Zpracovatelská smlouva

1. Smluvní strany

Správce

Objednatel služeb, který určuje účely a prostředky zpracování osobních údajů.

(dále jen „Správce")

Zpracovatel

(dále jen „Zpracovatel", společně dále jen „Smluvní strany")

2. Předmět smlouvy

Smlouva upravuje zpracování jménem Správce výhradně při sjednané tvorbě či auditu vzdělávacího obsahu, pedagogické práci v kurzu, školení a metodických konzultacích. Sama nezakládá oprávnění ke správě systému ani k přístupu ke všem údajům v platformě. Přednost mají anonymizované podklady.

Specifikace zpracování tvoří povinnou přílohu nebo část písemně potvrzené objednávky. Před přístupem k údajům se doplní:

• Identifikace Správce, kontaktní osoby a konkrétní objednávky.
• Účel, konkrétní kurz či datový soubor a povolené operace.
• Kategorie subjektů a osobních údajů, rozsah přístupu a příjemci.
• Doba zpracování, postup a termín vrácení nebo výmazu včetně kopií.
• Použité systémy, místa zpracování, další zpracovatelé a případné předání mimo EHP.
• Konkrétní bezpečnostní opatření a kontakty pro hlášení incidentů.

3. Povaha a rozsah zpracování

Zpracovatel jedná pouze na základě doloženého pokynu Správce, včetně pokynů k předávání údajů. Povolené operace mohou podle Specifikace zahrnovat nahlížení do kurzu, posouzení odevzdaných úkolů a testů, úpravu vzdělávacího obsahu, vytvoření reportu a dohodnutý výmaz pracovních kopií. Zpracování nad tento rámec vyžaduje další doložený pokyn.

Osobní údaje ani důvěrné podklady se nevkládají do externích AI nástrojů bez předchozího doloženého pokynu, sjednání konkrétního nástroje a splnění podmínek pro další zpracovatele a případná mezinárodní předání. Povolení použít AI samo o sobě nenahrazuje tyto povinnosti.

4. Subjekty údajů

Podle konkrétní Specifikace může jít o účastníky vzdělávání, zaměstnance, studenty, lektory a autory kurzů Správce. Přístup k jiným osobám nebo celému systému se tímto vzorem nepovoluje.

5. Kategorie osobních údajů

Jen v rozsahu výslovně sjednaném ve Specifikaci: identifikační a kontaktní údaje účastníků a autorů, údaje o průběhu studia, odpovědi v testech, odevzdané úkoly a hodnocení. Nepotřebné údaje se před předáním odstraní nebo anonymizují. Hesla uživatelů se nepředávají; používají se oddělené účty s omezenými oprávněními.

Zvláštní kategorie údajů podle čl. 9 GDPR a údaje podle čl. 10 GDPR se nezpracovávají, pokud nejsou výslovně sjednány odpovídající podmínky a právní předpoklady.

6. Doba zpracování

Doba je vymezena konkrétní zakázkou a Specifikací. Po skončení služby se postupuje podle článku 12. Další uchování údajů zpracovávaných jménem Správce je možné pouze v rozsahu vyžadovaném právem; nevzniká automaticky z obecného oprávněného zájmu Zpracovatele.

7. Povinnosti Zpracovatele

Zpracovatel se zavazuje:

• zpracovávat údaje pouze podle doložených pokynů Správce; vyžaduje-li jiné zpracování právo Unie či členského státu, informovat předem Správce, pokud to právo nezakazuje;
• zajistit důvěrnost osobních údajů;
• zajistit mlčenlivost všech osob oprávněných ke zpracování;
• přijmout vhodná technická a organizační opatření;
• umožnit Správci prokázání souladu s GDPR;
• poskytnout Správci přiměřenou součinnost a neprodleně jej upozornit, pokud pokyn podle názoru Zpracovatele porušuje GDPR nebo jiné předpisy o ochraně údajů.

8. Technická a organizační opatření

Opatření podle čl. 32 GDPR se konkretizují ve Specifikaci podle rizik zpracování. Zpracovatel zajistí zejména:

• řízení přístupových oprávnění;
• používání silných hesel;
• vícefaktorové ověřování tam, kde je dostupné;
• šifrovanou komunikaci pomocí TLS;
• aktualizace vlastních pracovních zařízení a používaných nástrojů;
• omezení přístupu pouze na oprávněné osoby;
• vedení provozních logů;
• ochranu pracovních kopií a jejich řízený výmaz;
• ochranu proti neoprávněnému přístupu.

Změny opatření nesmějí snížit sjednanou úroveň ochrany. Technická opatření platformy provozované Správcem nebo jeho dodavatelem a odpovědnosti stran se uvedou ve Specifikaci.

9. Další zpracovatelé

Další zpracovatel smí být zapojen pouze s předchozím konkrétním nebo obecným písemným povolením Správce. Seznam schválených subjektů, jejich činností a míst zpracování se uvede ve Specifikaci. Tento vzor neposkytuje paušální povolení neurčeným dodavatelům.

Při obecném povolení Zpracovatel informuje předem o zamýšleném přidání či nahrazení dalšího zpracovatele a poskytne Správci možnost vznést námitky před jeho zapojením. Postup a přiměřená lhůta se sjednají ve Specifikaci. Na dalšího zpracovatele se smluvně přenesou odpovídající povinnosti; za jejich plnění vůči Správci odpovídá Zpracovatel.

10. Součinnost a výkon práv subjektů údajů

Zpracovatel poskytne Správci přiměřenou součinnost při:

• vyřizování žádostí subjektů údajů;
• plnění povinností podle GDPR;
• posuzování vlivu na ochranu osobních údajů;
• konzultacích s dozorovým úřadem.

11. Bezpečnostní incidenty

Zjistí-li Zpracovatel porušení zabezpečení osobních údajů, které může mít dopad na Správce, oznámí tuto skutečnost Správci bez zbytečného odkladu po jejím zjištění. Oznámení bude obsahovat dostupné informace potřebné pro splnění povinností Správce podle GDPR.

12. Ukončení zpracování

Po ukončení poskytování služeb Zpracovatel:

• vrátí Správci osobní údaje, nebo
• osobní údaje vymaže,

podle rozhodnutí Správce; současně vymaže existující kopie, pokud jejich uchování nevyžaduje právo Unie nebo členského státu. Termín, způsob předání, výmazu a doložení provedení se stanoví ve Specifikaci.

13. Mezinárodní předávání údajů

Pokud dochází k předávání osobních údajů mimo Evropský hospodářský prostor, bude takové předávání realizováno pouze při použití odpovídajících záruk podle kapitoly V GDPR. Zejména může jít o využití:

• standardních smluvních doložek Evropské komise;
• rozhodnutí o odpovídající ochraně;
• jiných mechanismů uznaných GDPR.

14. Informace a audity

Zpracovatel poskytne všechny informace potřebné k doložení splnění článku 28 GDPR a umožní audity včetně inspekce prováděné Správcem nebo jím pověřeným auditorem a přispěje k nim. Strany dohodnou praktický postup chránící údaje ostatních klientů. Poskytnutí dokumentace nenahrazuje právo na audit, pokud sama k ověření nestačí.

15. Odpovědnost

Každá smluvní strana odpovídá za porušení povinností uložených právními předpisy nebo touto smlouvou v rozsahu stanoveném GDPR a příslušnými právními předpisy.

16. Změny smlouvy

Zpracovatel je oprávněn tuto Zpracovatelskou smlouvu přiměřeně aktualizovat zejména z důvodu:

• změn právních předpisů;
• změn bezpečnostních opatření;
• změn subzpracovatelů;
• rozšíření nebo změny poskytovaných služeb.

Aktuální znění bude zveřejněno na webových stránkách Zpracovatele. Pro již uzavřené smluvní vztahy se použije znění účinné ke dni uzavření smlouvy, pokud se smluvní strany nedohodnou jinak.

17. Závěrečná ustanovení

Tato smlouva se spolu s doplněnou Specifikací stává součástí konkrétní zakázky na základě písemné dohody stran, včetně elektronické formy. Samotné zveřejnění vzoru neznamená uzavření smlouvy.

V otázkách neupravených touto smlouvou se postupuje podle GDPR a právního řádu České republiky.

Tato smlouva nabývá účinnosti jejím uzavřením, nejpozději před zahájením zpracování osobních údajů jménem Správce.