Zpracování osobních údajů

Vztah k obchodním podmínkám. Tyto Zpracovatelské podmínky (dále též „Zpracovatelské podmínky“) tvoří nedílnou součást Smlouvy uzavřené mezi společností Coding Bear s.r.o., se sídlem Vítkova 241/10, 186 00 Praha 8 - Karlín, IČO: 05113610 (dále též „Dodavatel“ nebo „Zpracovatel“; v Obchodních podmínkách označen jako „Poskytovatel“), a Objednatelem akceptací Nabídky. Nedílnou součástí Smlouvy jsou jak obchodní podmínky Dodavatele dostupné na www.energosync.com/obchodni-podminky (dále též „Obchodní podmínky“), tak tyto Zpracovatelské. Zpřístupnění Aplikace a poskytování souvisejících Služeb dle Obchodních podmínek se v těchto Zpracovatelských podmínkách označuje též jako „Služba“. Zpracovatelské podmínky upravují práva a povinnosti Dodavatele a objednatele služby (dále též „Objednatel“) při zpracování osobních údajů v souvislosti s poskytováním Služby a plněním Smlouvy. Důvodem jejich existence je zejména skutečnost, že Objednatel do Aplikace předává data ze svého systému (nebo systémů třetích stran), zpřístupňuje ji potenciálně svým koncovým uživatelům, přičemž tato data mohou obsahovat osobní údaje třetích osob, které Dodavatel v kontextu poskytování Služby zpracovává jako zpracovatel. Pojmy s velkým počátečním písmenem, které nejsou v těchto Zpracovatelských podmínkách definovány (zejména „Smlouva“, „Nabídka“, „Aplikace“, „Oprávněný uživatel“, „Uživatelská data“ nebo „Webové stránky“), mají význam uvedený v Obchodních podmínkách.

Postavení Stran. Objednatel je v postavení správce osobních údajů (nebo zpracovatele osobních údajů, zpracovává-li osobní údaje na základě pověření třetí osoby). Dodavatel je v postavení zpracovatele osobních údajů (nebo dalšího zpracovatele). Tyto Zpracovatelské podmínky se uzavírají ve smyslu čl. 28 odst. 3 GDPR a zákona č. 110/2019 Sb., o zpracování osobních údajů.

Pověření ke zpracování. Objednatel tímto pověřuje Dodavatele zpracováním osobních údajů v rozsahu a za podmínek stanovených těmito Zpracovatelskými podmínkami. Dodavatel zpracovává osobní údaje výlučně na základě doložených pokynů Objednatele, přičemž za takový pokyn se považuje uzavření Smlouvy a plnění povinností Dodavatele dle Obchodních podmínek a těchto Zpracovatelských podmínek. Pokyny pro zpracování mohou vyplývat také z funkcionalit, které nabízí Služba, a k jejichž využívání ze strany Objednatele dochází.

Závislost na Smlouvě. Tyto Zpracovatelské podmínky jsou závislé na Smlouvě. Nabývají účinnosti dnem účinnosti Smlouvy a pozbývají účinnosti ukončením Smlouvy (zánikem Smlouvy dle Obchodních podmínek), nestanoví-li tyto Zpracovatelské podmínky jinak.

Předmět a typy osobních údajů. Předmětem zpracování jsou osobní údaje, které Dodavatel zpracovává při poskytování Služby, zejména:

1. identifikační a kontaktní údaje Oprávněných uživatelů a uživatelů zákaznického portálu, jako jsou jméno, příjmení, e-mailová adresa a telefonní číslo;
2. přihlašovací a autentizační údaje, jako jsou uživatelská jména, přístupové údaje a záznamy o přihlášení;
3. identifikátor odběrného místa a elektroměru (EAN), sériové číslo a technické údaje o měřidle;
4. údaje o spotřebě elektřiny, jako jsou naměřené i dopočtené hodnoty, koncové stavy a odečty;
5. údaje zadané v poli „Poznámka“ nebo dalších volitelných polích, které mohou být ze strany Objednatele využívány pro zadávání dalších poznámek;
6. certifikáty využívané pro elektronické podepisování a komunikaci s regulátorem, mohou-li obsahovat osobní údaje;
7. technické údaje, jako jsou IP adresy, logy a záznamy o aktivitě v rámci využívání Služby;
8. vstupy zadávané do Funkcí AI ve smyslu čl. 15 Obchodních podmínek, mohou-li obsahovat osobní údaje;
9. další údaje, které mohou být obsaženy v datech Objednatele zpřístupněných Dodavateli v rámci poskytování Služby.

Kategorie subjektů údajů. Subjekty údajů, jejichž osobní údaje jsou zpracovávány na základě těchto Zpracovatelských podmínek, jsou:

1. koncoví odběratelé energie Objednatele (jsou-li tito koncoví odběratelé fyzické osoby);
2. uživatelé zákaznického portálu, které zakládá a spravuje Objednatel;
3. Oprávnění uživatelé a kontaktní osoby Objednatele (zaměstnanci, administrátoři a zástupci).

Zvláštní kategorie údajů. Zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR nejsou předmětem zpracování. Objednatel prohlašuje, že Službu nebude využívat pro zpracování těchto zvláštních kategorií osobních údajů.

Povaha zpracování. Dodavatel zpracovává osobní údaje v elektronické podobě prostřednictvím Služby a související infrastruktury. Povaha zpracování spočívá zejména ve sběru, uložení, organizování, modelaci, analýze a přenosu osobních údajů v souvislosti s poskytováním Služby.

Účel zpracování. Účelem zpracování osobních údajů je:

1. převzetí dat z klientského systému Objednatele a jejich uložení;
2. modelace dat a příprava povinného reportingu spotřeby elektřiny vůči regulátorovi trhu v zákonem stanovených intervalech;
3. elektronická komunikace s regulátorem, včetně elektronického podepisování a certifikace;
4. zpřístupnění údajů o spotřebě koncovým uživatelům prostřednictvím zákaznického portálu;
5. správa uživatelských účtů zákaznického portálu dle pokynů Objednatele, který účty zakládá a rozhoduje o přístupu (párování uživatele s odběrným místem / EAN);
6. plnění dalších povinností Dodavatele dle Smlouvy.

Zpřístupnění koncovým uživatelům. Osobní údaje koncových uživatelů Dodavatel zpravidla pouze uchovává a zpřístupňuje, k jejich dalšímu využití dochází zejména při autorizaci uživatele do zákaznického portálu. Reporting vůči regulátorovi probíhá na úrovni Objednatele, resp. odběrného místa (EAN).

Reporting regulátorovi. Objednatel bere na vědomí, že v rámci plnění jeho zákonných povinností jsou data předávána příslušnému regulátorovi, resp. operátorovi trhu s elektřinou, který ve vztahu k takto předaným údajům vystupuje jako samostatný správce na základě právních předpisů. Dodavatel toto předání zajišťuje z pověření a na pokyn Objednatele.

Doba zpracování. Zpracování osobních údajů probíhá po dobu účinnosti Smlouvy. Po ukončení Smlouvy je Dodavatel oprávněn zpracovávat osobní údaje pouze v rozsahu nezbytném pro splnění povinností vyplývajících z právních předpisů nebo z těchto Zpracovatelských podmínek, případně v rozsahu, v jakém vůči osobním údajům vystupuje jako správce osobních údajů (zejména ve vztahu k Odvozeným datům ve smyslu Obchodních podmínek), přičemž podrobnosti o zpracování jsou obsaženy v samostatných zásadách ochrany osobních údajů dostupných na www.energosync.com/privacy-policy.

Skončení zpracování. Po ukončení Smlouvy Dodavatel po uplynutí 30 dnů trvale vymaže nebo zničí veškeré osobní údaje zpracovávané na základě těchto Zpracovatelských podmínek, včetně všech existujících kopií, pokud právo Evropské unie nebo České republiky nepožaduje jejich další uložení. Na žádost Objednatele podanou před uplynutím uvedené lhůty Dodavatel poskytne Objednateli kopii osobních údajů v běžně používaném strojově čitelném formátu. Provozní zálohy jsou uchovávány nejvýše po dobu 7 dnů a poté automaticky přepisovány. Tím není dotčeno právo Objednatele na export Uživatelských dat dle odst. 9.6 Obchodních podmínek.

Pokyny Objednatele. Dodavatel zpracovává osobní údaje výlučně na základě doložených pokynů Objednatele. Za doložený pokyn se považuje zejména uzavření Smlouvy, plnění povinností dle Obchodních podmínek a těchto Zpracovatelských podmínek a jakýkoli další pokyn Objednatele učiněný písemně nebo elektronicky prostřednictvím e-mailu kontaktní osoby, případně prostřednictvím využívání Služby. Pokud Dodavateli zpracování ukládá právo Evropské unie nebo členského státu, informuje o tomto požadavku Objednatele před započetím zpracování, ledaže by takové informování bylo zakázáno z důvodu důležitého veřejného zájmu.

Nevhodné pokyny. Dodavatel bez zbytečného odkladu upozorní Objednatele, pokud se podle jeho názoru pokyn Objednatele dostává do rozporu s GDPR nebo jinými předpisy na ochranu osobních údajů. Dodavatel není povinen posuzovat právní přípustnost pokynů nad rámec zjevného rozporu s právními předpisy. V případě rozporu s právními předpisy může Dodavatel odmítnout pokyn splnit, aniž by se tím dostal do prodlení s poskytováním Služby.

Mlčenlivost. Dodavatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

Součinnost při výkonu práv subjektů údajů. Objednatel zpravidla vyřizuje žádosti subjektů údajů samostatně prostřednictvím svého administrátorského účtu. Nad rámec takto dostupné funkcionality je Dodavatel Objednateli nápomocen prostřednictvím vhodných technických a organizačních opatření pro splnění povinnosti reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR, a to ve lhůtě 14 dnů ode dne doručení požadavku Objednatele. Obdrží-li Dodavatel žádost subjektu údajů přímo, postoupí ji bez zbytečného odkladu Objednateli. Případné náklady na součinnost přesahující běžný rozsah je Dodavatel oprávněn Objednateli vyúčtovat v přiměřené výši.

Součinnost při plnění povinností Objednatele. Dodavatel je Objednateli nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR (zabezpečení zpracování, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace s dozorovým úřadem), a to při zohlednění povahy zpracování a informací, jež má Dodavatel k dispozici, ve lhůtě 14 dnů od doručení požadavku Objednatele. Případné náklady na součinnost přesahující běžný rozsah je Dodavatel oprávněn Objednateli vyúčtovat.

Obecné písemné povolení. Objednatel uděluje Dodavateli obecné písemné povolení ve smyslu čl. 28 odst. 2 GDPR k zapojení dalších zpracovatelů do zpracování osobních údajů v souvislosti s poskytováním Služby. Objednatel bere na vědomí, že Služba je poskytována s využitím technologií a služeb třetích stran a že zapojení těchto dalších zpracovatelů je nezbytné pro řádné poskytování Služby.

Seznam dalších zpracovatelů. Aktuální seznam dalších zpracovatelů je dostupný na vyžádání u kontaktní osoby Dodavatele, a obsahuje alespoň název, sídlo (zemi) a předmět zpracování každého dalšího zpracovatele. Ke dni účinnosti těchto Zpracovatelských podmínek jsou dalšími zpracovateli zejména:

1. Amazon Web Services (Amazon Web Services EMEA SARL): cloudová infrastruktura, hosting a ukládání dat (EAN, naměřená data, certifikáty);
2. SolarWinds (SolarWinds Worldwide, LLC): logování a monitoring provozu Aplikace.

Oznamování změn. Dodavatel informuje Objednatele o veškerých zamýšlených změnách týkajících se přijetí nebo nahrazení dalších zpracovatelů, a to nejméně 30 dnů předem prostřednictvím e-mailu na adresu kontaktní osoby Objednatele nebo oznámením na Webových stránkách. Objednatel má právo proti změně vznést námitku písemně do 15 dnů od obdržení oznámení. Pokud námitku v této lhůtě nevznese, má se za to, že se změnou souhlasí.

Řešení námitek. V případě, že Objednatel vznese oprávněnou námitku, vynaloží Dodavatel přiměřené úsilí k nabídnutí alternativního řešení. Pokud alternativní řešení není možné nebo obchodně přiměřené, může Dodavatel přestat poskytovat Službu nebo její dílčí části, aniž by se tím dostal do prodlení, případně je kterákoli ze stran oprávněna Smlouvu v dotčeném rozsahu písemně vypovědět, a to s účinností nejdříve ke dni účinnosti zamýšlené změny.

Povinnosti vůči dalším zpracovatelům. Dodavatel smluvně zajistí, aby každý další zpracovatel byl vázán povinnostmi na ochranu osobních údajů v rozsahu přinejmenším odpovídajícím povinnostem stanoveným v těchto Zpracovatelských podmínkách. Dodavatel odpovídá Objednateli za plnění povinností dalšího zpracovatele v rozsahu stanoveném čl. 28 odst. 4 GDPR.

Technická a organizační opatření. Dodavatel přijal a udržuje technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku zpracování ve smyslu čl. 32 GDPR, zejména:

1. šifrování osobních údajů při přenosu (TLS/HTTPS) i v úložišti, přičemž použité kryptografické algoritmy odpovídají dokumentu NÚKIB „Minimální požadavky na kryptografické algoritmy“ verze 4.0;
2. zajištění neustálé důvěrnosti, integrity, dostupnosti a odolnosti systémů a služeb zpracování;
3. schopnost obnovit dostupnost osobních údajů a přístup k nim včas v případě fyzických či technických incidentů (denní zálohování, zálohy uchovávané po dobu 7 dnů);
4. proces pravidelného testování, posuzování a hodnocení účinnosti opatření, přičemž u nových verzí probíhají tři kola testů (při vývoji, na odděleném testovacím prostředí a po nasazení do produkce);
5. řízení přístupu k osobním údajům na principu nejmenších oprávnění (least privilege), kdy koncoví uživatelé mají pouze přístup pro čtení ke svým měřidlům;
6. hashování přístupových údajů uživatelů;
7. logování přístupů k osobním údajům a záznamy o vybraných akcích v systému (audit logy v systému pro správu identit a aplikační log).

Bezpečnostní incidenty. V případě porušení zabezpečení osobních údajů Dodavatel ohlásí toto porušení Objednateli bez zbytečného odkladu poté, co se o něm dozví, nejpozději však do 48 hodin, a to v rozsahu informací, které jsou mu v danou chvíli známy. Dodavatel následně bez zbytečného odkladu doplní všechny informace v rozsahu čl. 33 odst. 3 GDPR, jakmile budou k dispozici. Ohlášení je považováno za dostatečné, pokud jej zpřístupní Dodavatel prostřednictvím Služby, nebo prostřednictvím e-mailu.

Právo na audit. Dodavatel umožní Objednateli nebo jím pověřenému nezávislému auditorovi provádění auditů a inspekcí potřebných k doložení splnění povinností dle čl. 28 GDPR a těchto Zpracovatelských podmínek, a to za následujících podmínek:

1. Objednatel je oprávněn provést audit nejvýše jednou za 12 měsíců, ledaže audit vyžaduje dozorový úřad nebo dojde k porušení zabezpečení osobních údajů;
2. Objednatel oznámí Dodavateli záměr provést audit nejméně 30 dnů předem a strany se předem dohodnou na rozsahu, harmonogramu a bezpečnostních podmínkách auditu;
3. audit bude prováděn v pracovní době Dodavatele a způsobem, který co nejméně narušuje jeho provoz;
4. auditor je povinen zachovávat mlčenlivost o všech skutečnostech, o kterých se při auditu dozví, a Dodavatel je oprávněn požadovat podpis dohody o mlčenlivosti před zahájením auditu.

Alternativní doložení souladu. Dodavatel může splnit povinnost umožnit audit také tím, že Objednateli poskytne aktuální certifikát nezávislého auditu (např. ISO 27001), zprávu o shodě (např. SOC 2 Type II) nebo jinou relevantní dokumentaci prokazující dodržování bezpečnostních opatření, pokud takovou certifikací má. Objednatel takovou dokumentaci přijme jako dostatečný důkaz souladu, ledaže existují konkrétní a odůvodněné pochybnosti o jejím obsahu nebo aktuálnosti.

Náklady auditu. Veškeré náklady spojené s provedením auditu nese Objednatel, s výjimkou případů, kdy audit prokáže podstatné porušení povinností Dodavatele dle těchto Zpracovatelských podmínek; v takovém případě nese náklady auditu Dodavatel.

Náklady součinnosti. Součinnost při prvním auditu v každém období 12 měsíců poskytuje Dodavatel bezplatně. V případě opakovaných auditů v témže období nebo auditů přesahujících dohodnutý rozsah je Dodavatel oprávněn Objednateli vyúčtovat účelně vynaložené náklady na poskytnutou součinnost (zejména čas pracovníků Dodavatele, kteří auditem provázejí nebo připravují podklady), a to v přiměřené výši, případně hodinovou sazbou sjednanou v Nabídce. To neplatí, prokáže-li audit podstatné porušení povinností Dodavatele dle těchto Zpracovatelských podmínek nebo je-li opakovaný audit vyžadován dozorovým úřadem či prováděn v návaznosti na porušení zabezpečení osobních údajů.

Omezení odpovědnosti. Odpovědnost Dodavatele za veškeré nároky vyplývající z těchto Zpracovatelských podmínek nebo v souvislosti s nimi podléhá vyloučením a omezením odpovědnosti sjednaným v čl. 14 Obchodních podmínek. Sjednané limity se uplatní souhrnně pro veškeré nároky ze Smlouvy i z těchto Zpracovatelských podmínek, není-li mezi Objednatelem a Dodavatelem sjednán jiný limit. Tím není dotčena odpovědnost stran vůči subjektům údajů dle čl. 82 GDPR.

Vyloučení odpovědnosti. Dodavatel nenese odpovědnost za škodu vzniklou v důsledku zpracování osobních údajů v souladu s pokyny Objednatele, v důsledku neposkytnutí součinnosti ze strany Objednatele, v důsledku porušení povinností Objednatele jako správce osobních údajů nebo v důsledku jednání či opomenutí třetích osob, které Dodavatel nemohl přiměřeně ovlivnit.

Vzájemná součinnost. Bude-li vůči kterékoli straně uplatněn nárok subjektu údajů nebo zahájen postup dozorového úřadu v souvislosti se zpracováním dle těchto Zpracovatelských podmínek, poskytnou si strany vzájemně přiměřenou součinnost za účelem obrany takového nároku nebo řízení.

Akceptace a změny. Tyto Zpracovatelské podmínky jsou dostupné na Webových stránkách a Objednatel je akceptuje uzavřením Smlouvy. Dodavatel je oprávněn Zpracovatelské podmínky přiměřeně měnit, zejména v návaznosti na změnu Služby, použitých technických a organizačních opatření. Změnu Dodavatel oznámí Objednateli nejméně 30 dnů před její účinností, a to e-mailem na adresu kontaktní osoby Objednatele nebo oznámením na Webových stránkách, oznámení obsahuje popis změny a datum její účinnosti. Objednatel je oprávněn vznést proti změně písemnou námitku do 15 dnů od doručení oznámení. Nevznese-li Objednatel námitku v této lhůtě, platí, že se změnou souhlasí a změna nabývá účinnosti k oznámenému dni. Vznese-li Objednatel námitku a nedohodnou-li se strany do 30 dnů na jiném řešení, je Objednatel oprávněn zpracování dotčené změnou písemně vypovědět s jednoměsíční výpovědní dobou, do uplynutí výpovědní doby, resp. do účinnosti změny se použije dosavadní znění Zpracovatelských podmínek. Vyžaduje-li změnu kogentní právní předpis, nabývá účinnosti ke dni účinnosti tohoto předpisu bez ohledu na výše uvedené lhůty.

Přetrvávající ustanovení. Povinnost mlčenlivosti, ustanovení o odpovědnosti a povinnosti související s výmazem nebo vrácením osobních údajů přetrvávají i po ukončení Smlouvy.

Rozhodné právo. Tyto Zpracovatelské podmínky se řídí českým právem.

Oddělitelnost. Neplatnost jakéhokoli ustanovení těchto Zpracovatelských podmínek nemá vliv na platnost a účinnost zbývajících ustanovení.

Náklady Dodavatele. Není-li výslovně stanoveno jinak, nese každá strana vlastní náklady spojené s plněním svých povinností. Dodavatel je oprávněn Objednateli vyúčtovat přiměřené náklady za součinnost, která překračuje běžný rozsah plnění povinností zpracovatele (zejména opakované nebo rozsáhlé žádosti o informace, součinnost při posuzování vlivu na ochranu osobních údajů nebo opakované či mimořádné audity, u nichž se náhrada nákladů řídí odst. 8.4).