Zpracovatelská smlouva (čl. 28 GDPR)

Tato zpracovatelská smlouva je přílohou obchodních podmínek Poslano.cz a je přijímána spolu s nimi při registraci účtu obchodním zákazníkem. Zpracovatelem je BLUE SYSTEM, s.r.o., Učňovská 379/6, Hrdlořezy, 190 00 Praha 9, IČO 28383656. Zákazník vystupuje ve vztahu ke svým klientům jako správce osobních údajů.

Předmětem je zpracování osobních údajů, které zákazník do služby zadá v souvislosti se zásilkami (jméno a e-mail příjemce, metadata zásilky, auditní události a zašifrovaný obsah dokumentů). Zpracování se řídí výhradně touto smlouvou, obchodními podmínkami a pokyny zákazníka.

Smlouva je uzavřena na dobu neurčitou, nejvýše však po dobu poskytování služby zákazníkovi. Ukončení spolupráce zpracovatele s daným zákazníkem se řídí obchodními podmínkami.

Subjekty údajů jsou klienti a další osoby určené zákazníkem, zejména příjemci zásilek. Zpracovávané kategorie údajů: identifikační údaje příjemce (jméno, e-mail), metadata zásilky, auditní záznamy o průběhu doručení a obsah dokumentů v zašifrované podobě (AES-GCM). U zašifrovaného obsahu nemá zpracovatel přístup k jeho čitelné podobě; šifrovaný obsah zůstává osobním údajem, pokud lze přiřadit konkrétní osobě.

Zákazník je odpovědný za to, že jeho pokyny k zpracování jsou v souladu s GDPR a ostatními právními předpisy, a zejména za to, že má vůči příjemcům zásilek potřebné oprávnění ke zpracování jejich osobních údajů. Zpracovatel je povinen zpracovávat údaje pouze v rozsahu pokynů zákazníka;Pokud by některý pokyn narušoval GDPR, je zpracovatel oprávněn jej odmítnout a informovat zákazníka.

Zpracovatel zajišťuje, že k osobním údajům mají přístup pouze osoby, které jsou k tomu pověřeny a zavázány k důvěrnosti v rozsahu nezbytném pro výkon jejich funkcí.

Zpracovatel zavádí přiměřená technická a organizační opatření v souladu s čl. 32 GDPR, zejména: šifrování obsahu dokumentů end-to-end standardem AES-GCM v prohlížeči odesílatele, přičemž dešifrovací klíč se k zpracovateli nikdy nedostane (neukládá se, neeviduje v logu, neposílá e-mailem ani v URL a nelze jej u zpracovatele obnovit); šifrované ukládání souborů v úložišti; kontrolu přístupu a autentizaci uživatelů; záznam auditní stopy událostí zásilky; automatické mazání po uplynutí doby expirace zásilky (čisticí proces v intervalech 15 minut).

Tato opatření výrazně snižují riziko zneužití, nezakládají však absolutní bezpečnost ani právní fikci doručení.

Zpracovatel je oprávněn využívat subzpracovatele těchto kategorií: poskytovatel hostingové a databázové infrastruktury, poskytovatel úložiště souborů, poskytovatel transakčních e-mailových služeb. Zpracovatel zveřejňuje seznam subzpracovatelů na vyžádání a informuje zákazníka o plánovaných změnách s dostatečným předstihem; zákazník má právo udělit proti konkrétní změně zdůvodněnou námitku, jinak se změna považuje za odsouhlasenou. Zpracovatel zajistí, že subzpracovatelé jsou vázáni srovnatelnými závazky jako zpracovatel.

Zpracovatel v rozsahu svých možností pomůže zákazníkovi plnit povinnosti spojené s reakcí na žádosti subjektů údajů (přístup, oprava, výmaz, omezení, přenositelnost), a to zejména díky auditním záznamům a mechanismu ručního odstranění zásilky uživatelem.

Dojde-li k narušení bezpečnosti osobních údajů, které může vést k riziku pro práva a svobody subjektů údajů, zpracovatel bez zbytečného odkladu informuje zákazníka a spolupracuje s ním na posouzení povinnosti oznámit narušení dozorovému úřadu a subjektům údajů podle čl. 33 a 34 GDPR.

Po uplynutí doby expirace zásilky jsou zásilka, její metadata, auditní události a uložená média automaticky a trvale odstraněny (čisticí proces každých 15 minut). V ostatních případech zpracovatel na pokyn zákazníka údaje vymaže nebo vydá v běžně používaném formátu, pokud to není v rozsahu platnosti právních povinností zpracovatele vyloučeno. U šifrovaných dokumentů je vydání možné pouze v zašifrované podobě; k čitelné podobě nemá zpracovatel přístup.

Zpracovatel zpřístupní zákazníkovi veškeré informace nutné k prokázání souladu s povinnostmi zpracovatele a umožní přiměřené kontroly, případně nechá provést audit přímo u zpracovatele; přiměřenost a rozsah auditu určí zákazník a zpracovatel společně, přičemž je nutno respektovat obchodní tajemství a bezpečnostní plán zpracovatele.

Využívá-li zpracovatel k plnění této smlouvy subzpracovatele se sídlem mimo Evropský hospodářský prostor, zajišťuje odpovídající nástroj ochrany osobních údajů, zejména standardní doložky schválené Evropskou komisí. Konkrétní informace o aktuálních subzpracovatelích poskytne zpracovatel na požádání.

Odpovědnost zpracovatele za škodu vzniklou porušením této smlouvy se řídí obchodními podmínkami a právními předpisy. Tato zpracovatelská smlouva je přílohou obchodních podmínek; v případě rozporu má tato smlouva přednost v otázkách zpracování osobních údajů, jinak se použijí obchodní podmínky.