Smlouva o zpracování osobních údajů

uzavřená podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „GDPR“)

1. Smluvní strany

1.1. Správcem je uživatel, který přijal obchodní podmínky Chattie a jehož identifikační údaje jsou uvedeny u jeho organizace v uživatelském účtu — zejména název nebo jméno, identifikační číslo a sídlo. Kontaktním e-mailem správce pro účely této smlouvy je e-mailová adresa uvedená u jeho uživatelského účtu. Tyto údaje si správce spravuje sám a odpovídá za jejich správnost a aktuálnost.

1.2. Zpracovatelem je Ondřej Koňařík, IČO 23307439, se sídlem Huslenky 50, 756 02 Huslenky, zapsaný v živnostenském rejstříku vedeném ve Vsetíně, kontaktní e-mail pro účely této smlouvy info@chattie.cz.

1.3. Tato smlouva je nedílnou přílohou obchodních podmínek a uzavírá se okamžikem jejich přijetí. Nevyžaduje samostatný podpis; okamžik uzavření a znění, které bylo přijato, jsou zaznamenány v záznamu o přijetí obchodních podmínek.

1.4. Správce a zpracovatel uzavírají tuto smlouvu v souvislosti se smlouvou o poskytování služby Chattie uzavřenou přijetím obchodních podmínek (dále jen „hlavní smlouva“), na jejímž základě zpracovatel poskytuje správci aplikaci Chattie (dále jen „aplikace“).

1.5. Správce určuje účely a prostředky zpracování osobních údajů, které aplikace zpracovává v jeho pracovním prostoru — zejména údajů o návštěvnících jeho webových stránek. Zpracovatel tyto údaje zpracovává výhradně pro správce, jeho jménem a podle jeho pokynů.

1.6. Předmětem této smlouvy není zpracování, u něhož zpracovatel sám určuje účel a prostředky a vystupuje v postavení správce — zejména vedení uživatelských účtů správce a jeho pracovníků, jejich registrace a přihlašování, ověření kontaktního telefonu organizace a fakturace. Toto zpracování se řídí zásadami zpracování osobních údajů zpracovatele.

2. Předmět, povaha, účel a doba zpracování

2.1. Předmět zpracování. Zpracovatel poskytuje správci platformu Chattie pro zákaznickou podporu: chatovací widget, automatické odpovědi jazykového modelu, znalostní bázi a správu tiketů. Předmětem zpracování jsou osobní údaje uvedené v čl. 4, které do aplikace vstoupí v souvislosti s používáním těchto funkcí.

2.2. Povaha zpracování. Jde o zpracování prováděné převážně automatizovaně. Zahrnuje zejména shromažďování, zaznamenání, uspořádání, uložení, nahlédnutí, použití, předání dalším zpracovatelům podle čl. 8, omezení a výmaz.

2.3. Účel zpracování. Provoz zákaznické podpory správce — vedení konverzace s návštěvníkem, vyhledání podkladu pro odpověď ve znalostní bázi správce, vygenerování odpovědi jazykovým modelem, eskalace na lidského operátora, založení a vyřízení tiketu a s tím související provozní, vyhodnocovací a bezpečnostní úkony.

2.4. Doba zpracování. Zpracování trvá po dobu poskytování služby podle hlavní smlouvy. Ukončením hlavní smlouvy zpracování končí a použije se čl. 12.

2.5. Dostupnost historie konverzací. Historie konverzací je pro správce v aplikaci dostupná po dobu odpovídající zvolenému tarifu — u veřejně nabízených tarifů 7, 30, 365 nebo 1095 dní podle ceníku. Zpracovatel může organizaci správce přiřadit i tarif, který není součástí veřejného ceníku a má delší dobu dostupnosti (v současnosti až 3650 dní); takový tarif se sjednává písemně a správce jej promítne do vlastní evidence zpracování a do informací poskytovaných subjektům údajů.

2.6. Doba uložení. Údaje zůstávají uloženy nejméně po dobu 3 let od uzavření konverzace. Je-li u zvoleného tarifu sjednána delší doba dostupnosti historie, prodlužuje se odpovídajícím způsobem i doba uložení — údaje nejsou vymazány, dokud jsou v aplikaci dostupné podle tarifu. Po uplynutí této doby jsou nevratně vymazány.

2.7. Doba uložení podle odst. 2.6 přesahuje dobu dostupnosti podle odst. 2.5 výhradně za účelem určení, výkonu a obhajoby právních nároků obou stran; k jinému účelu zpracovatel takto uložené údaje nepoužije.

2.8. Lhůty podle odst. 2.5 až 2.7 se uplatní po dobu trvání hlavní smlouvy. Po jejím ukončení ani po doručení pokynu správce k výmazu se neuplatní a rozhodná je lhůta podle čl. 12.

3. Kategorie subjektů údajů

3.1. Návštěvníci webu správce, kteří zahájí konverzaci prostřednictvím widgetu nebo prostřednictvím e-mailového kanálu aplikace.

3.2. Je-li návštěvník zároveň zákazníkem e-shopu správce a správce aktivoval propojení aplikace se svým systémem, zahrnuje zpracování i údaje o objednávkách tohoto návštěvníka v rozsahu podle čl. 4.

3.3. Fyzické osoby, jejichž osobní údaje jsou obsaženy v podkladech, které správce do aplikace nahraje nebo které nechá aplikaci procházet a zpracovat do znalostní báze — typicky osoby jmenované v dokumentech správce, na jeho webových stránkách nebo v jeho datových zdrojích, včetně jejich kontaktních údajů a jimi vytvořeného obsahu.

3.4. Pracovníci správce a další osoby jednající za správce (dále jen „operátoři“), jejichž kontaktní údaje správce v aplikaci uvede nebo které aplikace zaznamená při vyřizování konverzací a tiketů.

3.5. Vymezení podle odst. 3.3 a 3.4 nezahrnuje zpracování uvedené v čl. 1 odst. 1.6, u něhož zpracovatel vystupuje v postavení správce.

4. Kategorie osobních údajů

4.1. Údaje návštěvníků. Rozsah odpovídá tomu, co aplikace ukládá o návštěvnících podle čl. 3 odst. 3.1 a 3.2:

4.2. Údaje obsažené v podkladech pro znalostní bázi. Aplikace ukládá obsah dokumentů, které správce nahraje, obsah webových stránek, které nechá procházet, a obsah datových zdrojů, které připojí, a dále texty, shrnutí a vektorové reprezentace z tohoto obsahu odvozené. Obsahují-li tyto podklady osobní údaje fyzických osob podle čl. 3 odst. 3.3 — zejména jména, kontaktní údaje, jimi vytvořený obsah nebo údaje o nich uvedené — jsou předmětem zpracování v rozsahu, v jakém je podklady obsahují. Rozsah těchto údajů určuje výhradně správce tím, co do aplikace nahraje nebo co nechá aplikaci procházet; zpracovatel obsah podkladů neposuzuje a neupravuje.

4.3. Údaje operátorů. Jméno a e-mailová adresa operátora podle čl. 3 odst. 3.4, které správce uvede v nastavení projektu nebo které aplikace zaznamená u konverzace, tiketu, komentáře k tiketu, u odeslané zprávy a v jednorázových odkazech pro vyřízení eskalace.

4.4. Propojení aplikace se systémem správce (například s e-shopem) aktivuje výhradně správce a určuje, které funkce aplikace jsou jeho prostřednictvím dostupné. Odpověď systému správce aplikace zaznamenává v podobě, v jaké ji tento systém vrátí, aby bylo doložitelné, na jakém podkladě byla odpověď návštěvníkovi poskytnuta. Rozsah osobních údajů, které se tímto způsobem do aplikace dostanou, je proto dán tím, co vrací systém správce; za jeho vymezení odpovídá správce.

4.5. Zpracovatel nezpracovává pro správce zvláštní kategorie osobních údajů podle čl. 9 GDPR ani údaje podle čl. 10 GDPR a aplikace k jejich zpracování není určena. Vloží-li je do konverzace návštěvník sám, obsahují-li je podklady podle odst. 4.2 nebo dostanou-li se do aplikace prostřednictvím propojení podle odst. 4.4, nakládá s nimi zpracovatel podle této smlouvy jako s ostatními údaji. Posouzení, zda je vložení takových údajů do podkladů podle odst. 4.2 přípustné, náleží správci.

5. Pokyny správce

5.1. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce. Za doložené pokyny se považují tato smlouva, hlavní smlouva, nastavení, které správce provede v aplikaci, a písemné pokyny doručené na kontaktní e-mail zpracovatele podle čl. 1.

5.2. Zjistí-li zpracovatel, že pokyn správce podle jeho názoru porušuje GDPR nebo jiný právní předpis o ochraně osobních údajů, neprodleně o tom správce písemně informuje. Do vyjasnění je zpracovatel oprávněn výkon takového pokynu pozastavit, aniž by tím porušil tuto smlouvu.

5.3. Zpracovatel nepředá osobní údaje do třetí země ani mezinárodní organizaci jinak než způsobem uvedeným v čl. 14. Ukládá-li mu takové předání právo Evropské unie nebo České republiky, informuje o tom správce před zpracováním, ledaže to dané právo zakazuje z důležitých důvodů veřejného zájmu.

5.4. Zpracovatel nepoužije osobní údaje zpracovávané pro správce k vlastním účelům. Zejména je nepoužije k učení nebo trénování jazykových či jiných modelů a nesdílí je s třetími osobami mimo rámec čl. 8 a čl. 14.

6. Mlčenlivost

6.1. Zpracovatel zajistí, že osoby oprávněné zpracovávat osobní údaje správce se zavázaly k mlčenlivosti nebo se na ně vztahuje zákonná povinnost mlčenlivosti.

6.2. Povinnost mlčenlivosti se vztahuje na osobní údaje i na bezpečnostní opatření, jejichž zveřejnění by ohrozilo zabezpečení údajů. Trvá i po skončení pracovněprávního, smluvního nebo jiného vztahu dané osoby ke zpracovateli a po skončení této smlouvy, a to bez časového omezení.

6.3. Přístup k osobním údajům správce má u zpracovatele pouze ten, kdo jej potřebuje pro plnění svých úkolů, a pouze v nezbytném rozsahu.

7. Zabezpečení zpracování

7.1. Zpracovatel s ohledem na stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování i na rizika pro práva a svobody fyzických osob zavádí a udržuje vhodná technická a organizační opatření podle čl. 32 GDPR, zejména:

7.2. Zpracovatel je oprávněn jednotlivá opatření měnit, nesmí však snížit dosaženou úroveň zabezpečení.

8. Další zpracovatelé

8.1. Správce uděluje zpracovateli obecné písemné povolení k zapojení dalších zpracovatelů za podmínek uvedených v tomto článku.

8.2. Ke dni uzavření této smlouvy zpracovatel zapojil tyto další zpracovatele:

8.3. Údaje předávané společnosti OpenAI, L.L.C. nejsou používány k trénování jejích modelů. Zpracovatel má s tímto poskytovatelem uzavřenu smlouvu o zpracování osobních údajů.

8.4. Zpracovatel uloží každému dalšímu zpracovateli smluvně stejné povinnosti ochrany osobních údajů, jaké jsou uvedeny v této smlouvě. Neplní-li další zpracovatel své povinnosti, odpovídá správci za plnění jeho povinností zpracovatel v plném rozsahu.

8.5. Zamýšlenou změnu spočívající v zapojení nového dalšího zpracovatele nebo v nahrazení stávajícího oznámí zpracovatel správci písemně nejméně 30 dní předem, včetně identifikace nového dalšího zpracovatele, účelu jeho zapojení a umístění zpracování.

8.6. Správce je oprávněn vznést proti oznámené změně odůvodněnou námitku, a to písemně nejpozději do 15 dnů od doručení oznámení. Vznese-li správce námitku, strany se pokusí najít řešení; nedojde-li k dohodě do konce lhůty podle odst. 8.5, je správce oprávněn hlavní smlouvu i tuto smlouvu vypovědět ke dni, kdy má změna nabýt účinnosti, bez sankce a s právem na vrácení poměrné části již uhrazené úplaty.

9. Součinnost při výkonu práv subjektů údajů

9.1. Zpracovatel je správci nápomocen prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti správce reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR, zejména práva na přístup, opravu, výmaz, omezení zpracování, přenositelnost a práva vznést námitku.

9.2. Zpracovatel poskytuje součinnost prostřednictvím funkcí aplikace; nelze-li žádost vyřídit funkcemi aplikace, provede zpracovatel potřebné úkony na pokyn správce.

9.3. Obdrží-li zpracovatel žádost subjektu údajů, která se týká zpracování prováděného pro správce, sám ji nevyřizuje a bez zbytečného odkladu, nejpozději do 5 pracovních dnů, ji předá správci na kontaktní e-mail podle čl. 1. To nebrání tomu, aby zpracovatel subjektu údajů potvrdil přijetí žádosti a sdělil mu, komu byla předána.

9.4. Pokyn správce k výmazu údajů konkrétního subjektu údajů provede zpracovatel ve lhůtě podle čl. 12 odst. 12.1, není-li dohodnuto jinak. Výhrady podle čl. 12 odst. 12.4 až 12.6 a podle odst. 9.5 se přitom použijí obdobně; zpracovatel správce písemně informuje, které údaje z tohoto důvodu vymazány nebyly a proč.

9.5. Týká-li se pokyn podle odst. 9.4 jména operátora podle čl. 4 odst. 4.3 uvedeného ve volném textu historie zpráv, provede zpracovatel výmaz v rozsahu, v jakém lze takový záznam k dané osobě spolehlivě přiřadit. Záznam, u něhož to možné není, zpracovatel neupravuje — zásah do něj by ohrozil věrnost přepisu komunikace, kterou správce potřebuje zachovanou, a mohl by se dotknout údajů jiné osoby téhož jména. Zpracovatel o takovém záznamu správce písemně informuje a zavazuje se rozsah těchto případů trvale snižovat. Ostatní výskyty jména a e-mailové adresy operátora podle čl. 4 odst. 4.3 se vymažou bez této výhrady.

9.6. Součinnost podle tohoto článku poskytuje zpracovatel bez zvláštní úplaty, ledaže jde o opakované žádosti zjevně nepřiměřeného rozsahu, které si vyžádají mimořádné náklady; v takovém případě se strany předem dohodnou na úhradě.

10. Součinnost podle čl. 32 až 36 GDPR

10.1. Zpracovatel je správci nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR, a to s ohledem na povahu zpracování a informace, jež má k dispozici.

10.2. Součinnost zahrnuje zejména:

10.3. Podklady podle odst. 10.2 poskytne zpracovatel do 30 dnů od doručení žádosti správce; jde-li o podklady potřebné k ohlášení porušení zabezpečení, bez zbytečného odkladu.

11. Porušení zabezpečení osobních údajů

11.1. Zpracovatel ohlásí správci každé porušení zabezpečení osobních údajů zpracovávaných pro správce bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl. Lhůta je stanovena tak, aby správce stihl vlastní 72hodinovou lhůtu pro ohlášení dozorovému úřadu podle čl. 33 GDPR.

11.2. Ohlášení se činí písemně na kontaktní e-mail správce podle čl. 1 a obsahuje alespoň:

11.3. Nelze-li poskytnout všechny informace současně, poskytne je zpracovatel postupně bez zbytečného odkladu, jakmile je bude mít k dispozici; tím není lhůta podle odst. 11.1 dotčena.

11.4. Zpracovatel poskytne správci veškerou součinnost potřebnou k ohlášení porušení dozorovému úřadu a k oznámení subjektům údajů. Sám porušení dozorovému úřadu ani subjektům údajů neohlašuje, ledaže mu to ukládá právní předpis nebo jej k tomu správce vyzve.

11.5. Zpracovatel vede evidenci všech porušení zabezpečení osobních údajů zpracovávaných pro správce, včetně jejich následků a přijatých opatření, a na žádost ji správci předloží.

12. Naložení s údaji po ukončení zpracování

12.1. Po ukončení poskytování služby podle hlavní smlouvy zpracovatel podle volby správce všechny osobní údaje zpracovávané pro správce vymaže, nebo je správci vrátí a vymaže existující kopie. Zpracovatel tak učiní do 30 dnů od ukončení hlavní smlouvy nebo od doručení pokynu správce k výmazu, podle toho, co nastane dříve. Jde-li o ukončení hlavní smlouvy, provede zpracovatel výmaz nejdříve po uplynutí lhůty pro volbu podle odst. 12.2, nejpozději však do 45 dnů od ukončení hlavní smlouvy; na výmaz na pokyn správce se tato výhrada nepoužije. Výjimky z výmazu stanoví odst. 12.4 a 12.5 a jiné se neuplatní.

12.2. Volbu podle odst. 12.1 sdělí správce zpracovateli nejpozději do 15 dnů od doručení oznámení o ukončení hlavní smlouvy, které zpracovatel odesílá podle čl. 5 odst. 5.8 obchodních podmínek. Neučiní-li tak, zpracovatel údaje vymaže. Zvolí-li správce vrácení údajů, sjednají strany jeho rozsah a formát individuálně podle povahy požadovaných údajů; zpracovatel je předá ve strojově čitelném formátu. Sjednání formátu nemá vliv na lhůtu podle odst. 12.1 pro výmaz údajů po jejich předání.

12.3. Lhůty dostupnosti a uložení podle čl. 2 odst. 2.5 až 2.7 se v případech podle odst. 12.1 neuplatní.

12.4. Výmaz se nevztahuje na doklady, jejichž uchování ukládá zpracovateli právní předpis, zejména zákon č. 563/1991 Sb., o účetnictví — tedy na účetní doklady a jejich přílohy, a to pouze v rozsahu a po dobu stanovené tímto předpisem. Takto uchované doklady zpracovatel nepoužije k žádnému jinému účelu než ke splnění dané zákonné povinnosti a po uplynutí zákonné doby je vymaže.

12.5. Zpracovatel dále výslovně upozorňuje, že níže uvedené záznamy nelze výmazem podle odst. 12.1 odstranit — buď proto, že je nelze technickými prostředky přiřadit právě ke správci, nebo proto, že by jejich výmaz zasáhl údaje jiného správce, který k němu nedal pokyn. Výčet je úplný; jiné výjimky z výmazu podle odst. 12.1 než podle odst. 12.4 a tohoto odstavce zpracovatel neuplatní:

12.6. Záznamy podle odst. 12.5 zpracovatel vymaže ve lhůtě podle odst. 12.1 v rozsahu, v jakém je správce označí nebo v jakém je zpracovatel sám určí a v jakém tím nezasáhne údaje jiného správce. Záznamy podle první a druhé odrážky odst. 12.5 nejsou zpřístupněny prostřednictvím rozhraní aplikace, zpracovatel je nezpřístupňuje třetím osobám a nepoužívá je k jinému účelu než k tomu, pro který vznikly. Záznam podle třetí odrážky odst. 12.5 přestává zpracovatel pro správce zpracovávat a zůstává zachován výlučně pro správce, u něhož návštěvník dále vystupuje; jakmile tento důvod pomine, zpracovatel jej vymaže. Zpracovatel se zavazuje rozsah záznamů podle odst. 12.5 trvale snižovat a technická omezení, která jim dávají vzniknout, odstraňovat.

12.7. O provedeném výmazu vydá zpracovatel správci bez zbytečného odkladu po jeho dokončení písemné potvrzení. To obsahuje rozsah výmazu, datum jeho provedení a přehled údajů, které vymazány nebyly, s uvedením důvodu podle odst. 12.4 nebo 12.5.

13. Audit a kontroly

13.1. Zpracovatel poskytne správci veškeré informace potřebné k doložení, že plní povinnosti stanovené v čl. 28 GDPR a v této smlouvě, a umožní audity, včetně inspekcí, prováděné správcem nebo jiným auditorem, kterého správce pověřil.

13.2. Základní formou kontroly je jednou ročně písemný dotazník správce, na který zpracovatel odpoví do 30 dnů od doručení a k němuž přiloží dokumentaci dokládající uváděné skutečnosti, zejména přehled technických a organizačních opatření, přehled dalších zpracovatelů a přehled porušení zabezpečení za uplynulé období.

13.3. Kontrolu na místě lze provést po předchozí písemné dohodě obou stran, oznámené nejméně 30 dní předem, v pracovní době zpracovatele a v rozsahu nezbytném k ověření plnění této smlouvy. Kontrola na místě se provádí na náklady správce; to neplatí, zjistí-li kontrola podstatné porušení povinností zpracovatele — v takovém případě nese účelně vynaložené náklady kontroly zpracovatel.

13.4. Osoba provádějící kontrolu musí být vázána mlčenlivostí a nesmí být osobou v soutěžním postavení vůči zpracovateli. Kontrola nesmí ohrozit zabezpečení nebo důvěrnost údajů jiných správců; zpracovatel je oprávněn odepřít přístup k údajům a systémům pouze v rozsahu, v jakém se týkají jiných správců nebo bezpečnostních opatření, jejichž zpřístupnění by ochranu údajů oslabilo. Odepření musí písemně odůvodnit a nahradit je jiným způsobem doložení téže skutečnosti.

13.5. Došlo-li k porušení zabezpečení podle čl. 11, je správce oprávněn provést mimořádnou kontrolu i mimo roční interval podle odst. 13.2.

14. Předání do třetích zemí

14.1. Osobní údaje jsou zpracovávány na území Evropské unie, s výjimkou uvedenou v odst. 14.2.

14.2. Společnosti OpenAI, L.L.C. se sídlem ve Spojených státech amerických předává zpracovatel údaje zejména v těchto případech:

V každém z uvedených případů se předává rozsah údajů odpovídající dané funkci aplikace. Správce může rozsah předávání ovlivnit nastavením aplikace, zejména tím, které funkce používá, jaká propojení aktivuje a jaký obsah do znalostní báze vloží. Zavede-li zpracovatel funkci, která bude vyžadovat předání nad rámec tohoto odstavce, oznámí to správci postupem podle čl. 8 odst. 8.5 a správce má právo vznést námitku podle čl. 8 odst. 8.6.

14.3. Předání podle odst. 14.2 je zajištěno v souladu s kapitolou V GDPR, a to na základě standardních smluvních doložek přijatých Evropskou komisí podle čl. 46 odst. 2 písm. c) GDPR, které jsou součástí smlouvy uzavřené s tímto poskytovatelem, případně na základě rozhodnutí Evropské komise o odpovídající úrovni ochrany, je-li poskytovatel jeho adresátem.

14.4. Pozbude-li nástroj podle odst. 14.3 platnosti nebo použitelnosti, zpracovatel bez zbytečného odkladu zajistí jiný vhodný nástroj podle kapitoly V GDPR, nebo předávání ukončí a správce o tom informuje.

14.5. Zapojení dalšího zpracovatele ve třetí zemi nad rámec čl. 8 podléhá oznámení podle čl. 8 odst. 8.5 a právu správce vznést námitku podle čl. 8 odst. 8.6.

15. Odpovědnost a náhrada škody

15.1. Každá ze stran odpovídá za porušení povinností, které jí ukládá GDPR, jiný právní předpis o ochraně osobních údajů nebo tato smlouva.

15.2. Zpracovatel odpovídá za újmu způsobenou zpracováním v rozsahu podle čl. 82 GDPR, zejména nesplnil-li povinnosti uložené GDPR výslovně zpracovatelům nebo jednal-li nad rámec pokynů správce či v rozporu s nimi.

15.3. Uhradí-li jedna strana subjektu údajů náhradu újmy v plné výši, je oprávněna požadovat po druhé straně částku odpovídající podílu její odpovědnosti podle čl. 82 odst. 5 GDPR. Totéž platí obdobně pro pokutu uloženou dozorovým úřadem v rozsahu, v jakém byla uložena za porušení způsobené druhou stranou.

15.4. Strany si poskytnou součinnost při obraně proti nárokům subjektů údajů a při řízeních vedených dozorovým úřadem, zejména si bez zbytečného odkladu předají informace a podklady potřebné k vyjádření.

15.5. Celková výše náhrady škody, kterou je zpracovatel povinen uhradit správci podle této smlouvy, je omezena částkou odpovídající úplatě uhrazené správcem za služby podle hlavní smlouvy za 12 měsíců předcházejících vzniku škody. Omezení se nevztahuje na újmu způsobenou úmyslně nebo z hrubé nedbalosti, na porušení povinnosti mlčenlivosti podle čl. 6 a na plnění poskytnutá subjektům údajů podle čl. 82 GDPR.

16. Závěrečná ustanovení

16.1. Tato smlouva nabývá platnosti a účinnosti okamžikem přijetí obchodních podmínek a uplatní se na zpracování prováděné od počátku poskytování služby. Toto znění smlouvy je účinné od 13.8.2026; na správce, kteří přijali dřívější znění obchodních podmínek, se uplatní za podmínek uvedených v jejich čl. 13 odst. 13.5.

16.2. Smlouva se uzavírá na dobu trvání hlavní smlouvy. Ustanovení, z jejichž povahy vyplývá, že mají trvat i po jejím skončení — zejména čl. 6, čl. 12 a čl. 15 — zůstávají v platnosti i po jejím ukončení.

16.3. Práva a povinnosti touto smlouvou výslovně neupravená se řídí GDPR, zákonem č. 110/2019 Sb., o zpracování osobních údajů, a právním řádem České republiky. K rozhodování sporů jsou příslušné soudy České republiky.

16.4. Změny této smlouvy se provádějí zveřejněním nového znění postupem podle čl. 12 odst. 12.5 obchodních podmínek. Aktualizace seznamu dalších zpracovatelů podle odst. 8.2 se rovněž provede zveřejněním nového znění této smlouvy; oznamuje se však a lze proti ní vznést námitku výlučně postupem podle odst. 8.5 a 8.6 a postup podle čl. 12 obchodních podmínek se na ni nepoužije.

16.5. Je-li nebo stane-li se některé ustanovení této smlouvy neplatným nebo neúčinným, zůstávají ostatní ustanovení v platnosti; strany takové ustanovení nahradí ustanovením, které se svým smyslem nejvíce blíží nahrazovanému.

16.6. V otázkách ochrany osobních údajů má tato smlouva přednost před odchylnými ustanoveními hlavní smlouvy.

16.7. Aktuální znění této smlouvy je trvale dostupné na Webu; správce si je může kdykoli uložit nebo vytisknout.

16.8. Strany prohlašují, že si smlouvu přečetly, souhlasí s jejím obsahem a že byla uzavřena svobodně a vážně.