Smlouva o zpracování osobních údajů

riscare · účinné od 15. 9. 2026

Tato smlouva se uzavírá podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR). Je nedílnou součástí Všeobecných obchodních podmínek služby riscare a uzavírá se při uzavření smlouvy o užívání Služby.

1. Smluvní strany

1.1.Správcem je zákazník — organizace, jejíž digitální provozní odolnost se ve Službě řídí, identifikovaná údaji ze smlouvy o užívání Služby (dále jen „správce").

1.2.Zpracovatelem je společnost TALKEY a.s., se sídlem Česká 3229/27, 700 30 Ostrava-Jih, IČO 09101942, DIČ CZ09101942, zapsaná v obchodním rejstříku vedeném Krajským soudem v Ostravě, sp. zn. B 11211 (dále jen „zpracovatel").

1.3.Tato smlouva se nevztahuje na údaje o uživatelích Služby (registrace, přihlášení, fakturace, komunikace s podporou) ani na údaje zájemců o Službu. K nim je zpracovatel v postavení správce a použijí se Zásady ochrany osobních údajů.

2. Předmět, povaha a doba zpracování

2.1.Zpracovatel zpracovává pro správce osobní údaje v rozsahu nezbytném k poskytování služby riscare podle Všeobecných obchodních podmínek.

2.2.Povahou a účelem zpracování je uložení, zobrazení, výpočet přehledů a výstupů, tvorba dokumentů, zálohování a odesílání upozornění, a to výhradně za účelem, aby správce mohl řídit rizika a digitální provozní odolnost svého subjektu a plnit související regulatorní povinnosti.

2.3.Zpracování trvá po dobu trvání smlouvy o poskytování Služby a dále po dobu podle článku 10.

3. Subjekty údajů a kategorie údajů

3.1.Subjekty údajů jsou zaměstnanci a spolupracovníci správce (zejména osoby odpovědné za obchodní funkce, aktiva, rizika a opatření, absolventi školení, řešitelé úkolů), kontaktní osoby dodavatelů správce, osoby uvedené v dokumentaci a incidentech a uživatelé účtů správce.

3.2.Kategorie údajů, které lze do Služby vložit:

• a) identifikační — jméno a příjmení, akademický titul;
• b) kontaktní — pracovní e-mail, telefon, adresa pracoviště;
• c) pracovní — pracovní zařazení, útvar, role v subjektu, odpovědnost za funkci, aktivum nebo opatření;
• d) údaje o vzdělávání — absolvovaná školení, datum absolvování a termín opakování;
• e) údaje o dodavatelích — kontaktní osoby, jejich zařazení a kontaktní údaje;
• f) soubory — nahraná znění dokumentů, logo organizace a vytvořené výstupy;
• g) provozní záznamy — auditní stopa úkonů uživatelů správce ve Službě.

3.3.Zvláštní kategorie osobních údajů podle čl. 9 GDPR se nezpracovávají. Služba k tomu není určena a nemá pro ně určená pole; správce je do ní není oprávněn vkládat. Vloží-li je přesto do volných textových polí, činí tak bez pokynu zpracovatele a na vlastní odpovědnost.

3.4.Správce určuje účely a prostředky zpracování, zajišťuje existenci a doložitelnost právního důvodu, plní informační povinnost vůči subjektům údajů a odpovídá za zákonnost, přesnost, přiměřenost a minimalizaci údajů vložených do Služby. Správce uděluje zpracovateli doložené pokyny prostřednictvím funkcí Služby, jejího nastavení, podpory nebo písemnou formou a řídí oprávnění svých uživatelů.

4. Povinnosti zpracovatele

4.1.Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně předání do třetí země. Pokyny se rozumí zejména úkony správce ve Službě a nastavení, které v ní zvolí. Ukládá-li zpracování právní předpis, informuje o tom zpracovatel správce předem, ledaže to týž předpis zakazuje.

4.2.Zpracovatel se zavazuje zajistit, aby všechny osoby, kterým umožní přístup k osobním údajům zpracovávaným podle této smlouvy, zejména jeho zaměstnanci, členové statutárních orgánů, externí spolupracovníci, dodavatelé a další osoby podílející se na plnění této smlouvy, byly vázány povinností mlčenlivosti o všech osobních údajích a souvisejících informacích, s nimiž přijdou do styku. Zpracovatel zajistí, aby povinnost mlčenlivosti byla sjednána alespoň v rozsahu odpovídajícím této smlouvě a trvala i po skončení přístupu k osobním údajům nebo po ukončení příslušného smluvního či pracovněprávního vztahu. Zpracovatel odpovídá za to, že uvedené osoby budou s osobními údaji nakládat pouze na základě jeho pokynů a v rozsahu nezbytném pro plnění jejich úkolů.

4.3.Zpracovatel přijme technická a organizační opatření podle článku 7.

4.4.Zpracovatel dodrží pravidla pro zapojení dalších zpracovatelů podle článku 6.

4.5.Zpracovatel, s přihlédnutím k povaze zpracování a informacím, které má k dispozici, poskytne správci přiměřenou součinnost při plnění povinností podle čl. 12 až 23 a čl. 32 až 36 GDPR. Dostupné podklady poskytne tak, aby správce mohl dodržet zákonné lhůty. Subjektu údajů neodpoví jménem správce bez jeho pokynu, ledaže to ukládá právní předpis.

4.6.Zpracovatel naloží po skončení zpracování s údaji podle článku 10.

4.7.Zpracovatel poskytne správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR a umožní kontrolu podle článku 9.

4.8.Zpracovatel neprodleně informuje správce, má-li za to, že pokyn správce porušuje předpisy o ochraně osobních údajů.

5. Konzultanti přizvaní správcem

5.1.Přizve-li správce ke svému subjektu konzultanta (poradce, advokáta nebo auditora), zpřístupní mu zpracovatel data subjektu v rozsahu, který správce nastaví.

5.2.Přizvání konzultanta je pokynem správce podle článku 4.1. Konzultant není dalším zpracovatelem zpracovatele; jeho vztah ke správci se řídí jejich vlastní smlouvou.

5.3.Správce odpovídá za rozsah uděleného přístupu a je oprávněn jej kdykoli odejmout.

6. Další zpracovatelé

6.1.Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Jejich aktuální seznam tvoří přílohu 1 této smlouvy a je dostupný ve Službě.

6.2.Před zapojením dalšího zpracovatele poskytne zpracovatel jeho úplnou identifikaci, místo zpracování, popis činností, kategorie údajů, informace o dalším řetězci a použitý mechanismus předání. Na žádost poskytne informace nezbytné k posouzení dostatečných záruk a souladu s kapitolou V GDPR.

6.3.Správce je oprávněn vznést odůvodněnou námitku. Nevyřeší-li ji strany dohodou, může správce ukončit smlouvu o poskytování Služby ke dni, kdy má být nový zpracovatel zapojen.

6.4.Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti, jaké má sám podle této smlouvy. Za plnění jejich povinností odpovídá správci, jako by zpracování prováděl sám.

6.5.Data subjektu se nepředávají poskytovatelům služeb umělé inteligence. Znění dokumentů vytvořená nebo nahraná ve Službě zůstávají v databázi správce.

7. Zabezpečení

7.1.Zpracovatel přijal zejména tato opatření:

• a) šifrovaný přenos dat mezi zařízením uživatele a serverem;
• b) oddělení dat každého správce do samostatné databáze; spojení k databázi vydává jediná komponenta aplikace, která ověřuje oprávnění uživatele k subjektu;
• c) dvoufaktorové ověření přihlášení;
• d) řízení přístupů podle rolí — uživatel má přístup pouze k subjektu, jehož je členem, konzultant pouze k subjektům, ke kterým byl přizván;
• e) auditní záznamy významných úkonů uchovávané 5 let;
• f) omezení počtu pokusů o přihlášení, omezení četnosti požadavků a ukládání hesel výhradně v podobě kryptografického otisku;
• g) pravidelné zálohování — frekvence denní/týdenní/měsíční/roční, doba uchování:
• - denní záloha je uchovávána 24 hodin, tj. do doby pořízení nové denní zálohy;
• - týdenní záloha je uchovávána 1 týden, tj. do doby pořízení nové týdenní zálohy;
• - měsíční záloha je uchovávána 1 měsíc, tj. do doby pořízení nové měsíční zálohy;
• - roční záloha je uchovávána 1 rok, tj. do doby pořízení nové roční zálohy;
• h) oddělení provozního a zkušebního prostředí; ve zkušebním prostředí se nepoužívají skutečná data správců.

7.2.Zpracovatel je oprávněn opatření měnit; úroveň ochrany nesmí klesnout pod úroveň dosaženou při uzavření této smlouvy.

8. Porušení zabezpečení

8.1.Zjistí-li zpracovatel porušení zabezpečení osobních údajů, oznámí to správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl.

8.2.Oznámení obsahuje popis povahy porušení, dotčené kategorie a přibližný počet subjektů údajů a záznamů, pravděpodobné důsledky a přijatá či navržená opatření, a to v rozsahu, který je zpracovateli v daném okamžiku znám.

8.3.Ohlášení dozorovému úřadu a vyrozumění subjektů údajů provádí správce. Zpracovatel mu k tomu poskytne součinnost. Tím nejsou dotčeny vlastní povinnosti správce hlásit incidenty podle nařízení DORA nebo zákona o kybernetické bezpečnosti; ty Služba pouze eviduje a připravuje k nim podklady.

9. Kontrola

9.1.Správce je oprávněn ověřit plnění povinností zpracovatele, v prvé řadě předložením dokladů, které zpracovatel na žádost poskytne.

9.2.Nepostačují-li doklady, je správce oprávněn provést kontrolu na místě, ohlášenou nejméně 14 dnů předem a nejvýše jednou ročně; to neplatí v případě porušení zabezpečení nebo požadavku dozorového orgánu.

9.3.Kontrola nesmí nepřiměřeně narušit provoz zpracovatele. Osoby provádějící kontrolu jsou vázány mlčenlivostí.

9.4.Náklady kontroly nese správce, ledaže se prokáže podstatné porušení povinností zpracovatele.

9.5.Je-li správce finančním subjektem podle nařízení DORA, poskytne mu zpracovatel součinnost potřebnou k plnění jeho povinností při řízení rizik třetích stran v oblasti IKT, zejména podklady pro registr informací a pro hodnocení poskytovatele.

10. Ukončení zpracování

10.1.Po skončení poskytování Služby zpracovatel podle volby správce osobní údaje vrátí ve strukturovaném, běžně používaném a strojově čitelném formátu (CSV) a následně je vymaže, nebo je přímo vymaže. Není-li volba učiněna, umožní správci po dobu 30 dnů export a poté údaje bezpečně vymaže. Záložní kopie budou odstraněny nejpozději v maximální lhůtě podle článku 7.1 písm. g) a do té doby nebudou použity k jinému účelu než k obnově po havárii.

10.2.Po uplynutí lhůty podle článku 10.1 zpracovatel údaje smaže včetně kopií, s výjimkou:

• a) údajů, které je povinen uchovat podle právních předpisů;
• b) auditních záznamů a záloh podle článku 7.1 písm. e) a g), které se smažou uplynutím doby jejich uchování;
• c) dat, ze kterých odstraní přímé identifikátory.

10.3.Spolu s daty subjektu se smažou i balíčky podkladů sdílené s externím auditorem, nahrané logo organizace a odběry upozornění.

10.4.Na žádost správce potvrdí zpracovatel výmaz písemně.

11. Odpovědnost a závěrečná ustanovení

11.1.Odpovědnost stran se řídí čl. 82 GDPR a Všeobecnými obchodními podmínkami.

11.2.Vzniknou-li zpracovateli náklady tím, že správce vložil do Služby údaje bez právního důvodu nebo v rozporu s článkem 3.3, má zpracovatel právo na jejich náhradu.

11.3.Tato smlouva je nedílnou součástí Všeobecných obchodních podmínek a řídí se stejnými pravidly pro změny. Změnu, která snižuje úroveň ochrany osobních údajů, nelze provést bez souhlasu správce.

11.4.Tato smlouva se řídí právem České republiky a nařízením (EU) 2016/679.

11.5.Tato smlouva nabývá účinnosti 15. 9. 2026, resp. dnem uzavření smlouvy o užívání Služby.

Příloha 1 — Seznam dalších zpracovatelů

Aktuální znění je dostupné ve Službě. Verze uvedená v záhlaví platí ke dni účinnosti; starší znění zpracovatel na vyžádání doloží.

Doručování upozornění do prohlížeče je dobrovolné a lze je vypnout; bez něj Služba funguje beze změny.

Poskytovatelé veřejných číselníků a taxonomií (Česká národní banka, Evropský orgán pro bankovnictví, Národní úřad pro kybernetickou a informační bezpečnost) nejsou dalšími zpracovateli. Zpracovatel jim nepředává žádné osobní údaje.