Tato smlouva upravuje zpracování osobních údajů, které Palletoo provádí pro zákazníka podle čl. 28 GDPR. Je přílohou a nedílnou součástí Všeobecných obchodních podmínek Palletoo (VOP) a uzavírá se spolu s nimi.
1. Smluvní strany, předmět a doba trvání
1.1 Správce: zákazník, který s Palletoo uzavřel smlouvu podle VOP (dále „Správce“).
1.2 Zpracovatel: Hifour s.r.o., IČO 47537841, se sídlem Dobrovského 1076/36, 170 00 Praha 7, provozovatel aplikace Palletoo (dále „Zpracovatel“).
1.3 Pojmy mají význam podle nařízení (EU) 2016/679 (GDPR). „Službou“ se rozumí služba Palletoo podle VOP.
1.4 Zpracovatel zpracovává osobní údaje pro Správce pouze za účelem poskytování Služby. Předmět, povaha a účel zpracování, druhy osobních údajů a kategorie subjektů údajů jsou uvedeny v Příloze 1.
1.5 Smlouva se uzavírá na dobu trvání smlouvy podle VOP. Povinnosti, které mají podle své povahy trvat déle (mlčenlivost, výmaz, součinnost), trvají i po jejím skončení.
1.6 Tato smlouva se nevztahuje na osobní údaje, které Zpracovatel zpracovává jako správce pro vlastní účely, zejména na:
- údaje o přepravách, které si Správce u Zpracovatele objedná a které Zpracovatel zajišťuje vlastním jménem u partnerských dopravců,
- údaje o účtu, fakturaci, bezpečnosti Služby a obchodní sdělení.
Tyto údaje upravují VOP a Zásady ochrany osobních údajů Palletoo.
2. Povinnosti zpracovatele
2.1 Pokyny. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, a to i pokud jde o předání do třetích zemí. Doloženými pokyny jsou tato smlouva, VOP a úkony, které Správce nebo jeho uživatelé provedou ve Službě (např. vložení přepravy, potvrzení poptávky, odeslání zprávy dopravci). Další pokyny lze dát písemně, a pokud jdou nad rámec Služby, může je Zpracovatel podmínit úhradou nákladů.
2.2 Pokud Zpracovatelu ukládá zpracování právo EU nebo členského státu, informuje Správce předem, ledaže to tento právní předpis zakazuje.
2.3 Pokud má Zpracovatel za to, že pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů, neprodleně na to Správce upozorní a do jeho vyjádření nemusí pokyn provést.
2.4 Účelové omezení. Zpracovatel nepoužívá osobní údaje Správce pro vlastní účely, neprodává je a nepoužívá je k trénování ani zlepšování modelů umělé inteligence. Anonymizované a agregované provozní statistiky, ze kterých nelze identifikovat Správce ani subjekty údajů, nejsou osobními údaji Správce.
2.5 Mlčenlivost. Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány k mlčenlivosti smluvně nebo ze zákona a měly přístup jen v rozsahu nutném pro jejich úkol.
2.6 Odpovědnost Správce. Správce odpovídá za to, že má pro zpracování platný právní základ, že subjekty údajů (zejména kontaktní osoby, příjemce a dopravce) řádně informoval podle čl. 13 a 14 GDPR a že do Služby nevkládá zvláštní kategorie osobních údajů (čl. 9 GDPR) ani údaje o rozsudcích v trestních věcech.
3. Další zpracovatelé a předávání mimo EU
3.1 Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Seznam aktuálních dalších zpracovatelů je v Příloze 3 a na stránce Subdodavatelé.
3.2 O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje Zpracovatel Správce e-mailem nebo v aplikaci nejméně 30 dní předem. Správce může do té doby vznést odůvodněnou námitku z důvodu ochrany osobních údajů. Pokud se strany nedohodnou na řešení, může Správce smlouvu podle VOP vypovědět bez sankce s účinností ke dni zapojení nového zpracovatele.
3.3 Zpracovatel uloží každému dalšímu zpracovateli smlouvou stejné povinnosti na ochranu osobních údajů, jaké stanoví tato smlouva. Za plnění povinností dalšího zpracovatele odpovídá Zpracovatel Správci, jako by je plnil sám.
3.4 Osobní údaje lze předat do třetí země mimo EHP jen tehdy, je-li zajištěna ochrana podle kapitoly V GDPR, zejména na základě rozhodnutí Komise o odpovídající ochraně (včetně EU–US Data Privacy Framework) nebo standardních smluvních doložek. Konkrétní záruky jsou uvedeny v Příloze 3.
3.5 Poskytovatel e-mailové schránky, kterou Správce ke Službě připojí (Google, Microsoft), není dalším zpracovatelem Zpracovatele. Vztah s ním má Správce sám.
4. Zabezpečení a porušení zabezpečení
4.1 Zpracovatel přijímá technická a organizační opatření podle čl. 32 GDPR uvedená v Příloze 2. Může je měnit, pokud tím úroveň ochrany nesníží.
4.2 Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů Správce bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl. Ohlášení zašle na kontaktní e-mail účtu Správce.
4.3 Ohlášení obsahuje, pokud jsou údaje v tu chvíli k dispozici: popis porušení, kategorie a přibližný počet dotčených subjektů a záznamů, pravděpodobné důsledky, přijatá nebo navržená opatření a kontakt pro další informace. Chybějící informace Zpracovatel doplňuje postupně.
4.4 Ohlášení podle tohoto článku neznamená uznání odpovědnosti. Ohlášení dozorovému úřadu a subjektům údajů činí Správce; Zpracovatel mu k tomu poskytne součinnost.
5. Součinnost, audit, ukončení a odpovědnost
5.1 Práva subjektů údajů. Zpracovatel Správci pomáhá vhodnými opatřeními plnit povinnost reagovat na žádosti subjektů údajů. Většinu žádostí (přístup, oprava, výmaz, export) může Správce vyřídit sám ve Službě. Žádost, kterou subjekt údajů zašle přímo Zpracovateli, mu Zpracovatel bez zbytečného odkladu předá a sám na ni věcně neodpovídá.
5.2 Další součinnost. Zpracovatel Správci v rozsahu odpovídajícím povaze zpracování pomáhá plnit povinnosti podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace).
5.3 Audit. Zpracovatel poskytne Správci informace nutné k doložení splnění povinností podle čl. 28 GDPR, zejména tuto smlouvu, popis opatření a případné certifikace dalších zpracovatelů. Správce nebo jím pověřený auditor vázaný mlčenlivostí může provést audit nejvýše jednou za 12 měsíců, s oznámením alespoň 30 dní předem, v pracovní době a bez narušení provozu Služby. Častější audit je možný po porušení zabezpečení nebo na pokyn dozorového úřadu. Náklady auditu nese Správce.
5.4 Výmaz a vrácení. Po skončení smlouvy si může Správce po dobu 30 dní exportovat svá data ze Služby. Poté Zpracovatel osobní údaje Správce vymaže, ledaže právo EU nebo členského státu vyžaduje jejich uložení. Ze záloh se údaje vymažou v rámci běžného cyklu jejich přemazávání, nejpozději do 30 dní.
5.5 Odpovědnost. Odpovědnost stran za škodu se řídí čl. 82 GDPR a omezeními odpovědnosti ve VOP. Omezení se nevztahuje na škodu způsobenou úmyslně nebo z hrubé nedbalosti.
5.6 Přednost. V případě rozporu mezi touto smlouvou a VOP má ve věcech ochrany osobních údajů přednost tato smlouva. Smlouva se řídí právem České republiky.
Příloha 1 – Popis zpracování
| Položka | Popis |
|---|---|
| Předmět a účel | Poskytování Služby: evidence a řízení přeprav, rozesílání poptávek dopravcům, komunikace s dopravci, zpracování dokumentů a odpovědí dopravců, sledování zásilek. Nevztahuje se na přepravy objednané u Zpracovatele (čl. 1.6) |
| Povaha | Uložení, organizace, vyhledávání, odesílání e-mailem, automatizované zpracování textu dokumentů a odpovědí pomocí AI, výmaz |
| Kategorie subjektů | Kontaktní osoby na místě nakládky a vykládky, příjemci zásilek, vlastní dopravci Správce a jejich kontaktní osoby a řidiči, další osoby uvedené Správcem v dokumentech |
| Druhy údajů | Jméno, telefon, e-mail, pracovní pozice, adresy nakládky a vykládky, údaje v přepravních dokumentech (CMR, dodací listy), obsah komunikace, SPZ vozidel, ceny a termíny |
| Připojená schránka a přístupy | Adresa a jméno schránky Správce a tokeny OAuth s oprávněním pouze k odesílání (Google gmail.send, Microsoft Mail.Send). Obsah schránky Zpracovatel nečte ani neukládá. Dále přístupové údaje k účtům Správce u jeho vlastních dopravců (API klíče, přihlašovací údaje), které Zpracovatel používá jen k odeslání objednávek potvrzených Správcem. |
| Doba zpracování | Po dobu trvání smlouvy a 30 dní po jejím skončení (čl. 5.4) |
Příloha 2 – Technická a organizační opatření
- šifrování přenosu (TLS) a šifrování tokenů ke schránkám a přístupových údajů k dopravcům (AES-256-GCM),
- hosting v datových centrech v EU (Hetzner, Německo),
- logické oddělení dat jednotlivých zákazníků,
- řízení přístupů podle role, přístup k produkčním datům jen pro oprávněné osoby, dvoufaktorové ověření administrátorských účtů,
- pravidelné zálohování s cyklem přemazávání 30 dní,
- záznamy o přístupech a bezpečnostních událostech uchovávané nejvýše 12 měsíců,
- pravidelné aktualizace systémů a závislostí,
- postup pro řešení bezpečnostních incidentů (čl. 4).
Zpracovatel opatření pravidelně přezkoumává.
Příloha 3 – Další zpracovatelé
Viz stránka Subdodavatelé, která je součástí této přílohy.
Partnerští dopravci, u kterých Zpracovatel vlastním jménem zajišťuje přepravy objednané Správcem, nejsou dalšími zpracovateli podle této smlouvy; tyto přepravy se řídí VOP.