Toto je vzorová smlouva o zpracování osobních údajů podle článku 28 GDPR mezi All4ticket a Organizátorem. Slouží jako podklad k individuálnímu vyplnění a podpisu s konkrétním Organizátorem – pole oddělená tečkovanou čarou se doplní před podpisem.
Stáhnout ve formátu PDF
uzavřená podle článku 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR)
1. Smluvní strany
Správce — Organizátor
Název / jméno Organizátora: ................................
IČO: ................................
Sídlo: ................................
Zápis v příslušném rejstříku, je-li relevantní: ................................
Zastoupená: ................................
Kontaktní e-mail pro tuto smlouvu a bezpečnostní incidenty: ................................
(dále „Organizátor“ nebo „Správce“)
Zpracovatel
All 4 ticket s.r.o.
IČO: 29551111
DIČ: CZ29551111
Sídlo: Žižkova 303, 739 11 Frýdlant nad Ostravicí
Zápis: obchodní rejstřík vedený Krajským soudem v Ostravě, oddíl C, vložka 98114
Zastoupená: Ing. David Bělík
Kontaktní e-mail: help@all4ticket.com
Telefon: 725 550 607
(dále „All4ticket“ nebo „Zpracovatel“)
2. Účel, předmět a rozsah
2.1.Smlouva upravuje zpracování údajů, které All4ticket provádí jménem Organizátora při technickém zajištění prodeje jeho Vstupenek a Poukazů, doručení, kontrole čerpání a administraci souvisejících požadavků. Navazuje na smlouvu o poskytování služeb All4ticket (dále „Hlavní smlouva“).
2.2.Organizátor určuje účely a podstatné prostředky těchto činností a je jejich správcem. All4ticket zpracovává údaje podle jeho doložených pokynů. Technické prostředky může volit v mezích této smlouvy a sjednaných opatření.
2.3.Předmět, povaha, účely, kategorie údajů a dotčených osob jsou stanoveny v příloze A. Tato smlouva neposkytuje oprávnění k prodeji databází, vlastnímu marketingu Zpracovatele ani jinému nesjednanému použití údajů.
2.4.Smlouva se nevztahuje na vlastní samostatné činnosti All4ticket, například vedení jeho účetnictví, správu vztahu s Organizátorem, ochranu vlastních právních nároků nebo newsletter All4ticket. Tyto činnosti musí mít vlastní právní základ a odpovídající informace subjektům údajů. Údaje nelze ponechat pro vlastní účel pouze přejmenováním role.
2.5.Pokud skutečné nastavení některé činnosti odpovídá společné správě, strany ji před zahájením zpracování zvlášť vymezí a sjednají ujednání podle článku 26 GDPR. Tato smlouva společnou správu nenahrazuje.
3. Pokyny a povinnosti Organizátora
3.1.Doloženými pokyny jsou tato smlouva, přílohy, sjednané nastavení nabídky a oprávněné úkony v portálu nebo pokyny zaslané kontaktní osobou Organizátora. All4ticket eviduje podstatné pokyny v přiměřené dohledatelné podobě.
3.2.Organizátor odpovídá za zákonnost pokynů, právní základ, splnění informačních povinností a přiměřenost požadovaných údajů. Souhlas není automaticky vyžadován pro plnění zákaznické smlouvy; marketingové souhlasy jsou oddělené.
3.3.Organizátor udržuje aktuální údaje, oprávnění svých uživatelů a kontakty, zabezpečuje přístupy a poskytuje součinnost potřebnou k vyřízení žádostí a incidentů. Informuje All4ticket o opravě, výmazu či omezení, které mají být provedeny v jeho systémech.
3.4.Organizátor nepředává zvláštní kategorie údajů ani údaje o trestních odsouzeních bez předchozí samostatné písemné dohody o nezbytnosti, právním základu a ochranných opatřeních.
4. Povinnosti All4ticket
4.1.All4ticket zpracovává údaje pouze na doložené pokyny Organizátora, včetně pokynů k předávání mimo EHP. Výjimkou je povinnost stanovená právem EU nebo členského státu; o ní před zpracováním informuje Organizátora, pokud to zákon nezakazuje z důležitých důvodů veřejného zájmu.
4.2.Pokud pokyn podle názoru All4ticket porušuje GDPR nebo jiné předpisy ochrany údajů, bezodkladně na to Organizátora upozorní a dotčený úkon pozastaví do vyjasnění. Pozastavení omezí na nezbytný rozsah.
4.3.Zajistí, aby přístup měly pouze osoby, které jej potřebují, jsou poučené a vázané smluvní nebo zákonnou mlčenlivostí. Mlčenlivost trvá i po skončení jejich činnosti.
4.4.Přijme a udržuje přiměřená opatření podle článku 32 GDPR a přílohy B. Opatření pravidelně hodnotí podle rizik; jejich změna nesmí snížit sjednanou úroveň ochrany.
4.5.Údaje nepoužije pro vlastní newsletter, reklamu ani trénování AI. Do Claude, ChatGPT nebo jiných AI nástrojů nepředá osobní údaje zpracovávané pro Organizátora. Pro přehledy může použít pouze skutečně anonymní souhrny vytvořené v rámci pokynů a přílohy A.
5. Další zpracovatelé
5.1.Organizátor uděluje obecné písemné povolení zapojit další zpracovatele pro sjednané služby. Před zahájením zpracování All4ticket předloží úplný seznam konkrétních dodavatelů v příloze C včetně jejich úkolu a místa zpracování. Kategorie dodavatele bez identifikace není náhradou seznamu.
5.2.O přidání nebo nahrazení dalšího zpracovatele All4ticket informuje nejméně 30 kalendářních dnů předem. Organizátor může v této době vznést odůvodněnou námitku týkající se ochrany osobních údajů. Dotčený dodavatel do vyřešení námitky nezačne zpracovávat údaje Organizátora.
5.3.Strany projednají alternativu. Nelze-li dosáhnout přijatelného řešení, může Organizátor ukončit dotčenou službu bez zvláštní sankce a zvolit vrácení nebo výmaz údajů. Zachovají se povinnosti bezpečného dokončení a vypořádání již vzniklých zákaznických vztahů.
5.4.All4ticket uloží dalšímu zpracovateli smluvně stejné relevantní povinnosti ochrany údajů a odpovídá Organizátorovi za jejich plnění podle článku 28 odst. 4 GDPR.
5.5.Ecomail používaný pro vlastní newsletter All4ticket není pouze z tohoto důvodu dalším zpracovatelem Organizátora. Pokud bude sjednána rozesílka jménem Organizátora, musí být předem vymezena v příloze A a Ecomail uveden v příloze C. Totéž platí pro jiné nové služby.
6. Předávání mimo EHP
6.1.Předání osobních údajů mimo EHP, včetně vzdáleného přístupu, je přípustné pouze na doložený pokyn Organizátora a při splnění kapitoly V GDPR. All4ticket předem oznámí příjemce, zemi, důvod a použitý mechanismus ochrany.
6.2.Podle situace zajistí použitelné rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky a potřebné posouzení a doplňující opatření. Na žádost poskytne podklady v rozsahu nezbytném k ověření zákonnosti. Tato smlouva sama nepotvrzuje existenci konkrétní záruky.
7. Práva osob a další součinnost
7.1.All4ticket s ohledem na povahu zpracování pomáhá Organizátorovi vhodnými technickými a organizačními opatřeními při plnění žádostí podle kapitoly III GDPR, zejména dohledání, kopii, opravě, omezení a výmazu údajů.
7.2.Žádost přijatou jako zpracovatel předá Organizátorovi nejpozději do 2 pracovních dnů. Bez jeho pověření nečiní konečné právní rozhodnutí; může potvrdit přijetí a vyžádat nezbytné upřesnění. Žádosti týkající se vlastních činností správce řeší All4ticket samostatně.
7.3.Podklady poskytne bez zbytečného odkladu, zpravidla do 5 pracovních dnů; pokud je nutné reagovat rychleji k dodržení zákonné lhůty, poskytne součinnost v odpovídajícím kratším termínu. Tyto lhůty neprodlužují zákonné lhůty Organizátora.
7.4.Pomáhá při zabezpečení, ohlašování incidentů, posouzení vlivu a předchozích konzultacích podle článků 32 až 36 GDPR s ohledem na povahu zpracování a dostupné informace.
7.5.Běžná součinnost je součástí sjednané služby. Rozsáhlé mimořádné práce mohou být hrazeny na základě předem odsouhlaseného rozpočtu; cenová dohoda nesmí bránit včasnému splnění zákonných povinností. Náklady nápravy porušení vlastních povinností Zpracovatele se tímto Organizátorovi nepřenášejí.
8. Bezpečnostní incidenty
8.1.All4ticket oznámí porušení zabezpečení údajů Organizátorovi bez zbytečného odkladu, nejpozději do 24 hodin od zjištění. Nečeká na úplné dokončení šetření; chybějící informace doplňuje průběžně.
8.2.Oznámení obsahuje dostupný popis povahy incidentu, kategorií a přibližného počtu osob a záznamů, pravděpodobných důsledků, přijatých a plánovaných opatření a kontaktní osobu. All4ticket vede záznamy a poskytuje součinnost při omezení následků a uchování důkazů.
8.3.Organizátor rozhoduje o ohlášení úřadu a informování osob v rozsahu své odpovědnosti správce. Zpracovatel může jednat jeho jménem pouze při výslovném pověření. Smluvní lhůta 24 hodin nenahrazuje zákonné lhůty správce.
8.4.Organizátor obdobně neprodleně oznamuje incidenty a kompromitované přístupy na své straně, pokud mohou ovlivnit zpracování u All4ticket.
9. Doložení a audity
9.1.All4ticket poskytne informace potřebné k doložení plnění článku 28 GDPR a umožní audity a inspekce Organizátorem nebo pověřeným nezávislým auditorem.
9.2.Běžný audit se oznámí alespoň 15 pracovních dnů předem a plánuje se přiměřeně, aby chránil údaje jiných klientů a provoz služby. Nejprve lze využít dokumentaci a vzdálené ověření, pokud postačují. Při incidentu, důvodném podezření na porušení nebo požadavku úřadu se předstih zkrátí podle potřeby.
9.3.Auditor je vázán mlčenlivostí. Zpracovatel může požadovat změnu auditora při doloženém střetu zájmů, nikoli zmařit kontrolu. Auditní pravidla neomezují zákonná oprávnění dozorového úřadu.
10. Doba, vrácení a výmaz
10.1.Smlouva trvá po dobu poskytování příslušných služeb a následného nezbytného vypořádání a výmazu. Nezakládá právo uchovávat údaje pro Organizátora neomezeně.
10.2.Pokyny k uchovávání stanoví příloha A. All4ticket provede včasné opravy, omezení a výmazy podle pokynů, nebrání-li tomu zákonná povinnost, o které informuje Organizátora.
10.3.Po skončení služeb Organizátor zvolí vrácení a následný výmaz nebo přímo výmaz. Svou volbu sdělí nejpozději do 15 dnů od skončení. Bez pokynu All4ticket nejprve nabídne bezpečný export a upozorní na plánovaný výmaz.
10.4.Vrácení údajů proběhne ve strukturovaném běžně použitelném elektronickém formátu do 30 dnů od pokynu. Z provozních systémů se odstraní do 30 dnů od potvrzení převzetí nebo pokynu k přímému výmazu. Vrácení obsahuje také informace o stavech čerpání a žádostech potřebné k pokračování služby.
10.5.Záložní kopie se odstraní nebo přepíšou nejpozději do 90 dnů od výmazu v provozních systémech; do té doby se izolují od běžného používání. Při obnově se výmazy a omezení znovu uplatní. All4ticket zajistí odpovídající výmaz u dalších zpracovatelů a na žádost jej potvrdí.
10.6.Údaje, jejichž uchování vyžaduje zákon, se oddělí a nepoužijí pro jiný účel. Vlastní zákonné záznamy All4ticket jako samostatného správce se posuzují odděleně a omezí na nezbytný rozsah. Mlčenlivost a ochrana přetrvávají po skončení smlouvy.
11. Odpovědnost a závěrečná ustanovení
11.1.Každá strana odpovídá za své povinnosti podle GDPR a této smlouvy. Práva dotčených osob, oprávnění úřadu a zákonná odpovědnost podle článku 82 GDPR se neomezují. Vzájemná náhrada škody se určí podle porušení povinností a jeho podílu na škodě; nevzniká automatická povinnost Organizátora hradit veškeré sankce All4ticket.
11.2.Ve vztahu ke zpracování na pokyn má tato smlouva přednost před rozpornými ustanoveními Hlavní smlouvy. Nejde o souhlas Zákazníků ani náhradu jejich informačních zásad.
11.3.Změny se sjednávají písemně, včetně elektronické formy. Změny seznamu dalších zpracovatelů se řídí článkem 5. Přijetí musí být prokazatelné a musí určit verzi dokumentu; pouhé zveřejnění smlouvy na webu ji vůči Organizátorovi neuzavírá.
11.4.Smlouva nabývá účinnosti dnem přijetí oběma stranami, nejdříve však zahájením souvisejících služeb. Neopravňuje zpětně k dřívějšímu zpracování. Řídí se českým právem a GDPR. Součástí jsou přílohy A, B a C.
Za Organizátora: jméno, funkce, datum a podpis ................................
Za All4ticket: jméno, funkce, datum a podpis ................................
Příloha A — Specifikace zpracování a pokyny
Předmět a účely: technický prodej Vstupenek a Poukazů Organizátora, správa objednávek, vystavení a elektronické doručení, podpora při změnách Akcí, kontrola čerpání, prodloužení Poukazů a administrace reklamací, odstoupení a refundací podle pokynů. Sestavení prodejních přehledů pro Organizátora.
Povaha operací: sběr a zaznamenání, strukturování, uložení, oprava, dohledání, zaslání dokladu, zpřístupnění oprávněnému Organizátorovi, export, omezení, výmaz a vytvoření anonymních souhrnů. Automatizované zpracování s případnou manuální podporou.
Dotčené osoby: Zákazníci a držitelé dokladů, pokud jsou doklady vystaveny na jméno; osoby komunikující v souvislosti s jejich objednávkami.
Kategorie údajů: jméno a příjmení, e-mail, telefon pouze je-li nezbytný, objednaná Akce či služba, datum, cena, měna, stav objednávky a platby, identifikátor transakce a dokladu, informace o čerpání a prodloužení, nezbytné údaje refundace a související komunikace. Fakturační údaje jen jsou-li potřebné. Kompletní údaje karty nejsou předmětem zpracování All4ticket. Zvláštní kategorie a údaje o trestních odsouzeních jsou vyloučeny bez další dohody.
Doba a výmaz: po dobu platnosti a vypořádání objednávky a následně nejvýše 3 roky v nezbytném rozsahu podle pokynu Organizátora. Reklamace po dobu řešení a následně nejvýše 3 roky; delší uchování jen pro doložený trvající důvod. Běžný související dotaz nejvýše 12 měsíců od vyřízení. Zálohy nejvýše 90 dnů. Skončení služeb se řídí článkem 10 a samo neznamená pokračování tříletého zpracování pro Organizátora bez služby nebo pokynu.
Marketing: rozesílka newsletteru Organizátora není součástí tohoto základního rozsahu. Její zapojení vyžaduje rozšíření specifikace, vymezení právního základu a příjemců.
AI: pouze skutečně anonymní souhrny; žádné osobní údaje do externích AI nástrojů.
Příloha B — Minimální ochranná opatření
Strany se v rozsahu své odpovědnosti zavazují dodržovat níže uvedené smluvní závazky, jejichž výčet nepředstavuje potvrzení o již provedeném technickém auditu:
1. Samostatné účty pracovníků a přístup podle role a nezbytnosti; pravidelnou revizi a odebrání přístupu po skončení činnosti.
2. Ochranu hesel a vícefaktorové ověření, kde je dostupné; zákaz veřejného sdílení přístupových údajů a tokenů.
3. Šifrované přenosy, zabezpečení zařízení a pravidelné bezpečnostní aktualizace.
4. Oddělení údajů různých Organizátorů a omezení exportů na oprávněné osoby a účely.
5. Zabezpečené zálohy, přiměřené testování obnovy a respektování výmazů při obnově.
6. Dohledatelnost podstatných přístupů a administrativních úkonů; standardní uchovávání bezpečnostních logů nejvýše 90 dnů, s výjimkou konkrétního incidentu.
7. Poučení osob, mlčenlivost a omezení jejich práce s lokálními kopiemi.
8. Postup pro incidenty, žádosti osob, omezení a výmaz; pravidelné ověřování účinnosti opatření.
Příloha C — Konkrétní další zpracovatelé
Před zahájením zpracování doplnit skutečné dodavatele. Prázdné řádky nejsou schválením neidentifikovaných dodavatelů.
| Dodavatel — název, identifikace a sídlo | Úkol | Kategorie údajů | Země zpracování a přístupu | Případný mechanismus mimo EHP |
|---|
| ................................ | Hosting / databáze | ................................ | ................................ | ................................ |
| ................................ | Odesílání dokladů a provozních e-mailů | ................................ | ................................ | ................................ |
| ................................ | Podpora / schránka podpory | ................................ | ................................ | ................................ |
| ................................ | Zálohování, pokud jiný dodavatel | ................................ | ................................ | ................................ |
Poskytovatel platební brány se zařadí pouze v rozsahu, v němž skutečně jedná jako další zpracovatel; jeho vlastní činnosti samostatného správce se označí odděleně. Anthropic ani OpenAI nejsou dalšími zpracovateli osobních údajů Organizátora v tomto sjednaném rozsahu, protože do jejich nástrojů směřují pouze anonymní souhrny.
