Smlouva o zpracování osobních údajů (DPA)
podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR)
Smluvní strany
Správce: Zákazník služby JOBSON, tj. právnická osoba nebo podnikající fyzická osoba, která se ke službě JOBSON zaregistrovala a vyjádřila souhlas s touto smlouvou (dále jen „Správce“),
a
Zpracovatel: BePositive Group s.r.o., IČO 05232317, DIČ CZ05232317, se sídlem Jičínská 1786/49, Žižkov, 130 00 Praha 3, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 260372, jednající jednatelem Jakubem Dvořákem (dále jen „Zpracovatel“),
(společně „Strany“) uzavírají tuto smlouvu o zpracování osobních údajů (dále jen „DPA“).
Preambule
(A) Strany uzavřely smlouvu o poskytování služby JOBSON, jejíž součástí jsou Všeobecné obchodní podmínky služby JOBSON (dále jen „VOP“ a společně se všemi součástmi „Hlavní smlouva“).
(B) Při poskytování služby JOBSON (dále jen „Služba“) zpracovává Zpracovatel pro Správce osobní údaje, které do Služby vkládá Správce nebo jeho uživatelé, případně které do Služby na pokyn Správce vkládají subjekty údajů samy (např. uchazeči přes náborový formulář či dotazník).
(C) Tato DPA se uzavírá elektronicky společně s Hlavní smlouvou, a to aktivním souhlasem při registraci ke Službě. Strany ji považují za smlouvu v písemné formě ve smyslu čl. 28 odst. 9 GDPR (elektronická forma). Zpracovatel uchovává doklad o souhlasu.
1. Definice
1.1 Pojmy „osobní údaje“, „zpracování“, „správce“, „zpracovatel“, „subjekt údajů“, „porušení zabezpečení osobních údajů“, „zvláštní kategorie osobních údajů“ a další mají význam podle čl. 4 GDPR.
1.2 „Osobní údaje Správce“ jsou osobní údaje zpracovávané Zpracovatelem pro Správce v rámci Služby, jak jsou popsány v Příloze č. 1.
1.3 „Sub-zpracovatel“ je další zpracovatel, kterého Zpracovatel zapojí do zpracování Osobních údajů Správce (čl. 28 odst. 2 a 4 GDPR).
1.4 „Předpisy o ochraně osobních údajů“ jsou GDPR, zákon č. 110/2019 Sb., o zpracování osobních údajů, a další použitelné předpisy EU a členských států, v nichž Správce působí.
1.5 Ostatní pojmy s velkým počátečním písmenem mají význam podle VOP.
2. Předmět, povaha a účel zpracování
2.1 Zpracovatel se zavazuje zpracovávat Osobní údaje Správce pouze za účelem poskytování Služby podle Hlavní smlouvy a v souladu s touto DPA a doloženými pokyny Správce.
2.2 Předmět, doba trvání, povaha a účel zpracování, typ osobních údajů a kategorie subjektů údajů jsou uvedeny v Příloze č. 1.
2.3 Správce odpovídá za určení účelů a prostředků zpracování Osobních údajů Správce. Zpracovatel neurčuje účely zpracování Osobních údajů Správce.
3. Doba trvání
3.1 DPA se uzavírá na dobu trvání Hlavní smlouvy a dále po dobu, po kterou Zpracovatel Osobní údaje Správce zpracovává (zejména v přechodném období podle čl. 24 VOP a do jejich výmazu podle čl. 13 této DPA).
4. Pokyny Správce
4.1 Zpracovatel zpracovává Osobní údaje Správce výhradně na základě doložených pokynů Správce (čl. 28 odst. 3 písm. a) GDPR), včetně pokynů ohledně předání do třetích zemí, ledaže mu zpracování ukládá právo EU nebo členského státu; v takovém případě Zpracovatel Správce o tomto požadavku informuje před zpracováním, ledaže to právní předpis zakazuje z důležitých důvodů veřejného zájmu.
4.2 Doloženými pokyny Správce jsou: a) Hlavní smlouva a tato DPA; b) nastavení a úkony provedené Správcem a jeho uživateli ve Službě (např. vložení, import, úprava, export, výmaz a anonymizace dat, nastavení retenčních lhůt, spuštění AI funkcí, odeslání zpráv, podání hlášení, připojení integrací, vydání API klíčů a MCP tokenů); c) další pokyny, které Správce udělí písemně (e-mailem z adresy správce účtu), jsou-li v souladu s Hlavní smlouvou a technicky proveditelné; pokyny přesahující rozsah Služby může Zpracovatel podmínit úhradou přiměřených nákladů.
4.3 Zpracovatel neprodleně informuje Správce, pokud má za to, že určitý pokyn porušuje Předpisy o ochraně osobních údajů (čl. 28 odst. 3 věta poslední GDPR). Zpracovatel je oprávněn provedení takového pokynu odložit do jeho potvrzení nebo změny Správcem.
4.4 Zpracovatel nepoužije Osobní údaje Správce pro vlastní účely, zejména k marketingu, profilování nebo k tréninku modelů umělé inteligence. Za zpracování pro účely Služby se považuje též: (i) měření a účtování spotřeby (počty operací, AI kreditů, aktivních uživatelů), (ii) zajištění bezpečnosti, provozu a odstraňování chyb, (iii) tvorba agregovaných anonymních statistik podle čl. 19.3 VOP.
5. Povinnosti Správce
5.1 Správce odpovídá za to, že: a) má pro zpracování Osobních údajů Správce platný právní základ podle čl. 6 GDPR a u zvláštních kategorií osobních údajů výjimku podle čl. 9 odst. 2 GDPR (zejména písm. b) – plnění povinností v oblasti pracovního práva a sociálního zabezpečení), u údajů o rozsudcích v trestních věcech podmínky čl. 10 GDPR a u rodných čísel podmínky zvláštních předpisů; b) splnil vůči subjektům údajů informační povinnost (čl. 13 a 14 GDPR), včetně informace o zapojení zpracovatele, o využití AI funkcí (zejména AI recruiter, AI vytěžování a doporučení) a o předávání mimo EHP, pokud k němu dochází; c) posoudil nutnost posouzení vlivu na ochranu osobních údajů (DPIA) podle čl. 35 GDPR – s ohledem na rozsah zpracování údajů zaměstnanců a uchazečů, zranitelnost subjektů, zvláštní kategorie údajů a využití AI bývá DPIA zpravidla nutná; d) vkládá do Služby pouze osobní údaje přiměřené a nezbytné pro daný účel a nastavuje odpovídající retenční lhůty a oprávnění uživatelů; e) plní povinnosti zavádějícího subjektu podle nařízení (EU) 2024/1689 (AI Act) v rozsahu, v jakém se na užití AI funkcí vztahují (viz čl. 14 VOP); f) pokud do Služby vkládá osobní údaje, u nichž je sám zpracovatelem (např. údaje svých klientů), zajistí, že je k tomu oprávněn svým správcem; Zpracovatel je v takovém případě dalším zpracovatelem.
5.2 Správce odpovídá za rozhodnutí o předání dat mimo Službu, která provede sám nebo na jeho pokyn Služba (export, API, MCP připojení k AI nástroji zvolenému Správcem, odeslání e-mailu, SMS nebo zprávy přes komunikační kanál, hlášení úřadům). Příjemci takových dat nejsou Sub-zpracovateli Zpracovatele (viz čl. 15.3 VOP).
6. Mlčenlivost a oprávněné osoby
6.1 Zpracovatel zajistí, aby osoby oprávněné zpracovávat Osobní údaje Správce (zaměstnanci, spolupracovníci) byly zavázány k mlčenlivosti smluvně nebo ze zákona, a to i po skončení jejich vztahu ke Zpracovateli (čl. 28 odst. 3 písm. b) GDPR).
6.2 Přístup osob Zpracovatele k Osobním údajům Správce je omezen na nezbytné minimum a je možný jen: a) pro poskytnutí podpory na žádost nebo se souhlasem Správce, b) k odstranění incidentu nebo závažné vady, c) k plnění právní povinnosti.
7. Zabezpečení zpracování
7.1 Zpracovatel přijal a udržuje technická a organizační opatření podle čl. 32 GDPR, která jsou popsána v Příloze č. 2, s ohledem na stav techniky, náklady, povahu, rozsah, kontext a účely zpracování a na rizika pro práva a svobody subjektů údajů.
7.2 Zpracovatel opatření průběžně vyhodnocuje a zlepšuje; je oprávněn je měnit, pokud tím nesníží celkovou úroveň zabezpečení.
7.3 Správce odpovídá za zabezpečení na své straně, zejména za správu uživatelských účtů a oprávnění, bezpečnost hesel, API klíčů a MCP tokenů a svých zařízení (včetně zařízení používaných k podpisu dokumentů).
8. Sub-zpracovatelé
8.1 Správce uděluje Zpracovateli obecné písemné povolení zapojit Sub-zpracovatele (čl. 28 odst. 2 GDPR). Aktuální seznam Sub-zpracovatelů je zveřejněn na https://jobson.cloud/zpracovatelska-smlouva#subdodavatele; jeho znění ke dni účinnosti DPA tvoří Přílohu č. 3.
8.2 Zpracovatel informuje Správce o zamýšlené změně (přidání nebo nahrazení) Sub-zpracovatele nejméně 30 dnů předem e-mailem na adresu správce účtu nebo oznámením v Aplikaci. Správce může proti změně vznést námitku z oprávněných důvodů týkajících se ochrany osobních údajů do 30 dnů od oznámení. Strany se pokusí nalézt řešení; nedojde-li k němu, je Správce oprávněn Hlavní smlouvu vypovědět s účinností ke dni účinnosti změny a Zpracovatel mu vrátí poměrnou část předplacené ceny.
8.3 V naléhavých případech (např. náhlé ukončení činnosti Sub-zpracovatele nebo bezpečnostní důvody) může Zpracovatel Sub-zpracovatele nahradit s kratším oznámením; Správci zůstává právo námitky podle čl. 8.2.
8.4 Zpracovatel uloží každému Sub-zpracovateli smluvně v podstatě stejné povinnosti na ochranu osobních údajů, jaké jsou stanoveny v této DPA, zejména povinnost poskytnout dostatečné záruky zavedení vhodných technických a organizačních opatření (čl. 28 odst. 4 GDPR). Za plnění povinností Sub-zpracovatele odpovídá Zpracovatel Správci, jako by je plnil sám.
8.5 Na žádost Správce Zpracovatel poskytne informace o smluvních zárukách se Sub-zpracovatelem v rozsahu, v jakém to nevylučuje obchodní tajemství nebo smluvní podmínky Sub-zpracovatele (u velkých poskytovatelů zpravidla odkazem na jejich veřejné smluvní podmínky zpracování).
9. Předávání do třetích zemí
9.1 Zpracovatel zpracovává Osobní údaje Správce primárně v Evropském hospodářském prostoru (EHP) – databáze, soubory a zálohy Služby jsou uloženy u poskytovatele hostingu v EU a AI zpracování probíhá v regionu Google Cloud europe-west3 (Frankfurt nad Mohanem).
9.2 K předání Osobních údajů Správce do třetí země (mimo EHP) nebo mezinárodní organizaci může dojít jen: a) do země, o níž Evropská komise rozhodla, že zajišťuje odpovídající úroveň ochrany (čl. 45 GDPR), včetně předání příjemcům certifikovaným v rámci EU–U.S. Data Privacy Framework; nebo b) na základě standardních smluvních doložek přijatých prováděcím rozhodnutím Komise (EU) 2021/914; nebo c) na základě jiné vhodné záruky podle čl. 46 GDPR.
9.3 Seznam Sub-zpracovatelů uvádí u každého z nich místo zpracování a mechanismus předání.
9.4 Správce bere na vědomí, že předávání způsobená jeho vlastními rozhodnutími podle čl. 5.2 (např. připojení AI nástroje přes MCP, komunikační kanály, odeslání SMS do zahraničí) posuzuje a zajišťuje Správce sám.
10. Součinnost při výkonu práv subjektů údajů
10.1 Zpracovatel s ohledem na povahu zpracování napomáhá Správci vhodnými technickými a organizačními opatřeními plnit povinnost reagovat na žádosti o výkon práv subjektů údajů (čl. 12–23 GDPR) (čl. 28 odst. 3 písm. e) GDPR). Služba k tomu poskytuje zejména: zobrazení a export údajů o osobě, opravu, výmaz, anonymizaci, archivaci, evidenci souhlasů s účelem a expirací a historii změn záznamu.
10.2 Obdrží-li Zpracovatel žádost subjektu údajů, která se týká Osobních údajů Správce, postoupí ji bez zbytečného odkladu Správci (je-li Správce z žádosti identifikovatelný) a sám na ni věcně nereaguje, s výjimkou sdělení, že žádost postoupil.
10.3 Součinnost nad rámec funkcí Služby poskytne Zpracovatel na žádost Správce za úhradu přiměřených nákladů, nejde-li o součinnost vyvolanou porušením povinností Zpracovatele.
11. Součinnost při plnění dalších povinností Správce
11.1 Zpracovatel s ohledem na povahu zpracování a informace, které má k dispozici, napomáhá Správci při plnění povinností podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, DPIA, předchozí konzultace) (čl. 28 odst. 3 písm. f) GDPR), zejména poskytnutím popisu Služby, technických a organizačních opatření, Seznamu Sub-zpracovatelů a informací o fungování AI funkcí.
11.2 Zpracovatel poskytne Správci na vyžádání podklady pro jeho záznamy o činnostech zpracování. Zpracovatel vede vlastní záznamy o kategoriích činností zpracování prováděných pro správce (čl. 30 odst. 2 GDPR).
12. Porušení zabezpečení osobních údajů
12.1 Zpracovatel ohlásí Správci porušení zabezpečení Osobních údajů Správce bez zbytečného odkladu poté, co se o něm dozví, nejpozději do 48 hodin, a to e-mailem na adresu správce účtu (případně na kontakt pro ochranu osobních údajů, který mu Správce sdělí) a podle možnosti též oznámením v Aplikaci.
12.2 Ohlášení obsahuje v rozsahu, v jakém jsou informace k dispozici: popis povahy porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky, přijatá nebo navržená opatření k nápravě a zmírnění dopadů a kontaktní osobu Zpracovatele. Nejsou-li všechny informace k dispozici najednou, poskytne je Zpracovatel postupně bez dalšího zbytečného odkladu (čl. 33 odst. 3 a 4 GDPR).
12.3 Zpracovatel bez zbytečného odkladu přijme přiměřená opatření k omezení následků porušení, dokumentuje je a poskytne Správci součinnost při ohlášení dozorovému úřadu a případném oznámení subjektům údajů. Ohlášení dozorovému úřadu a oznámení subjektům údajů činí Správce; Zpracovatel je nečiní jeho jménem bez jeho pokynu, ledaže mu to ukládá právní předpis.
12.4 Ohlášení porušení Zpracovatelem nepředstavuje uznání odpovědnosti.
13. Ukončení zpracování, vrácení a výmaz údajů
13.1 Po ukončení poskytování Služby Zpracovatel podle rozhodnutí Správce Osobní údaje Správce vrátí (zpřístupněním exportu) nebo vymaže a vymaže existující kopie, pokud právo EU nebo členského státu nevyžaduje jejich uložení (čl. 28 odst. 3 písm. g) GDPR).
13.2 Postup: a) Správce má po ukončení Hlavní smlouvy 30 dnů (s možností prodloužení podle čl. 24.2 VOP) na export Osobních údajů Správce; b) nepožádá-li Správce jinak, Zpracovatel po uplynutí přechodného období Osobní údaje Správce vymaže z produkčních systémů do 30 dnů a ze záloh v rámci jejich běžné rotace; do doby přepsání jsou zálohy chráněny opatřeními podle Přílohy č. 2 a nejsou aktivně zpracovávány; c) na žádost Správce Zpracovatel výmaz písemně potvrdí.
13.3 Za vrácení se považuje zpřístupnění exportu ve strojově čitelném formátu; data, pro která Aplikace export nenabízí, vydá Zpracovatel na žádost Správce postupem podle čl. 24.1 VOP.
13.4 Výmaz na pokyn Správce během trvání Hlavní smlouvy (např. výmaz nebo anonymizace osoby v Aplikaci) se v produkčních systémech projeví bez zbytečného odkladu, v zálohách v rámci jejich rotace.
14. Audity a kontroly
14.1 Zpracovatel poskytne Správci veškeré informace potřebné k doložení splnění povinností podle čl. 28 GDPR a této DPA (čl. 28 odst. 3 písm. h) GDPR), zejména v podobě tohoto dokumentu, popisu technických a organizačních opatření, Seznamu Sub-zpracovatelů a odpovědí na přiměřený bezpečnostní dotazník.
14.2 Nepostačí-li informace podle čl. 14.1, umožní Zpracovatel Správci nebo nezávislému auditorovi pověřenému Správcem, který je vázán mlčenlivostí a není konkurentem Zpracovatele, provést audit, a to za těchto podmínek: a) oznámení alespoň 30 dnů předem s uvedením rozsahu (neplatí při důvodném podezření na závažné porušení nebo na pokyn dozorového úřadu); b) nejvýše jednou za 12 měsíců, nejde-li o audit po porušení zabezpečení nebo na žádost dozorového úřadu; c) v pracovní době, bez narušení provozu Služby a bez přístupu k datům jiných zákazníků a k obchodnímu tajemství Zpracovatele; d) náklady auditu nese Správce, včetně přiměřených nákladů Zpracovatele, ledaže audit prokáže podstatné porušení povinností Zpracovatele; e) audit u Sub-zpracovatelů se provádí prostřednictvím jejich certifikací a auditních zpráv, nikoli kontrolou na místě.
14.3 Zpracovatel poskytne součinnost dozorovému úřadu.
15. Odpovědnost
15.1 Odpovědnost Stran vůči subjektům údajů se řídí čl. 82 GDPR.
15.2 Vzájemná odpovědnost Stran za škodu z porušení této DPA se řídí čl. 21 VOP, včetně jeho omezení, s výjimkou škody způsobené úmyslně nebo z hrubé nedbalosti.
15.3 Zpracovatel neodpovídá za porušení Předpisů o ochraně osobních údajů, které spočívá v obsahu pokynů Správce, v nastavení Služby Správcem nebo v rozhodnutích podle čl. 5.2.
16. Kontaktní osoby
16.1 Kontaktem Zpracovatele pro věci ochrany osobních údajů a bezpečnostní incidenty je info@jobson.cloud (předmět „GDPR“). Zpracovatel nejmenoval pověřence pro ochranu osobních údajů.
16.2 Kontaktem Správce je správce účtu, případně jiný kontakt pro ochranu osobních údajů, který Správce Zpracovateli sdělí.
17. Závěrečná ustanovení
17.1 Tato DPA se řídí právem České republiky; spory se řeší podle čl. 25 VOP.
17.2 V případě rozporu mezi touto DPA a ostatními částmi Hlavní smlouvy má ve věcech ochrany osobních údajů přednost tato DPA. Jsou-li součástí této DPA standardní smluvní doložky, mají přednost před ostatními ujednáními.
17.3 Zpracovatel je oprávněn DPA měnit postupem podle čl. 27 VOP; změny vyvolané změnou právních předpisů nebo pokyny dozorových úřadů mohou nabýt účinnosti v kratší lhůtě.
17.4 Nedílnou součástí DPA jsou:
- Příloha č. 1 – Popis zpracování
- Příloha č. 2 – Technická a organizační opatření
- Příloha č. 3 – Seznam Sub-zpracovatelů
Příloha č. 1 – Popis zpracování
1. Předmět a povaha zpracování
Provoz cloudové služby JOBSON (SaaS) pro Správce: ukládání, organizace, strukturování, vyhledávání, nahlížení, úprava, kombinování, vytěžování dokumentů, generování dokumentů, výpočty, odesílání zpráv na pokyn Správce, export, archivace, anonymizace a výmaz osobních údajů; zálohování; technická podpora; zpracování v AI funkcích (vytěžování a návrhy).
2. Účel zpracování
Umožnit Správci vést agendu agentury práce, zejména: nábor a výběr uchazečů, evidenci osob (kartotéka), pracovněprávní vztahy a dočasná přidělení k uživatelům, evidenci docházky a podklady pro mzdy, zálohy a pokladny, ubytování, dokumenty a jejich podpis, kontrolní seznamy a hlídání lhůt, komunikaci s uchazeči a zaměstnanci, hlášení úřadům a reporting – vše v rozsahu, v jakém Správce Službu užívá.
3. Kategorie subjektů údajů
a) uchazeči o zaměstnání a kandidáti v náborové databázi; b) zaměstnanci Správce, zejména dočasně přidělení zaměstnanci, osoby pracující na základě dohod o pracích konaných mimo pracovní poměr, bývalí zaměstnanci; c) rodinní příslušníci a další osoby uvedené zaměstnanci (např. vyživované děti pro daňové slevy, kontaktní osoba pro případ nouze); d) kontaktní osoby zákazníků (uživatelů) Správce a jejich provozoven, obchodních partnerů a ubytovatelů; e) uživatelé Služby na straně Správce – v rozsahu údajů v auditní stopě a přidělování úkolů; f) osoby doporučující uchazeče.
4. Kategorie osobních údajů
V rozsahu, v jakém je Správce do Služby vloží:
a) identifikační údaje: jméno, příjmení, rodné příjmení, datum a místo narození, rodné číslo, pohlaví, státní občanství, případně fotografie; b) kontaktní údaje: adresa bydliště a pobytu, doručovací adresa, telefon, e-mail (včetně soukromé e-mailové adresy pro účely § 21 zákoníku práce), identifikátory v komunikačních kanálech; c) údaje z dokladů: druh, číslo a platnost dokladu totožnosti a cestovního dokladu, pobytová a pracovní oprávnění cizinců, případně kopie dokladů; d) pracovněprávní údaje: druh pracovněprávního vztahu, pozice, pracoviště, uživatel, tarifní stupeň, mzda a sazby, pracovní doba, dovolená, překážky v práci, dodatky, skončení vztahu a jeho důvody, kvalifikace, školení a BOZP, pracovní hodnocení; e) docházka: odpracované hodiny, směny, příplatky, absence včetně typu (např. dovolená, pracovní neschopnost, ošetřování člena rodiny); f) finanční a daňové údaje: číslo bankovního účtu, zálohy na mzdu, srážky, hrubá mzda, prohlášení poplatníka a údaje pro daňové slevy, daňové identifikátory, údaje o zdravotní pojišťovně a zahraničním pojištění; g) náborové údaje: životopis, vzdělání, praxe, jazykové znalosti, řidičská oprávnění, preference, odpovědi na dotazníky, záznamy z pohovorů, výsledky AI pohovoru a check-inu, stav ve výběrovém řízení, zdroj přihlášky, souhlasy a jejich platnost; h) ubytování: ubytovna, pokoj, doba ubytování, platby, údaje hlášené úřadům; i) dokumenty a podpisy: obsah smluv a dalších dokumentů, obrázek podpisu, čas podpisu; j) komunikace: obsah e-mailů, SMS a zpráv zaslaných nebo přijatých přes Službu, konverzace s AI asistentem a s AI recruiterem; k) technické a provozní údaje: auditní stopa (kdo, kdy, co změnil), IP adresy a identifikátory zařízení uživatelů, logy; l) zvláštní kategorie osobních údajů (čl. 9 GDPR): zejména údaje o zdravotním stavu (pracovní neschopnost, zdravotní omezení, zdravotní způsobilost), případně další, pokud je Správce vloží; m) údaje o rozsudcích v trestních věcech (čl. 10 GDPR) – pouze pokud je Správce vloží; n) další údaje, které Správce vloží do vlastních polí.
5. Doba zpracování
Po dobu trvání Hlavní smlouvy a přechodného období podle čl. 13; jednotlivé údaje po dobu, kterou určí Správce (retenční lhůty, výmaz, anonymizace). Konverzace s AI asistentem se uchovávají 90 dnů.
6. Místo zpracování
EHP, s výjimkami uvedenými v Příloze č. 3.
Příloha č. 2 – Technická a organizační opatření
Zpracovatel přijal zejména tato opatření. Opatření průběžně vyhodnocuje a rozvíjí (čl. 7.2).
A. Důvěrnost
- Oddělení dat zákazníků: data jednotlivých zákazníků jsou od sebe oddělena přímo na úrovni databáze.
- Řízení přístupu uživatelů: role a oprávnění s rozsahem (agentura, pobočka, zákazník, provozovna), zřizování a deaktivace uživatelů správcem Správce; hesla se ukládají pouze v hashované podobě.
- API a MCP: přístup pouze pomocí klíčů a tokenů vázaných na zákazníka a uživatele, s omezeným rozsahem oprávnění a omezenou platností; tokeny lze kdykoli zneplatnit.
- Přístup personálu Zpracovatele: přístup k produkčním systémům mají jen pověřené osoby vázané mlčenlivostí; do dat Správce přistupují jen z důvodů podle čl. 6.2 DPA.
- Šifrování při přenosu: veškerá komunikace s Aplikací a API probíhá šifrovaně (HTTPS/TLS).
- AI zpracování: požadavky na AI modely směřují přes vlastní bránu Zpracovatele výhradně do regionu EU; modelu se předávají jen data potřebná pro danou AI operaci.
- Oddělení prostředí: vývojová a testovací prostředí pracují se smyšlenými daty, nikoli s Osobními údaji Správce.
B. Integrita
- Auditní stopa: změny záznamů jsou zaznamenávány v historii změn s identifikací aktéra (uživatel, AI, integrace) a času; historie je dostupná v Aplikaci.
- Potvrzení AI zápisů: AI nezapisuje do dat bez potvrzení uživatelem.
- Bezpečnost aplikace: ochrana běžnými bezpečnostními mechanismy aplikačního frameworku, validace vstupů a průběžné odstraňování zjištěných zranitelností.
C. Dostupnost a odolnost
- Zálohování: databáze Služby se pravidelně zálohuje.
- Infrastruktura: servery u poskytovatele hostingu v EU; síťový firewall, ochrana serveru proti opakovaným pokusům o neoprávněný přístup, pravidelné bezpečnostní aktualizace.
- Monitoring: sledování dostupnosti a chyb Služby (sledování chyb zajišťuje Sub-zpracovatel uvedený v Příloze č. 3).
D. Pravidelné testování a hodnocení
- Automatizované testy a kontroly kódu při vývoji.
- Interní bezpečnostní kontroly Služby a pravidelné vyhodnocování opatření.
E. Organizační opatření
- Mlčenlivost všech osob s přístupem k datům.
- Postup pro řešení bezpečnostních incidentů včetně ohlášení Správci podle čl. 12 DPA.
- Výběr Sub-zpracovatelů s ohledem na záruky ochrany dat a smlouvy podle čl. 28 odst. 4 GDPR.
- Přidělování a odebírání přístupů personálu podle potřeby.
F. Ochrana osobních údajů již od návrhu
- Nástroje pro Správce: retenční lhůty, souhlasy s účelem a expirací, anonymizace, export údajů o osobě, výmaz.
- AI funkce, které si uživatel nevyžádal, se nespouštějí; AI recruiter se představuje jako systém umělé inteligence.
- Konverzace s AI asistentem se uchovávají 90 dnů.
Příloha č. 3 – Seznam Sub-zpracovatelů
Znění ke dni účinnosti DPA. Aktuální seznam je zveřejněn na https://jobson.cloud/zpracovatelska-smlouva#subdodavatele; Zpracovatel jej aktualizuje postupem podle čl. 8.
| Sub-zpracovatel | Sídlo | Činnost | Místo zpracování | Záruka při předání |
|---|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Německo | hosting aplikace a databáze, úložiště souborů a záloh | EU | EHP – předání nenastává |
| Google Cloud EMEA Limited (Google Cloud Vertex AI) | Dublin, Irsko | AI zpracování (model Gemini) – vytěžování dokumentů, AI asistent, AI recruiter, návrhy textů, překlady, přepis záznamů | EU – region europe-west3 (Frankfurt) | EHP; pro případný přístup ze skupiny Google mimo EHP standardní smluvní doložky, případně EU–U.S. Data Privacy Framework |
| ActiveCampaign, LLC (služba Postmark) | USA | odesílání e-mailů z Aplikace | USA | standardní smluvní doložky, případně EU–U.S. Data Privacy Framework |
| Functional Software, Inc. (služba Sentry) | USA | sledování chyb aplikace (technické záznamy o chybách, které mohou nahodile obsahovat identifikátory uživatelů nebo IP adresy) | USA | EU–U.S. Data Privacy Framework a standardní smluvní doložky |
Příjemci dat na základě rozhodnutí Správce (např. komunikační kanály, kalendář Správce, AI nástroje připojené přes MCP/API, veřejné rejstříky, úřady, banky, partnerské služby) nejsou Sub-zpracovateli Zpracovatele.