Smlouva o zpracování osobních údajů

1. Smluvní strany a předmět

Tato smlouva se uzavírá mezi zákazníkem jako správcem a EAS International, Klybeckstr. 141, 4057 Basel, Schweiz jako zpracovatelem (poskytovatel). Zástupce poskytovatele v EU podle čl. 27 GDPR: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Jejím předmětem je zpracování osobních údajů, které zákazník zadává do Batteriepass Online nebo jejichž prostřednictvím shromažďuje. Povaha, účel, druhy údajů a kategorie subjektů údajů jsou popsány v příloze 1. Smlouva platí po dobu trvání smlouvy o poskytování služby včetně fáze pouze pro čtení podle bodu 8 VOP.

2. Pokyny

Poskytovatel zpracovává údaje výhradně v rámci smlouvy o poskytování služby a na základě doložených pokynů zákazníka. Zákazník vydává pokyny používáním funkcí softwaru (např. zveřejnění pasu, přidělení úrovní přístupu, odeslání žádosti dodavateli, export, výmaz) a v textové formě na info@batteriepass-online.eu. Pokyny nad rámec dohodnutého rozsahu se považují za požadavky na změnu a mohou být účtovány samostatně.

Pokud se poskytovatel domnívá, že pokyn je protiprávní, neprodleně o tom zákazníka informuje a může provedení pozastavit až do potvrzení.

Zpřístupňování obsahu pasů veřejnosti, osobám s oprávněným zájmem a orgánům probíhá v souladu s nařízením (EU) 2023/1542 v nastavení zvoleném zákazníkem a považuje se za pokyn zákazníka.

3. Povinnosti poskytovatele

• Důvěrnost: všechny osoby podílející se na zpracování jsou zavázány k mlčenlivosti. K údajům zákazníka se přistupuje pouze tehdy, je-li to nezbytné pro provoz, podporu nebo odstraňování chyb.
• Zabezpečení: poskytovatel přijímá technická a organizační opatření podle přílohy 3 a přizpůsobuje je stavu techniky, aniž by snížil úroveň ochrany.
• Součinnost: poskytovatel prostředky softwaru (export, oprava, výmaz, protokol přístupů) pomáhá zákazníkovi plnit práva subjektů údajů a při posouzeních vlivu na ochranu osobních údajů a konzultacích s dozorovým úřadem, pokud má poskytovatel příslušné informace k dispozici.
• Oznamování: poskytovatel oznamuje zákazníkovi porušení zabezpečení osobních údajů týkající se údajů zákazníka bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl, na e-mailovou adresu uloženou v účtu, s informacemi dostupnými podle čl. 33 odst. 3 GDPR.
• Žádosti subjektů údajů: obrátí-li se subjekty údajů přímo na poskytovatele, předá žádost zákazníkovi bez vlastní věcné odpovědi, pokud se žádost týká údajů zákazníka.
• Doklady: na požádání poskytovatel zpřístupní informace nezbytné k doložení dodržování této smlouvy, zejména popis opatření podle přílohy 3 a zprávy o bezpečnostních incidentech.
• Výmaz: po skončení zpracování poskytovatel údaje vymaže podle bodu 8 VOP, pokud neexistuje zákonná povinnost uchovávání. U zveřejněných pasů baterií se za povinnost uchovávání považuje zákonná povinnost udržovat je dostupné podle čl. 77 odst. 8 nařízení (EU) 2023/1542.

4. Kontrolní práva zákazníka

Zákazník může dodržování této smlouvy ověřit jednou ročně a v případě konkrétního podnětu. Ověření se provádí především kontrolou dokumentace, zpráv a potvrzení dalších zpracovatelů. Kontrola na místě je možná po ohlášení s přiměřeným předstihem (nejméně 14 dní) v běžné pracovní době, pokud neohrozí údaje jiných zákazníků. Za kontroly nad rámec jedné ročně nebo bez podnětu v podobě incidentu může poskytovatel vzniklé náklady účtovat v přiměřené výši.

5. Další zpracovatelé

Zákazník souhlasí s využitím dalších zpracovatelů uvedených v příloze 2. Poskytovatel je zaváže k povinnostem v oblasti ochrany osobních údajů rovnocenným povinnostem sjednaným zde.

Poskytovatel informuje zákazníka o zamýšlených změnách (přidání nebo nahrazení) nejméně 30 dní předem e-mailem. Zákazník může v této lhůtě z důležitých důvodů ochrany osobních údajů vznést námitku. V případě námitky může kterákoli strana smlouvu o poskytování služby vypovědět k datu změny; bod 8 VOP tím není dotčen.

6. Zpracování ve třetích zemích

Údaje jsou ukládány na serverech v Německu. Poskytovatel sídlí ve Švýcarsku, pro které existuje rozhodnutí Evropské komise o odpovídající ochraně; přístup ze Švýcarska je proto přípustný. Zpracování v jiných třetích zemích probíhá pouze se souhlasem zákazníka a na základě vhodných záruk podle kapitoly V GDPR.

7. Povinnosti zákazníka

Zákazník odpovídá za zákonnost zpracování, zejména za právní základ pro zveřejnění údajů o fyzických osobách v pasech, za informování subjektů údajů a za přípustnost oslovení dodavatelů a žadatelů. Úrovně přístupu a udělení přístupu přiděluje na vlastní odpovědnost a kontroluje, zda údaje zpřístupněné prostřednictvím softwaru odpovídají právním požadavkům.

Zákazník uvede v účtu e-mailovou adresu dostupnou pro otázky ochrany osobních údajů a udržuje ji aktuální.

8. Odpovědnost, doba trvání, závěrečná ustanovení

Pro odpovědnost platí bod 11 VOP; čl. 82 GDPR tím není dotčen. Tato smlouva končí se smlouvou o poskytování služby, trvá však tak dlouho, dokud poskytovatel udržuje údaje zákazníka dostupné podle bodu 8 VOP. Jinak platí závěrečná ustanovení VOP. V případě rozporu mezi touto smlouvou a VOP má v otázkách ochrany osobních údajů přednost tato smlouva.

Příloha 1 – Předmět zpracování

• Povaha a účel: hosting, ukládání, zobrazování, export a předávání obsahu pasů baterií a souvisejících dokumentů; odesílání e-mailů jménem zákazníka (žádosti dodavatelům, rozhodnutí o přístupu); zaznamenávání přístupů k chráněnému obsahu; poskytování API a webhooků.
• Druhy údajů: jména, funkce a kontaktní údaje kontaktních osob zákazníka, jeho dodavatelů a žadatelů o udělení přístupu (e-mailová adresa, organizace, role, účel, doklady); obsah polí pasu a dokumentů, pokud obsahují údaje o fyzických osobách (např. odpovědná osoba hospodářského subjektu, osoby podepisující prohlášení o shodě); protokoly přístupů (zkrácená hašovaná IP adresa, user agent, čas, úroveň přístupu); údaje předané zákazníkem do API.
• Kategorie subjektů údajů: zaměstnanci a kontaktní osoby zákazníka, jeho dodavatelů a obchodních partnerů; osoby žádající o přístup k chráněnému obsahu pasů (orgány, subjekty provádějící opravy a recyklaci, kupující); návštěvníci veřejných stránek pasů.
• Zvláštní kategorie (čl. 9 GDPR) nejsou předmětem zpracování; zákazník takové údaje do softwaru nezadává.

Příloha 2 – Další zpracovatelé

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Německo – služby datového centra (servery, databáze, úložiště dokumentů, zálohy) ve Falkensteinu a Norimberku.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlín, Německo – odesílání e-mailů jménem zákazníka.
• Stripe Payments Europe Ltd., Dublin, Irsko, zpracovává platební údaje zákazníka jako samostatný správce a není dalším zpracovatelem údajů zákazníka ve smyslu této smlouvy.

Příloha 3 – Technická a organizační opatření

• Fyzický a systémový přístup: servery v datových centrech Hetzner certifikovaných podle ISO 27001; správa pouze přes SSH s klíči a privátní síť; databáze není dostupná z veřejného internetu.
• Přístup k údajům: oprávnění založená na rolích (vlastník, editor, čtenář) pro každou organizaci; oddělení klientů na úrovni databáze pomocí ID organizace v každém dotazu; úrovně přístupu k obsahu pasů (veřejnost, oprávněný zájem, orgán) se vynucují na straně serveru v jediné filtrační funkci.
• Autentizace: hesla jako haše scrypt; relace s náhodnými tokeny v databázi, 30 dní; ověření e-mailu před přístupem k zápisu; limity pokusů o přihlášení, registraci a obnovení; klíče API uloženy pouze jako haše.
• Přenos: TLS pro všechna spojení; Content Security Policy; podepsané webhooky (HMAC) se šifrovaně uloženými tajnými klíči.
• Integrita: každé zveřejnění pasu vytvoří verzi s hašovacím řetězcem (předchozí haš); auditní protokol všech zapisovacích operací; před uplynutím smluvních lhůt se nic fyzicky nemaže.
• Dostupnost: denní záloha databáze a úložiště dokumentů s uchováváním nejméně 30 dní na druhém místě; pravidelné testy obnovy; monitorování dostupnosti.
• Oddělení: produkční data oddělena od vývojového a testovacího prostředí; pasy v tarifu Pilot jsou označeny jako testovací data.
• Organizace: minimalizace údajů zabudovaná do softwaru (pouze pole potřebná pro pas); bezpečnostní kontrola při každé změně služby; dokumentace incidentů; pravidelné aktualizace systémových komponent.