Smlouva o zpracování dat

Tato smlouva o zpracování osobních údajů ("DPA") je uzavřena mezi zákazníkem využívajícím služby statycs na základě platné servisní smlouvy ("správce") a společností statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Vídeň, Rakousko ("zpracovatel").

Tato DPA upravuje zpracování osobních údajů ze strany statycs jménem správce v souvislosti se SaaS platformou statycs pro finanční plánování a analýzu. Nabývá účinnosti okamžikem, kdy správce přijme Obchodní podmínky nebo jinak uzavře servisní smlouvu se statycs, a zůstává v platnosti po dobu, po kterou statycs zpracovává osobní údaje jménem správce. V případě rozporu mezi touto DPA a jinými smluvními ustanoveními má tato DPA přednost v otázkách ochrany osobních údajů.

Předmět zpracování. Zpracování osobních údajů nezbytné k tomu, aby statycs mohla správci poskytovat svou platformu pro finanční plánování a analýzu.

Doba zpracování. Po dobu trvání základní servisní smlouvy, včetně případného období ukončení a výmazu podle §11 níže.

statycs zpracovává osobní údaje za účelem poskytování platformy pro finanční plánování a analýzu správci. V této smlouvě se "zákaznickým obsahem" rozumí data, která správce nahrává do platformy, a reporty, plány a další výstupy z nich vytvořené. Zpracování zahrnuje shromažďování, ukládání, organizaci, strukturování, vyhledávání, nahlížení, používání a výmaz dat, v míře nezbytné pro poskytování služby.

Zpracování probíhá výhradně na základě zdokumentovaných pokynů správce. Tyto pokyny zahrnují i vytváření agregovaných anonymizovaných statistik a oborových benchmarků; jakmile jsou tyto výstupy anonymizovány, nejde již o osobní údaje a tato DPA se na ně nevztahuje. statycs nebude zpracovávat osobní údaje pro žádný jiný účel než poskytování dohodnuté služby, pokud to nevyžaduje právo EU nebo Rakouska. V takovém případě statycs informuje správce o zákonném požadavku před zahájením zpracování, ledaže by zákon takové sdělení zakazoval.

Kategorie osobních údajů. Mohou být zpracovávány následující typy osobních údajů: jména, emailové adresy, telefonní čísla, pracovní pozice, příslušnost ke společnosti, IP adresy, údaje o prohlížeči a zařízení a veškeré další osobní údaje, které správce zadá do platformy. Finanční data nahraná do platformy - jako jsou účetní záznamy, reporty a plány - mohou obsahovat osobní údaje v rozsahu, v jakém je správce zahrnul.

Kategorie subjektů údajů. Subjekty údajů mohou zahrnovat zaměstnance, dodavatele, klienty, obchodní partnery, investory správce a jakékoli další fyzické osoby, jejichž osobní údaje správce zpracovává prostřednictvím platformy.

Správce je správcem osobních údajů podle GDPR a nese výhradní odpovědnost za zajištění zákonnosti zpracování osobních údajů, včetně existence platného právního základu jak pro samotné zpracování, tak pro předání dat statycs.

Správce odpovídá za přesnost, kvalitu a zákonnost osobních údajů předaných statycs a za soulad se všemi platnými předpisy o ochraně osobních údajů, včetně informování subjektů údajů o zpracování jejich dat.

statycs se zavazuje:

• Zpracovávat osobní údaje výhradně na základě zdokumentovaných pokynů správce, pokud jí zákon neukládá jinak
• Zajistit, aby všechny osoby oprávněné ke zpracování osobních údajů byly vázány písemnými závazky mlčenlivosti
• Zavést vhodná technická a organizační opatření pro zajištění úrovně bezpečnosti přiměřené riziku
• Pomáhat správci při vyřizování žádostí subjektů údajů podle článků 15 až 22 GDPR
• Pomáhat správci při plnění povinností podle článků 32 až 34 GDPR, posuzování vlivu na ochranu osobních údajů a předchozích konzultacích s dozorovými orgány, s přihlédnutím k povaze zpracování a informacím dostupným statycs
• Bez zbytečného odkladu informovat správce po zjištění porušení zabezpečení osobních údajů
• Podle volby správce po ukončení servisní smlouvy vymazat nebo vrátit správci veškeré osobní údaje, pokud zákon nestanoví jejich uchovávání
• Ihned informovat správce, pokud se statycs domnívá, že pokyn porušuje GDPR nebo jiné platné předpisy o ochraně osobních údajů

statycs plní auditní povinnosti podle čl. 28 odst. 3 písm. h) GDPR tím, že na odůvodněnou písemnou žádost a nejvýše jednou za dvanáct měsíců poskytne aktuální bezpečnostní přehled, seznam dílčích zpracovatelů a písemné odpovědi na přiměřený dotazník správce. Správce - nebo nezávislý auditor pověřený správcem vázaný povinností mlčenlivosti - může provést audit na místě nejvýše jednou za dvacet čtyři měsíců, nebo kdykoli na základě pověření dozorového orgánu nebo odůvodněného podezření na porušení. Audity na místě se uskutečňují na náklady správce, s třicetidenním předchozím písemným oznámením, v pracovní době, přičemž rozsah, načasování a podmínky mlčenlivosti musí být předem sjednány písemně.

Při poskytování služby statycs využívá následující poskytovatele. Hetzner, Cloudflare a Hanko zpracovávají osobní údaje jménem správce a jsou dílčími zpracovateli ve smyslu čl. 28 GDPR. PostHog a Stripe jsou uvedeni z důvodu transparentnosti; jejich role jsou popsány u jednotlivých položek. Správce tímto uděluje statycs obecné písemné povolení ve smyslu čl. 28 odst. 2 GDPR, za podmínek stanovených v tomto článku, k zapojení níže uvedených dílčích zpracovatelů a k provádění jejich změn.

• Hetzner (Hetzner Online GmbH, Německo) - hosting
• Cloudflare (Cloudflare, Inc., USA) - doručování obsahu, ukončení TLS a ochrana před boty pro app.statycs.com
• Hanko (Hanko GmbH, Německo) - autentizace
• PostHog (PostHog Inc., USA; PostHog Cloud EU hostovaný v Německu) - produktová analytika. Účely své produktové analytiky určuje statycs a je pro ni správcem, PostHog proto u této činnosti vystupuje jako vlastní zpracovatel statycs, nikoli jako dílčí zpracovatel správce
• Stripe (Stripe Payments Europe Ltd., Irsko; Stripe, LLC, USA) - zpracování plateb a fakturace předplatného. Při provádění plateb a plnění vlastních regulatorních povinností vystupuje Stripe jako samostatný správce a je zde uveden z důvodu transparentnosti, nikoli jako dílčí zpracovatel správce

statycs zajišťuje, aby všichni dílčí zpracovatelé byli vázáni písemnými smlouvami ukládajícími rovnocenné povinnosti v oblasti ochrany osobních údajů. Správce bude o plánovaných změnách dílčích zpracovatelů informován nejméně třicet dní předem. Správce může vznést námitku proti novému dílčímu zpracovateli z oprávněných důvodů do čtrnácti dnů od oznámení. Pokud nelze námitku vyřešit, může správce ukončit smlouvu s účinností ke dni změny dílčího zpracovatele a statycs vrátí předplacené poplatky poměrnou částí za nevyužité období.

Zákaznický obsah - finanční data, reporty a plány nahrané do platformy - je včetně záloh uložen výhradně na serverech v Evropské unii. Hosting zajišťuje Hetzner (Německo) a autentizaci Hanko (Německo). Produktová analytika běží na PostHog Cloud EU (Německo), který přijímá události o používání, nikdy však zákaznický obsah.

Tři věci stojí mimo tento rámec. Platební a fakturační údaje zpracovává Stripe, který provozuje infrastrukturu ve Spojených státech. Cloudflare zajišťuje ukončení TLS pro app.statycs.com, takže data mohou při přenosu procházet i místy mimo Evropskou unii, byť se tam zákaznický obsah neukládá. A několik poskytovatelů, mezi nimi Cloudflare a PostHog, je ovládáno mateřskými společnostmi se sídlem ve Spojených státech, takže přístup podpory nebo správy z území mimo Evropský hospodářský prostor (EHP) zůstává možný i tam, kde servery stojí v Evropě. statycs všechny tři případy považuje za předání ve smyslu kapitoly V GDPR.

Pro tato předání se statycs opírá o standardní smluvní doložky EU přijaté Evropskou komisí, doplněné tam, kde je to nutné, o další technická a organizační opatření, a - je-li daný příjemce certifikován - o rozhodnutí Evropské komise ze dne 10. července 2023 o odpovídající ochraně poskytované rámcem EU-USA pro ochranu údajů (EU-US Data Privacy Framework). statycs pravidelně přehodnocuje právní rámec přijímajících zemí, včetně toho, zda rozhodnutí o odpovídající ochraně, o něž se opírá, nadále platí. Kopie záruk je k dispozici na vyžádání na adrese [email protected].

statycs zavádí vhodná technická a organizační opatření k ochraně osobních údajů, včetně:

• Šifrování dat při přenosu (TLS) a při uložení
• Řízení přístupu na základě rolí podle principu nejmenšího oprávnění
• Vícefaktorová autentizace pro interní systémy
• Pravidelné bezpečnostní přezkoumání přiměřené povaze a rozsahu zpracování, včetně příležitostného externího testování
• Automatizované zálohování dat a postupy obnovy po havárii
• Protokolování a monitoring přístupu k osobním údajům
• Školení zaměstnanců v oblasti bezpečnosti

Aktuální popis technických a organizačních opatření je k dispozici na vyžádání na adrese [email protected].

statycs bez zbytečného odkladu informuje správce po zjištění jakéhokoli porušení zabezpečení osobních údajů. Čl. 33 odst. 2 GDPR nestanoví pro oznámení zpracovatele správci žádný práh rizika a statycs žádný neuplatňuje.

Oznámení bude v rozsahu, ve kterém jsou tyto informace dostupné, obsahovat: povahu porušení, kategorie a přibližný počet dotčených subjektů údajů, pravděpodobné důsledky, přijatá nebo navrhovaná opatření k řešení porušení a zmírnění jeho dopadů a kontaktní místo ([email protected]), od něhož může správce získat další informace.

statycs bude spolupracovat se správcem a podnikne přiměřené kroky k pomoci při šetření, omezení a nápravě porušení.

Odpovědnost za zpracování dat podle této DPA se řídí Obchodními podmínkami základní servisní smlouvy. Tato DPA nijak nemění ani nerozšiřuje ustanovení o odpovědnosti dohodnutá mezi stranami.

Každá strana odpovídá za škody způsobené zpracováním v rozporu s GDPR, v souladu s článkem 82 GDPR. statycs odpovídá pouze za škody způsobené zpracováním, které nesplňuje povinnosti výslovně uložené zpracovatelům podle GDPR nebo zákonné pokyny správce.

Tato DPA zaniká automaticky ukončením základní servisní smlouvy mezi správcem a statycs s tím, že ve vztahu k jakýmkoli osobním údajům, které statycs stále uchovává jménem správce, zůstává v platnosti až do jejich vrácení nebo výmazu podle tohoto článku.

Po ukončení jsou osobní údaje zpracovávané jménem správce uchovány po dobu 30 dnů. Během této doby může správce zvolit, zda statycs data vrátí ve strukturovaném, běžně používaném a strojově čitelném formátu, nebo je vymaže. Neprovede-li správce volbu, statycs data vymaže: z provozních systémů po uplynutí 30 dnů a ze šifrovaných záloh v následujícím zálohovacím cyklu. statycs může uchovávat osobní údaje i po uplynutí tohoto období pouze v případě, že to vyžaduje právo EU nebo Rakouska, a o takovém požadavku správce informuje.

Tato DPA se řídí rakouským právem. Výlučně příslušným soudem je příslušný soud ve Vídni.

Tato DPA je zveřejněna v několika jazycích. Závaznou verzí je anglická verze, která upravuje smlouvu mezi stranami. Všechny ostatní jazykové verze slouží pouze pro usnadnění; v případě jakéhokoli rozporu má přednost anglická verze.