Smlouva o zpracování dat

Tato smlouva o zpracování osobních údajů ("DPA") je uzavřena mezi zákazníkem využívajícím služby statycs na základě platné servisní smlouvy ("správce") a společností statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Vídeň, Rakousko ("zpracovatel").

Tato DPA upravuje zpracování osobních údajů ze strany statycs jménem správce v souvislosti se SaaS platformou statycs pro finanční plánování a analýzu. Nabývá účinnosti okamžikem, kdy správce přijme Obchodní podmínky nebo jinak uzavře servisní smlouvu se statycs, a zůstává v platnosti po dobu, po kterou statycs zpracovává osobní údaje jménem správce. V případě rozporu mezi touto DPA a jinými smluvními ustanoveními má tato DPA přednost v otázkách ochrany osobních údajů.

Předmět zpracování. Zpracování osobních údajů nezbytné k tomu, aby statycs mohla správci poskytovat svou platformu pro finanční plánování a analýzu.

Doba zpracování. Po dobu trvání základní servisní smlouvy, včetně případného období ukončení a výmazu podle §11 níže.

statycs zpracovává osobní údaje za účelem poskytování platformy pro finanční plánování a analýzu správci. Zpracování zahrnuje shromažďování, ukládání, organizaci, strukturování, vyhledávání, konzultaci, používání a výmaz dat, v míře nezbytné pro poskytování služby.

Zpracování probíhá výhradně na základě zdokumentovaných pokynů správce. statycs nebude zpracovávat osobní údaje pro žádný jiný účel než poskytování dohodnuté služby, pokud to nevyžaduje právo EU nebo Rakouska. V takovém případě statycs informuje správce o zákonném požadavku před zahájením zpracování, ledaže by zákon takové sdělení zakazoval.

Kategorie osobních údajů. Mohou být zpracovávány následující typy osobních údajů: jména, emailové adresy, telefonní čísla, pracovní pozice, příslušnost ke společnosti, IP adresy, údaje o prohlížeči a zařízení a veškeré další osobní údaje, které správce zadá do platformy. Finanční data nahraná do platformy - jako jsou účetní záznamy, reporty a plány - mohou obsahovat osobní údaje v rozsahu, v jakém je správce zahrnul.

Kategorie subjektů údajů. Subjekty údajů mohou zahrnovat zaměstnance, dodavatele, klienty, obchodní partnery, investory správce a jakékoli další fyzické osoby, jejichž osobní údaje správce zpracovává prostřednictvím platformy.

Správce je správcem osobních údajů podle GDPR a nese výhradní odpovědnost za zajištění zákonnosti zpracování osobních údajů, včetně existence platného právního základu jak pro samotné zpracování, tak pro předání dat statycs.

Správce odpovídá za přesnost, kvalitu a zákonnost osobních údajů předaných statycs a za soulad se všemi platnými předpisy o ochraně osobních údajů, včetně informování subjektů údajů o zpracování jejich dat.

statycs se zavazuje:

• Zpracovávat osobní údaje výhradně na základě zdokumentovaných pokynů správce, pokud jí zákon neukládá jinak
• Zajistit, aby všechny osoby oprávněné ke zpracování osobních údajů byly vázány písemnými závazky mlčenlivosti
• Zavést vhodná technická a organizační opatření pro zajištění úrovně bezpečnosti přiměřené riziku
• Pomáhat správci při vyřizování žádostí subjektů údajů podle článků 15 až 22 GDPR
• Pomáhat správci při plnění povinností podle článků 32 až 34 GDPR, posuzování vlivu na ochranu osobních údajů a předchozích konzultacích s dozorovými orgány, s přihlédnutím k povaze zpracování a informacím dostupným statycs
• Bez zbytečného odkladu informovat správce po zjištění porušení zabezpečení osobních údajů
• Po ukončení servisní smlouvy vymazat nebo vrátit správci veškeré osobní údaje, pokud zákon nestanoví jejich uchovávání
• Ihned informovat správce, pokud se statycs domnívá, že pokyn porušuje GDPR nebo jiné platné předpisy o ochraně osobních údajů

statycs plní auditní povinnosti podle čl. 28 odst. 3 písm. h) GDPR tím, že na odůvodněnou písemnou žádost a nejvýše jednou za dvanáct měsíců poskytne aktuální bezpečnostní přehled, seznam dílčích zpracovatelů a písemné odpovědi na přiměřený dotazník správce. Správce - nebo nezávislý auditor pověřený správcem vázaný povinností mlčenlivosti - může provést audit na místě nejvýše jednou za dvacet čtyři měsíců, nebo kdykoli na základě pověření dozorového orgánu nebo odůvodněného podezření na porušení. Audity na místě se uskutečňují na náklady správce, s třicetidenním předchozím písemným oznámením, v pracovní době, přičemž rozsah, načasování a podmínky mlčenlivosti musí být předem sjednány písemně.

statycs využívá ke svým službám následující dílčí zpracovatele:

• Google Analytics (Google LLC, USA) - analytika
• PostHog (PostHog Inc., USA; PostHog Cloud EU hostovaný v Německu) - produktová analytika
• Hanko (Hanko GmbH, Německo) - autentizace
• Zero (Zero Inc., Finsko) - CRM
• Hetzner (Hetzner Online GmbH, Německo) - hosting
• Chatwoot (Chatwoot Inc., USA) - live chat pro návštěvníky webu, nikoli pro uživatele aplikace

statycs zajišťuje, aby všichni dílčí zpracovatelé byli vázáni písemnými smlouvami ukládajícími rovnocenné povinnosti v oblasti ochrany osobních údajů. Správce bude o plánovaných změnách dílčích zpracovatelů informován nejméně třicet dní předem. Správce může vznést námitku proti novému dílčímu zpracovateli z oprávněných důvodů do čtrnácti dnů od oznámení. Pokud nelze námitku vyřešit, může správce ukončit smlouvu s účinností ke dni změny dílčího zpracovatele a statycs vrátí předplacené poplatky poměrnou částí za nevyužité období.

statycs ukládá a zpracovává zákaznická data v rámci Evropské unie a Evropského hospodářského prostoru. Kde je nutné předat data dílčím zpracovatelům mimo EU nebo EHP - zejména ve Spojených státech - statycs zajišťuje zavedení vhodných záruk v souladu s kapitolou V GDPR.

Tyto záruky zahrnují standardní smluvní doložky EU přijaté Evropskou komisí a případně rozhodnutí o přiměřenosti. statycs pravidelně hodnotí právní rámec přijímajících zemí s cílem zajistit průběžný soulad. Kopie záruk je k dispozici na vyžádání na adrese [email protected].

statycs zavádí vhodná technická a organizační opatření k ochraně osobních údajů, včetně:

• Šifrování dat při přenosu (TLS) a při uložení
• Řízení přístupu na základě rolí podle principu nejmenšího oprávnění
• Vícefaktorová autentizace pro interní systémy
• Pravidelné bezpečnostní přezkoumání přiměřené povaze a rozsahu zpracování, včetně externího testování
• Automatizované zálohování dat a postupy obnovy po havárii
• Protokolování a monitoring přístupu k osobním údajům
• Školení zaměstnanců v oblasti bezpečnosti

Aktuální popis technických a organizačních opatření je k dispozici na vyžádání na adrese [email protected].

statycs bez zbytečného odkladu informuje správce po zjištění porušení zabezpečení osobních údajů, které pravděpodobně povede k riziku pro práva a svobody subjektů údajů.

Oznámení bude v rozsahu, ve kterém jsou tyto informace dostupné, obsahovat: povahu porušení, kategorie a přibližný počet dotčených subjektů údajů, pravděpodobné důsledky, přijatá nebo navrhovaná opatření k řešení porušení a zmírnění jeho dopadů a kontaktní místo ([email protected]), od něhož může správce získat další informace.

statycs bude spolupracovat se správcem a podnikne přiměřené kroky k pomoci při šetření, omezení a nápravě porušení.

Odpovědnost za zpracování dat podle této DPA se řídí Obchodními podmínkami základní servisní smlouvy. Tato DPA nijak nemění ani nerozšiřuje ustanovení o odpovědnosti dohodnutá mezi stranami.

Každá strana odpovídá za škody způsobené zpracováním v rozporu s GDPR, v souladu s článkem 82 GDPR. statycs odpovídá pouze za škody způsobené zpracováním, které nesplňuje povinnosti výslovně uložené zpracovatelům podle GDPR nebo zákonné pokyny správce.

Tato DPA zaniká automaticky ukončením základní servisní smlouvy mezi správcem a statycs.

Po ukončení jsou osobní údaje zpracovávané jménem správce uchovány po dobu 30 dnů a poté trvale vymazány, pokud správce v průběhu tohoto období nepožádá o vrácení dat ve strukturovaném, běžně používaném formátu. statycs může uchovávat osobní údaje i po uplynutí tohoto období pouze v případě, že to vyžaduje právo EU nebo Rakouska, a o takovém požadavku správce informuje.

Tato DPA se řídí rakouským právem. Výlučně příslušným soudem je příslušný soud ve Vídni.