Níže uvedeného dne, měsíce a roku
……… (obchodní firma), se sídlem ………, IČ: ………, DIČ: ………, zapsaná ………, jednající ……… (dále jen „Správce“)
a
TCC online s.r.o., se sídlem Vlkova 46, 130 00, Praha 3, IČ: 241 41 089, DIČ: CZ241 41 089, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 182382, jednající Mgr. Barborou Daňkovou a Ing. Petrem Šikem, jednateli (dále jen „Zpracovatel“)
uzavírají tuto Smlouvu o zpracování osobních údajů (dále jen „Smlouva“).
Preambule
Zpracovatel na základě smluvních vztahů uzavřených se Správcem (Smlouva o poskytování služeb, dále jen „Hlavní smlouva“) poskytuje Správci služby, při jejichž poskytování dochází ke zpracování osobních údajů. Správce touto Smlouvou pověřuje ve smyslu čl. 28 NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 (dále jen „Nařízení“ nebo „GDPR“) a zákona č. 110/2019 Sb., o zpracování osobních údajů, zpracováním osobních údajů subjektů údajů dle pokynů Správce.
I. Předmět, povaha a účel zpracování, doba trvání
1. Zpracovatel bude pro Správce zpracovávat osobní údaje hodnocených subjektů (zejména zaměstnanců a uchazečů o zaměstnání Správce) v rozsahu: jméno, příjmení, e-mail, popřípadě další identifikační a kontaktní údaje a odpovědi/výstupy z dotazníků, testů a diagnostických nástrojů zpřístupněných v rámci služby (dále jen „osobní údaje“).
2. Účelem zpracování je poskytování služby dle Hlavní smlouvy ‒ zpřístupnění dotazníků, testů a diagnostických nástrojů a zajištění jejich automatického vyhodnocení.
3. Povaha zpracování je automatizovaná i manuální (elektronické zpracování a vyhodnocení dotazníků, případná manuální podpora). Kategoriemi subjektů údajů jsou zaměstnanci, uchazeči o zaměstnání a další hodnocené osoby určené Správcem.
4. Tato Smlouva se uzavírá na dobu trvání Hlavní smlouvy; zpracování probíhá po dobu její účinnosti.
5. Prostředky zpracování osobních údajů mohou být automatické, neautomatické i manuální. Zpracovatel zpracovává výhradně osobní údaje, které mu Správce předal nebo jejichž zpracování Správce umožnil, a to výhradně v rozsahu nezbytném k plnění Hlavní smlouvy.
6. Vzhledem k tomu, že osobní údaje obdrží Zpracovatel přímo od Správce nebo od hodnocených subjektů z podnětu Správce, Správce potvrzuje, že tyto osobní údaje byly získány v souladu s Nařízením, a odpovídá za splnění informační povinnosti vůči hodnoceným subjektům dle čl. 13/14 Nařízení.
7. Strany se shodují, že diagnostické nástroje využívané v rámci služby jsou pracovní psychodiagnostické nástroje (kategorie A dle klasifikace odborné veřejnosti pro psychodiagnostické metody), nikoli nástroje klinické psychologie, a nejsou určeny k získávání zvláštních kategorií osobních údajů dle čl. 9 Nařízení (např. údajů o zdravotním stavu).
II. Práva a povinnosti Zpracovatele
1. Zpracovatel se zavazuje zpracovávat osobní údaje výhradně na základě doložených pokynů Správce, včetně otázek předání osobních údajů do třetí země nebo mezinárodní organizaci, ledaže by povinnost takového zpracování ukládaly Zpracovateli právní předpisy EU nebo ČR; v takovém případě Zpracovatel Správce informuje o tomto právním požadavku před zpracováním, ledaže by tyto právní předpisy takové informování zakazovaly z důvodu důležitého veřejného zájmu.
2. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.
3. Zpracovatel přijme veškerá opatření požadovaná podle čl. 32 Nařízení (zabezpečení zpracování), zejména: pravidla pro práci s informačními systémy, přístup pouze pověřených osob, fyzické zabezpečení prostor a zařízení, závazek mlčenlivosti pracovníků, zabezpečení databází heslem či obdobným způsobem a ochranu proti neoprávněnému přístupu z internetu.
4. Sub-zpracovatelé: Zpracovatel je oprávněn zapojit dalšího zpracovatele (subdodavatele) pouze na základě předchozího obecného písemného souhlasu Správce. Aktuální seznam schválených dalších zpracovatelů tvoří Přílohu č. 1 této Smlouvy. Zpracovatel informuje Správce o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a poskytne tak Správci možnost vyslovit vůči těmto změnám námitky. Zpracovatel uloží dalšímu zpracovateli stejné povinnosti na ochranu osobních údajů, jaké jsou stanoveny touto Smlouvou, a odpovídá Správci za plnění povinností tohoto dalšího zpracovatele.
5. Součinnost při výkonu práv subjektů údajů: Zpracovatel poskytne Správci přiměřenou součinnost prostřednictvím vhodných technických a organizačních opatření, je-li to možné, pro splnění povinnosti Správce reagovat na žádosti o výkon práv subjektů údajů stanovených v kapitole III Nařízení (přístup, oprava, výmaz, omezení zpracování, přenositelnost, námitka).
6. Součinnost při zabezpečení a incidentech: Zpracovatel poskytne Správci součinnost při zajišťování souladu s povinnostmi podle čl. 32 až 36 Nařízení, při zohlednění povahy zpracování a informací, jež má Zpracovatel k dispozici. Zpracovatel oznámí Správci jakýkoli případ porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, a poskytne informace potřebné k tomu, aby Správce mohl splnit své oznamovací povinnosti podle čl. 33 a 34 Nařízení.
7. Audit: Zpracovatel poskytne Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené touto Smlouvou a čl. 28 Nařízení, a umožní audity, včetně inspekcí, prováděné Správcem nebo auditorem, kterého Správce pověřil, a k těmto auditům přispěje. Audit lze provést nejvýše jednou ročně, s přiměřeným (nejméně 14denním) předstihem a při zachování mlčenlivosti o obchodním tajemství Zpracovatele, nejde-li o důvodné podezření z porušení povinností. Náklady auditu nese Správce.
8. Mezinárodní předávání: Zpracovatel nepředá osobní údaje do třetí země ani mezinárodní organizaci mimo Evropský hospodářský prostor jinak než v souladu s kapitolou V Nařízení; souhlas Správce s takovým předáním se považuje za udělený u dalších zpracovatelů uvedených v Příloze č. 1.
9. Zpracovatel se zavazuje neprodleně informovat Správce, pokud podle jeho názoru pokyn Správce porušuje Nařízení nebo jiné předpisy o ochraně osobních údajů.
III. Ukončení zpracování
1. Po ukončení Hlavní smlouvy může Správce do 30 dnů písemně (i e-mailem) požádat o vrácení či export osobních údajů. Po jejich vrácení, případně po marném uplynutí této lhůty, Zpracovatel osobní údaje včetně existujících kopií bez zbytečného odkladu vymaže nebo anonymizuje podle odst. 2, pokud právo EU nebo ČR nepožaduje jejich uložení; marné uplynutí lhůty se považuje za pokyn Správce k tomuto postupu. Na žádost Správce Zpracovatel provedení výmazu či anonymizace potvrdí.
2. Povinnost podle odst. 1 vymazat osobní údaje je splněna i jejich anonymizací, tedy nevratným odstraněním veškerých prvků umožňujících přímou či nepřímou identifikaci konkrétní osoby. Takto anonymizovaná data, která již nejsou osobními údaji ve smyslu Nařízení, může Zpracovatel dále bez časového omezení uchovávat a využívat, zejména pro statistické účely, tvorbu srovnávacích norem (benchmarků) a vývoj a zlepšování produktů.
IV. Náhrada újmy
1. Zpracovatel odpovídá Správci za újmu způsobenou porušením svých povinností podle Nařízení, zákona č. 110/2019 Sb. nebo této Smlouvy. Uhradí-li Správce subjektu údajů náhradu újmy, za kterou odpovídá Zpracovatel, má vůči němu nárok na úhradu té části, která odpovídá podílu Zpracovatele na odpovědnosti (čl. 82 odst. 5 Nařízení). Celková výše náhrady újmy, kterou je Zpracovatel povinen Správci uhradit podle této Smlouvy, je omezena částkou 100 000 Kč včetně ušlého zisku; omezení se nevztahuje na újmu způsobenou úmyslně nebo z hrubé nedbalosti.
V. Kontaktní osoby
1. Kontaktní (garantující) osoba Zpracovatele pro otázky ochrany osobních údajů: Ing. Petr Šik, e-mail sik@tcconline.cz.
2. Kontaktní osoba Správce: [DOPLNÍ SPRÁVCE PŘI PODPISU].
VI. Závěrečná ustanovení
1. Tato Smlouva se uzavírá na dobu trvání Hlavní smlouvy; ukončení Hlavní smlouvy z jakéhokoliv důvodu má za následek automatické ukončení této Smlouvy.
2. Otázky touto Smlouvou výslovně neupravené se řídí Nařízením, zákonem č. 110/2019 Sb. a dalšími obecně závaznými právními předpisy České republiky.
3. Tuto Smlouvu lze měnit písemnou dohodou stran; je-li uzavřena jako příloha obchodních podmínek poskytovatele, lze ji měnit i postupem pro změnu obchodních podmínek.
4. Tato Smlouva je vyhotovena ve dvou stejnopisech, z nichž každá strana obdrží jedno vyhotovení.
V Praze dne ………
…………………………………… ……………………………………
Správce Zpracovatel
Příloha č. 1 ‒ Seznam dalších zpracovatelů (subdodavatelů)
Účel: zajištění provozu a poskytování služby TCC online (včetně dotazníků, testů, diagnostických nástrojů a jejich výstupů) pro Správce. Seznam dalších zpracovatelů, kterým Zpracovatel osobní údaje zpřístupňuje:
- Hosting a zálohování: WEDOS a.s., Masarykova 1230, 373 41 Hluboká nad Vltavou, Česká republika, IČ 28115694, DIČ CZ28115694, hosting@wedos.com (umístění dat: Česká republika).
- E-mail, sdílené dokumenty a komunikační nástroje (Google Workspace): Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irsko (umístění dat: EU – datový region Evropa).
Nástroje umělé inteligence – Zpracovatel je využívá nebo může využívat k analýze a shrnutí odpovědí a výsledků zpracovávaných v rámci služby, přičemž u hodnocených osob jsou před předáním odstraněny přímé identifikátory (zejména jméno a e-mailová adresa); to se nevztahuje na osobní údaje, které respondent sám uvede ve volném textu odpovědi nebo komentáře. Zpracovatel využívá placená firemní rozhraní poskytovatelů a předaná data nejsou používána k trénování modelů. Poskytovatelé:
- Google Gemini (součást Google Workspace): Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irsko (umístění dat: EU – datový region Evropa).
- OpenAI: OpenAI Ireland Limited, Irsko (umístění dat: Evropa – evropská datová rezidence).
- Mistral AI: Mistral AI, société par actions simplifiée, 15 rue des Halles, 75001 Paříž, Francie (RCS 952 418 325) (umístění dat: EU).
