Dohoda

medzi

 

LexCom Informationssysteme GmbH, Rüdesheimer Str. 23, 80686 München

- ďalej nazývanou „dodávateľ“ alebo „spracovávateľ objednávky“ -

a jej zákazníkom

- ďalej nazývaným „objednávateľ“ -

 

Poznámka:

Tento dokument obsahuje podmienky dodávateľa pre dohodu o spracovaní objednávok medzi objednávateľom a dodávateľom podľa čl. 28 ods. 3 GDPR. Objednávateľ vyhlasuje, že súhlasí s týmito podmienkami v rámci uzavretia zmluvy o používaní online alebo iných informačných služieb dodávateľa („dohoda o službách“) alebo – ak dohoda o službách už existuje – v rámci dodatočného vyhlásenia.

1. Predmet a trvanie objednávky

(1) Predmet

Predmet objednávky týkajúcej sa spracovávania údajov vyplýva z dohody o službách, ktorá je základom tohto spracúvania.

(2) Trvanie

Doba trvania tejto objednávky (doba platnosti) zodpovedá dobe platnosti dohody o službách, ktorá je základom tejto objednávky.

2. Konkretizácia obsahu objednávky

(1) Druh a účel plánovaného spracovávania údajov
  Objednávka zahŕňa spracúvanie:

  1. Spracúvanie osobných údajov, ktoré sú zadané objednávateľom v rámci využívania príslušných online a iných informačných služieb a musia byť spracované dodávateľom na prípravu funkcií produktu.
  2. Osobné údaje, pre ktoré nie je možné vylúčiť možnosť prístupu zo strany dodávateľa v rámci iných činností.
    • Po prvé môže ísť o prístup k osobným údajom uvedeným v bode a) v rámci vlastných vyhodnotení dodávateľa, predovšetkým analýzy funkcií produktu na optimalizáciu produktu a meranie úspešnosti a úžitku. V tomto prípade nie sú údaje, ktorých sa týka objednávka, súčasťou vyhodnotenia a dodávateľ ich odstráni alebo pseudonymizuje/anonymizuje.
    • Po druhé môže ísť v rámci služieb údržby a/alebo podpory o prístup k osobným údajom, ktoré má objednávateľ lokálne uložené.
  3. Okrem toho môže byť pri dopyte na diely podľa VIN potrebné, aby dodávateľ odoslal VIN na server príslušného výrobcu. Výrobca doplní VIN o určité informácie, ktoré sú potrebné na informáciu o dieloch a odošle späť objednávateľovi. Výrobca spracúva VIN tiež na vlastné účely a tým je samostatne zodpovedný v zmysle GDPR. Objednávateľ týmto dovoľuje dodávateľovi poskytnúť VIN výrobcovi na tieto účely.

(2) Druh údajov

Predmetom spracovania osobných údajov sú nasledovné druhy/kategórie údajov (vymenovanie/opis kategórií údajov)

(3) Kategórie dotknutých osôb

Kategórie osôb dotknutých spracovaním zahŕňajú:

(4) Dodávateľ si vyhradzuje právo, anonymizovať alebo zhrnúť údaje objednávateľa, takže už nebude možná identifikácia jednotlivých dotknutých osôb a v tejto podobe ich používať na účely ich úpravy podľa potreby, ďalší vývoj a optimalizáciu, ako aj na poskytnutie služby dohodnutej podľa zadania hlavnej zmluvy. Strany sa zhodujú v tom, že anonymizované, resp. podľa vyššie uvedeného zadania združené údaje objednávateľa, sa už nepovažujú za údaje objednávateľa v zmysle tejto zmluvy.

(5) Dodávateľ môže údaje objednávateľa spracúvať a využívať na vlastné účely prípustné v zmysle zákona o ochrane osobných údajov, keď to dovoľuje zákonný povoľovací predpis alebo vyhlásenie o súhlase dotknutej osoby. Táto zmluva sa neaplikuje na takéto spracúvanie údajov.

3. Miesto spracúvania

Zmluvné dohodnuté spracovanie údajov sa uskutočňuje v prvom rade v Nemecku alebo v niektorom členskom štáte Európskej únie alebo v inom členskom štáte Dohody o Európskom hospodárskom priestore. Pokiaľ subdodávateľ spracúva údaje aj v treťom štáte, uskutočňuje sa to výlučne za splnenia osobitných predpokladov čl. 44 ff. GDPR.

4. Technicko-organizačné opatrenia

(1) Dodávateľ dokumentuje v súvislosti s udelením zákazky uvedené a potrebné technické a organizačné opatrenia, predovšetkým ohľadne konkrétneho vykonania objednávky a poskytne túto dokumentáciu objednávateľovi spoločne s týmto vyhlásením za účelom kontroly. V prípade akceptovania sa stanú zdokumentované opatrenia základom objednávky. Inak neuzatvoria strany žiadnu dohodu o službách.

(2) Dodávateľ zabezpečí bezpečnosť podľa čl.  28 ods. 3 písm. c, 32 GDPR najmä v spojení s čl. 5 ods. 1, ods. 2 GDPR. Celkovo ide u prijímaných opatreniach o opatrenia na ochranu údajov a na zabezpečenie úrovne ochrany, ktorá je primeraná pre riziko, ohľadne dôvernosti, integrity, disponibility ako aj zaťažiteľnosti systémov. Dodávateľ pritom zohľadňuje stav techniky, náklady implementácie a spôsob, rozsah a účel spracovania ako aj rozdielnu pravdepodobnosť vstupu a závažnosti rizika pre práva a slobody fyzických osôb v zmysle čl. 32 ods. 1 GDPR [podrobnosti v prílohe 1].

(3) Technické a organizačné opatrenia podliehajú technickému pokroku a ďalšiemu vývoju. V tomto zmysle môže dodávateľ realizovať alternatívne, adekvátne opatrenia. Pritom neklesne pod bezpečnostnú úroveň stanovených opatrení. Podstatné zmeny bude dokumentovať.

5. Oprava, obmedzenie a vymazanie údajov

(1) Dodávateľ nebude údaje, ktoré na základe objednávky spracováva, svojvoľne opravovať, vymazávať alebo ich spracovávanie obmedzovať, iba ak na základe zdokumentovaného pokynu objednávateľa. Ak sa dotknutá osoba obráti v tejto veci priamo na dodávateľa, dodávateľ túto žiadosť bezodkladne postúpi objednávateľovi.

(2) Ak to zahŕňa rozsah služieb, dodávateľ bezodkladne zabezpečí koncepciu vymazávania, právo na zabúdanie, opravu, portabilitu údajov a informovanie po dokumentovanom pokyne objednávateľa. Jednotlivé pokyny, ktoré sa odchyľujú od dohody o službách alebo vytyčujú dodatočné požiadavky vyžadujú predchádzajúci súhlas dodávateľa. Pritom treba zohľadniť, že dodávateľom poskytované online služby sú štandardné produkty, ktorých prispôsobenie požiadavkám objednávateľa, ktoré sa týkajú právnych predpisov o ochrane údajov, môžu vyvolať vysoké náklady.  Tieto náklady ponesie na základe príslušnej individuálnej dohody v plnom rozsahu objednávateľ.

6. Zabezpečenie kvality a iné povinnosti dodávateľa

Dodávateľ  je povinný okrem dodržiavania ustanovení tejto objednávky dodržiavať zákonné povinnosti podľa čl.. 28 až 33 GDPR, predovšetkým musí v tomto zmysle zabezpečiť dodržiavanie nasledovných povinností:

  1. písomne vymenovať pracovníka povereného ochranou údajov, ktorý vykonáva svoju činnosť podľa čl. 38 a 39 GDPR. Jeho kontaktné údaje budú oznámené objednávateľovi na účelom nadviazania priameho kontaktu.  Zmena v osobe pracovníka povereného ochranou údajov musí byť bezodkladne oznámená objednávateľovi.
  2. Zachovanie dôvernosti v zmysle čl. 28 ods. 3 v. 2 písm. b, 29, 32 ods. 4 GDPR. Dodávateľ poverí vykonávaním prác len tých zamestnancov, ktorí boli zaviazaní zachovávaním dôvernosti a vopred oboznámení s relevantnými predpismi o ochrane údajov. Dodávateľ a každá dodávateľovi podriadená osoba, ktorá má prístup k osobným údajom, smie tieto údaje spracovávať výlučne v súlade s pokynmi objednávateľa, vrátane oprávnení udelených v tejto zmluve, ibaže by boli k spracovaniu povinní zo zákona.
  3. Realizácia a dodržanie všetkých potrebných technických a organizačných opatrení pre túto objednávku podľa čl. 28 ods. 3 s. 2 lit. c, 32 GDPR [podrobnosti v prílohe 1].
  4. Dodávateľ a objednávateľ spolupracujú na požiadanie s orgánom dohľadu pri plnení svojich úloh.
  5. Bezodkladné informovanie objednávateľa o kontrolných úkonoch a opatreniach orgánu dohľadu, pokiaľ sa vzťahujú na objednávku. To platí aj vtedy, ak príslušný orgán vedie vyšetrovanie v rámci priestupkového alebo trestného konania s ohľadom na spracovanie osobných údajov pri spracovaní objednávky u dodávateľa.
  6. Ak je vystavený objednávateľ kontrole orgánom dohľadu, priestupkovému alebo trestnému konaniu, nároku zo zodpovednosti dotknutej osoby alebo tretej osoby alebo inému nároku v súvislosti so spracovaním objednávky u dodávateľa , dodávateľ ho podporí podľa svojich najlepších schopností.
  7. Dodávateľ kontroluje interné procesy ako aj technické a organizačné opatrenia, aby zabezpečil spracovávanie údajov v rozsahu jeho zodpovednosti v súlade s požiadavkami platných zákonov o ochrane údajov a ochranu práv dotknutej osoby.
  8. Preukázateľnosť dotknutých technických a organizačných opatrení voči objednávateľovi v rámci jeho kontrolných oprávnení podľa bodu 7 tejto zmluvy.

7. Zákazky pre subdodávateľov

(1) Pod zákazkami pre subdodávateľov v zmysle tohto ustanovenia sa rozumejú také služby, ktoré sa priamo vzťahujú na poskytovanie hlavnej služby. K tomu nepatria vedľajšie výkony, ktoré dodávateľ uplatňuje napr. ako telekomunikačné služby, poštové/dopravné služby, údržbu a servis pre používateľa alebo likvidáciu nosičov údajov ako aj iné oparenia na zabezpečenie dôvernosti, disponibility, integrity a zaťažiteľnosti hardvéru a softvéru zariadení na spracovanie údajov. Dodávateľ je ale povinný pre zabezpečenie ochrany údajov a bezpečnosti údajov objednávateľa prijať aj v prípade externých vedľajších služieb primerané a zákonom zodpovedajúcu zmluvné dohody ako aj kontrolné opatrenia.

(2) Objednávateľ týmto dáva dodávateľovi všeobecný súhlas na prizvanie ďalších spracovateľov objednávky.

Objednávateľ súhlasí s poverením nasledujúcich subdodávateľov za podmienky zmluvnej dohody v zmysle čl. 28 ods. 2 – 4 GDPR:

Názov subdodávateľa

Adresa/krajina

Služba

Belenus LOB GmbH

Rüdesheimer Str. 23
80686 München
DEUTSCHLAND

Príprava celej internej a externej IT prevádzky

LexCom (China) Co., Ltd

Suite G, 9/F Huamin Empire Plaza, 728 Yan An West Road, Changning Shanghai, 200050 CHINA

Príprava zákazníckej podpory

LexCom Japan K.K.

Shin-Yokohama Daini Centre Bldg., 7F, 3-19-5 Shin-Yokohama, JAPAN

Príprava zákazníckej podpory

LexCom Information Systems Ltd

Unit C3 Arena Business Centre, 9 Nimrod Way, Wimborne, BH21 7UH, UNITED KINGDOM

Príprava zákazníckej podpory

LexCom France SARL

Espace Mama Works
51 Quai Lawton
33300 Bordeaux
FRANCE

Príprava zákazníckej podpory

OiC Imaging Comercial Ltda

Rua Kara 419, CEP 09750-300, São Bernardo do Campo, São Paulo, BRAZIL

Príprava zákazníckej podpory

Element1 Media GmbH

Rüdesheimer Str. 21
80686 München
DEUTSCHLAND

Spracovanie údajov zákazníka evidovaných v rámci registrovania

 

Výmena existujúceho subdodávateľa je prípustná, ak:

(3) Postúpenie osobných údajov objednávateľa subdodávateľovi a jeho prvý úkon sú povolené, až keď sú splnené všetky uvedené podmienky pre zadanie subzákazky.

(4) Ďalšie postúpenie subdodávateľom vyžaduje výslovný súhlas hlavného dodávateľa (min. textová podoba); všetky zmluvné ustanovenia v zmluvnom reťazci sa musia uložiť aj ďalšiemu subdodávateľovi.

8. Práva objednávateľa na kontrolu

(1) Objednávateľ ma právo v spolupráci dodávateľom vykonávať kontroly alebo v jednotlivom prípade ich nechať vykonať vymenovaným audítorom. Má právo náhodnými kontrolami, ktoré boli včas ohlásené a vykonávané v rámci bežných pracovných hodín, bez rušenie prevádzky u dodávateľa pri striktnom zachovaní prevádzkového a obchodného tajomstva dodávateľa, sa presvedčiť o dodržiavaní tejto dohody dodávateľom v jeho obchodnej prevádzke.

(2) Dodávateľ zabezpečí, aby sa objednávateľ mohol presvedčiť o dodržiavaní povinností dodávateľa podľa čl. 28 GDPR. Dodávateľ sa zaväzuje poskytnúť objednávateľovi na požiadanie potrebné informácie a predovšetkým preukázať realizáciu technických a organizačných opatrení. Objednávateľ môže spravidla vykonať jednu kontrolu počas kalendárneho roku; v prípade mimoriadnych udalostí sú prípustné ďalšie kontroly.

(3) Dodávateľ je oprávnený, podľa vlastného uváženia s prihliadnutím na zákonné povinnosti objednávateľa, neuverejniť informácie, ktoré sú citlivé s ohľadom na obchody dodávateľa, alebo ak by dodávateľ ich zverejnením sa previnil voči zákonným alebo zmluvným povinnostiam.

(4) Podľa voľby dodávateľa, môže preukázať takéto opatrenia, ktoré sa netýkajú len konkrétnej objednávky, namiesto kontrolou na mieste

  1. dodržiavaním schválených pravidiel správania podľa čl. 40 GDPR;
  2. certifikáciou podľa schváleného certifikačného postupu podľa čl. 42 GDPR;
  3. aktuálnymi testami, správami alebo výňatkami zo správ nezávislých inštancií (napr. auditor, revízia, pracovník poverený ochranou údajov, bezpečnostné oddelenie IT, audítori ochrany údajov, audítori kvality);
  4. vhodná certifikácia prostredníctvom auditu bezpečnosti IT alebo auditu ochrany údajov (napr. podľa štandardov BSI).

Predpokladom je, aby toto opatrenie objednávateľovi umožnilo primeraným spôsobom sa presvedčiť o dodržiavaní technických a organizačných opatrení podľa prílohy k tejto dohode.

(5) Za umožnenie kontrol objednávateľov môže dodávateľ uplatniť nárok na úhradu.

9. Oznámenie pri pochybeniach dodávateľa

(1) Dodávateľ podporuje objednávateľa pri dodržiavaní povinností uvedených v článkoch 32 a 36 GDPR týkajúcich sa bezpečnosti osobných údajov, ohlasovacích povinnosti pri problémoch s ochranou údajov, odhadov následkov ochrany údajov a predchádzajúcich konzultácií. K tomu patria o.i.

  1. zabezpečenie primeranej úrovne ochrany technickými a organizačnými opatreniami, ktoré zohľadňujú okolnosti a účely spracovania ako aj prognostickú pravdepodobnosť a závažnosť možného porušenia práva v dôsledku bezpečnostných medzier a umožňujú okamžité zistenie relevantných porušení
  2. povinnosť okamžite hlásiť objednávateľovi narušenie osobných údajov
  3. povinnosť podporovať objednávateľa v rámci jeho informačnej povinnosti voči dotknutým osobám a poskytnúť mu bez meškania v tejto súvislosti všetky relevantné informácie
  4. podpora objednávateľa pre jeho odhad následkov ochrany údajov
  5. podpora objednávateľa v rámci predchádzajúcich konzultácii s orgánom dohľadu

(2) Za poskytnutie podpory, ktorá nie je obsiahnutá v dohode o službách a nesúvisí s chybnými úkonmi dodávateľa, môže dodávateľ požadovať primeranú odmenu.

10. Oprávnenie objednávateľa udeľovať pokyny

(1) Ústne pokyny potvrdí objednávateľ obratom (min. v textovej podobe).

(2) Dodávateľ bude bezodkladne informovať objednávateľa, ak podľa jeho názoru niektorý pokyn porušuje predpisy o ochrane údajov. Dodávateľ je oprávnený s vykonaním pokynu čakať dovtedy, kým ho objednávateľ nepotvrdí alebo nezmení. Za náklady, ktoré týmto vzniknú dodávateľovi, môže dodávateľ voči objednávateľovi uplatniť nárok na úhradu.

11. Vymazanie a vrátenie osobných údajov

(1) Bez vedomia objednávateľa sa nebudú vyhotovovať žiadne kópie alebo duplikáty údajov. Výnimkou z toho sú záložné kópie, pokiaľ sú potrebné na riadne spracovanie údajov, ako aj údaje, ktoré sú potrebné na dodržanie zákonných úschovných povinností.

(2) Po ukončení zmluvne dohodnutých prác alebo skôr na základe výzvy objednávateľa - najneskôr pri ukončení dohody o službách - je dodávateľ povinný objednávateľovi vydať všetky podklady v jeho držbe, výsledky spracovania a využívania údajov ako aj súbory údajov, ktoré súvisia s objednávkou, alebo tieto po predchádzajúcom súhlase zničiť v súlade s predpismi o ochrane údajov. To isté platí pre testovací a nepodarkový materiál. Na požiadanie sa musí preložiť protokol o vymazaní údajov.

(3) Dokumentácie, ktoré slúžia na preukázanie riadneho spracovanie údajov v zmysle objednávky, bude dodávateľ uschovávať v súlade s príslušnými úschovnými lehotami aj po ukončení zmluvného vzťahu. Tejto povinnosti sa môže zbaviť ich odovzdaním objednávateľovi.

 

 

Príloha 1 – Technicko-organizačné opatrenia

1. Dôvernosť (čl. 32 (1) b) GDPR)

Kontrola prístupu

Kontrola vstupu

Kontrola prístupu

Kontrola oddelenia

2. Integrita (čl. 32 (1) b) GDPR)

Kontrola postúpenia

Kontrola zadávania

3. Disponibilita a zaťažiteľnosť (čl. 32 (1) b) GDPR)

Kontrola disponibility

4. Obnovenie disponibility a prístupu (čl. 32 32 (1) c) GDPR)

5. Kontrola, posúdenie a hodnotenie (čl. 32 (1) d) GDPR; čl. 25 (1) GDPR)

Postup pre pravidelnú kontrolu, hodnotenie a vyhodnocovanie

Kontrola objednávky