Zpracovatelské podmínky

1. Smluvní strany a vztah k obchodním podmínkám

1.1 Správcem je Zákazník ve smyslu obchodních podmínek služby AnamNeo (dále jen „Obchodní podmínky“), tedy podnikatel, jehož Správce ordinace tyto zpracovatelské podmínky přijal v Aplikaci (dále jen „Správce“).

1.2 Zpracovatelem je Ing. Jakub Foltán, IČO 22129898, se sídlem č. p. 186, 691 23 Cvrčovice, e-mail podpora@anamneo.cz (dále jen „Zpracovatel“).

1.3 Pojmy s velkým počátečním písmenem mají význam podle Obchodních podmínek; ostatní pojmy mají význam podle GDPR. Tyto zpracovatelské podmínky (dále jen „Zpracovatelské podmínky“) jsou součástí Smlouvy.

1.4 Správce ordinace přijímá Zpracovatelské podmínky v Aplikaci spolu s Obchodními podmínkami. Přijetí v Aplikaci splňuje požadavek písemné formy včetně elektronické formy podle čl. 28 odst. 9 GDPR.

2. Předmět, povaha, účel a doba zpracování

2.1 Předmět: zpracování osobních údajů obsažených v Datech Zákazníka při poskytování Služby podle Obchodních podmínek.

2.2 Povaha: ukládání, uspořádání, vyhledávání, zobrazení, úprava, zálohování, odesílání e-mailů na pokyn Správce a výmaz údajů.

2.3 Účel: umožnit Správci vést kartotéku, zdravotní záznamy, objednávky, doklady, platby a sklad a komunikovat se svými klienty.

2.4 Doba: zpracování trvá po dobu trvání Smlouvy a dále jen po dobu nezbytnou k předání a výmazu údajů podle článku 13.

3. Kategorie subjektů údajů a osobních údajů

3.1 Zpracování se týká těchto kategorií subjektů údajů a osobních údajů:

3.2 Zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR není účelem Služby. Vloží-li je Správce do Aplikace, odpovídá za to, že k jejich zpracování má právní důvod.

4. Povinnosti Správce

4.1 Správce odpovídá za to, že zpracování osobních údajů, které Zpracovateli svěřuje, je v souladu s GDPR a dalšími právními předpisy, zejména že má pro zpracování právní základ, že údaje jsou přesné a že subjekty údajů řádně informoval, včetně informace o propojení se Službami třetích stran, které zapne.

4.2 Správce odpovídá za nastavení rolí a oprávnění svých Uživatelů a za to, že jeho pokyny jsou v souladu s právními předpisy.

5. Zpracování na pokyn Správce

5.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce. Pokyny jsou tyto Zpracovatelské podmínky, nastavení a úkony Správce a jeho Uživatelů v Aplikaci a pokyny, které Správce ordinace zašle Zpracovateli e-mailem.

5.2 Zpracovatel nepoužívá osobní údaje pro vlastní účely a neprodává je.

5.3 Ukládá-li Zpracovateli zpracování nad rámec pokynů právní předpis Evropské unie nebo členského státu, informuje Zpracovatel Správce o tomto požadavku předem, ledaže mu to právní předpis zakazuje.

5.4 Je-li Zpracovatel toho názoru, že pokyn porušuje GDPR nebo jiný předpis o ochraně osobních údajů, neprodleně o tom Správce informuje. Do potvrzení nebo změny pokynu Správcem není Zpracovatel povinen takový pokyn provést.

5.5 Služba je standardizovaná. Pokyn, který by vyžadoval zpracování mimo funkce Služby, je Zpracovatel oprávněn odmítnout, nebo jej provést za úplatu sjednanou předem.

6. Přístup k údajům a mlčenlivost

6.1 K osobním údajům Správce má přístup jen Zpracovatel a osoby, které Zpracovatel pověřil a zavázal mlčenlivostí nebo které podléhají zákonné povinnosti mlčenlivosti. Povinnost mlčenlivosti trvá i po skončení Smlouvy.

6.2 Zpracovatel nahlíží do Dat Zákazníka jen v rozsahu nezbytném k poskytování a údržbě Služby, k podpoře, o kterou Správce požádal, k odstranění chyby nebo k zajištění bezpečnosti. Při řešení chyby se Zpracovatel omezuje přednostně na kontrolu údajů bez jejich změny.

6.3 Zpracovatel je oprávněn vytvářet a užívat souhrnné a anonymizované statistiky o užívání Služby, které neobsahují osobní údaje a ze kterých nelze identifikovat Správce ani subjekty údajů, a to k provozu a zlepšování Služby.

7. Zabezpečení zpracování

7.1 Zpracovatel přijal tato technická a organizační opatření podle čl. 32 GDPR:

1. spojení s Aplikací je šifrované (HTTPS) a nešifrovaný přístup server přesměruje na šifrovaný;
2. data každého zákazníka odděluje přímo databáze; každý dotaz vidí jen řádky jednoho zákazníka, i kdyby Aplikace udělala chybu;
3. přístup uvnitř ordinace řídí role a oprávnění, které Správce nastavuje svým Uživatelům;
4. hesla se ukládají jen jako jednosměrný otisk, ze kterého heslo nelze zpětně zjistit, a opakované pokusy o přihlášení jsou omezeny;
5. přístupové klíče Správce k Centrální evidenci psů se ukládají zašifrované;
6. změny v datech se zapisují do záznamu o změnách (kdo, kdy, co), který se uchovává 3 roky;
7. databáze se každý den zálohuje do odděleného úložiště v EU, ke kterému Aplikace nemá přístup;
8. servery i úložiště s Daty Zákazníka jsou v EU a správa serverů není přístupná z veřejného internetu;
9. hlášení chyb Aplikace jsou před odesláním zbavována osobních údajů, které k opravě chyby nejsou potřeba.

7.2 Správce prohlašuje, že se s opatřeními podle odstavce 7.1 seznámil a že s ohledem na povahu, rozsah a účel zpracování je považuje za přiměřená.

7.3 Zpracovatel opatření průběžně vyhodnocuje a je oprávněn je měnit, pokud tím nesníží celkovou úroveň zabezpečení.

8. Další zpracovatelé

8.1 Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Ke dni účinnosti těchto Zpracovatelských podmínek jsou zapojeni tito další zpracovatelé:

8.2 Zpracovatel zavazuje každého dalšího zpracovatele smlouvou ke stejným povinnostem v oblasti ochrany osobních údajů, jaké má sám podle těchto Zpracovatelských podmínek. Neplní-li další zpracovatel své povinnosti, odpovídá Správci za jejich plnění Zpracovatel (čl. 28 odst. 4 GDPR), a to v rozsahu a s omezeními podle článku 14.

8.3 Zamýšlené přidání nebo nahrazení dalšího zpracovatele oznámí Zpracovatel Správci e-mailem nejméně 30 dní předem.

8.4 Správce může proti změně v této lhůtě vznést odůvodněnou námitku. Nedohodnou-li se strany, může Správce Smlouvu vypovědět s účinností nejpozději ke dni provedení změny; Zpracovatel mu předá jeho údaje podle článku 13.

8.5 Google Kalendář a Centrální evidence psů nejsou další zpracovatelé. Údaje do nich Zpracovatel předává jen na pokyn Správce: do vlastního Google účtu Uživatele, který si ho propojí, nebo do státní evidence s klíčem Správce či jeho lékaře. Tyto služby zpracovávají údaje podle vlastních podmínek se svým uživatelem.

9. Předávání do třetích zemí

9.1 Databáze, přílohy a zálohy zůstávají v EU.

9.2 Mimo EU se údaje mohou dostat jen prostřednictvím Cloudflare, Inc. a Functional Software, Inc. (Sentry), jejichž mateřské společnosti sídlí v USA. Obě společnosti jsou certifikovány v rámci EU–US Data Privacy Framework, který Evropská komise uznala za zajišťující odpovídající úroveň ochrany (čl. 45 GDPR). Jejich smlouvy o zpracování navíc obsahují standardní smluvní doložky schválené Evropskou komisí pro případ, že by tento rámec přestal platit (čl. 46 GDPR).

10. Součinnost se Správcem

10.1 Zpracovatel s ohledem na povahu zpracování pomáhá Správci prostřednictvím vhodných technických a organizačních opatření plnit povinnost reagovat na žádosti o výkon práv subjektů údajů (přístup, oprava, výmaz, omezení zpracování, přenositelnost, námitka).

10.2 Obdrží-li Zpracovatel žádost subjektu údajů, předá ji Správci a sám ji nevyřizuje.

10.3 Zpracovatel poskytne Správci informace, které má k dispozici a které Správce potřebuje k zajištění bezpečnosti zpracování, k posouzení vlivu na ochranu osobních údajů a k předchozí konzultaci s Úřadem pro ochranu osobních údajů (čl. 32 až 36 GDPR).

10.4 Součinnost v rozsahu funkcí Služby a informací podle odstavce 10.3 poskytuje Zpracovatel bezúplatně. Součinnost nad tento rámec, zejména jednotlivé ruční výstupy nebo úkony, které by Správce mohl provést sám prostřednictvím Aplikace, a součinnost vyvolanou porušením povinností Správce, je Zpracovatel oprávněn podmínit úhradou přiměřených nákladů, které Správci předem sdělí.

11. Porušení zabezpečení osobních údajů

11.1 Zjistí-li Zpracovatel porušení zabezpečení, které se týká osobních údajů Správce (například jejich únik nebo ztrátu), ohlásí je Správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění.

11.2 Ohlášení obsahuje popis povahy porušení, dotčených kategorií údajů a přibližného počtu dotčených osob, pravděpodobných důsledků a přijatých nebo navrhovaných opatření. Informace, které Zpracovatel v době ohlášení nemá, doplní bez zbytečného odkladu poté, co je zjistí.

11.3 Ohlášení umožňuje Správci splnit jeho povinnost ohlásit porušení Úřadu pro ochranu osobních údajů do 72 hodin (čl. 33 GDPR) a případně informovat subjekty údajů (čl. 34 GDPR). Tyto povinnosti plní Správce.

11.4 Ohlášení porušení zabezpečení samo o sobě neznamená uznání odpovědnosti Zpracovatele.

12. Informace a audity

12.1 Zpracovatel poskytne Správci na žádost informace nezbytné k doložení, že plní povinnosti podle čl. 28 GDPR a těchto Zpracovatelských podmínek, zejména písemný popis přijatých opatření a seznam dalších zpracovatelů.

12.2 Nepostačí-li informace podle odstavce 12.1 nebo vyžaduje-li to orgán dozoru, může Správce nebo auditor, kterého Správce pověří, plnění ověřit auditem včetně kontroly na místě. Auditor musí být vázán povinností mlčenlivosti a nesmí být konkurentem Zpracovatele.

12.3 Audit Správce oznámí nejméně 30 dní předem; termín a rozsah strany předem dohodnou. Audit se provádí v pracovní době, nejvýše jednou za 12 měsíců, ledaže došlo k porušení zabezpečení osobních údajů Správce nebo audit vyžaduje orgán dozoru. Audit nesmí ohrozit bezpečnost Služby ani data jiných zákazníků a nezahrnuje přístup k nim.

12.4 Náklady auditu nese Správce, včetně přiměřených nákladů Zpracovatele na součinnost. To neplatí, zjistí-li audit podstatné porušení povinností Zpracovatele.

13. Ukončení zpracování, předání a výmaz údajů

13.1 Po skončení Smlouvy Zpracovatel předá Správci jeho údaje, požádá-li o to Správce ve lhůtě a způsobem podle Obchodních podmínek.

13.2 Do 90 dní od skončení Smlouvy Zpracovatel údaje Správce vymaže, včetně kopií u dalších zpracovatelů. Ze záloh budou odstraněny přibližně o 5 týdnů později, po uplynutí doby uchování záloh.

13.3 Zpracovatel uchová jen údaje, jejichž uchování mu ukládá právní předpis Evropské unie nebo členského státu.

14. Odpovědnost

14.1 Za škodu, kterou Zpracovatel způsobí Správci porušením těchto Zpracovatelských podmínek nebo GDPR, odpovídá Zpracovatel v rozsahu a s omezeními podle článku 12 Obchodních podmínek. Tato omezení platí souhrnně pro všechny nároky ze Smlouvy včetně Zpracovatelských podmínek a nepoužijí se v případech, kdy je právní předpis nepřipouští.

14.2 Odpovědnost každé ze stran vůči subjektům údajů podle čl. 82 GDPR nelze smluvně vyloučit ani omezit. Zpracovatel odpovídá subjektům údajů jen za škodu způsobenou zpracováním, při kterém nesplnil povinnosti, které GDPR ukládá výslovně zpracovatelům, nebo jednal mimo zákonné pokyny Správce nebo v rozporu s nimi (čl. 82 odst. 2 GDPR).

14.3 Uhradí-li jedna ze stran subjektu údajů náhradu škody v plné výši, může po druhé straně požadovat tu část náhrady, která odpovídá podílu druhé strany na odpovědnosti za škodu (čl. 82 odst. 5 GDPR). Pro tento vnitřní postih se omezení podle odstavce 14.1 nepoužijí v rozsahu, v jakém to GDPR nepřipouští.

14.4 Uplatní-li subjekt údajů nebo orgán dozoru nárok vůči jedné ze stran, informuje o tom tato strana bez zbytečného odkladu druhou stranu a strany si poskytnou přiměřenou součinnost. Žádná ze stran neuzná nárok k tíži druhé strany bez jejího souhlasu.

14.5 Správní pokutu, kterou orgán dozoru uloží jedné ze stran, nese tato strana.

15. Závěrečná ustanovení

15.1 Zpracovatelské podmínky jsou účinné po dobu trvání Smlouvy a po dobu, po kterou Zpracovatel osobní údaje Správce zpracovává.

15.2 V otázkách zpracování osobních údajů mají Zpracovatelské podmínky přednost před Obchodními podmínkami. V ostatních otázkách, zejména pokud jde o rozhodné právo, řešení sporů a komunikaci mezi stranami, platí Obchodní podmínky.

15.3 Zpracovatelské podmínky může Zpracovatel měnit stejným postupem jako Obchodní podmínky, tedy s oznámením nejméně 30 dní předem a s právem Správce změnu odmítnout a Smlouvu vypovědět. Změny vyvolané změnou dalších zpracovatelů se řídí článkem 8.