Smlouva o zpracování osobních údajů (AVV)

1. Smluvní strany

1.1 Správcem je zákazník uvedený v hlavní smlouvě, v objednávce nebo v zákaznickém účtu (dále jen „zákazník“).

1.2 Zpracovatelem je společnost SimpliServ GmbH, Gewerbepark West 2a, 8504 Preding, Rakousko, FN 676594t, Zemský soud pro občanskoprávní věci Graz (Landesgericht für ZRS Graz), DIČ ATU83276107, zastoupená jednatelem Lucou Mallim (dále jen „SimpliServ“).

1.3 SimpliServ poskytuje zákazníkovi software SimpliServ jako software jako službu (dále jen „hlavní smlouva“: obchodní podmínky společnosti SimpliServ GmbH včetně objednávky, resp. individuální smlouvy SaaS). Přitom SimpliServ zpracovává osobní údaje jménem zákazníka. Tato smlouva se vztahuje na všechny činnosti, při nichž SimpliServ, jeho zaměstnanci nebo další zpracovatelé přicházejí do styku s osobními údaji zákazníka.

2. Předmět a doba trvání

2.1 SimpliServ zpracovává osobní údaje jménem zákazníka za účelem poskytování, provozu a údržby softwaru SimpliServ a podpory zákazníka (podpora, nastavení, import dat, školení).

2.2 Smlouva platí po dobu trvání hlavní smlouvy a dále až do doby, kdy SimpliServ veškeré údaje zákazníka vymaže nebo vrátí podle bodu 12.

3. Povaha, účel, druhy údajů a subjekty údajů

3.1 Povaha zpracování: shromažďování, ukládání, uspořádání, pozměňování, vyhledávání, používání, předávání (na pokyn zákazníka), omezení a výmaz.

3.2 Účel: provoz funkcí využívaných zákazníkem, zejména správa zákazníků a vozidel, zakázky a tikety, termíny, nabídky, faktury a pokladna, platby, sklad a nákup, komunikace s koncovými zákazníky (e-mail, SMS, WhatsApp, telefon), plánování směn, evidence pracovní doby a personální dokumentace, podpisy, vyhodnocení a funkce podporované umělou inteligencí, pokud je zákazník zapne.

3.3 Druhy údajů: identifikační a kontaktní údaje (jméno, adresa, e-mail, telefon, firma, DIČ); smluvní údaje, údaje o zakázkách a vozidlech (např. registrační značka, identifikační číslo vozidla, historie oprav); fakturační, platební a bankovní údaje (IBAN, mandáty SEPA, stav plateb); obsah komunikace (zprávy, e-maily, záznamy a přepisy hovorů, pokud jsou zapnuty); údaje o zaměstnancích zákazníka (plán směn, pracovní doba, nepřítomnosti, pracovní smlouvy, mzdové a daňové údaje, pokud jsou evidovány); podpisy, fotografie, dokumenty a soubory nahrané zákazníkem; přístupové a protokolové údaje (uživatelský účet, IP adresa, čas, aktivity).

3.4 Subjekty údajů: koncoví zákazníci a zájemci zákazníka, zaměstnanci a uchazeči o zaměstnání u zákazníka, dodavatelé a obchodní partneři zákazníka a jejich kontaktní osoby, uživatelé softwaru.

3.5 Zvláštní kategorie osobních údajů podle čl. 9 GDPR nejsou plánovitě zpracovávány. Pokud zákazník takové údaje eviduje (např. pracovní neschopnost), zajistí pro jejich zpracování právní základ.

4. Pokyny

4.1 SimpliServ zpracovává údaje pouze na základě doložených pokynů zákazníka, ledaže mu takovou povinnost ukládá právo EU nebo členského státu. V takovém případě SimpliServ zákazníka o této povinnosti předem informuje, pokud to právní předpis dovoluje.

4.2 Pokyny vyplývají z této smlouvy, z hlavní smlouvy a z nastavení, která zákazník provede v softwaru. Jednotlivé pokyny uděluje zákazník v textové podobě (postačuje e-mail).

4.3 Považuje-li SimpliServ některý pokyn za protiprávní, neprodleně o tom zákazníka informuje a je oprávněn jeho provedení pozastavit až do vyjasnění.

4.4 SimpliServ nepoužívá údaje pro vlastní účely. Zejména je neprodává a nepoužívá k trénování modelů umělé inteligence. Přípustné jsou anonymizované statistiky užívání, které nelze vztáhnout ke konkrétním osobám, sloužící k provozu a zlepšování softwaru.

5. Místo zpracování

5.1 Servery, databáze a zálohy se nacházejí v Německu. Jednotlivé služby uvedené v příloze 1 mohou zpracovávat údaje i mimo EU, resp. EHP; pro ně platí bod 5.2.

5.2 Předání do třetí země probíhá pouze při splnění podmínek čl. 44 a násl. GDPR (rozhodnutí o odpovídající ochraně, zejména rámec EU-US Data Privacy Framework, nebo standardní smluvní doložky). Příloha 1 uvádí dotčené další zpracovatele.

6. Mlčenlivost

6.1 Všechny osoby, které mají u SimpliServ přístup k údajům, jsou písemně zavázány k mlčenlivosti (povinnost zachovávat tajemství údajů podle § 6 rakouského zákona o ochraně údajů, DSG). Tato povinnost trvá i po skončení jejich činnosti.

6.2 Přístup k údajům zákazníka mají pouze osoby, které jej potřebují k plnění svých úkolů, zejména k poskytování podpory na žádost zákazníka.

7. Technická a organizační opatření

7.1 SimpliServ přijímá opatření podle čl. 32 GDPR popsaná v příloze 2.

7.2 SimpliServ je oprávněn opatření přizpůsobovat aktuálnímu stavu techniky, pokud nedojde ke snížení úrovně ochrany. Podstatné změny jsou dokumentovány.

8. Další zpracovatelé

8.1 Zákazník schvaluje další zpracovatele uvedené v příloze 1. Služby označené jako volitelné jsou využívány pouze tehdy, pokud zákazník zapne příslušnou funkci.

8.2 SimpliServ oznámí nové nebo nahrazené další zpracovatele nejméně 4 týdny předem v textové podobě (e-mailem, upozorněním v softwaru nebo aktualizací této stránky). Zákazník může v této lhůtě vznést námitku z důležitého důvodu týkajícího se ochrany osobních údajů. Nenaleznou-li strany řešení, může zákazník hlavní smlouvu ohledně dotčeného plnění mimořádně vypovědět.

8.3 SimpliServ smluvně uloží každému dalšímu zpracovateli stejné povinnosti v oblasti ochrany osobních údajů jako v této smlouvě a odpovídá za jejich dodržování.

8.4 Dalším zpracováním nejsou vedlejší služby bez přístupu k údajům zákazníka (např. telekomunikace) ani služby, s nimiž zákazník sám uzavírá smlouvu a které sám připojuje. Za tyto služby odpovídá zákazník sám.

9. Součinnost se zákazníkem

9.1 SimpliServ poskytuje zákazníkovi vhodnými opatřeními součinnost při vyřizování žádostí subjektů údajů (čl. 12 až 22 GDPR). Software k tomu nabízí funkce pro zobrazení, export, opravu a výmaz. Obrátí-li se subjekt údajů přímo na SimpliServ, SimpliServ žádost neprodleně předá zákazníkovi.

9.2 SimpliServ poskytuje zákazníkovi součinnost při zajišťování bezpečnosti zpracování, při ohlašování porušení zabezpečení osobních údajů, při posouzení vlivu na ochranu osobních údajů a při předchozích konzultacích (čl. 32 až 36 GDPR).

9.3 Součinnost přesahující funkce softwaru a obvyklé informace může SimpliServ účtovat podle skutečně vynaloženého úsilí, ledaže je vyvolána porušením povinností ze strany SimpliServ.

10. Porušení zabezpečení osobních údajů

10.1 SimpliServ ohlásí zákazníkovi porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 24 hodin poté, co se o něm dozví. Ohlášení obsahuje, pokud jsou známy, údaje podle čl. 33 odst. 3 GDPR.

10.2 SimpliServ neprodleně přijme opatření k omezení porušení a ke zmírnění jeho následků.

11. Doklady a kontroly

11.1 SimpliServ poskytne zákazníkovi na vyžádání informace potřebné k doložení dodržování této smlouvy. K tomu zpravidla postačují přílohy, písemné informace a certifikáty datových center.

11.2 Zákazník nebo jím pověřený auditor vázaný mlčenlivostí je oprávněn provádět kontroly na místě: po předchozím oznámení nejméně 14 dní předem, v pracovní době, bez narušení provozu, zpravidla nejvýše jednou ročně. Vlastní náklady nese každá strana sama.

12. Výmaz a vrácení

12.1 Zákazník může své údaje po dobu trvání smlouvy kdykoli sám exportovat (např. CSV, doklady ve formátu PDF).

12.2 Po skončení hlavní smlouvy SimpliServ vymaže údaje zákazníka do 90 dnů, ledaže zákazník předtím požádá o jejich vydání nebo povinnost jejich uchování ukládá právní předpis. Údaje v zálohách jsou přepsány uplynutím doby uchovávání záloh, nejpozději po dalších 90 dnech. Pokladní údaje jsou po dobu zákonné lhůty uchovávání archivovány způsobem chráněným proti manipulaci a vymazány až poté.

12.3 Své vlastní povinnosti k uchovávání (např. u faktur a pokladních údajů) plní zákazník včasným exportem. Na přání SimpliServ potvrdí výmaz v textové podobě.

13. Odpovědnost a závěrečná ustanovení

13.1 Pro odpovědnost platí čl. 82 GDPR. Jinak platí pravidla odpovědnosti podle hlavní smlouvy.

13.2 V případě rozporů má tato smlouva v otázkách ochrany osobních údajů přednost před hlavní smlouvou.

13.3 Změny vyžadují textovou podobu. Je-li některé ustanovení neplatné, zůstávají ostatní ustanovení platná.

13.4 Rozhodným právem je rakouské právo s vyloučením kolizních norem. Místem soudní příslušnosti je Graz, pokud to zákon připouští.

13.5 Kontakt SimpliServ pro ochranu osobních údajů: Luca Malli, jednatel, datenschutz@simpliserv.com. Společnost SimpliServ GmbH v současné době není povinna jmenovat pověřence pro ochranu osobních údajů.

Příloha 1: Další zpracovatelé

Zákazník schvaluje následující poskytovatele služeb. „Vždy“ znamená: služba je využívána u každého zákazníka. „Volitelně“ znamená: služba je využívána pouze tehdy, pokud zákazník zapne příslušnou funkci.

Nejde o další zpracovatele

Služby, které si zákazník sám objedná a připojí, nejsou dalšími zpracovateli SimpliServ. Patří sem Stripe, Mollie a SumUp (platby), Lexware, ZIR, VeloConnect, JTL-Wawi, WooCommerce, Shopify a Wix (rozhraní), DHL a Österreichische Post (přeprava), JobRad a prověrky leasingu, načítání bankovních výpisů a Microsoft 365 (poštovní schránka zákazníka). Pro tyto služby uzavírá zákazník vlastní smlouvu s poskytovatelem.

Vlastní provoz

Generování PDF, vyhledávání, oznámení v reálném čase, úprava dokumentů, videoschůzky a hosting e-mailů běží na vlastních serverech SimpliServ u společnosti Hetzner v Německu.

Příloha 2: Technická a organizační opatření (čl. 32 GDPR)