Zpracovatelská smlouva

Tato smlouva o zpracování osobních údajů (dále jen „smlouva“) upravuje podle článku 28 odst. 3 obecného nařízení o ochraně osobních údajů (EU) 2016/679 (dále jen „GDPR“) zpracování osobních údajů v docházkovém systému Attendees.

1. Smluvní strany#

Správce: zákazník, který si docházkový systém Attendees založil nebo objednal. Zákazník je určen adresou svého systému (například firma.attendees.eu) a údaji z instalačního formuláře, objednávky nebo nastavení systému.

Zpracovatel: Ing. Matěj Kmínek, fyzická osoba podnikající podle živnostenského zákona, se sídlem Nová Lhota 34, 286 01 Kluky, IČ 02877961, DIČ CZ8708210016, e-mail [email protected] (dále jen „provozovatel“).

2. Předmět a doba trvání#

2.1 Provozovatel pro správce provozuje docházkový systém Attendees jako službu (dále jen „systém“) a v rámci toho zpracovává osobní údaje, které do systému vkládá správce, jeho uživatelé a zaměstnanci.

2.2 Smlouva trvá po dobu licence podle obchodních podmínek a dále, dokud provozovatel údaje uchovává podle článku 4.9.

3. Povaha, účel a rozsah zpracování#

3.1 Povaha zpracování: uložení, zobrazení a úprava údajů, výpočty docházky a přesčasů, tvorba výkazů a exportů, odesílání e-mailů ze systému, zálohování, obnova a výmaz.

3.2 Účel zpracování: evidence docházky a pracovní doby zaměstnanců správce, podklady pro mzdy, evidence jízd služebními a soukromými vozidly (kniha jízd) a interní komunikace správce se zaměstnanci (infomail). O účelu a rozsahu zpracování rozhoduje správce.

3.3 Kategorie osobních údajů:

• identifikační údaje: jméno, příjmení, titul, osobní číslo nebo kód zaměstnance, pracovní pozice, přihlašovací jméno,
• kontaktní údaje: e-mail, telefon, mobilní telefon,
• údaje o pracovním poměru a pracovní době: datum nástupu a ukončení, délka úvazku, pracovní doba, místo výkonu práce, nadřízený a podřízení,
• údaje o docházce: čas příchodu a odchodu, druh nepřítomnosti (například dovolená, nemoc, lékař, služební cesta, home office), přestávky, přesčasy, schválení, poznámky, prémie,
• identifikátory čipů a karet RFID a údaje o jejich přidělení,
• údaje o jízdách: vozidlo a registrační značka, datum a čas jízdy, místo odjezdu a cíle, stav tachometru, účel jízdy, tankování a jízdné,
• obsah hromadných e-mailů (infomail) a údaje o jejich odeslání,
• záznamy o činnosti v systému: kdo a kdy co změnil, IP adresa a příznak přístupu z mobilu, čas a IP adresa posledního přihlášení,
• přihlašovací údaje: heslo uložené výhradně jako haš algoritmem argon2id.

3.4 Kategorie subjektů údajů: zaměstnanci a další pracovníci správce, uživatelé systému (správci, nadřízení) a osoby, které používají terminál u vchodu.

3.5 Systém není určen ke zpracování zvláštních kategorií osobních údajů podle článku 9 GDPR nad rámec údaje o druhu nepřítomnosti. Správce do systému nevkládá diagnózy ani jiné údaje o zdravotním stavu.

4. Povinnosti zpracovatele#

4.1 Pokyny. Provozovatel zpracovává osobní údaje pouze na základě doložených pokynů správce. Pokyny jsou dány touto smlouvou, funkcemi systému a nastavením, které správce v systému provede, a písemnými (i e-mailovými) žádostmi správce. Pokud by podle provozovatele pokyn porušoval GDPR nebo jiný předpis, neprodleně na to správce upozorní. Bez pokynu provozovatel údaje zpracovává jen tehdy, když mu to ukládá právo Unie nebo České republiky; v takovém případě správce předem informuje, pokud to právo nezakazuje.

4.2 Mlčenlivost. Provozovatel zachovává mlčenlivost o osobních údajích a bezpečnostních opatřeních. Provozovatel nemá zaměstnance; pokud by k údajům v budoucnu získala přístup jiná osoba, zaváže ji k mlčenlivosti.

4.3 Zabezpečení. Provozovatel přijal technická a organizační opatření podle článku 32 GDPR popsaná v příloze 2 a v dokumentu Technická a organizační opatření. Opatření může měnit, jen pokud se tím úroveň ochrany nesníží.

4.4 Dílčí zpracovatelé. Správce uděluje obecné povolení k zapojení dílčích zpracovatelů. Seznam aktuálních dílčích zpracovatelů je v příloze 1 a v dokumentu Dílčí zpracovatelé. O zamýšleném přidání nebo nahrazení dílčího zpracovatele provozovatel správce informuje e-mailem nejméně 14 dní předem. Správce může do 14 dní od oznámení vznést odůvodněnou námitku; pokud se strany nedohodnou, může správce smlouvu i licenci ke dni změny vypovědět a provozovatel mu vrátí poměrnou část předplatného za nevyčerpané období. Provozovatel ukládá dílčím zpracovatelům stejné povinnosti ochrany údajů, jaké má sám, a za jejich plnění odpovídá.

4.5 Pomoc při výkonu práv subjektů údajů. Systém umožňuje správci údaje zobrazit, opravit, exportovat a vymazat. Pokud správce sám žádost subjektu údajů vyřídit nemůže, provozovatel mu přiměřeně pomůže. Žádost, kterou subjekt údajů pošle přímo provozovateli, provozovatel bez zbytečného odkladu předá správci a sám ji nevyřizuje.

4.6 Pomoc s dalšími povinnostmi. Provozovatel správci pomáhá plnit povinnosti podle článků 32 až 36 GDPR, zejména poskytuje informace pro posouzení vlivu na ochranu osobních údajů a pro konzultaci s dozorovým úřadem.

4.7 Porušení zabezpečení. Provozovatel ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, postupem podle dokumentu Postup při porušení zabezpečení, a poskytne informace, které správce potřebuje k ohlášení dozorovému úřadu a k informování subjektů údajů.

4.8 Místo zpracování. Údaje systému jsou uloženy na serveru v České republice. Předání do třetí země je možné jen v rozsahu uvedeném v příloze 1 a za podmínek kapitoly V GDPR.

4.9 Výmaz nebo vrácení údajů. Po skončení licence provozovatel podle volby správce údaje vrátí (export databáze ve formátu SQL a výkazy ve formátu PDF) nebo je vymaže, a to nejpozději do 30 dní od skončení licence. Pokud správce do té doby nic nezvolí, provozovatel údaje po 30 dnech vymaže. Kopie v zálohách zanikají postupně s jejich přepsáním, nejpozději do 30 dní od jejich pořízení. Povinnost uchovat údaje podle zvláštního předpisu tím není dotčena.

4.10 Audit. Provozovatel poskytne správci na vyžádání všechny informace potřebné k doložení splnění povinností podle článku 28 GDPR. Správce nebo jím pověřený auditor vázaný mlčenlivostí může jednou ročně provést audit na místě po předchozím oznámení nejméně 30 dní předem, tak, aby nebyl narušen provoz ani bezpečnost údajů jiných zákazníků. Každá strana nese své náklady auditu. Mimořádný audit je možný po porušení zabezpečení nebo na výzvu dozorového úřadu.

5. Povinnosti správce#

5.1 Správce odpovídá za to, že má pro zpracování osobních údajů v systému platný právní základ, že své zaměstnance o zpracování informoval a že do systému vkládá jen údaje, které pro své účely potřebuje.

5.2 Správce chrání přístupové údaje k systému, přiděluje uživatelská oprávnění podle potřeby, ruší přístupy odcházejícím zaměstnancům a neprodleně oznámí provozovateli podezření na zneužití přístupu.

5.3 Správce vydává pokyny v souladu s právními předpisy a oznamuje provozovateli změny kontaktního e-mailu.

6. Odpovědnost#

Každá strana odpovídá za škodu, kterou způsobí porušením svých povinností podle této smlouvy nebo GDPR, v rozsahu článku 82 GDPR. Pro omezení náhrady škody mezi stranami platí ustanovení obchodních podmínek, pokud to právní předpisy připouštějí; omezení se nevztahuje na nároky subjektů údajů ani na pokuty uložené dozorovým úřadem tomu, kdo je způsobil.

7. Trvání a ukončení#

7.1 Smlouva vzniká okamžikem přijetí podle článku 9 a trvá po dobu licence. Skončením licence končí i tato smlouva, s výjimkou povinností podle článků 4.2 a 4.9, které trvají do úplného výmazu údajů.

7.2 Ke změnám smlouvy se použije postup pro změnu obchodních podmínek.

8. Rozhodné právo#

Smlouva se řídí právem České republiky, zejména GDPR, zákonem č. 110/2019 Sb., o zpracování osobních údajů, a zákonem č. 89/2012 Sb., občanským zákoníkem. Spory rozhodují obecné soudy České republiky příslušné podle sídla provozovatele.

9. Přijetí smlouvy#

Správce smlouvu přijímá zaškrtnutím souhlasu s obchodními podmínkami a zpracovatelskou smlouvou v instalačním formuláři, nebo objednáním či zaplacením licence. Osoba, která souhlas udělí, prohlašuje, že je oprávněna jednat za správce. Smlouva je uzavřena elektronicky a její znění je trvale dostupné na této stránce.

Příloha 1: Dílčí zpracovatelé#

Dokument Dílčí zpracovatelé v aktuálním znění.

Příloha 2: Technická a organizační opatření#

Dokument Technická a organizační opatření v aktuálním znění.