Smlouva o zpracování osobních údajů

Tato smlouva upravuje, jak zpracováváme osobní údaje, které do systému Prorok CRM vkládá náš zákazník. Uzavírá se podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR) a je nedílnou součástí Všeobecných obchodních podmínek. Zákazník ji odsouhlasuje při registraci. Na žádost ji poskytneme i jako samostatný dokument k podpisu.

Článek 1. Smluvní strany a jejich postavení

1.1 Správcem je Zákazník, tedy firma, která systém Prorok CRM používá. Určuje účely a prostředky zpracování osobních údajů, které do systému vkládá.

1.2 Zpracovatelem je M-CORE s.r.o., se sídlem Lesnícka 14, 080 05 Prešov, IČO: 46971211, zapsaná v obchodním rejstříku: Obchodný register Okresného súdu Prešov, oddiel Sro, vložka č. 27475/P, zastoupená jednatelem: Ľubomír Motyľ.

1.3 Tato smlouva se nevztahuje na údaje, u nichž je správcem Zpracovatel, tedy zejména na fakturační a kontaktní údaje Zákazníka. Ty jsou upraveny v Zásadách ochrany osobních údajů na stránce prorokcrm.cz/ochrana-osobnich-udaju.

Článek 2. Předmět, povaha, účel a doba zpracování

2.1 Předmětem zpracování jsou osobní údaje obsažené v datech, která Zákazník nebo jeho uživatelé do systému vloží nebo v něm vytvoří.

2.2 Povahou zpracování je uchovávání, uspořádání, zobrazování, úprava, vyhledávání, zálohování, přenos a výmaz dat, a to automatizovanými prostředky v rámci provozu systému.

2.3 Účelem zpracování je výhradně poskytování služby Prorok CRM podle Všeobecných obchodních podmínek. Zpracovatel neurčuje vlastní účely zpracování.

2.4 Doba zpracování odpovídá době trvání smlouvy o poskytování služby, prodloužené o období pro export a výmaz dat podle článku 12.

Článek 3. Kategorie subjektů údajů a typy osobních údajů

3.1 Kategorie subjektů údajů podle toho, jaké části systému Zákazník používá:

• zaměstnanci a spolupracovníci Zákazníka,
• zákazníci a klienti Zákazníka a jejich kontaktní osoby,
• dodavatelé Zákazníka a jejich kontaktní osoby,
• uchazeči o zaměstnání u Zákazníka,
• zájemci, kteří Zákazníka oslovili přes formulář, chat nebo rezervační systém,
• účastníci schůzek a hovorů, které Zákazník v systému eviduje.

3.2 Typy osobních údajů:

• identifikační údaje: jméno, příjmení, titul, datum narození, identifikační číslo osoby,
• kontaktní údaje: adresa, e-mail, telefon,
• pracovní údaje: pracovní pozice, pracovní doba, docházka, mzdové údaje, používá-li Zákazník modul lidských zdrojů,
• obchodní údaje: objednávky, doklady, platby, komunikace,
• technické údaje: záznamy o přihlášení a o změnách v systému,
• zvukové záznamy a jejich přepisy, používá-li Zákazník funkci nahrávání.

3.3 Zákazník je povinen posoudit, zda do systému vkládá zvláštní kategorie osobních údajů podle čl. 9 GDPR nebo údaje o odsouzeních podle čl. 10 GDPR a zda k tomu má právní základ. Systém není určen ke zpracování zvláštních kategorií údajů nad rámec toho, co Zákazníkovi ukládá pracovněprávní předpis.

Článek 4. Pokyny správce

4.1 Zpracovatel zpracovává osobní údaje výhradně na základě doložených pokynů Zákazníka. Za doložený pokyn se považuje tato smlouva, Všeobecné obchodní podmínky a nastavení a užívání funkcí systému Zákazníkem a jeho uživateli.

4.2 Zpracovatel nezpracovává osobní údaje pro vlastní účely. Nepoužívá je k trénování ani zlepšování modelů umělé inteligence, k vlastnímu marketingu, ani je neprodává.

4.3 Má-li Zpracovatel za to, že pokyn Zákazníka porušuje právní předpisy o ochraně osobních údajů, neprodleně o tom Zákazníka informuje a je oprávněn provedení pokynu odepřít.

4.4 Je-li Zpracovatel povinen zpracovávat osobní údaje na základě práva Evropské unie nebo členského státu, informuje o tomto požadavku Zákazníka před zpracováním, ledaže to daný předpis zakazuje z důvodů důležitého veřejného zájmu.

Článek 5. Mlčenlivost

5.1 Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly písemně zavázány mlčenlivostí nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

5.2 Povinnost mlčenlivosti trvá i po skončení pracovněprávního nebo obdobného vztahu těchto osob a i po skončení této smlouvy.

5.3 Přístup k údajům Zákazníka mají jen osoby, které jej potřebují k plnění svých úkolů, a to v nezbytném rozsahu.

Článek 6. Zabezpečení zpracování

6.1 Zpracovatel přijal technická a organizační opatření podle čl. 32 GDPR. Jejich seznam je zveřejněn na stránce prorokcrm.cz/bezpecnost a tvoří přílohu této smlouvy.

6.2 Zpracovatel je oprávněn opatření měnit a rozvíjet. Změna nesmí snížit dosaženou úroveň ochrany.

Článek 7. Další zpracovatelé

7.1 Zákazník uděluje Zpracovateli obecné písemné povolení k zapojení dalších zpracovatelů podle čl. 28 odst. 2 GDPR. Aktuální seznam je zveřejněn na stránce prorokcrm.cz/dodavatele a tvoří přílohu této smlouvy.

7.2 O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje Zpracovatel Zákazníka nejméně 30 dnů předem, a to e-mailem na kontaktní adresu Zákazníka a zveřejněním na stránce podle bodu 7.1.

7.3 Zákazník je oprávněn do 30 dnů od doručení oznámení podat proti změně odůvodněnou námitku. Nedohodnou-li se strany na řešení, je Zákazník oprávněn vypovědět smlouvu o poskytování služby ke dni účinnosti změny bez sankce a s vrácením poměrné části uhrazeného předplatného.

7.4 Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti ochrany údajů, jaké má sám, a odpovídá Zákazníkovi za plnění jejich povinností v plném rozsahu.

Článek 8. Předání do třetích zemí

8.1 Provoz systému a zálohy jsou umístěny v Evropské unii.

8.2 U funkcí umělé inteligence se data, která uživatel ke zpracování odešle, předávají poskytovatelům modelů a mohou být zpracovávána mimo Evropský hospodářský prostor. Jde o zpracování, které Zákazník spouští vlastním úkonem v systému.

8.3 Předání podle bodu 8.2 je zajištěno standardními smluvními doložkami podle čl. 46 odst. 2 písm. c GDPR, které jsou součástí smlouvy o zpracování údajů uzavřené s každým takovým poskytovatelem. Jmenovitý seznam těchto poskytovatelů včetně místa zpracování je přílohou této smlouvy a je zveřejněn na stránce prorokcrm.cz/dodavatele.

8.4 Podrobnosti o tom, které funkce data odesílají, jsou na stránce prorokcrm.cz/umela-inteligence. Zákazník je oprávněn požádat o vypnutí funkcí umělé inteligence pro celý svůj účet.

Článek 9. Součinnost při právech subjektů údajů

9.1 Obrátí-li se subjekt údajů se žádostí přímo na Zpracovatele, ten ji bez zbytečného odkladu předá Zákazníkovi a sám na ni věcně neodpoví.

9.2 Zpracovatel poskytne Zákazníkovi přiměřenou součinnost při vyřizování žádostí podle kapitoly III GDPR, a to s ohledem na povahu zpracování a prostřednictvím funkcí systému, zejména exportu, opravy a výmazu dat.

9.3 Je-li součinnost nad rámec funkcí systému nepřiměřeně náročná, Zpracovatel na to Zákazníka předem upozorní a dohodne s ním rozsah a náklady.

Článek 10. Porušení zabezpečení osobních údajů

10.1 Zpracovatel ohlásí Zákazníkovi každé porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozvěděl, nejpozději však do 24 hodin. Kratší lhůta než 72 hodin je zvolena záměrně, aby Zákazník stihl splnit vlastní ohlašovací povinnost podle čl. 33 odst. 1 GDPR.

10.2 Ohlášení obsahuje popis povahy porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky a opatření, která Zpracovatel přijal nebo navrhuje přijmout.

10.3 Zpracovatel poskytne Zákazníkovi veškerou součinnost potřebnou ke splnění povinností podle čl. 33 a 34 GDPR a v přiměřeném rozsahu i při posouzení vlivu podle čl. 35 a při konzultaci podle čl. 36 GDPR.

Článek 11. Audit a prokazování souladu

11.1 Zpracovatel zpřístupní Zákazníkovi na žádost informace potřebné k prokázání splnění povinností podle čl. 28 GDPR.

11.2 Zákazník je oprávněn provést audit nejvýše jednou za dvanáct měsíců, po písemném oznámení nejméně 30 dnů předem, v pracovní dny a způsobem, který nepřiměřeně nezasahuje do provozu. Osoba provádějící audit musí být vázána mlčenlivostí a nesmí být konkurentem Zpracovatele.

11.3 Nad rámec bodu 11.2 je Zákazník oprávněn provést audit kdykoli, došlo-li k porušení zabezpečení osobních údajů nebo nařídí-li to dozorový úřad.

11.4 Náklady auditu podle bodu 11.2 nese Zákazník. Odhalí-li audit podstatné porušení povinností Zpracovatele, nese náklady Zpracovatel.

Článek 12. Výmaz nebo vrácení údajů

12.1 Po skončení poskytování služby má Zákazník po dobu 30 dnů přístup ke svým datům v režimu pouze pro čtení a možnost exportovat je ve strojově čitelném formátu. Export je bezplatný.

12.2 Po uplynutí lhůty podle bodu 12.1 Zpracovatel osobní údaje nenávratně smaže včetně záloh, nejpozději do 90 dnů.

12.3 Neplatí to pro údaje, které je Zpracovatel povinen uchovávat podle práva Evropské unie nebo členského státu, zejména pro účetní a daňové doklady. Tyto údaje se uchovávají pouze pro daný zákonný účel a nadále se na ně vztahuje článek 5.

12.4 Na žádost vydá Zpracovatel Zákazníkovi písemné potvrzení o výmazu.

Článek 13. Odpovědnost

13.1 Odpovědnost stran se řídí čl. 82 GDPR a příslušnými právními předpisy.

13.2 Zákazník odpovídá za to, že má právní základ ke zpracování údajů, které do systému vkládá, že splnil informační povinnost vůči subjektům údajů a že jeho pokyny jsou v souladu s právem.

13.3 Omezení náhrady újmy podle Všeobecných obchodních podmínek se nevztahuje na pokuty uložené dozorovým úřadem přímo Zpracovateli za jeho vlastní porušení.

Článek 14. Závěrečná ustanovení

14.1 Tato smlouva nabývá účinnosti dnem uzavření smlouvy o poskytování služby a zaniká výmazem dat podle článku 12.

14.2 Při rozporu mezi touto smlouvou a Všeobecnými obchodními podmínkami má ve věcech ochrany osobních údajů přednost tato smlouva.

14.3 Změna této smlouvy se oznamuje stejně jako změna Všeobecných obchodních podmínek, tedy nejméně 30 dnů předem.

14.4 Dozorovým úřadem pro Zákazníka se sídlem v České republice je Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7.

Účinnost

Toto znění je účinné od 11. září 2026. O každé změně informujeme předem a předchozí znění archivujeme.