PŘÍLOHA
Podmínek služby Convertim pro e-shopy:
Smlouva o zpracování osobních údajů

1. Strany

1.1. Eshop definovaný v objednávce služby Convertim (Správce), a Shopsys s.r.o., jako poskytovatel služby Convertim (Poskytovatel).

2.Základní informace o zpracování

2.1. Poskytovatel bude Správci poskytovat službu procesování objednávek na e-shopu Správce (Spolupráce). Tím je dán předmět a povaha zpracování podle této smlouvy.

2.2. Kategorie subjektů: Uživatelé e-shopu Správce.

2.3. Účel zpracování: Plnění povinností Poskytovatele vůči Správci v rámci Spolupráce.

2.4. Typ osobních údajů: Identifikační údaje, kontaktní údaje, platební údaje, údaje o nákupu v e-shopu a další případné údaje uvedené v objednávkách zpracovávaných Poskytovatelem.

2.5. Zpracování mimo EHP: Ne, Poskytovatel pracuje s údaji jen ve státech EHP.

2.6. Správce a Poskytovatel jsou ve vztahu Spolupráce, kdy Poskytovatel poskytuje Správci plnění určené v objednávce a Podmínkách služby Convertim pro e-shopy, jejichž přílohou je tato smlouva o zpracování. Tato smlouva se vztahuje na osobní údaje, se kterými Poskytovatel v rámci pracuje jako zpracovatel pro Správce. Vedle toho může Poskytovatel se stejnými osobními údaji pracovat i jako samostatný správce, pokud se uživatel registroval nebo registruje do služby Convertim. Správce a Poskytovatel jsou povinni zpracovávat osobní údaje v souvislosti se Spoluprací v souladu s právními předpisy, zejména v souladu s nařízením (EU) 2016/679 (GDPR).

3. Oznamování a spolupráce

3.1. Události a lhůta: Poskytovatel uvědomí Správce okamžitě, nejpozději však do 72 hodin, pokud zjistí nebo se bude důvodně domnívat, že došlo k některé z následujících skutečností: (i) nedodržení ustanovení této smlouvy nebo GDPR nebo jiných právních předpisů o ochraně údajů, nebo (ii) porušení zabezpečení osobních údajů.

3.2. Rozsah oznámení: V oznámení poskytne Poskytovatel Správci následující informace: (i) datum a čas incidentu, (ii) popis incidentu, (iii) jména osob, jejichž osobní údaje, jichž by se mohl incident dotknout, a (iv) kategorie osobních údajů dotčených incidentem.

3.3. Spolupráce při oznámení: Poskytovatel poskytne Správci plnou součinnost při prošetření takových případů, přijme příslušná nápravná opatření a na vlastní náklady ve spolupráci se Správcem doručí dotčeným osobám nebo správním úřadům veškerá z právního hlediska nutná oznámení a zpřístupní nutné informace.

3.4. Žádosti a šetření: Poskytovatel oznámí Správci okamžitě, nejpozději však do 3 dnů: (i) stížnosti nebo žádosti subjektů údajů (např. o opravu, výmaz a blokování údajů) ve vztahu k osobním údajům a (ii) oznámení příkazy nebo žádosti příslušných dozorčích úřadů nebo soudů ve vztahu k osobním údajům.

3.5. V těchto případech Poskytovatel požádá Správce o pokyny.

4. Povinnosti Poskytovatele podle článku 28 GDPR

4.1. Zpracování jen podle pokynů Správce: Poskytovatel bude zpracovávat osobní údaje jen podle pokynů Správce. Takovým pokynem může být i využívání služeb v rámci Spolupráce anebo vzájemná komunikace v rámci Spolupráce. Na žádost Správce Poskytovatel potvrdí Správci přijetí pokynů například odpovědí na e-mail nebo podpisem kopie dokumentu s pokyny. Správce dává Poskytovateli pokyn ke zpracování údajů formou anonymizace a agregace za účelem použití takto anonymizovaných a agregovaných dat ke zlepšení služby Convertim. Správce souhlasí s tím, že součástí zpracování bude i nabídka pro uživatele k registraci do služby Convertim za účelem následného celkového zlepšení uživatelské zkušenosti, konkrétně pohodlnějšího nakupování.

4.2. Mlčenlivost: Poskytovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

4.3. Zabezpečení: Poskytovatel zváží stav techniky, náklady na provedení, povahu, rozsah, kontext, účel zpracování, pravděpodobnost a závažnost rizika pro práva a svobody fyzických osob a provede vhodná technická a organizační opatření, aby zajistil úroveň zabezpečení odpovídající danému riziku. Minimální technická a organizační opatření: Přístupová hesla do systému, kde budou osobní údaje uchovány a zpracovány a oprávnění k přístupu kontrolované na úrovni jednotlivců, aktualizace IT systémů, pravidelné zálohování.

4.4. Další zpracovatelé: Správce souhlasí s tím, že Poskytovatel může do zpracování zapojit tyto další zpracovatele: Individuální developeři poskytující služby vývoje nebo údržby objednávkového formuláře, poskytovatel hostingu nebo jiné infrastruktury, zejména Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855, Luxembourg, Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Ireland, Twilio Ireland Limited, 25-28 North Wall Quay, Dublin 1, Ireland. Správce souhlasí s tím, aby Poskytovatel zapojil i další zpracovatele, pokud je Poskytovatel potřebuje pro Spolupráci, při dodržení tohoto postupu: Poskytovatel oznámí každého nově zvažovaného dalšího zpracovatele minimálně 30 dní před jeho zapojením. Klient může takovému zapojení odmítnout do deseti dnů od oznámení. V tom případě Poskytovatel buď (i) nezapojí takového zpracovatele nebo (ii) umožní Správci ukončit Spolupráci nejpozději ke dni zapojení nového zpracovatele. Každému dalšímu zpracovateli musí být uloženy alespoň povinnosti, které má Poskytovatel podle této smlouvy.

4.5. Zpracování mimo EU: Poskytovatel bude osobní údaje zpracovávat jen na území EU a při volbě cloudových nástrojů bude vždy nastavovat datacentra v EU. Další zpracovatelé přesto mohou vyjímečně zpracovávat údaje i mimo EU, což bude ošetřeno standardními smluvními doložkami.

4.6. Žádosti subjektů údajů: Poskytovatel zohlední povahu zpracování a bude Správci nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, pro splnění Správcovy povinnosti reagovat na žádosti o výkon práv subjektu údajů stanovených v kapitole III GDPR, zejména tedy právo na informace a ostatní práva subjektů údajů.

4.7. Spolupráce při zabezpečení a dalších opatření: Poskytovatel zohlední povahu zpracování a informací, jež má k dispozici a bude Správci nápomocen při zajišťování souladu s povinnostmi podle článků 32 až 36 GDPR, tedy zejména povinností k zabezpečení, ohlašování a oznamování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a konzultace s Úřadem pro ochranu osobních údajů.

4.8. Výmaz: Po ukončení Spolupráce Poskytovatel na základě pokynu Správce osobní údaje buď vymaže, nebo je vrátí Správci a vymaže kopie, ledaže bude sám vůči stejným údajů samostatným správce.

4.9. Audit: Poskytovatel poskytne Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v této smlouvě a GDPR, a umožní Správci nebo jemu pověřené osobě, aby kontrolovali dodržování povinností podle této smlouvy a GDPR.

5. Uzavření a trvání smlouvy

5.1. Tato smlouva se uzavírá uzavřením objednávky na služby Convertim, jejíž součástí jsou Podmínky služby Convertim pro e-shopy včetně této smlouvy. Tato smlouva trvá po dobu trvání Spolupráce.

Datum: 4.7.2024