1. Strany, přednost a role
Tato smlouva o zpracování osobních údajů podle čl. 28 GDPR se uzavírá mezi B2B zákazníkem jako správcem (dále „Zákazník“) a Martin Kučera, Družstevní 705/IV, 503 51 Chlumec nad Cidlinou, IČO 00959324, zapsán v živnostenském rejstříku vedeném Magistrátem města Hradec Králové jako zpracovatelem (dále „Zpracovatel“). Přijetím Obchodních podmínek ji Zákazník přijímá jménem organizace uvedené při registraci.
DPA má pro zpracování zákaznických osobních údajů přednost před rozpornou obecnou částí Obchodních podmínek. Pro údaje o vlastním účtu, smlouvě, platbách, bezpečnosti a podpoře zůstává Poskytovatel samostatným správcem a tato DPA se na ně nevztahuje.
2. Předmět, povaha, účel a doba
Předmětem je přijímání, přenos, analýza a dočasné zpracování obrazového obsahu a pokynů za účelem vytvoření, vrácení, uložení a auditu návrhu ALT textu. Zpracování trvá po dobu smlouvy a následné technické nebo zákonné retenční doby popsané v Zásadách ochrany soukromí; poté jsou údaje smazány nebo anonymizovány.
3. Kategorie údajů a osob
- Údaje: obrazový obsah, URL nebo technická reference obrázku, metadata webu a média, zákaznický pokyn, vygenerovaný a upravený ALT text, jazyk, technický stav a pseudonymní identifikátor požadavku.
- Osoby: návštěvníci a uživatelé webu Zákazníka, osoby zachycené na fotografiích, zákazníci, zaměstnanci, spolupracovníci nebo jiné osoby, jejichž údaje Zákazník do služby vloží.
- Zvláštní kategorie údajů, biometrické identifikátory, trestní údaje a údaje dětí nejsou zamýšleným obsahem služby. Zákazník je smí předat jen s platným právním titulem, nezbytností a výslovným pokynem, pokud je zpracování službou vhodné.
4. Pokyny a povinnosti Zákazníka
Zpracovatel zpracovává osobní údaje pouze na doložené pokyny Zákazníka obsažené ve smlouvě, nastavení účtu a oprávněných požadavcích, ledaže zpracování ukládá právo; o takovém požadavku Zákazníka předem informuje, pokud to právo nezakazuje. Upozorní Zákazníka, pokud se podle jeho názoru pokyn dostává do rozporu s GDPR.
Zákazník odpovídá za zákonnost, transparentnost, minimalizaci a přesnost vložených údajů, za informování dotčených osob a za konfiguraci služby. Zákazník nebude požadovat zpracování v rozporu s právem nebo mimo dokumentovaný účel služby.
5. Důvěrnost a zabezpečení
Zpracovatel zajistí, aby se k údajům dostaly jen osoby vázané mlčenlivostí a jen v nezbytném rozsahu. Udržuje přiměřená opatření podle rizika, zejména šifrování přenosu, řízení přístupů, hashování přihlašovacích údajů, bezpečné ukládání tajných klíčů, auditování, zálohování, aktualizace a postupy pro obnovu a incidenty.
6. Další zpracovatelé
Zákazník uděluje obecné písemné oprávnění k zapojení níže uvedených dalších zpracovatelů. Zpracovatel jim uloží povinnosti ochrany údajů v zásadně stejném rozsahu a zůstává za jejich plnění odpovědný podle GDPR.
- Websupport — hosting privátního VPS a související infrastruktury; provozní lokalita podle sjednané EU/EHP služby.
- OpenAI Ireland Limited a jeho schválení další zpracovatelé — AI analýza obrazového obsahu a tvorba textu; EHP a další lokality chráněné mechanismy dle OpenAI DPA.
7. Změny dalších zpracovatelů a předávání
O zamýšleném přidání nebo nahrazení dalšího zpracovatele, který bude mít přístup k zákaznickým osobním údajům, Zpracovatel oznámí Zákazníkovi podstatnou informaci alespoň 15 dnů předem, je-li to rozumně možné. Zákazník může v této lhůtě vznést doloženou námitku z důvodů ochrany údajů. Nedojde-li k přiměřenému řešení, může Zákazník dotčenou funkci přestat používat nebo smlouvu ukončit.
Předání mimo EHP se uskuteční pouze při existenci platného mechanismu podle GDPR, zejména rozhodnutí o odpovídající ochraně nebo standardních smluvních doložek, a s doplňkovými opatřeními přiměřenými riziku.
8. Součinnost a žádosti osob
S ohledem na povahu zpracování Zpracovatel přiměřeně pomůže Zákazníkovi s žádostmi subjektů údajů, posouzením vlivu, předchozí konzultací, zabezpečením a prokazováním souladu. Přijme-li žádost vztahující se zjevně k zákaznickému obsahu, bez zbytečného odkladu ji předá Zákazníkovi a bez jeho pokynu na ni věcně neodpoví, neukládá-li to právo. Nadstandardní práce může být po předchozí dohodě účtována podle skutečných nákladů.
9. Porušení zabezpečení
Zpracovatel oznámí Zákazníkovi potvrzené porušení zabezpečení zákaznických osobních údajů bez zbytečného odkladu poté, co se o něm dozví. Podle dostupnosti poskytne popis povahy incidentu, dotčených kategorií, pravděpodobných důsledků, přijatých opatření a kontakt pro součinnost. Oznámení není přiznáním odpovědnosti. Zákazník odpovídá za oznámení dozorovému úřadu a osobám, pokud mu tato povinnost vznikne.
10. Vrácení, výmaz a audity
Po skončení služby Zpracovatel podle volby Zákazníka umožní přiměřený export dostupných výstupů a zákaznické osobní údaje smaže nebo anonymizuje, ledaže jejich uchování vyžaduje právo. Údaje v rotujících zálohách zůstanou do přepsání izolované a nebudou vráceny do běžného zpracování mimo obnovu po havárii.
Zpracovatel poskytne informace rozumně potřebné k prokázání plnění čl. 28 GDPR. Zákazník může nejvýše jednou ročně požádat o audit dokumentace; místní audit je možný jen při závažném doloženém důvodu, po dohodě, při zachování bezpečnosti ostatních zákazníků a na náklady Zákazníka, pokud audit neprokáže podstatné porušení Zpracovatele.
11. Odpovědnost, změny a kontakt
Odpovědnost stran se řídí GDPR a limity Obchodních podmínek v rozsahu dovoleném kogentním právem. Podstatnou změnu této DPA oznámí Zpracovatel předem; změna nesníží ochranu již zpracovávaných údajů bez právního důvodu. Kontaktem pro pokyny a incidenty je info@alt-popisky.cz.