Tento dokument se stává součástí smlouvy o poskytování služby Sazeč (dále jen „smlouva“) a plní požadavky čl. 28 nařízení (EU) 2016/679 (GDPR). Slouží jako vzor, který se uzavírá s obcí nebo městem. Konkrétní strany doplňuje smlouva.
1. Strany a role
- Správce je obec, město nebo jiná organizace, která službu Sazeč používá (dále jen „zákazník“). Rozhoduje, které osobní údaje se do služby vkládají a k čemu se používají.
- Zpracovatel je [doplnit: obchodní firma nebo jméno provozovatele], sídlo [doplnit: sídlo nebo adresa místa podnikání], IČO [doplnit: IČO] (dále jen „provozovatel“). Zpracovává osobní údaje pro zákazníka při poskytování služby Sazeč.
- Provozovatel zpracovává osobní údaje jen na základě písemných pokynů zákazníka. Smlouva, tento dokument a nastavení služby, které zákazník provede, jsou pokyny zákazníka.
2. Předmět a rozsah zpracování
| Účel | Poskytování služby Sazeč: příprava, korektury, sazba, připomínkování, schvalování a export zpravodaje obce. |
| Povaha zpracování | Ukládání, zobrazení, úprava, zálohování, přenos mezi uživateli, rozesílání upozornění e-mailem, volitelně odeslání textu k jazykové korektuře vybranému poskytovateli AI. |
| Subjekty údajů | Členové redakce, autoři, schvalovatelé a grafici zákazníka, inzerenti, osoby uvedené v textech, kronice a komentářích, osoby zachycené na fotografiích. |
| Kategorie údajů | Jméno, e-mail, role v aplikaci, záznamy o činnosti (například přihlášení), u inzerentů kontaktní údaje, IČO a adresa, texty, komentáře a fotografie vložené zákazníkem. |
| Zvláštní kategorie | Služba je k jejich zpracování neurčená. Zákazník odpovídá za to, že je do textů a fotografií nevkládá, pokud k tomu nemá právní důvod. |
| Doba | Po dobu trvání smlouvy a dále po dobu uvedenou v části 7. |
3. Povinnosti zpracovatele
Provozovatel se zavazuje:
- zpracovávat osobní údaje jen podle pokynů zákazníka, včetně předání do třetích zemí; pokud pokyn považuje za protiprávní, zákazníka na to upozorní,
- zajistit, aby osoby oprávněné zpracovávat údaje byly vázány mlčenlivostí,
- přijmout opatření podle čl. 32 GDPR, jejichž popis je v příloze 2,
- dodržovat podmínky pro zapojení dalších zpracovatelů podle části 4,
- pomáhat zákazníkovi s plněním jeho povinností při žádostech subjektů údajů, při zabezpečení, hlášení incidentů a posuzování vlivu na ochranu údajů, a to přiměřeně k povaze zpracování,
- poskytnout zákazníkovi informace potřebné k doložení splnění povinností a umožnit audity podle části 8.
4. Poddodavatelé
- Zákazník uděluje provozovateli obecné povolení zapojit další zpracovatele uvedené v příloze 1.
- O záměru přidat nebo vyměnit poddodavatele provozovatel informuje zákazníka nejméně [doplnit: počet dnů, návrh: 30] dnů předem e-mailem na kontakt uvedený ve smlouvě. Zákazník může změně z vážných důvodů v této lhůtě písemně namítnout.
- Provozovatel uzavře s poddodavatelem smlouvu, která mu ukládá stejné povinnosti ochrany údajů, a odpovídá za jeho plnění.
- Použití poskytovatele AI k jazykovým korekturám je na vůli uživatele. Zákazník v nastavení služby určuje poskytovatele a model AI a text se poskytovateli odesílá jen tehdy, když uživatel korekturu spustí. Využití AI je omezeno měsíčním rozpočtem. [doplnit: ověřit a případně doplnit, zda lze AI pro obec zcela vypnout]
5. Práva subjektů údajů
Žádosti subjektů údajů vyřizuje zákazník. Pokud žádost obdrží provozovatel, předá ji zákazníkovi a subjektu údajů odpoví, že žádost byla předána. Služba obsahuje nástroje, které zákazníkovi vyřízení usnadňují: vyhledání osoby podle jména, e-mailu nebo IČO, výpis údajů ve strojově čitelném formátu a anonymizaci nebo výmaz osobních údajů. Tisky, které již byly vydány, tím změněny nejsou.
6. Porušení zabezpečení
Zjistí-li provozovatel porušení zabezpečení osobních údajů, které se týká údajů zákazníka, oznámí to zákazníkovi bez zbytečného odkladu, nejpozději do [doplnit: počet hodin, návrh: 48] hodin od zjištění. Oznámení obsahuje dostupné informace o povaze porušení, dotčených údajích, pravděpodobných následcích a přijatých opatřeních, aby zákazník mohl splnit oznamovací povinnost podle čl. 33 a 34 GDPR.
7. Konec zpracování
- Po ukončení smlouvy zpřístupní provozovatel zákazníkovi jeho data k vyzvednutí po dobu [doplnit: počet dnů, návrh: 30; ověřit, jaký export služba skutečně nabízí] dnů.
- Poté provozovatel osobní údaje zákazníka smaže, pokud právní předpis nevyžaduje jejich uchování. Zálohy se mažou postupně podle jejich doby uložení uvedené v příloze 2.
- Zákazník může požádat o písemné potvrzení výmazu.
8. Závěrečná ustanovení
- Audit. Zákazník může jednou za dvanáct měsíců, nebo při závažném incidentu, ověřit dodržování tohoto dokumentu. Provozovatel k tomu poskytne přiměřené informace a součinnost. Podrobnosti auditu se dohodnou předem tak, aby neohrozily bezpečnost ostatních zákazníků. Služba obsahuje také záznam činnosti (audit log), který je dostupný správcům obce.
- Třetí země. K předání údajů mimo EHP dochází jen u poskytovatelů AI, které si zákazník zvolí, a u dalších poddodavatelů uvedených v příloze 1 s označením sídla mimo EHP. Základ předání (rozhodnutí o odpovídající ochraně, standardní smluvní doložky): [doplnit: doplnit u každého poddodavatele po ověření jeho aktuální dokumentace].
- Odpovědnost. Pro odpovědnost stran platí ujednání smlouvy a obchodních podmínek. Tím nejsou dotčena práva subjektů údajů podle čl. 82 GDPR.
- Trvání. Tento dokument platí po dobu trvání smlouvy a po dobu, po kterou provozovatel osobní údaje zákazníka zpracovává.
- Registr smluv. Je-li zákazník povinen smlouvu zveřejnit v registru smluv, souhlasí s tím obě strany. Bezpečnostní opatření v příloze 2 jsou popsána tak, aby jejich zveřejněním nebyla ohrožena bezpečnost služby.
Příloha 1: Poddodavatelé
Stav k [doplnit: datum aktualizace tabulky]. Sídla a základy předání je nutné před zveřejněním ověřit.
| Poddodavatel | Účel | Sídlo a umístění dat |
|---|---|---|
| Supabase | Databáze a přihlašování uživatelů | [doplnit: sídlo společnosti a oblast (region) databáze, kterou skutečně používáme] |
| Bunny.net | Úložiště a doručování souborů: fotografie, PDF, zálohy | [doplnit: sídlo a lokalita úložiště, kterou skutečně používáme] |
| Resend | Odesílání e-mailových upozornění a přihlašovacích e-mailů | USA [doplnit: ověřit region a základ předání] |
| [doplnit: poskytovatel hostingu aplikace] | Provoz webové aplikace | [doplnit: sídlo a region] |
| [doplnit: poskytovatel hostingu služby pro tvorbu PDF] | Provoz služby pro sazbu a export PDF | [doplnit: sídlo a region] |
| Anthropic, OpenAI, Google (dle volby zákazníka) | Jazykové korektury textu s pomocí AI, jen pokud je zákazník zapne | USA [doplnit: ověřit sídlo a základ předání u každého poskytovatele] |
Příloha 2: Technická a organizační opatření
Provozovatel zajišťuje zejména:
- Oddělení zákazníků. Data každé obce jsou v databázi chráněna pravidly přístupu, takže k nim mají přístup jen členové dané obce.
- Role a oprávnění. Uživatelé mají role (například autor, redaktor, schvalovatel, grafik, správce), podle kterých vidí a mohou měnit jen přiměřený rozsah údajů.
- Přihlašování. Přístup mají jen pozvaní uživatelé, přihlášení je heslem nebo odkazem zaslaným e-mailem. Veřejná registrace je vypnutá.
- Záznam činnosti. Přihlášení, změny členů a rolí, uvolnění do tisku, mazání, zálohy a vyřizování žádostí o osobní údaje se zapisují do záznamu, který vidí správci obce.
- Zálohy. Data obce se zálohují jednou týdně a zálohy se uchovávají 12 týdnů. Fotografie a PDF soubory se do záloh nekopírují a zůstávají v úložišti souborů. [doplnit: ověřit před zveřejněním, že tento popis odpovídá aktuálnímu provozu]
- Omezení zneužití. Nahrávání souborů a export jsou omezeny počtem požadavků za časové období.
- Pozastavení. Provozovatel může zpřístupnění obce pozastavit. Data se přitom nemažou.
- Šifrování a hostování. [doplnit: šifrování přenosu a uložených dat, umístění serverů, správa klíčů a přístupů zaměstnanců; doplnit podle skutečného nastavení]
Kontakt pro záležitosti zpracování osobních údajů: [doplnit: e-mail pro žádosti o osobní údaje]. Aplikace: muj.sazec.cz.