Smlouva o zpracování osobních údajů (DPA)

Pojmy s velkým počátečním písmenem mají význam podle Obchodních podmínek služby aha.legal („Podmínky“); Podmínky spolu s touto DPA tvoří „Smlouvu“. Ostatní pojmy mají význam podle GDPR.

---

1. Předmět, povaha, účel a doba zpracování

1.1. Zpracovatel zpracovává osobní údaje obsažené v Datech Zákazníka výhradně za účelem poskytování Služby Správci podle Smlouvy. Předmět, povaha a účel zpracování, typy osobních údajů a kategorie subjektů údajů jsou popsány v Příloze A.

1.2. Zpracování trvá po dobu trvání Smlouvy a dále po dobu přechodového období, období pro vyzvednutí dat a následného výmazu podle čl. XIV Podmínek.

1.3. Správce prohlašuje, že pro zpracování osobních údajů, které do Aplikace vkládá, má odpovídající právní titul, že splnil informační povinnost vůči subjektům údajů a že je oprávněn Zpracovateli udělovat pokyny podle této DPA.

1.4. Tato DPA se nevztahuje na zpracování (a) na počítačích Uživatelů v Desktopové aplikaci, dokud výsledky nejsou uloženy do Služby, (b) ve službě Roboprávník, která má vlastní smlouvu o zpracování, (c) v externích AI nástrojích připojených přes MCP a (d) v tenantu Microsoft 365 Správce, s výjimkou zpracování Zpracovatelem v režimu Soukromého trezoru.

2. Pokyny Správce

2.1. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, a to i pokud jde o předávání do třetích zemí. Doloženými pokyny jsou Smlouva, nastavení a užívání Aplikace Správcem a Uživateli a písemné pokyny zaslané na info@robopravnik.cz.

2.2. Ukládá-li Zpracovateli zpracování nad rámec pokynů právní předpis EU nebo členského státu, informuje o tom Správce před zahájením zpracování, ledaže to tento předpis zakazuje.

2.3. Je-li podle názoru Zpracovatele některý pokyn v rozporu s GDPR nebo jinými předpisy o ochraně osobních údajů, neprodleně na to Správce upozorní a může provedení pokynu odložit do jeho potvrzení nebo změny.

2.4. Zpracovatel nepoužívá osobní údaje pro vlastní účely, k marketingu, profilování ani k trénování, ladění či hodnocení modelů umělé inteligence, a to ani v anonymizované či agregované podobě.

3. Mlčenlivost

3.1. Zpracovatel zajistí, aby se všechny osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

3.2. Zpracovatel bere na vědomí, že Data Zákazníka mohou podléhat povinnosti mlčenlivosti advokáta nebo jiné zákonné povinnosti mlčenlivosti, a nakládá s nimi v režimu podle čl. VIII Podmínek, včetně závazků podle § 43e BRAO.

3.3. Přístup osob na straně Zpracovatele k obsahu Dat Zákazníka se řídí zásadou „nezbytné znalosti“, je vázán na konkrétní provozní nebo podpůrný důvod podle čl. 8.4 Podmínek a je logován. Na žádost Správce mu Zpracovatel sdělí, zda a z jakého důvodu k obsahu jeho dat přistoupil.

4. Zabezpečení zpracování

4.1. Zpracovatel přijímá technická a organizační opatření podle čl. 32 GDPR uvedená v Příloze B.

4.2. Zpracovatel může opatření aktualizovat podle technického vývoje, nesmí však snížit celkovou úroveň zabezpečení. O podstatných změnách informuje Správce.

5. Další zpracovatelé (poddodavatelé)

5.1. Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Aktuální seznam je uveden v Příloze C a zveřejněn na aha.legal/subprocesori.

5.2. Zpracovatel oznámí Správci zamýšlené přidání nebo nahrazení dalšího zpracovatele e-mailem nejméně 30 dnů předem. Správce může v této lhůtě vznést odůvodněnou námitku. Nevyhoví-li Zpracovatel námitce, může Správce Smlouvu vypovědět podle čl. 15.2 Podmínek.

5.3. Zpracovatel uzavře s každým dalším zpracovatelem písemnou smlouvu, která mu uloží v podstatě stejné povinnosti na ochranu osobních údajů jako tato DPA. Zpracovatel odpovídá Správci za plnění povinností dalšího zpracovatele.

6. Žádosti orgánů veřejné moci

6.1. Obdrží-li Zpracovatel od orgánu veřejné moci žádost o zpřístupnění Dat Zákazníka, neprodleně o tom informuje Správce, nebrání-li tomu právní předpis, a vyzve orgán, aby se obrátil přímo na Správce.

6.2. Zpracovatel upozorní dožadující orgán na povinnost mlčenlivosti advokáta a na zvláštní procesní postupy, zejména § 85b trestního řádu (účast zástupce ČAK), § 97 a § 160a německého trestního řádu (StPO) nebo obdobná ustanovení slovenských předpisů, a poskytne Správci součinnost při uplatnění jeho práv.

6.3. Zpracovatel zpřístupní jen ty údaje, k jejichž vydání je právně povinen, a v nejmenším nezbytném rozsahu.

7. Předávání do třetích zemí

7.1. Zpracovatel zpracovává Data Zákazníka na serverech v České republice. Šifrované zálohy ukládá u dalšího zpracovatele podle Přílohy C a čl. 7.2.

7.2. Systémové e-maily (zejména obnova hesla a notifikace) odesílá Zpracovatel prostřednictvím služby Google Workspace; přitom se zpracovávají e-mailové adresy a jména příjemců. Šifrované zálohy ukládá Zpracovatel u společnosti Google v umístění podle jejího nastavení; zálohy jsou zašifrovány před odesláním a Google ke klíčům nemá přístup. Google může tyto údaje zpracovávat i mimo EU/EHP; předání je zajištěno certifikací Google LLC v rámci EU–U.S. Data Privacy Framework a standardními smluvními doložkami. Jiná předání mimo EU/EHP Zpracovatel neprovádí; pokud by k nim mělo dojít, učiní tak pouze po předchozím oznámení podle čl. 5.2 a za podmínek kapitoly V GDPR.

8. Součinnost se Správcem

8.1. Zpracovatel je Správci nápomocen prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR. Aplikace umožňuje Správci údaje vyhledat, opravit, exportovat a vymazat.

8.2. Obdrží-li Zpracovatel žádost subjektu údajů týkající se Dat Zákazníka, bez zbytečného odkladu ji předá Správci a sám na ni věcně neodpoví.

8.3. Zpracovatel je Správci nápomocen při plnění povinností podle čl. 32 až 36 GDPR, zejména poskytnutím informací pro posouzení vlivu na ochranu osobních údajů a případnou předchozí konzultaci.

9. Porušení zabezpečení

9.1. Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 24 hodin od jeho zjištění, e-mailem na adresu správce organizace v Aplikaci.

9.2. Ohlášení obsahuje, v rozsahu v dané chvíli známém, popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontaktní osobu. Další informace Zpracovatel doplňuje průběžně.

9.3. Zpracovatel poskytne Správci součinnost potřebnou ke splnění jeho povinností podle čl. 33 a 34 GDPR a stavovských předpisů.

10. Informace a audity

10.1. Zpracovatel poskytne Správci na vyžádání všechny informace potřebné k doložení splnění povinností podle čl. 28 GDPR, zejména aktuální popis technických a organizačních opatření a případné zprávy z bezpečnostních testů.

10.2. Správce nebo jím pověřený auditor vázaný mlčenlivostí může provést audit nebo kontrolu, a to po oznámení nejméně 30 dnů předem, v běžné pracovní době, nejvýše jednou za 12 měsíců a tak, aby nebyla ohrožena data jiných zákazníků. Omezení četnosti se neuplatňuje po porušení zabezpečení nebo na pokyn dozorového úřadu. Náklady auditu nese Správce, ledaže audit prokáže podstatné porušení této DPA.

11. Výmaz a vrácení osobních údajů

11.1. Po skončení Smlouvy má Správce k dispozici přechodové období a období pro vyzvednutí dat podle čl. 14.4 a 14.5 Podmínek, během nichž může data exportovat.

11.2. Následně Zpracovatel osobní údaje vymaže z produkčního prostředí do 30 dnů a ze záloh uplynutím doby jejich uchování (30 dnů), ledaže právní předpis vyžaduje jejich uchování. Na žádost Správce výmaz písemně potvrdí.

11.3. V režimu Soukromého trezoru jsou Data Zákazníka uložena v tenantu Microsoft 365 Správce a zůstávají tam i po skončení Smlouvy; Zpracovatel vymaže údaje, které má ve svém prostředí, podle čl. 11.2.

12. Odpovědnost a závěrečná ustanovení

12.1. Odpovědnost Stran za újmu způsobenou porušením této DPA se řídí čl. XIII Podmínek. Tím není dotčena odpovědnost vůči subjektům údajů podle čl. 82 GDPR.

12.2. Tato DPA je uzavřena elektronicky souhlasem při registraci a trvá po dobu trvání zpracování podle čl. 1.2. Na žádost Správce ji Zpracovatel poskytne v PDF k podpisu.

12.3. Změny této DPA se řídí čl. XVI Podmínek. DPA se řídí českým právem.

---