Podmínky zpracování osobních údajů (DPA)

Článek I. — Předmět smlouvy a parametry zpracování

1. Tyto Podmínky zpracování osobních údajů (DPA) upravují práva a povinnosti Správce a Zpracovatele při zpracování osobních údajů v souvislosti s poskytováním služeb MODERNÍK.

2. Správce: Partner identifikovaný ve Smlouvě o partnerství MODERNÍK a ve Specifikaci objednaných služeb.

3. Zpracovatel: Jiří Hakl, IČO 24552488, sídlo Aubrechtové 3110/8, 106 00 Praha 10 – Záběhlice, e-mail info@modernik.cz. MODERNÍK není samostatnou právnickou osobou ani zpracovatelem.

4. Zpracovatel zpracovává osobní údaje výhradně jménem Správce, v rozsahu nezbytném pro poskytování sjednaných služeb a pouze podle doložených pokynů Správce, pokud právní předpis nestanoví jinak.

5. Tyto Podmínky tvoří nedílnou součást Smlouvy o partnerství MODERNÍK.

Parametry zpracování

6. Předmětem zpracování je zpracování osobních údajů zákazníků, potenciálních zákazníků, klientů a pracovníků, zaměstnanců a spolupracovníků Partnera prostřednictvím služeb MODERNÍK, zejména rezervačního systému, prostředí FLOW, Materiálníku (je-li sjednán) a dalších funkcí sjednaných ve Specifikaci objednaných služeb.

7. Povaha zpracování spočívá zejména v uložení, uspořádání, zobrazení, přenosu, zálohování a výmazu údajů v informačních systémech Zpracovatele, které Správce používá k provozu své provozovny.

8. Účelem zpracování je poskytování sjednaných služeb MODERNÍK Správci, zejména správa rezervací, provoz webu a administrace, evidence klientů, provoz FLOW, případně Materiálníku, automatizovaná komunikace související se službou a ochrana proti zneužití rezervačního systému.

9. Druhy osobních údajů vyplývají z článku III. Kategorie subjektů údajů jsou zejména zákazníci a potenciální zákazníci Partnera, klienti vedení v evidenci provozovny a pracovníci, zaměstnanci a spolupracovníci Partnera.

10. Doba zpracování trvá po dobu poskytování sjednaných služeb a dále po dobu stanovenou v článku VII, případně po dobu vyžadovanou právními předpisy. Naložení s údaji po skončení služeb stanoví článek XII.

Článek II. — Účel zpracování osobních údajů

Osobní údaje jsou zpracovávány výhradně za účelem poskytování služeb podle Smlouvy o partnerství a Specifikace objednaných služeb.

Služby MODERNÍK rozlišují zejména následující režimy zpracování:

A. Rezervační systém

Účelem zpracování je zejména:

vytvoření rezervace,
ověření e-mailové adresy zákazníka,
potvrzení rezervace,
změna nebo zrušení rezervace,
zasílání automatizovaných systémových oznámení,
zasílání QR plateb, pokud je tato služba využívána,
zasílání poděkování za návštěvu,
zasílání žádosti o hodnocení nebo recenzi,
zabezpečení rezervačního systému,
ochrana proti zneužívání rezervačního systému, včetně evidence případů NO-show.

Tyto údaje nejsou určeny pro marketingové účely Partnera.

B. FLOW – Evidence klientů provozovny

FLOW umožňuje Partnerovi vytvářet dlouhodobou evidenci klientů provozovny. Samotná rezervace automaticky nevytváří dlouhodobou klientskou kartu.

Evidence klientů slouží zejména k:

vedení historie návštěv,
evidenci poskytnutých služeb,
evidenci použitých materiálů,
vedení interních poznámek,
zajištění návaznosti poskytovaných služeb,
správě vztahu mezi Partnerem a jeho klientem.

C. FLOW – provozovna a personál

FLOW dále slouží ke správě provozovny Partnera, včetně kalendářů, pracovní doby, oprávnění a identifikace pracovníků, zaměstnanců a spolupracovníků Partnera.

D. Materiálník

Je-li Materiálník sjednán ve Specifikaci, slouží zejména k evidenci materiálu a spotřeby. Zpracování může zahrnovat i údaje o tom, který pracovník Partnera provedl inventuru, spotřeboval materiál, vytvořil záznam nebo objednávku.

Článek III. — Kategorie zpracovávaných osobních údajů

Zpracovatel může zpracovávat zejména následující osobní údaje:

Zákazníci a klienti

Rezervační systém

e-mailová adresa,
přezdívka nebo jiné identifikační označení zákazníka, pokud je využíváno,
datum a čas rezervace,
objednaná služba,
identifikace pracovníka, k němuž je rezervace přiřazena,
IP adresa,
systémové identifikátory,
auditní záznamy,
technické údaje nezbytné pro provoz systému.

FLOW – Evidence klientů provozovny

V případě založení klientské karty mohou být dále zpracovávány zejména:

jméno zákazníka,
kontaktní údaje poskytnuté zákazníkem při založení klientské karty,
historie návštěv,
historie poskytnutých služeb,
interní poznámky Partnera,
informace o použitých materiálech,
servisní historie,
další údaje nezbytné pro poskytování služeb Partnerem.

Partner se zavazuje, že do interních poznámek nesmí zapisovat zvláštní kategorie osobních údajů podle čl. 9 GDPR (zejména údaje o zdravotním stavu, genetické nebo biometrické údaje, údaje o politických názorech, náboženském vyznání nebo jiné citlivé údaje), pokud pro jejich zpracování nemá odpovídající právní základ.

Pracovníci, zaměstnanci a spolupracovníci Partnera

V souvislosti s provozem FLOW, rezervací, Materiálníku a administrace mohou být zpracovávány zejména:

jméno a příjmení,
přihlašovací e-mail nebo jiné uživatelské jméno,
pracovní zařazení a oprávnění,
pracovní doba, kalendář a absence,
záznamy o činnosti v systému (například přiřazení k rezervaci, inventura, spotřeba materiálu),
technické a auditní údaje související s přístupem ke službám.

Článek IV. — Povinnosti Zpracovatele

Zpracovatel se zavazuje zejména:

zpracovávat osobní údaje pouze podle pokynů Správce,
přijmout odpovídající technická a organizační opatření k ochraně osobních údajů,
zajistit mlčenlivost všech osob, které přicházejí do styku s osobními údaji,
poskytovat Správci přiměřenou součinnost při plnění jeho povinností podle GDPR,
bez zbytečného odkladu oznámit Správci porušení zabezpečení osobních údajů,
poskytnout Správci informace potřebné k doložení souladu s touto smlouvou a čl. 28 GDPR a umožnit přiměřený audit nebo inspekci.

2. Oznámení o porušení zabezpečení podle písmene e) obsahuje, pokud jsou informace dostupné, alespoň:

povahu incidentu,
dotčené kategorie údajů a přibližný počet subjektů údajů,
pravděpodobné důsledky,
přijatá nebo navržená nápravná opatření.

Tím není dotčena případná povinnost Správce oznámit incident Úřadu pro ochranu osobních údajů nebo subjektům údajů.

3. Audit nebo inspekce podle písmene f) se provádí po předchozím oznámení, v přiměřeném rozsahu a způsobem, který nenaruší bezpečnost služeb ani práva ostatních Partnerů. Správce nemá nárok na neomezený přístup k infrastruktuře, zdrojovým kódům ani údajům jiných Partnerů.

Článek V. — Povinnosti Správce

1. Partner jako Správce odpovídá za zákonnost zpracování osobních údajů, které předává Zpracovateli.

2. Partner je povinen zajistit, že osobní údaje byly získány a jsou zpracovávány v souladu s GDPR a dalšími právními předpisy.

3. Partner odpovídá zejména za:

určení účelu zpracování,
informování subjektů údajů,
správnost předávaných údajů,
poskytování pokynů Zpracovateli,
vyřizování práv subjektů údajů za součinnosti Zpracovatele.

4. Partner odpovídá za obsah údajů zapisovaných do FLOW, Materiálníku a dalších sjednaných služeb svými oprávněnými pracovníky.

5. Partner zajistí, aby oprávnění pracovníci měli přístup pouze k údajům nezbytným pro výkon své pracovní činnosti.

6. Partner odpovídá za získání všech souhlasů nebo splnění jiných právních podmínek potřebných pro vedení Evidence klientů provozovny, pokud jsou podle právních předpisů vyžadovány.

Článek VI. — Režimy zpracování osobních údajů

Rezervační systém

1. Rezervační systém slouží výhradně k vytvoření, potvrzení, správě a dokončení rezervace.

2. Rezervace vzniká až okamžikem potvrzení zákazníkem prostřednictvím ověřovacího odkazu zaslaného na jím zadanou e-mailovou adresu.

3. Nepotvrzená rezervace se nepovažuje za dokončenou rezervaci.

4. E-mailová adresa zákazníka je po celou dobu zpracování v rezervačním systému uchovávána výhradně Zpracovatelem.

5. Partner ani jeho pracovníci nemají po žádnou dobu přístup k e-mailové adrese zákazníka vytvořené prostřednictvím rezervačního systému.

6. E-mailová adresa slouží výhradně pro:

ověření rezervace,
potvrzení rezervace,
změnu rezervace,
zrušení rezervace,
systémová oznámení,
zaslání QR platby, pokud je využívána,
poděkování za návštěvu,
žádost o hodnocení nebo recenzi,
ochranu proti NO-show podle článku VII.

7. Partner není oprávněn využívat údaje získané prostřednictvím rezervačního systému pro marketingová sdělení ani pro jinou komunikaci nesouvisející s poskytovanou službou.

FLOW – Evidence klientů provozovny

8. Evidence klientů provozovny představuje samostatnou funkcionalitu systému FLOW.

9. Karta klienta provozovny se vytváří pouze na žádost Partnera a po potvrzení zákazníkem prostřednictvím odkazu zaslaného na jeho e-mailovou adresu.

10. Bez tohoto potvrzení nevzniká dlouhodobá evidence klienta. Samotná rezervace automaticky nevytváří dlouhodobou klientskou kartu.

11. Po potvrzení může být zákazník propojen s kartou klienta provozovny.

12. Karta klienta provozovny může obsahovat zejména:

identifikační údaje klienta,
historii návštěv,
historii poskytnutých služeb,
interní poznámky,
informace o použitých materiálech,
servisní historii,
další údaje nezbytné pro poskytování služeb Partnerem.

13. Karta klienta provozovny je přístupná pouze oprávněným pracovníkům Partnera podle jejich uživatelských oprávnění.

14. Evidence klientů provozovny je vedena výhradně pro potřeby Partnera a tvoří součást jeho zákaznické evidence.

15. Veškeré údaje vedené v kartě klienta provozovny náleží Partnerovi jako správci osobních údajů, není-li právními předpisy stanoveno jinak.

Materiálník

16. Je-li Materiálník sjednán, probíhá zpracování v rozsahu potřebném pro evidenci materiálu a spotřeby, včetně údajů o pracovnících Partnera, kteří se záznamů účastní. Dostupnost a rozsah se řídí Specifikací.

Článek VII. — Uchování osobních údajů

1. Osobní údaje zpracovávané v rámci rezervačního systému jsou uchovávány pouze po dobu nezbytnou pro řádné poskytování sjednaných služeb.

2. E-mailová adresa použitá pro vytvoření rezervace není po žádnou dobu zpřístupněna Partnerovi.

3. Nejpozději do 24 hodin od skončení rezervované služby je e-mailová adresa v rezervaci anonymizována tak, aby již nebylo možné identifikovat konkrétní fyzickou osobu z obsahu rezervace.

4. V případě NO-show se e-mailová adresa použitá při rezervaci anonymizuje nejpozději do 24 hodin podle odstavce 3. Pro účely ochrany rezervačního systému před opakovaným zneužíváním může Zpracovatel následně uchovávat hash e-mailové adresy a související provozní údaje o NO-show po dobu nejvýše 12 měsíců od daného NO-show. Tyto údaje mohou být využity výhradně k ochraně rezervačního systému, zejména k varování a případné blokaci dalších online rezervací v téže provozovně. Po uplynutí této doby se záznam vymaže.

5. Údaje vedené v rámci Evidence klientů provozovny, FLOW a Materiálníku jsou uchovávány po dobu trvání vztahu mezi Partnerem a klientem, resp. po dobu trvání oprávnění pracovníka, nebo do zániku účelu jejich zpracování, případně do jejich výmazu na žádost Partnera nebo subjektu údajů.

6. Na žádost Partnera nebo subjektu údajů poskytne Zpracovatel bez zbytečného odkladu přiměřenou součinnost při výmazu osobních údajů, pokud jejich další uchování nevyžadují právní předpisy.

7. Anonymizované statistické údaje mohou být uchovávány po dobu až 12 měsíců.

Článek VIII. — Subzpracovatelé a mezinárodní předávání

1. Správce souhlasí s tím, že Zpracovatel může při plnění této smlouvy využívat další zpracovatele (subzpracovatele), pokud je to nezbytné pro řádné poskytování sjednaných služeb.

2. Zpracovatel odpovídá za to, že každý subzpracovatel poskytuje dostatečné záruky pro zavedení vhodných technických a organizačních opatření podle požadavků GDPR.

3. Zpracovatel zajistí, aby na každého subzpracovatele byly smluvně přeneseny povinnosti v rozsahu odpovídajícím této smlouvě.

4. Aktuální seznam subzpracovatelů tvoří Přílohu č. 3 ke Smlouvě o partnerství a je zveřejněn na www.modernik.cz/subzpracovatele.html.

5. Zpracovatel Správce předem informuje o zamýšleném přidání nebo nahrazení subzpracovatele a poskytne mu přiměřenou možnost vznést odůvodněné námitky. Nevznese-li Správce v poskytnuté lhůtě odůvodněné námitky, považuje se změna za přijatou. Seznam subzpracovatelů Zpracovatel následně aktualizuje.

6. Pokud subzpracovatel zpracovává osobní údaje mimo Evropský hospodářský prostor nebo dochází k mezinárodnímu předávání osobních údajů, Zpracovatel zajistí, aby existoval odpovídající mechanismus podle GDPR, zejména rozhodnutí o odpovídající ochraně, standardní smluvní doložky schválené Evropskou komisí nebo jiný zákonný nástroj.

Článek IX. — Bezpečnost zpracování

1. Zpracovatel přijímá přiměřená technická a organizační opatření odpovídající povaze, rozsahu, okolnostem a účelu zpracování osobních údajů.

2. Přístup k osobním údajům mají pouze osoby, které jej nezbytně potřebují pro plnění svých pracovních nebo smluvních povinností.

3. Zpracovatel zajišťuje zejména:

řízení přístupových oprávnění,
autentizaci uživatelů,
ochranu přenosu dat,
zálohování dat v přiměřeném rozsahu,
evidenci přístupů a auditních záznamů,
ochranu proti neoprávněnému přístupu.

4. Zpracovatel pravidelně vyhodnocuje přiměřenost přijatých bezpečnostních opatření a je oprávněn tato opatření průběžně aktualizovat podle vývoje technologií a bezpečnostních rizik.

5. Použití automatizovaných nástrojů nebo nástrojů využívajících umělou inteligenci při provozu, údržbě, podpoře nebo rozvoji služeb neopravňuje Zpracovatele předávat osobní údaje zákazníků nebo pracovníků Správce libovolným poskytovatelům AI služeb. Případní subzpracovatelé, kteří mohou přijít do styku s osobními údaji, se uvádějí v Příloze č. 3.

Článek X. — Práva subjektů údajů

1. Zpracovatel poskytne Správci přiměřenou součinnost při vyřizování žádostí subjektů údajů podle GDPR.

2. Jedná se zejména o žádosti týkající se:

přístupu k osobním údajům,
opravy osobních údajů,
výmazu osobních údajů,
omezení zpracování,
přenositelnosti údajů,
uplatnění námitky proti zpracování.

3. Pokud subjekt údajů uplatní své právo přímo vůči Zpracovateli, informuje o tom Zpracovatel bez zbytečného odkladu Správce, není-li právním předpisem stanoveno jinak.

4. Zpracovatel poskytne Správci potřebnou součinnost v rozsahu přiměřeném povaze požadavku.

Článek XI. — Mlčenlivost

1. Zpracovatel zajistí, aby všechny osoby podílející se na zpracování osobních údajů byly vázány povinností mlčenlivosti.

2. Povinnost mlčenlivosti trvá i po skončení pracovního nebo smluvního vztahu těchto osob.

3. Zpracovatel nesmí osobní údaje zpřístupnit třetím osobám, s výjimkou případů:

vyplývajících z právních předpisů,
nezbytných pro plnění této smlouvy,
uskutečněných prostřednictvím schválených subzpracovatelů.

Článek XII. — Doba trvání a naložení s údaji po skončení

1. Tyto Podmínky nabývají účinnosti současně se Smlouvou o partnerství.

2. Po dobu trvání Smlouvy o partnerství je Zpracovatel oprávněn zpracovávat osobní údaje v rozsahu stanoveném těmito Podmínkami.

3. Po ukončení poskytování služeb Zpracovatel podle volby Správce osobní údaje vymaže, nebo je Správci předá a následně vymaže jejich existující kopie, nestanoví-li právní předpis povinnost jejich dalšího uchování. Po ukončení poskytování příslušné služby se údaje uchovávané výhradně pro její provozní nebo bezpečnostní účely, včetně evidence NO-show, vymažou, není-li jejich další uchování nezbytné z důvodu právní povinnosti nebo jiného právního důvodu.

4. Anonymizované statistické údaje, z nichž nelze určit konkrétní fyzickou osobu, mohou být uchovány v rozsahu článku VII.

Článek XIII. — Závěrečná ustanovení

1. Tyto Podmínky představují smlouvu o zpracování osobních údajů podle čl. 28 GDPR.

2. Tyto Podmínky tvoří nedílnou součást Smlouvy o partnerství MODERNÍK.

3. Práva a povinnosti výslovně neupravené těmito Podmínkami se řídí GDPR, příslušnými právními předpisy České republiky a Smlouvou o partnerství včetně Všeobecných obchodních podmínek.

4. Změny těchto Podmínek lze provádět písemně nebo jiným způsobem připouštěným Smlouvou o partnerství a Všeobecnými obchodními podmínkami.

5. Pokud se některé ustanovení těchto Podmínek stane neplatným nebo neúčinným, nemá tato skutečnost vliv na platnost ostatních ustanovení.

6. Správce a Zpracovatel se zavazují nahradit neplatné ustanovení ustanovením novým, které bude svým účelem a významem nejbližší původnímu ustanovení.