1. Smluvní strany a rozsah
Tuto smlouvu o zpracování osobních údajů (dále jen „Smlouva“) uzavírá organizace, která používá flexiday (dále jen „Správce“), jednající prostřednictvím svého vlastníka, a Daniel Hrynusiw OSVČ, se sídlem Bořetická 4133/6, 628 00 Brno-Židenice, IČO 23347406 (dále jen „Zpracovatel“, „my“). Smlouva je součástí Obchodních podmínek a platí pro každou organizaci u každého tarifu od okamžiku jejího založení. Vlastník ji přijímá jménem organizace tím, že přijme Obchodní podmínky.
Smlouva se vztahuje na údaje organizace: osobní údaje, které Správce ve Službě vede o lidech, kteří u něj pracují. Nevztahuje se na údaje účtu, jako jsou přihlášení člověka, jeho nastavení, oznámení, propojení kalendářů, registrace push oznámení a narozeniny. Údajů účtu jsme správcem my a řídí se našimi Zásadami ochrany osobních údajů. Pokud Správce zapne adresář lidí, doplňuje tuto Smlouvu pro profilové údaje v adresáři smlouva k adresáři lidí (v angličtině).
2. Předmět, doba trvání, povaha a účel zpracování
- Předmět a účel. Poskytování Služby Správci: evidence a schvalování nepřítomností, vedení nároků, evidence docházky, vedení záznamu změn, zobrazování toho všeho lidem, kterým to dovolují nastavení a role Správce, zasílání souvisejících oznámení a vytváření exportů.
- Povaha. Shromažďování, ukládání, uspořádání, vyhledávání, zobrazení, přenos, export a výmaz, automatizovanými prostředky.
- Doba trvání. Po dobu, kdy organizace ve Službě existuje, a do výmazu jejích údajů podle oddílu 12.
3. Dotčené osoby a údaje
Osoby: zaměstnanci Správce, spolupracovníci na základě jiných smluv a kdokoli další, koho Správce do organizace přidá, včetně vlastníka, správců, vedoucích skupin a schvalovatelů, a pokud je zapnutý adresář lidí, i kontaktní osoby pro případ nouze, které jeho lidé uvedou.
Údaje: kopie jména a e-mailu každého člověka, kterou vede organizace; pracovní poměry, skupiny, role a pozvánky; žádosti o volno s daty, druhem, stavem a poznámkami; nároky; záznam změn; přílohy žádostí; časy docházky a, pokud to Správce zapne, poloha zaznamenaná při příchodu a odchodu; a pokud je zapnutý adresář lidí, jeho profilová pole.
Nepřítomnost z důvodu nemoci a přílohy žádostí, jako je potvrzení od lékaře, mohou prozradit údaje o zdravotním stavu, tedy zvláštní kategorii podle článku 9 GDPR. Zda tyto funkce použije, rozhoduje Správce a odpovídá za to, že pro ně má právní základ.
4. Pokyny
Údaje organizace zpracováváme jen na základě doložených pokynů Správce, a to i pokud jde o předání mimo EHP, ledaže nám zpracování ukládá právo EU nebo České republiky; v takovém případě Správce předem informujeme, pokud to toto právo nezakazuje. Pokyny Správce jsou Obchodní podmínky, tato Smlouva a způsob, jakým Správce Službu používá a nastavuje. Ukončení pracovního poměru, výmaz záznamů člověka, změna nastavení uchování a smazání organizace jsou pokyny dané prostřednictvím Služby. Pokud se domníváme, že pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů, neprodleně to Správci sdělíme.
Údaje organizace nepoužíváme k žádnému vlastnímu účelu, neprodáváme je a nepoužíváme je k reklamě ani k trénování modelů umělé inteligence či strojového učení.
5. Mlčenlivost
Každý, koho ke zpracování údajů organizace oprávníme, je vázán mlčenlivostí na základě smlouvy nebo zákona a má přístup jen v rozsahu, který jeho úkol vyžaduje.
6. Zabezpečení
Přijímáme technická a organizační opatření, která vyžaduje článek 32 GDPR, přiměřená riziku: provoz v EU na Amazon Web Services (AWS), region eu-central-1 (Frankfurt, Německo), šifrování při přenosu i v klidu, přístup podle rolí uvnitř Služby a zálohy, které postupně vypršují. Popisuje je stránka Zabezpečení (v angličtině). Opatření můžeme časem zlepšovat, nikdy však nesnížíme úroveň ochrany, kterou poskytují.
7. Další zpracovatelé
Správce nám dává obecné povolení zapojit další zpracovatele. Zapojujeme tyto:
| Další zpracovatel | Účel | Umístění |
|---|---|---|
| Amazon Web Services (AWS) | Provoz aplikace, databáze a úložiště souborů | EU (Frankfurt, Německo) |
| Amazon SES (AWS) | Odesílání e-mailových oznámení | EU (Frankfurt, Německo) |
| Functional Software, Inc. (Sentry) | Sledování chyb a diagnostika výkonu | Region EU (Frankfurt, Německo); společnost sídlí ve Spojených státech |
| Apple Inc. (Apple Push Notification service) | Doručování push oznámení do aplikace pro iPhone; v textu oznámení vidí jména a data nepřítomností a docházky | Spojené státy |
O každém zamýšleném přidání nebo nahrazení dalšího zpracovatele Správce informujeme aktualizací tohoto seznamu a data jeho poslední aktualizace nejméně 30 dní před změnou a e-mailem vlastníkovi. Správce může v této lhůtě vznést námitku z oprávněných důvodů ochrany osobních údajů. Pokud námitku nevyřešíme, může Správce organizaci smazat dříve, než změna nabude účinnosti. Každý další zpracovatel je smluvně vázán stejnými povinnostmi k ochraně osobních údajů jako tato Smlouva a za jeho činnost Správci odpovídáme.
8. Předávání mimo EHP
Údaje organizace jsou uloženy v Evropské unii. Pokud je další zpracovatel zpracovává mimo Evropský hospodářský prostor, opíráme se o rozhodnutí o odpovídající ochraně nebo o standardní smluvní doložky Evropské komise podle kapitoly V GDPR.
9. Pomoc s žádostmi lidí
Služba dává Správci nástroje k vyřízení žádostí, které lidé podávají podle kapitoly III GDPR: člověk si může stáhnout své vlastní záznamy z každé organizace a vlastník a správci mohou exportovat záznamy člověka, ukončit pracovní poměr a vymazat záznamy člověka, který smazal svůj účet nebo ho nikdy neměl. Pokud nám někdo pošle žádost týkající se údajů organizace, bez zbytečného odkladu ji předáme vlastníkovi a sami na ni neodpovídáme, kromě sdělení, že jsme ji předali. Pokud nástroje nestačí, pomůžeme Správci v rozsahu, který je pro nás přiměřeně možný.
10. Porušení zabezpečení osobních údajů
O porušení zabezpečení, které se týká údajů organizace, informujeme vlastníka bez zbytečného odkladu poté, co se o něm dozvíme. Sdělíme, co víme o jeho povaze, dotčených osobách a záznamech, pravděpodobných důsledcích a přijatých opatřeních, a doplňujeme informace, jak přibývají, aby Správce mohl splnit své povinnosti podle článků 33 a 34 GDPR.
11. Pomoc s posouzením vlivu
Poskytneme Správci informace o Službě, které přiměřeně potřebuje k posouzení vlivu na ochranu osobních údajů nebo k předchozí konzultaci s dozorovým úřadem podle článků 35 a 36 GDPR.
12. Konec služby a výmaz
Když člověk smaže svůj vlastní účet, není to pokyn organizace. Jeho pracovní poměry zůstávají otevřené a jeho údaje organizace zůstávají u organizace, dokud Správce pracovní poměr neukončí nebo záznamy nevymaže.
Správce ukončuje službu smazáním organizace, k němuž dojde, když vlastník smaže svůj vlastní účet poté, co v organizaci už nepracuje nikdo jiný s účtem. Předtím si vlastník může stáhnout export jejích údajů. Po smazání organizace její údaje okamžitě odstraníme z provozních systémů a z našich záloh zmizí do sedmi dnů, ledaže nám jejich uchování ukládá právo EU nebo České republiky.
13. Audity
Správci zpřístupníme informace potřebné k doložení, že plníme článek 28 GDPR. Umožníme audity, včetně inspekcí, prováděné Správcem nebo jím pověřeným auditorem vázaným mlčenlivostí, a přispějeme k nim, a to po přiměřeném písemném oznámení a bez zbytečného narušení Služby. Každá strana nese své vlastní náklady.
14. Odpovědnost, přednost a rozhodné právo
Odpovědnost podle této Smlouvy se řídí Obchodními podmínkami, aniž by se omezovala odpovědnost, kterou článek 82 GDPR omezit nedovoluje. Pokud se tato Smlouva a Obchodní podmínky ve zpracování údajů organizace liší, má přednost tato Smlouva. Smlouva se řídí právem České republiky.
15. Kontakt
Daniel Hrynusiw OSVČ
Bořetická 4133/6, 628 00 Brno-Židenice
daniel@hrynusiw.cz