Smlouva o zpracování osobních údajů

1. Předmět a role

Tato Zpracovatelská smlouva upravuje zpracování osobních údajů společností MAINSYSTEMS, LDA. („Zpracovatel“) jménem Zákazníka („Správce“) v souvislosti s platformou UNOVOX, podle článku 28 nařízení (EU) 2016/679 („GDPR“) a zákona č. 110/2019 Sb., o zpracování osobních údajů. Zákazník určuje účely a prostředky zpracování údajů o svých případech; MAINSYSTEMS tyto údaje zpracovává pouze na základě doložených pokynů Zákazníka, včetně nastavení provedených v platformě, ledaže mu zpracování ukládá právo Unie nebo členského státu; v takovém případě Zákazníka před zpracováním informuje, pokud to právo nezakazuje.

2. Popis zpracování

• Předmět: hosting a poskytování platformy UNOVOX, včetně oznamovacího portálu, správy případů, komunikace, výstupů, technické podpory a, pokud je Zákazník zapne, AI agentů.
• Doba trvání: doba předplatného a dále obnovovací a výmazová lhůta podle článku 10.
• Povaha a účel: shromažďování, ukládání, třídění, nahlížení, zpřístupnění Zákazníkovi a výmaz údajů, výhradně za účelem provozu oznamovacího kanálu Zákazníka a správy případů.
• Kategorie subjektů údajů: oznamovatelé, osoby, proti kterým oznámení směřuje, svědci a další zmíněné třetí osoby; oprávnění uživatelé Zákazníka.
• Kategorie údajů: identifikační a kontaktní údaje, profesní informace, obsah oznámení, zprávy a přílohy, záznamy o vedení případu; mohou zahrnovat zvláštní kategorie osobních údajů (článek 9 GDPR) a údaje týkající se protiprávního jednání (článek 10 GDPR), podle toho, co je vloženo.

3. Pokyny Zákazníka

MAINSYSTEMS Zákazníka neprodleně informuje, má-li za to, že pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů, a může provedení takového pokynu pozastavit do jeho potvrzení nebo úpravy. Zákazník odpovídá za to, že jeho pokyny jsou v souladu s právem a že má právní základ pro zpracování, které určuje.

4. Mlčenlivost

MAINSYSTEMS zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala odpovídající zákonná povinnost mlčenlivosti, a aby byl přístup omezen na to, co je nezbytně nutné k poskytování, ochraně a podpoře služby. V kontextu oznamování se důvěrnost týká zejména totožnosti oznamovatelů a informací, z nichž ji lze dovodit, v souladu s článkem 16 směrnice (EU) 2019/1937 a s § 20 zákona č. 171/2023 Sb., o ochraně oznamovatelů, podle něhož lze informaci o totožnosti oznamovatele poskytnout jen s jeho písemným souhlasem, ledaže existuje zákonná povinnost poskytnout ji orgánu veřejné moci.

5. Bezpečnostní opatření

MAINSYSTEMS uplatňuje technická a organizační opatření odpovídající riziku podle článku 32 GDPR, k datu této verze zejména: kontroly přístupu a oprávnění podle rolí definovaných Zákazníkem; ověřování se šifrovaným ukládáním hesel; přístup k platformě prostřednictvím spojení HTTPS; logické oddělení prostředí každého zákazníka; nezaznamenávání IP adres oznamovatelů na oznamovacím portálu; protokoly činnosti ve správcovské části; pravidelné zálohy; řízení zranitelností a postupy pro řešení incidentů. Aktuální popis opatření je k dispozici na vyžádání a může se vyvíjet, pokud tím nedojde k podstatnému snížení celkové úrovně ochrany.

6. Další zpracovatelé

Zákazník uděluje obecné povolení k zapojení dalších zpracovatelů pro hosting a infrastrukturu, komunikaci, bezpečnost a, je-li tato funkce zapnuta, pro služby AI. MAINSYSTEMS vede seznam relevantních dalších zpracovatelů, dostupný Zákazníkovi na vyžádání, a o každé podstatné změně Zákazníka informuje s přiměřeným předstihem s možností vznést z legitimních důvodů námitku; nedojde-li k rozumnému řešení, může Zákazník dotčenou službu ukončit. MAINSYSTEMS ukládá každému dalšímu zpracovateli smluvně povinnosti v oblasti ochrany osobních údajů rovnocenné povinnostem podle této Zpracovatelské smlouvy a zůstává Zákazníkovi odpovědný za jejich plnění.

7. Součinnost Zákazníkovi

S ohledem na povahu zpracování poskytuje MAINSYSTEMS Zákazníkovi přiměřenou součinnost prostřednictvím vhodných technických a organizačních opatření a funkcí platformy, aby mohl vyřizovat žádosti subjektů údajů a plnit povinnosti podle článků 32 až 36 GDPR, včetně zabezpečení, ohlašování porušení, posouzení vlivu a předchozích konzultací. Obrátí-li se subjekt údajů přímo na MAINSYSTEMS ve věci údajů zpracovávaných jménem Zákazníka, MAINSYSTEMS žádost bez zbytečného odkladu předá Zákazníkovi a věcně na ni neodpoví bez jeho pokynu, ledaže to vyžaduje zákon. Součinnost přesahující rozumný rámec služby může být účtována za přiměřené sazby.

8. Porušení zabezpečení osobních údajů

MAINSYSTEMS oznámí Zákazníkovi bez zbytečného odkladu poté, co se dozví o porušení zabezpečení osobních údajů týkajícím se údajů zpracovávaných jménem Zákazníka, přičemž poskytne rozumně dostupné informace o povaze porušení, kategoriích a přibližném počtu dotčených subjektů údajů a záznamů, pravděpodobných důsledcích a přijatých nebo navržených opatřeních, a informace bude doplňovat, jakmile budou k dispozici. Ohlášení dozorovému úřadu a oznámení subjektům údajů jsou rozhodnutím a odpovědností Zákazníka jako správce; MAINSYSTEMS poskytuje přiměřenou součinnost.

9. Mezinárodní předávání

Údaje jsou zpracovávány v Evropském hospodářském prostoru. K jakémukoli předání mimo EHP dochází pouze při existenci platného nástroje podle kapitoly V GDPR (rozhodnutí o odpovídající ochraně, standardní smluvní doložky Evropské komise s doplňujícími opatřeními tam, kde je to na místě, nebo jiný právně uznaný nástroj) a bude promítnuto do informací o dalších zpracovatelích.

10. Vrácení a výmaz

Po ukončení služby a podle volby Zákazníka MAINSYSTEMS osobní údaje vrátí prostřednictvím dostupných exportních funkcí během 30denní obnovovací lhůty, nestanoví-li Objednávka jinou lhůtu, a poté existující údaje a kopie vymaže, s výjimkou rozsahu, v jakém jejich uchování vyžaduje právo Unie nebo členského státu. Výmaz ze záloh proběhne v rámci cyklů bezpečné rotace. Zákazník odpovídá za to, že před koncem obnovovací lhůty exportuje evidenci a dokumenty, které musí uchovávat podle práva použitelného na jeho oznamovací kanál; v České republice je příslušná osoba podle § 21 odst. 2 zákona č. 171/2023 Sb. povinna uchovávat oznámení podané prostřednictvím vnitřního oznamovacího systému a dokumenty související s oznámením po dobu 5 let ode dne přijetí oznámení.

11. Informace a audity

MAINSYSTEMS poskytuje Zákazníkovi informace nezbytné k doložení souladu s článkem 28 GDPR, včetně odpovědí na bezpečnostní dotazníky a dokumentace uplatňovaných opatření. Zákazník může sám nebo prostřednictvím nezávislého auditora vázaného mlčenlivostí provést audit příslušných operací zpracování, s přiměřeným předchozím oznámením, nejvýše jednou ročně s výjimkou případů vyžádaných dozorovým úřadem nebo po podstatném porušení, v pracovní době a bez přístupu k údajům jiných zákazníků. Náklady auditu nese Zákazník.

12. Odpovědnost a doba trvání

Odpovědnost stran podle této Zpracovatelské smlouvy se řídí článkem 82 GDPR a omezeními uvedenými v Podmínkách poskytování služby, v rozsahu, v jakém se mohou zákonně uplatnit. Tato Zpracovatelská smlouva zůstává v platnosti po dobu, po kterou MAINSYSTEMS zpracovává osobní údaje jménem Zákazníka, a má v otázkách zpracování osobních údajů přednost před odporujícími ustanoveními Podmínek. Řídí se portugalským právem.

13. Kontakt

MAINSYSTEMS, LDA. (UNOVOX)
Av. da República, 50, 2.º andar, 1050-196 Lisabon, Portugalsko
Ochrana osobních údajů: dpo@mainsystems.pt
Obecné dotazy: info@mainsystems.pt
Telefon: +351 211 245 202