Klient je správcem osobních údajů zaměstnanců a dalších stran, které do služby zadá. Poskytovatel je zpracovatelem těchto údajů podle čl. 28 GDPR, a to na základě pokynů klienta obsažených v těchto podmínkách a v objednávce. Tento článek tvoří smlouvu o zpracování osobních údajů.
Předmět zpracování: údaje nezbytné k doručení dotazníků a vypracování výstupu, zejména e-mailové adresy stran zadané klientem, pracovní pozice, popis situace, odpovědi v dotazníku včetně popisu prožívání a návrhů. Poskytovatel zpracovává také provozní a bezpečnostní údaje o používání služby v rozsahu nezbytném pro plnění smlouvy.
Účel zpracování: poskytnutí Služby, vypracování a doručení výstupu, komunikace s klientem a stranami, plnění zákonných povinností, řešení reklamací a vedení auditního záznamu o výsledku Fáze 1.
Doba zpracování: osobní údaje související s případem se uchovávají 3 měsíce od doručení výstupu, poté se bezpečně smažou nebo anonymizují. Výsledek Fáze 1 (klasifikace NE/ANO/BORDERLINE a stručné zdůvodnění) se ukládá do interního pseudonymizovaného auditního logu po stejnou dobu. Fakturační údaje se uchovávají po dobu stanovenou daňovými a účetními předpisy.
Zvláštní kategorie údajů (čl. 9 GDPR). Dotazník není určen ke shromažďování údajů o zdravotním stavu, etnickém původu, náboženství, sexuální orientaci, členství v odborech ani jiných údajů zvláštní kategorie. Strana může takové informace uvést dobrovolně ve volném textu. Pokud je uvede, je právním titulem jejich zpracování výslovný souhlas podle čl. 9 odst. 2 písm. a) GDPR, který strana uděluje odesláním formuláře po seznámení se s informačním textem. Souhlas lze kdykoli odvolat e-mailem na info@resly.cz; odvolání nemá vliv na zákonnost zpracování před odvoláním. Klient jako správce je povinen zvolit takový postup vůči zaměstnancům, aby účast byla skutečně dobrovolná. Poskytovatel doporučuje klientovi, aby se na souhlas zaměstnance v pracovním vztahu nespoléhal jako na jediný titul tam, kde to není nutné, a aby citlivé otázky do zadání případu nezařazoval.
Povaha a kategorie subjektů: zaměstnanci a další fyzické osoby označené klientem jako strany případu, a kontaktní osoby klienta.
Přístup k údajům. K surovým odpovědím z dotazníků má přístup pouze poskytovatel, případně jím pověřená osoba vázaná mlčenlivostí. Klient obdrží anonymizovaný výstup. E-mailové adresy stran klient zadává sám. Údaje se nepředávají jiným třetím stranám, s výjimkou podzpracovatelů uvedených v odst. 8 a případů, kdy to vyžaduje zákon.
Podzpracovatelé. Poskytovatel je oprávněn zapojit podzpracovatele nezbytné k provozu služby (zejména hosting, e-mailové odesílání, platební brána), kteří poskytují dostatečné záruky podle čl. 28 GDPR a zpracovávají údaje v EU / EHP, nebo s odpovídající zárukou předání. Aktuální seznam hlavních podzpracovatelů poskytovatel zveřejní na webu nebo zašle na žádost klienta. Poskytovatel klienta informuje o zamýšlené změně podzpracovatele; klient může důvodně vznést námitku.
Zabezpečení. Poskytovatel přijme vhodná technická a organizační opatření s ohledem na povahu údajů, zejména řízení přístupů, šifrování přenosu, oddělení prostředí, pravidelné zálohování v nezbytném rozsahu, lhůty výmazu a povinnost mlčenlivosti osob, které k údajům přistupují.
Poskytovatel zpracovává údaje jen podle pokynů klienta, ledaže mu zpracování ukládá právo EU nebo ČR. Poskytovatel bez zbytečného odkladu informuje klienta, má-li za to, že pokyn porušuje GDPR nebo jiný předpis o ochraně údajů.
Poskytovatel pomůže klientovi přiměřenými opatřeními při plnění povinností vůči subjektům údajů a při ohlašování porušení zabezpečení. Porušení zabezpečení, které se týká zpracovávaných údajů, oznámí klientovi bez zbytečného odkladu poté, co se o něm dozví.
Po skončení zpracování poskytovatel údaje smaže v souladu s odst. 4, ledaže mu uchování ukládá právo. Na žádost klienta potvrdí výmaz písemně. Klient má právo vyžádat si informace potřebné k doložení plnění tohoto článku.
Subjekt údajů má práva podle GDPR, zejména právo na přístup, opravu, výmaz, omezení zpracování, námitku a přenositelnost, jakož i právo podat stížnost u Úřadu pro ochranu osobních údajů. Žádosti zaměstnanců se zpravidla podávají klientovi jako správci; poskytovatel je v přiměřené lhůtě předá klientovi, pokud mu dojdou přímo.
Na vyžádání poskytne poskytovatel také samostatnou šablonu DPA.