SMLOUVA O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ (DPA)

Tato DPA je součástí Klientské smlouvy, pokud HouseID zpracovává osobní údaje jménem Klienta. Klient je správce a HouseID zpracovatel; u vlastních účtů, fakturace, zabezpečení, právních povinností a vlastního B2B kontaktu může být HouseID samostatným správcem podle části C.

Předmět: provoz portálu, ukládání a třídění dokumentů, projektová implementace, uživatelská a přístupová správa, reporting, podpora, bezpečnost, zálohování, schválené analýzy a integrace. Doba: po trvání Klientské smlouvy a omezená výstupní, zálohovací a zákonná retenční období. Účel a rozsah nesmí být rozšířen bez doloženého pokynu a případného change requestu.

Subjekty údajů mohou zahrnovat zaměstnance, spolupracovníky, správce, dodavatele, kontaktní osoby, návštěvníky objektů a jiné osoby uvedené Klientem. Údaje mohou zahrnovat identitu, kontakt, roli, oprávnění, projektovou a provozní komunikaci, smluvní metadata, školení, přístupy, auditní záznamy a obsah dokumentů. Zvláštní kategorie, trestní údaje, biometrika a údaje dětí jsou vyloučeny, nejsou-li výslovně popsány v Objednávce s právním základem a posouzením rizik.

HouseID zpracovává pouze na doložené pokyny Klienta včetně přenosů, ledaže právo vyžaduje jinak; tehdy Klienta předem informuje, není-li to zakázáno. Upozorní Klienta, pokud má za to, že pokyn porušuje GDPR nebo jiné právo, a do vyjasnění může dotčenou operaci pozastavit.

Osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí, školeny a mají pouze nezbytný přístup podle role. HouseID vede proces nástupu, změny a odchodu, pravidelnou recertifikaci oprávnění a evidenci privilegovaných přístupů. Sdílené účty jsou zakázány kromě technických účtů s vlastní správou tajemství a auditní stopou.

HouseID zavede opatření podle čl. 32 GDPR a části G, zejména řízení identit a rolí, MFA, oddělení klientů, šifrovaný přenos, šifrování spravovaného úložiště, bezpečnou správu tajemství, logování, monitoring, zálohy, obnovu, řízení zranitelností, bezpečný vývoj, dodavatelské řízení a pravidelné testování účinnosti. Konkrétní parametry se doloží zákaznickým bezpečnostním listem; nepodložená certifikace se neuvádí.

Klient uděluje obecné písemné povolení k subzpracovatelům uvedeným v části H. HouseID oznámí zamýšlenou změnu nejméně 30 dnů předem a poskytne informace pro odůvodněnou námitku. Námitku Strany řeší v dobré víře; není-li přijatelné opatření, Klient může ukončit dotčenou službu. HouseID uloží subzpracovateli v zásadě stejné povinnosti a zůstává za něj odpovědný.

HouseID s přihlédnutím k povaze zpracování pomáhá Klientovi vyřizovat práva subjektů. Žádost předá bez zbytečného odkladu a neodpoví za Klienta bez pověření. Pomůže s bezpečností, incidenty, DPIA a předchozí konzultací. Rutinní přiměřená součinnost je v ceně; mimořádná práce způsobená pokynem Klienta může být po předchozím odhadu účtována, nesmí však bránit zákonné povinnosti.

HouseID oznámí Klientovi potvrzené porušení zabezpečení osobních údajů bez zbytečného odkladu po zjištění, cílově do 24 hodin od potvrzení, a poskytne dostupné informace: povahu, kategorie a přibližné počty, kontakt, pravděpodobné následky, přijatá opatření a aktualizace. Cílová lhůta není přiznáním odpovědnosti ani náhradou za vlastní 72hodinovou povinnost Klienta. HouseID zachová důkazy a koordinuje komunikaci.

HouseID zpřístupní informace potřebné k doložení souladu a umožní jednou ročně audit dokumentace nebo nezávislé zprávy s přiměřeným předstihem, rozsahem a mlčenlivostí. Kontrola na místě je až při důvodném závažném riziku nebo požadavku úřadu, během pracovní doby a bez přístupu k datům jiných klientů. Každá Strana nese běžné náklady; zjištěný podstatný nesoulad napraví HouseID na vlastní náklad.

Přenos mimo EHP proběhne pouze na doložený pokyn nebo jako schválená součást služby a v souladu s kapitolou V GDPR. HouseID zdokumentuje mechanismus, posoudí riziko třetí země, zavede doplňková opatření a na žádost poskytne podstatné informace. Rozhodnutí Komise 2021/915 pro vztah správce–zpracovatel samo o sobě není mechanismem mezinárodního přenosu; kde je třeba, použijí se doložky 2021/914 nebo jiný platný nástroj.

Po skončení HouseID podle volby Klienta vrátí nebo vymaže osobní údaje, neukládá-li právo jinak. Aktivní data se řeší po výstupní lhůtě; zálohy v potvrzeném rotačním cyklu. Po dobu uchování zůstávají údaje chráněny a nepoužijí se k jinému účelu. Na žádost HouseID doloží dokončení a výjimky.