Příloha č. 2 –  GDPR – UX Lab

Zpracovatelská doložka
1.	Pro účely tohoto článku je zhotovitel označen jako „zpracovatel“ a objednatel jako „správce“.
2.	Zpracovatel prohlašuje, že nakládá s osobními údaji v souladu s obecným nařízením Evropského parlamentu a Rady o ochraně osobních údajů č. 2016/679 (dále jen „GDPR“).
3.	Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce, za účelem naplnění předmětu smlouvy. Předá-li správce zpracovateli osobní údaje fyzických osob, aniž by zároveň určil, jak s nimi má zpracovatel naložit, zabezpečí zpracovatel údaje tak, aby se s nimi do okamžiku udělení pokynu správcem nemohly seznámit třetí osoby, ani zaměstnanci zpracovatele.
4.	Na základě pokynů správce zpracovatel zpracovává obecné osobní údaje, a to:
a.	přibližný věk (věková kategorie po 10 letech)
b.	informace o zkušenostech osob v oblasti informačních technologií
c.	údaje o využívání vlastních produktů a služeb osobami
5.	Zpracovatel nezpracovává zvláštní osobní údaje ve smyslu článku 9 GDPR. Může však dojít k jejich nahodilému výskytu například v rámci komunikace, či náhodném přidání informací do softwaru poskytovaném zpracovatelem.
6.	Zpracovatel pro správce zpracovává osobní údaje o následujících kategoriích subjektů:
a.	zaměstnanci správce
b.	klienti správce
7.	Zpracovatel zpracovává osobní údaje anonymizovaně, tj. neadresným způsobem. Zpracovatel je však oprávněn pro účely plnění předmětu smlouvy zpracovávat video záznam, se kterým bude nakládat dále uvedeným způsobem.
8.	Zpracovatel je oprávněn zpracovávat osobní údaje a související data pouze po dobu trvání této smlouvy. Skončí-li z jakéhokoliv důvodu účinnost této smlouvy, vyžádá zpracovatel od správce pokyn, jak má s údaji naložit, a upozorní jej na následky neudělení pokynu. Není-li pokyn udělen ani do 15 dnů od doručení výzvy správci, zpracovatel nosič s datovým souborem zničí nebo zformátuje.
9.	Zpracovatel se zavazuje zachovávat mlčenlivost o všech osobních údajích, s nimiž dojde při jejich zpracování do styku. Zpracovatel prohlašuje, že všichni jeho zaměstnanci se zavázali k mlčenlivosti.
10.	Zpracovatel prohlašuje, že přijal všechna opatření uvedená v článku 32 GDPR, jejichž přijetí po něm lze spravedlivě požadovat s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob.  Zpracovatel zejména:
a.	Zajistil umístění dat a video záznamu v zabezpečeném datovém centru, které využívá následující prostředky zabezpečení:
i.	přístup do serverovny je umožněn pouze autorizovaným osobám;
ii.	server je uzamčen ve zvláštním racku, ke kterému má klíč pouze oprávněná osoba;
b.	zabezpečil data v systému tak, aby se jeden správce nemohl seznámit s údaji shromažďovanými pro jiného správce;
c.	zajišťuje neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování, a to zejména vytvářením pravidelných záloh;
d.	šifruje data záloh;
e.	provádí pravidelné testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování.
Zpracovatel je oprávněn v průběhu trvání smlouvy zkvalitňovat opatření přijatá k ochraně osobních údajů.
11.	Zpracovatel prohlašuje, že dodržuje podmínky pro zapojení dalšího zpracovatele uvedené v článku 28 odstavcích 2 a 4 GDPR. Zpracovatel nezapojí do zpracování žádného dalšího zpracovatele bez předchozího konkrétního nebo obecného písemného povolení správce. V případě obecného písemného povolení zpracovatel správce informuje o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a poskytne tak správci příležitost vyslovit vůči těmto změnám námitky. Zapojí-li zpracovatel se souhlasem správce do zpracování dalšího zpracovatele, zaváže jej k alespoň stejně přísným povinnostem, jaké má na základě této smlouvy vůči správci. Neplní-li další zpracovatel své povinnosti v oblasti ochrany údajů, odpovídá správci za plnění povinností dotčeného dalšího zpracovatele i nadále plně prvotní zpracovatel.
12.	Zpracovatel je správci nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, pro splnění správcovy povinnosti reagovat na žádosti o výkon práv subjektu údajů stanovených v kapitole III GDPR, tedy zejména umožňuje na žádost subjektu údajů provést opravu nepřesných údajů, výmaz údajů či omezení zpracování. Na základě písemného pokynu správce (v to počítaje i email, případně speciální rozhraní daného programu nebo webu) provede zpracovatel opravu, výmaz či omezí zpracování bez zbytečného odkladu, nejpozději však do 10 pracovních dnů.
13.	Zpracovatel je správci nápomocen při zajišťování souladu s povinnostmi podle článků 32 až 36 GDPR. Zpracovatel tak zejména bez zbytečného odkladu informuje správce o porušení zabezpečení osobních údajů a poskytuje mu plnou součinnost při posuzování vlivu na ochranu osobních údajů.
14.	Zpracovatel na základě pokynu správce všechny osobní údaje buď vymaže, nebo je vrátí správci po ukončení poskytování služeb spojených se zpracováním, a vymaže existující kopie, pokud právo Unie nebo členského státu nepožaduje uložení daných osobních údajů.
15.	Zpracovatel se zavazuje pořízené video záznamy nevratným způsobem vymazat nejpozději do měsíce od jejich pořízení.
16.	Zpracovatel správci na jeho písemnou žádost poskytne informace potřebné k doložení toho, že byly splněny povinnosti stanovené článkem 28 GDPR, a umožní správci nebo správcem pověřenému auditorovi provádět audity, včetně inspekcí, a k těmto auditům přispěje. 
17.	Zpracovatel je oprávněn odepřít zpracování údajů, jestliže pokyn správce porušuje předpisy týkající se ochrany údajů. O této skutečnosti zpracovatel bezodkladně informuje správce. Trvá-li správce na zpracování podle pokynu, vyžádá stanovisko Úřadu pro ochranu osobních údajů.