Zpracovatelská smlouva podle čl. 28 GDPR

1. Strany a předmět

Správce: nabyvatel uvedený v přihlášce do trialu nebo v objednávce předplatného.

Zpracovatel: porwisz consulting s.r.o., IČO 21349797, DIČ CZ21349797, se sídlem Rybná 716/24, Staré Město, 110 00 Praha 1, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 400548.

Předmětem je zpracování osobních údajů, které správce vkládá do aplikace, zpracovatelem, a to výhradně za účelem poskytování služby.

Tato smlouva se týká výhradně druhého řádku.

2. Doba zpracování

Po dobu trvání smlouvy o poskytování služby (včetně trialu) a dále po dobu uvedenou v článku 9.

3. Povaha a účel zpracování, kategorie údajů a subjektů

Povaha a účel: ukládání, zpřístupňování uživatelům kanceláře, zálohování, vytěžení údajů z podkladů a návrhy textů vytvářené externím jazykovým modelem na pokyn uživatele, vytváření plánu BOZP ve formátu PDF.

Kategorie subjektů údajů: zadavatelé staveb a jejich zástupci, zhotovitelé a jejich kontaktní osoby (stavbyvedoucí, mistři, osoby odpovědné za BOZP), projektanti, technický dozor stavebníka, další účastníci výstavby, osoby uvedené v projektové dokumentaci a osoby zachycené na fotografiích.

Kategorie údajů: jméno a příjmení, funkce, zaměstnavatel, kontaktní e-mail a telefon, číslo autorizace nebo osvědčení, údaje o firmách, adresy staveb, obrazové záznamy ze staveb a obsah podkladů nahraných správcem.

Zvláštní kategorie údajů se záměrně nezpracovávají. Podklady nebo fotografie ze stavby však mohou takový údaj obsahovat, typicky záznam o úrazu. Správce zvažuje, zda takový podklad do aplikace vloží.

4. Pokyny správce

Zpracovatel zpracovává údaje pouze na doložené pokyny správce. Pokynem se rozumí i užívání aplikace v souladu s jejím určením, včetně spuštění funkcí s umělou inteligencí. Zpracovatel správce informuje, pokud je podle jeho názoru pokyn v rozporu s právními předpisy.

5. Mlčenlivost

Osoby oprávněné zpracovávat údaje jsou zavázány mlčenlivostí, která trvá i po skončení jejich spolupráce se zpracovatelem. K produkčním datům mají přístup jen pověřené osoby zpracovatele, a to v rozsahu nutném pro provoz, podporu a opravu chyb.

6. Zabezpečení podle čl. 32 GDPR

• Přenos — šifrování TLS na všech spojeních, HSTS.
• Přístup — role s odstupňovaným oprávněním, volitelné dvoufázové ověření, hesla výhradně jako otisk bcrypt, brzda proti hádání hesel, omezení počtu přihlášených zařízení a platnosti přihlášení.
• Oddělení nabyvatelů — každý přístup k zakázce prochází kontrolou, zda k ní účet (nebo jeho kancelář) má oprávnění.
• Soubory — podklady a fotografie leží mimo veřejnou část webu a vydávají se jen přihlášenému uživateli s oprávněním k zakázce.
• Prohlížeč — přísná politika zabezpečení obsahu: stránka nespustí žádný cizí ani vložený skript.
• Zálohy — databázi i soubory zálohuje poskytovatel hostingu v České republice.
• Záznamy — úkony v zakázkách, přihlášení a změny účtů se zaznamenávají.

7. Další zpracovatelé

Správce uděluje obecné povolení k zapojení dalších zpracovatelů. Zpracovatel na ně přenáší stejné povinnosti ochrany osobních údajů, jaké má podle této smlouvy, a za jejich plnění správci odpovídá. Ke dni účinnosti této smlouvy jsou to:

Zpracovatel oznámí zamýšlenou změnu dalších zpracovatelů nejméně 30 dnů předem; správce může v této lhůtě vznést námitku a smlouvu vypovědět.

Umělá inteligence. Funkce s umělou inteligencí se spouštějí jen na pokyn uživatele; externímu modelu se odesílá jen obsah potřebný pro danou funkci (u vytěžení obsah nahraného dokumentu, u návrhu údaje zakázky a znění části plánu). Anthropic podle svých podmínek nesmí předaný obsah použít k trénování modelů.

Předání do třetích zemí. Jediný další zpracovatel, který část zpracování provádí ve Spojených státech, je Anthropic; předání se opírá o standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914, Modul 2 a 3. Kopii použitých záruk zpracovatel předloží správci na vyžádání.

8. Součinnost

Práva subjektů údajů. Subjekty se obracejí na správce; zpracovatel poskytne součinnost. Většinu údajů může správce sám opravit nebo smazat přímo v aplikaci.

Ohlášení porušení zabezpečení. Zpracovatel vyrozumí správce do 48 hodin od okamžiku, kdy se o porušení dozví, aby správci zbyl čas na ohlášení dozorovému úřadu podle čl. 33 GDPR. Nemá-li v té chvíli úplné informace, poskytne je postupně; neúplnost zjištění není důvodem k odkladu vyrozumění.

Posouzení vlivu. Zpracovatel poskytne informace potřebné pro posouzení vlivu na ochranu osobních údajů a pro předchozí konzultaci s dozorovým úřadem.

9. Vrácení a výmaz údajů

Po dobu trvání smlouvy si správce může plány kdykoli stáhnout. Po jejím skončení je aplikace 30 dní jen ke čtení, aby si správce mohl údaje prohlédnout a stáhnout; poté zpracovatel údaje smaže. Na smazání upozorní 7 dní předem e-mailem. Objedná-li správce v této době předplatné, údaje se nemažou.

Výmaz se provede v provozní databázi a úložišti souborů; v zálohách poskytovatele hostingu mohou údaje přetrvat do jejich přepsání a do té doby se z nich cíleně neobnovují.

10. Doložení plnění a kontrola

Zpracovatel doloží plnění povinností přehledem technických a organizačních opatření; předloží jej na vyžádání bez zbytečného odkladu a bezplatně.

Nad rámec toho může správce plnění ověřit kontrolou, a to jednou za kalendářní rok, po písemném oznámení nejméně 30 dnů předem, v pracovní době a způsobem, který nenaruší provoz služby ostatním nabyvatelům. Náklady kontroly nese správce; prokáže-li kontrola podstatné porušení povinností zpracovatele, nese je zpracovatel. Osoby provádějící kontrolu musí být vázány mlčenlivostí a nesmí jít o soutěžitele zpracovatele.

11. Závěrečná ustanovení

Smlouva se uzavírá elektronicky, přijetím obchodních podmínek; tím je splněn požadavek písemné formy podle čl. 28 odst. 9 GDPR. Znění platné ke dni přijetí zpracovatel archivuje.

Změnu znění oznámí zpracovatel nejméně 30 dnů předem; nesouhlasí-li správce, může smlouvu v této lhůtě vypovědět. Vztah se řídí právem České republiky. V rozsahu, v němž se tato smlouva liší od obchodních podmínek, má pro zpracování osobních údajů přednost tato smlouva.