Smlouva o zpracování údajů

Smlouva o zpracování osobních údajů (AVV) podle čl. 28 GDPR

Stav: 20.03.2026

Mezi

registrovaným zákazníkem společnosti Biscotti CMP – dále jen „správce“ nebo „zákazník“ –

a

společností Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Spolková republika Německo

Rejstříkový soud: Okresní soud Potsdam Rejstříkové číslo: HRB 40180 P DIČ: DE368000447 Daňové číslo: 29/249/36095 Zastoupená: Daniel Bosch (CEO), Philipp André Marschall (prokurista) E-mail: [email protected] Telefon: +49 3322 50703301 Pracovní doba: Po–Pá, 09:00–17:00 – dále jen „zpracovatel“ nebo „poskytovatel“ –

– správce a zpracovatel jsou dále společně označováni jako „strany“ –

Úvod

Vítáme vás ve společnosti Campcruisers GmbH! Jsme velmi rádi, že vás můžeme přivítat jako zákazníky. Transparentnost, nejvyšší bezpečnostní standardy a partnerský přístup na rovnocenné úrovni jsou pro nás na prvním místě. Ochrana vašich údajů a údajů návštěvníků vašich webových stránek není pro nás pouze zákonnou povinností, ale také ústředním závazkem kvality naší společnosti.

Správce využívá cloudové řešení Software-as-a-Service (SaaS) „Biscotti CMP“ (Consent Management Platform), které bylo vyvinuto, je provozováno a distribuováno zpracovatelem. V rámci poskytování těchto služeb SaaS, které jsou poskytovány pod doménou biscotti-cmp.com a v aplikaci app.biscotti-cmp.com, zpracovává zpracovatel osobní údaje jménem a podle pokynů správce. Tato smlouva konkretizuje povinnosti stran v oblasti ochrany osobních údajů, které vyplývají z používání Biscotti CMP. Vztahuje se na všechny činnosti související s hlavní smlouvou (smlouva o poskytování služeb SaaS), při nichž mohou zaměstnanci zpracovatele nebo jím pověřené třetí strany přijít do styku s osobními údaji správce.

Tato smlouva je nezbytně nutná k splnění požadavků nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů – GDPR), zejména čl. 28 GDPR, jakož i doplňujících ustanovení spolkového zákona o ochraně osobních údajů (BDSG) a zákona o ochraně osobních údajů v telekomunikacích a digitálních službách (TDDDG).

[!POZNÁMKA] Uzavření smlouvy v elektronickém obchodním styku Tato smlouva je uzavřena v elektronické podobě v souladu s čl. 28 odst. 9 GDPR. Při přihlášení/registraci ze strany správce je nedílnou součástí Všeobecných obchodních podmínek (VOP) společnosti Biscotti CMP. K uzavření smlouvy dochází výslovným elektronickým souhlasem v rámci registrace (např. kliknutím na potvrzovací tlačítko) a k její platnosti a právní účinnosti není zapotřebí žádný zvláštní vlastnoruční podpis.

§ 1 Předmět a doba trvání zpracování

1.1 Předmět zpracování Zpracovatel poskytuje správci služby v oblasti správy souhlasů (Consent Management) a automatizace dodržování předpisů o ochraně osobních údajů. Předmět zpracování osobních údajů vyplývá z hlavní smlouvy uzavřené mezi stranami o využívání Biscotti CMP. Zpracování zahrnuje všechny operace související s údaji, které jsou nezbytné pro poskytování smluvně dohodnutých funkcí softwaru. Patří sem zejména, ale nikoli výlučně:

• Zajištění a dodání bannerů pro souhlas (cookie bannerů) na webových stránkách správce.
• Zaznamenávání, ukládání, správa a dokumentace rozhodnutí o souhlasu (souhlas / odmítnutí) koncových uživatelů (návštěvníků webových stránek) správce v souladu s čl. 7 odst. 1 GDPR a § 25 odst. 1 TDDDG.
• Provádění skenování souborů cookie s podporou umělé inteligence na webových stránkách správce za účelem identifikace a kategorizace sledovacích technologií a jejich porovnání s databází poskytovatelů IAB.
• Zpracování signálů v rámci Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) a Global Privacy Control (GPC).
• Zjišťování jurisdikce návštěvníka webových stránek na základě IP adresy za účelem dynamického zobrazování variant bannerů v souladu s právními předpisy (např. GDPR, CCPA/CPRA).
• Generování právních textů (impressum, prohlášení o ochraně osobních údajů, směrnice o souborech cookie) s podporou umělé inteligence prostřednictvím integrovaného asistenta Legal Suite s využitím Alibaba Cloud Qwen.
• Poskytování kontrolních protokolů (audit logů), webhooků pro oznámení v reálném čase, funkcí A/B testování a funkcí exportu dat za účelem plnění práv dotčených osob podle čl. 15 GDPR.
• Správa podúčtů agentury v rámci tarifu „Agency“, včetně správy klientů a white-label brandingu.

1.2 Doba zpracování Doba platnosti této smlouvy o zpracování údajů se řídí dobou platnosti základní smlouvy o využívání Biscotti CMP. Smlouva vstupuje v platnost registrací správce a aktivací účtu (u bezplatných tarifů) nebo potvrzením platby (u placených tarifů, jako jsou Starter, Growth, Business, Agency). Končí automaticky ukončením hlavní smlouvy, a to z jakéhokoli právního důvodu (např. řádnou výpovědí, mimořádnou výpovědí nebo smazáním účtu). Výpovědní lhůta pro hlavní smlouvu činí 1 den ke konci příslušného zúčtovacího období. Ustanovení této smlouvy, která mají ze své povahy platit i po ukončení (zejména ustanovení o výmazu a vrácení dat a otázky odpovědnosti), zůstávají ukončením nedotčena.

§ 2 Druh a účel zpracování

2.1 Druh zpracování Druh zpracování zahrnuje shromažďování, zaznamenávání, organizaci, uspořádání, ukládání, úpravu nebo změnu, čtení, vyhledávání, používání, zveřejnění prostřednictvím přenosu, šíření nebo jiné formy zpřístupnění, porovnání nebo propojení, omezení, výmaz nebo zničení údajů. Zpracování probíhá primárně automatizovaně v cloudové infrastruktuře zpracovatele (např. hostované na platformě Google Cloud, umístění serveru obvykle v Evropské unii).

2.2 Účel zpracování Účelem zpracování je výhradně plnění smluvních povinností vyplývajících z hlavní smlouvy. To zahrnuje:

• Prokazatelnost souhlasu: Ukládání údajů o souhlasu za účelem splnění povinnosti odpovědnosti správce podle čl. 5 odst. 2 ve spojení s čl. 7 odst. 1 GDPR.
• Technické zajištění: Zobrazení banneru s žádostí o souhlas a zajištění funkčnosti webových stránek správce s ohledem na preference uživatelů.
• Analýza souladu: Automatická kontrola webových stránek správce z hlediska rizik v oblasti ochrany osobních údajů (skener souborů cookie).
• Vypracování právních textů: Zpracování firemních a kontaktních údajů správce za účelem vypracování právních textů na míru s využitím umělé inteligence.
• Fakturace a správa účtů: Správa uživatelských účtů, přidělování limitů relací (např. 5 000 relací v tarifu Free, 500 000 v tarifu Business) a vyřizování převodů relací.
• Správa agentury: Umožnění správy až 25 podúčtů v tarifu Agency, včetně poskytování stránek pro prodejce a funkcí pro odesílání e-mailů.

Zpracování údajů pro vlastní účely zpracovatele, zejména pro vlastní reklamní účely nebo pro vytváření uživatelských profilů, které přesahují rámec smluvního plnění, je přísně zakázáno, pokud k tomu neexistuje výslovné zákonné povolení nebo samostatný souhlas.

§ 3 Druh osobních údajů

V rámci zpracování na základě zakázky jsou zpracovávány následující kategorie osobních údajů. Správce sám určuje přesný rozsah údajů prostřednictvím svého využití Biscotti CMP a konfigurace softwaru:

• Údaje o souhlasu: rozhodnutí (souhlas / nesouhlas pro různé kategorie, jako jsou základní, funkční, analytické, marketingové, služby umělé inteligence), časové razítko (datum a přesný čas udělení souhlasu), jedinečné identifikační číslo (pro pseudonymní přiřazení rozhodnutí k příslušnému koncovému zařízení/prohlížeči).
• Technické údaje: IP adresy (jsou zpracovávány primárně pro rozpoznání jurisdikce na základě polohy a zpravidla jsou okamžitě anonymizovány/zkráceny, pokud správce neprovede odlišnou konfiguraci), informace o prohlížeči, informace o zařízení, řetězce User-Agent, údaje o relaci.
• Údaje o souborech cookie a sledovacích nástrojích: výsledky skenování webových stránek správce, včetně nalezených souborů cookie, obsahu lokálního úložiště, sledovacích nástrojů třetích stran a jejich klasifikace.
• Obsah generovaný umělou inteligencí: Údaje, které správce zadává do asistenta Legal Suite za účelem generování právních textů (prohlášení o ochraně osobních údajů, tiráž, VOP). To může zahrnovat údaje o společnosti, jména oprávněných zástupců, adresy a konkrétní činnosti zpracování, které jsou zpracovávány prostřednictvím rozhraní Alibaba Cloud Model Studio (Qwen) API.
• Kontaktní údaje (majitelé účtů): jméno a příjmení, e-mailová adresa, název společnosti, adresa, telefonní číslo, identifikační číslo pro účely daně z přidané hodnoty (DIČ) zákazníků nebo majitelů účtů.
• Údaje o používání: aktivity na dashboardu, statistiky bannerů (zobrazení, interakce, míra přijetí), zprávy o dodržování předpisů, protokoly o změnách účtu.
• Platební údaje: Fakturační údaje, které jsou zpracovávány prostřednictvím poskytovatele platebních služeb Stripe (přičemž údaje o kreditních kartách jsou tokenizovány přímo u společnosti Stripe a nejsou ukládány v otevřeném textu u zpracovatele).

§ 4 Kategorie dotčených osob

Zpracování se týká následujících kategorií dotčených osob:

• Návštěvníci webových stránek (koncoví uživatelé): Fyzické osoby, které navštěvují webové stránky správce a jejichž rozhodnutí o souhlasu jsou dotazována, zpracovávána a ukládána prostřednictvím banneru Biscotti CMP.
• Zákazníci (majitelé účtů): Fyzické osoby, živnostníci nebo zástupci právnických osob, kteří si jako smluvní partneři zpracovatele zaregistrovali účet u Biscotti CMP.
• Členové týmu a zaměstnanci: osoby, které byly majitelem účtu (správcem) pozvány do dashboardu Biscotti CMP jako další uživatelé za účelem správy systému.
• Zákazníci agentur (majitelé podúčtů): Koneční zákazníci agentur, kteří využívají tarif „Agency“ a pro které byly vytvořeny podúčty.

§ 5 Povinnosti a práva správce

5.1 Zákonnost zpracování Za posouzení přípustnosti zpracování na základě pověření a za dodržování práv dotčených osob odpovídá výhradně správce (čl. 4 bod 7 GDPR). Správce zajistí, aby pro zpracování osobních údajů zpracovatelem existoval účinný právní základ (např. souhlas podle čl. 6 odst. 1 písm. a) GDPR nebo oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR). To platí zejména pro použití Biscotti CMP k získání souhlasů podle § 25 odst. 1 TDDDG.

5.2 Informační povinnosti Správce nese plnou odpovědnost za to, aby dotčené osoby (zejména návštěvníky webových stránek) v souladu s články 13 a 14 GDPR transparentně, přesně a včas informoval o zpracování údajů. Zpracovatel za tímto účelem poskytne správci nezbytné technické informace o fungování Biscotti CMP a vzorové texty prostřednictvím asistenta Legal Suite. Právní posouzení a začlenění prohlášení o ochraně osobních údajů je povinností správce.

5.3 Využití agenturou a prodejcem Pokud správce využívá tarif „Agency“ a zakládá podúčty pro své vlastní zákazníky, zůstává správce ve vztahu ke zpracovateli jediným smluvním partnerem a správcem z hlediska ochrany osobních údajů. Správce zaručuje, že má se svými koncovými zákazníky uzavřeny nezbytné smluvní dohody (včetně vlastních smluv o zpracování). Pokud správce zřídí stránku pro prodejce nebo používá vlastní e-mailové servery pod vlastní doménou, nese za tuto infrastrukturu výlučnou odpovědnost z hlediska ochrany osobních údajů a práva hospodářské soutěže. Zpracovatel za to nenese žádnou odpovědnost.

5.4 Hlášení chyb Správce je povinen neprodleně a úplně informovat zpracovatele, pokud při kontrole výsledků zakázky zjistí chyby nebo nesrovnalosti týkající se předpisů o ochraně osobních údajů.

§ 6 Právo správce na vydávání pokynů

6.1 Druh a rozsah pokynů Zpracovatel zpracovává osobní údaje výlučně na základě zdokumentovaných pokynů správce, pokud k tomu není povinen podle práva Unie nebo členských států, kterému podléhá (čl. 28 odst. 3 písm. a) GDPR). V takovém případě zpracovatel informuje správce o tomto právním požadavku před zahájením zpracování, pokud příslušné právo takové oznámení nezakazuje z důvodu závažného veřejného zájmu.

Hlavní smlouva a tyto VOP představují počáteční písemné pokyny. Využití funkcí Biscotti CMP (např. konfigurace banneru, spuštění skenování, generování textů) správcem v dashboardu se považuje za písemný dílčí pokyn.

6.2 Forma pokynů Pokyny lze zpravidla vydávat prostřednictvím uživatelského rozhraní softwaru (aplikace). Další pokyny je třeba vydávat v písemné formě (např. e-mailem na adresu [email protected]). Ústní pokyny musí správce neprodleně potvrdit v písemné formě.

6.3 Výhrady k pokynům Zpracovatel neprodleně informuje správce, pokud se domnívá, že pokyn porušuje GDPR, BDSG nebo jiné předpisy o ochraně osobních údajů Unie nebo členských států. Zpracovatel je oprávněn pozastavit provádění příslušného pokynu, dokud jej správce nepotvrdí nebo nezmění. Zjevně protiprávní pokyny může zpracovatel odmítnout.

§ 7 Povinnost zachovávat důvěrnost

7.1 Povinnost zaměstnanců Zpracovatel potvrzuje, že všechny osoby oprávněné ke zpracování osobních údajů správce (zaměstnanci, externí spolupracovníci, orgány) zavázal před zahájením činnosti k mlčenlivosti (čl. 28 odst. 3 písm. b) GDPR) nebo že tyto osoby podléhají přiměřené zákonné povinnosti mlčenlivosti. Tato povinnost zahrnuje také mlčenlivost o údajích a trvá i po skončení činnosti nebo pracovního poměru.

7.2 Školení a osvěta Zpracovatel zajistí, aby osoby oprávněné ke zpracování byly pravidelně školeny a informovány o ustanoveních týkajících se ochrany osobních údajů (GDPR, BDSG) a bezpečnosti údajů. Zpracovatel, zastoupený vedením (Daniel Bosch, Philipp André Marschall), dbá na firemní kulturu v souladu s ochranou osobních údajů.

7.3 Pověřenec pro ochranu osobních údajů Zpracovatel jmenoval odborného a spolehlivého pověřence pro ochranu osobních údajů, pokud to vyžaduje zákon podle § 38 odst. 1 BDSG nebo čl. 37 GDPR (např. v případě, že se automatizovaným zpracováním trvale zabývá zpravidla nejméně 20 osob).

Pokud neexistuje zákonná povinnost jmenování, zajistí zpracovatel přesto, aby povinnosti v oblasti ochrany osobních údajů byly plně sledovány a dodržovány vedením společnosti.

§ 8 Technicko-organizační opatření (TOM) podle čl. 32 GDPR

8.1 Zásada bezpečnosti zpracování Zpracovatel závazně prohlašuje, že s ohledem na stav techniky, náklady na implementaci a povahu, rozsah, okolností a účelů zpracování, jakož i různé pravděpodobnosti výskytu a závažnosti rizika pro práva a svobody fyzických osob přijal vhodná technická a organizační opatření (TOM), aby zajistil úroveň ochrany odpovídající riziku (čl. 32 GDPR). Tato opatření se řídí uznávanými standardy IT bezpečnosti (jako ISO 27001 a SOC 2).

8.2 Konkrétní opatření Zpracovatel provádí zejména následující opatření a udržuje je po celou dobu trvání smlouvy:

a) Pseudonymizace a šifrování (čl. 32 odst. 1 písm. a) GDPR)

• Šifrování při přenosu: Veškerý přenos dat mezi koncovým uživatelem, správcem a infrastrukturou Biscotti CMP probíhá výhradně prostřednictvím nejmodernějších šifrovacích protokolů (TLS 1.2 nebo TLS 1.3).
• Šifrování v klidu: Všechny databáze a paměťová média na platformě Google Cloud (umístění serveru NL) jsou šifrovány na úrovni pevného disku (AES-256).
• Pseudonymizace: Rozhodnutí o souhlasu nejsou spojena se skutečným jménem, ale s náhodně vygenerovaným kryptografickým identifikačním číslem. IP adresy jsou standardně zkracovány/anonymizovány, jakmile je dokončeno přiřazení na základě polohy.

b) Důvěrnost (kontrola přístupu a oprávnění)

• Kontrola přístupu: Fyzickou bezpečnost používaných serverů zajišťuje externí poskytovatel infrastrukturních služeb (např. Google Cloud). Datová centra podléhají přísným přístupovým a bezpečnostním kontrolám obvyklým v tomto odvětví. Vlastní kancelářské prostory společnosti Campcruisers GmbH jsou zabezpečeny přiměřenými fyzickými omezeními přístupu (např. bezpečnostními zámky).
• Kontrola přístupu: Přístup k IT systémům zpracovatele je zabezpečen restriktivními zásadami pro hesla, vícefaktorovou autentizací (MFA) pro relevantní administrativní přístupy a časovými limity relací. K ochraně pokusů o přihlášení před útoky botů se používají systémy jako Cloudflare Turnstile.
• Kontrola přístupu: Platí zásada minimálního přidělování oprávnění (Role-Based Access Control – RBAC). Zaměstnanci zpracovatele mají přístup pouze k údajům, které jsou nezbytně nutné pro jejich příslušný úkol. Údaje o zákaznících z různých tarifů jsou logicky odděleny (multiklientovost).

c) Integrita (kontrola předávání, zadávání a oddělení)

• Kontrola předávání: Data nejsou přenášena na fyzických nosičích. Přenos probíhá výhradně přes zabezpečené sítě.
• Kontrola zadávání: Biscotti CMP disponuje komplexním kontrolním protokolem (audit log). Je kdykoli možné zjistit, který uživatel (zákazník, člen týmu, agentura) provedl v daném okamžiku jaké změny v dashboardu (např. změna textů bannerů, úprava kategorií souborů cookie).
• Kontrola oddělení: Údaje, které byly shromážděny pro různé účely, jsou zpracovávány odděleně. Produkční, testovací a vývojové prostředí jsou od sebe striktně izolovány.

d) Dostupnost a odolnost (čl. 32 odst. 1 písm. b) a c) GDPR)

• Dostupnost: Zpracovatel přijímá přiměřená opatření obvyklá v daném odvětví k zajištění dostupnosti systémů (hosting na platformě Google Cloud). Nejsou však zaručeny žádné explicitní SLA dostupnosti a neexistuje úplná redundance infrastruktury.
• Odolnost: Architektura systému je navržena tak, aby očekávané objemy relací byly zpravidla spolehlivě zpracovány. Není však využíváno žádné dedikované vyvažování zátěže ani automatické mechanismy škálování (auto-scaling).
• Obnovitelnost: Zpracovatel přijímá přiměřená opatření (např. pravidelné zálohování databází), aby v případě technické poruchy umožnil obnovu dat. Neexistuje však žádná záruka bezztrátové obnovy, proto je správce vyzván, aby na vlastní odpovědnost využíval exportní funkce, které má k dispozici.

e) Postupy pro pravidelné přezkoumávání (čl. 32 odst. 1 písm. d) GDPR)

• Zpracovatel pravidelně interně kontroluje účinnost přijatých technických a organizačních opatření.
• Existují interní procesy pro reakci na bezpečnostní incidenty (Incident-Response), aby bylo možné čelit potenciálním incidentům v rámci zákonných předpisů.
• TOM podléhají procesu neustálého zlepšování.

8.3 Úprava technických a organizačních opatření Technická a organizační opatření podléhají technickému pokroku a dalšímu vývoji. Zpracovatel je oprávněn zavést alternativní adekvátní opatření, pokud tím nebude snížena úroveň zabezpečení stanovených opatření. Zásadní změny musí být správci oznámeny písemně.

§ 9 Subzpracovatelé

9.1 Pověření subdodavatelů Správce tímto uděluje zpracovateli obecné písemné povolení (čl. 28 odst. 2 GDPR) k zapojení dalších zpracovatelů (subdodavatelů). Zpracovatel zajistí, že pečlivě vybere subzpracovatele a smluvně je zaváže ke stejným povinnostem v oblasti ochrany osobních údajů, jaké jsou stanoveny v této smlouvě (čl. 28 odst. 4 GDPR).

9.2 Aktuálně schválení subzpracovatelé V době uzavření smlouvy jsou pro poskytování služeb Biscotti CMP aktivní následující subzpracovatelé, kteří jsou správcem považováni za schválené. Zpracovatel zajistil, aby v případě amerických poskytovatelů fungovala jako smluvní partner příslušná pobočka v EU, aby byla zachována úroveň ochrany osobních údajů v EU:

9.3 Přenos do třetí země Dojde-li ke zpracování prostřednictvím subdodavatele mimo Evropskou unii (EU) nebo Evropský hospodářský prostor (EHP) (např. u společnosti Resend), zajistí zpracovatel, aby byly splněny zvláštní podmínky podle čl. 44 a násl. GDPR. To se obvykle provádí uzavřením aktuálních standardních smluvních doložek (SCC) Evropské komise ve spojení s posouzením dopadu přenosu (Transfer Impact Assessment) a zavedením dalších technických opatření (např. šifrování).

9.4 Změna nebo zapojení nových subzpracovatelů Zpracovatel informuje správce o každé zamýšlené změně týkající se zapojení nebo nahrazení subzpracovatelů. Informace se poskytuje v písemné formě (např. e-mailem na adresu uvedenou v účtu) nejméně 30 dní před plánovanou změnou. Správce může změnu z závažného důvodu týkajícího se ochrany osobních údajů do 14 dnů od obdržení oznámení odmítnout. Pokud nedojde k odmítnutí, považuje se změna za schválenou. V případě oprávněné námitky, kterou zpracovatel nemůže odstranit přijatelnými opatřeními, je správce oprávněn mimořádně vypovědět hlavní smlouvu ke dni nabytí účinnosti změny.

§ 10 Podpora při uplatňování práv dotčených osob

10.1 Povinnost poskytovat podporu Zpracovatel v rámci možností podporuje správce vhodnými technickými a organizačními opatřeními při plnění jeho povinnosti odpovídat na žádosti o uplatnění práv dotčených osob uvedených v kapitole III GDPR (čl. 15 až 22 GDPR) (čl. 28 odst. 3 písm. e) GDPR).

10.2 Technická implementace v Biscotti CMP Biscotti CMP si klade za cíl technicky podporovat správce při plnění jeho povinností:

• Právo na informace (čl. 15 GDPR) a právo na přenositelnost údajů (čl. 20 GDPR): Software nabízí možnosti exportu dat (např. ve formátu CSV) nebo lze u podpory požádat o export konkrétních ID souhlasů v souladu s předpisy o ochraně osobních údajů.
• Právo na odvolání souhlasu (čl. 7 odst. 3 GDPR): Banner souhlasu v Biscotti CMP nabízí koncovým uživatelům funkci, pomocí které mohou vyvolat provedená nastavení a kdykoli je odvolat.
• Právo na výmaz (čl. 17 GDPR): Shromážděné údaje mohou být správcem vymazány pomocí funkcí poskytnutých v dashboardu nebo lze jejich výmaz prokazatelně iniciovat u podpory.

10.3 Předávání žádostí Pokud dotčená osoba uplatní svá práva přímo vůči zpracovateli, ten na žádost neodpoví sám, ale dotčenou osobu neprodleně odkáže na správce, pokud je na základě dostupných údajů možné přiřadit dotčenou osobu ke správci. Zpracovatel neprodleně předá žádost správci.

§ 11 Podpora při posouzení dopadů na ochranu osobních údajů a oznamovací povinnosti

11.1 Posouzení dopadů na ochranu osobních údajů (čl. 35 GDPR) Zpracovatel podporuje správce s ohledem na povahu zpracování a informace, které má k dispozici, při provádění posouzení dopadů na ochranu osobních údajů (DSFA) podle čl. 35 GDPR, jakož i při případné nezbytné předchozí konzultaci s dozorovým úřadem (čl. 36 GDPR).

11.2 Oznámení o porušení ochrany osobních údajů Zpracovatel je povinen bezodkladně, nejpozději však do 48 hodin od zjištění, písemně oznámit správci každé porušení ochrany osobních údajů (únik dat), které se týká údajů zpracovávaných na základě této smlouvy.

§ 12 Vymazání a vrácení údajů

12.1 Vymazání po skončení smlouvy Po ukončení poskytování služeb zpracování (ukončení hlavní smlouvy) je zpracovatel povinen podle volby správce buď vymazat, nebo vrátit veškeré osobní údaje, pokud neexistuje povinnost uchovávat osobní údaje podle práva Unie nebo práva členských států (např. obchodní a daňové povinnosti uchovávání podle HGB a AO).

12.2 Standardní postup společnosti Biscotti CMP Pokud správce nevydá odlišný pokyn, platí následující standardní postup: Správce má možnost si před ukončením smlouvy data samostatně zálohovat pomocí funkce exportu (CSV). Po nabytí účinnosti výpovědi a uplynutí zúčtovacího období bude účet správce deaktivován. Osobní údaje uložené na účtu jsou uchovávány po přechodnou dobu 30 dnů (doba uchovávání), aby bylo možné v případě neúmyslného downgrade provést obnovu. Po uplynutí těchto 30 dnů jsou údaje neodvolatelně a v souladu s předpisy o ochraně osobních údajů vymazány z produkčních systémů.

12.3 Potvrzení o vymazání Zpracovatel na výslovnou žádost správce potvrdí správci v písemné formě, že údaje byly vymazány v souladu s předpisy o ochraně osobních údajů.

§ 13 Kontrolní práva a audity

13.1 Právo na kontrolu Zpracovatel poskytne správci všechny potřebné informace k prokázání dodržování povinností stanovených v čl. 28 GDPR a v této smlouvě. Umožní kontroly – včetně inspekcí –, které provádí správce nebo jím pověřený kontrolor vázaný mlčenlivostí, a na těchto kontrolách se podílí.

13.2 Provádění auditů Aby nebyla ohrožena bezpečnost datových center a důvěrnost údajů jiných zákazníků (oddělení klientů), dohodly se strany na následujícím postupu pro audity:

• Správce bude své kontrolní právo vykonávat primárně prostřednictvím vyžádání a vyhodnocení relevantních certifikátů (např. ISO 27001) nebo prostřednictvím podrobných dotazníků týkajících se IT bezpečnosti.
• Pokud tyto informace nebudou postačující, je odpovědná osoba oprávněna provést inspekci na místě v obchodních prostorách společnosti Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Inspekce na místě je třeba oznámit s přiměřeným předstihem (zpravidla nejméně 14 dní).

§ 14 Odpovědnost a náhrada škody

14.1 Vnější vztah (vůči dotčeným osobám) Za náhradu škody odpovídá správce a zpracovatel vůči dotčené osobě v souladu s čl. 82 GDPR. Zpracovatel odpovídá za škodu vzniklou v důsledku zpracování pouze v případě, že nesplnil své povinnosti vyplývající z GDPR nebo jednal v rozporu s právoplatně vydanými pokyny správce.

14.2 Vnitřní vztah (mezi stranami) Ve vnitřním vztahu se strany zbavují odpovědnosti, pokud jedna ze stran prokáže, že v žádném ohledu nenese odpovědnost za okolnost, která vedla ke vzniku škody.

14.3 Omezení odpovědnosti vyplývající z hlavní smlouvy Doplňkově platí ustanovení o odpovědnosti obsažená v hlavní smlouvě (VOP). Odpovědnost za lehkou nedbalost je vyloučena, ledaže by se jednalo o porušení podstatných smluvních povinností (kardinálních povinností). V takovém případě je odpovědnost omezena na škodu typickou pro daný druh smlouvy a předvídatelnou.

§ 15 Závěrečná ustanovení

15.1 Písemná forma a změny Změny a doplňky této smlouvy vyžadují písemnou formu (např. e-mail). Zpracovatel si vyhrazuje právo tuto smlouvu změnit, aby ji přizpůsobil změněným právním poměrům nebo technickému vývoji. Správce bude o změnách informován e-mailem.

15.2 Hierarchie Pokud by jednotlivá ustanovení této smlouvy o zpracování údajů byla v rozporu s ustanoveními hlavní smlouvy (VOP), mají přednost ustanovení této smlouvy o zpracování údajů, pokud jde o ochranu a bezpečnost údajů.

15.3 Salvatorická doložka Pokud by jednotlivá ustanovení této smlouvy byla nebo se stala neplatnými či neproveditelnými, nemá to vliv na platnost zbývajících ustanovení. Smluvní strany se zavazují nahradit neplatné či neproveditelné ustanovení platným a proveditelným ustanovením.

15.4 Rozhodné právo a soudní příslušnost Tato smlouva se řídí výlučně právem Spolkové republiky Německo s vyloučením Úmluvy OSN o smlouvách o mezinárodní koupi zboží. Výlučným místem soudní příslušnosti pro všechny spory vyplývající z této smlouvy nebo s ní související je, pokud to zákon dovoluje, sídlo zpracovatele (Falkensee). Smluvním jazykem je němčina.