Zpracovatelská smlouva

1. Smluvní strany

Správce

Objednatel služeb, který určuje účely a prostředky zpracování osobních údajů.

(dále jen „Správce")

Zpracovatel

(dále jen „Zpracovatel", společně dále jen „Smluvní strany")

2. Předmět smlouvy

Tato smlouva upravuje podmínky zpracování osobních údajů Zpracovatelem jménem Správce při poskytování služeb souvisejících zejména s:

• audity LMS systémů;
• audity vzdělávacího obsahu;
• audity testů a hodnocení;
• importy a exporty LMS dat;
• zpracováním Moodle záloh (.mbz);
• správou testů;
• správou studijních výsledků;
• vydáváním certifikátů;
• tvorbou reportů;
• správou LMS Moodle;
• hostingem LMS Moodle;
• technickou podporou LMS;
• migrací LMS;
• implementací LMS;
• vývojem a úpravami LMS;
• správou uživatelských účtů;
• správou e-learningového obsahu;
• poskytováním konzultací a souvisejících IT služeb.

3. Předmět a povaha zpracování

Zpracovatel je oprávněn zpracovávat osobní údaje pouze v rozsahu nezbytném pro poskytování sjednaných služeb a výhradně podle doložených pokynů Správce.

Zpracování může zahrnovat zejména: import dat, export dat, migraci dat, obnovu dat ze záloh, generování reportů, správu studijních výsledků, ukládání, organizování, zpřístupňování, strukturování, úpravu, zálohování, přenos, výmaz a anonymizaci osobních údajů.

4. Kategorie subjektů údajů

Zpracování se může týkat zejména:

• zaměstnanců Správce;
• studentů;
• lektorů;
• uchazečů o zaměstnání;
• obchodních partnerů;
• zákazníků Správce;
• dalších osob evidovaných v systémech Správce.

5. Kategorie osobních údajů

Zpracování může zahrnovat zejména:

• jméno a příjmení;
• e-mailovou adresu;
• telefonní číslo;
• pracovní zařazení;
• identifikační údaje;
• IP adresu;
• přístupové údaje;
• studijní výsledky;
• údaje o absolvovaných kurzech a certifikacích;
• údaje o testech a hodnocení;
• údaje o vydaných certifikátech;
• údaje obsažené v Moodle zálohách (.mbz);
• údaje obsažené v exportech a importech dat;
• provozní a bezpečnostní logy;
• další údaje předané Správcem.

Zpracovatel nebude zpracovávat zvláštní kategorie osobních údajů podle čl. 9 GDPR, pokud se smluvní strany výslovně nedohodnou jinak.

6. Doba zpracování

Osobní údaje budou zpracovávány po dobu trvání smluvního vztahu mezi Správcem a Zpracovatelem a následně po dobu nezbytnou k plnění právních povinností nebo ochraně oprávněných zájmů smluvních stran. Po ukončení poskytování služeb bude postupováno podle čl. 12 této smlouvy.

7. Povinnosti Zpracovatele

Zpracovatel se zavazuje:

• zpracovávat osobní údaje pouze na základě pokynů Správce;
• zajistit důvěrnost osobních údajů;
• zajistit mlčenlivost všech osob oprávněných ke zpracování;
• přijmout vhodná technická a organizační opatření;
• umožnit Správci prokázání souladu s GDPR;
• poskytnout Správci přiměřenou součinnost.

8. Technická a organizační opatření

Zpracovatel přijímá přiměřená bezpečnostní opatření, zejména:

• řízení přístupových oprávnění;
• používání silných hesel;
• vícefaktorové ověřování tam, kde je dostupné;
• šifrovanou komunikaci pomocí TLS;
• pravidelné aktualizace systémů;
• omezení přístupu pouze na oprávněné osoby;
• vedení provozních logů;
• zálohování systémů;
• ochranu proti neoprávněnému přístupu.

Zpracovatel je oprávněn tato opatření průběžně měnit a aktualizovat.

9. Subzpracovatelé

Správce uděluje obecné povolení k využívání subzpracovatelů. Zpracovatel může využívat zejména:

• Vidyamantra EduSystems Pvt. Ltd.;
• Blueboard.cz s.r.o.;
• WEDOS Internet, a.s.;
• Google Ireland Limited;
• Google LLC;
• Cloudflare, Inc.;
• další poskytovatelé infrastruktury využívaní při poskytování služeb Zpracovatele.

Zpracovatel odpovídá za to, že případný subzpracovatel bude vázán povinnostmi ochrany osobních údajů alespoň ve stejném rozsahu jako podle této smlouvy. Aktuální seznam významných subzpracovatelů poskytne Zpracovatel Správci na vyžádání.

10. Součinnost a výkon práv subjektů údajů

Zpracovatel poskytne Správci přiměřenou součinnost při:

• vyřizování žádostí subjektů údajů;
• plnění povinností podle GDPR;
• posuzování vlivu na ochranu osobních údajů;
• konzultacích s dozorovým úřadem.

11. Bezpečnostní incidenty

Zjistí-li Zpracovatel porušení zabezpečení osobních údajů, které může mít dopad na Správce, oznámí tuto skutečnost Správci bez zbytečného odkladu po jejím zjištění. Oznámení bude obsahovat dostupné informace potřebné pro splnění povinností Správce podle GDPR.

12. Ukončení zpracování

Po ukončení poskytování služeb Zpracovatel:

• vrátí Správci osobní údaje, nebo
• osobní údaje vymaže,

pokud právní předpisy nevyžadují jejich další uchování. Není-li dohodnuto jinak, rozhodnutí mezi vrácením a výmazem přísluší Správci.

13. Mezinárodní předávání údajů

Pokud dochází k předávání osobních údajů mimo Evropský hospodářský prostor, bude takové předávání realizováno pouze při použití odpovídajících záruk podle kapitoly V GDPR. Zejména může jít o využití:

• standardních smluvních doložek Evropské komise;
• rozhodnutí o odpovídající ochraně;
• jiných mechanismů uznaných GDPR.

14. Audit

Správce je oprávněn přiměřeným způsobem ověřit plnění povinností podle této smlouvy. Audit nesmí nepřiměřeně zasahovat do činnosti Zpracovatele ani do práv ostatních klientů Zpracovatele. Namísto fyzického auditu může Zpracovatel poskytnout dokumentaci, prohlášení nebo jiný vhodný důkaz o souladu.

15. Odpovědnost

Každá smluvní strana odpovídá za porušení povinností uložených právními předpisy nebo touto smlouvou v rozsahu stanoveném GDPR a příslušnými právními předpisy.

16. Změny smlouvy

Zpracovatel je oprávněn tuto Zpracovatelskou smlouvu přiměřeně aktualizovat zejména z důvodu:

• změn právních předpisů;
• změn bezpečnostních opatření;
• změn subzpracovatelů;
• rozšíření nebo změny poskytovaných služeb.

Aktuální znění bude zveřejněno na webových stránkách Zpracovatele. Pro již uzavřené smluvní vztahy se použije znění účinné ke dni uzavření smlouvy, pokud se smluvní strany nedohodnou jinak.

17. Závěrečná ustanovení

Tato smlouva tvoří nedílnou součást smlouvy o poskytování služeb uzavřené mezi Správcem a Zpracovatelem.

V otázkách neupravených touto smlouvou se postupuje podle GDPR a právního řádu České republiky.

Tato smlouva nabývá účinnosti dnem uzavření smlouvy o poskytování služeb, pokud není mezi stranami dohodnuto jinak.