Zpracovatelské podmínky (DPA)

1.1. Vztah ke Smlouvě. Tyto Zpracovatelské podmínky (dále též „Zpracovatelské podmínky“) tvoří přílohu Obchodních podmínek společnosti JAIK s.r.o., IČO: 21536112, DIČ: CZ21536112, se sídlem Primátorská 296/38, Libeň, 180 00 Praha 8 (dále též „Poskytovatel“ nebo „Zpracovatel“), pro poskytování aplikace KUBA English pro firmy (dále jen „Obchodní podmínky“) a nedílnou součást Smlouvy uzavírané mezi Uživatelem a Poskytovatelem, ať už byla uzavřena podpisem písemné Objednávky nebo dokončením objednávky v Administrátorském rozhraní. Předmětem Smlouvy je poskytování platformy a aplikace KUBA English pro výuku anglického jazyka, jakož i navazujících služeb v oblasti firemního (B2B) jazykového vzdělávání, tak jak jsou popsány ve smluvní dokumentaci (takto popsané služby dále společně též „Služby“ a Objednávka, Obchodní podmínky, tyto Zpracovatelské podmínky a případné další smluvní dokumenty souhrnně dále jen „Smlouva“). Zpracovatelské podmínky upravují práva a povinnosti Poskytovatele a Uživatele při zpracování osobních údajů v souvislosti s poskytováním Služeb a plněním Smlouvy. Důvodem existence těchto Zpracovatelských podmínek je zejména skutečnost, že Uživatel prostřednictvím Služeb zpřístupňuje osobní údaje svých zaměstnanců a dalších oprávněných osob (Autorizovaných uživatelů) za účelem jejich jazykového vzdělávání a správy jejich přístupů v rámci firemního (B2B) Předplatného. Pojmy s velkými písmeny mají stejný význam jako ve Smlouvě, pokud není v těchto Zpracovatelských podmínkách stanoveno jinak.

1.2. Postavení Stran. Uživatel je v postavení správce osobních údajů (nebo zpracovatele osobních údajů, zpracovává-li osobní údaje na základě pověření třetí osoby, např. členů své skupiny). Poskytovatel je v postavení zpracovatele osobních údajů (nebo dalšího zpracovatele). Tyto Zpracovatelské podmínky se uzavírají ve smyslu čl. 28 odst. 3 Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „GDPR“) a ve smyslu zákona č. 110/2019 Sb., o zpracování osobních údajů.

1.3. Režimy užívání Služeb a postavení Poskytovatele. Služby lze využívat ve dvou režimech. Jednotliví uživatelé mohou Aplikaci užívat přímo na základě vlastní registrace a Koncových uživatelských podmínek; v takovém případě je ve vztahu k osobním údajům těchto uživatelů správcem osobních údajů Poskytovatel a tento režim nespadá pod tyto Zpracovatelské podmínky. Vedle toho mohou být Autorizovaní uživatelé do Služeb zapojeni prostřednictvím firemního (B2B) partnerství s Uživatelem, v jehož rámci Poskytovatel pro Uživatele zajišťuje zejména správu B2B Předplatného, přidělování a odebírání přístupů a zpřístupnění přehledu o postupu Autorizovaných uživatelů ve vzdělávání; v tomto rozsahu vystupuje Poskytovatel v postavení zpracovatele osobních údajů a uplatní se tyto Zpracovatelské podmínky. Každý jednotlivý uživatel si vždy zřizuje a spravuje vlastní uživatelský účet, ve vztahu k němuž zůstává správcem osobních údajů Poskytovatel; odebráním Autorizovaného uživatele ze strany Uživatele z Administrátorského rozhraní zaniká Autorizovanému uživateli přístup v rámci firemního (B2B) Předplatného Uživatele, avšak jeho vlastní uživatelský účet tím není dotčen.

1.4. Pověření ke zpracování. Uživatel tímto pověřuje Poskytovatele zpracováním osobních údajů v rozsahu a za podmínek stanovených těmito Zpracovatelskými podmínkami. Poskytovatel je povinen zpracovávat osobní údaje výlučně na základě doložených pokynů Uživatele, přičemž za takový pokyn se považuje uzavření Smlouvy a plnění povinností Poskytovatele dle Smlouvy a těchto Zpracovatelských podmínek, jakož i provádění úkonů, které si Uživatel (nebo jím pověřený správce) aktivuje a nastaví prostřednictvím Administrátorského rozhraní.

1.5. Závislost na Smlouvě. Tyto Zpracovatelské podmínky jsou závislé na Smlouvě. Zpracovatelské podmínky nabývají účinnosti dnem účinnosti Smlouvy a pozbývají účinnosti ukončením Smlouvy, nestanoví-li tyto Zpracovatelské podmínky jinak.

2.1. Předmět a typy osobních údajů. Předmětem zpracování jsou osobní údaje, které Poskytovatel zpracovává při poskytování Služeb, zejména:

a) identifikační údaje Autorizovaných uživatelů, jako jsou jméno, příjmení, pracovní pozice/role a označení organizační jednotky (např. název pobočky nebo oddělení), pokud je Uživatel (resp. jeho správce) v Administrátorském rozhraní vyplní;

b) kontaktní údaje Autorizovaných uživatelů, zejména pracovní e-mailová adresa (která zároveň slouží jako jedinečný identifikátor Autorizovaného uživatele), případně telefonní číslo, je-li poskytnuto;

c) přihlašovací a autentizační údaje, jako jsou uživatelské jméno, heslo uchovávané v hashované podobě, záznamy o přihlášení a verifikační údaje;

d) technické a provozní údaje, zejména IP adresy, záznamy o aktivních relacích (sessionech), záznamy o čase přihlášení a době strávené v Aplikaci a další logy o aktivitě v Aplikaci;

e) údaje o vzdělávání a výsledcích, zejména vstupní úroveň znalostí, absolvované lekce a aktivity, postup ve studiu, výsledky cvičení a testů, personalizovaný studijní plán, statistiky aktivity, a dále obsah konverzací s výukovým AI asistentem včetně hlasových nahrávek a jejich přepisů, které Autorizovaný uživatel v Aplikaci vytvoří;

f) další údaje, které jsou obsaženy v Uživatelských datech zpřístupněných Poskytovateli v rámci poskytování Služeb (např. údaje obsažené v administrátorských poznámkách, údaje předané při pozvání nebo importu Autorizovaných uživatelů nebo údaje sdělené v rámci technické podpory).

2.2. Kategorie subjektů údajů. Subjekty údajů, jejichž osobní údaje jsou zpracovávány na základě těchto Zpracovatelských podmínek, jsou:

a) Autorizovaní uživatelé Aplikace určení Uživatelem, zejména zaměstnanci, statutární orgány, společníci, konzultanti, dodavatelé, agenturní pracovníci a další osoby, kterým Uživatel umožní přístup do Aplikace v rámci firemního (B2B) Předplatného;

b) správci jako zvláštní kategorie Autorizovaných uživatelů určení Uživatelem (zejména pracovníci personálního/HR útvaru Uživatele), kteří mají přístup do Administrátorského rozhraní a spravují uživatelské účty, přístupy a Předplatné Uživatele.

3.1. Povaha zpracování. Poskytovatel zpracovává osobní údaje v elektronické podobě. Povaha zpracování spočívá zejména v provozu platformy a aplikace pro výuku anglického jazyka (sběr, ukládání, organizování, zpřístupňování a zobrazování vzdělávacího obsahu, evidence postupu a výsledků Autorizovaných uživatelů, personalizace výuky a zajištění interaktivní konverzace s AI nástrojem včetně rozpoznávání a syntézy řeči) a v zajištění souvisejících služeb spojených se správou firemního (B2B) Předplatného Uživatele (správa a synchronizace uživatelských účtů, přidělování a odebírání přístupů a zpřístupnění přehledů o postupu Autorizovaných uživatelů Uživateli). Zpracování probíhá prostřednictvím Aplikace a Administrátorského rozhraní.

3.2. Účel zpracování. Účelem zpracování osobních údajů je:

a) zajištění provozu a poskytování platformy pro výuku anglického jazyka, včetně přístupu Autorizovaných uživatelů ke vzdělávacímu obsahu, personalizace výuky a evidence jejich postupu;

b) správa uživatelských účtů, přidělování a odebírání přístupů a správa firemního (B2B) Předplatného a Administrátorského rozhraní, včetně rozesílání pozvánek Autorizovaným uživatelům z podnětu Uživatele;

c) zajištění technického provozu, bezpečnosti, dostupnosti a integrity Aplikace, včetně logování přístupů a aktivit a ochrany před zneužitím;

d) plnění dalších povinností Poskytovatele dle Smlouvy, zejména poskytování technické podpory.

3.3. Rozsah přehledů zpřístupňovaných Uživateli. Poskytovatel zpřístupňuje správci Uživatele v Administrátorském rozhraní o každém Autorizovaném uživateli tyto údaje: jméno, příjmení, pracovní e-mail, oddělení (bylo-li vyplněno), stav přístupu, datum poslední aktivity, počet aktivních dní, délku série aktivních dní, počet a celkovou délku konverzací, typ a název konverzací, počet absolvovaných lekcí a cvičení, počet chyb a jejich vývoj v čase a další souhrnné ukazatele postupu ve vzdělávání. Poskytovatel Uživateli nezpřístupňuje obsah konverzací Autorizovaného uživatele, jejich přepisy ani hlasové nahrávky.

3.4. Prohlášení Uživatele. Uživatel prohlašuje, že má pro zpřístupnění osobních údajů Autorizovaných uživatelů Poskytovateli a pro jejich zpracování v rámci Služeb řádný právní základ a že splnil veškeré informační a obdobné povinnosti, které mu vůči Autorizovaným uživatelům (zejména vůči svým zaměstnancům) ukládají právní předpisy, včetně informování Autorizovaných uživatelů o tom, že jejich účast na jazykovém vzdělávání prostřednictvím Služeb a s tím související zpracování osobních údajů probíhá z podnětu Uživatele a že Uživatel má přístup k přehledům v rozsahu podle článku 3.3. Poskytovatel Uživateli za tímto účelem poskytuje vzorovou informaci pro Autorizované uživatele, kterou může Uživatel použít. Uživatel odpovídá za správnost, aktuálnost a oprávněnost údajů, které v Administrátorském rozhraní o Autorizovaných uživatelích zadá nebo importuje.

4.1. Doba zpracování. Zpracování osobních údajů probíhá po dobu účinnosti Smlouvy, resp. po dobu trvání Předplatného Uživatele. Po ukončení Smlouvy nebo zániku posledního Předplatného je Poskytovatel oprávněn zpracovávat osobní údaje pouze v rozsahu nezbytném pro splnění povinností vyplývajících z právních předpisů nebo z těchto Zpracovatelských podmínek, zejména pro ochranu právních nároků Poskytovatele a Uživatele.

4.2. Skončení zpracování. Po ukončení Smlouvy, nebo zanikne-li dříve poslední Předplatné Uživatele, po zániku tohoto Předplatného, Poskytovatel dle volby Uživatele buď vrátí Uživateli veškeré osobní údaje zpracovávané na základě těchto Zpracovatelských podmínek a následně je vymaže, nebo po uplynutí 30 dnů trvale vymaže nebo zničí veškeré osobní údaje zpracovávané na základě těchto Zpracovatelských podmínek, včetně všech existujících kopií, pokud právo Evropské unie nebo České republiky nepožaduje jejich další uložení. Nesdělí-li Uživatel Poskytovateli svou volbu nejpozději do 30 dnů od ukončení Smlouvy (resp. zániku Předplatného), platí, že zvolil výmaz. Uživatel bere na vědomí, že jednotliví Autorizovaní uživatelé mohou Aplikaci na základě vlastního uživatelského účtu a Koncových uživatelských podmínek užívat samostatně i nadále, přičemž ve vztahu k těmto účtům je Poskytovatel samostatným správcem osobních údajů a ukončení těchto Zpracovatelských podmínek na tento vztah nemá vliv. Tímto článkem není dotčeno oprávnění Poskytovatele nadále zpracovávat Odvozená data v souladu se Smlouvou; osobní údaje případně obsažené v Odvozených datech Poskytovatel po skončení zpracování dle tohoto článku uchovává pouze v anonymizované nebo agregované podobě neumožňující identifikaci subjektů údajů.

5.1. Pokyny Uživatele. Poskytovatel zpracovává osobní údaje výlučně na základě doložených pokynů Uživatele. Za doložený pokyn Uživatele se považuje zejména uzavření Smlouvy, plnění povinností dle Smlouvy a těchto Zpracovatelských podmínek a jakýkoli další pokyn Uživatele učiněný písemně nebo elektronicky prostřednictvím e-mailu kontaktní osoby, případně prostřednictvím Administrátorského rozhraní (zejména pozvání, nahrání nebo import Autorizovaných uživatelů, přidělení nebo odebrání přístupů apod.). Pokud Poskytovateli zpracování osobních údajů ukládá právo Evropské unie nebo členského státu, informuje Poskytovatel Uživatele o tomto požadavku před započetím zpracování, ledaže by takové informování bylo zakázáno z důvodu důležitého veřejného zájmu.

5.2. Nevhodné pokyny. Poskytovatel bez zbytečného odkladu upozorní Uživatele, pokud se podle jeho názoru pokyn Uživatele dostává do rozporu s GDPR nebo jinými předpisy na ochranu osobních údajů. Poskytovatel není povinen posuzovat právní přípustnost pokynů Uživatele nad rámec zjevného rozporu s právními předpisy. V případě rozporu s právními předpisy může Poskytovatel odmítnout pokyn Uživatele splnit, přičemž v takovém případě se nedostává do jakéhokoliv prodlení s poskytováním Služeb.

5.3. Mlčenlivost. Poskytovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

5.4. Součinnost při výkonu práv subjektů údajů. Poskytovatel je Uživateli nápomocen prostřednictvím vhodných technických a organizačních opatření pro splnění povinnosti Uživatele reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR, a to ve lhůtě 14 dnů ode dne doručení požadavku Uživatele. Obdrží-li Poskytovatel žádost subjektu údajů přímo, postoupí ji bez zbytečného odkladu Uživateli. Případné náklady Poskytovatele na součinnost přesahující běžný rozsah je Poskytovatel oprávněn Uživateli vyúčtovat v přiměřené výši.

5.5. Součinnost při plnění povinností Uživatele. Poskytovatel je Uživateli nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR (zabezpečení zpracování, ohlašování porušení zabezpečení, posuzování vlivu na ochranu osobních údajů a předchozí konzultace s dozorovým úřadem), a to při zohlednění povahy zpracování a informací, jež má Poskytovatel k dispozici, ve lhůtě 14 dnů od doručení požadavku Uživatele. Případné náklady Poskytovatele na součinnost přesahující běžný rozsah je Poskytovatel oprávněn Uživateli vyúčtovat v plné výši.

6.1. Obecné písemné povolení. Uživatel uděluje Poskytovateli obecné písemné povolení ve smyslu čl. 28 odst. 2 GDPR k zapojení dalších zpracovatelů do zpracování osobních údajů v souvislosti s poskytováním Služeb. Uživatel bere na vědomí a souhlasí s tím, že Služby jsou poskytovány s využitím technologií a služeb třetích stran a že zapojení těchto dalších zpracovatelů je nezbytné pro řádné poskytování Služeb.

6.2. Seznam dalších zpracovatelů. Ke dni účinnosti těchto Zpracovatelských podmínek Poskytovatel využívá při poskytování Služeb následující další zpracovatele:

a) Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irsko (a společnosti skupiny Google) — poskytovatel cloudové infrastruktury, na níž je provozována Aplikace, Administrátorské rozhraní a databáze včetně úložiště Uživatelských dat; zpracování probíhá v datovém centru v Evropské unii (region europe-west3, Frankfurt nad Mohanem); dále poskytovatel služeb Firebase (doručování oznámení, vzdálená konfigurace a hlášení chyb mobilní Aplikace) a přihlášení Google účtem; případné předání do USA na základě standardních smluvních doložek a rámce EU–US Data Privacy Framework;

b) Google LLC / Google Cloud EMEA Limited (Gemini API) — generativní umělá inteligence pro výukové konverzace a související funkce; obsah konverzací (text i přepisy hlasu) je zpracováván modely Gemini prostřednictvím placeného rozhraní Gemini API v rámci cloudového projektu Poskytovatele, na které se vztahují podmínky Google Cloud a jeho dodatek o zpracování údajů; podle podmínek placené služby Google tyto údaje nepoužívá k trénování svých modelů; zpracování může probíhat i mimo Evropskou unii na základě standardních smluvních doložek a rámce EU–US Data Privacy Framework;

c) OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irsko — generativní umělá inteligence pro vybrané výukové funkce, prostřednictvím rozhraní API; podle podmínek API OpenAI tyto údaje nepoužívá k trénování svých modelů; předání do USA na základě standardních smluvních doložek a rámce EU–US Data Privacy Framework;

d) ElevenLabs, Inc., 169 Madison Ave, New York, NY 10016, USA — rozpoznávání řeči (převod hlasu na text) a syntéza řeči (převod textu na hlas) pro hlasové konverzace; předání do USA na základě standardních smluvních doložek;

e) Functional Software, Inc. (Sentry), 45 Fremont Street, San Francisco, CA 94105, USA — sledování chyb a výjimek Aplikace a Administrátorského rozhraní; předání do USA na základě standardních smluvních doložek;

f) Mixpanel, Inc., One Front Street, San Francisco, CA 94111, USA — produktová analytika užívání Aplikace; předání do USA na základě standardních smluvních doložek a rámce EU–US Data Privacy Framework;

g) OneSignal, Inc., 2850 S Delaware St, San Mateo, CA 94403, USA — doručování oznámení a e-mailů Autorizovaným uživatelům; předání do USA na základě standardních smluvních doložek a rámce EU–US Data Privacy Framework;

h) Twilio Inc. (SendGrid), 101 Spear Street, San Francisco, CA 94105, USA — odesílání transakčních e-mailů, zejména pozvánek Autorizovaným uživatelům z podnětu Uživatele; předání do USA na základě standardních smluvních doložek;

i) Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irsko — zpracování plateb a vedení fakturačních údajů správců Uživatele; údaje o platebních kartách zpracovává výhradně Stripe a Poskytovateli nejsou zpřístupněny; případné předání do USA na základě standardních smluvních doložek a rámce EU–US Data Privacy Framework.

6.3. Umístění dat. Primární uložení osobních údajů Autorizovaných uživatelů (databáze a úložiště) probíhá v datovém centru v Evropské unii (Google Cloud, region europe-west3, Frankfurt nad Mohanem). K předání osobních údajů do třetích zemí dochází pouze u dalších zpracovatelů uvedených v článku 6.2, a to vždy na základě vhodných záruk podle kapitoly V GDPR (zejména standardních smluvních doložek nebo rozhodnutí o odpovídající ochraně).

6.4. Oznamování změn. Poskytovatel informuje Uživatele o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a to nejméně 30 dnů předem prostřednictvím e-mailu na adresu kontaktní osoby Uživatele nebo oznámením v Administrátorském rozhraní. Uživatel má právo proti změně vznést námitku, a to písemně do 15 dnů od obdržení oznámení. Pokud Uživatel námitku nevznese ve stanovené lhůtě, má se za to, že se změnou souhlasí.

6.5. Řešení námitek. V případě, že Uživatel vznese oprávněnou námitku proti zapojení dalšího zpracovatele, vynaloží Poskytovatel přiměřené úsilí k nabídnutí alternativního řešení. Pokud alternativní řešení není možné nebo obchodně přiměřené, může Poskytovatel přestat poskytovat Služby nebo některé dílčí části Služeb, přičemž to nemá dopad na jakékoliv prodlení ze strany Poskytovatele, případně může kterákoliv ze stran Smlouvu ukončit s účinností ke dni zamýšlené změny; Poskytovatel v takovém případě vrátí Uživateli poměrnou část poplatku uhrazeného za nevyužitou část probíhajícího období.

6.6. Povinnosti vůči dalším zpracovatelům. Poskytovatel smluvně zajistí, aby každý další zpracovatel byl vázán povinnostmi na ochranu osobních údajů v rozsahu přinejmenším odpovídajícím povinnostem stanoveným v těchto Zpracovatelských podmínkách. Poskytovatel odpovídá Uživateli za plnění povinností dalšího zpracovatele v rozsahu stanoveném čl. 28 odst. 4 GDPR.

7.1. Technická a organizační opatření. Poskytovatel přijal a udržuje technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku zpracování ve smyslu čl. 32 GDPR, zejména:

a) šifrování osobních údajů při přenosu (TLS/HTTPS) i v úložišti;

b) zajištění neustálé důvěrnosti, integrity, dostupnosti a odolnosti systémů a služeb zpracování;

c) schopnost obnovit dostupnost osobních údajů a přístup k nim včas v případě fyzických či technických incidentů (zálohování a procesy obnovy);

d) proces pravidelného testování, posuzování a hodnocení účinnosti technických a organizačních opatření;

e) řízení přístupu k osobním údajům na principu nejmenších oprávnění (least privilege) a oddělení rolí v rámci Administrátorského rozhraní (Autorizovaný uživatel, správce Uživatele, superadmin Poskytovatele);

f) uchovávání přístupových údajů (hesel) výhradně v hashované podobě a podpora dvoufaktorové autentizace;

g) logování přístupů k osobním údajům a administrátorských operací, přičemž auditní logy jsou uchovávány po dobu nejméně 6 měsíců;

h) logické oddělení dat jednotlivých Uživatelů a řízení přístupů v Administrátorském rozhraní tak, aby správce Uživatele měl přístup pouze k údajům Autorizovaných uživatelů v rámci vlastního firemního Předplatného;

i) zpracování platebních údajů výhradně prostřednictvím certifikovaného poskytovatele platebních služeb (PCI DSS); údaje o platebních kartách nejsou Poskytovatelem ukládány.

7.2. Bezpečnostní incidenty. V případě porušení zabezpečení osobních údajů Poskytovatel ohlásí toto porušení Uživateli bez zbytečného odkladu poté, co se o něm dozví, nejpozději však do 48 hodin, a to v rozsahu informací, které jsou mu v danou chvíli známy. Poskytovatel následně bez zbytečného odkladu doplní všechny informace v rozsahu čl. 33 odst. 3 GDPR, jakmile budou k dispozici. Hlášení se zasílá na e-mailovou adresu kontaktní osoby Uživatele.

8.1. Právo na audit. Poskytovatel umožní Uživateli nebo jím pověřenému nezávislému auditorovi provádění auditů a inspekcí potřebných k doložení splnění povinností dle čl. 28 GDPR a těchto Zpracovatelských podmínek, a to za následujících podmínek:

a) Uživatel je oprávněn provést audit nejvýše jednou za 12 měsíců, ledaže audit vyžaduje dozorový úřad nebo dojde k porušení zabezpečení osobních údajů;

b) Uživatel oznámí Poskytovateli záměr provést audit nejméně 30 dnů předem a strany se předem dohodnou na rozsahu, harmonogramu a bezpečnostních podmínkách auditu;

c) audit bude prováděn v pracovní době Poskytovatele a způsobem, který co nejméně narušuje provoz Poskytovatele;

d) auditor je povinen zachovávat mlčenlivost o všech skutečnostech, o kterých se při auditu dozví, a Poskytovatel je oprávněn požadovat podpis dohody o mlčenlivosti před zahájením auditu;

e) Poskytovatel může požadavek na audit v přiměřeném rozsahu uspokojit poskytnutím písemných odpovědí, dokumentace a výsledků nezávislých auditů či certifikací dalších zpracovatelů, je-li to pro doložení souladu dostatečné.

8.2. Náklady auditu. Veškeré náklady spojené s provedením auditu nese Uživatel, s výjimkou případů, kdy audit prokáže podstatné porušení povinností Poskytovatele dle těchto Zpracovatelských podmínek. V takovém případě nese náklady auditu Poskytovatel.

9.1. Omezení odpovědnosti. Odpovědnost Poskytovatele za škodu způsobenou porušením povinností dle těchto Zpracovatelských podmínek se řídí ustanoveními Obchodních podmínek o omezení odpovědnosti (článek 7 Obchodních podmínek); limit odpovědnosti podle článku 7.2 Obchodních podmínek je společný pro nároky ze Smlouvy i z těchto Zpracovatelských podmínek.

9.2. Vyloučení odpovědnosti. Poskytovatel nenese odpovědnost za škodu vzniklou v důsledku zpracování osobních údajů v souladu s pokyny Uživatele, v důsledku neposkytnutí součinnosti ze strany Uživatele, v důsledku porušení povinností Uživatele jako správce osobních údajů (zejména informační povinnosti vůči vlastním zaměstnancům a dalším Autorizovaným uživatelům) nebo v důsledku jednání či opomenutí třetích osob, které Poskytovatel nemohl přiměřeně ovlivnit.

9.3. Vzájemná součinnost. V případě, že bude vůči kterékoli straně uplatněn nárok subjektu údajů nebo zahájen postup dozorového úřadu v souvislosti se zpracováním osobních údajů dle těchto Zpracovatelských podmínek, budou si strany vzájemně poskytovat přiměřenou součinnost za účelem obrany takového nároku nebo řízení.

9.4. Specifické vyloučení. Uživatel zaručuje, že má pro zpřístupnění a zpracování osobních údajů Autorizovaných uživatelů v rámci Služeb (zejména při pozvání nebo importu Autorizovaných uživatelů a přidělování přístupů v rámci firemního Předplatného) řádný právní základ a že plní všechny povinnosti vyplývající z GDPR, zákona č. 110/2019 Sb., o zpracování osobních údajů, a zákoníku práce (zejména informační povinnost vůči zaměstnancům, kteří jsou Autorizovanými uživateli, a případnou součinnost se zástupci zaměstnanců nebo s odborovou organizací). Poskytovatel neodpovídá za jakoukoliv škodu, která Uživateli vznikne v souvislosti s porušením těchto povinností Uživatele. Poskytovatel je dále oprávněn odmítnout pokyn Uživatele v případě, kdy by byl v rozporu s výše uvedenými právními předpisy.

9.5. Náhrada pokut a sankcí. Pokud bude u Poskytovatele v souvislosti se zpracováním osobních údajů dle těchto Zpracovatelských podmínek zahájena kontrola ze strany dozorového úřadu, nebo dojde k zahájení správního či jiného řízení v souvislosti se zpracováním osobních údajů, přičemž výsledkem bude udělení pokuty Poskytovateli, jejíž důvod bude spočívat v porušení povinností Uživatele jako správce osobních údajů (zejména povinností Uživatele uvedených v těchto Zpracovatelských podmínkách nebo plynoucích z pokynů Uživatele), je Uživatel povinen nahradit Poskytovateli tuto pokutu v plné výši, a to do 30 dnů ode dne pravomocného rozhodnutí daného orgánu, přičemž o právní moci bude Poskytovatel Uživatele informovat. Povinnost nahradit škodu se vztahuje obdobně také na rozhodnutí v souvislosti s nároky uplatněnými subjekty údajů.

10.1. Přetrvávající ustanovení. Povinnost mlčenlivosti, ustanovení o odpovědnosti a povinnosti související s výmazem nebo vrácením osobních údajů přetrvávají i po ukončení Smlouvy.

10.2. Přednost. V případě rozporu mezi těmito Zpracovatelskými podmínkami a ostatními částmi Smlouvy (včetně Obchodních podmínek) mají v otázkách zpracování osobních údajů přednost tyto Zpracovatelské podmínky.