vydané společností AUTO PAVLŮ Pa Pa, s.r.o., IČ: 25486292, sídlem Liberec 30, U Sila 1440, PSČ 46311, vedená u Krajského soudu v Ústí nad Labem, vložka C 20432 (dále jako „Společnost“), v režimu Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016, obecného nařízení o ochraně osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „Nařízení”).

Preambule

Tyto Podmínky upravují v obecné rovině vzájemná práva a povinnosti Společnosti a třetí osoby, při zpracování Osobních údajů Subjektů údajů, v návaznosti na konkrétní úpravu stanovenou jednotlivou Smlouvou o zpracování osobních údajů, uzavřenou mezi Společností (v pozici správce nebo zpracovatele) a třetí osobou (v pozici správce nebo zpracovatele) - (dále jako „Předmětná smlouva“). Konkrétní pozici Společnosti a třetí osoby určuje Předmětná smlouva. Obsahují-li tyto Podmínky úpravu odchylnou od Předmětné smlouvy, má přednost ujednání obsažené v té které Předmětné smlouvě. Potřeba uzavření Předmětné smlouvy vychází ze skutečnosti popsané v bodě 2.1. těchto Podmínek.

I. Pojmy

1.1. Osobní údaj (dále také jako „OÚ“) - jakákoliv informace, dle které je možno fyzickou osobu identifikovat, ať již přímo nebo nepřímo. Do osobních údajů jsou zahrnuty i kontaktní údaje o subjektu údajů, popisné údaje vypovídající o fyziologii člověka (např. výška, váha), informace z fotografií a kamerových záznamů, sociodemografické údaje nebo údaje o jeho chování a preferencích. Za zvláštní kategorii osobních údajů (dříve citlivé údaje) se považují například údaje o zdravotním stavu subjektu údajů.

1.2. Subjekt údaj - fyzická osoba, jejíž OÚ jsou zpracovávány. Konkrétní subjekt údajů je vymezen Předmětnou smlouvou.

1.3. Zpracování - jakékoli nakládání s osobními údaji, např. shromáždění, zaznamenání, zpřístupnění, uložení, uspořádání, vyhledání, pozměnění, použití, šíření osobního údaje od fyzické osoby, tj. dispozice s osobními údaji od okamžiku jejich převzetí (získání) do jejich zničení.

1.4. Správce - jakákoli fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů.

1.5. Zpracovatel - fyzická nebo právnická osoba, orgán veřejné moci, který zpracovává pro správce osobní údaje, z přímého či nepřímého pověření správce, a to pouze ve správcem stanoveném rozsahu a ke stanoveným účelům.

1.6. Profilování - jakákoli forma automatizovaného zpracování osobních údajů spočívající v jejich použití k hodnocení některých osobních aspektů vztahujících se k fyzické osobě, zejména k rozboru nebo odhadu aspektů týkajících se jejího pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, chování, místa, kde se nachází, nebo pohybu.

II. Účel, rozsah a doba zpracování OÚ

2.1. Zpracovateli jsou prostřednictvím Správce zpřístupněny Osobní údaje Subjektu údajů sekundárně, a to v rámci plnění smlouvy uzavřené mezi Zpracovatelem a Správcem (dále jako „Smlouva“), na základě, které se Zpracovatel zavázal vůči Správci k určitému plnění a Správce se za to zavázal uhradit Zpracovateli odměnu nebo poskytnout jiné protiplnění. Plnění Smlouvy je účelem zpracování Osobních údajů Subjektu údajů Zpracovatelem.

2.2. Osobní údaje Subjektu údajů, které získá Zpracovatel v rámci spolupráce se Správcem, se Zpracovatel zavazuje zpracovat pouze v nezbytně nutném rozsahu, potřebném k řádnému plnění Smlouvy.

2.3. Osobní údaje Subjektu údajů jsou zpracovány Zpracovatelem po dobu trvání Smlouvy a dále po ukončení Smlouvy po dobu pěti let, nebo po dobu, která je dána obecně závaznými právními přepisy.

2.4. Osobní údaje Subjektu údajů jsou Zpracovatelem zpracovávány manuálně i automaticky.

III. Další práva a povinnosti stran

3.1.Správce je povinen:
a) dodržovat Nařízení a související obecně závazné předpisy;

b) splnit informační povinnost vůči Subjektům údajů, vyplývající mu z Nařízení, přičemž se zavazuje zejména poskytnout poučení o právech a povinnostech plynoucích z Nařízení, včetně sdělení údajů o rozsahu, účelu a povaze zpracování OÚ, příjemcích a době zpracování osobních údajů aj., to vše v souladu s Nařízením (viz kapitola III Nařízení);

c) s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, zavést vhodná technická a organizační opatření, aby zajistil a byl schopen dozorovému orgánu doložit, že zpracování je prováděno v souladu s Nařízením. Tato opatření musí být podle potřeby revidována a aktualizována (čl. 24 odst. 1 Nařízení);

d) s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, jež s sebou zpracování nese, zavést jak v době určení prostředků pro zpracování, tak v době zpracování samotného vhodná technická a organizační opatření, jako je pseudonymizace, jejichž účelem je provádět zásady ochrany údajů, jako je minimalizace údajů, účinným způsobem a začlenit do zpracování nezbytné záruky, tak aby splnil požadavky tohoto nařízení a ochránil práva subjektů údajů (čl. 25 odst. 1 Nařízení);

e) zavést vhodná technická a organizační opatření k zajištění toho, aby se standardně zpracovávaly pouze osobní údaje, jež jsou pro každý konkrétní účel daného zpracování nezbytné. Tato povinnost se týká množství shromážděných osobních údajů, rozsahu jejich zpracování, doby jejich uložení a jejich dostupnosti. Tato opatření zejména zajistí, aby osobní údaje nebyly standardně bez zásahu člověka zpřístupněny neomezenému počtu fyzických osob (čl. 25 odst. 2 Nařízení);

f) zajišťovat aktuálnost, přesnost a pravdivost Osobních údajů;

g) dokumentovat veškeré případy porušení zabezpečení osobních údajů, přičemž je povinen uvést skutečnosti, které se týkají daného porušení, jeho účinky a přijatá nápravná opatření. Tato dokumentace musí dozorovému úřadu umožnit ověření souladu Nařízením (čl. 33 odst. 5 Nařízení);

h) pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí Správce toto porušení bez zbytečného odkladu subjektu údajů (čl. 34 odst. 1 Nařízení);

i) pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování bude mít za následek vysoké riziko pro práva a svobody fyzických osob, provede Správce před zpracováním posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů. Pro soubor podobných operací zpracování, které představují podobné riziko, může stačit jedno posouzení. (čl. 35 odst. 1 Nařízení);

j) konzultovat před zpracováním s dozorovým úřadem, pokud z posouzení vlivu na ochranu osobních údajů podle článku 35 Nařízení vyplývá, že by dané zpracování mělo za následek vysoké riziko v případě, že by Správce nepřijal opatření ke zmírnění tohoto rizika (čl. 36 odst. 1 Nařízení).

3.2 Zpracovatel je povinen:
a) dodržovat při zpracování OÚ Nařízení (zejména čl. 28) a obecně závazné právní předpisy;

b) disponovat s Osobními údaji výhradně v souladu se sjednaným účelem dle Smlouvy a v souladu s Předmětnou smlouvou;

c) zpracovávat Osobní údaje výhradně na základě doložených pokynů Správce, včetně v otázkách předání Osobních údajů do třetí země nebo mezinárodní organizaci, pokud mu toto zpracování již neukládají právo Unie nebo členského státu, které se na Správce vztahuje; v takovém případě Zpracovatel Správce informuje o tomto právním požadavku před zpracováním, ledaže by právní předpisy toto informování zakazovaly z důležitých důvodů veřejného zájmu (čl. 28 odst. 3 písm. a);

d) držet Osobní údaje v minimálním a nezbytně nutném rozsahu, resp. počtu kopií;

e) nezapojit do zpracování Osobních údajů žádného dalšího zpracovatele (subjekt) bez předchozího konkrétního písemného nebo obecného písemného povolení Správce; V případě obecného písemného povolení Zpracovatel Správce informuje o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a poskytne tak Správci příležitost vyslovit vůči těmto změnám námitky (čl. 28 odst. 2);

f) pokud po splnění výše uvedených podmínek Zpracovatel zapojí dalšího zpracovatele, aby jménem Správce provedl určité činnosti zpracování, musí Zpracovatel zajistit, aby tomuto dalšímu zpracovateli byly uloženy na základě smlouvy nebo jiného právního aktu podle práva Unie nebo členského státu stejné povinnosti na ochranu údajů, jaké jsou uvedeny v Předmětné smlouvě nebo jiném právním aktu mezi Správcem a zpracovatelem podle odstavce 3 čl. 28 Nařízení (tj. např. smlouvy o zpracování osobních údajů), a to zejména poskytnutí dostatečných záruk, pokud jde o zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky Nařízení. Neplní-li uvedený další zpracovatel své povinnosti v oblasti ochrany údajů, odpovídá Správci za plnění povinností dotčeného dalšího zpracovatele i nadále plně prvotní Zpracovatel (čl. 28 odst. 4);

g) zajistit, aby systémy pro automatizovaná zpracování Osobních údajů používaly pouze oprávněné osoby, které budou mít přístup pouze k osobním údajům odpovídajícím oprávnění těchto osob, a to na základě zvláštních uživatelských oprávnění zřízených výlučně pro tyto osoby;

h) zajistit, aby osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti (čl. 28 odst. 3 písm. b);

i) zohledňovat povahu zpracování, být Správci nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, pro splnění Správcovy povinnosti reagovat na žádosti o výkon práv subjektu údajů stanovených v kapitole III (čl. 28 odst. 3 písm. e);

j) být Správci nápomocen při zajišťování souladu s povinnostmi podle článků 32 až 36, a to při zohlednění povahy zpracování a informací, jež má Zpracovatel k dispozici (čl. 28 odst. 3 písm. f);

k) jakmile zjistí porušení zabezpečení osobních údajů, je povinen neprodleně takové porušení hlásti Správci (zejm. ztrátu, zničení, únik, změnu nebo neoprávněné poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovaných Osobních údajů (viz. čl. 33 odst. 2);

l) poskytnout Správci součinnosti při plnění Nařízení (zejména čl. 32 až 36) a souvisejících právních předpisů, včetně aktualizace, změny, opravy, či výmazu Osobních údajů a zajišťování a vyřizování žádostí Subjektů údajů;

m) po skončení Smlouvy protokolárně odevzdat Správci, či nově pověřenému zpracovateli všechny Osobní údaje zpracované po dobu poskytování plnění dle Smlouvy, či vymazat Osobní údaje a jejich kopie, neukládá li závazný právní předpis něco jiného;

n) poskytne Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v článku 28 Nařízení, a umožní audity, včetně inspekcí, prováděné Správcem nebo jiným auditorem, kterého Správce pověřil, a k těmto auditům přispěje.

o) na vyžádání Správci poskytnout informace (v doložitelné formě), které Správce žádá v souvislosti s plněním této smlouvy

3.3 Zpracovatel a Správce jsou povinni:
a)navzájem se informovat o všech okolnostech významných pro plnění předmětu Předmětné smlouvy;

b) zachovávat mlčenlivost o Osobních údajích a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo zabezpečení Osobních údajů, a to i po skončení Předmětné smlouvy;

c) přijmout opatření pro zajištění toho, aby jakákoliv fyzická osoba, která jedná z pověření Správce nebo Zpracovatele a má přístup k OÚ, zpracovávala tyto OÚ pouze na pokyn Správce, pokud jí jejich zpracování již neukládá právo Unie či členského státu.

d) s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, provést vhodná technická a organizační opatření, aby byla zajištěna úroveň zabezpečení odpovídající danému riziku, případně včetně“ pseudonymizace a šifrování osobních údajů;schopnosti zajistit neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování; schopnosti obnovit dostupnost osobních údajů a přístup k nim včas v případě fyzických či technických incidentů; procesu pravidelného testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování.

e) zohledňovat povahu Osobních údajů a zavést technická, organizační, personální a jiná vhodná opatření ve smyslu Nařízení, aby byl schopen kdykoliv doložit, že zpracování Osobních údajů je prováděno v souladu s Nařízením a souvisejícími právními předpisy a dále tak, aby bylo předejito neoprávněnému nebo nahodilému přístupu k Osobním údajům a k datovým nosičům, které tyto údaje obsahují, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití, a tato opatření podle potřeby průběžné revidovat a aktualizovat