1. Smluvní strany a předmět
- Tato smlouva o zpracování osobních údajů (dále jen „smlouva o zpracování“) je součástí obchodních podmínek služby Klinea a uzavírá se spolu se smlouvou o poskytování služby. Upravuje zpracování osobních údajů podle čl. 28 nařízení (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb., o zpracování osobních údajů.
- Správcem je zákazník – ordinace nebo její provozovatel. Zpracovatelem je Creatify s.r.o., IČO 11912928, se sídlem Příčná 1892/4, Nové Město, 110 00 Praha 1.
- Zpracovatel zpracovává osobní údaje pro správce jen v rozsahu nezbytném k poskytování služby, tedy k hostování, zobrazování a správě webu ordinace, k předávání zpráv z kontaktního formuláře a ke správě uživatelů, které správce do administrace pozve.
2. Rozsah zpracování
| Kategorie subjektů | členové týmu ordinace a další osoby uvedené na webu; pacienti a návštěvníci, kteří odešlou zprávu přes kontaktní formulář; uživatelé administrace pozvaní správcem |
|---|---|
| Kategorie údajů | jméno, titul, funkce, odbornost, fotografie, pracovní kontakty; ve zprávách z formuláře jméno, e-mail, telefon a text zprávy; u uživatelů e-mail a role |
| Zvláštní kategorie | služba není určena ke zpracování údajů o zdraví; pacienti jsou u formuláře upozorněni, ať je neuvádějí |
| Operace | uložení, uspořádání, úprava pro zobrazení, zveřejnění na webu, přenos e-mailem, zálohování, výmaz |
| Doba zpracování | po dobu trvání smlouvy o poskytování služby a do výmazu podle článku 6. Zprávy z kontaktního formuláře se pouze přeposílají na e-mail ordinace a ve službě se neukládají. |
3. Povinnosti zpracovatele
Zpracovatel se zavazuje:
- zpracovávat osobní údaje pouze na základě doložených pokynů správce; pokyny jsou dány těmito podmínkami a nastavením, které správce provede v administraci. Pokud by pokyn podle názoru zpracovatele porušoval právní předpisy, upozorní na to správce;
- zajistit, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí;
- přijmout vhodná technická a organizační opatření podle čl. 32 GDPR, zejména šifrování přenosu (HTTPS), oddělení dat jednotlivých zákazníků a řízení přístupů na úrovni databáze, ukládání hesel pouze v podobě hashe, pravidelné zálohy a omezení přístupu zaměstnanců na nezbytný rozsah;
- být správci nápomocen při vyřizování žádostí subjektů údajů a při plnění povinností podle čl. 32 až 36 GDPR, s ohledem na povahu zpracování a informace, které má k dispozici;
- ohlásit správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, a poskytnout mu informace potřebné k jeho ohlášení dozorovému úřadu;
- poskytnout správci na vyžádání informace potřebné k doložení plnění povinností podle této smlouvy a umožnit audit v přiměřeném rozsahu, po předchozím oznámení a na náklady správce.
4. Další zpracovatelé
- Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Ke dni účinnosti jsou to:
| Zpracovatel | Činnost | Umístění |
|---|---|---|
| Supabase, Inc. | databáze, přihlašování a úložiště souborů | EU (Švédsko) |
| Netlify, Inc. | hosting a doručování webů (CDN) | USA, servery po celém světě |
| Resend (Plus Five Five, Inc.) | odesílání e-mailů (potvrzení účtu, pozvánky, zprávy z kontaktního formuláře) | USA |
| Anthropic, PBC | převod stávajícího webu pomocí umělé inteligence | USA |
- Se všemi dalšími zpracovateli má zpracovatel uzavřeny smlouvy, které jim ukládají stejné povinnosti ochrany osobních údajů. Předání do USA probíhá na základě rozhodnutí o odpovídající ochraně (EU-US Data Privacy Framework) nebo standardních smluvních doložek.
- O zamýšlené změně dalších zpracovatelů informuje zpracovatel správce e-mailem alespoň 14 dní předem. Správce může proti změně ze závažných důvodů ochrany osobních údajů vznést námitku; pokud se strany nedohodnou, může smlouvu o poskytování služby vypovědět ke dni účinnosti změny.
- Služby třetích stran, které na web vloží správce nebo návštěvník sám aktivuje (např. mapa Google zobrazená po kliknutí, odkaz na objednávkový systém), nejsou dalšími zpracovateli zpracovatele.
5. Povinnosti správce
- Správce odpovídá za to, že má ke zpracování osobních údajů, které do služby vkládá, právní důvod a že dotčené osoby řádně informoval.
- Správce odpovídá za obsah stránky „Ochrana osobních údajů“ na svém webu. Služba ji vytváří automaticky z údajů o ordinaci a z funkcí, které má web zapnuté; potřebuje-li správce znění doplnit (např. o další způsoby zpracování v ordinaci), obrátí se na zpracovatele.
- Správce nevkládá do služby údaje o zdraví pacientů a zdravotní dokumentaci.
6. Ukončení zpracování
Po skončení smlouvy o poskytování služby zpracovatel osobní údaje uchová ještě 30 dní pro případ obnovení služby nebo předání dat správci a poté je vymaže, ze záloh nejpozději do dalších 30 dní, pokud právní předpisy nevyžadují jejich další uložení. Na žádost správce mu obsah webu předá ve strojově čitelném formátu.
7. Závěrečná ustanovení
Tato smlouva o zpracování trvá po dobu zpracování osobních údajů zpracovatelem. Pro její změny a rozhodné právo platí obchodní podmínky. Kontakt pro záležitosti ochrany osobních údajů: info@klinea.cz.