Zpracovatelská smlouva

Tato zpracovatelská smlouva (dále jen „Smlouva“) tvoří součást smlouvy o poskytování aplikace Můj dispečink a použije se vždy, když Provozovatel při poskytování aplikace zpracovává osobní údaje pro Zákazníka jako zpracovatel podle čl. 28 obecného nařízení o ochraně osobních údajů (GDPR).

Provozovatelem (zpracovatelem) je Dominik Žlebek, IČO: 14244896, se sídlem Hlavní 62, 273 42 Stehelčeves, zapsán v živnostenském rejstříku, e-mail info@mujdispecink.cz (dále jen „Provozovatel“). Zákazníkem (správcem) je provozovatel taxislužby, obec nebo jiný subjekt, který aplikaci užívá na základě smlouvy o poskytování služby (dále jen „Zákazník“).

1. Role stran

1.1. Zákazník je správcem osobních údajů, které vloží, uloží, přenese nebo jinak zpracovává prostřednictvím aplikace Můj dispečink. Provozovatel je ve vztahu k těmto údajům zpracovatelem.

1.2. Zákazník odpovídá za zákonnost zpracování, za právní základ, za splnění informačních povinností vůči subjektům údajů a za pokyny dávané Provozovateli.

1.3. Provozovatel zpracovává osobní údaje pouze podle této Smlouvy, smlouvy o poskytování služby, nastavení aplikace, doložených pokynů Zákazníka a právních povinností, které se na Provozovatele vztahují.

2. Předmět, doba, povaha a účel zpracování

2.1. Předmětem zpracování je provoz aplikace Můj dispečink a souvisejících služeb, zejména uložení a zpřístupnění dat oprávněným uživatelům Zákazníka, zálohování a obnova, technická podpora, zabezpečení a monitoring provozu.

2.2. Zpracování trvá po dobu poskytování služby a následně po dobu nezbytnou k výmazu dat, vypořádání práv a povinností, obnově ze záloh nebo splnění právních povinností (viz čl. 9).

2.3. Povaha zpracování zahrnuje uložení, přenos, zpřístupnění v aplikaci, zálohování, obnovu, mazání, monitoring dostupnosti, bezpečnostní logování a technické operace nezbytné pro provoz služby.

2.4. Účelem zpracování je umožnit Zákazníkovi řídit provoz taxislužby (objednávky jízd, přidělování řidičům, evidence zákazníků a vozidel, výkazy) na infrastruktuře Provozovatele a poskytnout související technickou podporu. Provozovatel data nevyužívá k žádnému vlastnímu účelu.

3. Kategorie údajů a subjektů údajů

3.1. Typy osobních údajů určuje Zákazník podle toho, co do aplikace vloží. Zpravidla jde o:

• klienty přepravy (cestující): jméno, telefon, adresy (vč.

oblíbených), poznámky k přepravě a měsíční limit jízd. Poznámky mohou obsahovat údaje o zdravotním stavu nebo pomůckách (např. „chodítko“, „vozík“, „nedoslýchavý“), tedy zvláštní kategorie osobních údajů podle čl. 9 GDPR — o jejich vkládání a právním základu rozhoduje Zákazník;

• uživatele aplikace u Zákazníka (dispečeři, řidiči, pozorovatelé):

jméno, přihlašovací jméno, e-mail, role, u řidičů poloha vozidla při zapnutém sdílení;

• záznamy o hovorech (je-li zapnuta telefonie): telefonní číslo,

čas a délka hovoru, návaznost na jízdu.

3.2. Kategorie subjektů údajů určuje Zákazník; jde zejména o cestující (klienty taxislužby), zaměstnance či spolupracovníky Zákazníka a osoby, které Zákazník do aplikace zanese.

3.3. Provozovatel není povinen zjišťovat obsah dat Zákazníka a nemůže posoudit, zda Zákazník do aplikace ukládá zvláštní kategorie osobních údajů nebo údaje vyžadující zvláštní právní režim.

4. Pokyny Zákazníka

4.1. Za doložené pokyny se považují smlouva o poskytování služby, tato Smlouva, nastavení provedená v aplikaci, objednávky služeb a písemná komunikace Zákazníka s Provozovatelem. Samotné užívání aplikace se považuje za pokyn ke zpracování v rozsahu jejích funkcí.

4.2. Pokud se Provozovatel domnívá, že pokyn porušuje GDPR nebo jiné právní předpisy, upozorní na to Zákazníka, nebrání-li mu v tom právní předpis.

4.3. Provozovatel může odmítnout nebo pozastavit pokyn, který by ohrozil bezpečnost, práva třetích osob, provoz služby nebo zákonné povinnosti Provozovatele.

5. Povinnosti Provozovatele

5.1. Provozovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly vázány mlčenlivostí nebo odpovídající zákonnou povinností mlčenlivosti.

5.2. Provozovatel přijme technická a organizační opatření odpovídající riziku, zejména:

• šifrovaný přenos (HTTPS) mezi uživatelem a aplikací;
• řízení přístupu podle rolí vynucované na serveru, včetně možnosti

skrýt kontaktní údaje klientů pro roli pozorovatele;

• ukládání hesel výhradně v nečitelné podobě moderním jednosměrným

postupem (argon2) a omezení počtu pokusů o přihlášení;

• auditní záznam přístupů a citlivých operací (kdo, co, kdy);
• denní automatické šifrované zálohy s ověřenou obnovou a jejich

rotací;

• automatické mazání provozních záznamů (poloha vozidel po 24 hodinách,

záznamy o hovorech ve výchozím nastavení po 90 dnech, auditní záznamy po 1 roce);

• vyloučení osobních údajů z provozních logů;
• provoz na serveru v České republice.

5.3. Provozovatel pomůže Zákazníkovi v přiměřeném rozsahu splnit povinnosti týkající se práv subjektů údajů, zabezpečení, ohlašování incidentů, posouzení vlivu na ochranu osobních údajů a konzultací s dozorovým úřadem, a to s ohledem na povahu služby a informace dostupné Provozovateli.

5.4. Pokud žádost subjektu údajů směřuje k údajům, které Provozovatel zpracovává pro Zákazníka, předá ji Provozovatel Zákazníkovi, popřípadě subjekt údajů odkáže na Zákazníka jako správce.

6. Subzpracovatelé

6.1. Zákazník uděluje Provozovateli obecné povolení zapojit další zpracovatele. Provozovatel uloží subzpracovatelům povinnosti na ochranu osobních údajů v rozsahu odpovídajícím této Smlouvě. Nesplní-li subzpracovatel své povinnosti, odpovídá za jejich plnění vůči Zákazníkovi Provozovatel.

6.2. Data aplikace (obsah, který Zákazník do aplikace vloží nebo v ní provozuje, zejména údaje klientů přepravy) jsou uložena pouze na serverech webhostingu provozovaného v datovém centru v České republice. Data aplikace se nepředávají e-mailovým ani platebním dodavatelům. Provozovatel používá zejména tyto dílčí zpracovatele:

6.3. U e-mailového dodavatele dochází pouze ke zpracování údajů potřebných pro doručení dané zprávy (např. e-mailová adresa uživatele Zákazníka při obnově hesla). Předplatné za službu se hradí bankovním převodem na účet Poskytovatele; banka Poskytovatele při tom zpracovává běžné údaje platebního styku (číslo účtu plátce, částku, variabilní symbol) jako samostatný správce podle zákona o platebním styku, nikoli jako subzpracovatel. Data klientů přepravy uložená v aplikaci se e-mailovému dodavateli ani bance nepředávají.

6.4. O podstatné změně subzpracovatele informuje Provozovatel Zákazníka přiměřeným způsobem předem. Zákazník může proti změně vznést odůvodněnou námitku; nevyřeší-li ji strany, může Zákazník dotčenou službu ukončit.

7. Bezpečnost a incidenty

7.1. Provozovatel chrání data Zákazníka před neoprávněným nebo nahodilým přístupem, změnou, ztrátou, zničením a neoprávněným zveřejněním přiměřeně riziku a povaze služby (viz opatření v čl. 5.2).

7.2. Zjistí-li Provozovatel porušení zabezpečení osobních údajů zpracovávaných pro Zákazníka, oznámí je Zákazníkovi bez zbytečného odkladu poté, co se o něm dozví, nejpozději do 48 hodin, a poskytne mu informace dostupné Provozovateli.

7.3. Zákazník odpovídá za bezpečnost svých uživatelských účtů a přístupových údajů a za to, komu v aplikaci zřídí přístup a v jaké roli. Provozovatel neodpovídá za incident způsobený jednáním nebo pokynem Zákazníka, pokud sám neporušil povinnosti zpracovatele.

8. Audity a doložení souladu

8.1. Provozovatel poskytne Zákazníkovi informace přiměřeně potřebné k doložení plnění povinností podle čl. 28 GDPR, zejména popis technických a organizačních opatření, procesů a subzpracovatelů.

8.2. Audit nebo inspekce musí být předem dohodnuty, nesmí nepřiměřeně ohrozit bezpečnost, důvěrnost dat jiných zákazníků ani provoz služby a mohou být podmíněny mlčenlivostí. Není-li audit vyvolán porušením povinností Provozovatele, může Provozovatel požadovat úhradu přiměřených nákladů.

9. Vrácení a výmaz dat

9.1. Zákazník může svá data z aplikace kdykoli exportovat prostředky aplikace (např. měsíční výkazy v PDF/XLSX). Po ukončení služby je Zákazník povinen export provést včas.

9.2. Po ukončení služby Provozovatel na pokyn Zákazníka data předá a následně smaže aktivní data aplikace. Zálohy se smažou v běžném cyklu záloh, nejpozději do 60 dnů, nevyžaduje-li právní povinnost nebo bezpečnostní incident delší uložení.

9.3. Vyžaduje-li právní předpis uchování některých údajů, Provozovatel je uchová pouze v nezbytném rozsahu a po nezbytnou dobu.

10. Předávání mimo EU/EHP

10.1. Provozovatel nepředá osobní údaje zpracovávané pro Zákazníka mimo EU/EHP. Veškerá data aplikace jsou uložena na serveru v České republice a Provozovatel nevyužívá zahraniční cloudové ani analytické služby.

11. Závěrečná ustanovení

11.1. Tato Smlouva je závazná po dobu, po kterou Provozovatel zpracovává osobní údaje pro Zákazníka jako zpracovatel.

11.2. V otázkách neupravených touto Smlouvou se použije smlouva o poskytování služby a GDPR. Při rozporu má pro zpracování osobních údajů na pokyn Zákazníka přednost tato Zpracovatelská smlouva.

11.3. Tato Zpracovatelská smlouva je nedílnou součástí obchodních podmínek služby Můj dispečink a uzavírá se elektronicky spolu s nimi objednáním, resp. užíváním služby; samostatné podepisované vyhotovení se nevyžaduje. Aktuální znění je vždy dostupné na této stránce.