Nižšie uvedeného dňa, mesiaca a roku

……… (obchodné meno), so sídlom ………, IČO: ………, IČ DPH: ………, zapísaná ………, konajúca ……… (ďalej len „Prevádzkovateľ“)

TCC online s.r.o., so sídlom Vlkova 46, 130 00 Praha 3, Česká republika, IČO: 241 41 089, IČ DPH: CZ241 41 089, zapísaná v obchodnom registri vedenom Mestským súdom v Prahe, oddiel C, vložka 182382, konajúca Mgr. Barborou Daňkovou a Ing. Petrom Šikom, konateľmi (ďalej len „Sprostredkovateľ“)

uzatvárajú túto Zmluvu o spracúvaní osobných údajov (ďalej len „Zmluva“).

Preambula

Sprostredkovateľ na základe zmluvných vzťahov uzavretých s Prevádzkovateľom (Zmluva o poskytovaní služieb, ďalej len „Hlavná zmluva“) poskytuje Prevádzkovateľovi služby, pri ktorých poskytovaní dochádza k spracúvaniu osobných údajov. Prevádzkovateľ touto Zmluvou v zmysle čl. 28 NARIADENIA EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2016/679 (ďalej len „Nariadenie“ alebo „GDPR“) a českého zákona č. 110/2019 Sb., o spracúvaní osobných údajov, poveruje Sprostredkovateľa spracúvaním osobných údajov dotknutých osôb podľa pokynov Prevádzkovateľa.

I. Predmet, povaha a účel spracúvania, doba trvania

1. Sprostredkovateľ bude pre Prevádzkovateľa spracúvať osobné údaje hodnotených dotknutých osôb (najmä zamestnancov a uchádzačov o zamestnanie Prevádzkovateľa) v rozsahu: meno, priezvisko, e-mail, prípadne ďalšie identifikačné a kontaktné údaje a odpovede/výstupy z dotazníkov, testov a diagnostických nástrojov sprístupnených v rámci služby (ďalej len „osobné údaje“).

2. Účelom spracúvania je poskytovanie služby podľa Hlavnej zmluvy – sprístupnenie dotazníkov, testov a diagnostických nástrojov a zabezpečenie ich automatického vyhodnotenia.

3. Spracúvanie je automatizované aj manuálne (elektronické spracúvanie a vyhodnotenie dotazníkov, prípadná manuálna podpora). Kategóriami dotknutých osôb sú zamestnanci, uchádzači o zamestnanie a ďalšie hodnotené osoby určené Prevádzkovateľom.

4. Táto Zmluva sa uzatvára na dobu trvania Hlavnej zmluvy; spracúvanie prebieha počas jej účinnosti.

5. Prostriedky spracúvania osobných údajov môžu byť automatizované, neautomatizované aj manuálne. Sprostredkovateľ spracúva výlučne osobné údaje, ktoré mu Prevádzkovateľ odovzdal alebo ktorých spracúvanie Prevádzkovateľ umožnil, a to výlučne v rozsahu nevyhnutnom na plnenie Hlavnej zmluvy.

6. Vzhľadom na to, že osobné údaje Sprostredkovateľ získava priamo od Prevádzkovateľa alebo od hodnotených dotknutých osôb na podnet Prevádzkovateľa, Prevádzkovateľ potvrdzuje, že tieto osobné údaje boli získané v súlade s Nariadením, a zodpovedá za splnenie informačnej povinnosti voči hodnoteným dotknutým osobám podľa čl. 13/14 Nariadenia.

7. Strany sa zhodujú, že diagnostické nástroje využívané v rámci služby sú pracovné psychodiagnostické nástroje (kategória A podľa klasifikácie odbornej verejnosti pre psychodiagnostické metódy), nie nástroje klinickej psychológie, a nie sú určené na získavanie osobitných kategórií osobných údajov podľa čl. 9 Nariadenia (napr. údajov týkajúcich sa zdravia).

II. Práva a povinnosti Sprostredkovateľa

1. Sprostredkovateľ sa zaväzuje spracúvať osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, a to aj pokiaľ ide o prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii, okrem prípadov, keď sa to od Sprostredkovateľa vyžaduje podľa práva EÚ alebo Českej republiky; v takom prípade Sprostredkovateľ informuje Prevádzkovateľa o tejto právnej požiadavke pred spracúvaním, pokiaľ dané právo takéto informovanie nezakazuje z dôvodov dôležitého verejného záujmu.

2. Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali zachovávať dôvernosť alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti.

3. Sprostredkovateľ prijme všetky opatrenia požadované podľa čl. 32 Nariadenia (bezpečnosť spracúvania), najmä: pravidlá práce s informačnými systémami, prístup len poverených osôb, fyzické zabezpečenie priestorov a zariadení, záväzok mlčanlivosti pracovníkov, zabezpečenie databáz heslom alebo obdobným spôsobom a ochranu proti neoprávnenému prístupu z internetu.

4. Ďalší sprostredkovatelia: Sprostredkovateľ je oprávnený zapojiť ďalšieho sprostredkovateľa (subdodávateľa) len na základe predchádzajúceho všeobecného písomného povolenia Prevádzkovateľa. Aktuálny zoznam schválených ďalších sprostredkovateľov tvorí prílohu č. 1 tejto Zmluvy. Sprostredkovateľ informuje Prevádzkovateľa o všetkých zamýšľaných zmenách týkajúcich sa pridania alebo nahradenia ďalších sprostredkovateľov, čím Prevádzkovateľovi poskytne možnosť vzniesť voči týmto zmenám námietky. Sprostredkovateľ uloží ďalšiemu sprostredkovateľovi rovnaké povinnosti týkajúce sa ochrany osobných údajov, aké sú stanovené v tejto Zmluve, a zodpovedá Prevádzkovateľovi za plnenie povinností tohto ďalšieho sprostredkovateľa.

5. Súčinnosť pri uplatňovaní práv dotknutých osôb: Sprostredkovateľ poskytne Prevádzkovateľovi primeranú súčinnosť prostredníctvom vhodných technických a organizačných opatrení, pokiaľ je to možné, na splnenie povinnosti Prevádzkovateľa reagovať na žiadosti o uplatnenie práv dotknutej osoby ustanovených v kapitole III Nariadenia (prístup, oprava, vymazanie, obmedzenie spracúvania, prenosnosť, namietanie).

6. Súčinnosť pri bezpečnosti a incidentoch: Sprostredkovateľ poskytne Prevádzkovateľovi súčinnosť pri zabezpečovaní súladu s povinnosťami podľa čl. 32 až 36 Nariadenia, pričom zohľadní povahu spracúvania a informácie dostupné Sprostredkovateľovi. Sprostredkovateľ oznámi Prevádzkovateľovi akékoľvek porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvie, a poskytne informácie potrebné na to, aby Prevádzkovateľ mohol splniť svoje oznamovacie povinnosti podľa čl. 33 a 34 Nariadenia.

7. Audit: Sprostredkovateľ poskytne Prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností stanovených v tejto Zmluve a v čl. 28 Nariadenia a umožní audity vrátane kontrol vykonávaných Prevádzkovateľom alebo audítorom, ktorého Prevádzkovateľ poveril, a bude k nim prispievať. Audit možno vykonať najviac raz ročne, s primeraným (najmenej 14-dňovým) predstihom a pri zachovaní mlčanlivosti o obchodnom tajomstve Sprostredkovateľa, ak nejde o dôvodné podozrenie z porušenia povinností. Náklady auditu znáša Prevádzkovateľ.

8. Medzinárodné prenosy: Sprostredkovateľ neprenesie osobné údaje do tretej krajiny ani medzinárodnej organizácii mimo Európskeho hospodárskeho priestoru inak než v súlade s kapitolou V Nariadenia; súhlas Prevádzkovateľa s takýmto prenosom sa považuje za udelený pri ďalších sprostredkovateľoch uvedených v prílohe č. 1.

9. Sprostredkovateľ sa zaväzuje bezodkladne informovať Prevádzkovateľa, ak sa podľa jeho názoru pokynom Prevádzkovateľa porušuje Nariadenie alebo iné predpisy o ochrane osobných údajov.

III. Ukončenie spracúvania

1. Po skončení Hlavnej zmluvy môže Prevádzkovateľ do 30 dní písomne (aj e-mailom) požiadať o vrátenie alebo export osobných údajov. Po ich vrátení, prípadne po márnom uplynutí tejto lehoty, Sprostredkovateľ osobné údaje vrátane existujúcich kópií bez zbytočného odkladu vymaže alebo anonymizuje podľa ods. 2, ak právo EÚ alebo Českej republiky nevyžaduje ich uchovávanie; márne uplynutie lehoty sa považuje za pokyn Prevádzkovateľa na tento postup. Na žiadosť Prevádzkovateľa Sprostredkovateľ vykonanie vymazania alebo anonymizácie potvrdí.

2. Povinnosť vymazať osobné údaje podľa ods. 1 je splnená aj ich anonymizáciou, teda nezvratným odstránením všetkých prvkov umožňujúcich priamu alebo nepriamu identifikáciu konkrétnej osoby. Takto anonymizované údaje, ktoré už nie sú osobnými údajmi v zmysle Nariadenia, môže Sprostredkovateľ ďalej bez časového obmedzenia uchovávať a využívať, najmä na štatistické účely, tvorbu porovnávacích noriem (benchmarkov) a vývoj a zlepšovanie produktov.

IV. Náhrada ujmy

1. Sprostredkovateľ zodpovedá Prevádzkovateľovi za ujmu spôsobenú porušením svojich povinností podľa Nariadenia, českého zákona č. 110/2019 Sb. alebo tejto Zmluvy. Ak Prevádzkovateľ uhradí dotknutej osobe náhradu ujmy, za ktorú zodpovedá Sprostredkovateľ, má voči nemu nárok na úhradu tej časti, ktorá zodpovedá podielu Sprostredkovateľa na zodpovednosti (čl. 82 ods. 5 Nariadenia). Celková výška náhrady ujmy, ktorú je Sprostredkovateľ povinný Prevádzkovateľovi uhradiť podľa tejto Zmluvy, je obmedzená sumou 100 000 CZK vrátane ušlého zisku; obmedzenie sa nevzťahuje na ujmu spôsobenú úmyselne alebo z hrubej nedbanlivosti.

V. Kontaktné osoby

1. Kontaktná (garantujúca) osoba Sprostredkovateľa pre otázky ochrany osobných údajov: Ing. Petr Šik, e-mail sik@tcconline.cz.

2. Kontaktná osoba Prevádzkovateľa: [DOPLNÍ PREVÁDZKOVATEĽ PRI PODPISE].

VI. Záverečné ustanovenia

1. Táto Zmluva sa uzatvára na dobu trvania Hlavnej zmluvy; skončenie Hlavnej zmluvy z akéhokoľvek dôvodu má za následok automatické skončenie tejto Zmluvy.

2. Otázky touto Zmluvou výslovne neupravené sa riadia Nariadením, českým zákonom č. 110/2019 Sb. a ďalšími všeobecne záväznými právnymi predpismi Českej republiky.

3. Túto Zmluvu možno meniť písomnou dohodou strán; ak je uzavretá ako príloha obchodných podmienok poskytovateľa, možno ju meniť aj postupom na zmenu obchodných podmienok.

4. Táto Zmluva je vyhotovená v dvoch rovnopisoch, z ktorých každá strana dostane jedno vyhotovenie.

V Prahe dňa ………

…………………………………… ……………………………………

Prevádzkovateľ Sprostredkovateľ

Príloha č. 1 – Zoznam ďalších sprostredkovateľov (subdodávateľov)

Účel: zabezpečenie prevádzky a poskytovania služby TCC online (vrátane dotazníkov, testov, diagnostických nástrojov a ich výstupov) pre Prevádzkovateľa. Zoznam ďalších sprostredkovateľov, ktorým Sprostredkovateľ osobné údaje sprístupňuje:

Hosting a zálohovanie: WEDOS a.s., Masarykova 1230, 373 41 Hluboká nad Vltavou, Česká republika, IČO 28115694, IČ DPH CZ28115694, hosting@wedos.com (umiestnenie údajov: Česká republika).
E-mail, zdieľané dokumenty a komunikačné nástroje (Google Workspace): Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Írsko (umiestnenie údajov: EÚ – dátový región Európa).

Nástroje umelej inteligencie – Sprostredkovateľ ich využíva alebo môže využívať na analýzu a zhrnutie odpovedí a výsledkov spracúvaných v rámci služby, pričom pri hodnotených osobách sa pred odovzdaním odstraňujú priame identifikátory (najmä meno a e-mailová adresa); to sa nevzťahuje na osobné údaje, ktoré respondent sám uvedie vo voľnom texte odpovede alebo komentára. Sprostredkovateľ využíva platené firemné rozhrania poskytovateľov a odovzdané údaje sa nepoužívajú na trénovanie modelov. Poskytovatelia:

Google Gemini (súčasť Google Workspace): Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Írsko (umiestnenie údajov: EÚ – dátový región Európa).
OpenAI: OpenAI Ireland Limited, Írsko (umiestnenie údajov: Európa – európska rezidencia údajov).
Mistral AI: Mistral AI, société par actions simplifiée, 15 rue des Halles, 75001 Paríž, Francúzsko (RCS 952 418 325) (umiestnenie údajov: EÚ).

Zmluva o spracúvaní osobných údajov