Zpracovatelská smlouva

Zpracovatel zpracovává pro správce osobní údaje, které správce a jeho uživatelé vloží do služby Proplaceno, a to výhradně za účelem poskytování služby: evidence pracovních cest, výpočtu cestovních náhrad, schvalování, vytváření výkazů a čtení nahraných dokladů.

Zpracování trvá po dobu trvání smlouvy o poskytování služby a dále po dobu nutnou k výmazu nebo vrácení údajů podle této smlouvy.

Zpracování zahrnuje ukládání, uspořádání, vyhledávání, výpočty, automatizované čtení dokladů, zobrazení oprávněným uživatelům, vytváření dokumentů PDF a výmaz.

Kategorie subjektů údajů:

• zaměstnanci a další osoby vysílané správcem na pracovní cesty,
• uživatelé služby na straně správce (schvalovatelé, účetní, správci),
• osoby uvedené v nahraných dokladech (například spolucestující nebo kontaktní osoby dodavatelů).

Kategorie osobních údajů:

• identifikační a kontaktní údaje (jméno, příjmení, tituly, e-mail, osobní číslo, oddělení, tým),
• údaje o pracovních cestách (účel, místa, časy, způsob dopravy, stravování, výdaje, zálohy a vypočtené náhrady),
• údaje o vozidlech (registrační značka, typ, spotřeba),
• obsah nahraných dokladů (jízdenky, letenky, účtenky, hotelové faktury), který může obsahovat jména, adresy nebo poslední čtyřčíslí platební karty.

Zvláštní kategorie osobních údajů podle čl. 9 GDPR služba nevyžaduje a správce je do ní nemá vkládat.

Zpracovatel se zavazuje:

• zpracovávat osobní údaje pouze na základě doložených pokynů správce, za které se považuje tato smlouva, Obchodní podmínky a nastavení a úkony správce ve službě; pokud by pokyn podle názoru zpracovatele porušoval právní předpisy, upozorní na to správce,
• zajistit, aby osoby oprávněné zpracovávat osobní údaje byly zavázány k mlčenlivosti,
• přijmout technická a organizační opatření podle čl. 32 GDPR uvedená v této smlouvě,
• zapojit dalšího zpracovatele jen za podmínek podle článku o subdodavatelích,
• být správci nápomocen při plnění jeho povinností vůči subjektům údajů, zejména poskytnutím exportu údajů a jejich opravou nebo výmazem ve službě,
• být správci nápomocen při zajišťování souladu s čl. 32 až 36 GDPR s ohledem na povahu zpracování a informace, které má k dispozici,
• zpřístupnit správci informace potřebné k doložení souladu s čl. 28 GDPR a umožnit audity podle této smlouvy.

Umělá inteligence zpracovává obsah dokladů a zpráv jen za účelem přípravy návrhů pro uživatele. Data se nepoužívají k trénování modelů a u poskytovatele modelů se neukládají déle, než je nezbytné pro zpracování požadavku a ochranu před zneužitím. Správce může čtení dokladů pomocí AI ve službě vypnout.

Zpracovatel zajišťuje zejména:

• uložení dat v EU (Frankfurt) a šifrování přenosu (HTTPS),
• oddělení dat jednotlivých organizací na úrovni databáze (pravidla přístupu ke každému řádku) a ověřování oprávnění při každém požadavku,
• neveřejné úložiště dokladů s přístupem jen přes časově omezené odkazy,
• ověření e-mailu uživatelů, bezpečné ukládání hesel a omezení počtu pokusů,
• zabezpečené odkazy pro nahrání dokladů bez přihlášení (náhodný token uložený jen jako otisk, platnost a limit souborů),
• záznam schvalování a dalších důležitých úkonů (historie stavů výkazu, auditní log),
• přístup k produkčním datům jen pro omezený okruh osob zpracovatele a jen v nezbytném rozsahu.

Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele uvedené v seznamu níže. Zpracovatel s nimi uzavírá smlouvy, které jim ukládají stejné povinnosti ochrany osobních údajů, a odpovídá za jejich plnění.

O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje zpracovatel správce aktualizací seznamu na této stránce a e-mailem nejméně 14 dní předem. Správce může ze závažných důvodů vznést námitku; nedojde-li k dohodě, může smlouvu o poskytování služby ukončit.

Předání osobních údajů mimo EU probíhá jen při splnění podmínek kapitoly V GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo standardních smluvních doložek.

Zjistí-li zpracovatel porušení zabezpečení osobních údajů, ohlásí je správci bez zbytečného odkladu, nejpozději do 48 hodin, a poskytne informace, které má k dispozici a které správce potřebuje k ohlášení dozorovému úřadu a k informování subjektů údajů.

Před ukončením smlouvy si správce může údaje exportovat (výkazy v PDF). Po ukončení smlouvy a zrušení organizace zpracovatel osobní údaje vymaže do 30 dnů, nestanoví-li právní předpis povinnost je uchovat. Ze záloh se údaje odstraní při jejich běžném přepisu.

Zpracovatel na žádost správce poskytne informace o zpracování a o přijatých opatřeních. Audit na místě nebo prostřednictvím nezávislého auditora je možný po předchozí dohodě, nejvýše jednou ročně a na náklady správce, ledaže byl audit vyvolán porušením povinností zpracovatele.

Odpovědnost stran se řídí GDPR a Obchodními podmínkami. Smlouva se řídí právem České republiky. Při rozporu mezi touto smlouvou a Obchodními podmínkami má v otázkách ochrany osobních údajů přednost tato smlouva.

Kontakt pro záležitosti ochrany osobních údajů: info@spillthecode.cz, datová schránka ukdsp5u.