Dodatek o zpracování údajů

Tento Dodatek o zpracování údajů („DPA“) tvoří součást Podmínek poskytování služeb mezi vámi („Zákazník“, správce) a společností Empire Luxury International Corporation (DBA Neuro Empire) („NeuroCRM“, zpracovatel) a upravuje zpracování osobních údajů obsažených v Obsahu zákazníka. Dojde-li ke konfliktu v záležitostech ochrany údajů, má tento DPA přednost před Podmínkami.

1. Role a rozsah

Pokud jde o Obsah zákazníka, je Zákazník správcem (nebo zpracovatelem jednajícím pro své vlastní zákazníky) a NeuroCRM je zpracovatelem (nebo dalším zpracovatelem). NeuroCRM zpracovává Obsah zákazníka pouze za účelem poskytování Služby a na základě zdokumentovaných pokynů Zákazníka, jež zahrnují Podmínky, tento DPA a využívání funkcí Služby. NeuroCRM jedná jako nezávislý správce pouze ve vztahu k omezeným údajům o účtu, fakturaci a zabezpečení popsaným v Zásadách ochrany osobních údajů.

2. Podrobnosti o zpracování

Předmět: poskytování Služby NeuroCRM. Doba trvání: doba trvání předplatného Zákazníka plus případné období ukončování. Povaha a účel: operace hostingu, ukládání a zpracování nezbytné k poskytování Služby v konfiguraci nastavené Zákazníkem. Kategorie subjektů údajů: kontakty, potenciální zákazníci, zákazníci, zaměstnanci Zákazníka a další fyzické osoby, jejichž údaje Zákazník zadává. Kategorie osobních údajů: dle určení Zákazníka, typicky identifikační a kontaktní údaje, obchodní záznamy a komunikace; Zákazník nesmí zadávat údaje zvláštní kategorie, není-li to písemně dohodnuto.

3. Pokyny Zákazníka a dodržování předpisů

NeuroCRM bude zpracovávat Obsah zákazníka pouze na základě zdokumentovaných pokynů, a to včetně předávání, ledaže to vyžaduje platné právo (v takovém případě NeuroCRM Zákazníka informuje, pokud to není zakázáno). NeuroCRM Zákazníka upozorní, pokud se podle jeho názoru určitý pokyn příčí platnému právu na ochranu údajů. Zákazník odpovídá za zákonnost Obsahu zákazníka a za to, že má veškerá požadovaná oznámení a souhlasy.

4. Mlčenlivost personálu

NeuroCRM zajišťuje, že personál oprávněný zpracovávat Obsah zákazníka je vázán povinností mlčenlivosti a zpracovává údaje pouze podle pokynů.

5. Bezpečnostní opatření

NeuroCRM zavádí vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku, včetně šifrování při přenosu a šifrování přístupových tokenů v klidu, logické izolace nájemců (tenantů), řízení přístupu a protokolování, odolnosti a zálohování a pravidelného přezkumu. Souhrn je k dispozici na vyžádání a v Zásadách ochrany osobních údajů.

6. Další zpracovatelé

Zákazník uděluje obecné povolení k tomu, aby NeuroCRM zapojoval další zpracovatele. Aktuální seznam je na /legal/subprocessors. NeuroCRM ukládá každému dalšímu zpracovateli povinnosti v oblasti ochrany údajů, které nejsou méně ochranné než tento DPA, a zůstává odpovědný za jejich plnění. NeuroCRM oznámí jakéhokoli nového nebo náhradního dalšího zpracovatele alespoň 30 dní předem; Zákazník může vznést námitku z důvodných příčin souvisejících s ochranou údajů, a pokud strany nemohou námitku vyřešit, může Zákazník dotčenou Službu ukončit a obdržet vrácení předem zaplacených nevyužitých poplatků.

7. Žádosti subjektů údajů a součinnost

S přihlédnutím k povaze zpracování bude NeuroCRM vhodnými opatřeními a v komerčně přiměřeném rozsahu nápomocen Zákazníkovi při vyřizování žádostí subjektů údajů a při plnění jeho povinností týkajících se zabezpečení, oznamování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace. Obdrží-li NeuroCRM žádost přímo od subjektu údajů, předá ji Zákazníkovi a neodpoví na ni, ledaže k tomu obdrží pokyn nebo to vyžaduje zákon.

8. Oznámení o porušení zabezpečení osobních údajů

NeuroCRM oznámí Zákazníkovi bez zbytečného odkladu, v každém případě však do 24 hodin od okamžiku, kdy se dozví o potvrzeném nebo důvodně podezřelém porušení zabezpečení osobních údajů týkajícím se Obsahu zákazníka, a poskytne dostupné informace, které Zákazníkovi pomohou splnit jeho oznamovací povinnosti, s aktualizacemi v průběhu vyšetřování. Takové oznámení není uznáním zavinění ani odpovědnosti. Rozhodnutí o tom, zda informovat dozorové úřady nebo subjekty údajů, a provedení takových oznámení je odpovědností Zákazníka jako správce; NeuroCRM poskytuje přiměřenou součinnost.

9. Mezinárodní předávání

Pokud zpracování zahrnuje předání osobních údajů mimo EHP, Spojené království nebo Švýcarsko do země bez rozhodnutí o odpovídající ochraně, strany začleňují Standardní smluvní doložky Evropské komise (2021/914), Modul dva (správce zpracovateli), doplněné údaji uvedenými v tomto DPA, spolu s britským Mezinárodním dodatkem o předávání údajů (UK International Data Transfer Addendum) a švýcarskými úpravami, je-li to relevantní; alternativně se NeuroCRM může opírat o EU-US Data Privacy Framework, je-li certifikován. NeuroCRM uplatňuje doplňková opatření, jak je vhodné. Dojde-li ke konfliktu, mají SCC přednost pouze v nezbytně nutném rozsahu.

10. Ruský datový okruh (152-FZ)

U osobních údajů fyzických osob v Ruské federaci udržuje NeuroCRM oddělený ruský okruh s primárním zaznamenáváním a ukládáním na serverech umístěných v Rusku, v souladu s federálním zákonem č. 152-FZ, a takové údaje zpracovává na pokyn Zákazníka podle čl. 6 odst. 3 152-FZ. Tento okruh a jeho postup oznamování porušení (předběžné do 24 hodin a výsledky do 72 hodin orgánu Roskomnadzor) fungují nezávisle na řetězci GDPR. Viz Zásady zpracování osobních údajů (Rusko).

11. Audit

NeuroCRM zpřístupní informace nezbytné k prokázání souladu s tímto DPA a umožní provedení auditů. Aby se minimalizovalo narušení, může NeuroCRM vyhovět žádostem o audit poskytnutím aktuálních certifikací nebo zpráv od třetích stran (například ISO 27001 nebo SOC 2 Type II), jsou-li k dispozici. Audity na místě nebo podrobné audity jsou omezeny na jednou ročně (s výjimkou případů následujících po porušení), vyžadují oznámení alespoň 30 dní předem, vzájemně dohodnutý rozsah a mlčenlivost a provádějí se v pracovní době bez nepřiměřeného rušení.

12. Vrácení a výmaz

Při ukončení, dle volby Zákazníka učiněné do 30 dnů, NeuroCRM vrátí Obsah zákazníka v běžně používaném formátu nebo jej vymaže a na žádost v přiměřené lhůtě potvrdí výmaz, s výjimkou rozsahu, v němž je uchovávání vyžadováno zákonem. Rutinní zálohy jsou přepisovány v rámci standardního rotačního cyklu.

13. Odpovědnost a přednost

Odpovědnost každé strany podle tohoto DPA podléhá omezením a vyloučením uvedeným v Podmínkách poskytování služeb, včetně zvýšeného limitu pro porušení v oblasti ochrany údajů. Tento DPA, včetně do něj začleněných SCC, má v záležitostech ochrany údajů přednost před rozpornými ustanoveními Podmínek. DPA se řídí ustanoveními o rozhodném právu a řešení sporů Podmínek platnými pro Zákazníka.