NÁVRH — před prvním platícím zákazníkem nechat projít českým advokátem se specializací na IT/GDPR. Jde o zvláštní kategorii údajů podle čl. 9 GDPR a rodná čísla podle zák. č. 133/2000 Sb. — doporučeno cca 5–15 tis. Kč.
Tato zpracovatelská smlouva (dále „DPA") se řídí čl. 28 GDPR a upravuje zpracování osobních údajů, které zákazník („Správce") ukládá do služby SWARE o svých vlastních klientech. Uzavřením smlouvy o poskytování služby SWARE zákazník a Poskytovatel zároveň uzavírají tuto DPA.
Poskytovatel („Zpracovatel") zpracovává osobní údaje jménem Správce výhradně za účelem poskytování CRM funkcionality (ukládání, zobrazování a správa dat o klientech Správce) po dobu trvání smlouvy o poskytování služby SWARE.
Subjekty údajů: klienti Správce (fyzické osoby), se kterými Správce jedná v rámci své poradenské činnosti.
Kategorie údajů: jméno, kontaktní údaje (telefon, e-mail, adresa), poznámky z jednání, stav obchodního případu (fáze pipeline).
Zvláštní kategorie údajů podle čl. 9 GDPR: pole pro rodné číslo a zdravotní poznámky, pokud je Správce do systému vyplní, spadají do zvláštní kategorie osobních údajů (zdravotní údaje) a national ID (rodné číslo dle zák. č. 133/2000 Sb.). Zpracovatel tato pole zpřístupňuje jen na výslovný pokyn Správce a nijak je automaticky neanalyzuje ani nesdílí nad rámec této smlouvy.
Zpracovatel zpracovává údaje pouze na základě doložených pokynů Správce (zejména prostřednictvím uživatelského rozhraní služby). Osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí. Zpracovatel uplatňuje technická a organizační opatření odpovídající povaze údajů: šifrovaný přenos (HTTPS), řízení přístupu (autentizace, RLS izolace mezi zákazníky), povinné dvoufaktorové ověření pro vlastníky a administrátory účtu, denní zálohy.
Zpracovatel využívá tyto subzpracovatele:
Zpracovatel se zavazuje informovat Správce o jakékoli plánované změně subzpracovatelů s předstihem, aby Správce mohl vznést námitku.
Zpracovatel poskytuje Správci nástroje pro export a výmaz údajů jednotlivého klienta přímo v rozhraní služby (detail klienta → „Exportovat data klienta" / „Smazat a anonymizovat"), a je povinen poskytnout přiměřenou součinnost i mimo tyto nástroje.
Zpracovatel oznámí Správci jakékoli porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví.
Po ukončení smlouvy o poskytování služby má Správce 30 dní na export dat. Po uplynutí této lhůty Zpracovatel data trvale a nevratně smaže.
Správce má právo požádat o informace nezbytné k doložení souladu s touto DPA a povinnostmi podle čl. 28 GDPR.
Důležité omezení: izolace dat funguje mezi jednotlivými zákazníky (organizacemi) — data jednoho zákazníka nejsou nikdy přístupná jinému zákazníkovi. Uvnitř jedné organizace se však aktuálně veškerý stav týmu (včetně dat všech klientů) načítá do prohlížeče každého přihlášeného poradce; viditelnost jednotlivých záznamů je řízena jen na úrovni uživatelského rozhraní, ne na úrovni databázových oprávnění. Správce by měl tuto skutečnost zohlednit při rozhodování, jaké údaje do systému ukládá a komu v týmu přiděluje jaké role.