Smlouva o zpracování osobních údajů

1. Smluvní strany

Tato Smlouva o zpracování osobních údajů (dále jen „Smlouva“ nebo „DPA“) je uzavřena mezi:

Správcem

Osobou nebo organizací využívající službu Bytovka.online jako zákazník (dále jen „Správce“).

Zpracovatelem

Tato smlouva tvoří nedílnou součást smluvního vztahu mezi Správcem a Zpracovatelem vzniklého využíváním služby Bytovka.online.

2. Předmět smlouvy

Účelem této smlouvy je upravit práva a povinnosti smluvních stran při zpracování osobních údajů podle čl. 28 GDPR. Správce pověřuje Zpracovatele zpracováním osobních údajů v rozsahu nezbytném pro poskytování služby Bytovka.online. Zpracovatel bude osobní údaje zpracovávat výhradně podle pokynů Správce, není-li povinen jednat jinak na základě právních předpisů.

3. Předmět zpracování

Zpracování spočívá zejména v ukládání, organizaci a strukturování údajů, zpřístupňování oprávněným uživatelům, vyhledávání a zobrazování údajů, zálohování, zabezpečení, přenosu údajů mezi oprávněnými uživateli, mazání údajů na pokyn Správce a archivaci v rozsahu nezbytném pro provoz služby. Zpracování probíhá výhradně za účelem poskytování cloudové služby Bytovka.online.

4. Doba zpracování

Zpracování probíhá po dobu trvání smluvního vztahu mezi Správcem a Zpracovatelem. Po ukončení smluvního vztahu budou osobní údaje zpracovávány pouze po dobu nezbytnou pro:

• dokončení ukončení služby,
• splnění zákonných povinností,
• obnovu dat ze záloh,
• ochranu oprávněných zájmů Zpracovatele.

Po uplynutí těchto dob budou osobní údaje bezpečně odstraněny nebo anonymizovány. Údaje odstraněné Správcem mohou přetrvávat v databázových zálohách nejdéle po dobu 7 dnů, po jejímž uplynutí jsou zálohy automaticky přepsány.

5. Kategorie subjektů údajů

Správce může prostřednictvím služby zpracovávat zejména údaje týkající se vlastníků jednotek, nájemníků, členů domácností, členů výborů SVJ, členů bytových družstev, zaměstnanců správce, dodavatelů, servisních techniků, kontaktních osob, návštěvníků webové aplikace a dalších osob, jejichž údaje Správce do systému vloží.

Za správnost a zákonnost vložených údajů odpovídá výhradně Správce.

6. Kategorie zpracovávaných osobních údajů

V závislosti na způsobu využívání služby mohou být zpracovávány zejména: jméno, příjmení, adresa bydliště, adresa jednotky, e-mailová adresa, telefonní číslo, informace o členství, identifikace bytu, fotografie, dokumenty, přílohy, komentáře, oznámení, kalendáře, hlášenky závad, údaje o revizích, údaje o komunikaci, IP adresa, identifikátory zařízení a provozní logy.

Zpracovatel běžně nezpracovává zvláštní kategorie osobních údajů podle čl. 9 GDPR. Pokud Správce takové údaje do systému vloží, činí tak výhradně na vlastní odpovědnost a pouze tehdy, pokud je jejich zpracování zákonné.

7. Účel zpracování

Osobní údaje jsou zpracovávány výhradně za účelem poskytování služby Bytovka.online, zejména pro správu bytových domů, správu uživatelů, komunikaci mezi obyvateli, evidenci dokumentů, správu hlášení, správu kalendářů, správu revizí, zasílání oznámení, technickou podporu, zabezpečení systému a zálohování dat. Zpracovatel nesmí údaje využívat pro vlastní marketingové nebo obchodní účely.

8. Pokyny Správce

Zpracovatel zpracovává osobní údaje výhradně podle dokumentovaných pokynů Správce. Za dokumentovaný pokyn se považuje zejména:

• nastavení provedené Správcem v administraci služby,
• pokyny zaslané prostřednictvím zákaznické podpory,
• pokyny obsažené v uzavřené smlouvě,
• pokyny vyplývající z běžného používání služby.

Domnívá-li se Zpracovatel, že některý pokyn porušuje GDPR nebo jiné právní předpisy týkající se ochrany osobních údajů, upozorní na tuto skutečnost Správce bez zbytečného odkladu.

9. Povinnosti Zpracovatele

Zpracovatel se zavazuje, že bude osobní údaje zpracovávat výhradně v souladu s touto smlouvou, pokyny Správce, GDPR a dalšími platnými právními předpisy. Zpracovatel se zejména zavazuje:

• zpracovávat osobní údaje pouze v rozsahu nezbytném pro poskytování služby Bytovka.online,
• nezpracovávat osobní údaje pro vlastní obchodní nebo marketingové účely,
• zajistit odpovídající technická a organizační opatření na ochranu osobních údajů,
• vést evidenci přístupů k systémům, pokud to povaha služby umožňuje,
• přijmout opatření proti neoprávněnému přístupu, ztrátě nebo zničení údajů,
• zajistit, aby všechny osoby oprávněné ke zpracování osobních údajů byly zavázány mlčenlivostí,
• poskytovat Správci součinnost při plnění jeho povinností podle GDPR,
• umožnit výkon práv subjektů údajů v rozsahu, v jakém to odpovídá postavení Zpracovatele.

10. Mlčenlivost

Zpracovatel zajistí, že všechny osoby, které mají přístup k osobním údajům, jsou vázány povinností mlčenlivosti. Tato povinnost trvá i po skončení pracovního nebo smluvního vztahu těchto osob. Zpracovatel přijme přiměřená opatření, aby k osobním údajům měly přístup pouze osoby, které je skutečně potřebují pro výkon své činnosti.

11. Technická a organizační bezpečnostní opatření

Zpracovatel přijal odpovídající technická a organizační opatření podle čl. 32 GDPR. Mezi tato opatření patří zejména:

• šifrovaná komunikace prostřednictvím HTTPS/TLS,
• zabezpečené ukládání uživatelských hesel pomocí kryptografických hashovacích algoritmů,
• autentizace uživatelů prostřednictvím uživatelského účtu a hesla,
• řízení přístupových oprávnění podle uživatelských rolí,
• oddělení dat jednotlivých zákazníků,
• pravidelné bezpečnostní aktualizace infrastruktury a ochrana serverů proti neoprávněnému přístupu,
• pravidelné databázové zálohy a ochrana proti ztrátě dat,
• omezení administrátorských oprávnění a monitorování provozu systému,
• zabezpečení serverové infrastruktury umístěné v České republice.

Rozsah bezpečnostních opatření může být průběžně upravován s ohledem na technologický vývoj a aktuální bezpečnostní rizika, přičemž úroveň ochrany nesmí být snížena.

12. Další zpracovatelé (Sub-processors)

Správce uděluje Zpracovateli obecné povolení zapojit do zpracování další zpracovatele, pokud je to nezbytné pro poskytování služby Bytovka.online. Zpracovatel odpovídá za to, že každý další zpracovatel bude smluvně zavázán poskytovat alespoň stejnou úroveň ochrany osobních údajů, jakou stanoví tato smlouva. Ke dni účinnosti této smlouvy mohou být využíváni zejména následující další zpracovatelé:

Aktuální seznam dalších zpracovatelů může být zveřejněn na webových stránkách Bytovka.online. Pokud bude do zpracování zapojen nový další zpracovatel, zajistí Zpracovatel, aby byla zachována stejná úroveň ochrany osobních údajů jako podle této smlouvy.

13. Předávání osobních údajů mimo EHP

Osobní údaje jsou primárně zpracovávány na serverech umístěných v České republice. Pokud je v souvislosti s poskytováním služby nezbytné využít poskytovatele, který může osobní údaje zpracovávat mimo Evropský hospodářský prostor, zajistí Zpracovatel odpovídající právní mechanismus podle kapitoly V GDPR. Takovým mechanismem mohou být zejména:

• rozhodnutí Evropské komise o odpovídající ochraně,
• standardní smluvní doložky,
• jiný právní mechanismus stanovený GDPR.

14. Součinnost při uplatňování práv subjektů údajů

Pokud Zpracovatel obdrží žádost subjektu údajů týkající se osobních údajů zpracovávaných jménem Správce, nebude na tuto žádost samostatně reagovat, pokud k tomu nebude výslovně oprávněn. Bez zbytečného odkladu předá žádost Správci a poskytne mu přiměřenou součinnost při jejím vyřízení. Součinnost zahrnuje zejména vyhledání údajů, export údajů, opravu údajů, omezení zpracování, výmaz údajů a poskytnutí technických informací potřebných pro splnění povinností Správce.

15. Bezpečnostní incidenty

Zjistí-li Zpracovatel porušení zabezpečení osobních údajů, které může mít dopad na osobní údaje zpracovávané pro Správce, informuje Správce bez zbytečného odkladu po zjištění incidentu. Oznámení bude obsahovat, pokud jsou informace dostupné:

• popis incidentu,
• kategorii dotčených údajů,
• odhadovaný rozsah incidentu,
• přijatá opatření,
• navržená opatření ke zmírnění dopadů.

Zpracovatel přijme veškerá přiměřená opatření k omezení následků incidentu a jeho odstranění.

16. Součinnost při plnění povinností Správce

Zpracovatel poskytne Správci přiměřenou součinnost zejména při posuzování vlivu na ochranu osobních údajů (DPIA), konzultacích s dozorovým úřadem, dokazování souladu s GDPR, plnění povinností podle článků 32 až 36 GDPR a řešení bezpečnostních incidentů. Součinnost je poskytována v rozsahu odpovídajícím charakteru služby a postavení Zpracovatele.

17. Odpovědnost smluvních stran

Každá smluvní strana odpovídá za plnění svých povinností vyplývajících z GDPR, této smlouvy a dalších právních předpisů upravujících ochranu osobních údajů.

Správce odpovídá zejména za:

• zákonnost zpracování osobních údajů,
• existenci odpovídajícího právního základu pro zpracování,
• splnění informační povinnosti vůči subjektům údajů,
• správnost, aktuálnost a přiměřenost osobních údajů vložených do služby Bytovka.online,
• oprávněnost pokynů udělovaných Zpracovateli.

Zpracovatel odpovídá za:

• zpracování osobních údajů výhradně v souladu s pokyny Správce, touto smlouvou a GDPR,
• přijetí odpovídajících technických a organizačních opatření,
• zabezpečení osobních údajů během jejich zpracování,
• výběr dalších zpracovatelů v souladu s touto smlouvou.

Žádné ustanovení této smlouvy nevylučuje ani neomezuje odpovědnost smluvních stran v rozsahu, v jakém ji nelze podle právních předpisů vyloučit nebo omezit.

18. Audity a prokazování souladu

Zpracovatel poskytne Správci na jeho přiměřenou žádost informace nezbytné k prokázání splnění povinností vyplývajících z článku 28 GDPR. Pokud Správce požaduje provedení auditu přímo u Zpracovatele, uskuteční se pouze za následujících podmínek:

• audit bude oznámen alespoň 30 dní předem,
• bude proveden v běžné pracovní době,
• nebude nepřiměřeně narušovat provoz Zpracovatele ani poskytování služby ostatním zákazníkům,
• nebude ohrožovat bezpečnost infrastruktury ani důvěrné informace jiných zákazníků,
• rozsah auditu bude omezen pouze na oblasti související se zpracováním osobních údajů Správce.

Pokud právní předpis nestanoví jinak, nese náklady mimořádného auditu Správce. Zpracovatel je oprávněn místo fyzického auditu poskytnout dokumentaci, bezpečnostní informace nebo jiné přiměřené důkazy prokazující splnění požadavků GDPR, pokud tím bude dosažen stejný účel.

19. Ukončení zpracování, vrácení a výmaz osobních údajů

Po ukončení poskytování služby Bytovka.online nebo po ukončení smluvního vztahu mezi Správcem a Zpracovatelem bude Správci umožněno exportovat data uložená ve službě. Po uplynutí doby stanovené pro uchování uživatelského účtu budou osobní údaje odstraněny z aktivních systémů nejpozději do 90 dnů, pokud právní předpis nestanoví jinak nebo pokud Správce nepožádá o jejich dřívější odstranění.

Osobní údaje mohou být po omezenou dobu uchovávány v databázových zálohách. Tyto zálohy jsou uchovávány maximálně 7 dnů, poté jsou automaticky přepsány a osobní údaje již není možné obnovit. Zpracovatel není povinen odstranit údaje, jejichž uchování mu ukládají právní předpisy nebo které jsou nezbytné pro ochranu jeho oprávněných právních nároků.

20. Změny této smlouvy

Zpracovatel je oprávněn tuto smlouvu přiměřeně měnit zejména z důvodu změny právních předpisů, změny poskytovaných služeb, změny používaných technologií, změny seznamu dalších zpracovatelů nebo zvýšení úrovně zabezpečení či ochrany osobních údajů. Aktuální znění smlouvy bude vždy zveřejněno na webových stránkách www.bytovka.online. Pokud by změna podstatným způsobem ovlivnila práva nebo povinnosti Správce, bude o ní Správce vhodným způsobem předem informován.

21. Závěrečná ustanovení

Tato Smlouva o zpracování osobních údajů (Data Processing Agreement – DPA) tvoří nedílnou součást smluvního vztahu mezi Správcem a Zpracovatelem při využívání služby Bytovka.online. V otázkách neupravených touto smlouvou se smluvní strany řídí zejména Nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR), zákonem č. 110/2019 Sb., o zpracování osobních údajů, a dalšími obecně závaznými právními předpisy České republiky a Evropské unie.

Je-li některé ustanovení této smlouvy neplatné nebo neúčinné, nemá tato skutečnost vliv na platnost ostatních ustanovení. Smluvní strany takové ustanovení nahradí ustanovením, které bude svým účelem a významem nejbližší původnímu záměru.

Tato smlouva nabývá účinnosti dnem zahájení využívání služby Bytovka.online nebo dnem nabytí účinnosti smluvního vztahu mezi Správcem a Zpracovatelem, podle toho, která skutečnost nastane dříve. Aktuální znění této smlouvy je vždy zveřejněno na webových stránkách www.bytovka.online.