Podle Podmínek služby (dále jen „Podmínky“) poskytuje Smartsupp službu, jak je stanoveno v Podmínkách, vám jako uživateli služby. Vztah mezi Smartsupp a uživatelem je tedy založen na online registračním procesu uživatele nebo prostřednictvím písemné či elektronické smlouvy, k níž jsou Podmínky přiloženy, což dohromady tvoří smlouvu mezi vámi a Smartsupp (dále jen „Smlouva"). Tento dodatek ke zpracování údajů (dále jen „DPA") je nedílnou součástí Smlouvy.

Slova začínající velkým písmenem mají stejný význam, jak je uvedeno v Podmínkách nebo jakékoliv jiné příloze uvedené v Podmínkách, není-li v tomto DPA stanoveno jinak.

Smartsupp uzavírá toto DPA v souladu s příslušnými zákony o ochraně osobních údajů, například Nařízením 2016/679 Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů („GDPR“), zákonem o ochraně osobních údajů z roku 2018 či CCPA/CPRA, a také v souladu s dalšími zákony na ochranu soukromí, které jsou platné v průběhu poskytování Služby dle Smlouvy („příslušné zákony na ochranu soukromí").

Pokud toto DPA stanoví, že Smartsupp vystupuje jako zpracovatel osobních údajů, má to význam přiřčený „zpracovateli“ ve smyslu GDPR a ekvivalentních termínů podle jiných příslušných zákonů na ochranu soukromí (např. „Poskytovatel služeb“ dle CCPA). Pokud toto DPA stanoví, že vy vystupujete jako správce osobních údajů, má to význam přiřčený „správci“ dle GDPR a ekvivalentních termínů podle příslušných zákonů na ochranu soukromí (např. „Podnik“ dle CCPA).

Článek jsme rozdělili do několika částí:

1.1 Zpracování osobních údajů jako zpracovatel osobních údajů. Smartsupp může zpracovávat osobní údaje jménem uživatele při poskytování služby uživateli a Smartsupp je pak zpracovatelem osobních údajů (nebo subzpracovatelem) vůči uživateli.

Zpracovatelské činnosti prováděné Smartsupp vyplývají z registrace, Smlouvy nebo z dokumentovaných žádostí uživatele během poskytování služby prostřednictvím platformy dostupné na https://www.smartsupp.com (dále jen „Platforma").

1.2 Oprávnění ke zpracování osobních údajů. Uživatel tímto opravňuje společnost Smartsupp ke zpracování osobních údajů subjektů údajů poskytnutých uživatelem v souladu se Službou, jak je uvedeno v tomto DPA. Smartsupp bude osobní údaje pro uživatele zpracovávat dle jeho dokumentovaných pokynů a pouze v rozsahu nezbytném pro řádné plnění závazků Smartsupp ze Smlouvy.

1.3 Odpovědnost uživatele. Jelikož Smartsupp vystupuje jako zpracovatel osobních údajů, uživatel vystupuje jako správce a je tak odpovědný za splnění všech povinností spojených se zpracováním osobních údajů. Mezi tyto povinnosti patří řádně informovat subjekty údajů o zpracování osobních údajů, získat souhlas se zpracováním osobních údajů, je-li to nezbytné, a řešit žádosti subjektů údajů týkající se uplatnění jejich práv (např. právo na informace, přístup, opravu, výmaz, omezení zpracování, námitka atd.). Smartsupp bude uživateli při plnění těchto povinností pomáhat prostřednictvím Platformy nebo prostřednictvím dokumentovaných požadavků uživatele. Smartsupp však v žádném případě neodpovídá za správnost a zákonnost činností uživatele, včetně jakékoli činnosti, která by mohla být v rozporu s legislativou na ochranu soukromí či jinou legislativou dané země, ze které uživatel službu využívá.

2.1 Předmět zpracování. Předmětem zpracování osobních údajů, jak je definován níže, ze strany společnosti Smartsupp je poskytování služby stanovené ve Smlouvě, zejména zpracování osobních údajů při využívání funkcí našich služeb, jak jsou popsány na webových stránkách.

2.2 Typy osobních údajů. V rámci plnění povinností dle Smlouvy a poskytování Služby mohou být zpracovávány následující typy osobních údajů v souladu s tímto DPA:

a) kontaktní informace, například jméno, příjmení, e-mailová adresa, telefonní číslo nebo kontakty na účty na sociálních sítích,

b) údaje o návštěvě webu uživatele, například URL navštívené stránky, datum a čas návštěvy webu, technické informace (rozlišení obrazovky, typ zařízení, typ prohlížeče, operační systém atd.), IP adresa, geografická data (země a město, odkud uživatel zobrazil váš web),

c) informace obsažené v konverzacích mezi uživateli a zákazníky nebo jinými uživateli při použití funkcí služby,

d) technické záznamy a další údaje o uživatelích služby (Smartsupp využívá nástroje třetích stran pro sběr těchto informací),

e) další osobní údaje nahrané nebo jinak použití uživatelem jakoukoliv jinou cestou, nebo

f) osobní údaje, jejichž typ, rozsah a detaily určí a kontroluje uživatel dle vlastního uvážení během poskytování Služby.

Rozsah osobních údajů závisí na typu využívaných funkcí služby uživatelem. Služba není určena ke zpracování zvláštních kategorií osobních údajů. Uživatel nesmí službu používat ke zpracování nebo uchovávání zvláštních kategorií osobních údajů. Pokud je uživatel prostřednictvím služby zpracovává, Smartsupp nenese za takové zpracování odpovědnost.

2.3 Kategorie subjektů údajů. Společnost Smartsupp bude zpracovávat osobní údaje těchto kategorií subjektů údajů:

a) zaměstnanci (a další pracovníci a osoby jednající jménem uživatele) uživatele;

b) osoby, pro které uživatel vytvořil účet v rámci služby;

c) zákazníci a další uživatelé uživatele, kterým je služba poskytována;

d) návštěvníci webu uživatele;

e) další osoby, jejichž osobní údaje byly společnosti Smartsupp poskytnuty uživatelem v rámci poskytování služby a jejichž osobní údaje byly zaznamenány nebo jinak zpracovávány v souladu s poskytováním služby uživateli.

3.1 Povaha zpracování osobních údajů. Smartsupp bude osobní údaje zpracovávat automatizovaným, elektronickým způsobem a zpracování bude spočívat v přístupu k osobním údajům v rámci poskytování Služby, prohlížení osobních údajů, uchovávání osobních údajů a dalších činnostech odpovídajících poskytování Služby uživateli. Povaha zpracování osobních údajů vyplývá z:

a) Smlouvy, kterou Strany uzavřely;

b) požadavků uživatele nebo dalších oprávněných uživatelů využívajících Platformu jménem uživatele;

c) povahy Služby a Platformy;

d) jakýchkoli dalších dokumentovaných pokynů poskytnutých uživatelem.

3.2 Účel zpracování. Účelem zpracování je poskytování Služby uživateli, jak je stanoveno v Podmínkách, a pro další účely, které mohou z poskytování Služby vyplývat.

4.1 Doba zpracování osobních údajů. Zpracování osobních údajů bude probíhat po dobu trvání Smlouvy, nebo dokud bude Smartsupp dostávat pokyny od uživatele v souvislosti s plněním Smlouvy. Společnost Smartsupp se zavazuje dodržovat povinnosti stanovené zákony o ochraně osobních údajů po celou dobu trvání Smlouvy, není-li ze Smlouvy zřejmé, že tyto povinnosti mají pokračovat i po jejím ukončení.

4.2 Vrácení a výmaz osobních údajů. Pokud je Smlouva ukončena, v rozsahu povoleném platnými zákony o ochraně soukromí, Smartsupp smaže všechny osobní údaje uchovávané za účelem poskytování služby do 3 měsíců po ukončení. Pokud uživatel během výše uvedené doby požádá Smartsupp o vrácení údajů, je Smartsupp oprávněn účtovat přiměřený poplatek, jehož výše bude oznámena předem.

5.1 Povinnosti společnosti Smartsupp. Při zpracování osobních údajů se společnost Smartsupp zavazuje:

a) zpracovávat osobní údaje pouze na základě dokumentovaných pokynů uživatele; pro vyloučení pochybností se má za to, že zpracování osobních údajů v souladu s povinnostmi vyplývajícími ze Smlouvy je vykonáváno dle pokynů uživatele;

b) řídit se pokyny uživatele k předání osobních údajů do třetí země nebo mezinárodní organizaci, pokud takové zpracování již není vyžadováno právem Evropské unie nebo členského státu, jemuž Smartsupp podléhá;

c) zajistit, aby osoby pověřené zpracováním osobních údajů byly vázány povinností mlčenlivosti nebo podléhaly zákonné povinnosti mlčenlivosti;

d) s ohledem na povahu zpracování pomáhat uživateli prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, dodržovat povinnost uživatele reagovat na žádosti o výkon práv subjektů údajů; pravidla pro vyřizování žádostí subjektů údajů jsou stanovena v článku 5.2 tohoto DPA;

e) pomáhat uživateli při plnění povinností (i) zajistit úroveň bezpečnosti zpracování, (ii) hlásit porušení ochrany osobních údajů Úřadu pro ochranu osobních údajů a, pokud je to relevantní, i subjektům údajů, (iii) posoudit dopad na ochranu osobních údajů a (iv) provést předchozí konzultaci s Úřadem pro ochranu osobních údajů, to vše s ohledem na povahu zpracování a povahu zpracovávaných osobních údajů;

f) umožnit uživateli nebo osobě pověřené uživatelem ověřit (včetně auditu nebo kontroly) soulad s tímto DPA, zejména plnění povinností vyplývajících ze zpracování osobních údajů, a dle přiměřených pokynů uživatele či pověřené osoby k těmto kontrolám přispět; konkrétní pravidla pro audity jsou stanovena v článcích 5.3 a 5.4 tohoto DPA;

g) poskytnout uživateli veškeré informace, které lze od společnosti Smartsupp rozumně očekávat, k prokázání plnění povinností stanovených z příslušných právních předpisů o ochraně osobních údajů.

5.2 Žádosti subjektů údajů. Pokud subjekt údajů kontaktuje přímo společnost Smartsupp, Smartsupp upozorní subjekt údajů, aby adresoval žádost přímo uživateli. Společnost Smartsupp poskytne pouze komerčně přiměřenou pomoc uživateli při odpovídání na takové žádosti subjektu údajů v rozsahu, v jakém je to společností Smartsupp právně umožněno. Uživatel odpovídá za jakékoli náklady vzniklé v důsledku poskytnutí této pomoci společností Smartsupp a odpovídá za správné vyřízení takové žádosti.

5.3 Pravidla pro audit. Uživatel zašle veškeré žádosti o audit (kontrolu) výhradně na e-mailovou adresu Smartsupp dpo@smartsupp.com v přiměřených odstupech. Po obdržení žádosti o audit se strany předem dohodnou na (i) možném termínu auditu, (ii) bezpečnostních opatřeních a způsobu zajištění dodržení povinnosti mlčenlivosti během auditu a (iii) očekávaném zahájení, rozsahu a délce auditu. Pokud není dohoda do 30 dnů ode dne podání žádosti uzavřena, stanoví podmínky auditu Smartsupp.

5.4 Auditor. Společnost Smartsupp může vznést písemnou námitku proti jakémukoliv auditorovi (pověřené osobě) jmenovanému uživatelem, pokud je podle názoru Smartsupp auditor nedostatečně kvalifikovaný, není nezávislý, je v konkurenčním postavení vůči Smartsupp nebo je zjevně nevhodný. Po vznesení námitky je uživatel povinen jmenovat jiného auditora nebo provést audit sám. Uživatel je povinen bezodkladně oznámit Smartsupp informace o jakémkoli zjištěném nesouladu s příslušnými zákony na ochranu osobních údajů nebo tímto DPA zjištěném během auditu.

5.5 Rozsah auditu. Rozsah auditu prováděného uživatelem zahrnuje pouze dokumentaci a procesy přímo spojené s využitím služby konkrétním uživatelem.

5.6 Subzpracovatelé. Uživatel souhlasí se zapojením dalších subzpracovatelů do zpracování osobních údajů. V závislosti na typu poskytované nebo požadované služby může Smartsupp využívat další subzpracovatele nebo sdílet osobní údaje s dalšími příjemci osobních údajů. Uživatel souhlasí s tím, že Smartsupp zapojí subzpracovatele uvedené na: https://help.smartsupp.com/cs/articles/12647685

5.7 Námitky proti dalším subzpracovatelům. Společnost Smartsupp informuje uživatele písemně nebo prostřednictvím aktualizace seznamu subzpracovatelů o zapojení dalšího subzpracovatele před jeho zapojením a uživatel může během 10 pracovních dnů od oznámení vznést námitku proti zapojení dalšího subzpracovatele. Pokud uživatel ve stanovené lhůtě nevznese námitku, Smartsupp dalšího subzpracovatele zapojí. V případě námitky ze strany uživatele Smartsupp posoudí námitku a pokud ji uzná za oprávněnou, nezapojí dalšího subzpracovatele nebo provede komerčně rozumnou změnu v konfiguraci či využívání služby uživatelem, aby se vyhnul zpracování tímto subzpracovatelem. Pokud změna není možná, může Smartsupp smlouvu s uživatelem (nebo její část) vypovědět nebo neposkytovat tu část služby, která souvisí s dalším subzpracovatelem, aniž by byl v prodlení nebo porušil jakoukoli povinnost. Smartsupp uživateli vrátí předplacené poplatky pokrývající zbytek platnosti takové smlouvy po účinnosti ukončení této části služby, bez uložení sankce za takové ukončení uživateli.

5.8 Povinnosti vůči dalším subzpracovatelům.Pokud Smartsupp zapojí dalšího subzpracovatele, tento další subzpracovatel se musí smluvně zavázat ke stejným povinnostem k ochraně osobních údajů, jaké jsou sjednány mezi uživatelem a Smartsupp, a také implementovat odpovídající technická a organizační opatření.

5.9 Odpovědnost za subzpracovatele.Společnost Smartsupp nese odpovědnost za jednání a opomenutí svých subzpracovatelů ve stejném rozsahu, v jakém by byla odpovědná, kdyby poskytování služby každého subzpracovatele bylo prováděno přímo podle tohoto DPA, pokud není ve Smlouvě stanoveno jinak.

5.10 Náklady související s plněním DPA. Není-li dohodnuto jinak písemně, každý nese své vlastní náklady spojené s plněním tohoto DPA. Společnost Smartsupp je oprávněna uživateli účtovat přiměřené náklady vzniklé při vyřizování jakýchkoliv žádostí a plnění povinností dle tohoto DPA.

6.1 Povinnost zabezpečit osobní údaje. Smartsupp přijal a udržuje technická a organizační opatření k zabránění neoprávněnému nebo náhodnému přístupu, změně, zničení či ztrátě osobních údajů, neoprávněnému předávání, jinému neoprávněnému zpracování nebo jinému neoprávněnému zneužití osobních údajů. Smartsupp pravidelně monitoruje dodržování těchto opatření.

6.2 Konkrétní bezpečnostní opatření. Smartsupp přijal a udržuje následující opatření k zajištění odpovídající úrovně zabezpečení:

Technická opatření:

a) Pseudonymizace a šifrování osobních údajů:

Platforma, na které jsou osobní údaje zpracovávány, umožňuje pouze zabezpečené kanály nebo protokoly pro síťová připojení z vnějšku; Smartsupp šifruje data pomocí SSL/TLS pro celý přenos dat

IT systémy, které zpracovávají osobní údaje, umožňují pouze zabezpečené kanály nebo protokoly;

kryptografické klíče jsou bezpečně spravovány.

b) Schopnost zajistit trvalou důvěrnost, integritu, dostupnost a odolnost zpracovatelských systémů a služeb:

fyzický přístup zaměstnanců Smartsupp je omezen pouze na osoby s autorizací;

Smartsupp přijal mechanismy pro omezení fyzického nebo online přístupu k serverům uchovávajícím osobní údaje;

předejití tomu, aby neautorizované osoby získaly přístup k osobním údajům a zabránění tomu, aby byly osobní údaje použity bez autorizace;

osoby autorizované ke zpracování osobních údajů mají přístup pouze k těm osobním údajům, které potřebují a mají k tomu oprávnění, a osobní údaje nemohou být během zpracování bez autorizace čteny, kopírovány, pozměňovány ani mazány;

přístup je silně autentizován (např. použitím silných hesel);

přístupová práva jsou pravidelně kontrolována;

pokusy o přístup (úspěšné i neúspěšné) jsou zapisovány do logu a monitorovány;

zaměstnanci Smartsupp mají zakázáno stahovat a zpracovávat osobní údaje lokálně na svých pracovních stanicích nebo v jakékoli jiné síťové lokaci;

všechny možné chyby Platformy a anomálie jsou logovány.

c) Schopnost obnovit dostupnost a přístup k osobním údajům v přiměřené době v případě fyzických nebo technických incidentů:

Smartsupp přijal zálohovací procesy, mechanismy a nástroje;

postup obnovení, čitelnost dat a integrita záloh jsou pravidelně testovány.

d) Smartsupp přijal proces pro pravidelné testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření k zajištění bezpečnosti zpracování.

e) Osobní údaje nemohou být během elektronického přenosu, přepravy nebo uchovávání bez autorizace pozměňovány ani mazány a příjemci dat mají být určitelní a ověření.

Organizační opatření:

f) Všichni pracovníci zapojení do zpracování osobních údajů jsou informováni o důvěrném charakteru osobních údajů, prošli odpovídajícím školením o svých povinnostech a podepsali písemné dohody o mlčenlivosti.

g) Společnost Smartsupp implementovala vnitřní směrnice a procesy k zabezpečení zpracování osobních údajů v souladu s příslušnými zákony na ochranu soukromí.

h) V případě dotazů týkajících se tohoto DPA, souladu s právními předpisy na ochranu osobních údajů, ochrany osobních údajů nebo jakýchkoliv dalších otázek na ochranu soukromí může zákazník zaslat e-mail na dpo@smartsupp.com.

6.3 Bezpečnostní incidenty. Pokud Smartsupp zjistí porušení ochrany osobních údajů, bez zbytečného odkladu, nejpozději však do 48 hodin od zjištění bezpečnostního incidentu, tuto událost oznámí uživateli a vynaloží přiměřené úsilí, aby uživateli poskytl všechny známé informace o incidentu, v rozsahu omezeném na:

Smartsupp odpoví na jakýkoliv požadavek uživatele na pomoc v případě bezpečnostního incidentu bez zbytečného odkladu.

6.4 Nezákonné pokyny. Pokud uživatel dá společnosti Smartsupp takový pokyn, který vede k porušení povinností dle zákonů na ochranu osobních údajů, a Smartsupp je za to sankcionován dozorovým orgánem nebo jiným regulačním orgánem, nebo je povinen odškodnit subjekty údajů, uživatel souhlasí s úhradou škod a odškodněním společnosti Smartsupp na základě písemného oznámení Smartsupp.

6.5 Omezení odpovědnosti. Na toto DPA se vztahuje stejné omezení odpovědnosti, jaké je stanoveno v Podmínkách.

6.6 Změny. Pro změny platí stejná pravidla jako stanovená v Podmínkách.

6.7 Účinnost. Toto DPA se stává právně závazným mezi uživatelem a Smartsupp spolu se Smlouvou.