Smlouva o zpracování osobních údajů (AVV)

Smlouva o zpracování osobních údajů na základě pověření mezi zákazníkem jako správcem a společností Zerovia GmbH jako zpracovatelem.

Úvod

Tato smlouva o zpracování osobních údajů („AVV“ nebo „Smlouva“) je součástí podmínek použití a podmínek předplatného mezi zákazníkem („zákazník“ nebo „správce“) a společností Zerovia GmbH, Via Casti 52, 7151 Schluein, Švýcarsko („ZEROvia“ nebo „zpracovatel“), společně „smluvní strany“.

Vzhledem k tomu, že

• zákazník využívá platformu ZEROvia a vkládá do ní osobní údaje, ke kterým jedná jako správce;
• ZEROvia tyto osobní údaje zpracovává výhradně na základě pověření a podle pokynů zákazníka;
• smluvní strany chtějí stanovit podmínky tohoto zpracování podle čl. 9 švýcarského zákona o ochraně osobních údajů („DSG“) a čl. 28 nařízení (EU) 2016/679 („GDPR (DSGVO)“);
• zpracování, za které ZEROvia sama odpovídá (zejména webové stránky, správa zákazníků a fakturace podle prohlášení o ochraně osobních údajů), se na tuto smlouvu nevztahuje,

smluvní strany se dohodly na následujícím:

Článek 1 · Pojmy

1.1 „Smlouva“ označuje tuto smlouvu o zpracování osobních údajů včetně příloh 1 až 3. „Osobní údaje zákazníka“ jsou osobní údaje, které ZEROvia zpracovává na účet zákazníka v souvislosti se službami (příloha 1). „Předpisy o ochraně údajů“ jsou DSG včetně nařízení (DSV), GDPR (DSGVO) a další použitelné předpisy. „Služby“ jsou digitální služby ZEROvia podle podmínek použití a podmínek předplatného, zejména platforma zerovia.app. „Dílčí zpracovatel“ je každá osoba, která zpracovává osobní údaje zákazníka od ZEROvia nebo pro ZEROvia.

1.2 Pojmy jako „správce“, „subjekt údajů“, „osobní údaje“, „porušení zabezpečení“ a „zpracování“ mají význam podle DSG, resp. GDPR (DSGVO).

Článek 2 · Předmět, povaha, účel a doba trvání

2.1 ZEROvia zpracovává osobní údaje zákazníka výhradně za účelem poskytování služeb podle hlavní smlouvy (podmínek použití a podmínek předplatného, případně individuálních ujednání).

2.2 Předmět, povaha a účel zpracování, kategorie subjektů údajů a kategorie osobních údajů jsou stanoveny v příloze 1.

2.3 Doba trvání odpovídá délce hlavní smlouvy, zvýšené o lhůty podle článku 10.

2.4 Datové kampaně. Pozve-li zákazník jako kupující dodavatele prostřednictvím služeb, je správcem kontaktních údajů, které importuje, a zpracování sdílených údajů ve svém účtu. ZEROvia tyto údaje zpracovává jako zpracovatel kupujícího. Dodavatel odpovídá za údaje, které zadá a sdílí ve svém vlastním účtu; pro ně platí jeho vlastní smlouva se ZEROvia.

Článek 3 · Pokyny

3.1 ZEROvia zpracovává osobní údaje zákazníka pouze na zdokumentovaný pokyn zákazníka, pokud ji zákon nezavazuje k jinému zpracování; v takovém případě o tom zákazníka předem informuje, pokud to zákon nezakazuje.

3.2 Zdokumentovanými pokyny jsou hlavní smlouva a používání a nastavení služeb zákazníkem, včetně rolí, oprávnění, sdílení a souhlasů.

3.3 ZEROvia bezodkladně informuje zákazníka, pokud je podle jejího názoru pokyn v rozporu s předpisy o ochraně údajů, a může pozastavit zjevně protiprávní pokyn.

Článek 4 · Povinnosti ZEROvia

4.1 ZEROvia se zavazuje,

4.1.1 dodržovat použitelné předpisy o ochraně údajů;

4.1.2 zpracovávat osobní údaje zákazníka pouze na pokyn a pouze za účelem poskytování služeb;

4.1.3 nepoužívat osobní údaje zákazníka pro vlastní účely, zejména ne k trénování modelů umělé inteligence přístupných třetím stranám; anonymizovaná agregovaná data používá ZEROvia k internímu zlepšování pouze na základě výslovného souhlasu zákazníka (opt-in);

4.1.4 zavázat všechny osoby oprávněné ke zpracování k mlčenlivosti;

4.1.5 omezit přístup k osobním údajům zákazníka na osoby, které jej potřebují pro svůj úkol; přístupy podpory a vývoje ke zákaznickým údajům probíhají pouze s doloženým důvodem, časově omezeně a se záznamem;

4.1.6 zavést technická a organizační opatření podle článku 5;

4.1.7 v rozsahu přípustném zákonem informovat zákazníka o závazných žádostech orgánů týkajících se osobních údajů zákazníka a omezit zpřístupnění na nezbytně vyžadovaný rozsah.

Článek 5 · Technická a organizační opatření

5.1 ZEROvia přijímá s ohledem na stav techniky, náklady a povahu, rozsah a účel zpracování vhodná opatření pro úroveň ochrany přiměřenou riziku (čl. 8 DSG ve spojení s čl. 1 a násl. DSV; čl. 32 GDPR (DSGVO)).

5.2 Opatření jsou popsána v příloze 2. Část infrastrukturních opatření zajišťují dílčí zpracovatelé, zejména Infomaniak, a ZEROvia je má smluvně zajištěna.

5.3 ZEROvia opatření průběžně přezkoumává a zlepšuje a může je upravit, pokud úroveň ochrany neklesne.

Článek 6 · Dílčí zpracovatelé

6.1 Zákazník uděluje ZEROvia obecný souhlas k zapojování dílčích zpracovatelů. Zapojení dílčí zpracovatelé jsou uvedeni v příloze 3, která je vedena na zerovia.ch/unterauftragsverarbeiter/.

6.2 ZEROvia informuje zákazníka alespoň 30 dní předem o zapojení nebo výměně dílčího zpracovatele e-mailem a na této stránce. Zákazník může do 30 dnů z důvodu závažné ochrany údajů písemně vznést námitku (postačí e-mail). Pokud námitka zabrání pokračování, může každá strana dotčenou službu vypovědět.

6.3 ZEROvia zavazuje každého dílčího zpracovatele smluvně k alespoň rovnocenným povinnostem ochrany údajů a za jejich dodržování zůstává vůči zákazníkovi odpovědná.

Článek 7 · Práva subjektů údajů

7.1 ZEROvia zákazníka v rozsahu technicky možném podporuje při vyřizování žádostí subjektů údajů.

7.2 Pokud subjekt údajů adresuje žádost ZEROvia, ZEROvia ji bezodkladně postoupí zákazníkovi a odpoví na ni pouze na pokyn zákazníka nebo v rozsahu, v němž je k tomu zákonem povinna.

Článek 8 · Podpora zákazníka

8.1 ZEROvia zákazníka podporuje v oblasti zabezpečení údajů, hlášení porušení zabezpečení, posouzení vlivu na ochranu údajů a předchozí konzultace s dozorovým orgánem, pokud jsou informace u ZEROvia k dispozici.

Článek 9 · Porušení zabezpečení

9.1 ZEROvia oznámí zákazníkovi porušení zabezpečení, které se týká osobních údajů zákazníka, co nejdříve, nejpozději do 48 hodin od zjištění, a poskytne informace, které zákazník potřebuje pro vlastní oznámení.

9.2 ZEROvia s zákazníkem spolupracuje a přijímá přiměřená opatření k vyšetření, omezení a odstranění porušení.

9.3 Oznámení se zasílá na kontaktní adresu uloženou v účtu nebo na kontakt pro ochranu údajů zákazníka; za ZEROvia na privacy@zerovia.ch.

Článek 10 · Výmaz a vrácení

10.1 Podle volby zákazníka ZEROvia osobní údaje zákazníka vymaže nebo vrátí, jakmile služby skončí, nejpozději do 30 dnů od skončení, pokud neexistuje zákonná povinnost uchovávání.

10.2 Zákazník před ukončením provede nezbytné exporty; ZEROvia jej v rozsahu technicky možném podporuje.

10.3 ZEROvia na žádost výmaz písemně potvrdí.

Článek 11 · Doklady a audity

11.1 ZEROvia poskytne informace potřebné k prokázání dodržování povinností.

11.2 Pokud tyto informace nestačí, umožní ZEROvia zákazníkovi nebo auditorovi vázanému mlčenlivostí kontroly za přiměřených podmínek a s přiměřeným předstihem, aniž by ohrozila bezpečnost ostatních zákazníků. Přiměřené dodatečné náklady lze účtovat.

Článek 12 · Předání do zahraničí

12.1 Osobní údaje zákazníka se zpracovávají primárně ve Švýcarsku (hosting u Infomaniak, Ženeva). Zpracování AI probíhá od 01.12.2026 v EU. Mezi Švýcarskem a EU, resp. EHP existuje vzájemně uznaná přiměřená úroveň ochrany; odpovídající předání nevyžadují dodatečné záruky.

12.2 Předání dílčím zpracovatelům v jiných státech probíhají pouze s vhodnými zárukami, zejména se standardními smluvními doložkami Evropské komise s úpravami uznanými EDÖB, doplněnými o posouzení dopadů předání (Transfer Impact Assessment) a technická ochranná opatření, nebo u certifikovaných příjemců na základě Swiss-U.S. Data Privacy Framework. Příloha 3 uvádí mechanismus u každého dílčího zpracovatele.

Článek 13 · Odpovědnost

13.1 Odpovědnost se řídí hlavní smlouvou. Vůči subjektům údajů a dozorovým orgánům platí rozdělení odpovědnosti podle čl. 82 GDPR (DSGVO), resp. ustanovení DSG.

Článek 14 · Doba trvání a přednost

14.1 Tato smlouva platí spolu s hlavní smlouvou a dále pro přetrvávající účinky podle článku 10.

14.2 V otázkách zpracování osobních údajů má tato smlouva přednost před podmínkami použití a podmínkami předplatného. Jinak platí pořadí: individuální ujednání, podmínky předplatného, tato smlouva, podmínky použití.

14.3 Změny vyžadují textovou formu. Je-li některé ustanovení neplatné, zůstávají ostatní v platnosti.

Článek 15 · Rozhodné právo a příslušný soud

15.1 Výhradně se použije švýcarské právo.

15.2 Příslušným soudem je Chur (GR).

Tato smlouva nabývá účinnosti elektronicky uzavřením hlavní smlouvy a je platná bez podpisu. Pro velké zákazníky ji lze navíc podepsat.

Příloha 1 · Podrobnosti zpracování

Aspekt	Popis
Předmět	Poskytování platformy zerovia.app: profil a sdílení, zprávy a klima, CO₂ produktů, dotazy zákazníků, dodavatelé a datové kampaně, přístup pro partnery
Povaha zpracování	Shromažďování, zaznamenávání, ukládání, strukturování, čtení pomocí AI, tvorba textů pomocí AI, zobrazování, předávání po schválení zákazníkem, odesílání e-mailů jménem kupujícího, výmaz
Účel	Výhradně poskytování služeb objednaných zákazníkem
Subjekty údajů	Uživatelé a zaměstnanci zákazníka; kontaktní osoby v profilu; kontaktní osoby dodavatelů zákazníka, též v datových kampaních; osoby uvedené v nahraných dokumentech nebo ve veřejných webových zdrojích v rámci prověřování dodavatelů (screening)
Osobní údaje	Kontaktní a základní údaje (jméno, funkce, pracovní e-mail, telefon), údaje o účtu a používání, protokolové údaje, obsah nahraných dokumentů, události odeslání a prokliku pozvánek. Zvlášť citlivé osobní údaje pouze v rozsahu, v němž je zákazník vloží; podle podmínek použití by k tomu nemělo docházet
Doba trvání	Doba trvání hlavní smlouvy zvýšená o lhůty podle článku 10

Příloha 2 · Technická a organizační opatření

Kategorie	Provedení
Vstup	Provoz v datových centrech Infomaniak ve Švýcarsku s omezeným vstupem a fyzickými bezpečnostními opatřeními
Přístup	Dvoufaktorové přihlášení jako standard s obnovovacími kódy; zablokování po neúspěšných pokusech; pravidla pro hesla; povinné dvoufaktorové přihlášení pro administrátory
Oprávnění	Role a práva (vlastník, administrátor, členové; Category Manager pouze pro čtení); zásada nejmenších nutných oprávnění; přístup podpory ke zákaznickým údajům pouze s důvodem, časovým omezením a záznamem
Oddělení	Logické oddělení zákaznických tenantů; sdílení se řídí jednotlivě pro každého zákazníka a sekci
Šifrování	Šifrovaný přenos (TLS) a šifrování uložených dat podle stavu techniky
AI	Data zákazníků se nepoužijí k trénování veřejných modelů; poskytovatelé AI v EU od 01.12.2026; návrhy se zdrojem, schválení zákazníkem
Dohledatelnost	Protokol změn (audit log), záznam bezpečnostně relevantních událostí a administrativních přístupů
Dostupnost	Redundantní ukládání a pravidelné zálohy u Infomaniak; obnovovací postupy
Incidenty	Postup pro rozpoznání, hlášení a odstranění porušení zabezpečení (článek 9)
Kontrola	Interní kontroly a externí bezpečnostní testy; ISO 27001 v přípravě
Kontrola zpracování	Smluvní zavázání dílčích zpracovatelů k rovnocenným povinnostem
Výmaz	Procesy výmazu a uchovávání podle článku 10
Personál	Závazek mlčenlivosti všech osob s přístupem

Příloha 3 · Dílčí zpracovatelé

Schválení dílčí zpracovatelé se sídlem, účelem a mechanismem předání jsou uvedeni na stránce Dílčí zpracovatelé, včetně historie změn.

Zástupce v EU (čl. 27 GDPR (DSGVO)): iuro Rechtsanwälte GmbH t/a Prighter, Schellinggasse 3, 1010 Wien, Rakousko, privacy@zerovia.ch. Příslušný dozorový orgán ve Švýcarsku: Federální pověřenec pro ochranu údajů a informace (EDÖB), Bern.