uzavírá na dobu trvání Hlavní smlouvy.
5.2Účinností této smlouvy se ruší všechny případné předchozí smlouvy o zpracování osobních údajů uzavřené mezi smluvními stranami za účelem specifikovaným v čl. 1.
5.3Bude-li tato smlouva ukončena, je Zpracovatel povinen bez zbytečného odkladu všechny Osobní údaje dle pokynu Správce buď vymazat, nebo je vrátit Správci. Zároveň je povinen vymazat existující kopie, pokud právo Evropské unie nebo České republiky nepožaduje uložení daných osobních údajů. Správce v pokynu pro Zpracovatele specifikuje:
5.3.1zda požaduje výmaz, nebo vrácení Osobních údajů, případně na jakých nosičích a v jaké formě;
5.3.2nejpozději do jakého termínu má tak být ze strany Zpracovatele učiněno.
6Ostatní
6.1Za plnění povinností podle této smlouvy nenáleží žádné ze smluvních stran žádná odměna nebo náhrada. Náklady Zpracovatele na plnění těchto povinností jsou zohledněny v odměně, náhradách nebo jiných plněních, která Zpracovateli náleží podle Hlavní smlouvy.
6.2Plněním této smlouvy se Zpracovatel nemůže dostat do prodlení s plněním Hlavní smlouvy. Bude-li tedy mít plnění povinností nebo výkon práv Zpracovatele podle této smlouvy negativní dopad na plnění Hlavní smlouvy (např. když Zpracovatel oprávněně omezí nebo zastaví zpracování Osobních údajů a v důsledku toho nesplní řádně nebo včas některou svoji povinnost z Hlavní smlouvy), nebude takový postup Zpracovatele považován za porušení Hlavní smlouvy a Zpracovatel za něj nemůže být postihován.
7ZÁVĚREČNÁ ujednání
7.1Tato smlouva se řídí právním řádem České republiky.
7.2Tuto smlouvu lze měnit pouze písemně formou číslovaných dodatků podepsaných oběma smluvními stranami.
7.3Uveřejnění této smlouvy v registru smluv ve smyslu zákona č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv), ve znění pozdějších předpisů (dále jen „zákon o registru smluv“), zajistí Správce.
7.4Případná nicotnost, neplatnost nebo nevymahatelnost některého ujednání této smlouvy nezpůsobuje nicotnost, neplatnost nebo nevymahatelnost ostatních jejích ujednání. Smluvní strany jsou povinny takové nicotné, neplatné nebo nevymahatelné ujednání nahradit neprodleně ujednáním, jež se nejvíce blíží účelu sledovanému takovým nicotným, neplatným nebo nevymahatelným ujednáním, a to formou písemného dodatku k této smlouvě.
7.5Tato smlouva je vyhotovena ve dvou vyhotoveních, z nichž každé vyhotovení má platnost originálu a každá smluvní strana obdrží po jednom.
V [místo] dne ……………….
…………………………………. [název] [jednající osoba] [funkce]
|
V Praze dne ……………….
…………………………………. Regionální organizátor pražské integrované dopravy, příspěvková organizace Ing. et Xxx. Xxxx Xxxxxx ředitel
|
strana 7 z 7