Vzor smlouvy o zpracování osobních údajů ke stažení zdarma

Smlouva o zpracování osobních údajů

uzavřená podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679, obecné nařízení o ochraně osobních údajů (GDPR)

Článek I. Předmět smlouvy

1. Smluvní strany uzavřely Smlouva, ke které se zpracování váže (dále jen „Hlavní smlouva“), při jejímž plnění Zpracovatel zpracovává pro Správce osobní údaje. Tato smlouva upravuje podmínky tohoto zpracování podle čl. 28 GDPR.

2. Předmětem a povahou zpracování je: Předmět a povaha zpracování.

3. Účelem zpracování je: Účel zpracování.

4. Zpracovávají se tyto typy osobních údajů: identifikační a kontaktní údaje (jméno, adresa, e-mail, telefon), údaje o objednávkách a platbách. Zpracování se týká těchto kategorií subjektů údajů: zákazníci a zaměstnanci Správce.

5. Zpracování probíhá po dobu trvání smlouvy, ke které se zpracování váže.

Článek II. Pokyny Správce

1. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, a to i pokud jde o předání osobních údajů do třetí země nebo mezinárodní organizaci, ledaže mu zpracování ukládá právo Evropské unie nebo České republiky. V takovém případě Správce o tomto požadavku předem informuje, pokud to právo nezakazuje.

2. Za doložené pokyny se považuje tato smlouva, Hlavní smlouva a pokyny, které Správce udělí písemně nebo e-mailem.

3. Má-li Zpracovatel za to, že určitý pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů, neprodleně na to Správce upozorní.

Článek III. Mlčenlivost a zabezpečení

1. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti, a to i po skončení jejich práce pro Zpracovatele.

2. Zpracovatel přijme technická a organizační opatření podle čl. 32 GDPR, která zajistí úroveň zabezpečení odpovídající riziku, zejména tato: šifrování přenosu a záloh, řízení přístupových oprávnění podle rolí, dvoufázové ověřování, pravidelné zálohování a testování obnovy, záznamy o přístupech, školení a mlčenlivost osob s přístupem k údajům. Opatření pravidelně vyhodnocuje a aktualizuje.

Článek IV. Další zpracovatelé

1. Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Ke dni uzavření smlouvy schvaluje tyto další zpracovatele: poskytovatel cloudového úložiště a e-mailových služeb Zpracovatele se sídlem v Evropské unii.

2. O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje Zpracovatel Správce písemně nejméně 14 dnů předem. Správce může proti změně v této lhůtě vznést námitku; vznese-li ji z oprávněného důvodu a strany se nedohodnou, může Správce Hlavní smlouvu i tuto smlouvu vypovědět bez sankce.

3. Zpracovatel uloží dalšímu zpracovateli smlouvou stejné povinnosti na ochranu osobních údajů, jaké má sám podle této smlouvy. Neplní-li další zpracovatel své povinnosti, odpovídá Správci za jejich splnění Zpracovatel.

Článek V. Součinnost se Správcem

1. Zpracovatel je Správci nápomocen vhodnými technickými a organizačními opatřeními při plnění povinnosti reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR. Žádost, kterou obdrží přímo, předá Správci bez zbytečného odkladu.

2. Zpracovatel je Správci nápomocen při plnění povinností podle čl. 32 až 36 GDPR, zejména při zabezpečení zpracování, ohlašování a oznamování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a předchozí konzultaci s dozorovým úřadem, a to s přihlédnutím k povaze zpracování a informacím, které má k dispozici.

3. Porušení zabezpečení osobních údajů ohlásí Zpracovatel Správci bez zbytečného odkladu, nejpozději do 24 hodin od jeho zjištění a poskytne mu informace, které Správce potřebuje k jeho ohlášení Úřadu pro ochranu osobních údajů a k oznámení subjektům údajů.

Článek VI. Předávání do třetích zemí

Osobní údaje se nepředávají mimo Evropský hospodářský prostor.

Článek VII. Ukončení zpracování

Po ukončení poskytování služeb spojených se zpracováním Zpracovatel podle rozhodnutí Správce všechny osobní údaje vymaže, nebo je vrátí Správci, a vymaže existující kopie, ledaže právo Evropské unie nebo České republiky požaduje jejich uložení. Splnění této povinnosti Zpracovatel Správci na jeho žádost písemně potvrdí.

Článek VIII. Informace a audity

Zpracovatel poskytne Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti podle čl. 28 GDPR, a umožní audity včetně kontrol prováděných Správcem nebo jiným auditorem, kterého Správce pověří, a k těmto auditům přispěje. Kontrolu Správce ohlásí nejméně 10 pracovních dnů předem, nevyžaduje-li okolnost, zejména porušení zabezpečení, kratší lhůtu.

Článek IX. Odpovědnost a trvání smlouvy

1. Za škodu způsobenou porušením GDPR odpovídají smluvní strany podle čl. 82 GDPR.

2. Tato smlouva se uzavírá na dobu trvání Hlavní smlouvy; povinnosti, které mají podle své povahy trvat i po jejím skončení, zejména mlčenlivost a výmaz nebo vrácení údajů, trvají i poté.

3. V otázkách ochrany osobních údajů má tato smlouva přednost před Hlavní smlouvou.

Článek X. Závěrečná ustanovení

1. Práva a povinnosti, které tato smlouva neupravuje, se řídí GDPR, zákonem č. 110/2019 Sb., o zpracování osobních údajů, a občanským zákoníkem.

2. Smlouvu lze měnit a doplňovat jen písemnou dohodou. Je uzavřena elektronicky a každá smluvní strana obdrží její podepsané vyhotovení.

3. Tato smlouva nabývá platnosti a účinnosti dnem, kdy ji elektronicky podepíše poslední ze smluvních stran.

4. Smluvní strany prohlašují, že si smlouvu přečetly, souhlasí s jejím obsahem a uzavírají ji svobodně a vážně.