Smlouva o zpracování osobních údajů

Uzavřená v souladu s čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR”) mezi Uživatelem aplikace Školkuj jako správcem (dále jen „Správce”) a Radimem Stejskalem, IČO 21813442, se sídlem Vančurova 158, Dolní Třešňovec, 563 01 Lanškroun, jako zpracovatelem (dále jen „Zpracovatel”).

1. Úvodní ustanovení

1.1 Tato smlouva (dále jen „Zpracovatelská smlouva”) upravuje práva a povinnosti smluvních stran při zpracování osobních údajů, které Zpracovatel provádí pro Správce v souvislosti s poskytováním aplikace Školkuj.

1.2 Smlouvou se rozumí smlouva o užívání aplikace Školkuj uzavřená mezi Správcem a Zpracovatelem v důsledku potvrzení objednávky Uživatelem, jejíž nedílnou součástí jsou Všeobecné obchodní podmínky užívání aplikace Školkuj zveřejněné na webové adrese www.skolkuj.cz/podminky (dále jen „VOP”).

1.3 Zpracovatelská smlouva je nedílnou součástí Smlouvy a nabývá účinnosti uzavřením Smlouvy ve smyslu odst. 4.1 VOP. Zpracovatelská smlouva je uzavřena na dobu určitou, po níž Zpracovatel poskytuje Správci placené služby aplikace na základě Smlouvy, a to až do úplného výmazu nebo vrácení osobních údajů v souladu s čl. 11 této Zpracovatelské smlouvy.

1.4 Zpracovatelská smlouva se uzavírá v elektronické podobě ve smyslu čl. 28 odst. 9 GDPR.

1.5 Pojmy užité v této Zpracovatelské smlouvě mají význam, který je jim přisuzován v GDPR.

2. Předmět, povaha, účel a doba zpracování

2.1 Předmětem zpracování jsou osobní údaje uvedené v čl. 3 Zpracovatelské smlouvy, jejichž zpracování je nezbytné pro provoz aplikace Školkuj a poskytování souvisejících služeb Správci.

2.2 Povahou zpracování je zejména shromažďování, ukládání, strukturování, použití, zpřístupnění oprávněným uživatelům Správce a výmaz osobních údajů, přičemž toto zpracování probíhá automatizovaně prostřednictvím aplikace.

2.3 Účelem zpracování je:

• poskytování služeb aplikace — správa uživatelských účtů, plánování vzdělávacích aktivit, generování návrhů témat a aktivit pomocí umělé inteligence a jejich strojový překlad,
• zabezpečení aplikace, detekce a oprava chyb, prevence zneužití,
• e-mailová komunikace (uvítací e-mail, reset hesla, pozvánky),
• uplatňování denních limitů užití funkcí umělé inteligence.

2.4 Zpracovatel nezpracovává osobní údaje pro vlastní účely. Zpracovatel není oprávněn použít osobní údaje k marketingovým účelům bez samostatného právního titulu , jakož ani k trénování či vývoji modelů umělé inteligence. Zpracovatel má současně povinnost zajistit, aby předané osobní údaje k trénování svých modelů nepoužívali ani subzpracovatelé poskytující služby umělé inteligence (odst. 7.6 Zpracovatelské smlouvy).

2.5 Zpracování trvá po dobu trvání Smlouvy a dále po dobu nezbytnou k provedení výmazu dle čl. 11 Zpracovatelské smlouvy.

2.6 Tato Zpracovatelská smlouva se nevztahuje na osobní údaje, u nichž Zpracovatel vystupuje jako samostatný správce dle odst. 3.4 nebo 8.1 VOP (kontaktní formulář, zpětná vazba, návštěvnost webu) ani na údaje uživatelských účtů před uzavřením Smlouvy. Zpracování těchto údajů se řídí Zásadami ochrany osobních údajů dostupnými na webové adrese www.skolkuj.cz/gdpr.

3. Kategorie subjektů údajů a osobních údajů

3.1 Zpracovávány jsou osobní údaje těchto kategorií subjektů údajů v tomto rozsahu:

3.2 Správce se zavázal dle odst. 8.3 VOP nevkládat do aplikace údaje umožňující identifikaci konkrétního dítěte ani zvláštní kategorie osobních údajů dle čl. 9 GDPR. Vloží-li uživatelé Správce do aplikace takové údaje v rozporu s tímto zákazem, považují se za osobní údaje zpracovávané dle této Zpracovatelské smlouvy; Správce však odpovídá za existenci právního titulu k jejich zpracování a za splnění informační povinnosti vůči subjektům údajů, a Zpracovatel je oprávněn takové údaje po předchozím upozornění Správce odstranit. Správce v této souvislosti odpovídá Zpracovateli za jakoukoli škodu, která mu vznikne v důsledku vložení zakázaných údajů v rozporu s tímto ustanovením.

3.3 Osobní údaje dle čl. 3.1 řádku „Osoba potvrzující Objednávku” Zpracovatelské smlouvy zpracovává Zpracovatel v rozsahu nezbytném pro prokázání uzavření Smlouvy a jejího obsahu (§ 562 zákona č. 89/2012 Sb., občanského zákoníku, ve znění pozdějších předpisů); v tomto rozsahu vystupuje vedle Správce rovněž ve vlastním oprávněném zájmu dle čl. 6 odst. 1 písm. f) GDPR. Tyto záznamy uchovává po dobu trvání Smlouvy a dále po dobu promlčecí lhůty nároků ze Smlouvy.

4. Pokyny Správce

4.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, včetně předání osobních údajů do třetí země, s výjimkou případů, kdy mu zpracování ukládá právo Evropské unie nebo České republiky. V takovém případě Zpracovatel informuje Správce o nezbytnosti zpracování před zahájením zpracování, ledaže právní předpis takové informování zakazuje z důležitých důvodů veřejného zájmu.

4.2 Tato Zpracovatelská smlouva spolu se Smlouvou a užíváním aplikace Správcem představuje úplné pokyny Správce. Dodatečné pokyny udílí Správce písemně (e-mailem na podpora@skolkuj.cz); pokyny vyžadující změnu aplikace nebo zakládající nepřiměřené náklady Zpracovatele budou předmětem samostatné dohody.

4.3 Zpracovatel neprodleně informuje Správce, pokud podle jeho názoru určitý pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.

5. Mlčenlivost

5.1 Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti, nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Povinnost mlčenlivosti trvá i po ukončení této Zpracovatelské smlouvy.

6. Zabezpečení zpracování

6.1 Zpracovatel přijal a udržuje s přihlédnutím ke stavu techniky, nákladům, povaze, rozsahu, kontextu a účelům zpracování i rizikům pro práva a svobody subjektů údajů vhodná technická a organizační opatření ve smyslu čl. 32 GDPR, zejména:

• šifrování osobních údajů při přenosu (TLS) a v klidu (databáze i zálohy),
• ukládání hesel výhradně v podobě solených hashů,
• řízení přístupu na základě rolí (administrátor / ředitel / učitel),
• izolaci dat jednotlivých mateřských škol na úrovni databáze (Row-Level Security),
• minimalizaci provozních záznamů (u neúspěšných pokusů o přihlášení se zaznamenává pouze doména e-mailové adresy, nikoli celá adresa),
• omezení přístupu k produkčním datům pouze na osoby, které jej nezbytně potřebují,
• pravidelné šifrované zálohování dat.

6.2 Zpracovatel je oprávněn přijatá opatření průběžně aktualizovat, nesmí však snížit celkovou úroveň zabezpečení.

7. Subzpracovatelé

7.1 Správce uděluje Zpracovateli obecné povolení k zapojení dalších zpracovatelů (subzpracovatelů) ve smyslu čl. 28 odst. 2 GDPR.

7.2 Aktuální seznam subzpracovatelů ke dni účinnosti tohoto znění Zpracovatelské smlouvy je uveden v tabulce níže. Zpracovatel jej průběžně zveřejňuje na www.skolkuj.cz/zpracovani-osobnich-udaju.

7.3 Zamýšlené zapojení nového subzpracovatele nebo nahrazení stávajícího oznámí Zpracovatel Správci e-mailem nejméně 14 dní předem. Vyžaduje-li to naléhavý bezpečnostní důvod nebo ukončení služby dosavadním subzpracovatelem, může Zpracovatel lhůtu přiměřeně zkrátit; důvod zkrácení Správci sdělí současně s oznámením o zapojení nového subzpracovatele.

7.4 Správce je oprávněn vznést z vážných důvodů týkajících se ochrany osobních údajů písemnou námitku, a to do 14 dnů od doručení oznámení o zapojení subzpracovatele. Nedohodnou-li se strany do 30 dnů na řešení, je Správce oprávněn Smlouvu vypovědět s okamžitou účinností a bez jakékoli sankce; Zpracovatel mu v takovém případě vrátí poměrnou část uhrazené ceny za nevyčerpanou část Období.

7.5 Zpracovatel zaváže každého subzpracovatele smluvně k povinnostem v oblasti ochrany osobních údajů, které zajistí minimálně stejnou úroveň ochrany osobních údajů, jakou stanoví tato Zpracovatelská smlouva. Za plnění povinností subzpracovatele odpovídá vůči Správci Zpracovatel v plném rozsahu, jako by je plnil sám.

7.6 Subzpracovatelům poskytujícím služby umělé inteligence (Anthropic, OpenAI, Google) jsou předávány výhradně údaje nezbytné pro generování návrhů: názvy a popisy bloků, témat a aktivit, volnotextové poznámky učitele, věkové rozpětí třídy a pomocné parametry. Nejsou jim předávána jména uživatelů, e-mailové adresy, název ani IČO mateřské školy. Tyto údaje nejsou u subzpracovatelů ukládány trvale nad rámec krátkodobých provozních záznamů dle jejich podmínek.

7.7 Zpracovatel využívá služby umělé inteligence výhradně v takovém režimu (komerční API), v němž se poskytovatel služby smluvně zavázal nepoužívat předané údaje k trénování svých modelů.

8. Předávání do třetích zemí

8.1 Osobní údaje jsou zpracovávány primárně na území Evropské unie. K předání osobních údajů do třetí země (zejména USA – ke dni uzavření této Zpracovatelké smlouvy se to týká společností Anthropic, OpenAI, Google a Resend) dochází výhradně při existenci vhodných záruk dle kapitoly V GDPR, zejména na základě standardních smluvních doložek dle prováděcího rozhodnutí Komise (EU) 2021/914 ze dne 4. června 2021 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo rozhodnutí o odpovídající ochraně (rámec EU-U.S. Data Privacy Framework, disponuje-li subzpracovatel příslušnou certifikací).

8.2 Tyto záruky jsou sjednány v rámci zpracovatelských smluv (DPA) uzavřených mezi Zpracovatelem a jednotlivými subzpracovateli. Zpracovatel na žádost Správce doloží, jakými zárukami je konkrétní předání kryto.

8.3 Pozbyde-li některý z použitých mechanismů předání platnosti, Zpracovatel bez zbytečného odkladu zajistí náhradní vhodné záruky, nebo předávání ukončí, a Správce o tom informuje.

9. Součinnost při výkonu práv subjektů údajů a dalších povinnostech Správce

9.1 Zpracovatel poskytuje Správci prostřednictvím vhodných technických a organizačních opatření nezbytnou součinnost při plnění povinnosti reagovat na žádosti subjektů údajů týkající se výkonu jejich práv dle kapitoly III GDPR, zejména práva na přístup, opravu, výmaz, omezení zpracování, přenositelnost osobních údajů a práva vznést námitku.

9.2 Obdrží-li Zpracovatel žádost subjektu údajů přímo, předá ji Správci bez zbytečného odkladu, nejpozději do 5 pracovních dnů, a subjekt údajů odkáže na Správce; žádost sám věcně nevyřizuje.

9.3 Zpracovatel poskytne Správci součinnost s vyřizováním žádostí subjektů údajů bez zbytečného odkladu, nejpozději do 10 pracovních dnů od doručení písemné žádosti Správce; zejména na žádost poskytne výpis osobních údajů dotčeného subjektu ve strukturovaném, běžně používaném a strojově čitelném formátu (CSV nebo JSON) nebo provede opravu či výmaz údajů, které subjekt ani Správce nemohou provést v aplikaci sami.

9.4 Zpracovatel je Správci dále nápomocen při zajišťování souladu s povinnostmi dle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace), a to s přihlédnutím k povaze zpracování a informacím, jež má k dispozici.

9.5 Zpracovatel Správci na jeho žádost dále poskytne podklady potřebné pro vedení záznamů o činnostech zpracování dle čl. 30 GDPR a pro případné posouzení vlivu na ochranu osobních údajů dle čl. 35 GDPR, zejména popis kategorií zpracování, přijatých opatření, subzpracovatelů a předávání do třetích zemí.

10. Porušení zabezpečení osobních údajů

10.1 Zjistí-li Zpracovatel porušení zabezpečení osobních údajů, ohlásí je Správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl, a to na e-mailovou adresu Správce uvedenou ve Smlouvě.

10.2 Ohlášení obsahuje přinejmenším informace dle čl. 33 odst. 3 GDPR (popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů a záznamů, pravděpodobné důsledky, přijatá a navržená opatření). Nelze-li informace poskytnout najednou, poskytuje je Zpracovatel postupně bez dalšího zbytečného odkladu.

10.3 Zpracovatel porušení zdokumentuje a poskytne Správci součinnost při případném ohlášení Úřadu pro ochranu osobních údajů a oznámení subjektům údajů. Ohlášení dozorovému úřadu provádí Správce.

11. Doba zpracování, výmaz a vrácení osobních údajů

11.1 Zpracovatel zpracovává osobní údaje po dobu trvání Smlouvy.

11.2 Požádá-li o to Správce nejpozději do 30 dnů od ukončení Smlouvy, poskytne mu Zpracovatel bezplatně export dat jeho mateřské školy ve strukturovaném, běžně používaném a strojově čitelném formátu (CSV nebo JSON) v rozsahu dle odst. 9.3 VOP. Zahájil-li Správce přechod k jinému poskytovateli dle odst. 9.2 VOP, běží tato lhůta od skončení přechodného období.

11.3 Zpracovatel vymaže veškeré osobní údaje zpracovávané pro Správce na základě této Zpracovatelské smlouvy nejpozději do 60 dnů od ukončení Smlouvy, nerozhodne-li Správce ve lhůtě dle odst. 11.2 Zpracovatelské smlouvy o jejich vrácení, ledaže právo Evropské unie nebo České republiky vyžaduje jejich další uložení po dobu stanovenou příslušnými právními předpisy. Výmaz je trvalý a nevratný. Zpracovatel Správci na jeho žádost vystaví písemné potvrzení o provedeném výmazu.

11.4 Osobní údaje obsažené v zálohách jsou přepsány v rámci standardního zálohovacího cyklu, nejpozději do 30 dnů po uplynutí lhůty dle odst. 11.3 Zpracovatelské smlouvy; do té doby nejsou zálohy aktivně využívány a jsou chráněny šifrováním.

11.5 V průběhu trvání Smlouvy provede Zpracovatel výmaz konkrétních osobních údajů na pokyn Správce (e-mailem na podpora@skolkuj.cz) bez zbytečného odkladu, nejpozději do 30 dnů od doručení pokynu Zpracovateli.

11.6 Odstavce 11.1 až 11.5 Zpracovatelské smlouvy se nevztahují na záznamy dle odst. 3.3 Zpracovatelské smlouvy, jejichž doba uchování je stanovena tamtéž.

12. Doložení souladu a audit

12.1 Zpracovatel poskytne Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti dle čl. 28 GDPR a této Zpracovatelské smlouvy.

12.2 Správce je oprávněn provést audit či inspekci plnění povinností Zpracovatele dle této Zpracovatelské smlouvy, a to nejvýše jednou za 12 měsíců (nejde-li o prošetření konkrétního porušení zabezpečení), na základě písemného oznámení nejméně 30 dnů předem, v běžné pracovní době, způsobem nenarušujícím nepřiměřeně provoz Zpracovatele a na vlastní náklady. Osoby provádějící audit jsou vázány mlčenlivostí.

12.3 U subzpracovatelů se audit provádí primárně formou předložení dostupných zpráv, certifikací a dokumentace subzpracovatelů, kterou Zpracovatel Správci na žádost zpřístupní.

12.4 Zjistí-li audit porušení této Zpracovatelské smlouvy, zjedná Zpracovatel nápravu bez zbytečného odkladu.

13. Změny a závěrečná ustanovení

13.1 Tuto Zpracovatelskou smlouvu je možné měnit pouze písemnou dohodou obou smluvních stran. Aktualizace seznamu subzpracovatelů dle odst. 7.2 a 7.3 se za změnu Zpracovatelské smlouvy nepovažuje.

13.2 Odpovědnost smluvních stran se řídí článkem X VOP; tím nejsou dotčena práva subjektů údajů vůči Správci ani Zpracovateli dle čl. 82 GDPR.

13.3 Komunikace dle této Zpracovatelské smlouvy probíhá e-mailem: na straně Zpracovatele na adresu podpora@skolkuj.cz, na straně Správce na e-mailovou adresu uvedenou ve Smlouvě.

13.4 V otázkách zpracování osobních údajů má tato Zpracovatelská smlouva přednost před ostatními ujednáními smluvních stran.

13.5 Tato Zpracovatelská smlouva se řídí právním řádem České republiky a GDPR.