Smlouva o zpracování
osobních údajů
(Data Processing Agreement)

Survio poskytuje uživatelům webových stránek, dotazníků, produktů a/nebo služeb Survio (dále jen „Uživatel“) datový prostor pro účely uložení získaných dat respondentů na serverech Survio. Součástí dat Uživatele mohou být též osobní údaje fyzických osob. Ve vztahu k osobním údajům, které Uživatel uloží na servery Survio (osobní údaje respondentů), vystupuje Survio jako zpracovatel osobních údajů (dále jen „Zpracovatel“). Uživatel, pro kterého jsou data ukládána, vystupuje na pozici správce (dále jen „Správce“).

Za účelem naplnění čl. 28 nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. 4. 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „GDPR“), uzavírají Správce a Zpracovatel, kteří budou označovaní též jako „Smluvní strana“, a společně jako „Smluvní strany“, tuto smlouvu o zpracování osobních údajů (dále jen „Smlouva“).

Další informace ohledně zpracování osobních údajů jsou uvedeny v Pravidlech ochrany osobních údajů, které jsou dostupné zde: https://www.survio.com/cs/pravidla-ochrany-soukromi.

V případě zájmu Uživatele může být tato Smlouva uzavřena jejím podpisem obou Smluvních stran. Za tímto účelem nás prosím kontaktujte na e-mail: support@survio.com.

I. ÚVODNÍ USTANOVENÍ

1. Smluvní strany konstatují, že uzavřely smlouvu o poskytování služeb (dále jen „Hlavní smlouva“), na základě které poskytuje Zpracovatel Správci služby spočívající v poskytnutí nástroje na tvorbu online dotazníku, poskytnutí datového prostoru a aplikace pro správu dotazníků (dále jen „Služby“).
2. Vzhledem k tomu, že v rámci spolupráce popsané v odst. 1 tohoto článku bude docházet k ukládání dat na servery Zpracovatele a může docházet i k předávání osobních údajů fyzických osob poskytnutých Správci, jsou Smluvní strany povinny mezi sebou uzavřít dle čl. 28 GDPR písemnou smlouvu o zpracování osobních údajů.
3. Služby Zpracovatele jsou poskytovány výhradně na území Evropské unie nebo ve státě Evropského hospodářského prostoru. Jakékoli přemístění Zpracovatele, jeho činnosti nebo jejích částí do třetí země vyžaduje předchozí souhlas Správce a může k němu dojít pouze za zvláštních podmínek čl. 44 a násl. GDPR. Ve vztahu k dalším zpracovatelům Zpracovatele se uplatní čl. VI. této Smlouvy.
4. Zpracovatel prohlašuje, že disponuje vhodnými technickými prostředky a organizačními opatřeními v takovém rozsahu, který umožní, aby dané zpracování Osobních údajů splňovalo požadavky dle této Smlouvy a příslušných právních předpisů a aby byla zajištěna ochrana práv Subjektu údajů. Významné technické a organizačními opatření jsou vymezena v Příloze č. 1. Technické prostředky a organizační opatření mohou být změněna tak, aby odpovídaly technologickému pokroku a vývoji. Zpracovatel je proto oprávněn implementovat technické prostředky a organizační opatření alternativní k těm, které užívá v době uzavření této Smlouvy. Zavazuje se však, že takové prostředky a opatření budou zaručovat stejnou nebo vyšší úroveň zabezpečení.
5. Zpracovatel prohlašuje, že je držitelem certifikátu ISO/IEC 27001, což zaručuje, že splňuje mezinárodně uznávané standardy pro systémy managementu bezpečnosti informací.
6. Jelikož mezi Smluvními stranami bude docházet ke sdělování informací, které Smluvní strany považují za důvěrné, je účelem této Smlouvy upravit také podmínky chování Smluvních stran vzhledem k nakládání s důvěrnými informacemi získanými v průběhu spolupráce na základě této a Hlavní Smlouvy, i před jejím zahájením.
7. Smluvní strany se při plnění této Smlouvy zavazují postupovat ve vzájemné shodě a respektovat práva druhé Smluvní strany. Smluvní strany se zavazují vzájemně se informovat o všech skutečnostech, které jsou nebo mohou být důležité pro řádné plnění této Smlouvy.

II. PŘEDMĚT SMLOUVY

1. Předmětem této Smlouvy je:
   • pověření Zpracovatele Správcem ke zpracování Osobních údajů v souladu s GDPR a dle podmínek stanovených dále v této Smlouvě,
   • stanovení rozsahu, účelu a doby zpracování Osobních údajů,
   • stanovení prostředků a způsobu zpracování Osobních údajů,
   • stanovení práv a povinností Správce a Zpracovatele;
   • poskytnutí záruk Zpracovatelem z hlediska technického a organizačního zabezpečení ochrany Osobních údajů.
2. Správce touto Smlouvou pověřuje Zpracovatele ke zpracování Osobních údajů, jak je popsáno v této Smlouvě.
3. Náklady Zpracovatele související se zpracováním Osobních údajů jsou součástí odměny za poskytnutí Služby.

III. KATEGORIE SUBJEKTŮ ÚDAJŮ, ROZSAH OSOBNÍCH ÚDAJŮ, ÚČEL A DOBA ZPRACOVÁNÍ

1. Kategorie subjektu údajů:
   1. Kategorií subjektů údajů, jejichž osobní údaje jsou předmětem zpracování dle této Smlouvy, jsou: respondenti Správce. (dále jen „Subjekt údajů“).
2. Rozsah Osobních údajů:
   1. Rozsah zpracovávaných osobních údajů ve vztahu k jednotlivým Subjektům údajů je následující, nedohodnou-li se Smluvní strany jinak: osobní údaje respondentů, které budou uloženy prostřednictvím dotazníku Survio na servery Survio, tj. údaje, které koncoví uživatelé vyplní do dotazníků v systému Survio. Může se jednat zejména o jméno, příjmení, pohlaví, věk, pracovní pozice, adresa bydliště, e-mail apod. (dále jen „Osobní údaje“).
   2. Zpracovatel se zavazuje zpracovávat Osobní údaje pouze v rozsahu uvedeném v předchozím odstavci tohoto článku, který je nezbytný pro poskytnutí Služby.
   3. Pokud Zpracovatel poruší své povinnosti a provádí zpracování osobních údajů nad stanovený rozsah, nečiní tak na základě pověření Správce stanoveného touto Smlouvou, Správce nenese za takové zpracování osobních údajů odpovědnost a Zpracovatel je ve vztahu k těmto osobním údajům v postavení správce osobních údajů dle GDPR.
3. Účel zpracování Osobních údajů:
   1. Zpracovatel provádí zpracování Osobních údajů dle této Smlouvy výhradně za účelem poskytnutí Služby (zpracování je nezbytné pro účely splnění Hlavní smlouvy), nedohodnou-li se Smluvní strany jinak.
   2. Zpracovatel není oprávněn na základě této Smlouvy zpracovávat Osobní údaje za jiným účelem než stanoveným v předchozím odstavci tohoto článku Smlouvy. Pokud Zpracovatel provádí zpracování Osobních údajů pro jiné účely, nečiní tak na základě pověření Správce stanoveného touto Smlouvou, Správce nenese za takové zpracování Osobních údajů odpovědnost a Zpracovatel je ve vztahu k těmto Osobním údajům v postavení správce osobních údajů dle GDPR. O takovém zpracování je však povinen předem vyrozumět Správce.
4. Doba zpracování Osobních údajů
   1. Zpracovatel se zavazuje zpracovávat a uchovávat Osobní údaje jen po nezbytně nutnou dobu, nejdéle však po dobu trvání této Smlouvy a Hlavní smlouvy, nedohodnou-li se Smluvní strany jinak.
   2. Po ukončení Hlavní smlouvy nebo na základě písemného pokynu Správce se Zpracovatel zavazuje veškeré Osobní údaje smazat nebo vrátit Správci a vymazat existující kopie (zálohy). Tyto úkony se zavazuje provést do 15 dnů ode dne, kdy nastala událost, pro kterou je povinen Osobní údaje smazat nebo vrátit. Provedení těchto úkonů prokáže Zpracovatel na výzvu Správci nebo poskytne čestné prohlášení o provedení úkonů, které Správce uzná za dostačující, nebude-li mít o postupu Zpracovatele důvodné pochyby.
   3. Zpracovatel je oprávněn postupovat v rozporu s čl. 4.2. Smlouvy, ukládá-li zákon Zpracovateli povinnost Osobní údaje zpracovávat i po ukončení smlouvy.
   4. Pro vyloučení všech pochybností Smluvní strany prohlašují, že se v případě této Smlouvy a Hlavní smlouvy se jedná o vzájemně závislé smlouvy, přičemž se Smluvní strany dohodly, že zánik Hlavní smlouvy způsobí zánik i této Smlouvy.

IV. PRÁVA A POVINNOSTI SMLUVNÍCH STRAN

1. Zpracovatel se zavazuje:
   • zpracovávat Osobní údaje pouze na základě doložených pokynů Správce; Zpracovatel se řídí pokyny Správce i v oblasti předávání Osobních údajů do třetích zemí nebo mezinárodní organizaci, pokud mu toto zpracování již neukládá právo Evropská unie nebo členského státu Evropské unie, které se na Správce vztahuje; v takovém případě Zpracovatel Správce informuje o tomto právním požadavku před zpracováním, ledaže by tyto právní předpisy toto informování zakazovaly z důležitých důvodů veřejného zájmu;
   • přijmout a soustavně dodržovat a kontrolovat veškerá opatření nezbytná pro zajištění ochrany Osobních údajů, zejména proti neoprávněnému a nahodilému přístupu k Osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití Osobních údajů;
   • nezapojit do zpracování žádného dalšího zpracovatele bez předchozího povolení Správce. Udělí-li Správce povolení k zapojení dalšího zpracovatele, musí být tomuto dalšímu zpracovateli uloženy stejné povinnosti na ochranu Osobních údajů, jaké jsou uvedeny v této Smlouvě. Nesplní-li další zpracovatel své povinnosti v oblasti ochrany údajů, odpovídá Správci za plnění povinností dotčeného dalšího zpracovatele i nadále plně Zpracovatel;
   • zohlednit povahu zpracování a být Správci nápomocen prostřednictvím vhodných technických a organizačních opatření při plnění Správcovy povinnosti reagovat na žádosti o výkon práv subjektů údajů stanovených v kapitole III. GDPR (Práva subjektu údajů); Zpracovatel se zavazuje neprodleně informovat Správce v případě, že mu byla doručena žádost o výkon práv Subjektu údajů;
   • být Správci nápomocen při zajišťování souladu s povinnostmi podle článků 32 až 36 GDPR (Zabezpečení Osobních údajů), a to při zohlednění povahy zpracování informací, jež má Zpracovatel k dispozici;
   • poskytnout Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti Zpracovatele, a za tímto účelem se zavazuje umožnit Správci provedení auditů, včetně inspekcí prováděných Správcem či auditorem, kterého Správce k auditu pověří, a poskytne k těmto auditům veškerou potřebnou součinnost. Zpracovatel je povinen umožnit Správci provedení potřebného auditu ve lhůtě jednoho týdne od obdržení žádosti Správce. Zpracovatel je povinen Správci zpřístupnit veškerou potřebnou dokumentaci pro účely auditu, zejména výčet technických a organizačních opatření. Zpracovatel je dále povinen umožnit provedení kontroly podle situace i ze strany Úřadu pro ochranu osobních údajů a jiných dozorových orgánů. O těchto kontrolách je povinen vyrozumět Správce;
   • neprodleně informovat Správce v případě, že podle jeho názoru určitý pokyn Správce porušuje ustanovení GDPR nebo jiné předpisy týkající se ochrany Osobních údajů. Zpracovatel je oprávněn posečkat s provedením pokynu, dokud nebude pokyn potvrzen nebo upraven Správcem;
   • V případě, že se Zpracovatel dozví o změně Osobních údajů předaných mu ze strany Správce, zavazuje se tuto změnu bez zbytečného odkladu vhodným způsobem sdělit Správci;
   • poskytnout Správci nezbytné informace o průběh kontrol nebo správních řízení provedených ze strany Úřadu pro ochranu osobních údajů;
   • bez zbytečného odkladu oznámit Správci jakékoliv porušení zabezpečení osobních údajů. Součástí oznámení o porušení zabezpečení bude, za předpokladu, že má Zpracovatel takové informace k dispozici, zejm.:
     • popis povahy daného případu porušení zabezpečení Osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených Subjektů údajů;
     • popis pravděpodobných důsledků porušení zabezpečení Osobních údajů; a
     • popis opatření k vyřešení daného porušení zabezpečení Osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.

     Není-li možné poskytnout informace pod písm. (i) až (iii) tohoto odstavce současně, mohou být poskytnuty Zpracovatelem dodatečně.

2. Obě Smluvní strany se zavazují
   • provést vhodná technická a organizační zabezpečení, aby zajistily úroveň zabezpečení odpovídající danému riziku. Při posuzování vhodné úrovně zabezpečení je nutné zohlednit rizika, která představuje zpracování, zejména náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění předávaných, uložených nebo jinak zpracovávaných Osobních údajů, nebo neoprávněný přístup k nim. O veškerých významných změnách v technických a organizačních zabezpečeních je Smluvní strana povinna informovat druhou ze Smluvních stran před jejich přijetím;
   • vést a průběžně revidovat a aktualizovat záznamy o zpracování Osobních údajů ve smyslu čl. 30 GDPR;
   • navzájem se informovat o všech okolnostech významných pro plnění předmětu této Smlouvy;
   • zachovávat mlčenlivost o Osobních údajích a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo zabezpečení Osobních údajů, a to i po skončení této Smlouvy;
   • postupovat v souladu s dalšími požadavky GDPR, zejména dodržovat obecné zásady zpracování Osobních údajů, plnit své informační povinnosti, nepředávat osobní údaje třetím osobám bez potřebného oprávnění, respektovat práva subjektů údajů a poskytovat v této souvislosti nezbytnou součinnost.

V. POVĚŘENEC PRO OCHRANU OSOBNÍCH ÚDAJŮ

1. Zpracovatel jmenoval pověřence pro ochranu osobních údajů, kterým je:

   jméno: Richard Žižka
   kontaktní adresa: Hlinky 995/70, 603 00 Brno
   tel.: +420 725 008 003
   e-mail: support@survio.com

2. V případě změny pověřence pro ochranu osobních údajů nebo jeho kontaktních údajů je Zpracovatel povinen bez zbytečných odkladů oznámit změny Správci.

VI. SOUHLAS SE ZAPOJENÍM DALŠÍCH ZPRACOVATELŮ

1. Správce tímto dává Zpracovateli souhlas k zapojení dalších zpracovatelů do zpracování osobních údajů.
2. Další zpracovatelé, kteří poskytují Zpracovateli své služby, jsou uvedeni v Pravidlech ochrany osobních údajů.
3. Zpracovatel je oprávněn zapojit dalšího zpracovatele se sídlem mimo území Evropské unie pouze v případě, že v případě, že se takový další zpracovatel zavázal k dodržování zvláštních povinností v souladu s čl. 44 a násl. GDPR.

VII. NAKLÁDÁNÍ S DŮVĚRNÝMI INFORMACEMI

1. Smluvní strany shodně konstatují, že při poskytování Služby dle Hlavní smlouvy a této Smlouvy bude ze strany Správce docházet ke sdělování informací Zpracovateli. Správce považuje tyto informace za důvěrné a nemá zájem na jejich zveřejnění.
2. Správce hodlá zpřístupnit Zpracovateli informace o respondentech dotazníků a jejich osobních poměrech, které považuje za důvěrné.
3. Za důvěrné informace Správce považuje veškeré informace, které splňují současně kritéria:
   • jde o informaci nebo dokumentaci poskytnutou Správcem Zpracovateli v ústní nebo v písemné formě, zejména informaci, kterou se Zpracovatel dozvěděl při poskytování Služby dle Hlavní smlouvy a této Smlouvy, a
   • jde o informaci nebo dokumentaci, kterou lze označit za skutečnost konkurenčně významnou, určitelnou, ocenitelnou a v příslušných kruzích běžně nedostupnou, která má být podle jejich původce či majitele utajena.
4. Za důvěrné se rovněž považují ty informace, které jsou takto výslovně označeny. K tomuto označení postačí vyznačení nápisu „důvěrné“ např. na obal nosiče informací, do e-mailu, na faxovou zprávu, či jinou písemnost.
5. Ochrany na základě této Smlouvy nepožívají informace:
   • které se staly veřejně přístupnými, pokud se tak nestalo porušením povinnosti jejich ochrany Smluvní stranou,
   • dále informace získané Zpracovatelem na základě postupu nezávislého na této Smlouvě nebo druhé straně, pokud je Zpracovatel schopen tuto skutečnost doložit,
   • informace poskytnuté třetí osobou, která takové informace nezískala porušením povinnosti jejich ochrany, a
   • které byly Zpracovatelem zveřejněny s předchozím písemným souhlasem Správce.
6. Zpracovatel se zavazuje tyto důvěrné informace chránit, respektovat a nezpřístupnit je třetím osobám, a to ani v důsledku nedbalosti, nevyužívat žádnou důvěrnou informaci Správce pro svou potřebu, pro potřebu vlastního podnikání, ani pro potřebu jakékoli třetí osoby, bez předchozího souhlasu Správce. Zpracovatel se zavazuje vynaložit veškeré úsilí, které po něm lze spravedlivě požadovat, k zamezení přístupu k výše uvedeným informacím jakékoliv neautorizované třetí osobě.
7. Zpracovatel je oprávněn tyto důvěrné informace využívat pouze pro účely poskytování Služby dle Hlavní smlouvy a této Smlouvy, a to pouze po dobu trvání spolupráce Smluvních stran.
8. Zpracovatel se zavazuje pověřit k plnění svých povinností pouze zaměstnance, kteří jsou seznámeni s povinnostmi vyplývající pro Zpracovatele dle této Smlouvy i platných právních předpisů a budou zavázáni povinností mlčenlivosti alespoň ve stejném rozsahu, v jakém je zavázán sám Zpracovatel. Zpracovatel je povinen provádět pravidelně kontrolu dodržování uvedených povinností zaměstnanci.
9. Zpracovatel se současně zavazuje nezjišťovat ani nikterak nezkoumat samotnou podstatu nebo charakter poskytnuté důvěrné informace. V případě, že činností Zpracovatele v souladu s touto a Hlavní Smlouvou, dojde k zjištění podstaty důvěrné informace, není Zpracovatel jakkoliv oprávněn s takto zjištěnou informací nakládat a zavazuje se nadále ji uchovávat jako důvěrnou.
10. Zpracovatel se zavazuje zacházet s důvěrnými informacemi po celou dobu existence důvěrných informací, a to i po skončení spolupráce, ledaže tyto informace budou zveřejněny nebo zpřístupněny.

VIII. ZÁVĚREČNÁ USTANOVENÍ

1. Tato Smlouva nabývá platnosti a účinnosti dnem, kdy Zpracovatel obdrží souhlas s touto Smlouvou ze strany Správce (např. zaškrtnutím políčka při uzavření Hlavni smlouvy) a je uzavřena na dobu neurčitou.
2. Každá ze Smluvních stran je oprávněna od této Smlouvy odstoupit v případě podstatného porušení této Smlouvy. Správce bere na vědomí, že ukončení této Smlouvy znamená i zánik Hlavní smlouvy, pokud se Smluvní strany nedohodnou jinak.
3. Upozornění: V případě jakýchkoliv rozdílů mezi anglickou a českou jazykovou verzí těchto Pravidel ochrany osobních údajů je anglická verze rozhodující. Anglická verze je dostupná na www.survio.com.
4. Smlouva se řídí a je vykládána v souladu s právními předpisy České republiky, bez ohledu na kolizi právních řádů.
5. Smluvní strany se zavazují, že jakékoliv spory vzniklé z této Smlouvy a v souvislosti s ní budou řešit přednostně vzájemnou dohodou. Teprve nepodaří-li se odstranit spor týkající se této Smlouvy či právních vztahů s ní souvisejících smírnou cestou, jsou Smluvní strany oprávněny řešit tento spor u věcně příslušného soudu v České republice. Místní příslušnost bude určena dle sídla Správce.
6. Smluvní strany potvrzují, že se s textem této Smlouvy seznámily a je jim znám její význam. Dále Smluvní strany potvrzují, že veškerým ustanovením Smlouvy plně a bez jakýchkoli obtíží porozuměly a nepovažují je za nevýhodná.

PŘÍLOHA Č. 1 TECHNICKÁ A ORGANIZAČNÍ OPATŘENÍ ZPRACOVATELE

Zpracovatel užívá sám nebo prostřednictvím dalších zpracovatelů k zabezpečení dat především následující technická a organizační opatření:

Nad rámec výše uvedených opatření Zpracovatel prohlašuje, že disponuje certifikátem ISO/IEC 27001, který zaručuje, že Zpracovatel splňuje mezinárodně uznávané standardy pro systémy managementu bezpečnosti informací.