Zpracovatelská smlouva (čl. 28)

Kdy použít

S každým dodavatelem, který pro vás zpracovává osobní údaje: externí účetní a mzdy, hosting a cloud, CRM, marketingová agentura, servis IT. Jde uzavřít i jako dodatek k hlavní smlouvě.

Na co si dát pozor

Čl. 28 odst. 3 předepisuje povinný obsah, chybějící prvek znamená vadnou smlouvu. Hlídejte řetězení dalších zpracovatelů (souhlas, stejné povinnosti) a reálnost auditních práv.

Vzor

Smlouva o zpracování osobních údajů

Správce: [DOPLNIT: název, IČO, sídlo, zástupce]. Zpracovatel: [DOPLNIT: název, IČO, sídlo, zástupce]. Uzavřená podle čl. 28 nařízení (EU) 2016/679 (GDPR).

1. Předmět a doba. Zpracovatel pro správce zpracovává osobní údaje v rozsahu a za účelem: [DOPLNIT: předmět, povaha a účel zpracování, kategorie subjektů a údajů], po dobu trvání [DOPLNIT: hlavní smlouvy].
2. Pokyny. Zpracovatel zpracovává údaje pouze na základě doložených pokynů správce, včetně předání do třetích zemí. Pokud mu zpracování ukládá právo EU nebo členského státu, informuje o tom správce předem, ledaže to právo zakazuje.
3. Mlčenlivost. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat údaje zavázaly k mlčenlivosti, nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Mlčenlivost trvá i po skončení smlouvy.
4. Zabezpečení. Zpracovatel přijme opatření podle čl. 32 GDPR, nejméně: [DOPLNIT: šifrování, řízení přístupů, zálohování, testování].
5. Další zpracovatelé. Zapojení dalšího zpracovatele jen s předchozím [zvláštním / obecným] písemným povolením správce. Zpracovatel uloží dalšímu zpracovateli smlouvou stejné povinnosti a za jeho plnění odpovídá správci v plném rozsahu. Aktuální seznam: [DOPLNIT].
6. Součinnost. Zpracovatel je správci nápomocen při vyřizování žádostí subjektů údajů (kap. III GDPR) a při plnění povinností podle čl. 32 až 36, včetně hlášení porušení zabezpečení správci bez zbytečného odkladu po jeho zjištění.
7. Skončení. Po ukončení služeb zpracovatel podle volby správce všechny osobní údaje vymaže, nebo je vrátí správci, a vymaže existující kopie, ledaže právo EU nebo členského státu ukládá jejich uložení.
8. Audit. Zpracovatel poskytne správci veškeré informace potřebné k doložení souladu s tímto článkem a umožní audity a inspekce prováděné správcem nebo pověřeným auditorem a přispěje k nim. Zpracovatel neprodleně informuje správce, považuje-li pokyn za rozporný s GDPR nebo jinými předpisy o ochraně údajů.

Datum, místo a podpisy obou stran: [DOPLNIT].

Jsi seniorní český právník se specializací na ochranu osobních údajů. Piš česky, věcně, bez vaty.

ÚKOL: Sestav zpracovatelskou smlouvu podle článku 28 GDPR mezi mnou jako správcem a dodavatelem jako zpracovatelem.

MOJE SITUACE (doplň, co platí, zbytek smaž):
- Správce: [DOPLNIT]
- Zpracovatel a co pro mě dělá: [DOPLNIT]
- Jaké údaje a jaké kategorie subjektů: [DOPLNIT]

MUSÍ POKRÝT tyto body:
1. Předmět, doba, povaha a účel zpracování, druh údajů a kategorie subjektů
2. Zpracování jen podle doložených pokynů správce
3. Mlčenlivost osob oprávněných zpracovávat údaje
4. Bezpečnostní opatření podle článku 32
5. Podmínky zapojení dalšího zpracovatele
6. Součinnost při výkonu práv subjektů
7. Pomoc správci u zabezpečení, ohlašování porušení a posouzení vlivu
8. Výmaz nebo vrácení údajů po skončení služby
9. Umožnění auditů a poskytnutí informací k prokázání souladu

PRAVIDLA:
- Vycházej jen z bodů výše a z mé situace. Nevymýšlej si paragrafy ani jejich obsah a neuváděj číslo paragrafu, které ti nedám.
- Kde mi údaj chybí, nech na tom místě výrazné [DOPLNIT: ...], nic si nedomýšlej.
- Piš srozumitelně, ne úřednickým jazykem.

VÝSTUP rozděl na dvě části:
A) Hotový text k použití.
B) Než ho použiju: co si mám doplnit nebo ověřit a co závisí na mé konkrétní situaci.