Smlouva o zpracování osobních údajů

1. Smluvní strany

1. Správce: zákazník služby Sayitweb – škola, školské zařízení, spolek nebo jiná organizace, která má na službě web (dále „správce“). Identifikační údaje správce se řídí údaji v jeho účtu.
2. Zpracovatel: [obchodní firma / jméno], IČO [IČO], se sídlem [adresa], kontakt pro ochranu osobních údajů [e-mail] (dále „zpracovatel“), provozovatel služby Sayitweb.
3. Tato smlouva doplňuje obchodní podmínky (dále „smlouva o službě“). V otázkách ochrany osobních údajů má přednost tato smlouva.

2. Předmět, povaha a účel zpracování

1. Zpracovatel zpracovává osobní údaje pro správce v rozsahu nutném k poskytování služby: provoz webu správce (hosting, zobrazení obsahu), příjem a doručování zpráv z kontaktních formulářů a rezervací, ukládání dokumentů a fotografií, které správce nahraje, odesílání e-mailových oznámení a zpracování textů a fotografií umělou inteligencí na pokyn správce.
2. Zpracování probíhá po dobu trvání smlouvy o službě a po dobu nutnou k výmazu podle čl. 9.

3. Typy osobních údajů a kategorie subjektů údajů

• Zaměstnanci a členové správce (ředitel, učitelé, výbor spolku): jméno, funkce, pracovní kontakty, případně fotografie – v rozsahu, v jakém je správce na webu zveřejní.
• Děti a žáci: fotografie z akcí a výuky, pokud je správce zveřejní. Jména dětí, registrační čísla ani přihlášky služba do umělé inteligence nezasílá.
• Zákonní zástupci, členové a návštěvníci webu: jméno, e-mail, telefon a obsah zprávy z formulářů, údaje o rezervaci termínu.
• Osoby uvedené v dokumentech, které správce zveřejní (např. na úřední desce nebo ve výroční zprávě).
• Uživatelé administrace (správci a přispěvatelé webu): e-mail, jméno, záznamy o přihlášení a změnách.

Zvláštní kategorie osobních údajů (např. údaje o zdraví) zpracovatel záměrně nezpracovává; správce je nebude do služby vkládat ani zveřejňovat.

4. Povinnosti zpracovatele

Zpracovatel podle čl. 28 odst. 3 GDPR:

1. zpracovává osobní údaje pouze na základě doložených pokynů správce, které správce dává nastavením a používáním služby;
2. zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti;
3. přijme technická a organizační opatření podle čl. 32 GDPR (čl. 5 této smlouvy);
4. zapojí další zpracovatele jen za podmínek čl. 6;
5. pomáhá správci vhodnými opatřeními plnit povinnost reagovat na žádosti subjektů údajů (přístup, oprava, výmaz…);
6. pomáhá správci zajistit soulad s povinnostmi podle čl. 32 až 36 GDPR;
7. po skončení poskytování služby údaje vymaže nebo vrátí podle čl. 9;
8. poskytne správci informace potřebné k doložení souladu a umožní audity a kontroly prováděné správcem nebo pověřeným auditorem [rozsah a náklady auditu doplní provozovatel];
9. ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do [48] hodin od jeho zjištění.

5. Technická a organizační opatření

• šifrované spojení (HTTPS) pro web i administraci,
• přístup do administrace jen po přihlášení, role Vlastník, Správce a Přispěvatel s různými oprávněními,
• jednorázové a časově omezené přihlašovací odkazy, hesla uložená jen jako otisk,
• oddělení dat jednotlivých zákazníků,
• soukromé soubory (např. fotky přiložené k poptávkám) uložené mimo veřejně dostupné úložiště,
• záznam změn webu (historie verzí s autorem změny),
• [zálohování a jeho četnost doplní provozovatel].

6. Další zpracovatelé (subzpracovatelé)

Správce uděluje obecný souhlas se zapojením níže uvedených subzpracovatelů. O zamýšlené změně zpracovatel předem informuje e-mailem nejméně [30] dní předem; správce může proti změně vznést námitku a v takovém případě smlouvu o službě vypovědět. Subzpracovatele zavazuje zpracovatel ke stejným povinnostem ochrany údajů.

Pokud si správce objedná vlastní doménu, předávají se registrátorovi [WEDOS Internet, a.s.] údaje správce jako držitele domény.

7. Umělá inteligence, fotografie dětí

1. Texty, které správce zadá (popis organizace, aktuality, pokyny k úpravám), zpracovává subzpracovatel Anthropic PBC v USA. Do umělé inteligence se nezasílají jména dětí, registrační čísla uchazečů ani přihlášky.
2. U webů škol a školek umělá inteligence fotografie neprohlíží, dokud správce nepotvrdí, že na nich nejsou děti, nebo že má souhlas zákonných zástupců se zveřejněním. Správce odpovídá za to, že má k zveřejnění podoby dětí potřebné svolení (§ 84–85 občanského zákoníku, GDPR).
3. Zpracovatel nepoužívá údaje správce k trénování modelů umělé inteligence. [Ověřit smluvní podmínky Anthropic API k uchovávání a trénování.]

8. Povinnosti správce

1. Správce odpovídá za zákonnost zpracování, zejména za právní základ pro zveřejnění osobních údajů na webu.
2. Správce zveřejňuje jen pracovní kontakty zaměstnanců, ne soukromé, a fotografie dětí jen se souhlasem zákonných zástupců.
3. Správce bez zbytečného odkladu informuje zpracovatele o skutečnostech, které mohou mít vliv na zpracování.

9. Výmaz a vrácení údajů

Po skončení smlouvy o službě zpracovatel osobní údaje správce vymaže nejpozději do [30] dnů, pokud si je správce předtím neexportuje a pokud právní předpis nevyžaduje jejich další uložení (např. faktury). Při smazání webu se mažou i jeho dokumenty a fotografie.

10. Závěrečná ustanovení

1. Smlouva se řídí právním řádem České republiky, zejména GDPR a zákonem č. 110/2019 Sb.
2. Smlouva vzniká [způsob uzavření – např. potvrzením v administraci / podpisem – doplní provozovatel] a trvá po dobu smlouvy o službě.
3. Zpracování osobních údajů zákazníků samotných popisují zásady ochrany osobních údajů.