Smlouva o zpracování osobních údajů

1. Smluvní strany a uzavření

Správce: Zákazník, který si sjednal předplatné FrameCRM (dále jen „Správce“).

Zpracovatel: Pavlo Okhmak, fyzická osoba podnikající, IČO 29485941, se sídlem (místem podnikání) Bezručova 4201, 430 03 Chomutov, Česká republika, zapsaná v živnostenském rejstříku, neplátce DPH (dále jen „Zpracovatel“).

Tato smlouva o zpracování osobních údajů (dále jen „DPA“) je součástí Obchodních podmínek. Správce ji přijímá potvrzením souhlasu při registraci do FrameCRM; podpis není potřeba. DPA splňuje požadavek na smlouvu podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR).

Závazné je české znění DPA. V otázkách ochrany osobních údajů má DPA přednost před Obchodními podmínkami.

2. Předmět, doba trvání, povaha a účel

• Předmět: zpracování osobních údajů, které Správce nebo jeho uživatelé vkládají do FrameCRM.
• Doba trvání: po dobu trvání předplatného a poté do výmazu dat podle článku 10.
• Povaha zpracování: shromažďování (včetně poptávek a rezervací z webu nebo online rezervačního formuláře Správce, pokud je používá), uložení, uspořádání, zobrazení, vyhledávání, úprava, export, příprava připomínek a zpráv, které uživatelé Správce klientům odesílají sami (např. přes odkaz WhatsApp), upozornění pro uživatele Správce (přes Telegram, pokud je Správce zapne), vystavování dokladů, jako jsou faktury, zálohování a výmaz.
• Účel: poskytování služby FrameCRM — evidence klientů, vozidel, zakázek, kalendáře, připomínek, recenzí, faktur, skladu, mezd a statistik Správce.

3. Kategorie subjektů údajů a osobních údajů

Subjekty údajů: klienti a zájemci Správce, jejich kontaktní osoby, zaměstnanci a další uživatelé Správce.

Kategorie údajů:

• identifikační a kontaktní údaje (jméno, telefon, e-mail, adresa);
• údaje o vozidle (značka, model, registrační značka, VIN, stav tachometru);
• historie zakázek, termíny, ceny a záznamy o platbách, poznámky;
• fakturační údaje (fakturační jméno, adresa, IČO / DIČ);
• fotografie (zejména vozidel), které mohou obsahovat i jiné osobní údaje;
• komunikace a recenze klientů;
• údaje o uživatelích Správce (jméno, e-mail, telefon, role, záznamy o přihlášení, záznam činností) a, používá-li Správce mzdy, jejich pravidla odměňování, výdělky a výplaty.

Zpracování zvláštních kategorií údajů (čl. 9 GDPR) ani údajů o rozsudcích v trestních věcech se nepředpokládá; Správce je do FrameCRM nevkládá.

4. Povinnosti Správce

Správce odpovídá za to, že má ke zpracování právní základ, že subjekty údajů řádně informoval, že vkládané údaje jsou přesné a že pokyny Zpracovateli jsou v souladu s právními předpisy. Správce chrání přístupy svých uživatelů.

5. Povinnosti Zpracovatele

Zpracovatel:

• zpracovává osobní údaje pouze na základě doložených pokynů Správce — za ně se považují Obchodní podmínky, tato DPA a nastavení a úkony Správce v aplikaci — včetně předávání do třetích zemí; neprodleně upozorní, považuje-li pokyn za protiprávní;
• zajistí, aby se osoby oprávněné zpracovávat údaje zavázaly k mlčenlivosti;
• přijme technická a organizační opatření podle čl. 32 GDPR (článek 7);
• dodržuje podmínky pro zapojení dalších zpracovatelů (článek 6);
• pomáhá Správci plnit povinnost reagovat na žádosti subjektů údajů — zejména funkcemi aplikace pro vyhledání, opravu, export a výmaz údajů;
• pomáhá Správci plnit povinnosti podle čl. 32 až 36 GDPR s ohledem na povahu zpracování a dostupné informace;
• po skončení služby údaje vymaže nebo vrátí (článek 10);
• poskytne Správci informace potřebné k doložení souladu a umožní audity (článek 11);
• nepoužívá Data Správce k vlastním účelům.

6. Další zpracovatelé

Správce uděluje obecné povolení k zapojení dalších zpracovatelů. K datu účinnosti DPA jsou to:

Platby předplatného zpracovává Stripe; ten však nezpracovává osobní údaje klientů Správce.

Zprávy klientům přes WhatsApp odesílají uživatelé Správce ze své vlastní aplikace WhatsApp (odkaz pro zahájení chatu); WhatsApp (Meta) proto není dalším zpracovatelem Zpracovatele a používání WhatsApp Správcem se řídí jeho vlastním vztahem se společností Meta. Při dekódování VIN se do bezplatné veřejné databáze NHTSA vPIC (ministerstvo dopravy USA) odešle jen samotný VIN (bez dalších údajů) kvůli zjištění značky a modelu; adresy studií lze vyhledávat v OpenStreetMap (Nominatim).

O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje Zpracovatel Správce e-mailem nejméně 14 dní předem. Správce může ze závažných důvodů souvisejících s ochranou údajů vznést námitku; nenajdou-li strany řešení, může Správce předplatné zrušit k datu změny. Zpracovatel ukládá dalším zpracovatelům stejné povinnosti ochrany údajů a za jejich plnění odpovídá.

Předání do třetích zemí probíhá jen se zárukami podle kapitoly V GDPR (rozhodnutí o odpovídající ochraně, standardní smluvní doložky).

7. Technická a organizační opatření

• šifrování přenosu (HTTPS/TLS) a šifrování uložených dat na straně poskytovatele databáze;
• přihlašování heslem nebo jednorázovým přihlašovacím odkazem (s omezenou platností), zabezpečené relace, role a oprávnění uživatelů v rámci účtu;
• logické oddělení dat jednotlivých zákazníků;
• přístup Zpracovatele k produkčním datům jen v nezbytném rozsahu (podpora, řešení chyb), chráněný silnou autentizací;
• pravidelné zálohování u poskytovatele databáze a možnost obnovy;
• průběžné aktualizace softwaru a závislostí, správa tajných klíčů mimo zdrojový kód;
• záznamy o provozu a bezpečnostních událostech;
• minimalizace údajů — do analytiky se neodesílají osobní údaje klientů;
• postup pro řešení bezpečnostních incidentů.

8. Porušení zabezpečení

Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl. Ohlášení obsahuje informace podle čl. 33 odst. 3 GDPR, které má Zpracovatel k dispozici, a průběžně je doplňuje. Zpracovatel přijme přiměřená opatření ke zmírnění následků.

9. Žádosti subjektů údajů

Obdrží-li Zpracovatel žádost subjektu údajů týkající se Dat Správce, předá ji bez zbytečného odkladu Správci a sám na ni nereaguje, ledaže jej Správce pověří.

10. Výmaz a vrácení údajů

Během předplatného může Správce údaje kdykoli exportovat a mazat. Po skončení předplatného Zpracovatel údaje uchovává 90 dní, během nichž si je Správce může vyžádat ve strojově čitelném formátu. Poté údaje trvale vymaže; kopie v zálohách zanikají v rámci rotace záloh nejpozději do dalších 30 dní. To neplatí, vyžadují-li uchování právní předpisy.

11. Informace a audity

Zpracovatel poskytne Správci na vyžádání informace potřebné k doložení souladu s čl. 28 GDPR, zpravidla formou písemných odpovědí a dokumentace. Audit nebo kontrolu na místě může Správce nebo jím pověřený auditor vázaný mlčenlivostí provést po oznámení nejméně 30 dní předem, nejvýše jednou ročně (nejde-li o šetření porušení zabezpečení nebo požadavek dozorového úřadu) a na náklady Správce.

12. Odpovědnost a závěrečná ustanovení

Odpovědnost stran se řídí čl. 82 GDPR a ve zbytku Obchodními podmínkami. DPA trvá, dokud Zpracovatel zpracovává Data Správce. Řídí se právem České republiky.

Kontakt pro ochranu osobních údajů: info@frame-webs.com.