Tato zpracovatelská smlouva (dále „DPA") upravuje zpracování osobních údajů podle čl. 28 nařízení (EU) 2016/679 (GDPR) a je nedílnou součástí smlouvy o užívání služby Compliro (Obchodní podmínky). Uzavřením smlouvy o užívání Služby uživatel tuto DPA přijímá.
Zpracovatel zpracovává osobní údaje jménem správce výhradně za účelem poskytování Služby Compliro (nástroj pro podporu řízení kybernetické bezpečnosti dle NIS2), tj. za účelem provozu aplikace, uchování a zpřístupnění dat vložených správcem a poskytování souvisejících funkcí a podpory. Povaha zpracování zahrnuje zejména ukládání, organizaci, zpřístupnění, zálohování a výmaz údajů.
Zpracovatel zpracovává osobní údaje po dobu trvání smlouvy o užívání Služby. Po jejím ukončení zůstávají údaje k dispozici k exportu po dobu 30 dní, poté je zpracovatel vymaže nebo anonymizuje, nestanoví-li právní předpis jinak.
Rozsah určuje správce obsahem, který do Služby vkládá. Zpravidla jde o:
| Kategorie subjektů | Kategorie údajů |
|---|---|
| Zaměstnanci a kontaktní osoby správce, odpovědné osoby v evidencích | jméno, příjmení, pracovní zařazení/role, e-mail, telefon |
| Kontaktní osoby dodavatelů a třetích stran vedené v evidencích | identifikační a kontaktní údaje |
| Osoby uvedené v incidentech, auditech a dalších záznamech | údaje vložené správcem |
Správce se zavazuje nevkládat do Služby zvláštní kategorie osobních údajů (čl. 9 GDPR) bez vlastního posouzení přípustnosti a odpovídajícího právního základu.
Zpracovatel uplatňuje zejména: šifrování přenosu (HTTPS/TLS), řízení a omezení přístupu na oprávněné osoby, ukládání hesel v podobě kryptografických otisků, provoz na zabezpečené infrastruktuře v EU, pravidelné zálohování a vedení auditního logu.
Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Zpracovatel o zamýšlené změně informuje a správce může proti změně z vážných důvodů vznést námitku. Aktuální sub-zpracovatelé:
| Sub-zpracovatel | Účel | Umístění |
|---|---|---|
| Microsoft Ireland Operations, Ltd. | hosting aplikace a odesílání e-mailů (Azure, Graph API) | EU |
| Stripe Payments Europe, Ltd. | zpracování plateb a fakturace | EU (IE) |
| Datadog, Inc. | monitoring a diagnostika provozu | USA (SCC) |
| Google / Apple | přihlašování přes OAuth (pokud jej správce využije) | EU / USA (SCC) |
K předávání do zemí mimo EHP může docházet u sub-zpracovatelů se sídlem v USA; předání je zajištěno na základě standardních smluvních doložek Evropské komise (SCC), případně dalších vhodných záruk dle čl. 46 GDPR.
Zpracovatel ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, nejpozději však do 48 hodin, na kontaktní e-mail správce. Ohlášení obsahuje dostupné informace o povaze porušení, dotčených kategoriích a přibližném počtu subjektů údajů, pravděpodobných důsledcích a přijatých či navržených opatřeních, aby správce mohl splnit své povinnosti dle čl. 33 a 34 GDPR (zejména dodržet ohlašovací lhůtu 72 hodin). Kontaktním bodem zpracovatele je info@compliro.cz.
Odpovědnost zpracovatele vůči správci se řídí Obchodními podmínkami, zejména čl. 9 (omezení odpovědnosti a strop náhrady); tím nejsou dotčena kogentní ustanovení GDPR o odpovědnosti vůči subjektům údajů a dozorovému úřadu.
Tato DPA se řídí právním řádem České republiky a GDPR; v případě rozporu má přednost GDPR. Je nedílnou součástí Obchodních podmínek; ostatní jejich ustanovení tím nejsou dotčena.