Zpracovatelská smlouva
1. Strany a účel smlouvy
- Tato smlouva o zpracování osobních údajů podle čl. 28 obecného nařízení o ochraně osobních údajů (GDPR) se uzavírá mezi zákazníkem služby podniq jako správcem (dále „zákazník“) a provozovatelem služby Dominikem Čípem, IČO 05227496, Hodslavice 501, 742 71 Hodslavice, jako zpracovatelem (dále „provozovatel“).
- Smlouva je součástí smlouvy o poskytování služby podniq a zákazník ji přijímá spolu s obchodními podmínkami při registraci. Pojmy mají stejný význam jako v obchodních podmínkách a v GDPR.
- Smlouva se týká osobních údajů, které zákazník a jeho uživatelé do služby vkládají nebo které v ní pro zákazníka vznikají. Údaje uživatelských účtů, registrace a fakturace zpracovává provozovatel jako správce; popisují je Zásady ochrany osobních údajů.
2. Předmět, doba, povaha a účel zpracování
| Předmět | Osobní údaje obsažené v datech zákazníka ve službě podniq: v zakázkách, smlouvách, výkazech výměr, přijatých a vydaných fakturách, objednávkách, bankovních výpisech, dokumentech, e-mailech z připojené schránky a v adresáři organizací a kontaktů. |
|---|---|
| Doba | Po dobu trvání smlouvy o poskytování služby a dále po dobu exportu a výmazu podle článku 8. |
| Povaha | Uložení, uspořádání, vyhledávání, zobrazení, výpočty a přehledy, export, odesílání dokladů e-mailem, zálohování, výmaz; zapne-li je zákazník, také automatizované vytěžení dokladů a návrhy funkcemi umělé inteligence (článek 5). |
| Účel | Poskytování služby podniq zákazníkovi v rozsahu, který si zapnul, včetně podpory a zabezpečení. |
| Typy údajů | Identifikační a kontaktní údaje (jméno, funkce, e-mail, telefon, adresa), identifikační údaje podnikatelů (IČO, DIČ), bankovní spojení, údaje na smlouvách, fakturách a dalších dokladech (částky, platby, předmět plnění), údaje v nahraných dokumentech a e-mailech. Provozovatel nepředpokládá zvláštní kategorie údajů (čl. 9 GDPR); zákazník je do služby nevkládá. |
| Kategorie subjektů | Uživatelé a zaměstnanci zákazníka, jeho obchodní partneři (odběratelé, dodavatelé, subdodavatelé) a jejich zaměstnanci a kontaktní osoby, podnikající fyzické osoby na dokladech. |
3. Pokyny zákazníka
- Provozovatel zpracovává osobní údaje pouze na základě doložených pokynů zákazníka. Těmito pokyny jsou tato smlouva, obchodní podmínky, nastavení služby (které moduly, funkce a funkce AI má zákazník zapnuté, které schránky a složky připojil) a úkony uživatelů zákazníka ve službě.
- Osobní údaje se zpracovávají a ukládají výhradně v Evropské unii. Provozovatel je nepředá do třetí země ani mezinárodní organizaci bez výslovného pokynu zákazníka, ledaže mu to ukládá právo Evropské unie nebo členského státu; v takovém případě zákazníka před zpracováním informuje, pokud to právo nezakazuje.
- Považuje-li provozovatel pokyn zákazníka za rozporný s GDPR nebo jiným právním předpisem, neprodleně ho na to upozorní.
4. Povinnosti provozovatele
- Mlčenlivost. K osobním údajům má přístup jen provozovatel a osoby, které zavázal k mlčenlivosti; přístup k provozním datům má jen v rozsahu nutném pro provoz, podporu a zabezpečení služby.
- Zabezpečení (čl. 32 GDPR). Provozovatel uplatňuje zejména tato opatření: šifrovaný přenos (HTTPS/TLS) a šifrované uložení dat i záloh v datovém centru; hesla uložená jen v nevratné podobě (hash); přístup řízený rolemi a oprávněními; oddělení dat jednotlivých zákazníků na úrovni aplikace i databáze, ověřované automatickými testy; auditní záznam o přístupech a změnách; tajné údaje (klíče, přístupy ke schránkám) uložené šifrovaně v trezoru klíčů a nikdy nezobrazované; přístup provozovatele k produkčnímu prostředí jen přes ověřenou identitu bez sdílených hesel; nasazení nových verzí jen přes kontrolovaný postup v repozitáři; omezení počtu pokusů o přihlášení; průběžné zálohy a vyzkoušený postup obnovy.
- Součinnost. Provozovatel zákazníkovi pomůže vyřizovat žádosti subjektů údajů (přístup, oprava, výmaz, omezení, přenositelnost, námitka) – především tím, že zákazník má údaje ve službě sám k dispozici, může je opravit, vymazat nebo vyexportovat; kde to nestačí, poskytne součinnost do 10 pracovních dnů od žádosti. Dále poskytne přiměřenou součinnost při zabezpečení, ohlašování porušení, posouzení vlivu a konzultaci s dozorovým úřadem (čl. 32–36 GDPR).
- Porušení zabezpečení. Zjistí-li provozovatel porušení zabezpečení osobních údajů zákazníka, oznámí mu to bez zbytečného odkladu po zjištění na e-mail správce zákazníka a uvede, co ví o povaze porušení, dotčených údajích, pravděpodobných důsledcích a přijatých opatřeních; informace doplňuje, jakmile je má.
- Informace a kontrola. Provozovatel zákazníkovi na žádost poskytne informace potřebné k doložení plnění této smlouvy. Zákazník může plnění prověřit auditem nejvýše jednou za 12 měsíců (nebo po porušení zabezpečení), ohlášeným alespoň 30 dní předem, v pracovní době a tak, aby nerušil provoz služby ani neohrozil data jiných zákazníků; audit provádí zákazník nebo jím pověřený nezávislý auditor vázaný mlčenlivostí a jeho náklady nese zákazník. Zprávy a potvrzení poskytovatelů datového centra provozovatel zpřístupní přednostně.
5. Funkce umělé inteligence
- Funkce AI jsou vypnuté, dokud je provozovatel zákazníkovi nezpřístupní a zákazník je nezapne. Zapnutí a vypnutí jednotlivých funkcí v nastavení služby je pokynem zákazníka.
- Při vytěžení dokladů se poskytovateli modelu předává text nebo obraz dokladu; u asistenta, denního přehledu a průvodce nastavením se předávají dotaz uživatele a vypočtené údaje z dat zákazníka, ke kterým má uživatel oprávnění. Výstupem jsou návrhy, které uživatel potvrzuje.
- Poskytovatelé modelů (tabulka v článku 6) zpracovávají data jen v Evropské unii, nepoužívají je k trénování modelů a uchovávají je jen krátkodobě pro bezpečnostní kontrolu zneužití (Microsoft nejdéle 30 dní, v EU). Provozovatel uchovává k běhu AI metadata (funkce, model, spotřeba, čas) a konverzace s asistentem po dobu 90 dnů od poslední zprávy.
6. Další zpracovatelé
- Zákazník uděluje provozovateli obecné povolení zapojit další zpracovatele uvedené v tabulce. Provozovatel na ně přenáší povinnosti ochrany údajů odpovídající této smlouvě (smlouvy a standardní podmínky poskytovatelů) a za jejich plnění zákazníkovi odpovídá.
- O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje provozovatel zákazníka e-mailem na adresu správce zákazníka a ve službě alespoň 30 dní předem. Zákazník může do účinnosti změny vznést námitku; nedohodnou-li se strany, může zákazník smlouvu vypovědět podle článku 9 obchodních podmínek. Aktuální seznam je vždy na této stránce.
| Další zpracovatel | Služba | Kde se data zpracovávají |
|---|---|---|
| Microsoft Ireland Operations Ltd. (Microsoft Azure) | Provoz aplikace, databáze, úložiště souborů, zálohy, provozní záznamy, trezor klíčů, odesílání e-mailů (Azure Communication Services), hosting webu podniq.eu | Aplikace, databáze, soubory, zálohy a provozní záznamy: Polsko (region Poland Central, Varšava). Trezor klíčů (jen tajné údaje služby, ne data zákazníka): Nizozemsko (West Europe). Odesílání e-mailů: Evropa. |
| Microsoft Ireland Operations Ltd. (Azure OpenAI, Azure AI Document Intelligence) | Funkce AI – jazykové modely a vytěžení dokladů; jen zapne-li je zákazník | Azure OpenAI: Polsko (Poland Central), zpracování v datové zóně EU. Document Intelligence: Německo (Germany West Central, Frankfurt). |
| Google Ireland Ltd. (Gmail, Google Disk) | Jen připojí-li zákazník svou schránku Gmail nebo nasdílí složku na Google Disku: podniq z nich na pokyn zákazníka čte. Google je poskytovatelem zákazníka, ne provozovatele; řídí se smlouvou zákazníka s Googlem. | Podle smlouvy zákazníka s Googlem; přečtená data ukládá podniq v Polsku jako ostatní data zákazníka. |
| Push služby prohlížečů (Google, Apple, Mozilla) | Doručení oznámení na telefon nebo počítač, zapne-li si je uživatel; obsah je šifrovaný, služba vidí jen zašifrovanou zprávu | Podle výrobce prohlížeče |
| WEDOS Internet, a.s. | E-mailová schránka provozovatele pro podporu a hlášení problémů | Česká republika |
Veřejný registr ARES (Ministerstvo financí ČR) a kurzovní lístek ČNB nejsou zpracovateli: do ARES se odesílá jen IČO, z ČNB se stahují kurzy.
7. Povinnosti zákazníka
- Zákazník odpovídá za to, že má pro osobní údaje, které do služby vkládá, právní základ, že subjekty údajů informoval a že údaje jsou přesné a přiměřené účelu.
- Zákazník určuje, kteří jeho uživatelé mají k údajům přístup, a spravuje jejich role; odpovídá za jejich jednání ve službě.
- Pokyny nad rámec této smlouvy dává zákazník písemně (e-mailem) z adresy správce zákazníka; provozovatel může odmítnout pokyn, který by vyžadoval nepřiměřené náklady nebo byl v rozporu s právem.
8. Skončení zpracování
- Po skončení smlouvy o poskytování služby má zákazník 30 dní na export svých dat ze služby (doklady PDF a ISDOC, přehledy Excel, nahrané soubory); provozovatel mu na žádost s exportem pomůže.
- Po uplynutí této lhůty provozovatel firmu zákazníka zablokuje a její data z provozního systému (databáze a úložiště souborů) vymaže do 90 dnů, ledaže právo Evropské unie nebo České republiky vyžaduje další uložení; pak uloží jen to, co předpis vyžaduje, a po stanovenou dobu.
- Zálohy: provozní zálohy databáze se uchovávají 35 dnů a smazané soubory lze obnovit 30 dnů; tyto kopie zanikají uplynutím lhůty. Jednou měsíčně se pořizuje dlouhodobá záloha celé databáze, uchovávaná nejdéle 1 rok. Dlouhodobé zálohy slouží jen k obnově celé služby po havárii; provozovatel z nich data konkrétního zákazníka neobnovuje ani jinak nezpracovává a chrání je stejně jako provozní data.
- O provedeném výmazu z provozního systému provozovatel zákazníka na žádost písemně informuje.
9. Závěrečná ustanovení
- Odpovědnost stran se řídí článkem 10 obchodních podmínek; za újmu způsobenou porušením GDPR odpovídají strany v rozsahu článku 82 GDPR.
- Změny této smlouvy se řídí článkem 11 obchodních podmínek; změnu seznamu dalších zpracovatelů upravuje článek 6.
- Smlouva se řídí právem České republiky. Je uzavřena v elektronické podobě přijetím obchodních podmínek při registraci; verze, se kterou zákazník souhlasil, je uložena u jeho firmy.