Zpracovatelská smlouva (čl. 28)

Kdy použít

S každým dodavatelem, který pro vás zpracovává osobní údaje: externí účetní a mzdy, hosting a cloud, CRM, marketingová agentura, servis IT. Jde uzavřít i jako dodatek k hlavní smlouvě.

Na co si dát pozor

Čl. 28 odst. 3 předepisuje povinný obsah, chybějící prvek znamená vadnou smlouvu. Hlídejte řetězení dalších zpracovatelů (souhlas, stejné povinnosti) a reálnost auditních práv.

Vzor

Smlouva o zpracování osobních údajů

Správce: [DOPLNIT: název, IČO, sídlo, zástupce]. Zpracovatel: [DOPLNIT: název, IČO, sídlo, zástupce]. Uzavřená podle čl. 28 nařízení (EU) 2016/679 (GDPR).

1. Předmět a doba. Zpracovatel pro správce zpracovává osobní údaje v rozsahu a za účelem: [DOPLNIT: předmět, povaha a účel zpracování, kategorie subjektů a údajů], po dobu trvání [DOPLNIT: hlavní smlouvy].
2. Pokyny. Zpracovatel zpracovává údaje pouze na základě doložených pokynů správce, včetně předání do třetích zemí. Pokud mu zpracování ukládá právo EU nebo členského státu, informuje o tom správce předem, ledaže to právo zakazuje.
3. Mlčenlivost. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat údaje zavázaly k mlčenlivosti, nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Mlčenlivost trvá i po skončení smlouvy.
4. Zabezpečení. Zpracovatel přijme opatření podle čl. 32 GDPR, nejméně: [DOPLNIT: šifrování, řízení přístupů, zálohování, testování].
5. Další zpracovatelé. Zapojení dalšího zpracovatele jen s předchozím [zvláštním / obecným] písemným povolením správce. Zpracovatel uloží dalšímu zpracovateli smlouvou stejné povinnosti a za jeho plnění odpovídá správci v plném rozsahu. Aktuální seznam: [DOPLNIT].
6. Součinnost. Zpracovatel je správci nápomocen při vyřizování žádostí subjektů údajů (kap. III GDPR) a při plnění povinností podle čl. 32 až 36, včetně hlášení porušení zabezpečení správci bez zbytečného odkladu po jeho zjištění.
7. Skončení. Po ukončení služeb zpracovatel podle volby správce všechny osobní údaje vymaže, nebo je vrátí správci, a vymaže existující kopie, ledaže právo EU nebo členského státu ukládá jejich uložení.
8. Audit. Zpracovatel poskytne správci veškeré informace potřebné k doložení souladu s tímto článkem a umožní audity a inspekce prováděné správcem nebo pověřeným auditorem a přispěje k nim. Zpracovatel neprodleně informuje správce, považuje-li pokyn za rozporný s GDPR nebo jinými předpisy o ochraně údajů.

Datum, místo a podpisy obou stran: [DOPLNIT].