Smlouva o zpracování osobních údajů
1. Strany, rozsah a stav
Tato smlouva stanoví podmínky zpracování údajů mezi firemním zákazníkem uvedeným ve smlouvě o službách OrsunPay (dále „Zákazník“) a společností Orsun Tech OÜ, registrační číslo 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia (dále „OrsunPay“). Závaznou se stává pouze začleněním do smlouvy přijaté oběma stranami s vyplněnými přílohami o zpracování a zabezpečení.
U zde uvedeného zpracování určuje Zákazník účely a zásadní prostředky a OrsunPay zpracovává osobní údaje jeho jménem. Pokud je Zákazník sám zpracovatelem, musí mít oprávnění svého správce k pověření OrsunPay. Zpracování pro vlastní web, obchodní kontakty a správu účtů OrsunPay popisují informace o ochraně osobních údajů.
Pojmy „osobní údaje“, „správce“, „zpracovatel“ a související pojmy mají význam podle příslušných předpisů o ochraně údajů, včetně GDPR, pokud se použije. Tato smlouva má přednost před rozpornými podmínkami služby v oblasti zpracování, kterou pokrývá; povinné doložky o předávání mají přednost tam, kde se použijí.
2. Popis zpracování
| Položka | Rozsah zpracování |
|---|---|
| Předmět | Osobní údaje zpracovávané prostřednictvím sjednaných služeb orchestrace plateb Zákazníka a související podpory. |
| Povaha operací | Přijímání, zaznamenávání, uspořádání, vyhledávání, předávání a zobrazování záznamů; provádění pokynů ke směrování a provozu; řešení problémů; vrácení nebo vymazání údajů. |
| Účely | Provoz nakonfigurovaných platebních postupů, výměna informací s vybranými poskytovateli, vedení záznamů transakcí a webhooků, poskytování oprávněného přístupu a vyšetřování problémů služby. |
| Dotčené osoby | Kupující a další účastníci plateb Zákazníka a jeho oprávnění uživatelé nebo zástupci, pokud jsou údaje zpracovávány podle jeho pokynů. |
| Kategorie údajů | Odkazy na zákazníky a transakce, poskytnuté kontaktní údaje, částky a měny, stavy plateb a vrácení, reference poskytovatelů, tokenizované nebo maskované údaje o platebních metodách, technické údaje o spojení a relevantní podklady podpory. Konečná příloha musí odpovídat skutečné integraci. |
| Doba a četnost | Během používání služby a sjednané doby pro vrácení nebo vymazání; průběžné nebo událostmi řízené zpracování podle používaných funkcí. |
| Citlivé údaje | Zvláštní kategorie údajů, údaje o trestných činech a úplné platební přihlašovací údaje tento obecný popis nepokrývá, pokud je výslovně nezahrnuje samostatně písemně sjednaný rozsah a vhodná opatření. |
3. Pokyny a povinnosti Zákazníka
Pokyny Zákazníka tvoří smlouva o službách, vyplněné přílohy, oprávněná nastavení a dokumentované požadavky API. OrsunPay bude zahrnuté údaje zpracovávat pouze podle těchto pokynů, včetně pokynů k předávání, pokud příslušný zákon nevyžaduje jinak. O právním požadavku informuje Zákazníka před zpracováním, pokud zákon takové oznámení nezakazuje.
Zákazník musí poskytnout zákonné pokyny, potřebné informace o ochraně soukromí a platný základ požadovaného shromažďování a zpracování. Musí omezit předávané údaje na potřeby služby a udržovat vhodná oprávnění účtu. OrsunPay informuje Zákazníka, pokud se domnívá, že pokyn porušuje příslušné předpisy o ochraně údajů, a může dotčené zpracování pozastavit do vyřešení problému.
4. Důvěrnost a zabezpečení
OrsunPay omezí přístup na oprávněné osoby, které jej potřebují k poskytování služby, a zajistí jejich povinnost mlčenlivosti. Bude udržovat technická a organizační opatření přiměřená povaze údajů a rizikům zpracování.
Bezpečnostní příloha musí dokumentovat řízení přístupu, ověřování, šifrování, oddělení zákaznických prostředí, protokolování, řešení incidentů, zálohování a obnovu, mazání a postup hodnocení těchto opatření. Musí rozlišovat zavedená a plánovaná opatření a určit příslušný rozsah služby. Pouhým zveřejněním smlouvy se nezačleňuje žádná auditní certifikace ani bezpečnostní osvědčení.
5. Další zpracovatelé
OrsunPay smí zapojit další zpracovatele pouze s předchozím konkrétním nebo obecným písemným souhlasem Zákazníka. Konečná schválená příloha určí právnickou osobu, funkci a relevantní místa zpracování. Náš registr dodavatelů je podpůrnou informací a zahrnuje dodavatele webu i dosud posuzovaná ujednání; samotné zařazení nepředstavuje souhlas Zákazníka.
Při obecném souhlasu OrsunPay předem písemně oznámí zamýšlená doplnění nebo nahrazení a umožní Zákazníkovi vznést před zahájením nového zpracování skutečně uplatnitelnou námitku z důvodů ochrany údajů. Uzavřená příloha musí stanovit oznamovací lhůtu, doručovací kanál a postup řešení. Pokud námitku nelze vyřešit, strany sjednají zákonnou alternativu nebo ukončí dotčenou službu podle smlouvy.
OrsunPay smluvně uloží každému dalšímu zpracovateli příslušné povinnosti ochrany údajů a nadále odpovídá za jejich plnění v rozsahu vyžadovaném zákonem.
6. Součinnost a porušení zabezpečení osobních údajů
S ohledem na zpracování a dostupné informace bude OrsunPay pomáhat Zákazníkovi s žádostmi subjektů údajů, bezpečnostními povinnostmi, posouzením vlivu a konzultacemi s příslušnými orgány. Obdrží-li žádost týkající se údajů Zákazníka, oznámí mu ji a nebude na ni věcně odpovídat jinak než podle pokynu nebo zákonné povinnosti.
OrsunPay oznámí Zákazníkovi bez zbytečného odkladu, že se dozvědělo o porušení zabezpečení osobních údajů ovlivňujícím zahrnuté údaje. Dostupné informace popíší incident, dotčené údaje a osoby, pravděpodobné následky, zmírňující opatření a kontakt pro další postup. Informace lze poskytovat postupně podle vývoje šetření. OrsunPay bude spolupracovat při reakci Zákazníka; Zákazník nadále odpovídá za oznámení, za která nese právní odpovědnost.
7. Mezinárodní předávání
Než zpracování zahrne předání podléhající omezením, musí strany určit vývozce, dovozce, cílová místa a vhodný mechanismus předání. Podle potřeby zahrnuje platné rozhodnutí o odpovídající ochraně nebo vyplněné standardní smluvní doložky se správným modulem, přílohami a doplňkovými opatřeními. Požadavky Spojeného království nebo Švýcarska musí být řešeny, pokud se použijí.
Odkaz na smlouvu dodavatele sám o sobě nedokončuje dokumentaci předávání Zákazníka. Uzavřená příloha musí zahrnovat skutečné uspořádání, včetně vzdáleného přístupu a následných předání.
8. Vrácení, vymazání a uchování
Po ukončení zpracování OrsunPay podle volby Zákazníka vrátí nebo vymaže zahrnuté osobní údaje a odstraní zbývající kopie, pokud příslušný zákon nevyžaduje uchování. Strany musí v příloze o zpracování sjednat formát exportu, postup žádosti, lhůtu dokončení a dobu zániku záloh.
Pokud zákon vyžaduje uchování, OrsunPay určí požadavek, je-li to dovoleno, omezí uchované údaje na tento účel a po zániku povinnosti je vymaže. Záložní kopie čekající na plánované vypršení musí zůstat chráněné a nedostupné pro běžné použití. OrsunPay na žádost poskytne potvrzení dokončení.
9. Informace a audity
OrsunPay zpřístupní informace potřebné k prokázání plnění povinností zpracovatele a umožní audity i součinnost při nich, včetně kontrol prováděných Zákazníkem nebo jím pověřeným auditorem. Strany sladí přiměřené oznámení předem, důvěrnost a opatření na ochranu informací ostatních zákazníků. Praktická ujednání nesmějí bránit auditu vyžadovanému zákonem nebo příslušným orgánem.
10. Dokončení smlouvy
Před uzavřením musí strany doplnit kategorie údajů pro konkrétní službu, místa zpracování, schválené další zpracovatele, dokumenty k předávání, bezpečnostní opatření, pravidla uchování a vrácení, kontakty pro oznámení a postup změny dodavatelů. Ustanovení o odpovědnosti a rozhodném právu se řídí uzavřenou smlouvou o službách v zákonném rozsahu; nic zde neodnímá jednotlivci zákonná práva. Dotazy ke smlouvě a zpracování údajů lze zasílat přes Kontakt.