Smlouva o zpracování osobních údajů (DPA)

2.1 Tato DPA se vztahuje na zpracování osobních údajů, které Zpracovatel provádí jménem Zákazníka v souvislosti s poskytováním služby 404 Emails („Údaje Zákazníka“).

2.2 V rozsahu takového zpracování vystupuje Zákazník jako správce a 404 Branding s.r.o. jako zpracovatel ve smyslu nařízení (EU) 2016/679 („GDPR“).

2.3 Zákazník určuje zejména účely zpracování Údajů Zákazníka, příjemce marketingových sdělení, používané seznamy kontaktů, právní základ příslušného zpracování a konfiguraci marketingových aktivit.

2.4 404 Branding s.r.o. může při některých činnostech vystupovat jako samostatný správce, zejména při zpracování údajů nezbytných pro správu uživatelských účtů, smluvní vztah se Zákazníkem, fakturaci a platby, zabezpečení služby, prevenci podvodů a zneužití, zákaznickou podporu, plnění vlastních právních povinností a určení, výkon nebo obhajobu právních nároků.
Takové zpracování není zpracováním jménem Zákazníka podle této DPA a je popsáno zejména v Zásadách ochrany osobních údajů 404 Emails.

3.1 Zpracovatel zpracovává Údaje Zákazníka za účelem poskytování, provozu, zabezpečení a podpory funkcí 404 Emails podle dokumentovaných pokynů Zákazníka.

3.2 Předmět a doba zpracování, povaha a účel zpracování, typy osobních údajů a kategorie subjektů údajů jsou podrobněji popsány v Příloze 1 – Podrobnosti zpracování.

3.3 Zpracování trvá po dobu poskytování příslušných služeb a následně po dobu potřebnou k provedení pokynu Zákazníka týkajícího se vrácení nebo výmazu Údajů Zákazníka a po dobu omezených retenčních cyklů záloh nebo Subzpracovatelů, pokud jsou použitelné.

4.1 Zpracovatel zpracovává Údaje Zákazníka pouze na základě dokumentovaných pokynů Zákazníka, včetně pokynů týkajících se předání osobních údajů do třetí země nebo mezinárodní organizaci, ledaže takové zpracování vyžaduje právo Evropské unie nebo členského státu, které se na Zpracovatele vztahuje.

4.2 Pokud právní předpis vyžaduje takové zpracování, Zpracovatel Zákazníka před zpracováním informuje o příslušném právním požadavku, pokud právní předpis takové informování nezakazuje z důležitých důvodů veřejného zájmu.

4.3 Za dokumentované pokyny Zákazníka se považují zejména tato DPA, smlouva a Podmínky služby, konfigurace služby provedená oprávněnými uživateli Zákazníka, používání funkcí 404 Emails v souladu s jejich určeným účelem, instrukce předané prostřednictvím dostupných funkcí služby a další písemné a právně přípustné pokyny Zákazníka týkající se Údajů Zákazníka.

4.4 Pokud se Zpracovatel domnívá, že pokyn Zákazníka porušuje GDPR nebo jiné použitelné právo Evropské unie nebo členského státu v oblasti ochrany osobních údajů, Zpracovatel o tom Zákazníka neprodleně informuje.

5.1 Zákazník má právo udělovat Zpracovateli dokumentované pokyny v mezích smluvního vztahu a použitelného práva, získat informace nezbytné k doložení souladu Zpracovatele s článkem 28 GDPR, využívat práva týkající se auditu podle této DPA, být informován o zamýšlených změnách Subzpracovatelů podle této DPA, vznést námitku proti novému nebo nahrazujícímu Subzpracovateli z oprávněných důvodů týkajících se ochrany osobních údajů, požadovat přiměřenou součinnost Zpracovatele při plnění povinností podle GDPR v rozsahu stanoveném touto DPA a při ukončení zpracování zvolit mezi vrácením Údajů Zákazníka a jejich výmazem podle článku 14 této DPA.

5.2 Zákazník odpovídá zejména za zákonnost zpracování osobních údajů vložených nebo přenesených do 404 Emails, existenci odpovídajícího právního základu, splnění informačních povinností vůči subjektům údajů, zákonnost získání kontaktních údajů, získání a prokazatelnost souhlasu, pokud je souhlas vyžadován, dodržování pravidel pro obchodní sdělení, zákonnost seznamů příjemců, zákonnost obsahu kampaní, respektování odhlášení a dalších práv subjektů údajů, správnost svých dokumentovaných pokynů a konfiguraci služby v souladu se svými právními povinnostmi.

5.3 Zákazník nebude používat 404 Emails způsobem odporujícím právním předpisům, Podmínkám služby nebo Acceptable Use / Anti-Spam Policy.

6.1 Zpracovatel zajistí, aby osoby oprávněné zpracovávat Údaje Zákazníka byly zavázány mlčenlivostí nebo podléhaly odpovídající zákonné povinnosti mlčenlivosti.

6.2 Přístup k Údajům Zákazníka bude omezen na osoby, které jej přiměřeně potřebují pro poskytování, provoz, zabezpečení nebo podporu služby.

6.3 Povinnost důvěrnosti trvá i po skončení oprávnění příslušné osoby k přístupu k Údajům Zákazníka.

7.1 Zpracovatel zavede a udržuje technická a organizační opatření přiměřená riziku s ohledem na stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování a rizika pro práva a svobody fyzických osob.

7.2 Aktuální opatření jsou popsána v Příloze 2 – Technická a organizační opatření (TOMs).

7.3 Zpracovatel může jednotlivá opatření měnit nebo nahrazovat v reakci na vývoj technologie, služby nebo rizik, pokud tím nedojde k podstatnému snížení celkové úrovně ochrany Údajů Zákazníka.

7.4 Zpracovatel přezkoumává přiměřenost technických a organizačních opatření nejméně jednou ročně a dále po významném bezpečnostním incidentu nebo podstatné změně architektury, infrastruktury nebo zpracování služby.

7.5 Zjištěné podstatné nedostatky jsou dokumentovány a podle jejich významu přiměřeně řešeny.

8.1 Zákazník uděluje Zpracovateli obecné písemné oprávnění zapojovat další zpracovatele („Subzpracovatelé“) pro konkrétní činnosti zpracování Údajů Zákazníka.

8.2 Zpracovatel vede aktuální Subprocessor List, který uvádí alespoň identitu Subzpracovatele, účel jeho zapojení, relevantní místo nebo jurisdikci zpracování a informace o mechanismu mezinárodního předání, pokud je použitelný.

8.3 Před zamýšleným přidáním nebo nahrazením Subzpracovatele Zpracovatel Zákazníka informuje zpravidla alespoň 14 kalendářních dnů předem a umožní mu během této doby vznést námitku z oprávněných důvodů týkajících se ochrany osobních údajů.

8.4 Pokud předchozí oznámení v této lhůtě není přiměřeně možné z důvodu naléhavé bezpečnostní potřeby, právní povinnosti, náhlého ukončení poskytovatele nebo jiné mimořádné okolnosti nezbytné pro zachování bezpečnosti či kontinuity služby, Zpracovatel oznámí změnu bez zbytečného odkladu, jakmile je to přiměřeně možné.

8.5 Pokud Zákazník vznese odůvodněnou námitku, Strany se v dobré víře pokusí nalézt přiměřené řešení.
Pokud řešení není přiměřeně možné a příslušný Subzpracovatel je nezbytný pro poskytování služby, může Zákazník ukončit dotčenou službu v souladu s podmínkami smluvního vztahu.

8.6 Zpracovatel uloží Subzpracovateli prostřednictvím písemné smlouvy nebo jiného právního aktu stejné povinnosti ochrany osobních údajů, jaké jsou relevantně stanoveny touto DPA, zejména povinnost poskytovat dostatečné záruky zavedení vhodných technických a organizačních opatření.

8.7 Zpracovatel zůstává vůči Zákazníkovi odpovědný za plnění povinností Subzpracovatele v rozsahu stanoveném článkem 28 odst. 4 GDPR.

9.1 404 Emails může umožňovat propojení s externími službami, které si Zákazník samostatně zvolí a nakonfiguruje.

9.2 Pokud Zákazník z vlastní iniciativy propojí 404 Emails se svou webovou, e-commerce, formulářovou nebo jinou externí platformou, může docházet k předávání osobních údajů mezi příslušnými službami podle pokynů Zákazníka.

9.3 Externí poskytovatel zvolený samostatně Zákazníkem se nestává pouze na základě takového propojení Subzpracovatelem vybraným společností 404 Branding s.r.o.

9.4 Zákazník odpovídá za zákonnost pokynu k propojení a za svůj právní a smluvní vztah s příslušným externím poskytovatelem.

10.1 Zákazník bere na vědomí a v rámci dokumentovaných pokynů podle této DPA povoluje zpracování a předávání Údajů Zákazníka prostřednictvím Subzpracovatelů uvedených v aktuálním Subprocessor Listu, včetně předání do třetích zemí uvedených v tomto seznamu.

10.2 Pokud se na předání použije kapitola V GDPR, Zpracovatel zajistí použití platného mechanismu předání.
Takovým mechanismem může být zejména rozhodnutí Evropské komise o odpovídající ochraně, Standardní smluvní doložky Evropské komise, EU–U.S. Data Privacy Framework, pokud je pro příslušného příjemce použitelný, nebo jiný mechanismus povolený GDPR.

10.3 Pokud je použití Standardních smluvních doložek nebo jiného mechanismu doprovázeno požadavkem na další posouzení či doplňková opatření, Zpracovatel přijme opatření vyžadovaná použitelným právem v rozsahu odpovídajícím jeho roli.

10.4 Zpracovatel poskytne Zákazníkovi přiměřeně dostupné informace potřebné pro posouzení relevantních mezinárodních předání.

11.1 S ohledem na povahu zpracování bude Zpracovatel Zákazníkovi prostřednictvím přiměřených technických a organizačních opatření nápomocen při plnění povinnosti reagovat na žádosti subjektů údajů podle kapitoly III GDPR.

11.2 Podle povahy požadavku mohou dostupné funkce 404 Emails umožnit zejména vyhledání kontaktu, opravu údajů, export údajů, výmaz identifikačních údajů kontaktu, odhlášení, evidenci suppression, export Údajů Zákazníka na úrovni Workspace a konečný výmaz Údajů Zákazníka.

11.3 Pokud Zpracovatel obdrží žádost subjektu údajů týkající se Údajů Zákazníka, nebude sám rozhodovat o žádosti jako správce těchto Údajů Zákazníka, pokud mu takovou povinnost neukládá právo.

11.4 Zpracovatel může subjekt údajů odkázat na příslušného Zákazníka a Zákazníkovi poskytne přiměřenou součinnost potřebnou k vyřízení požadavku.

12.1 Pokud Zpracovatel zjistí porušení zabezpečení osobních údajů týkající se Údajů Zákazníka, oznámí tuto skutečnost dotčenému Zákazníkovi bez zbytečného odkladu poté, co se o porušení dozví.

12.2 Zpracovatel nebude oznámení neodůvodněně odkládat pouze proto, že vyšetřování incidentu ještě nebylo dokončeno.

12.3 V rozsahu, v jakém jsou informace známy a přiměřeně dostupné, oznámení nebo následné aktualizace budou obsahovat informace potřebné k tomu, aby Zákazník mohl plnit své povinnosti podle článků 33 a 34 GDPR, zejména povahu porušení, známé nebo odhadované kategorie a počty dotčených subjektů údajů, známé nebo odhadované kategorie a počty dotčených záznamů, pravděpodobné následky, přijatá nebo navrhovaná nápravná opatření a kontaktní bod pro další informace.

12.4 Pokud nejsou všechny informace dostupné současně, mohou být poskytovány postupně bez dalšího zbytečného odkladu.

12.5 Zákazník jako správce odpovídá za posouzení rizika a za určení, zda je nutné oznámení příslušnému dozorovému úřadu nebo komunikace subjektům údajů podle článků 33 a 34 GDPR.

12.6 Zpracovatel poskytne Zákazníkovi přiměřenou součinnost při tomto posouzení a při plnění příslušných povinností.

13.1 S ohledem na povahu zpracování a informace dostupné Zpracovateli poskytne Zpracovatel Zákazníkovi přiměřenou součinnost při plnění povinností podle článků 32 až 36 GDPR, zejména v souvislosti se zabezpečením zpracování, řešením porušení zabezpečení osobních údajů, posouzením vlivu na ochranu osobních údajů a předchozí konzultací s dozorovým úřadem.

13.2 Zpracovatel není povinen provádět právní posouzení povinností Zákazníka namísto Zákazníka.

14.1 Po skončení poskytování služeb souvisejících se zpracováním má Zákazník právo zvolit, zda mají být Údaje Zákazníka:

• a) vráceny Zákazníkovi a následně vymazány Zpracovatelem; nebo
• b) vymazány Zpracovatelem bez předchozího vrácení,

pokud právo Evropské unie nebo členského státu nevyžaduje další uchování.

14.2 Zákazník může svou volbu změnit do okamžiku, kdy byl proveden konečný nevratný výmaz.

14.3 404 Emails používá standardní 30denní dobu uzavření Workspace, která poskytuje Zákazníkovi možnost provést dostupný export a udělit nebo změnit pokyn týkající se vrácení či výmazu.

14.4 Pokud Zákazník zvolí vrácení údajů, Zpracovatel umožní jejich vrácení prostřednictvím dostupných exportních mechanismů v běžně použitelných formátech podporovaných službou.

14.5 Po provedení příslušného pokynu a uplynutí doby uzavření Zpracovatel provede bezpečný konečný výmaz Údajů Zákazníka z aktivních systémů.

14.6 Konečný výmaz Workspace zahrnuje zejména příslušná data týkající se kontaktů, odběrů a témat, evidence souhlasů, suppression, kampaní, zpráv a událostí doručení, formulářů, automatizací, integrací a odesílacích domén.

14.7 Po konečném výmazu může zůstat pouze omezené množství informací, které nejsou Údaji Zákazníka zpracovávanými jménem Zákazníka nebo jejichž další uchování vyžaduje právní předpis či samostatný právní základ, například minimální záznam potřebný k prokázání provedení požadavku na výmaz.

14.8 Údaje odstraněné z aktivních systémů mohou dočasně zůstat v zálohách až do uplynutí jejich stanoveného retenčního cyklu.

Aktuálně:

• lokální databázové zálohy podléhají automatickému odstraňování po omezené lokální retenční době;
• vzdálené databázové zálohy v Object Storage podléhají 30dennímu lifecycle pravidlu;
• neaktuální verze vzdálených backup objektů podléhají 7dennímu lifecycle pravidlu.

Záložní kopie nejsou po výmazu z aktivních systémů určeny k obnovení Údajů Zákazníka do běžného aktivního zpracování, s výjimkou nezbytné obnovy systému, při které musí být příslušné požadavky na výmaz znovu respektovány.

14.9 Pokud právo Evropské unie nebo členského státu vyžaduje další uchování konkrétních osobních údajů, Zpracovatel o tom Zákazníka informuje, pokud to právní předpis dovoluje, a příslušné údaje nebude dále zpracovávat pro jiné účely, než které takové uchování odůvodňují.

15.1 Zpracovatel poskytne Zákazníkovi informace přiměřeně nezbytné k doložení plnění povinností podle článku 28 GDPR.

15.2 Podle okolností mohou být tyto informace poskytnuty zejména prostřednictvím této DPA, aktuálních TOMs, Subprocessor Listu, relevantní bezpečnostní a privacy dokumentace, informací o zpracování, retenci a umístění dat, odpovědí na přiměřené compliance nebo bezpečnostní dotazy a dalších relevantních podkladů dostupných Zpracovateli.

16.1 Zpracovatel umožní a přiměřeně přispěje k auditům, včetně inspekcí, prováděným Zákazníkem nebo jiným auditorem pověřeným Zákazníkem v rozsahu požadovaném článkem 28 GDPR.

16.2 Pokud lze požadovaný účel auditu přiměřeně splnit prostřednictvím aktuální dokumentace, písemných odpovědí nebo jiných dostupných podkladů, Strany mohou takové prostředky využít přednostně.

16.3 Pokud je další audit nebo inspekce přiměřeně nezbytná, Zákazník poskytne přiměřené předchozí oznámení, pokud naléhavá bezpečnostní nebo regulatorní situace nevyžaduje jinak.

16.4 Audit bude prováděn způsobem, který v přiměřené míře chrání důvěrnost, neumožňuje přístup k údajům jiných Zákazníků, neohrožuje bezpečnost služby a omezuje zbytečné narušení provozu.

16.5 Tato praktická pravidla nesmí být použita způsobem, který by Zákazníkovi fakticky znemožnil nebo nepřiměřeně omezil právo ověřit plnění povinností Zpracovatele podle článku 28 GDPR.

17.1 Zpracovatel bude v rozsahu požadovaném použitelným právem spolupracovat s příslušnými dozorovými úřady.

17.2 Zpracovatel poskytne Zákazníkovi přiměřenou součinnost při komunikaci s příslušným dozorovým úřadem, pokud se tato komunikace týká zpracování Údajů Zákazníka prováděného Zpracovatelem jménem Zákazníka.

18.1 404 Emails není určeno jako služba pro zpracování zvláštních kategorií osobních údajů podle článku 9 GDPR ani osobních údajů týkajících se rozsudků v trestních věcech a trestných činů podle článku 10 GDPR.

18.2 Zákazník nesmí používat 404 Emails pro takové zpracování, pokud nebylo výslovně písemně dohodnuto se společností 404 Branding s.r.o. a nejsou splněny příslušné právní a bezpečnostní požadavky.

19.1 Odpovědnost Stran podle této DPA se řídí GDPR, dalšími použitelnými právními předpisy a ustanoveními o odpovědnosti v hlavní smlouvě nebo Podmínkách služby v rozsahu, v jakém lze taková ustanovení právně použít.

19.2 Nic v této DPA nevylučuje ani neomezuje odpovědnost, kterou podle použitelného práva nelze platně vyloučit nebo omezit.

20.1 Tato DPA tvoří součást smluvního vztahu mezi Zákazníkem a 404 Branding s.r.o.

20.2 Pokud je ustanovení této DPA v rozporu s obecnými ustanoveními Podmínek služby ve věci zpracování osobních údajů jménem Zákazníka, má v rozsahu tohoto rozporu přednost tato DPA.

20.3 Kogentní ustanovení použitelného práva mají přednost před smluvními ustanoveními v rozsahu, v jakém to právo vyžaduje.

21.1 Tato DPA je účinná po dobu, kdy Zpracovatel zpracovává Údaje Zákazníka jménem Zákazníka.

21.2 Ustanovení, která mají ze své povahy trvat i po skončení smluvního vztahu, zejména ustanovení týkající se důvěrnosti, vrácení, výmazu a ochrany údajů, zůstávají účinná po nezbytnou dobu.

22.1 Tato DPA se řídí právem České republiky, aniž jsou dotčena kogentní ustanovení GDPR nebo jiného použitelného práva Evropské unie.

22.2 DPA může být zpřístupněna v českém a anglickém jazyce.

22.3 Rozhodující je české znění.

22.4 Česká a anglická verze stejné verze DPA budou aktualizovány společně a budou mít stejné označení verze a datum účinnosti.