Smlouva o zpracování osobních údajů (DPA)

Zpracovatel zpracovává osobní údaje subjektů údajů, které Správce nahrává do Služby SimpleCRM nebo které do ní přicházejí jeho jednáním (zejména kontakty zákazníků, obchodní korespondence včetně e-mailů přeposlaných funkcí Smart BCC, hromadné e-mailové kampaně odesílané ze schránky Správce, fakturační údaje), výhradně za účelem poskytování Služby po dobu trvání Smlouvy a dále podle článku 8.

Zákazníci, obchodní partneři, zaměstnanci a kontaktní osoby Správce.

Identifikační údaje (jméno, název firmy, IČO), kontaktní údaje (e-mail, telefon, adresa), údaje o obchodních vztazích, obsah e-mailové komunikace včetně příloh, kterou Správce do Služby přepošle nebo z ní odešle, záznamy o otevření a prokliku odeslaných e-mailů a přihlašovací údaje k e-mailové schránce Správce, které Správce do Služby uloží pro odesílání zpráv.

Zpracovatel:

4.1 zpracovává osobní údaje pouze na základě doložených pokynů Správce, včetně pokynů k předání do třetí země; pokynem jsou VOP, tato smlouva a nastavení Služby provedená Správcem. Ukládá-li Zpracovateli právo Evropské unie nebo členského státu jiné zpracování, informuje o tom Správce před zpracováním, ledaže to tyto předpisy zakazují,

4.2 zajišťuje, že osoby oprávněné zpracovávat osobní údaje jsou zavázány mlčenlivostí,

4.3 přijímá technická a organizační opatření přiměřená rizikům zpracování podle čl. 32 GDPR, zejména šifrovaný přenos dat, řízení přístupů, oddělení dat jednotlivých organizací a evidenci přístupů podle článku 5,

4.4 zapojuje další zpracovatele pouze za podmínek článku 6,

4.5 je Správci s ohledem na povahu zpracování nápomocen při plnění povinnosti reagovat na žádosti subjektů údajů podle kapitoly III GDPR; žádost, kterou obdrží přímo od subjektu údajů, postoupí Správci bez zbytečného odkladu a sám na ni věcně neodpovídá,

4.6 je Správci nápomocen při zajišťování souladu s čl. 32 až 36 GDPR, zejména poskytnutím informací potřebných pro ohlášení porušení zabezpečení, pro posouzení vlivu na ochranu osobních údajů a pro předchozí konzultaci s dozorovým úřadem, a to s ohledem na povahu zpracování a informace, které má k dispozici,

4.7 informuje Správce o porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, a sdělí mu povahu porušení, dotčené kategorie a přibližný počet subjektů údajů a přijatá opatření; lhůta 72 hodin podle čl. 33 odst. 1 GDPR běží Správci vůči dozorovému úřadu,

4.8 po ukončení Smlouvy údaje podle volby Správce vymaže, nebo mu je v rozsahu údajů vedených ve Službě předá ve strojově čitelném formátu (CSV) a poté vymaže; volbu Správce sdělí do 30 dnů od ukončení Smlouvy; do udělení pokynu Zpracovatel údaje uchovává a Správce může výmaz kdykoli provést sám podle článku 8. Údaje, které je Zpracovatel povinen uchovávat podle právních předpisů (zejména fakturační), uchovává po zákonem stanovenou dobu,

4.9 poskytne Správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní mu audit oznámený alespoň 14 dnů předem, zpravidla nejvýše jednou ročně; bez zbytečného odkladu upozorní Správce, považuje-li jeho pokyn za rozporný s GDPR nebo jinými předpisy o ochraně osobních údajů,

4.10 informuje Správce o provozních přístupech svých pověřených osob k jeho datům podle článku 5.

5.1 Pro účely zákaznické podpory, řešení incidentů, údržbu a kontrolu integrity dat má omezený okruh pověřených osob Zpracovatele (tzv. „super-administrátor") technickou možnost:

1. zobrazit metadata organizace Správce (název, plán, počet uživatelů, datum poslední aktivity, billing údaje),
2. zobrazit seznam uživatelských účtů (jméno, e-mail, role),
3. zobrazit fakturační historii a aktivitu předplatného,
4. přihlásit se jménem konkrétního uživatele Správce („impersonace") pro účely replikace nahlášeného problému; v takovém režimu má pověřená osoba stejné oprávnění jako daný uživatel.

5.2 Tento přístup je výslovným pokynem Správce ve smyslu čl. 28 odst. 3 písm. a) GDPR a uděluje se jím obecné povolení k uvedeným úkonům po dobu trvání Smlouvy. Pověřené osoby jsou vázány mlčenlivostí dle čl. 4.2.

5.3 Každý jednotlivý přístup je auditně zaznamenán a Správci dostupný v reálném čase v administraci pod Nastavení → Soukromí (Přístup operátora). Záznam obsahuje datum, typ úkonu, identitu pověřené osoby a — v případě impersonace — identitu uživatele, jehož jménem byl přístup proveden.

5.4 Správce může kdykoli vznést námitku proti konkrétnímu přístupu na podpora@simplecrm.cz.

6.1 Správce uděluje obecné povolení k zapojení těchto dalších zpracovatelů:

• Hetzner Online GmbH (provoz aplikace a databáze, Německo)
• Comgate, a.s. (platební brána, Česká republika)
• Zoho Corporation B.V. (odesílání e-mailů z aplikace, datacentrum Amsterdam, Nizozemsko)
• Cloudflare, Inc. (příjem e-mailů na adresu v doméně in.simplecrm.cz — funkce Smart BCC; Spojené státy americké, zpracování na základě standardních smluvních doložek)

6.2 Zpracovatel ukládá každému dalšímu zpracovateli smlouvou stejné povinnosti ochrany osobních údajů, jaké jsou sjednány v této smlouvě, a odpovídá Správci za plnění jeho povinností (čl. 28 odst. 4 GDPR).

6.3 O zamýšlené změně dalšího zpracovatele informuje Zpracovatel Správce nejméně 30 dnů předem. Vznese-li Správce v této lhůtě námitku, sdělí mu Zpracovatel bez zbytečného odkladu, nejpozději do 10 dnů, zda změnu neprovede, nebo zda ji provede; v druhém případě je Správce oprávněn Smlouvu vypovědět ke dni zapojení dalšího zpracovatele a Zpracovatel mu vrátí poměrnou část ceny uhrazené za nevyčerpanou část Zúčtovacího období.

6.4 Přihlásí-li se uživatel Správce prostřednictvím účtu Google nebo propojí-li svůj kalendář s Kalendářem Google, poskytuje mu tuto službu společnost Google jako samostatný správce na základě vlastních podmínek; Zpracovatel ji nezapojuje jako dalšího zpracovatele.

Fakturační agendu vede Zpracovatel ve vlastní aplikaci — žádný externí fakturační systém k osobním údajům Subjektů nemá přístup.

Aplikaci a databázi provozuje Zpracovatel u společnosti Hetzner Online GmbH v Německu. K předání do třetí země dochází pouze u dalšího zpracovatele Cloudflare, Inc. (článek 6), a to na základě standardních smluvních doložek podle čl. 46 odst. 2 písm. c) GDPR.

8.1 Tato smlouva je účinná po dobu trvání hlavní Smlouvy a dále až do výmazu nebo předání údajů podle čl. 4.8.

8.2 Po ukončení hlavní Smlouvy zůstávají data Správci přístupná k exportu v rozsahu podle čl. 4.8.

8.3 Výmaz může Správce kdykoli provést sám v administraci v sekci Nastavení → Soukromí (Trvale smazat organizaci) nebo o něj požádat na podpora@simplecrm.cz; Zpracovatel jej provede bez zbytečného odkladu.

9.1 Je-li v organizaci Správce sledování zapnuto, vkládá Služba do HTML části odesílaných zpráv obrazový prvek načítaný ze serveru Zpracovatele a nahrazuje odkazy odkazy vedoucími přes přesměrovací bod Zpracovatele. Zaznamenává se, zda a kdy byla zpráva otevřena a na který odkaz bylo kliknuto.

9.2 Právní základ pro toto sledování vůči příjemcům, včetně případného souhlasu podle § 89 odst. 3 zákona č. 127/2005 Sb., zajišťuje Správce.

9.3 Sledování může Správce kdykoli vypnout pro celou organizaci v administraci v sekci Nastavení → Oprávnění.

10.1 Hromadné zprávy odesílá Správce ze své vlastní e-mailové schránky; odesílatelem ve smyslu § 7 zákona č. 480/2004 Sb. je Správce.

10.2 Správce odpovídá za to, že má pro zaslání obchodního sdělení souhlas adresáta nebo že využívá výjimku podle § 7 odst. 3 zákona č. 480/2004 Sb., že je zpráva zřetelně označena jako obchodní sdělení a že adresát má možnost další zprávy odmítnout.

11.1 Tato smlouva se uzavírá v elektronické podobě podle čl. 28 odst. 9 GDPR potvrzením podle čl. 3.1 VOP při založení organizace.

11.2 Dokladem o uzavření je záznam o potvrzení, který obsahuje datum a čas potvrzení, uživatele, který je učinil, a verzi Všeobecných obchodních podmínek a této smlouvy; záznam je Správci dostupný v administraci v sekci Nastavení → Soukromí.