Smlouva o zpracování osobních údajů

podle čl. 28 nařízení (EU) 2016/679 (GDPR) — vzor, který je součástí obchodních podmínek služby exam-test, případně přílohou individuální smlouvy.

Návrh Tento text je návrh a čeká na právní revizi. Do schválení služba nepřijímá samoobslužné registrace; smlouvy uzavíráme individuálně.

1. Strany

Správce: zákazník služby exam-test (organizace, která službu objednala nebo s poskytovatelem uzavřela smlouvu).

Zpracovatel: ABUCO ICT s.r.o., se sídlem Třebohostická 987/5, 100 00 Praha 10, IČO 29153905, Zapsáno v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 204821.

2. Předmět, doba a účel zpracování

2.1 Zpracovatel zpracovává osobní údaje pro správce výhradně za účelem poskytování služby exam-test: vedení uživatelských účtů, tvorby a zadávání testů, provedení a vyhodnocení zkoušek, vydávání protokolů a uchování výsledků.

2.2 Zpracování trvá po dobu smlouvy o poskytování služby a po dobu potřebnou k vrácení a výmazu údajů podle čl. 8.

3. Kategorie subjektů a údajů

• Uživatelé správce (administrátoři, lektoři, autoři, studující): jméno, e-mail, role, pobočka, záznamy o přihlášení a změnách.
• Zkoušení: jméno nebo identifikátor (vyžaduje-li ho správce), e-mail (je-li zadán), odpovědi, výsledky, protokoly, technický záznam průběhu pokusu (časy událostí, IP adresa, typ prohlížeče).

Zvláštní kategorie osobních údajů služba nevyžaduje; správce je do ní nemá vkládat, pokud k tomu nemá právní důvod.

4. Povinnosti zpracovatele

• zpracovávat údaje jen na doložené pokyny správce, kterými jsou i nastavení provedená správcem v aplikaci;
• zajistit mlčenlivost osob, které mají k údajům přístup;
• přijmout technická a organizační opatření podle čl. 32 GDPR, popsaná v příloze „Bezpečnostní a technický přehled“;
• být správci nápomocen při vyřizování žádostí subjektů údajů a při plnění povinností podle čl. 32 až 36 GDPR;
• ohlásit správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění;
• zpřístupnit správci informace potřebné k doložení plnění povinností a umožnit audit v přiměřeném rozsahu a po předchozím oznámení.

5. Přístup podpory

Technik podpory zpracovatele vstoupí do organizace správce v aplikaci jen se souhlasem správce nastaveným v aplikaci, s uvedením důvodu; každý vstup se zaznamená a oznámí administrátorům správce.

6. Další zpracovatelé

6.1 Správce uděluje obecné povolení k zapojení dalších zpracovatelů. Aktuální seznam (hosting, odesílání e-mailů, služba časových razítek) je přílohou této smlouvy.

6.2 O zamýšlené změně dalších zpracovatelů zpracovatel správce informuje nejméně 30 dnů předem; správce může vznést námitku a smlouvu vypovědět.

6.3 Údaje se nepředávají do třetích zemí mimo Evropský hospodářský prostor.

7. Doba uchování a anonymizace

Dobu uchování výsledků nastavuje správce v aplikaci. Po jejím uplynutí aplikace osobní údaje zkoušených anonymizuje, s výjimkou záznamů, které správce výslovně ochrání před anonymizací (ochrana záznamu).

8. Ukončení zpracování

Po skončení smlouvy zpracovatel předá správci export všech údajů organizace ve strojově čitelném formátu a poté údaje vymaže, včetně kopií, bez zbytečného odkladu, nestanoví-li právní předpis povinnost je uchovat. Ze záloh se údaje vymažou v rámci jejich běžné rotace.

Přílohy

• Bezpečnostní a technický přehled (technická a organizační opatření)
• Seznam dalších zpracovatelů — doplní provozovatel před spuštěním služby