Tento Dodatek o zpracování osobních údajů (DPA) je součástí Obchodních podmínek Sunset Docs mezi zákazníkem a Esteve Castells Calpe, Barcelona, Spain. Použije se automaticky vždy, když Sunset Docs zpracovává Osobní údaje zákazníka jménem zákazníka. Samostatně podepsaný DPA má přednost tam, kde je s tímto dokumentem ve výslovném rozporu.
1. Definice
GDPR znamená nařízení (EU) 2016/679. Pojmy správce, zpracovatel, osobní údaje, zpracování, subjekt údajů a porušení zabezpečení osobních údajů mají význam uvedený v GDPR. Osobní údaje zákazníka znamenají osobní údaje odeslané do pracovního prostoru zákazníka nebo v něm vytvořené, které Sunset Docs zpracovává jménem zákazníka.
Právní předpisy o ochraně osobních údajů znamenají GDPR a jakékoli další předpisy o ochraně soukromí nebo osobních údajů použitelné na zpracování podle tohoto DPA. Pojmy Služba a Zákazník mají význam uvedený v Podmínkách.
2. Role a rozsah
Zákazník je správcem nebo zpracovatelem jednajícím pro jiného správce. Sunset Docs je zpracovatelem nebo dalším zpracovatelem. Každá strana plní své vlastní povinnosti podle právních předpisů o ochraně osobních údajů.
Pokud zákazník jedná jako zpracovatel, potvrzuje, že příslušný správce schválil jeho pokyny a zapojení Sunset Docs. Příloha 1 popisuje zpracování, na které se tento DPA vztahuje.
3. Doložené pokyny
Sunset Docs zpracovává Osobní údaje zákazníka pouze na základě doložených pokynů obsažených v Podmínkách, v tomto DPA, v nastavení služby zákazníkem a v oprávněném používání funkcí. Pokud jiné zpracování vyžaduje právo Unie nebo členského státu, budeme zákazníka před zpracováním informovat, ledaže takové informování právo zakazuje.
Pokud se domníváme, že určitý pokyn porušuje právní předpisy o ochraně osobních údajů, budeme o tom zákazníka informovat a můžeme dotčené zpracování pozastavit, dokud strany věc nevyřeší.
4. Mlčenlivost
Každá osoba oprávněná společností Sunset Docs zpracovávat Osobní údaje zákazníka je vázána smluvní nebo zákonnou povinností mlčenlivosti a přístup dostává pouze v rozsahu potřebném pro svou roli.
5. Zabezpečení
Sunset Docs udržuje technická a organizační opatření odpovídající rizikům zpracování s přihlédnutím ke stavu techniky, nákladům na provedení a k povaze, rozsahu, kontextu a účelům zpracování. Aktuální opatření jsou popsána v Příloze 2.
Opatření můžeme při změnách služby aktualizovat za předpokladu, že aktualizace podstatně nesníží celkovou úroveň ochrany Osobních údajů zákazníka.
6. Další zpracovatelé
Zákazník uděluje obecné písemné povolení pro další zpracovatele uvedené na stránce Další zpracovatelé. Nejméně 30 dní předem oznámíme přidání nebo nahrazení dalšího zpracovatele, který bude zpracovávat Osobní údaje zákazníka. Zákazník může během této lhůty z oprávněných důvodů týkajících se ochrany údajů vznést námitku.
Každému dalšímu zpracovateli ukládáme povinnosti v oblasti ochrany osobních údajů, které pro příslušné zpracování poskytují v podstatě rovnocennou ochranu. Za plnění povinností dalšího zpracovatele vůči zákazníkovi odpovídáme v rozsahu, který vyžaduje zákon. Pokud po oprávněné námitce není k dispozici přiměřená alternativa, může zákazník dotčenou službu ukončit a obdrží poměrnou část předplacených poplatků za nevyužité období.
7. Žádosti subjektů údajů
S přihlédnutím k povaze zpracování poskytneme přiměřenou technickou a organizační součinnost při vyřizování žádostí o výkon práv subjektů údajů. Pokud nás subjekt údajů kontaktuje přímo ohledně Osobních údajů zákazníka, předáme žádost bez zbytečného odkladu zákazníkovi a ve věci samé odpovídat nebudeme, ledaže k tomu budeme zmocněni nebo nám to ukládá zákon.
8. Porušení zabezpečení osobních údajů
Jakmile zjistíme porušení zabezpečení osobních údajů týkající se Osobních údajů zákazníka, oznámíme to zákazníkovi bez zbytečného odkladu. Poskytneme informace, které máme přiměřeně k dispozici, o povaze porušení, dotčených kategoriích a přibližném počtu, pravděpodobných důsledcích a přijatých nebo navrhovaných opatřeních.
Informace mohou být poskytovány postupně. Prvotní oznámení neodložíme jen proto, že ještě nejsou známy všechny podrobnosti, a poskytneme přiměřenou součinnost při plnění ohlašovacích a oznamovacích povinností zákazníka.
9. Další součinnost
S přihlédnutím k povaze zpracování a informacím, které máme k dispozici, poskytneme přiměřenou součinnost při plnění povinností v oblasti zabezpečení, při posouzení vlivu na ochranu osobních údajů a při předchozích konzultacích s dozorovými úřady, pokud se týkají Služby.
10. Mezinárodní předávání
K předání podléhajícímu omezením dojde pouze na základě mechanismu povoleného kapitolou V GDPR. Podle příjemce to může být rozhodnutí o odpovídající ochraně, rámec pro ochranu osobních údajů mezi EU a USA (Data Privacy Framework), pokud je příjemce certifikován, nebo standardní smluvní doložky Evropské komise s doplňkovými opatřeními, jsou-li nutná. Údaje o poskytovatelích jsou zveřejněny na stránce Další zpracovatelé.
11. Informace a audity
Poskytneme informace přiměřeně nezbytné k doložení souladu s článkem 28 GDPR, včetně odpovědí na přiměřené písemné bezpečnostní dotazy. Zákazník může provést audit souladu nejvýše jednou za 12 měsíců, s oznámením nejméně 30 dní předem, v pracovní době, na vlastní náklady a za podmínek mlčenlivosti, aniž by narušil provoz služby nebo přistupoval k údajům jiného zákazníka.
Omezení četnosti a lhůty pro oznámení se nepoužijí po podezření na porušení zabezpečení, při věrohodných důkazech podstatného nesouladu nebo na žádost dozorového úřadu. Před auditem na místě by se měla použít kontrola dokumentace, pokud může žádost přiměřeně uspokojit.
12. Vrácení a výmaz
Nastavený harmonogram mazání je trvajícím doloženým pokynem a zrušením předplatného se neprodlužuje. Zákazník může údaje smazat dříve. Před ukončením zpracování může zákazník získat originály, u kterých vlastník povolil stahování, nebo požádat o přiměřený export aktivních Osobních údajů zákazníka na úrovni služby.
Po ukončení zpracování může zákazník dát pokyn, abychom aktivní Osobní údaje zákazníka vrátili a vymazali, nebo je vymazali bez vrácení, pokud jejich uložení nevyžaduje právo Unie nebo členského státu. Nedá-li zákazník jiný pokyn, stávající harmonogramy mazání pokračují. Zbytky v šifrovaných zálohách databáze vyprší do 30 dnů a do vymazání zůstávají chráněny.
Minimální záznamy o smazání bez obsahu a auditní záznamy mohou zůstat 12 měsíců z důvodu bezpečnosti a odpovědnosti. Na písemnou žádost potvrdíme dokončení příslušného procesu výmazu.
13. Odpovědnost
Na tento DPA se vztahují ustanovení o odpovědnosti v Podmínkách. Neomezují práva subjektů údajů, pravomoci dozorových úřadů ani odpovědnost, kterou právní předpisy o ochraně osobních údajů stranám nedovolují vyloučit nebo omezit.
14. Doba trvání a přednost
Tento DPA platí po celou dobu, kdy Sunset Docs zpracovává Osobní údaje zákazníka. Ve věcech ochrany osobních údajů má přednost před Podmínkami. Změny DPA se řídí postupem pro změny uvedeným v Podmínkách, avšak změna vyžadovaná zákonem může nabýt účinnosti dříve, je-li oznámena.
Příloha 1: Podrobnosti o zpracování
Předmět: poskytování a podpora služby Sunset Docs pro příjem dokumentů. Doba trvání: doba trvání smlouvy a k tomu každá nastavená lhůta smazání, případné dohodnuté období pro export a cyklus chráněných záloh.
Povaha a účely: přijímání, validace, kontrola malwaru, šifrování, ukládání, vytváření náhledů, zobrazování, zasílání oznámení, tisk, je-li povolen, umožnění stahování originálů povoleného vlastníkem, audit a mazání dočasných dokumentů.
Subjekty údajů: odesílatelé dokumentů, uživatelé a zaměstnanci zákazníka, klienti, smluvní partneři, dodavatelé a další osoby, jejichž údaje se objevují v odeslaných dokumentech. Osobní údaje mohou zahrnovat jména, kontaktní údaje, identifikační, obchodní, profesní a finanční údaje, obsah dokumentů, názvy souborů, e-mail odesílatele, metadata, bezpečnostní údaje odvozené z IP adresy a aktivitu přístupů.
Zvláštní kategorie a vysoce rizikové údaje nejsou zamýšleny ani povoleny, pokud nebylo písemně dohodnuto jinak. Zákazník nesmí odesílat údaje o dětech, údaje o odsouzeních v trestních věcech, úplné údaje platebních karet, přihlašovací údaje, tajemství ani údaje, ke zpracování kterých není ze zákona oprávněn.
Příloha 2: Technická a organizační opatření
Opatření zahrnují šifrování objektů dokumentů na úrovni aplikace pomocí AES-256-GCM; samostatně zabalené klíče pro každý dokument; TLS při přenosu; soukromou infrastrukturu; soukromé šifrované zrcadlo R2; kontrolu přístupu do pracovních prostorů; volitelné dvoufázové ověření TOTP; hašování hesel pomocí Argon2id; zabezpečené relace a ochranu proti CSRF; karanténu, validaci obsahu a kontrolu malwaru.
Opatření dále zahrnují krátkodobou autorizaci prohlížeče; restriktivní nastavení mezipaměti; neveřejné cesty k objektům; zaznamenávání podstatných akcí s dokumenty; stanovenou dobu uchování záloh; plánované a ruční mazání; omezený přístup k produkčnímu prostředí; povinnost mlčenlivosti; prověřování poskytovatelů a postupy reakce na incidenty.
Příloha 3: Další zpracovatelé
Aktuální další zpracovatelé, jejich účely, kategorie údajů, regiony zpracování a záruky při předávání jsou zveřejněny na sunsetdocs.com/subprocessors. Součástí této Přílohy pro Osobní údaje zákazníka jsou pouze poskytovatelé, kteří jsou tam označeni jako další zpracovatelé.
15. Kontakt
Dotazy, námitky, potvrzení o výmazu a podepsané kopie si můžete vyžádat na [email protected].