Zpracovatelské ujednání podle čl. 28 GDPR

1. Smluvní strany a předmět

Správce: zákaznická firma identifikovaná při registraci účtu JP Docházky.

Zpracovatel: JPdesign – Jiří Procházka, IČO 66116449, DIČ CZ7710292667, Černěves 115, 413 01 Roudnice nad Labem, info@dochazime.cz.

Zpracovatel pro správce provozuje cloudovou aplikaci pro docházku, směny, absence, zaměstnance, zakázky, servis, reporty a související podporu. Ujednání trvá po dobu poskytování služby a následného vypořádání dat.

2. Povaha, účel a operace

Zpracování zahrnuje přijetí, strukturování, ukládání, zpřístupnění oprávněným uživatelům, výpočty, reporty, export, zálohování, podporu, opravu, anonymizaci a výmaz údajů. Účelem je poskytování funkcí, které správce v aplikaci aktivuje a používá.

3. Subjekty a druhy údajů

Subjekty údajů mohou být zaměstnanci, uživatelé, uchazeči nebo spolupracovníci správce, kontaktní osoby jeho zákazníků, servisní technici a podepisující osoby.

Zpracovávané údaje mohou zahrnovat jméno, kontakty, pracovní a organizační zařazení, osobní číslo, směny, absence, docházku, GPS údaje jednotlivé události, IP adresu a zařízení, mzdové podklady, zákaznické a zakázkové kontakty, fotografie, podpis servisního protokolu, komunikaci a auditní záznamy. Služba není určena k ukládání biometrických šablon ani údajů, které zákazník pro deklarovaný účel nepotřebuje.

4. Pokyny a povinnosti správce

• Pokyny správce tvoří toto ujednání, nastavení účtu a doložené požadavky oprávněných administrátorů.
• Správce odpovídá za právní základ, transparentní informování osob, přiměřenost GPS kontroly, správnost údajů a přístupových rolí.
• Správce nebude do systému vkládat údaje, které nejsou nezbytné, ani zvláštní kategorie údajů bez doložené potřeby a odpovídajícího právního základu.
• Správce chrání přístupové údaje, zapne dostupné bezpečnostní prvky a bez odkladu oznámí podezření na zneužití.

5. Povinnosti zpracovatele

• zpracovávat údaje pouze na doložené pokyny správce, ledaže zpracování vyžaduje právo EU nebo České republiky,
• zajistit mlčenlivost osob s přístupem k údajům a přiměřená technická a organizační opatření podle čl. 32 GDPR,
• pomáhat správci přiměřeně povaze zpracování s žádostmi fyzických osob, zabezpečením, ohlášením incidentu a případným posouzením vlivu,
• oznámit správci porušení zabezpečení osobních údajů bez zbytečného odkladu po jeho potvrzení,
• poskytnout informace nezbytné k doložení splnění čl. 28 GDPR a umožnit přiměřenou kontrolu po předchozí dohodě tak, aby nebyla ohrožena data jiných zákazníků.

6. Další zpracovatelé a předávání

Správce uděluje obecné písemné povolení zapojit poskytovatele hostingu, infrastruktury, záloh, e-mailu, plateb a odborné podpory v rozsahu nutném pro službu. Zpracovatel uloží dalším zpracovatelům stejné povinnosti ochrany údajů. O podstatné změně kategorie nebo umístění dalšího zpracovatele bude správce informován s možností vznést odůvodněnou námitku.

Data jsou určena ke zpracování v EU/EHP. Předání do třetí země se uskuteční jen na doložený pokyn nebo s platným mechanismem podle kapitoly V GDPR.

7. Zabezpečení

Opatření zahrnují zejména HTTPS, řízení přístupů a rolí, vícefaktorové ověření správců, tenantové oddělení, hashování hesel a API klíčů, šifrování MFA tajemství, auditní záznamy, omezení pokusů, zálohování a testy obnovy. Opatření se průběžně upravují podle rizik a stavu techniky.

8. Ukončení služby a data

Správce může během služby využít dostupný export a požádat o opravu, anonymizaci nebo odstranění. Po ukončení služby zpracovatel na pokyn správce osobní údaje vrátí nebo vymaže, včetně kopií po uplynutí technické rotace záloh, pokud jejich další uchování nevyžaduje právní předpis. Povinně uchovávané údaje budou odděleny a použity pouze pro zákonný účel.

9. Přijetí a rozhodné právo

Oprávněný zástupce správce přijímá toto ujednání elektronicky při registraci; systém uchová verzi dokumentu, čas a IP adresu potvrzení. Ujednání se řídí právem České republiky. Změna, která podstatně ovlivní zpracování, vyžaduje nové oznámení a odpovídající smluvní postup.