Tato dohoda o zpracování údajů („DPA“) tvoří součást dohody upravující používání platformy a služeb KWIGA, včetně Obchodních podmínek KWIGA (dále jen „Dohoda“), mezi:
TUTERIA VCC, se sídlem na adrese Vrabcha Street 17A, 1. patro, byt 3, 1000 Sofia, Bulharsko („KWIGA“, „TUTERIA“, „my“, „nás“ nebo „Zpracovatel“),
a
fyzickou osobou, společností, organizací, školou, Expertem, tvůrcem kurzu nebo jiným subjektem využívajícím služby KWIGA a určujícím účely a prostředky zpracování osobních údajů prostřednictvím platformy KWIGA (dále jen „Zákazník“, „Uživatel platformy“ nebo „Správce“).
Tato DPA se použije v případě a v rozsahu, v jakém společnost TUTERIA VCC zpracovává Osobní údaje jménem Zákazníka v souvislosti s poskytováním služeb KWIGA.
Tato DPA doplňuje Dohodu a bude vykládána společně se zásadami KWIGA ochrany osobních údajů a dalšími příslušnými smluvními dokumenty.
Pro účely této DPA:
„Příslušné právní předpisy o ochraně údajů“ znamenají veškeré právní předpisy o ochraně údajů a soukromí vztahující se na zpracování Osobních údajů podle této DPA, včetně, kde je to relevantní, nařízení (EU) 2016/679 („GDPR“).
„Správce“, „Zpracovatel“, „Subjekt údajů“, „Osobní údaje“, „Zpracování“, „Porušení zabezpečení osobních údajů“ a „Dozorový úřad“ mají význam, který jim přisuzuje GDPR nebo jiné příslušné právní předpisy o ochraně údajů.
„Zákazník“ znamená Uživatele platformy, který využívá služby KWIGA a určuje účely a prostředky Zpracování údajů služby.
„Údaje služby“ znamenají Osobní údaje nahrané na platformu KWIGA, shromážděné prostřednictvím této platformy, vytvořené v jejím rámci nebo jinak zpracovávané prostřednictvím platformy KWIGA Zákazníkem nebo jeho jménem v souvislosti s využíváním Služeb.
Údaje služby mohou zahrnovat Osobní údaje zpracovávané prostřednictvím CRM a LMS KWIGA, kurzů, vzdělávacích programů, funkcí pro správu studentů a zákazníků, komunikačních nástrojů, automatizací, hodnocení a dalších funkcí Platformy využívaných Zákazníkem.
„Dílčí zpracovatel“ znamená třetí stranu pověřenou společností KWIGA Zpracováním údajů služby jménem Zákazníka.
Pokud Zákazník určuje účely a prostředky Zpracování údajů služby, jedná Zákazník jako Správce těchto Osobních údajů.
Zákazník odpovídá za své činnosti Zpracování a za dodržování povinností vztahujících se na Správce podle Příslušných právních předpisů o ochraně údajů.
Pokud společnost TUTERIA VCC Zpracovává údaje služby jménem Zákazníka a v souladu s pokyny Zákazníka, jedná společnost TUTERIA VCC jako Zpracovatel.
Společnost TUTERIA VCC bude Zpracovávat tyto údaje služby v souladu s touto DPA, Dohodou, dokumentovanými pokyny Zákazníka a Příslušnými právními předpisy o ochraně údajů.
Některé činnosti Zpracování může společnost TUTERIA VCC provádět pro účely nezávisle určené společností TUTERIA VCC.
Tyto účely mohou případně zahrnovat:
správu a provoz Platformy KWIGA;
bezpečnost a integritu Platformy;
prevenci podvodů a zneužití;
odhalování a vyšetřování neoprávněného přístupu a bezpečnostních incidentů;
dodržování zákonných nebo regulačních povinností;
správu vlastních smluvních vztahů společnosti TUTERIA VCC;
uplatňování, výkon nebo obhajobu právních nároků; a
další účely popsané v Zásadách ochrany soukromí KWIGA.
Pokud společnost TUTERIA VCC nezávisle určuje účely a prostředky takového Zpracování, jedná společnost TUTERIA VCC ve vztahu k takovému Zpracování jako samostatný Správce.
Takové Zpracování se řídí zásadami KWIGA Zásady ochrany soukromí a Platnými právními předpisy o ochraně osobních údajů a nepředstavuje Zpracování prováděné společností TUTERIA VCC jako Zpracovatelem podle této DPA.
Skutečnost, že Zákazník a společnost TUTERIA VCC mohou Zpracovávat určité informace týkající se stejného Subjektu údajů, sama o sobě neznamená, že strany jednají jako společní správci.
Úloha každé strany bude určena s ohledem na účely a prostředky příslušné činnosti Zpracování.
Zákazník bude v souvislosti se svým shromažďováním, používáním, zpřístupňováním a jiným Zpracováním Údajů o službách dodržovat Platné právní předpisy o ochraně osobních údajů.
Zákazník odpovídá za zajištění toho, že:
a. má odpovídající právní základ pro Zpracování Údajů o službách;
b. Údaje o službách byly shromážděny zákonným způsobem;
c. Údaje o službách jsou zákonně zpřístupněny nebo jinak poskytnuty společnosti KWIGA ke Zpracování;
d. Subjekty údajů obdrží veškerá oznámení o ochraně soukromí a informace vyžadované Platnými právními předpisy o ochraně osobních údajů;
e. každý souhlas vyžadovaný pro činnosti Zpracování Zákazníka byl platně získán;
f. pokyny Zákazníka společnosti KWIGA jsou v souladu s Platnými právními předpisy o ochraně osobních údajů;
g. Zákazník zpracovává pouze Osobní údaje nezbytné pro své oprávněné a zákonné účely; a
h. pro Údaje o službách pod kontrolou Zákazníka jsou stanoveny vhodné doby uchovávání.
Zákazník nebude Služby používat ke shromažďování nebo Zpracování Zvláštních kategorií osobních údajů ve smyslu článku 9 GDPR, pokud Zákazník nestanovil platný právní základ a případně příslušnou podmínku podle článku 9 GDPR pro takové Zpracování.
Pokud Zákazník používá dotazníky, formuláře, vlastní pole, nahraný obsah nebo jiné funkce Služeb ke shromažďování nebo Zpracování takových údajů, jedná Zákazník jako Správce a odpovídá za určení zákonnosti, účelů a rozsahu takového Zpracování, poskytnutí všech požadovaných informací Subjektům údajů, získání výslovného souhlasu, pokud se spoléhá na souhlas, a dodržování všech ostatních příslušných požadavků Platných právních předpisů o ochraně osobních údajů.
Společnost KWIGA Zpracovává takové Údaje o službách jménem Zákazníka a v souladu se zdokumentovanými pokyny Zákazníka a touto DPA.
Zákazník dává společnosti KWIGA pokyn Zpracovávat Údaje o službách v rozsahu nezbytném k:
poskytování Služeb vybraných a nakonfigurovaných Zákazníkem;
hostování a údržbě Údajů o službách;
poskytování funkcí CRM, LMS a dalších funkcí Platformy;
poskytování přístupu ke kurzům a dalším produktům;
správě funkcí vybraných Zákazníkem;
poskytování technické podpory;
údržbě a zabezpečení Služeb; a
jinému plnění Smlouvy a zdokumentovaných pokynů Zákazníka.
Používání a konfigurace Platformy KWIGA Klientem, včetně nastavení, činností a funkcí aktivovaných Klientem, jakož i vytváření a zveřejňování webových stránek, formulářů, oznámení a dalších materiálů Klientem prostřednictvím Platformy, mohou být pro účely této DPA považovány za dokumentované pokyny.
Klient samostatně určuje obsah svých Zásad ochrany osobních údajů, oznámení o ochraně osobních údajů, formulářů a dalších materiálů poskytovaných Subjektům údajů prostřednictvím Platformy a odpovídá za jejich soulad s Příslušnými právními předpisy o ochraně osobních údajů a se skutečným zpracováním osobních údajů Klienta. KWIGA není povinna kontrolovat ani schvalovat obsah těchto materiálů.
Pokud se KWIGA důvodně domnívá, že pokyn Zákazníka porušuje Platné právní předpisy o ochraně údajů, KWIGA o tom Zákazníka bez zbytečného odkladu informuje.
KWIGA může pozastavit příslušné Zpracování v rozsahu přiměřeně nezbytném, dokud nebude pokyn změněn, upřesněn nebo potvrzen jako zákonný.
KWIGA bude Zpracovávat Servisní údaje pouze na základě doložených pokynů Zákazníka, pokud Zpracování nevyžaduje platné právo Unie nebo členského státu.
Pokud je KWIGA ze zákona povinna Zpracovávat Servisní údaje jinak než na základě pokynů Zákazníka, KWIGA Zákazníka o tomto právním požadavku informuje před Zpracováním, ledaže zákon takové informace zakazuje z důležitých důvodů veřejného zájmu.
KWIGA zajistí, aby osoby oprávněné Zpracovávat Servisní údaje:
Zpracovávaly tyto údaje pouze v rozsahu nezbytném pro výkon svých povinností;
podléhaly odpovídajícím povinnostem mlčenlivosti; a
měly přístup pouze v případech, kdy je to přiměřeně nezbytné.
KWIGA zavede vhodná technická a organizační opatření určená k ochraně Servisních údajů v souladu s oddílem 7 a přílohou B této DPA.
S ohledem na povahu Zpracování a informace dostupné společnosti KWIGA poskytne KWIGA Zákazníkovi přiměřenou součinnost při plnění jeho povinností podle Platných právních předpisů o ochraně údajů, včetně povinností týkajících se:
žádostí Subjektů údajů;
zabezpečení Zpracování;
Porušení zabezpečení osobních údajů;
posouzení vlivu na ochranu osobních údajů; a
konzultací s Dozorovými úřady, pokud je to relevantní.
KWIGA bude vést záznamy a informace týkající se svých činností Zpracování v rozsahu vyžadovaném Platnými právními předpisy o ochraně údajů.
Zákazník jako Správce nese primární odpovědnost za odpovědi na žádosti Subjektů údajů týkající se Servisních údajů Zpracovávaných společností KWIGA jménem Zákazníka.
KWIGA poskytuje Zákazníkovi funkce a/nebo vhodné mechanismy pro přístup k Servisním údajům pod kontrolou Zákazníka, jejich správu a export a tam, kde to příslušné funkce podporují, pro opravu nebo vymazání těchto Servisních údajů, s výhradou platných zákonných požadavků.
S ohledem na povahu Zpracování poskytne KWIGA Zákazníkovi přiměřenou součinnost prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, při plnění povinností Zákazníka reagovat na žádosti Subjektů údajů.
Pokud KWIGA obdrží žádost Subjektu údajů, která se primárně týká Servisních údajů, jejichž Správcem je Zákazník, může KWIGA Subjekt údajů odkázat na Zákazníka a případně Zákazníka o žádosti informovat.
KWIGA nebude na žádost samostatně odpovídat jménem Zákazníka, ledaže:
k tomu dostane pokyn od Zákazníka;
je to povoleno na základě Smlouvy; nebo
to vyžaduje platné právo.
Přijetím této DPA uděluje Zákazník společnosti KWIGA trvalý dokumentovaný pokyn ke zpracování a případně k vymazání nebo anonymizaci Údajů služby v reakci na žádosti Subjektů údajů o výmaz.
Pokud KWIGA obdrží žádost Subjektu údajů týkající se Údajů služby, u nichž je Zákazník Správcem, KWIGA o této žádosti informuje Zákazníka a poskytne mu možnost předložit další dokumentované pokyny nebo dokumentované pokyny, které jsou v rozporu s původním pokynem.
Pokud Zákazník neposkytne dokumentovaný pokyn, který je v rozporu s původním pokynem, do čtrnácti (14) kalendářních dnů ode dne oznámení společnosti KWIGA, je KWIGA oprávněna a pověřena provést výmaz nebo anonymizaci příslušných Údajů služby v souladu s touto DPA a Příslušnými právními předpisy o ochraně osobních údajů. Lhůta čtrnácti (14) kalendářních dnů představuje smluvní lhůtu pro poskytnutí pokynů Zákazníkem společnosti KWIGA a nestanovuje ani nemění žádné zákonné lhůty vztahující se na Zákazníka nebo KWIGA podle Příslušných právních předpisů o ochraně osobních údajů, včetně GDPR, kalifornského zákona o ochraně soukromí spotřebitelů (California Consumer Privacy Act), ve znění pozdějších změn, nebo texaského zákona o ochraně soukromí a bezpečnosti údajů (Texas Data Privacy and Security Act).
KWIGA může přistoupit k takovému výmazu nebo anonymizaci, pokud Zákazník v příslušné lhůtě čtrnácti (14) kalendářních dnů neposkytl dokumentovaný pokyn, který je v rozporu s původním pokynem. Osobní údaje nesmějí být vymazány ani anonymizovány v rozsahu, v jakém je jejich další uchovávání nebo zpracování vyžadováno Příslušnými právními předpisy o ochraně osobních údajů nebo touto DPA.
Zákazník jako Správce odpovídá za stanovení vhodných dob uchovávání Servisních údajů Zpracovávaných pro účely určené Zákazníkem, s výhradou ujednání o uchovávání a výmazu stanovených touto DPA a Smlouvou.
Na Údaje služby se mohou vztahovat různé doby uchovávání v závislosti na povaze a účelu příslušných údajů a funkcionalitě, jejímž prostřednictvím jsou tyto údaje Zpracovávány.
Po ukončení nebo vypršení předplatného Klienta mohou být Údaje služby týkající se příslušného Klienta uchovávány po dobu až devadesáti (90) dnů od data ukončení období předplatného Klienta za účelem umožnění opětovné aktivace, získání údajů a řádného ukončení používání Služeb.
Po uplynutí výše uvedené 90denní lhůty může být příslušný účet a/nebo škola deaktivován, skryt nebo jiným způsobem znepřístupněn prostřednictvím běžného rozhraní Platformy KWIGA, aniž by došlo k odstranění nebo změně Údajů služby v něm obsažených.
Příslušné Údaje služby mohou být uchovávány po další dobu až devadesáti (90) dnů za účelem umožnění jejich obnovení, řešení technických nebo smluvních záležitostí a zajištění řádného dokončení poskytování Služeb.
Po uplynutí celkové doby sto osmdesáti (180) dnů od ukončení nebo vypršení předplatného budou příslušné Údaje služby odstraněny z aktivních systémů Platformy KWIGA v souladu s příslušnými postupy uchovávání a odstraňování údajů.
Výše uvedený postup se použije s výhradou zdokumentovaných pokynů příslušného Správce, tohoto DPA a Příslušných právních předpisů o ochraně osobních údajů. Nevztahuje se na Osobní údaje, které TUTERIA VCC nezávisle a oprávněně Zpracovává jako samostatný Správce podle Oddílu 5.7.
Servisní údaje jsou obecně uchovávány po dobu využívání příslušných Služeb KWIGA Zákazníkem a v souladu s:
doloženými pokyny Zákazníka;
touto DPA;
Smlouvou; a
Platné právní předpisy o ochraně údajů.
Nic v tomto oddíle nezbavuje Zákazníka jeho odpovědnosti jako správce určit, zda konkrétní Servisní údaje nadále zůstávají nezbytné a měly by být i nadále uchovávány.
Společnost KWIGA poskytuje Zákazníkovi funkce a/nebo vhodné mechanismy pro přístup ke Správě a exportu Servisních údajů pod kontrolou Zákazníka a, pokud to příslušné funkce podporují, pro vymazání takových Servisních údajů, s výhradou platných právních požadavků.
Pokud Zákazník ručně odstraní kontakt nebo jiné Údaje služby prostřednictvím Platformy KWIGA, příslušné údaje budou nejprve logicky odstraněny (soft deletion) a zůstanou obnovitelné po dobu až třiceti (30) dnů ode dne jejich odstranění. Po uplynutí této doby budou příslušné Osobní údaje trvale odstraněny z aktivních systémů Platformy KWIGA, s výhradou platných právních požadavků a uchovávání údajů, které je Zpracovatel ze zákona oprávněn nebo povinen uchovávat.
Po ukončení nebo vypršení předplatného Klienta mohou být Údaje služby uchovávány v souladu s dobami a podmínkami stanovenými v Oddílu 5.2.
Během prvních devadesáti (90) dnů může být Klientovi poskytnuta přiměřená možnost získat nebo exportovat Údaje služby s ohledem na funkcionalitu příslušných Služeb.
Po uplynutí této doby může být příslušný účet a/nebo škola deaktivován, skryt nebo znepřístupněn prostřednictvím běžného rozhraní Platformy KWIGA. Údaje služby mohou být uchovávány po další dobu až devadesáti (90) dnů v souladu s Oddílem 5.2.
Po uplynutí celkové doby sto osmdesáti (180) dnů od ukončení nebo vypršení předplatného budou příslušné Údaje služby odstraněny z aktivních systémů Platformy KWIGA v souladu s příslušnými postupy odstraňování, tímto DPA, zdokumentovanými pokyny Správce a Příslušnými právními předpisy o ochraně osobních údajů.
Pokud Servisní údaje po vymazání z aktivních systémů dočasně zůstávají v záložních systémech, systémech pro obnovu po havárii nebo podobných systémech, budou takové údaje i nadále podléhat vhodným bezpečnostním opatřením a nebudou obnoveny ani používány pro běžné Zpracování, s výjimkou případů, kdy je to nezbytné pro obnovu po havárii, bezpečnost, dodržování právních předpisů nebo jiné legitimní technické účely.
Takové kopie budou vymazány nebo přepsány v souladu s platnými postupy společnosti KWIGA pro uchovávání záloh.
Pokud Zákazník ručně odstraní Údaje služby a tyto údaje jsou následně trvale odstraněny z aktivních systémů, mohou kopie těchto údajů zůstat v zálohovacích systémech vytvořených před jejich trvalým odstraněním po další dobu až sedmi (7) dnů. Po uplynutí této doby budou tyto kopie odstraněny nebo přepsány v souladu s příslušnými postupy pro uchovávání záloh.
Tento oddíl se vztahuje na Servisní údaje Zpracovávané společností TUTERIA VCC jako zpracovatelem.
Nevyžaduje, aby společnost TUTERIA VCC vymazala Osobní údaje, které společnost TUTERIA VCC nezávisle a zákonně Zpracovává ve své funkci správce.
Takové údaje mohou být uchovávány, je-li to nezbytné pro účely popsané v dokumentu KWIGA Zásady ochrany soukromí a v souladu s Platnými právními předpisy o ochraně údajů.
Zákazník poskytuje společnosti KWIGA obecné pověření k využívání Dílčích zpracovatelů, pokud je to přiměřeně nezbytné pro poskytování, údržbu, podporu, provoz nebo zabezpečení Služeb KWIGA.
Před tím, než umožní Dílčímu zpracovateli Zpracovávat Servisní údaje, společnost KWIGA zajistí, aby se na Dílčího zpracovatele vztahovaly smluvní povinnosti v oblasti ochrany údajů, které poskytují odpovídající úroveň ochrany Servisních údajů a splňují požadavky platné pro dílčí zpracovatele podle Platných právních předpisů o ochraně údajů.
Společnost KWIGA zůstává odpovědná za plnění svých povinností v oblasti ochrany údajů svými Dílčími zpracovateli v rozsahu vyžadovaném Platnými právními předpisy o ochraně údajů.
Společnost KWIGA zpřístupní Zákazníkům informace týkající se příslušných Dílčích zpracovatelů prostřednictvím vhodného mechanismu.
Pokud to vyžadují Platné právní předpisy o ochraně údajů, společnost KWIGA poskytne přiměřené oznámení o zamýšlených podstatných změnách týkajících se přidání nebo nahrazení Dílčích zpracovatelů.
Zákazník může vznést přiměřené námitky týkající se konkrétně obav o ochranu údajů vyplývajících z navrhovaného Dílčího zpracovatele.
Smluvní strany budou v dobré víře spolupracovat na řešení jakékoli takové přiměřené námitky.
Pokud Zákazník samostatně povolí nebo připojí integraci třetí strany pomocí vlastního účtu, přihlašovacích údajů nebo klíčů API, společnost TUTERIA zpracovává a předává Servisní údaje této třetí straně na základě zdokumentovaných pokynů Zákazníka.
Zákazník odpovídá za určení, zda jeho používání takové služby třetí strany je v souladu s Platnými právními předpisy o ochraně údajů, včetně zajištění všech požadovaných smluvních ujednání a záruk pro mezinárodní předávání údajů s danou třetí stranou.
S ohledem na stav techniky, náklady na provedení a povahu, rozsah, kontext a účely Zpracování, jakož i rizika různé pravděpodobnosti a závažnosti pro práva a svobody fyzických osob, společnost KWIGA zavede a bude udržovat vhodná technická a organizační opatření navržená k zajištění úrovně zabezpečení odpovídající riziku.
V závislosti na povaze a rizicích příslušného Zpracování mohou taková opatření zahrnovat:
a. mechanismy kontroly přístupu a autorizace;
b. opatření navržená k zachování odpovídajícího oddělení a autorizace mezi prostředími a údaji Zákazníka;
c. opatření pro ověřování totožnosti a správu přístupu;
d. zaznamenávání a monitorování;
e. opatření určená k odhalování podezřelé činnosti, zneužití a neoprávněného přístupu;
f. řízení provozu a požadavků, včetně omezení četnosti, pokud je to vhodné;
g. řízení zranitelností;
h. bezpečnostní testování;
i. postupy pro detekci incidentů a reakci na ně;
j. opatření pro zálohování a obnovu;
k. kontroly týkající se přístupu dodavatelů, poskytovatelů služeb a dalších oprávněných osob;
l. postupy pro přezkum bezpečnostních událostí a incidentů; a
m. pravidelný přezkum a testování příslušných technických a organizačních bezpečnostních kontrol.
Další informace o kategoriích technických a organizačních opatření zavedených společností KWIGA jsou uvedeny v Příloze B.
KWIGA může čas od času aktualizovat svá technická a organizační opatření tak, aby zohledňovala:
technologický vývoj;
identifikovaná rizika;
změny Služeb;
výsledky bezpečnostních přezkumů;
bezpečnostní incidenty; a
změny platných právních předpisů.
Takové změny podstatně nesníží celkovou úroveň ochrany poskytované Údajům služby.
KWIGA oznámí Zákazníkovi bez zbytečného odkladu poté, co se dozví o Porušení zabezpečení osobních údajů, které má vliv na Údaje služby Zpracovávané společností KWIGA jménem Zákazníka.
V rozsahu, v jakém jsou příslušné informace společnosti KWIGA přiměřeně dostupné, bude oznámení obsahovat:
a. popis povahy Porušení zabezpečení osobních údajů;
b. kategorie dotčených Osobních údajů;
c. kategorie dotčených Subjektů údajů;
d. přibližný počet dotčených Subjektů údajů, je-li znám;
e. přibližný počet dotčených záznamů Osobních údajů, je-li znám;
f. pravděpodobné důsledky Porušení zabezpečení osobních údajů, pokud je lze přiměřeně určit;
g. opatření přijatá nebo navrhovaná k omezení, vyšetření a nápravě Porušení zabezpečení osobních údajů; a
h. kontaktní údaje nebo jiný vhodný kontaktní kanál, jehož prostřednictvím lze získat další informace.
Nejsou-li v době prvotního oznámení k dispozici všechny relevantní informace, může KWIGA zpočátku poskytnout dostupné informace a doplnit je postupně v průběhu vyšetřování.
KWIGA přijme vhodná opatření k:
vyšetření incidentu;
určení jeho povahy a rozsahu;
omezení incidentu;
zmírnění přiměřeně předvídatelných nepříznivých účinků;
uchovávat relevantní důkazy;
v případě potřeby napravit zjištěné zranitelnosti; a
přijmout přiměřená opatření určená ke snížení rizika opakování.
S přihlédnutím k povaze Zpracování a informacím dostupným společnosti KWIGA poskytne společnost KWIGA Zákazníkovi přiměřenou pomoc při plnění příslušných povinností týkajících se:
oznámení Dozorovému úřadu;
komunikace s dotčenými Subjekty údajů;
posouzení rizik pro práva a svobody fyzických osob; a
dokumentace Porušení zabezpečení osobních údajů.
Zákazník jako Správce zůstává odpovědný za určení, zda Porušení zabezpečení osobních údajů týkající se Údajů o službě vyžaduje:
oznámení Dozorovému úřadu;
komunikaci s dotčenými Subjekty údajů; nebo
jiné opatření vyžadované Platnými právními předpisy o ochraně údajů.
Tím nejsou dotčeny žádné nezávislé právní povinnosti společnosti TUTERIA VCC týkající se Osobních údajů, pro které společnost TUTERIA VCC vystupuje jako Správce.
Oznámení o Porušení zabezpečení osobních údajů nebo spolupráce v souvislosti s ním samo o sobě nepředstavuje uznání zavinění ani odpovědnosti kteroukoli ze stran.
Pokud jsou Údaje o službě Zpracovávány v rámci Evropského hospodářského prostoru („EHP“), nepředstavuje takové Zpracování předání do třetí země pro účely kapitoly V GDPR.
Pokud společnost KWIGA nebo oprávněný Dílčí zpracovatel předává Údaje o službě mimo EHP do jurisdikce, která nebyla uznána za poskytující odpovídající úroveň ochrany podle platných právních předpisů, společnost KWIGA zajistí, aby byl v případě potřeby zaveden vhodný mechanismus předávání.
Takové mechanismy mohou zahrnovat:
rozhodnutí o odpovídající ochraně přijaté Evropskou komisí;
standardní smluvní doložky schválené Evropskou komisí;
závazná podniková pravidla, je-li to relevantní; nebo
jiný zákonný mechanismus předávání uznaný podle Platných právních předpisů o ochraně údajů.
Pokud to vyžadují Platné právní předpisy o ochraně údajů, společnost KWIGA zavede doplňková opatření přiměřená příslušnému předání a souvisejícím rizikům.
Pokud to vyžadují Platné právní předpisy o ochraně údajů, společnost KWIGA na žádost Zákazníka poskytne přiměřené informace týkající se použitelných záruk pro mezinárodní předávání.
Společnost KWIGA zpřístupní Zákazníkovi informace přiměřeně nezbytné k prokázání souladu s povinnostmi společnosti KWIGA jako Zpracovatele podle Platných právních předpisů o ochraně údajů.
Na základě přiměřené písemné žádosti společnost KWIGA poskytne relevantní informace týkající se:
jejího Zpracování Údajů o službě;
příslušných technických a organizačních opatření;
relevantních Dílčích zpracovatelů; a
dalších záležitostí přiměřeně nezbytných pro to, aby Zákazník mohl posoudit soulad společnosti KWIGA s touto DPA.
Pokud informace zpřístupněné společností KWIGA nejsou přiměřeně dostačující k prokázání souladu a pokud je audit vyžadován Platnými právními předpisy o ochraně údajů, společnost KWIGA umožní a bude se podílet na přiměřených auditech nebo inspekcích týkajících se Zpracování Údajů o službě.
Není-li Dozorovým úřadem nebo Platnými právními předpisy o ochraně údajů vyžadováno jinak, Zákazník:
poskytne přiměřené písemné oznámení o auditu s předstihem;
omezí audit na záležitosti relevantní pro Zpracování podle této DPA;
provede audit v běžné pracovní době, je-li to přiměřeně možné;
zabrání zbytečnému narušení provozu společnosti KWIGA; a
zajistit, aby auditoři podléhali odpovídajícím povinnostem mlčenlivosti.
Audit neopravňuje Zákazníka ani jeho auditora k přístupu k:
Osobním údajům náležejícím jinému Zákazníkovi;
důvěrným informacím jiného Zákazníka;
informacím, které by ohrozily bezpečnost systémů KWIGA;
zdrojovému kódu nebo jinému chráněnému duševnímu vlastnictví, s výjimkou případů, kdy to výslovně vyžadují platné právní předpisy; nebo
informacím, které nesouvisejí s činnostmi Zákazníka v oblasti Zpracování.
Smluvní strany budou v dobré víře spolupracovat v souvislosti s přiměřenými žádostmi o audit od příslušných Dozorových úřadů.
S ohledem na povahu Zpracování a informace dostupné společnosti KWIGA poskytne KWIGA Zákazníkovi přiměřenou součinnost při posouzeních vlivu na ochranu osobních údajů, pokud je Zákazník povinen takové posouzení provést podle Platných právních předpisů o ochraně osobních údajů.
Pokud to vyžadují Platné právní předpisy o ochraně osobních údajů, poskytne KWIGA přiměřenou součinnost v souvislosti s předchozí konzultací s příslušným Dozorovým úřadem týkající se Zpracování prováděného prostřednictvím Služeb.
Každá smluvní strana ochrání Osobní údaje a důvěrné informace obdržené v souvislosti s touto DPA před neoprávněným zveřejněním.
KWIGA zajistí, aby smluvní dodavatelé, poskytovatelé služeb a další osoby oprávněné Zpracovávat Data služeb podléhali odpovídajícím povinnostem mlčenlivosti nebo platné zákonné povinnosti mlčenlivosti.
Zákazník zajistí, aby přihlašovací údaje, přístupová práva a administrativní funkce zpřístupněné prostřednictvím Platformy KWIGA používaly pouze náležitě oprávněné osoby.
Každá smluvní strana bude vést záznamy týkající se svých činností Zpracování v rozsahu vyžadovaném Platnými právními předpisy o ochraně osobních údajů.
Smluvní strany budou v přiměřeném rozsahu vzájemně spolupracovat, je-li to nezbytné pro reakci na zákonné žádosti Dozorových úřadů týkající se Zpracování upraveného touto DPA.
Nic v této DPA nevyžaduje, aby kterákoli smluvní strana zveřejnila informace, pokud je jejich zveřejnění zakázáno platnými právními předpisy.
Každá smluvní strana odpovídá za své vlastní dodržování Platných právních předpisů o ochraně osobních údajů a za povinnosti jí přidělené podle této DPA.
Odpovědnost mezi smluvními stranami vznikající podle této DPA nebo v souvislosti s ní podléhá omezením a vyloučením odpovědnosti obsaženým ve Smlouvě v rozsahu povoleném Platnými právními předpisy o ochraně osobních údajů.
Nic v této DPA nevylučuje ani neomezuje odpovědnost, pokud je takové vyloučení nebo omezení zakázáno platnými právními předpisy.
Tato DPA nabývá účinnosti, jakmile se Zákazník stane vázán Smlouvou a KWIGA začne Zpracovávat Data služeb jménem Zákazníka.
Tato DPA zůstává účinná po dobu, po kterou KWIGA Zpracovává Data služeb jménem Zákazníka.
Ukončení nebo uplynutí doby platnosti Smlouvy nemá vliv na ustanovení této DPA, která jsou ze své povahy určena k tomu, aby přetrvala i po ukončení, včetně ustanovení týkajících se důvěrnosti, výmazu nebo vrácení Dat služeb, odpovědnosti a platného práva.
Tato DPA tvoří součást Smlouvy mezi Zákazníkem a TUTERIA VCC upravující používání Služeb KWIGA.
V případě rozporu mezi touto DPA a jiným ustanovením Smlouvy týkajícím se Zpracování Dat služeb společností TUTERIA VCC jako Zpracovatelem má tato DPA přednost ve vztahu ke sporné záležitosti ochrany osobních údajů.
Zásady ochrany soukromí Zásady ochrany soukromí upravují činnosti Zpracování, pro které TUTERIA VCC vystupuje jako Správce.
Tato DPA upravuje Zpracování Dat služeb prováděné společností TUTERIA VCC jménem Zákazníka jako Zpracovatelem.
Tato DPA se řídí právem rozhodným pro Smlouvu mezi Zákazníkem a TUTERIA VCC, aniž jsou dotčena kogentní ustanovení Platných právních předpisů o ochraně osobních údajů.
Nic v této DPA neomezuje použití GDPR ani pravomoci a příslušnost příslušného Dozorového úřadu, pokud se takové právo nebo příslušnost uplatní.
KWIGA může tuto DPA aktualizovat, pokud je to přiměřeně nezbytné k:
dodržení změn Platných právních předpisů o ochraně osobních údajů;
zohledňovat změny Služeb KWIGA;
aktualizovat technická nebo organizační opatření;
aktualizovat ujednání o Zpracování; nebo
upřesnit práva a povinnosti stran.
Pokud změna podstatně ovlivní Zpracování Servisních údajů nebo práva a povinnosti Zákazníka v oblasti ochrany údajů, společnost KWIGA poskytne přiměřené oznámení, pokud to vyžadují platné právní předpisy nebo Smlouva.
Dotazy týkající se této DPA nebo Zpracování Servisních údajů společností KWIGA jménem Zákazníka lze zaslat na:
TUTERIA VCC
Ulice Vrabcha 17A, 1. patro, byt 3
1000 Sofie, Bulharsko
E-mail: support@kwiga.com
Tato příloha tvoří součást Smlouvy o zpracování osobních údajů.
Zpracování Servisních údajů společností KWIGA v rozsahu nezbytném pro poskytování, údržbu, podporu a zabezpečení Služeb KWIGA vybraných a nakonfigurovaných Zákazníkem.
Po dobu, po kterou Zákazník využívá příslušné Služby KWIGA. Po ukončení nebo uplynutí platnosti předplatného Zákazníka mohou být Servisní údaje specifické pro Zákazníka uchovávány až devadesát (90) dní od skončení období předplatného Zákazníka, aby bylo možné opětovné aktivování, vyzvednutí údajů a řádné ukončení Služeb.
Po uplynutí této doby budou Osobní údaje obsažené v Servisních údajích specifických pro Zákazníka, včetně souvisejících údajů o objednávkách, anonymizovány v souladu s oddílem 5 DPA a příslušnými postupy uchovávání společnosti KWIGA. Po uplynutí dalších devadesáti (90) dní od takové anonymizace budou odpovídající údaje trvale odstraněny z aktivních systémů Platformy KWIGA v souladu s příslušnými postupy uchovávání a mazání, ledaže je jejich další uchovávání vyžadováno platnými právními předpisy nebo jinak povoleno podle DPA. Pokud TUTERIA VCC Zpracovává Osobní údaje jménem Zákazníka jako Zpracovatel, tento proces uchovávání a mazání se uplatní v souladu se zdokumentovanými pokyny Zákazníka, příslušnou smlouvou o zpracování osobních údajů a Platnými právními předpisy o ochraně údajů.
Na Osobní údaje Zpracovávané společností TUTERIA VCC v postavení nezávislého Správce se vztahují doby uchovávání platné pro takové Zpracování.
V závislosti na Službách vybraných a nakonfigurovaných Zákazníkem může Zpracování zahrnovat:
shromažďování;
zaznamenávání;
organizaci;
strukturování;
ukládání;
hosting;
přizpůsobování;
vyhledávání;
nahlížení;
používání;
předávání;
zpřístupňování;
správu;
analýzu podle pokynů Zákazníka;
omezení;
export;
výmaz;
anonymizace; a
další Zpracování nezbytné k poskytování vybraných Služeb.
Zpracování Servisních údajů pro účely určené Zákazníkem, včetně, v závislosti na tom, jak Zákazník používá KWIGA:
správa studentů a zákazníků;
funkce CRM;
funkce LMS;
poskytování a správa kurzů a vzdělávacích programů;
správa přístupu k digitálním produktům;
testy, kvízy a úkoly;
sledování postupu v kurzu;
certifikáty;
komunikace se studenty a zákazníky;
funkce e-mailů a oznámení;
automatizace;
správa objednávek;
integrační funkce;
zákaznická podpora;
reportování a analytika vybrané Zákazníkem; a
další funkce povolené nebo nakonfigurované Zákazníkem.
V závislosti na tom, jak Zákazník využívá Služby, mohou Subjekty údajů zahrnovat:
studenty;
studující;
zákazníky;
potenciální zákazníky;
odběratele;
účastníky kurzů;
zaměstnance a dodavatele Zákazníka;
instruktory;
administrátory;
asistenty;
zástupce Zákazníka; a
další osoby, jejichž Osobní údaje jsou předávány na Platformu KWIGA nebo zpracovávány jejím prostřednictvím Zákazníkem nebo jeho jménem.
V závislosti na Službách využívaných Zákazníkem mohou Servisní údaje zahrnovat:
Identifikační a profilové informace
jméno;
prostřední jméno;
příjmení;
profilový obrázek;
identifikátory účtu nebo profilu.
Kontaktní údaje
e-mailová adresa;
telefonní číslo;
další kontaktní údaje poskytnuté Zákazníkem nebo Subjektem údajů.
Informace o vzdělávání a učení
kurzy a programy;
zápis;
informace o přístupu;
průběh kurzu;
dokončení lekce;
odpovědi v kvízech a testech;
výsledky testů;
skóre;
úkoly;
komentáře;
certifikáty;
úspěchy;
body a stavy.
Informace o CRM a správě zákazníků
štítky;
skupiny;
stav zákazníka;
poznámky;
historie zákazníka;
historie komunikace;
vlastní pole nakonfigurovaná Zákazníkem.
Informace související s objednávkami a transakcemi
identifikátory objednávek;
produkty;
částky;
měny;
slevy;
kupony;
stav platby;
data transakcí;
informace o vrácení peněz;
parametry splátek nebo předplatného;
další informace o objednávce zpracovávané jménem Zákazníka.
KWIGA nevyžaduje, aby Zákazníci zadávali bezpečnostní údaje platebních karet, jako jsou úplná čísla karet nebo kódy CVC, do běžných polí Servisních dat CRM nebo LMS.
Komunikace
zprávy;
e-maily;
komentáře;
informace související s podporou;
jiná komunikace zpracovávaná prostřednictvím funkcí vybraných Zákazníkem.
Technické informace
V rozsahu Zpracovávaném jménem Zákazníka:
IP adresa;
informace o přihlášení/aktivitě;
informace o zařízení nebo prohlížeči;
technické identifikátory;
časová razítka.
Služby KWIGA nevyžadují, aby Zákazník Zpracovával Zvláštní kategorie osobních údajů. Servisní data však mohou zahrnovat Zvláštní kategorie osobních údajů, pokud se Zákazník rozhodne tyto údaje shromažďovat nebo jinak Zpracovávat prostřednictvím dotazníků, formulářů, vlastních polí, nahraného obsahu, komunikace nebo jiných konfigurovatelných funkcí Služeb.
Zákazník určuje obsah a účely takového Zpracování a odpovídá za stanovení použitelného právního základu a případně použitelné podmínky podle článku 9 GDPR.
Ke Zpracování může docházet nepřetržitě nebo pravidelně po dobu, kdy Zákazník využívá příslušné Služby, v závislosti na vybraných funkcích a pokynech Zákazníka.
TUTERIA VCC zavádí technická a organizační opatření navržená tak, aby poskytovala úroveň zabezpečení odpovídající rizikům spojeným se Zpracováním Servisních dat.
Níže popsaná opatření představují kategorie bezpečnostních opatření a mohou být čas od času upravena nebo doplněna na základě povahy Zpracování, technologického vývoje, zjištěných rizik a změn Služeb KWIGA.
KWIGA zavádí opatření navržená k omezení přístupu k Osobním údajům a funkcím Platformy na oprávněné uživatele, oprávněné osoby a systémy.
Taková opatření mohou zahrnovat:
ověřování uživatelů;
správu rolí a oprávnění;
kontroly autorizace;
omezení přístupu na základě relevantního kontextu uživatele nebo Zákazníka;
správu a přezkum interních přístupových práv; a
opatření navržená k zabránění neoprávněnému přístupu mezi prostředími Zákazníků.
KWIGA zavádí technické kontroly navržené tak, aby zajistily, že přístup k datům Zákazníka bude náležitě omezen podle Zákazníka, účtu, školy, projektu nebo jiného použitelného kontextu autorizace.
Kontroly autorizace jsou přezkoumávány a testovány podle potřeby s ohledem na příslušné funkce.
KWIGA používá mechanismy protokolování a monitorování odpovídající provozu a zabezpečení Služeb.
Tato opatření mohou zahrnovat:
protokolování aplikací a systémů;
monitorování bezpečnostních událostí;
detekce podezřelé aktivity;
monitorování chyb;
monitorování provozu;
analýza neobvyklé nebo potenciálně zneužívající aktivity; a
vedení příslušných záznamů o bezpečnostních incidentech.
KWIGA zavádí opatření určená k detekci, omezení a reakci na zneužití, neoprávněný přístup a automatizované zneužívání funkcí Platformy.
V závislosti na příslušné službě nebo koncovém bodu mohou taková opatření zahrnovat:
kontroly požadavků;
kontroly četnosti;
omezení přístupu;
automatizované nebo manuální mechanismy blokování;
detekci podezřelé aktivity; a
dodatečné ověřovací nebo autorizační kontroly.
KWIGA udržuje procesy pro identifikaci, posuzování a nápravu bezpečnostních zranitelností.
Taková opatření mohou zahrnovat:
bezpečnostní kontroly;
testování autorizačních kontrol;
automatizované testování tam, kde je to vhodné;
nápravu zranitelností;
posouzení bezpečnostních zjištění;
regresní testování; a
ověření nápravných opatření.
KWIGA udržuje procesy určené k detekci, eskalaci, vyšetřování, omezení a nápravě bezpečnostních incidentů a porušení zabezpečení osobních údajů.
Takové procesy mohou zahrnovat:
eskalaci incidentů;
technické vyšetřování;
uchovávání a analýzu příslušných protokolů;
opatření k omezení;
nápravu;
posouzení rizik;
posouzení oznamování regulačním orgánům a Zákazníkům;
posouzení po incidentu; a
provedení nápravných opatření.
Osoby oprávněné k přístupu k Servisním údajům podléhají příslušným povinnostem mlčenlivosti.
Přístup k osobním údajům je poskytován na základě provozních požadavků a v přiměřeně možné míře je omezen.
KWIGA udržuje procesy zálohování a obnovy odpovídající příslušným Službám a infrastruktuře.
Zálohovaná data podléhají odpovídajícím kontrolám přístupu a zabezpečení.
Smazané Osobní údaje mohou dočasně zůstat v zálohovacích systémech, dokud nebudou vymazány nebo přepsány v souladu s příslušnými postupy uchovávání záloh.
KWIGA zavádí opatření navržená k podpoře dostupnosti a odolnosti Služeb odpovídající povaze a riziku příslušného Zpracování.
Technická a organizační opatření mohou být přezkoumávána a aktualizována na základě:
změn Platformy;
identifikovaných bezpečnostních rizik;
zjištěných zranitelností;
incidentů;
změn příslušných právních požadavků; a
technologického vývoje.
Aktualizace nesmějí podstatně snížit celkovou úroveň ochrany poskytovanou Datům služeb.