SMLOUVA O POVĚŘENÍ ZPRACOVÁNÍM OSOBNÍCH ÚDAJŮ

uzavřená v den zahájení používání služby BeautyForms mezi:

Rybczak i Wspólnicy spółka z ograniczoną odpowiedzialnością
se sídlem: ul. Przyjemna 4, 44-264 Jankowice, Polsko
KRS: 0000520491
NIP (DIČ): PL6423187210
dále jen „Zpracovatel" nebo „Provozovatel služby"

a

Uživatelem služby BeautyForms
dále jen „Správce" nebo „Uživatel"

§ 1. Předmět smlouvy a definice

1. Tato smlouva upravuje podmínky a rozsah pověření zpracováním osobních údajů ze strany Správce Zpracovateli v souvislosti s poskytováním služeb prostřednictvím služby BeautyForms (beautyforms.eu).

2. Smlouva byla uzavřena na základě čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (GDPR).

3. Kdykoli se ve smlouvě hovoří o:

§ 2. Rozsah pověření

1. Správce pověřuje a Zpracovatel přijímá ke zpracování jménem Správce osobní údaje těchto kategorií subjektů údajů:

1. klientů Správce (klientů kosmetického, kadeřnického nebo jiného salonu provozovaného Správcem),
2. zaměstnanců Správce,
3. jiných osob, jejichž údaje Správce vloží do Služby v souvislosti s vykonávanou podnikatelskou činností.

2. Pověřené osobní údaje mohou zahrnovat tyto kategorie údajů:

1. identifikační údaje (jméno, příjmení),
2. kontaktní údaje (e-mailová adresa, telefonní číslo, adresa bydliště),
3. údaje o poskytovaných službách a historii návštěv,
4. údaje o plánech péče, doporučeních a informace o pleti/zdraví vložené Správcem,
5. fotografie (včetně „před/po" a fotografií pleti) nahrané Správcem,
6. údaje o finančních vyúčtováních,
7. údaje vložené Správcem ve formě poznámek a komentářů,
8. jiné údaje vložené Správcem do Služby.

3. Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování služeb Služby uvedených v Podmínkách, zejména:

1. uchovávání a zpřístupňování údajů Správci,
2. umožnění vedení elektronických klientských karet, formulářů a souhlasů, plánů péče a doporučení,
3. dokumentace výsledků (galerie „před/po", mapy těla) a, pokud to Správce aktivuje, předběžné analýzy fotografií pleti AI asistentem,
4. zasílání oznámení klientům na pokyn Správce (SMS zprávy, e-mail),
5. generování reportů a dokumentů,
6. zajištění funkčnosti formulářů sdílených s klienty Správce.

4. Zpracování osobních údajů Zpracovatelem probíhá po dobu trvání Smlouvy o poskytování služeb a po dobu 5 let od ukončení poskytování služeb, v souladu s § 8.8 Podmínek.

§ 3. Povinnosti Zpracovatele

1. Zpracovatel se zavazuje:

1. Zpracovávat osobní údaje výhradně na zdokumentovaný pokyn Správce, a to i ve vztahu k předávání osobních údajů do třetí země nebo mezinárodní organizaci, ledaže takovou povinnost Zpracovateli ukládá právo Unie nebo právo členského státu, kterému Zpracovatel podléhá; v takovém případě Zpracovatel před zahájením zpracování informuje Správce o této právní povinnosti, pokud toto právo z důležitých důvodů veřejného zájmu takové informování nezakazuje;
2. Zajistit, aby se osoby oprávněné ke zpracování osobních údajů zavázaly k mlčenlivosti nebo aby podléhaly odpovídající zákonné povinnosti mlčenlivosti;
3. Zavést a udržovat všechna opatření požadovaná podle čl. 32 GDPR, zejména:
1. šifrování přenosu údajů pomocí protokolu SSL/TLS s nejméně 128bitovým klíčem,
2. uplatňování mechanismů kontroly přístupu zajišťujících, že přístup k údajům má výhradně Správce prostřednictvím individuálního hesla,
3. provádění pravidelných záloh údajů,
4. udržování fyzické bezpečnosti datového centra (monitoring, protipožární zabezpečení),
5. pravidelnou aktualizaci softwaru v rozsahu bezpečnostních oprav;
4. Zohledňovat při výběru technických a organizačních opatření povahu, rozsah, kontext a účely zpracování i rizika pro práva a svobody fyzických osob s různou pravděpodobností a závažností;
5. Poskytovat Správci pomoc v nezbytném rozsahu při plnění povinnosti Správce reagovat na žádosti subjektu údajů v rozsahu výkonu jeho práv uvedených v kapitole III GDPR;
6. Poskytovat Správci pomoc při zajištění plnění povinností uvedených v čl. 32–36 GDPR, s přihlédnutím k povaze zpracování a informacím dostupným Zpracovateli;
7. Podle volby Správce vymazat nebo vrátit Správci všechny osobní údaje po ukončení poskytování služeb souvisejících se zpracováním a vymazat všechny jejich existující kopie, ledaže právo Unie nebo právo členského státu nařizuje uchovávání osobních údajů;
8. Zpřístupnit Správci všechny informace potřebné k prokázání splnění povinností uvedených v čl. 28 GDPR a umožnit Správci provádění auditů včetně inspekcí a přispívat k nim;
9. Bezodkladně informovat Správce, pokud podle jeho názoru pokyn vydaný Správcem porušuje GDPR nebo jiné předpisy Unie či členských států o ochraně údajů.

§ 4. Další pověření zpracováním (zpracovatelé v dalším pořadí)

1. Správce uděluje obecný souhlas s využíváním služeb zpracovatelů v dalším pořadí (subzpracovatelů) ze strany Zpracovatele.

2. Zpracovatel může pověřit zpracováním osobních údajů tyto kategorie subzpracovatelů:

1. poskytovatele hostingových služeb a IT infrastruktury,
2. poskytovatele služeb zasílání SMS a e-mailových zpráv,
3. poskytovatele platebních služeb (v rozsahu nezbytném pro realizaci plateb),
4. poskytovatele služeb zálohování a obnovy údajů,
5. poskytovatele modelů umělé inteligence (AI) – výhradně v rozsahu funkce AI asistenta (§ 11 Podmínek).

3. Zpracovatel se zavazuje:

1. uložit subzpracovatelům prostřednictvím smlouvy nebo jiného právního aktu tytéž povinnosti ochrany údajů, jaké jsou stanoveny v této smlouvě, zejména povinnost poskytnout dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby zpracování odpovídalo požadavkům GDPR;
2. informovat Správce o všech plánovaných změnách týkajících se přibrání nebo nahrazení dalších zpracovatelů umístěním informace na viditelném místě ve Službě nejméně 14 dní předem, čímž dává Správci možnost vznést proti takovým změnám námitku;
3. nést vůči Správci plnou odpovědnost za splnění povinností svěřených subzpracovateli, pokud subzpracovatel nesplní své povinnosti v oblasti ochrany údajů.

4. Údaje a fotografie předávané poskytovateli AI modelů v souvislosti s funkcí AI asistenta jsou předávány výhradně za účelem vykonání daného dotazu. V souladu s podmínkami spolupráce s tímto poskytovatelem nejsou takové údaje po vykonání dotazu trvale uchovávány ani používány k trénování modelů.

5. V případě, že Správce vznese námitku proti změnám týkajícím se subzpracovatelů, má Správce právo vypovědět smlouvu s okamžitou účinností.

§ 5. Porušení zabezpečení osobních údajů

1. Zpracovatel se zavazuje bezodkladně, nejpozději do 24 hodin od zjištění, oznámit Správci každé porušení zabezpečení osobních údajů.

2. Oznámení podle odstavce 1 by mělo obsahovat alespoň:

1. popis povahy porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného počtu dotčených záznamů osobních údajů;
2. jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, kde lze získat více informací;
3. popis pravděpodobných důsledků porušení zabezpečení osobních údajů;
4. popis opatření přijatých nebo navrhovaných Zpracovatelem k nápravě porušení zabezpečení osobních údajů včetně, v příslušných případech, opatření ke zmírnění jeho možných nepříznivých dopadů.

3. Zpracovatel se zavazuje spolupracovat se Správcem při objasnění okolností porušení a přijetí nápravných opatření.

4. Oznámení o porušení by mělo být zasláno na e-mailovou adresu Správce uvedenou při registraci ve Službě.

§ 6. Audit a kontrola

1. Správce má právo provést audit u Zpracovatele za účelem ověření souladu zpracování osobních údajů s touto smlouvou a požadavky GDPR.

2. Audit může Správce provést osobně nebo prostřednictvím pověřeného auditora.

3. Správce oznamuje záměr provést audit nejméně 14 dní předem, přičemž uvede navrhovaný termín a rozsah auditu.

4. Audit se může konat nejvýše jednou za 12 měsíců, ledaže nastaly odůvodněné okolnosti nasvědčující porušení ustanovení smlouvy nebo předpisů GDPR.

5. Zpracovatel se zavazuje zpřístupnit Správci nebo auditorovi všechny informace a dokumenty potřebné k provedení auditu.

6. Audit nesmí narušit běžné fungování činnosti Zpracovatele a musí být proveden s respektováním obchodního tajemství a údajů jiných klientů Zpracovatele.

§ 7. Odpovědnost a náhrada škody

1. Zpracovatel odpovídá za škody způsobené v souvislosti se zpracováním osobních údajů, pokud nesplnil povinnosti vyplývající z GDPR, které jsou výslovně určeny zpracovatelům, nebo pokud jednal mimo zákonné pokyny Správce nebo v rozporu s těmito pokyny.

2. Celková odpovědnost Zpracovatele vůči Správci z této smlouvy v daném kalendářním roce nesmí překročit částku odpovídající roční hodnotě poplatků uhrazených Správcem za používání Služby.

3. Zpracovatel neodpovídá za škody vyplývající z:

1. jednání nebo opomenutí Správce,
2. poskytnutí přístupového hesla Správcem třetím osobám,
3. nesprávného používání Služby Správcem,
4. okolností, za které Zpracovatel neodpovídá v souladu s Podmínkami Služby.

§ 8. Povinnosti Správce

1. Správce prohlašuje, že:

1. je správcem osobních údajů ve smyslu GDPR a je oprávněn pověřit jejich zpracováním Zpracovatele,
2. má odpovídající právní základ pro zpracování osobních údajů,
3. osobní údaje byly získány zákonným způsobem,
4. informoval subjekty údajů o pověření zpracováním jejich osobních údajů Zpracovateli nebo tak učiní bezodkladně.

2. Správce se zavazuje:

1. udělovat Zpracovateli výhradně zákonné pokyny týkající se zpracování osobních údajů,
2. samostatně plnit informační povinnosti vůči subjektům údajů,
3. samostatně vyřizovat žádosti subjektů údajů týkající se výkonu jejich práv vyplývajících z GDPR,
4. získat potřebné souhlasy klientů před použitím funkcí, které zpracovávají jejich podobiznu (např. fotografie „před/po" a fotografie pleti, včetně analýzy AI asistentem),
5. bezodkladně informovat Zpracovatele o všech případech, které mohou mít vliv na zpracování osobních údajů.

§ 9. Doba platnosti a ukončení smlouvy

1. Smlouva nabývá účinnosti dnem zahájení používání Služby Správcem a platí po dobu poskytování služeb určenou v Podmínkách.

2. Smlouva zaniká okamžikem ukončení Smlouvy o poskytování služeb v souladu s Podmínkami.

3. V případě ukončení smlouvy Zpracovatel podle volby Správce:

1. vymaže všechny osobní údaje a všechny jejich existující kopie, pokud právo nevyžaduje jejich uchovávání, nebo
2. vrátí Správci všechny osobní údaje v dohodnutém formátu.

4. Bez ohledu na ustanovení odstavce 3 má Zpracovatel právo uchovávat osobní údaje po dobu 5 let od ukončení poskytování služeb v souladu s § 8.8 Podmínek, výhradně pro archivní účely a v rozsahu nezbytném k prokázání řádného poskytování služeb.

5. Po vymazání údajů podle odstavce 3 písm. a) poskytne Zpracovatel Správci písemné potvrzení o jejich vymazání.

§ 10. Závěrečná ustanovení

1. Tato smlouva tvoří nedílnou součást Podmínek Služby BeautyForms.

2. Ve věcech neupravených touto smlouvou se uplatní ustanovení GDPR a ustanovení polského práva, zejména zákona ze dne 10. května 2018 o ochraně osobních údajů.

3. Všechny změny smlouvy vyžadují písemnou formu pod hrozbou neplatnosti, s výhradou ustanovení týkajících se změny Podmínek.

4. V případě rozporu mezi ustanoveními této smlouvy a Podmínkami mají přednost ustanovení této smlouvy v rozsahu týkajícím se ochrany osobních údajů.

5. Smluvní strany budou usilovat o smírné řešení všech sporů vzniklých v souvislosti s plněním této smlouvy. Nedojde-li k dohodě, budou spory řešeny soudem příslušným podle sídla Zpracovatele.

6. Tato smlouva je poskytována v několika jazykových verzích. Referenční verzí je anglická verze; v případě rozporu mezi jazykovými verzemi má přednost anglická verze.

7. Akceptací Podmínek Služby BeautyForms Správce zároveň akceptuje ustanovení této smlouvy o pověření zpracováním osobních údajů.

§ 11. Kontaktní údaje ve věcech ochrany osobních údajů

Zpracovatel (Provozovatel služby):
Rybczak i Wspólnicy Sp. z o.o.
ul. Przyjemna 4, 44-264 Jankowice, Polsko
E-mail: support@beautyforms.eu
Telefon: +48 514 14 55 65

Správce:
Kontaktní údaje uvedené při registraci ve Službě