Zpracovatelská smlouva

Úvod a role stran

Tato smlouva o zpracování osobních údajů (dále jen „smlouva“) se uzavírá podle čl. 28 nařízení (EU) 2016/679 (GDPR). Uzavírá se v elektronické formě, kterou čl. 28 odst. 9 GDPR výslovně připouští.

SPRÁVCEM je uživatel služby (povinná osoba podle zákona č. 253/2008 Sb.), který do aplikace Avelo vkládá osobní údaje svých klientů. ZPRACOVATELEM je provozovatel služby [DOPLNÍ PRÁVNÍK] (obchodní firma, IČO, sídlo). Zpracovatel zpracovává osobní údaje jménem správce a podle jeho pokynů.

Předmět, doba, povaha a účel zpracování

Předmětem zpracování je poskytování služby Avelo. Doba zpracování odpovídá době trvání smlouvy o poskytování služby. Povahou zpracování je uchovávání a zpřístupnění údajů pro plnění povinností podle zákona č. 253/2008 Sb.; účelem je předcházení legalizaci výnosů z trestné činnosti a financování terorismu.

Typ osobních údajů

Zpracovávané osobní údaje zahrnují zejména:

• identifikační údaje klientů podle § 5 zákona č. 253/2008 Sb. — jméno a příjmení, rodné číslo (nebo datum narození), místo narození, pohlaví, trvalý pobyt, údaje z průkazu totožnosti,
• údaj o politické exponovanosti klienta (PEP) a výsledky screeningu sankčních seznamů,
• údaje o majetkových poměrech a původu majetku, včetně nahraných dokladů (např. výpisy z účtů),
• údaje o skutečných majitelích právnických osob,
• údaje o účelu a povaze obchodu.

Kategorie subjektů údajů

Klienti správce (fyzické osoby i osoby jednající za právnické osoby), skuteční majitelé, osoby jednající jménem klienta a — v modulu školení — zaměstnanci a spolupracující osoby správce.

Povinnosti zpracovatele (čl. 28 odst. 3 GDPR)

Zpracovatel:

• a) zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně předání do třetí země (nestanoví-li jinak právo EU nebo členského státu);
• b) zajišťuje, že osoby oprávněné zpracovávat osobní údaje jsou zavázány k mlčenlivosti;
• c) přijímá veškerá opatření požadovaná podle čl. 32 GDPR (zabezpečení zpracování);
• d) zapojí dalšího zpracovatele (subzpracovatele) jen za podmínek podle čl. 28 odst. 2 a 4 a informuje správce o zamýšlených změnách;
• e) je správci nápomocen při plnění povinnosti reagovat na žádosti subjektů údajů;
• f) je správci nápomocen při zajištění souladu s čl. 32 až 36 (zabezpečení, ohlašování porušení, posouzení vlivu);
• g) po ukončení poskytování služby všechny osobní údaje vymaže nebo vrátí správci a vymaže existující kopie (nestanoví-li právo jinak);
• h) poskytne správci informace potřebné k doložení souladu a umožní audity a inspekce.

Subzpracovatelé

Správce uděluje zpracovateli obecné povolení zapojit subzpracovatele uvedené v aktuálním seznamu subzpracovatelů. O zamýšlené změně (přidání či nahrazení subzpracovatele) zpracovatel správce předem informuje a poskytne mu možnost vznést námitky.

Aktuální subzpracovatelé: [DOPLNÍ PRÁVNÍK] (poskytovatel hostingu — EU; poskytovatel e-mailových služeb — Resend, USA, na základě [DOPLNÍ PRÁVNÍK] — standardní smluvní doložky / certifikace DPF; případně další). Každý subzpracovatel je vázán smlouvou poskytující stejné záruky ochrany údajů.

Zabezpečení zpracování (čl. 32 GDPR)

Zpracovatel přijal technická a organizační opatření, zejména: izolaci dat mezi organizacemi, ukládání hesel pouze v podobě kryptografického otisku, podepsané přihlašovací tokeny, uchovávání nahraných dokladů mimo veřejně přístupný prostor, tamper-evidentní auditní stopu činnosti a řízení přístupu podle rolí.

[DOPLNÍ PRÁVNÍK] (doplnit dle skutečné infrastruktury před spuštěním: šifrování dat při ukládání, zálohování, umístění hostingu v EU, postup při porušení zabezpečení a lhůty).

Výmaz na pokyn správce, po skončení a lhůty podle zvláštního zákona

Zpracovatel nakládá s osobními údaji pouze podle pokynů správce. Dá-li správce pokyn k výmazu údajů, zpracovatel je vymaže (čl. 28 odst. 3 písm. g) GDPR); výjimkou je situace, kdy uložení daných údajů vyžaduje přímo právo EU nebo členského státu uložené zpracovateli.

Posouzení, zda lze údaje v daném okamžiku vymazat, náleží správci. Povinnost uchovávat identifikační údaje a doklady po dobu 10 let podle § 16 zákona č. 253/2008 Sb. tíží správce jakožto povinnou osobu, nikoli zpracovatele; zpracovatel proto pokyn správce k výmazu neposuzuje věcně a plní jej. Zpracovatel správce na běžící zákonnou lhůtu uchování upozorňuje, aby předešel neúmyslné ztrátě dokumentace potřebné pro účely dohledu.

Zpracovatel dále poskytuje správci nástroje pro splnění jeho povinnosti podle § 16 odst. 4 zákona č. 253/2008 Sb. — po uplynutí zákonné lhůty uchování výmaz uchovávaných údajů a zničení dokladů. Po ukončení smlouvy zpracovatel na pokyn správce údaje vrátí nebo vymaže a vymaže existující kopie.

Informační povinnost vůči klientům správce

Splnění informační povinnosti vůči klientům podle § 24 odst. 2 zákona č. 253/2008 Sb. a čl. 13 GDPR zajišťuje správce. Zpracovatel k tomu poskytuje podporu (např. zobrazení informace o zpracování na ověřovací stránce klienta).

Závěrečná ustanovení

[DOPLNÍ PRÁVNÍK] (trvání a ukončení smlouvy, rozhodné právo, řešení sporů, účinnost).