Smlouva o zpracování osobních údajů

1. Předmět, povaha a účel zpracování

Osobní údaje zpracováváme pouze za účelem poskytování Služby Zákazníkovi: správa účtů a míst, výuka AI gramotnosti, vyhodnocení testů a ověřovacích testů, vydávání a ověřování certifikátů, odesílání e-mailů, vedení důkazů o školení a auditní stopy a poskytování přehledů a exportů. Zpracování zahrnuje shromažďování, uložení, uspořádání, použití, předání níže uvedeným dalším zpracovatelům, výmaz a další operace nutné pro tyto účely.

2. Doba zpracování

Smlouva o zpracování platí po dobu, kdy pro Zákazníka zpracováváme osobní údaje: po dobu předplatného a následně až do výmazu podle bodu 11.

3. Subjekty údajů a kategorie údajů

• Subjekty údajů: zaměstnanci Zákazníka, kterým je přiděleno místo, a správci Zákazníka.
• Identifikační a kontaktní údaje: jméno, e-mail, oddělení, pracovní role a preferovaný jazyk.
• Údaje o účtu: otisk hesla (Argon2id), údaje ověření ve dvou krocích, pokud se používá, časy přihlášení a IP adresy.
• Údaje o školení: přiřazené kurzy, průběh a čas strávený v lekcích, odpovědi v testech a ověřovacích testech, výsledky a pokusy, certifikáty, potvrzení zásad používání AI Zákazníka.
• Záznamy zadané Zákazníkem: přehled AI nástrojů a další údaje zadané správci.
• Auditní záznam důležitých akcí s časem a autorem.

Služba není určena pro zvláštní kategorie osobních údajů (čl. 9 GDPR) a Zákazník je do ní nebude zadávat.

4. Pokyny Zákazníka

Údaje zpracováváme pouze na základě doložených pokynů Zákazníka. Úplnými pokyny Zákazníka jsou tato Smlouva o zpracování, obchodní podmínky a nastavení a akce správců Zákazníka ve Službě. Pokud bude podle nás pokyn porušovat právní předpisy o ochraně osobních údajů, upozorníme na to Zákazníka. Jinak můžeme údaje zpracovat jen tehdy, když to vyžaduje právo Unie nebo členského státu; v takovém případě Zákazníka předem informujeme, pokud to právo nezakazuje.

5. Mlčenlivost

K údajům mají přístup pouze osoby, které jej potřebují pro provoz nebo podporu Služby, a jsou vázány mlčenlivostí.

6. Bezpečnostní opatření

• Služba a všechna data běží na serveru v datovém centru v Německu (EU).
• Šifrované spojení (HTTPS); hesla uložená pouze jako otisky Argon2id; podepsané session cookies dostupné jen serveru (HTTP-only).
• Důsledné oddělení zákazníků: každý požadavek se ověřuje vůči přihlášenému uživateli a jeho společnosti.
• Ověření ve dvou krocích pro správce, povinné pro naše účty podpory a dostupné každému správci Zákazníka.
• Omezení počtu pokusů u přihlášení, obnovy hesla a ověření certifikátu.
• Uložená tajemství, např. přístupové údaje k e-mailovému odesílateli a klíče ověření ve dvou krocích, jsou šifrována (AES-256-GCM).
• Testy se vyhodnocují na serveru; správné odpovědi se nikdy nedostanou do prohlížeče.
• Auditní záznam důležitých akcí a záznam bezpečnostních událostí uchovávaný 30 dní.
• Zálohy s dobou uchování nejvýše 30 dní a zdokumentovaný postup pro bezpečnostní incidenty.

7. Přístup podpory

Oprávnění pracovníci podpory MadHoney se mohou přihlásit do účtu správce Zákazníka, aby na žádost Zákazníka nastavili účet nebo vyřešili problém, případně pokud je to nutné k ochraně Služby. Takový přístup je omezen na administraci (nikdy ne lekce, testy nebo certifikáty za zaměstnance), je časově omezený a zaznamenává se do auditního záznamu Zákazníka.

8. Další zpracovatelé

• Hostinger International Ltd. (Kypr) - pronájem virtuálního serveru, na kterém Služba běží; datové centrum v Německu (EU).
• ZONER a.s. (Česká republika) - SMTP server pro doručování e-mailů (pozvánky, připomínky, oznámení); datová centra v Brně.

Zákazník uděluje obecné povolení k zapojení dalších zpracovatelů. Každému z nich ukládáme povinnosti ochrany údajů rovnocenné této Smlouvě o zpracování. O přidání nebo výměně dalšího zpracovatele informujeme správce Zákazníka e-mailem nejméně 30 dní předem; Zákazník může z oprávněného důvodu vznést námitku a pokud ji nedokážeme vyřešit, předplatné před účinností změny zrušit.

Paddle.com Market Ltd zpracovává platební a fakturační údaje jako samostatný správce (Merchant of Record) a nedostává žádné údaje o zaměstnancích Zákazníka.

9. Součinnost se Zákazníkem

Správci mohou údaje svých zaměstnanců prohlížet, opravovat, exportovat a mazat přímo ve Službě. S ohledem na povahu zpracování dále pomůžeme Zákazníkovi vyřizovat žádosti subjektů údajů a plnit povinnosti podle článků 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu a předchozí konzultace). Žádosti zaměstnanců, které obdržíme, předáme Zákazníkovi.

10. Porušení zabezpečení osobních údajů

Porušení zabezpečení osobních údajů oznámíme správcům Zákazníka bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy jsme se o něm dozvěděli, s informacemi dostupnými podle čl. 33 odst. 3 GDPR, a budeme je doplňovat podle zjištěných skutečností. Přijmeme opatření k omezení porušení a zmírnění jeho následků.

11. Výmaz a vrácení údajů

Během předplatného může Zákazník kdykoli exportovat přehledy, důkazy o školení a auditní stopu. Po skončení předplatného se správci mohou ještě 90 dní přihlásit, avšak pouze k exportu údajů; poté se společnost a všechny její údaje automaticky vymažou, pokud Zákazník nepožádá o dřívější výmaz. Kopie v zálohách se přepíší do 30 dní. Na údaje, které musíme uchovávat podle zákona (např. faktury), se tento bod nevztahuje.

12. Audity

Zpřístupníme Zákazníkovi informace potřebné k doložení plnění této Smlouvy o zpracování a umožníme audity, včetně kontrol, prováděné Zákazníkem nebo auditorem vázaným mlčenlivostí. Audity probíhají po přiměřeném předchozím písemném oznámení, v pracovní době, nejvýše jednou ročně (s výjimkou situace po porušení zabezpečení) a na náklady Zákazníka, bez narušení Služby a bez přístupu k údajům jiných zákazníků.

13. Povinnosti Zákazníka

Zákazník odpovídá za to, že má pro zpracování právní základ, že své zaměstnance informoval a že údaje a pokyny, které nám předává, jsou v souladu s právem.

14. Odpovědnost a rozhodné právo

Odpovědnost podle této Smlouvy o zpracování se řídí obchodními podmínkami, pokud GDPR nestanoví jinak. Tato Smlouva o zpracování se řídí právem České republiky; spory z ní rozhodují věcně a místně příslušné soudy České republiky podle našeho sídla. Kontakt ve věcech ochrany osobních údajů: sales@guard-ai.eu.