Smlouva o zpracování osobních údajů

Pracovní verze. Tento dokument je návrh, který před použitím musí zkontrolovat a schválit advokát. Údaje v hranatých závorkách je nutné doplnit.

Smluvní strany

Správce: [DOPLNIT: název společnosti], IČO [DOPLNIT: IČO], se sídlem [DOPLNIT: sídlo], kontaktní e-mail [email protected] (dále jen „Správce“ nebo „ICORENT“)

a

Zpracovatel: [DOPLNIT: název / jméno partnera], IČO [DOPLNIT: IČO partnera], se sídlem / místem podnikání [DOPLNIT: sídlo partnera], e-mail [DOPLNIT: e-mail partnera] (dále jen „Zpracovatel“)

uzavírají podle čl. 28 odst. 3 nařízení (EU) 2016/679 (dále jen „GDPR“) a zákona č. 110/2019 Sb. tuto smlouvu o zpracování osobních údajů (dále jen „Smlouva“).

1. Účel a vztah k hlavní smlouvě

1.1 Správce poskytuje poradenství a zprostředkování financování zajištěného nemovitostí výhradně podnikatelům s IČO. Správce není banka a neposkytuje spotřebitelský úvěr podle zákona č. 257/2016 Sb.

1.2 Zpracovatel pro Správce na základě [DOPLNIT: smlouvy o spolupráci / rámcové smlouvy ze dne …] (dále jen „Hlavní smlouva“) vykonává činnosti spojené s vyřizováním poptávek, zejména telefonický a e-mailový kontakt s poptávajícími (tzv. callerská činnost), sběr podkladů a přípravu příležitostí.

1.3 Tato Smlouva upravuje podmínky, za nichž Zpracovatel zpracovává osobní údaje jménem Správce. V případě rozporu s Hlavní smlouvou má ve věcech ochrany osobních údajů přednost tato Smlouva.

2. Investoři a jiní samostatní správci

2.1 Investor, kterému Správce zpřístupní údaje o příležitosti a který o jejich využití (zejména o poskytnutí financování a o rozsahu vlastní prověrky klienta) rozhoduje sám a ve vlastním zájmu, není zpracovatelem, ale samostatným správcem osobních údajů.

2.2 Na takového investora se tato Smlouva použije přiměřeně v rozsahu článků 4 (mlčenlivost), 5 (zabezpečení), 8 (porušení zabezpečení) a 10 (výmaz po ukončení jednání), pokud se strany písemně dohodnou na jejím uzavření. Investor je dále povinen sám plnit povinnosti správce podle GDPR, zejména informační povinnost vůči subjektům údajů, a použít údaje pouze k posouzení a realizaci konkrétního financování.

[DOPLNIT: advokát posoudí, zda pro investory nepoužít samostatnou smlouvu o sdílení údajů mezi správci, případně dohodu o společné správě podle čl. 26 GDPR.]

3. Předmět, povaha a doba zpracování

3.1 Předmět, povaha, účel, kategorie osobních údajů a kategorie subjektů údajů jsou popsány v Příloze 1.

3.2 Zpracování probíhá po dobu trvání Hlavní smlouvy. Povinnosti podle článků 4, 5 a 10 trvají i po jejím skončení, dokud Zpracovatel disponuje jakýmikoli osobními údaji Správce.

4. Povinnosti Zpracovatele

4.1 Zpracovatel se zavazuje:

• zpracovávat osobní údaje pouze na základě doložených pokynů Správce, a to i pokud jde o předání do třetích zemí; pokyny jsou obsaženy v této Smlouvě, Hlavní smlouvě a v písemných či e-mailových pokynech Správce,
• neprodleně Správce informovat, pokud má za to, že pokyn porušuje GDPR nebo jiný předpis,
• nepoužívat osobní údaje pro vlastní účely, zejména je nepoužívat k vlastnímu oslovování klientů, k nabízení jiných produktů ani je nepředávat třetím osobám,
• nekontaktovat klienty ani vlastníky nemovitostí jinak než za účelem a způsobem určeným Správcem,
• zajistit, aby osoby oprávněné zpracovávat údaje byly zavázány mlčenlivostí, která trvá i po skončení jejich spolupráce,
• nepořizovat kopie údajů mimo systémy určené Správcem (např. do soukromých telefonů, osobních e-mailů nebo cloudových úložišť), není-li to výslovně povoleno,
• poskytovat Správci součinnost při vyřizování žádostí subjektů údajů o uplatnění jejich práv (čl. 15 až 22 GDPR) a neprodleně, nejpozději do 3 pracovních dnů, Správci předat každou takovou žádost, kterou obdrží,
• poskytovat Správci součinnost při plnění povinností podle čl. 32 až 36 GDPR, zejména při zabezpečení, ohlašování porušení zabezpečení a posouzení vlivu,
• vést záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR, pokud se na něj tato povinnost vztahuje.

4.2 Zpracovatel nesmí k údajům z listu vlastnictví, insolvenčního rejstříku ani jiných zdrojů přistupovat nad rámec konkrétní poptávky, kterou mu Správce přidělil.

5. Zabezpečení

5.1 Zpracovatel přijme vhodná technická a organizační opatření podle čl. 32 GDPR, minimálně v rozsahu Přílohy 2.

5.2 Zpracovatel zajistí, aby zařízení, na nichž zpracovává údaje (počítač, telefon), byla chráněna heslem nebo biometrií, šifrována a aktualizována, a aby účty v používaných nástrojích (zejména Telegram, e-mail, CRM) byly chráněny dvoufázovým ověřením.

6. Další zpracovatelé

6.1 Správce uděluje Zpracovateli obecné písemné povolení k zapojení dalších zpracovatelů uvedených v Příloze 3. Nástroje uvedené v Příloze 3 určuje Správce a Zpracovatel je používá podle jeho pokynů.

6.2 Zapojení jakéhokoli jiného dalšího zpracovatele vyžaduje předchozí písemný souhlas Správce. Zpracovatel uloží dalšímu zpracovateli stejné povinnosti, jaké má podle této Smlouvy, a odpovídá Správci za jeho plnění.

6.3 Správce informuje Zpracovatele o zamýšlených změnách v Příloze 3 nejméně 14 dní předem.

7. Předávání do třetích zemí

Zpracovatel nepředá osobní údaje mimo EU/EHP jinak než prostřednictvím nástrojů uvedených v Příloze 3 nebo s předchozím písemným souhlasem Správce a za podmínek kapitoly V GDPR.

8. Porušení zabezpečení

8.1 Zpracovatel ohlásí Správci každé porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 24 hodin od jeho zjištění, a to e-mailem na [email protected] a telefonicky.

8.2 Ohlášení obsahuje alespoň popis povahy porušení, kategorie a přibližný počet dotčených subjektů a záznamů, pravděpodobné důsledky a přijatá opatření. Typickým porušením je ztráta nebo krádež telefonu, kompromitace účtu v Telegramu nebo e-mailu či odeslání údajů nesprávnému příjemci.

8.3 Zpracovatel bez souhlasu Správce neinformuje o porušení subjekty údajů ani Úřad pro ochranu osobních údajů, nestanoví-li zákon jinak.

9. Audit a kontrola

Zpracovatel poskytne Správci informace potřebné k doložení plnění této Smlouvy a umožní audity a kontroly prováděné Správcem nebo jím pověřeným auditorem, po předchozím oznámení nejméně 5 pracovních dní předem, není-li dán důvod k okamžité kontrole.

10. Ukončení zpracování

10.1 Po skončení Hlavní smlouvy, po vyřízení konkrétní poptávky nebo na pokyn Správce Zpracovatel podle rozhodnutí Správce osobní údaje vymaže nebo vrátí a vymaže existující kopie, včetně zpráv v Telegramu a e-mailech, a to do 14 dní.

10.2 Zpracovatel na žádost Správce písemně potvrdí provedení výmazu. Údaje může uchovat jen tehdy, vyžaduje-li to právní předpis.

11. Odpovědnost a sankce

11.1 Zpracovatel odpovídá Správci za škodu způsobenou porušením této Smlouvy nebo GDPR, včetně pokut uložených Správci, pokud byly způsobeny jednáním Zpracovatele.

11.2 Za každé porušení povinnosti podle článků 4 a 7 může Správce požadovat smluvní pokutu ve výši [DOPLNIT: částka] Kč. Zaplacením smluvní pokuty není dotčen nárok na náhradu škody.

12. Závěrečná ustanovení

12.1 Smlouva se řídí právem České republiky.

12.2 Smlouvu lze měnit pouze písemně. Správce může jednostranně aktualizovat Přílohu 3 postupem podle čl. 6.3.

12.3 Smlouva nabývá platnosti a účinnosti dnem podpisu oběma stranami.

V [DOPLNIT: místo] dne [DOPLNIT: datum]

Za Správce: ____________________ [DOPLNIT: jméno a funkce]

Za Zpracovatele: ____________________ [DOPLNIT: jméno a funkce]

Příloha 1 – Popis zpracování

• Předmět a povaha: přijímání, ukládání, nahlížení, doplňování, telefonické a e-mailové ověřování, předávání a výmaz údajů o poptávkách financování.
• Účel: vyřízení poptávky klienta, příprava podkladů pro zprostředkování financování a komunikace s klientem jménem Správce.
• Kategorie subjektů údajů: podnikající fyzické osoby, kontaktní osoby, zástupci a statutární orgány právnických osob, vlastníci a spoluvlastníci nemovitostí a jiné osoby zapsané na listu vlastnictví.
• Kategorie osobních údajů: identifikační údaje (jméno, IČO, datum narození, je-li uvedeno v rejstříku nebo na listu vlastnictví), kontaktní údaje, údaje o požadovaném financování, údaje o nemovitosti a zápisech v katastru, údaje o insolvenčním řízení a statusu plátce DPH, obsah komunikace.
• Zvláštní kategorie údajů: nezpracovávají se. Zpracovatel nesmí od klientů vyžadovat údaje o zdravotním stavu ani jiné zvláštní kategorie údajů.

Příloha 2 – Minimální technická a organizační opatření

• přístup k údajům jen pro osoby, které je nezbytně potřebují, s individuálními účty,
• dvoufázové ověření u všech používaných účtů,
• šifrování a zámek obrazovky na všech zařízeních, vzdálené smazání ztraceného telefonu,
• zákaz ukládání údajů do soukromých úložišť a předávání neautorizovaným kanálům,
• pravidelné mazání zpráv a příloh po vyřízení poptávky,
• školení o ochraně osobních údajů a mlčenlivosti,
• postup pro ohlášení incidentu podle článku 8.

Příloha 3 – Schválení další zpracovatelé a nástroje

Kategorie	Poskytovatel	Účel	Místo zpracování / záruky
Hosting a databáze	[DOPLNIT: poskytovatel hostingu]	provoz webu, formuláře, CRM a investorského portálu	[DOPLNIT: EU / jiné]
Interní notifikace	Telegram (Telegram Messenger Inc. / Telegram FZ-LLC)	upozornění na nové poptávky pracovníkům a partnerům	mimo EU; [DOPLNIT: advokát ověří záruky podle kapitoly V GDPR]
Umělá inteligence	Anthropic, PBC a její evropské subjekty	generování automatické odpovědi na poptávku	USA; standardní smluvní doložky / EU–US Data Privacy Framework [DOPLNIT: ověřit]
E-mail	[DOPLNIT: poskytovatel e-mailových služeb]	odesílání a příjem e-mailů	[DOPLNIT]
Analytika a správa značek	Google Ireland Limited	Google Tag Manager, Google Analytics 4 (jen se souhlasem návštěvníka), případně Google Workspace	EU / USA; EU–US Data Privacy Framework