1. Zmluva a roly strán
Táto zmluva o spracúvaní osobných údajov je súčasťou Obchodných podmienok a uplatní sa vždy, keď zákazník ako prevádzkovateľ alebo sprostredkovateľ používa Kruspin na spracúvanie osobných údajov inej osoby. Prijatím Obchodných podmienok zákazník uzatvára túto zmluvu so spoločnosťou Necktip s.r.o.
Pri údajoch, ktoré zákazník vkladá do pracovného priestoru alebo podujatia o svojich klientoch, hosťoch, dodávateľoch, členoch tímu a ďalších účastníkoch, je zákazník zvyčajne prevádzkovateľom a spoločnosť Necktip s.r.o., ktorá prevádzkuje Kruspin, sprostredkovateľom. Ak je zákazník sám sprostredkovateľom pre svojho klienta, potvrdzuje, že smie zapojiť Kruspin ako ďalšieho sprostredkovateľa.
Pri údajoch potrebných na vlastný účet, prihlásenie, fakturáciu, bezpečnosť, prevenciu zneužitia, právnu komunikáciu a vlastné prevádzkové monitorovanie môže byť Necktip s.r.o. samostatným prevádzkovateľom. V rozsahu, v akom monitoring alebo záznam relácie spracúva zákaznícke údaje výlučne na poskytnutie, zabezpečenie alebo podporu služby podľa pokynu zákazníka, použije sa táto zmluva. Maskovaný záznam môže naďalej obsahovať osobné údaje.
2. Predmet, trvanie, povaha a účel
Predmetom je spracúvanie osobných údajov potrebné na prevádzku pracovného priestoru, podujatí, RSVP, stránky pre hostí, ubytovania, zasadacieho poriadku, harmonogramu, úloh, súborov, dodávateľov, finančných pracovných prehľadov, komunikácie, klientských podkladov a prevádzkových výstupov a podpory.
Spracúvanie trvá počas existencie zákazníckeho účtu alebo dohodnutej služby a počas nevyhnutného obdobia na vrátenie alebo vymazanie údajov. Povaha spracúvania zahŕňa ukladanie, štruktúrovanie, vyhľadávanie, zobrazovanie, prenos, zálohovanie, export, opravu, obmedzenie a vymazanie podľa funkcií a pokynov zákazníka.
Účelom je poskytnúť a zabezpečiť zvolenú funkciu Kruspin a vykonať zdokumentovaný pokyn zákazníka. Identifikovateľný zákaznícky obsah sa nepoužíva na trénovanie modelov ani na vytváranie opakovane použiteľných hodnotiacich dátových súborov. Prípadný budúci dobrovoľný program poskytnutia údajov bude oddelený, v predvolenom nastavení vypnutý a bude vyžadovať samostatné podmienky a právny základ. Skutočne anonymizované a súhrnné informácie môže prevádzkovateľ používať podľa Obchodných podmienok.
3. Osoby a kategórie údajov
4. Pokyny a povinnosti zákazníka
- Zákazník zodpovedá za zákonnosť pokynov, právny základ, informačné povinnosti, presnosť údajov a oprávnenia osôb, ktoré pozve do služby.
- Nastavenie funkcií, import, zverejnenie, zdieľanie, export, vymazanie a požiadavka odoslaná oprávnenou osobou zákazníka sú zdokumentovanými pokynmi v rozsahu tejto zmluvy a Podmienok.
- Zákazník minimalizuje údaje o alergiách, zdravotných potrebách a potrebách prístupnosti, údaje o deťoch, rodinné poznámky a ďalšie citlivé údaje a vloží ich iba tam, kde sú nevyhnutné na konkrétny účel.
- Zákazník nastaví roly, oprávnenia, verejné stránky, odkazy RSVP a exporty tak, aby údaje videli iba zamýšľaní príjemcovia.
- Zákazník nesmie dať prevádzkovateľovi pokyn na protiprávne spracúvanie. Ak prevádzkovateľ odôvodnene považuje pokyn za porušenie ochrany údajov, informuje o tom zákazníka a môže jeho vykonanie pozastaviť až do objasnenia.
- Ak zákazník spracúva údaje v mene iného prevádzkovateľa, zabezpečí potrebné oprávnenie na zapojenie služby Kruspin a odovzdá prísnejšie pokyny, ktoré sa na spracúvanie vzťahujú.
5. Povinnosti prevádzkovateľa ako sprostredkovateľa
- Spracúvať osobné údaje iba podľa tejto zmluvy, nastavenia služby a ďalších doložených pokynov zákazníka, pokiaľ spracúvanie nevyžaduje právo EÚ alebo členského štátu; v takom prípade zákazníka vopred informovať, ak to zákon nezakazuje.
- Zabezpečiť, aby osoby oprávnené spracúvať údaje boli viazané mlčanlivosťou a mali prístup iba v rozsahu svojej roly.
- Prijať a udržiavať primerané technické a organizačné opatrenia uvedené nižšie a prispôsobovať ich riziku, stavu techniky a povahe služby.
- Zapájať ďalších sprostredkovateľov iba podľa tejto zmluvy a uložiť im v podstate rovnaké povinnosti ochrany osobných údajov.
- S ohľadom na povahu spracúvania primerane pomáhať zákazníkovi so žiadosťami dotknutých osôb, zabezpečením, incidentmi, posúdením vplyvu a konzultáciou s dozorným orgánom.
- Po skončení služby podľa voľby zákazníka vrátiť alebo vymazať všetky osobné údaje zákazníka a existujúce kópie, ak ich ďalšie uchovávanie nevyžaduje právo Európskej únie alebo Českej republiky.
- Poskytnúť informácie potrebné na preukázanie súladu s čl. 28 GDPR a umožniť primeraný audit za podmienok uvedených nižšie.
- Bez zbytočného odkladu informovať zákazníka, ak sa prevádzkovateľ dozvie o porušení zabezpečenia osobných údajov spracúvaných v jeho mene.
6. Ďalší sprostredkovatelia a externé služby
Zákazník udeľuje všeobecné písomné povolenie na zapojenie nižšie uvedených ďalších sprostredkovateľov na opísané účely. Niektoré služby vystupujú podľa konkrétnej funkcie aj ako samostatný prevádzkovateľ; ich vlastné podmienky sa zobrazia pri použití alebo na hostovanej stránke.
O zamýšľanom pridaní alebo nahradení ďalšieho sprostredkovateľa, ktorý bude podstatne spracúvať osobné údaje zákazníka, prevádzkovateľ informuje najmenej 15 dní vopred prostredníctvom účtu alebo e-mailu, pokiaľ naliehavá bezpečnostná alebo právna potreba nevyžaduje kratšie obdobie. Zákazník môže do 10 dní vzniesť odôvodnenú námietku týkajúcu sa ochrany osobných údajov. Ak ju nemožno primerane vyriešiť, strany môžu vypnúť dotknutú voliteľnú funkciu alebo ukončiť jej používanie.
Prevádzkovateľ uloží ďalšiemu sprostredkovateľovi v podstate rovnaké povinnosti ochrany údajov a zostáva voči zákazníkovi zodpovedný za plnenie povinností ďalšieho sprostredkovateľa v rozsahu GDPR.
7. Medzinárodné prenosy
Prevádzkovateľ podľa dostupnosti volí európsky región alebo európske koncové body. Niektorí poskytovatelia však môžu používať globálnu infraštruktúru alebo umožniť podporu mimo EÚ/EHP.
Ak prenos osobných údajov smeruje do krajiny bez rozhodnutia o primeranosti, prevádzkovateľ použije uplatniteľný mechanizmus podľa kapitoly V GDPR, najmä štandardné zmluvné doložky Európskej komisie, a podľa rizika doplňujúce opatrenia. Informácie o aktuálnom mechanizme konkrétneho poskytovateľa poskytne zákazníkovi na požiadanie.
Zákazník dáva pokyn na prenos v rozsahu nevyhnutnom pre ním zapnutú funkciu a vyššie schváleného poskytovateľa. To neobmedzuje právo zákazníka vzniesť námietku proti novému ďalšiemu sprostredkovateľovi.
8. Technické a organizačné opatrenia
- Prihlásenie pomocou overeného e-mailu a krátkodobých jednorazových kódov, zabezpečené relácie HTTP-only a serverové kontroly identity.
- Roly, členstvá, oprávnenia a oddelené výstupy pre klientske a verejné zobrazenie, ktoré obmedzujú prístup podľa pracovného priestoru, podujatia a účelu výstupu.
- Šifrovaný prenos prostredníctvom HTTPS/TLS; šifrovanie uložených údajov podľa možností a konfigurácie poskytovateľa databázy a objektového úložiska; šifrované ukladanie vybraných integračných tokenov.
- Oddelenie produkčných a vývojových prostredí, serverové tajné údaje mimo klienta, obmedzené prístupy podpory a správcov a audit bezpečnostne významných akcií.
- Validácia vstupov, ochrana rovnakého pôvodu, obmedzenie frekvencie požiadaviek, krátkodobé tokeny, odvolanie relácií a ochrana pred bežným zneužitím webovej aplikácie.
- Minimalizácia protokolov, analytiky, monitorovania a artefaktov podpory; maskovanie textov, vstupov a atribútov v zázname relácie a vylúčenie konzoly, hlavičiek a tiel požiadaviek, heatmáp a cross-origin iframe. Záznam napriek tomu môže zostať identifikovateľným osobným údajom.
- Zálohy a postupy obnovy zodpovedajúce poskytovanej infraštruktúre, riadené zmeny databázy a obmedzenie deštruktívnych produkčných operácií.
- Proces na triedenie, obmedzenie, nápravu a dokumentovanie bezpečnostných incidentov a informovanie dotknutých zákazníkov.
- Pravidelné prehodnocovanie opatrení podľa povahy údajov, stavu techniky, nákladov a rizika. Žiadny systém nemôže zaručiť absolútnu bezpečnosť.
9. Práva osôb, incidenty a súčinnosť
Ak prevádzkovateľ dostane žiadosť dotknutej osoby týkajúcu sa zákazníckych údajov, nebude na ňu bez pokynu zákazníka vecne odpovedať, pokiaľ to nevyžaduje zákon. Žiadosť postúpi zákazníkovi alebo pomôže určiť príslušného prevádzkovateľa a podľa možností poskytne nástroje či informácie potrebné na odpoveď.
Pri porušení zabezpečenia osobných údajov prevádzkovateľ informuje zákazníka bez zbytočného odkladu po tom, ako sa o ňom dozvie. Podľa dostupných informácií opíše povahu incidentu, dotknuté kategórie, pravdepodobné dôsledky, prijaté alebo navrhované opatrenia a kontakt na ďalšiu súčinnosť. Oznámenie samo osebe nie je uznaním zodpovednosti.
S ohľadom na povahu spracúvania a informácie, ktoré má k dispozícii, prevádzkovateľ primerane pomôže s posúdením vplyvu, predchádzajúcou konzultáciou, zabezpečením, oznamovacími povinnosťami a preukázaním súladu. Mimoriadna súčinnosť nad bežný rozsah služby môže byť spoplatnená, ak potrebu nespôsobil prevádzkovateľ porušením tejto zmluvy.
10. Vrátenie, vymazanie, audit a poradie dokumentov
Po skončení služby prevádzkovateľ podľa voľby zákazníka vráti zákaznícke osobné údaje v primerane dostupnom formáte alebo ich vymaže, ak ich ďalšie uchovávanie nevyžaduje právo. Export a vymazanie sa v súčasnom produkte riešia prostredníctvom podpory; úplný samoobslužný export ani vymazanie účtu nie sú dostupné vo všetkých účtoch.
Po vymazaní z prevádzkových systémov môžu kópie zostať iba v izolovaných technických zálohách počas obdobia nevyhnutného na dokončenie zdokumentovaného cyklu vymazania, najviac 180 dní, alebo ak ich uchovávanie vyžaduje právo Európskej únie alebo Českej republiky. Počas tohto obdobia sa nepoužívajú na bežnú prevádzku; po skončení príslušného obdobia ich Prevádzkovateľ vymaže. Monitorovacie údaje spracúvané v mene zákazníka podliehajú rovnakému pravidlu; na údaje, pri ktorých je Necktip s.r.o. samostatným prevádzkovateľom, sa vzťahujú Informácie o súkromí.
Zákazník môže najviac raz ročne a tiež po závažnom incidente požiadať o informácie primerane potrebné na overenie tejto zmluvy. Ak podklady nestačia, môže po oznámení aspoň 30 dní vopred vykonať audit sám alebo prostredníctvom nezávislého odborníka viazaného mlčanlivosťou, v pracovnom čase a bez prístupu k údajom iných zákazníkov. Táto lehota sa neuplatní, ak je kratší postup nevyhnutný z dôvodu naliehavého incidentu alebo požiadavky dozorného orgánu. Zákazník znáša primerané náklady auditu, pokiaľ audit nepreukáže podstatné porušenie zo strany prevádzkovateľa.
V prípade rozporu má táto zmluva prednosť pri spracúvaní osobných údajov v mene zákazníka; Obchodné podmienky majú prednosť v ostatných otázkach. Prísnejšia písomná individuálna dohoda má prednosť v rozsahu, v akom výslovne mení túto zmluvu.
Otázky, pokyny, námietky proti novému sprostredkovateľovi a žiadosti o súčinnosť sa posielajú na [email protected].