Sentivaro · Právní dokumenty

Smlouva o zpracování osobních údajů

Verze 1.0-cs

Smlouva o zpracování osobních údajů

Verze: 1.0

Účinné od: 30. července 2026

Tato smlouva, dále jen „DPA“, se uzavírá mezi:

  1. organizací uvedenou v účtu Sentivaro, dále jen „Správce“, a
  2. Dawidem Balcerem, který provozuje projekt Sentivaro jako fyzická osoba nepodnikající, korespondenční adresa: ul. Jana Brzechwy 8, 60-195 Poznań, e-mail: contact@sentivaro.com, dále jen „Zpracovatel“.

DPA je součástí smlouvy o používání služby Sentivaro.

1. Předmět a doba zpracování

  1. Správce pověřuje Zpracovatele zpracováním osobních údajů v rozsahu nezbytném pro nastavení, provádění, měření a vyhodnocování autorizovaných kampaní zaměřených na povědomí o kybernetické bezpečnosti a pro zpřístupnění souvisejících vzdělávacích materiálů.
  2. Zpracování trvá od prvního předání údajů do jejich odstranění nebo vrácení po ukončení používání Služby, s přihlédnutím k době potřebné k přepsání bezpečnostních záloh.
  3. Podrobné nastavení Kampaně představuje doložený pokyn Správce týkající se její konfigurace, příjemců, událostí a doby uchovávání.

2. Povaha a účel operací

Operace mohou zahrnovat:

  • převzetí nebo import;
  • uspořádání a přiřazení ke Kampani;
  • uchovávání;
  • vytvoření a odeslání kontrolované zprávy;
  • zaznamenání nakonfigurovaných událostí;
  • pseudonymizaci a agregaci;
  • zpřístupnění výsledků oprávněným uživatelům;
  • export na pokyn Správce;
  • zpřístupnění vzdělávacího materiálu;
  • opravu;
  • omezení;
  • odstranění.

Jediným účelem je uskutečnění autorizovaného programu Správce zaměřeného na povědomí o kybernetické bezpečnosti.

3. Subjekty údajů a údaje

  1. Kategorie subjektů údajů:
  • zaměstnanci a spolupracovníci Správce;
  • jiné osoby zahrnuté do zákonného a autorizovaného programu Správce, bylo-li to předem dohodnuto.
  1. Kategorie osobních údajů:
  • jméno a příjmení;
  • pracovní e-mailová adresa;
  • oddělení, tým, organizační jednotka nebo vzdělávací kategorie;
  • interní identifikátor účastníka;
  • údaj o doručení, otevření, kliknutí, nahlášení a provedení vzdělávací činnosti v závislosti na konfiguraci;
  • údaje o opravě výsledku;
  • omezené technické údaje, jsou-li nezbytné.
  1. Správce nesmí bez předchozí písemné dohody předávat:
  • zvláštní kategorie osobních údajů podle čl. 9 GDPR;
  • údaje podle čl. 10 GDPR;
  • skutečná hesla, kódy MFA nebo autentizační údaje;
  • finanční údaje, čísla dokladů nebo státní identifikátory;
  • soukromé e-mailové adresy;
  • obsah soukromé korespondence.

4. Pokyny Správce

  1. Zpracovatel zpracovává osobní údaje výhradně na základě doložených pokynů Správce, ledaže povinnost zpracování vyplývá z práva Evropské unie nebo polského práva.
  2. Nastavení Kampaně a úkony oprávněného uživatele v panelu představují pokyny, jsou-li v souladu s DPA, Podmínkami používání a Zásadami přijatelného používání.
  3. Zpracovatel Správce neprodleně informuje, pokud podle jeho názoru pokyn porušuje GDPR nebo jiné právní předpisy na ochranu osobních údajů. Do vyjasnění může provedení pokynu pozastavit.
  4. Zpracovatel nepoužívá Údaje Kampaně k reklamě, vlastnímu hodnocení zaměstnanců, obchodování s údaji ani k trénování modelů umělé inteligence.

5. Povinnosti Správce

Správce:

  • zajišťuje zákonnost předání a zpracování osobních údajů;
  • stanoví právní základ;
  • plní informační povinnosti;
  • provádí balanční test a posouzení vlivu na ochranu osobních údajů (DPIA), jsou-li vyžadovány;
  • zajišťuje soulad s pracovněprávními předpisy a vnitřními pravidly;
  • omezuje rozsah údajů na nezbytné minimum;
  • uděluje uživatelům odpovídající oprávnění;
  • před použitím výsledku vůči konkrétní osobě tento výsledek ověří;
  • nepoužívá výsledek jako jediný podklad pro automatizované personální rozhodnutí;
  • předává Zpracovateli pouze zákonné pokyny.

6. Důvěrnost

  1. K údajům mají přístup výhradně osoby jednající z pověření Zpracovatele, pro které je tento přístup nezbytný.
  2. Tyto osoby jsou vázány povinností mlčenlivosti na základě smlouvy nebo právního předpisu.
  3. Povinnost mlčenlivosti trvá i po ukončení spolupráce.

7. Bezpečnost

  1. Zpracovatel zavádí opatření odpovídající riziku v souladu s čl. 32 GDPR.
  2. Podle aktuální architektury tato opatření zahrnují:
  • šifrování přenosu;
  • bezpečné hashování hesel;
  • řízení rolí;
  • oddělení údajů jednotlivých Organizací;
  • dostatečně náhodné tokeny s omezenou dobou platnosti;
  • zaznamenávání administrativních úkonů;
  • bezpečnostní zálohy a testy obnovy;
  • postup aktualizace a odstraňování zranitelností;
  • omezení doby uchovávání;
  • postup reakce na incidenty;
  • ochranu administrativního přístupu;
  • pravidelné přezkoumávání opatření.
  1. Aktuální popis opatření může být Správci zpřístupněn bez informací, jejichž zveřejnění by zvyšovalo bezpečnostní riziko.

8. Další zpracovatelé

  1. Správce uděluje obecné písemné svolení k využívání dalších zpracovatelů uvedených na stránce /subprocessors.
  2. Zpracovatel informuje Správce o plánované změně nejméně 14 dnů předem, není-li naléhavá změna nezbytná k odstranění hrozby.
  3. Správce může v této lhůtě vznést odůvodněnou námitku týkající se ochrany osobních údajů.
  4. Nelze-li důvod námitky přiměřeně odstranit, může Správce ukončit používání té části Služby, která daného dodavatele vyžaduje.
  5. Zpracovatel uloží dalšímu zpracovateli povinnosti v oblasti ochrany osobních údajů odpovídající povinnostem stanoveným touto DPA a odpovídá za plnění jeho povinností v souladu s čl. 28 GDPR.

9. Předávání údajů

  1. Údaje Kampaně jsou zpracovávány v EHP, nestanoví-li seznam dalších zpracovatelů výslovně jinak.
  2. Předání mimo EHP smí proběhnout pouze na základě doloženého pokynu Správce nebo s použitím mechanismu povoleného GDPR.
  3. Jsou-li vyžadovány standardní smluvní doložky, posouzení předání nebo doplňková opatření, poskytne Zpracovatel Správci dostupné informace potřebné k jejich posouzení.

10. Práva subjektů údajů

  1. Zpracovatel s přihlédnutím k povaze zpracování pomáhá Správci prostřednictvím dostupných technických a organizačních opatření plnit povinnosti související s výkonem práv subjektů údajů.
  2. Pokud Účastník zašle žádost přímo Zpracovateli, předá ji Zpracovatel bez zbytečného odkladu Správci a nebude na ni věcně odpovídat bez jeho pokynu, ledaže to vyžaduje právní předpis.
  3. Správce odpovídá za ověření totožnosti osoby a včasnou odpověď.

11. Součinnost při zajišťování souladu

Zpracovatel s přihlédnutím k povaze zpracování a dostupným informacím poskytuje Správci součinnost v oblasti:

  • bezpečnosti;
  • hodnocení rizik;
  • ohlašování porušení zabezpečení;
  • informování fyzických osob;
  • posouzení vlivu na ochranu osobních údajů (DPIA);
  • konzultací s dozorovým úřadem;
  • doložení odstranění údajů.

Součinnost nezahrnuje poskytování právního stanoviska ani převzetí odpovědnosti Správce.

12. Porušení zabezpečení osobních údajů

  1. Zpracovatel oznámí Správci porušení zabezpečení Údajů Kampaně bez zbytečného odkladu poté, co se o něm dozví.
  2. Oznámení podle dostupnosti obsahuje:
  • povahu porušení;
  • kategorie a přibližný počet dotčených osob;
  • kategorie a přibližný počet dotčených záznamů;
  • možné důsledky;
  • přijatá nebo navrhovaná opatření;
  • kontaktní místo;
  • čas zjištění a známý časový rámec události.
  1. Informace mohou být poskytovány postupně.
  2. Oznámení neznamená uznání odpovědnosti.
  3. O ohlášení dozorovému úřadu a informování fyzických osob rozhoduje Správce.

13. Odstranění a vrácení

  1. Správce může Údaje Kampaně odstranit v panelu nebo vydat pokyn k jejich odstranění.
  2. Po ukončení poskytování Služby Zpracovatel podle volby Správce aktivní Údaje Kampaně odstraní nebo vrátí, ledaže jejich uchovávání vyžadují právní předpisy.
  3. Údaje dočasně uchovávané v rotujících bezpečnostních zálohách jsou odděleny od běžného používání a odstraní se při přepsání příslušné zálohy v technickém cyklu zálohování.
  4. Agregované údaje lze uchovat pouze tehdy, pokud již nelze fyzickou osobu způsobem rozumně považovaným za pravděpodobný identifikovat.

14. Audity

  1. Zpracovatel zpřístupní informace nezbytné k doložení souladu s čl. 28 GDPR.
  2. Správce smí provést audit nejvýše jednou ročně, nedošlo-li k porušení nebo nevyžaduje-li dozorový úřad dodatečnou kontrolu.
  3. Audit musí:
  • být oznámen nejméně 14 dnů předem;
  • probíhat v dohodnuté době;
  • nenarušovat bezpečnost jiných Organizací;
  • přednostně využívat dokumenty a odpovědi poskytované na dálku;
  • být prováděn osobami vázanými povinností mlčenlivosti.
  1. Správce nese vlastní náklady auditu. Zpracovatel za přiměřenou součinnost v rámci bezplatného modelu Služby neúčtuje poplatek, může však odmítnout nepřiměřené úkony nebo navrhnout dohodnutý alternativní způsob doložení souladu.

15. Odpovědnost a přednost dokumentů

  1. Odpovědnost stran se řídí GDPR, rozhodným právem a Podmínkami používání.
  2. V případě rozporu mezi DPA a Podmínkami používání má ve věcech ochrany Údajů Kampaně přednost DPA.
  3. Použijí-li se standardní smluvní doložky a jsou-li v rozporu s DPA, mají přednost tyto doložky.

16. Ukončení

DPA zůstává účinná po dobu, po kterou Zpracovatel zpracovává Údaje Kampaně jménem Správce.