Smlouva o zpracování osobních údajů

1.1Správce je zákazník – sportovní centrum, které užívá službu LekcePro. Zpracovatel je provozovatel služby LekcePro.

1.2Předmětem smlouvy je zpracování osobních údajů, které správce do služby vkládá nebo které do ní vkládají jeho klienti a uživatelé, za účelem poskytování služby LekcePro.

2.1Zpracování probíhá po dobu trvání smlouvy o poskytování služby a dále jen po dobu nezbytnou k výmazu nebo vrácení údajů podle článku 12.

3.1Zpracovatel údaje ukládá, organizuje, zobrazuje oprávněným uživatelům správce, zálohuje a na pokyn správce zasílá nebo maže, a to za účelem:

• vedení rozvrhu, rezervací (včetně výběru místa v sále), čekací listiny a docházky,
• evidence plateb, permanentek, kreditu a dokladů vystavených správcem,
• vedení zákaznické databáze správce a komunikace s klienty (potvrzení, připomínky, automatizované e-maily podle nastavení správce),
• zpřístupnění přehledů a statistik správci a integrací, které správce zapne (API, webhooky, kalendáře),
• zajištění bezpečnosti služby (přihlašování, auditní záznamy, ochrana proti zneužití).

4.1Kategorie subjektů údajů: klienti správce, jejich rodinní příslušníci přihlášení na lekce (včetně dětí), hosté rezervující bez registrace, uživatelé správce (personál, trenéři).

4.2Typy údajů:

• identifikační a kontaktní údaje (jméno, e-mail, telefon, zákaznické číslo),
• údaje o rezervacích, docházce, čekací listině a oblíbených lekcích,
• údaje o platbách, permanentkách, kreditu a dokladech (bez čísel platebních karet),
• údaje o komunikaci a souhlasech (např. s marketingovými e-maily) a poznámky, které zadá správce,
• technické údaje (IP adresa a prohlížeč u přihlášení a auditních záznamů, relace).

4.3Služba nevyžaduje zvláštní kategorie osobních údajů. Pokud je správce do služby vloží (např. do poznámky), odpovídá za existenci právního základu.

5.1Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce. Pokynem se rozumí tato smlouva, nastavení a funkce služby, které správce používá, a písemné pokyny správce. Zpracovatel neprodleně upozorní správce, pokud by podle jeho názoru pokyn porušoval právní předpisy.

5.2Zpracovatel nepoužije údaje pro vlastní účely, neprodá je ani je nebude využívat k reklamě.

6.1Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti, a to i po skončení jejich vztahu ke zpracovateli.

7.1Zpracovatel přijal zejména tato technická a organizační opatření:

• logické oddělení dat jednotlivých center – každý dotaz do databáze je vázán na konkrétní centrum,
• šifrovaný přenos (HTTPS/TLS), hesla uložená pouze jako kryptografický otisk, dvoufázové ověření pro správce platformy,
• role a oprávnění uživatelů správce, minimalizace přístupu – podpora vstupuje do dat centra jen se souhlasem správce a přístup se zaznamenává,
• auditní záznamy administrativních a finančních operací, ochrana proti hádání hesel a automatizovanému zneužití,
• pravidelné zálohy databáze a postup obnovy, aktualizace software a omezení síťového přístupu k databázi.

8.1Správce uděluje obecný souhlas se zapojením dalších zpracovatelů. Zpracovatel jim uloží stejné povinnosti ochrany údajů, jaké stanoví tato smlouva, a odpovídá za ně.

8.2Aktuální další zpracovatelé:

Seznam bude doplněn před zahájením ostrého provozu.

8.3O zamýšlené změně dalších zpracovatelů informuje zpracovatel správce e-mailem nejméně 30 dní předem. Správce může ze závažných důvodů vznést námitku; nedojde-li k dohodě, může smlouvu o službě vypovědět ke dni změny.

9.1Zpracovatel poskytuje správci funkce pro vyřízení žádostí subjektů: přístup a export údajů klienta, opravu, výmaz (anonymizaci) a evidenci souhlasů včetně odhlášení z marketingových e-mailů. Žádost doručenou přímo zpracovateli bez zbytečného odkladu předá správci.

10.1Zpracovatel ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, a poskytne informace potřebné pro ohlášení dozorovému úřadu a případné oznámení subjektům (povaha porušení, dotčené kategorie a přibližný počet subjektů, pravděpodobné důsledky, přijatá opatření).

10.2Zpracovatel poskytne správci přiměřenou součinnost při posouzení vlivu na ochranu osobních údajů a předchozí konzultaci s dozorovým úřadem (čl. 35 a 36 GDPR).

11.1Osobní údaje jsou zpracovávány v Evropské unii nebo Evropském hospodářském prostoru. Předání do třetí země je možné jen u dalšího zpracovatele uvedeného v článku 8 a pouze se zárukami podle kapitoly V GDPR.

12.1Po skončení poskytování služby umožní zpracovatel správci po dobu 30 dní export údajů a poté je smaže, nepožaduje-li právo Unie nebo členského státu jejich další uložení. Údaje v zálohách zanikají postupně s uplynutím doby uchování záloh.

13.1Zpracovatel poskytne správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audit nebo kontrolu prováděnou správcem nebo pověřeným auditorem, a to po předchozím oznámení nejméně 30 dní předem, v pracovní době, bez ohrožení bezpečnosti a mlčenlivosti vůči ostatním zákazníkům a na náklady správce.

13.2Ve věcech neupravených touto smlouvou se postupuje podle obchodních podmínek služby LekcePro a GDPR.