Vzor
SMLOUVY O PŘEDÁVÁNÍ OSOBNÍCH ÚDAJŮ Z EU

Standardní smluvní doložky pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES

Tento překlad slouží pouze pro informaci; v případě rozporu má přednost anglická verze.

Smluvní strany:

<ZÁKAZNÍK> [a případně výslovně uvedené subjekty skupiny <ZÁKAZNÍK>] (každý z nich dále jen „vývozce údajů“),

MinMax, Inc., (dále jen „dovozce údajů“, který bude údaje zpracovávat)

každá z nich dále jen „smluvní strana“, společně „smluvní strany“.

[alternativně pro případ, že Zákazník má pobočku v EU, která je „vývozcem údajů“, a pobočku v USA, která je přímým zákazníkem společnosti MinMax a „dovozcem údajů“, přičemž MinMax působí pouze jako „subdodavatel zpracování“ údajů:]

<ZÁKAZNÍK> [a případně subjekty skupiny <ZÁKAZNÍK> uvedené v příloze č. 5] (každý z nich dále jen „vývozce údajů“),

<ZÁKAZNÍK> (dále jen „dovozce údajů“),

MinMax, Inc., (dále jen „subdodavatel zpracování“, který bude údaje zpracovávat)

každá z nich dále jen „smluvní strana“, společně „smluvní strany“.

VZHLEDEM K TOMU, ŽE vývozce údajů a dovozce údajů uzavírají nebo uzavřeli rámcovou smlouvu o poskytování služeb a Dodatek o ochraně soukromí a zabezpečení údajů (dále společně jen „Smlouva“);

VZHLEDEM K TOMU, ŽE se vývozce údajů a dovozce údajů ve Smlouvě dohodli, že s vývozci údajů uzavřou tyto smluvní doložky (dále jen „doložky“), aby byly splněny požadavky na ochranu údajů vyplývající z platného práva EU a Švýcarska;

pro účely čl. 26 odst. 2 směrnice 95/46/ES, pokud jde o osobní údaje pocházející z Evropského hospodářského prostoru, a čl. 6 odst. 2 písm. a) švýcarského spolkového zákona o ochraně údajů z roku 1992 (dále jen „DPA“), pokud jde o osobní údaje pocházející ze Švýcarska, při předávání osobních údajů zpracovatelům usazeným ve třetích zemích, které nezajišťují odpovídající úroveň ochrany údajů,

SE SMLUVNÍ STRANY DOHODLY na následujících doložkách s cílem zajistit odpovídající záruky ochrany soukromí a základních práv a svobod fyzických osob při předávání osobních údajů uvedených v příloze č. 1 vývozcem údajů dovozci údajů.

Doložka 1

Definice

Pro účely doložek se rozumí:

(a) „osobními údaji“ veškeré informace týkající se identifikovaného nebo identifikovatelného subjektu údajů, mimo jiné informace uvedené v příloze č. 1. U údajů pocházejících ze Švýcarska zahrnuje pojem „osobní údaje“ rovněž informace týkající se identifikované nebo identifikovatelné právnické osoby;
(b) „zvláštními kategoriemi údajů“ osobní údaje, z nichž lze zjistit rasu, náboženské vyznání, etnický původ, členství v odborové organizaci, sexuální orientaci nebo rodinný stav subjektu údajů;
(c) „zpracováním“ (a obdobně „zpracovávat“) jakýkoli úkon nebo soubor úkonů s osobními údaji, ať už automatizovaný, či nikoli, zejména shromažďování, vytváření, používání, vyhledávání, zaznamenávání, ukládání, hostování, uchovávání, zpracovávání, úprava, prohledávání, tisk, nakládání, prohlížení, revize, rekonstrukce, zpřístupnění, oprava, pozměnění, výmaz, smazání, likvidace nebo jakékoli jiné zpracování osobních údajů;
(d) „subjektem údajů“ fyzická osoba, k níž se konkrétní osobní údaje vztahují;
(e) „dozorovým úřadem“ orgán dozoru nad ochranou osobních údajů příslušný pro vývozce údajů nebo jiný orgán veřejné moci s obdobnou dozorovou pravomocí nad vývozcem údajů;
(f) „subdodavatelem zpracování“ jakýkoli zpracovatel pověřený dovozcem údajů nebo jiným subdodavatelem zpracování dovozce údajů, který souhlasí s tím, že od dovozce údajů nebo od jiného subdodavatele zpracování dovozce údajů převezme osobní údaje určené výhradně ke zpracování, které po předání provede jménem vývozce údajů v souladu s jeho pokyny, s doložkami a s podmínkami písemné subdodavatelské smlouvy;
(g) „rozhodným právem o ochraně údajů“ příslušné právní předpisy o ochraně údajů nebo soukromí (včetně prováděcích předpisů a jejich změn a aktualizací), které se vztahují na vývozce údajů v zemi či zemích, v nichž je vývozce údajů usazen;
(h) „technickými a organizačními bezpečnostními opatřeními“ opatření, jejichž cílem je chránit osobní údaje před náhodným nebo protiprávním zničením, náhodnou ztrátou, změnou, neoprávněným zpřístupněním nebo přístupem, zejména pokud zpracování zahrnuje přenos údajů po síti, jakož i před všemi ostatními protiprávními formami zpracování, mimo jiné opatření uvedená v příloze č. 2.

Doložka 2

Podrobnosti o předání

Podrobnosti o předání, zejména případné zvláštní kategorie osobních údajů, jsou uvedeny v příloze č. 1, která tvoří nedílnou součást doložek.

Doložka 3

Doložka o oprávněné třetí straně

(1) Subjekt údajů může jako oprávněná třetí strana uplatnit vůči vývozci údajů tuto doložku, doložku 4 písm. b) až i), doložku 5 písm. a) až e) a g) až j), doložku 6 odst. 1 a 2, doložku 7, doložku 8 odst. 2 a doložky 9 až 12.
(2) Subjekt údajů může vůči dovozci údajů uplatnit tuto doložku, doložku 5 písm. a) až e) a g), doložku 6, doložku 7, doložku 8 odst. 2 a doložky 9 až 12 v případech, kdy vývozce údajů fakticky zanikl nebo právně přestal existovat, ledaže veškeré právní povinnosti vývozce údajů převzal smluvně nebo ze zákona jeho právní nástupce, na kterého tím přešly práva a povinnosti vývozce údajů; v takovém případě může subjekt údajů uplatnit tato ustanovení vůči tomuto nástupci.
(3) Subjekt údajů může vůči subdodavateli zpracování uplatnit tuto doložku, doložku 5 písm. a) až e) a g), doložku 6, doložku 7, doložku 8 odst. 2 a doložky 9 až 12 v případech, kdy vývozce údajů i dovozce údajů fakticky zanikli, právně přestali existovat nebo se stali insolventními, ledaže veškeré právní povinnosti vývozce údajů převzal smluvně nebo ze zákona jeho právní nástupce, na kterého tím přešly práva a povinnosti vývozce údajů; v takovém případě může subjekt údajů uplatnit tato ustanovení vůči tomuto nástupci. Tato odpovědnost subdodavatele zpracování vůči třetím osobám je omezena na jeho vlastní operace zpracování podle doložek.
(4) Smluvní strany nemají námitky proti tomu, aby subjekt údajů zastupovalo sdružení nebo jiný subjekt, pokud si to subjekt údajů výslovně přeje a pokud to vnitrostátní právo připouští.

Doložka 4

Povinnosti vývozce údajů

Vývozce údajů souhlasí a zaručuje:

(a) že zpracování osobních údajů, včetně samotného předání, bylo a nadále bude prováděno v souladu s příslušnými ustanoveními rozhodného práva o ochraně údajů (a případně bylo oznámeno příslušným orgánům země, v níž je vývozce údajů usazen) a neporušuje příslušné předpisy tohoto státu;
(b) že dovozci údajů uložil a po celou dobu poskytování služeb zpracování osobních údajů bude ukládat, aby předávané osobní údaje zpracovával pouze jménem vývozce údajů a v souladu s rozhodným právem o ochraně údajů a s doložkami;
(c) že dovozce údajů poskytne dostatečné záruky, pokud jde o technická a organizační bezpečnostní opatření uvedená v příloze č. 2 této smlouvy;
(d) že bezpečnostní opatření jsou s ohledem na požadavky rozhodného práva o ochraně údajů vhodná k ochraně osobních údajů před náhodným nebo protiprávním zničením, náhodnou ztrátou, změnou, neoprávněným zpřístupněním nebo přístupem, zejména pokud zpracování zahrnuje přenos údajů po síti, jakož i před všemi ostatními protiprávními formami zpracování, a že tato opatření zajišťují úroveň zabezpečení odpovídající rizikům, která zpracování představuje, a povaze chráněných údajů, a to s ohledem na stav techniky a náklady na jejich zavedení;
(e) že zajistí dodržování bezpečnostních opatření;
(f) že pokud předání zahrnuje zvláštní kategorie údajů, byl nebo bude subjekt údajů před předáním, případně co nejdříve po něm, informován o tom, že jeho údaje mohou být předány do třetí země, která nezajišťuje odpovídající ochranu ve smyslu směrnice 95/46/ES (u údajů získaných ze Švýcarska ve smyslu článku 6 DPA);
(g) že dozorovému úřadu pro ochranu údajů předá každé oznámení, které obdrží od dovozce údajů nebo od subdodavatele zpracování podle doložky 5 písm. b) a doložky 8 odst. 3, pokud se rozhodne v předávání pokračovat nebo zrušit jeho pozastavení;
(h) že subjektům údajů na požádání zpřístupní kopii doložek, s výjimkou přílohy č. 2, a souhrnný popis bezpečnostních opatření, jakož i kopii každé smlouvy o subdodávce zpracování, kterou je nutno uzavřít v souladu s doložkami; obsahují-li doložky nebo smlouva obchodní informace, může je odstranit;
(i) že v případě subdodávky zpracování provádí zpracování v souladu s doložkou 11 subdodavatel zpracování, který poskytuje osobním údajům a právům subjektu údajů alespoň stejnou úroveň ochrany jako dovozce údajů podle doložek; a
(j) že zajistí dodržování doložky 4 písm. a) až i).

Doložka 5

Povinnosti dovozce údajů

Dovozce údajů souhlasí a zaručuje:

(a) že bude osobní údaje zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s doložkami; nemůže-li tento soulad z jakéhokoli důvodu zajistit, zavazuje se o tom vývozce údajů neprodleně informovat, přičemž vývozce údajů je v takovém případě oprávněn pozastavit předávání údajů a/nebo smlouvu ukončit;
(b) že nemá důvod se domnívat, že by mu právní předpisy, které se na něj vztahují, bránily plnit pokyny obdržené od vývozce údajů a povinnosti vyplývající ze smlouvy, a že pokud dojde ke změně těchto předpisů, která bude mít pravděpodobně podstatný nepříznivý dopad na záruky a povinnosti stanovené doložkami, oznámí tuto změnu vývozci údajů neprodleně poté, co se o ní dozví; v takovém případě je vývozce údajů oprávněn pozastavit předávání údajů a/nebo smlouvu ukončit;
(c) že před zpracováním předávaných osobních údajů zavedl technická a organizační bezpečnostní opatření uvedená v příloze č. 2;
(d)
že vývozce údajů neprodleně informuje:
1. (i) o každé právně závazné žádosti orgánu činného v trestním řízení o zpřístupnění osobních údajů, nebrání-li tomu zákaz, například trestněprávní zákaz sloužící k zachování důvěrnosti trestního vyšetřování,
2. (ii) o každém náhodném nebo neoprávněném přístupu a
3. (iii) o každé žádosti, kterou obdrží přímo od subjektů údajů, aniž by na ni odpověděl, nebyl-li k tomu jinak oprávněn;
(e) že bude neprodleně a řádně vyřizovat veškeré dotazy vývozce údajů týkající se zpracování předávaných osobních údajů a že se bude řídit doporučeními dozorového úřadu ohledně zpracování předaných údajů;
(f) že na žádost vývozce údajů podrobí svá zařízení pro zpracování údajů auditu činností zpracování, na něž se vztahují doložky; audit provede vývozce údajů nebo kontrolní subjekt složený z nezávislých členů s potřebnou odbornou kvalifikací, vázaných povinností mlčenlivosti, kterého vybere vývozce údajů, případně po dohodě s dozorovým úřadem;
(g) že subjektu údajů na požádání zpřístupní kopii doložek nebo jakékoli existující smlouvy o subdodávce zpracování, s výjimkou přílohy č. 2, kterou v případech, kdy subjekt údajů nemůže získat kopii od vývozce údajů, nahradí souhrnným popisem bezpečnostních opatření; obsahují-li doložky nebo smlouva obchodní informace, může je odstranit;
(h) že v případě subdodávky zpracování předem informoval vývozce údajů a získal jeho předchozí písemný souhlas;
(i) že služby zpracování poskytované subdodavatelem zpracování budou prováděny v souladu s doložkou 11;
(j) že vývozci údajů neprodleně zašle kopii každé smlouvy se subdodavatelem zpracování, kterou uzavře podle doložek.

Doložka 6

Odpovědnost

(1) Smluvní strany se dohodly, že každý subjekt údajů, který utrpěl újmu v důsledku porušení povinností uvedených v doložce 3 nebo v doložce 11 kteroukoli smluvní stranou nebo subdodavatelem zpracování, má vůči vývozci údajů nárok na náhradu utrpěné újmy.
(2) Nemůže-li subjekt údajů uplatnit vůči vývozci údajů nárok na náhradu újmy podle odstavce (a), který vznikl tím, že dovozce údajů nebo jeho subdodavatel zpracování porušil některou ze svých povinností uvedených v doložce 3 nebo v doložce 11, protože vývozce údajů fakticky zanikl, právně přestal existovat nebo se stal insolventním, dovozce údajů souhlasí s tím, že subjekt údajů může uplatnit nárok vůči dovozci údajů, jako by byl vývozcem údajů, ledaže veškeré právní povinnosti vývozce údajů převzal smluvně nebo ze zákona jeho právní nástupce; v takovém případě může subjekt údajů uplatnit svá práva vůči tomuto nástupci.
(3) Dovozce údajů se nemůže zprostit vlastní odpovědnosti s odkazem na to, že subdodavatel zpracování porušil své povinnosti.
(4) Nemůže-li subjekt údajů uplatnit nárok uvedený v odstavcích (a) a (b) vůči vývozci údajů ani vůči dovozci údajů, který vznikl tím, že subdodavatel zpracování porušil některou ze svých povinností uvedených v doložce 3 nebo v doložce 11, protože vývozce údajů i dovozce údajů fakticky zanikli, právně přestali existovat nebo se stali insolventními, subdodavatel zpracování souhlasí s tím, že subjekt údajů může uplatnit nárok vůči subdodavateli zpracování ve vztahu k jeho vlastním operacím zpracování podle doložek, jako by byl vývozcem údajů nebo dovozcem údajů, ledaže veškeré právní povinnosti vývozce údajů nebo dovozce údajů převzal smluvně nebo ze zákona jejich právní nástupce; v takovém případě může subjekt údajů uplatnit svá práva vůči tomuto nástupci. Odpovědnost subdodavatele zpracování je omezena na jeho vlastní operace zpracování podle doložek.

Doložka 7

Mediace a soudní příslušnost

(1)
Dovozce údajů souhlasí s tím, že pokud vůči němu subjekt údajů uplatní práva oprávněné třetí strany nebo nárok na náhradu újmy podle doložek, přijme rozhodnutí subjektu údajů:
1. (a) předložit spor k mediaci nezávislé osobě nebo případně dozorovému úřadu;
2. (b) předložit spor soudům země, v níž je vývozce údajů usazen.
(2) Smluvní strany se dohodly, že volbou subjektu údajů nejsou dotčena jeho hmotná ani procesní práva domáhat se nápravy podle jiných ustanovení vnitrostátního nebo mezinárodního práva.

Doložka 8

Spolupráce s dozorovými úřady

(1) Vývozce údajů se zavazuje uložit kopii této smlouvy u dozorového úřadu, pokud o to dozorový úřad požádá nebo pokud to vyžaduje rozhodné právo o ochraně údajů.
(2) Smluvní strany se dohodly, že dozorový úřad je oprávněn provést audit dovozce údajů i kteréhokoli subdodavatele zpracování ve stejném rozsahu a za stejných podmínek, jaké by podle rozhodného práva o ochraně údajů platily pro audit vývozce údajů.
(3) Dovozce údajů neprodleně informuje vývozce údajů o existenci právních předpisů, které se vztahují na něj nebo na kteréhokoli subdodavatele zpracování a které brání provedení auditu dovozce údajů nebo kteréhokoli subdodavatele zpracování podle odstavce (b). V takovém případě je vývozce údajů oprávněn přijmout opatření uvedená v doložce 5 písm. b).

Doložka 9

Rozhodné právo

Doložky se řídí právem země, v níž je vývozce údajů usazen.

Doložka 10

Změna smlouvy

Smluvní strany se zavazují doložky neměnit ani jinak neupravovat. Smluvní strany tím nejsou omezeny v tom, aby podle potřeby doplnily ustanovení týkající se obchodních záležitostí, pokud nejsou v rozporu s doložkami.

Doložka 11

Subdodávky zpracování

(1) Dovozce údajů nesmí bez předchozího písemného souhlasu vývozce údajů svěřit subdodavateli žádnou ze svých operací zpracování, které podle doložek provádí jménem vývozce údajů. Pokud dovozce údajů se souhlasem vývozce údajů svěří své povinnosti podle doložek subdodavateli, může tak učinit pouze na základě písemné smlouvy se subdodavatelem zpracování, která mu ukládá stejné povinnosti, jaké má podle doložek dovozce údajů. Nesplní-li subdodavatel zpracování své povinnosti v oblasti ochrany údajů podle této písemné smlouvy, odpovídá dovozce údajů vývozci údajů v plném rozsahu za splnění povinností subdodavatele zpracování podle této smlouvy.
(2) Předchozí písemná smlouva mezi dovozcem údajů a subdodavatelem zpracování musí rovněž obsahovat doložku o oprávněné třetí straně podle doložky 3 pro případy, kdy subjekt údajů nemůže uplatnit nárok na náhradu újmy uvedený v doložce 6 odst. 1 vůči vývozci údajů ani vůči dovozci údajů, protože fakticky zanikli, právně přestali existovat nebo se stali insolventními a veškeré právní povinnosti vývozce údajů nebo dovozce údajů nepřevzal smluvně ani ze zákona žádný právní nástupce. Tato odpovědnost subdodavatele zpracování vůči třetím osobám je omezena na jeho vlastní operace zpracování podle doložek.
(3) Ustanovení smlouvy uvedené v odstavci 1, která se týkají ochrany údajů při subdodávce zpracování, se řídí právem země, v níž je vývozce údajů usazen.
(4) Vývozce údajů vede seznam smluv o subdodávce zpracování uzavřených podle doložek, které mu dovozce údajů oznámil podle doložky 5 písm. j); seznam se aktualizuje alespoň jednou ročně. Seznam je k dispozici dozorovému úřadu pro ochranu údajů příslušnému pro vývozce údajů.

Doložka 12

Povinnost po ukončení poskytování služeb zpracování osobních údajů

(1) Smluvní strany se dohodly, že po ukončení poskytování služeb zpracování údajů dovozce údajů a subdodavatel zpracování podle volby vývozce údajů buď vrátí vývozci údajů veškeré předané osobní údaje i jejich kopie, nebo veškeré osobní údaje zničí a vývozci údajů to potvrdí, ledaže dovozci údajů právní předpisy, které se na něj vztahují, brání předané osobní údaje zcela nebo zčásti vrátit nebo zničit. V takovém případě dovozce údajů zaručuje, že zajistí důvěrnost předaných osobních údajů a že je již nebude aktivně zpracovávat.
(2) Dovozce údajů a subdodavatel zpracování zaručují, že na žádost vývozce údajů a/nebo dozorového úřadu podrobí svá zařízení pro zpracování údajů auditu opatření uvedených v odstavci 1.

PŘÍLOHA Č. 1 KE STANDARDNÍM SMLUVNÍM DOLOŽKÁM

Tato příloha tvoří součást doložek a smluvní strany ji musí vyplnit a podepsat.

Členské státy a Švýcarsko mohou v souladu se svými vnitrostátními postupy doplnit nebo upřesnit další nezbytné informace, které má tato příloha obsahovat.

Vývozce údajů

Vývozcem údajů je: <ZÁKAZNÍK>

Dovozce údajů

Dovozcem údajů je: <ZÁKAZNÍK nebo MinMax, podle okolností>

[je-li to relevantní:] Subdodavatel zpracování

Subdodavatelem zpracování je: MinMax, Inc.

Subjekty údajů

Předávané osobní údaje se týkají těchto kategorií subjektů údajů: zaměstnanci, zákazníci, dodavatelé a externí spolupracovníci Zákazníka

Kategorie osobních údajů

Předávané osobní údaje se týkají těchto kategorií údajů: jméno, kontaktní údaje (e-mail) a země, v níž se subjekt údajů nachází

Zvláštní kategorie osobních údajů

Předávané osobní údaje se týkají těchto zvláštních kategorií údajů (upřesněte): žádné

Operace zpracování

Předávané osobní údaje budou předmětem těchto základních činností zpracování: služby a nástroje, pomocí nichž podniky vytvářejí, spouštějí, provozují a spravují programy odměn

Soudní příslušnost

Smluvní strany se dohodly, že výlučným místem soudní příslušnosti pro veškeré spory vyplývající z těchto standardních smluvních doložek nebo s nimi související je Londýn, Spojené království, nestanoví-li zákon výlučnou příslušnost jinak.

PŘÍLOHA Č. 2 KE STANDARDNÍM SMLUVNÍM DOLOŽKÁM