Právní informace

Podmínky zpracování osobních údajů requestor.com s.r.o.

Podmínky podle čl. 28 odst. 3 GDPR jsou součástí smlouvy mezi vámi a společností requestor.com s.r.o.

Aktualizované znění, listopad 2026. Nové body jsou označeny štítkem Nové: vrácení údajů při ukončení smlouvy (3.3), hlášení porušení zabezpečení (6.7), omezení odpovědnosti (9.2), seznam dalších zpracovatelů (7.6) a popis infrastruktury služby Requestor Cloud (příloha A, článek 5).

Uzavřené v souladu s čl. 28 odst. 3 Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 (dále jako „GDPR”).

Tyto podmínky zpracování osobních údajů upravují práva a povinnosti při zpracování osobních údajů obchodní společností requestor.com s.r.o., IČO: 28349121, se sídlem Purkyňova 649/127, Medlánky, 612 00 Brno, zapsané v obchodním rejstříku pod sp. zn. C 62914 u Krajského soudu v Brně (dále jako „Requestor“ nebo „zpracovatel“). Tyto podmínky jsou nedílnou součástí smlouvy uzavřené mezi Vámi a Requestor v případě, že jste správcem osobních údajů nebo jejich zpracovatelem (dále jako „správce“), a Requestor je na základě této smlouvy v pozici zpracovatele nebo dalšího zpracovatele těchto osobních údajů.

1. Výklad pojmů

1.1.Osobní údaje jsou osobní údaje ve smyslu čl. 4 GDPR, zpracovávané zpracovatelem na účet správce, ke kterému dochází při plnění dle uzavřené smlouvy.

1.2.Smlouvou se rozumí Smlouva o poskytování služby Requestor, Smlouva o distribuci Software as a Service řešení Requestor nebo Licenční a servisní smlouva on-premise řešení Requestor uzavřená mezi zpracovatelem a správcem.

1.3.Termíny subjekt údajů, porušení zabezpečení osobních údajů, zpracování a dozorový úřad mají stejný význam jako v GDPR.

2. Postavení a pokyny při zpracování osobních údajů

2.1.Zpracovatel se zavazuje zpracovávat osobní údaje pro správce výlučně na základě doložených pokynů správce, pokud mu toto zpracování již neukládá právo Evropské unie nebo členského státu, které se na zpracovatele vztahuje.

2.2.Za doložené pokyny správce se považuje zejména smlouva, uzavřená písemně mezi stranami, na základě které dochází ke zpracování osobních údajů.

2.3.Pokud je správce ve skutečnosti zpracovatelem všech nebo některých osobních údajů ve smyslu GDPR, zaručuje v takovém případě zpracovateli, že jeho pokyny a jednání ve vztahu k osobním údajům, včetně pověření zpracovatele jako dalšího zpracovatele těchto osobních údajů, byly písemně odsouhlaseny příslušným správcem.

2.4.Uzavřením smlouvy správce prohlašuje a potvrzuje, že se důkladně seznámil s těmito podmínkami a jejich obsahem, že jim rozumí a že s nimi souhlasí.

3. Doba zpracování osobních údajů

3.1.Zpracování osobních údajů podle těchto podmínek bude prováděno do doby výmazu všech osobních údajů podle tohoto článku.

3.2.Po skončení smlouvy, bez ohledu na způsob nebo důvod jejího skončení, zpracovatel během 1 měsíce trvale vymaže veškeré osobní údaje a jejich existující kopie, s výjimkou těch osobních údajů nebo jejich kopií, jejichž uložení u zpracovatele požaduje právo Evropské unie nebo členského státu, které se vztahuje na zpracovatele.

3.3.U služby Requestor Cloud se vrácení osobních údajů po skončení smlouvy řídí čl. 12.7 Podmínek služby Requestor Cloud: na písemnou žádost správce doručenou do 30 dnů ode dne skončení smlouvy zpracovatel vydá správci poslední datovou zálohu ve formě, v jaké ji pořizuje. Nové

4. Povaha a účel zpracování osobních údajů

4.1.Zpracovatel bude osobní údaje zpracovávat způsoby v souladu se smlouvou a těmito podmínkami, a to výlučně za účelem plnění dle smlouvy, není-li mezi stranami ujednáno jinak.

5. Typy osobních údajů

5.1.Zpracovatel bude zpracovávat údaje, které shromažďuje správce v rámci své činnosti, a to zejména identifikační a kontaktní údaje subjektů údajů (např. jméno, příjmení, e-mailová adresa, telefonní číslo, IČO, DIČ, IP adresa) a ostatní osobní údaje, které v rámci požadavků subjekty údajů dobrovolně předají ke zpracování správci.

5.2.Osobní údaje se týkají následujících kategorií subjektů údajů:

• a)zaměstnanců správce;
• b)zákazníků nebo obchodních partnerů správce;
• c)uživatelů správce, pokud je správce zákazníkem; a
• d)uživatelů zákazníků správce, pokud je správce distributorem.

5.3.Zpracovatel pro správce nebude zpracovávat žádné zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR, ani osobních údajů týkajících se rozsudků v trestních věcech a trestných činů ve smyslu čl. 10 GDPR.

5.4.Pokud by mělo dojít (1) ke zpracování osobních údajů uvedených v odst. 5.3 těchto podmínek nebo (2) ke zpracování jiných typů osobních údajů, než které jsou uvedené v odst. 5.1 těchto podmínek, je správce povinen ihned písemně vyrozumět zpracovatele a současně mu poskytnout veškerou součinnost tak, aby došlo k řádnému zpracování těchto údajů v souladu s obecnými právními předpisy. Zvýšené náklady spojené se zpracováním takových údajů hradí správce.

6. Práva a povinnosti stran

6.1.Správce je výlučně odpovědný za:

• a)informování subjektů údajů o zpracování osobních údajů, získání souhlasu subjektu údajů se zpracováním osobních údajů, pokud je zapotřebí, a za vyřizování žádostí subjektů údajů týkajících se výkonu jejich práv podle čl. 15–21 GDPR,
• b)plnění všech oznamovacích povinností vůči dozorovému úřadu v souvislosti se zpracováním osobních údajů, zejména za ohlašování případů porušení zabezpečení osobních údajů a oznamování případů porušení zabezpečení osobních údajů subjektu údajů.

6.2.Správce je výlučně odpovědný za seznámení se s podmínkami a vyhodnocení přijatých bezpečnostních opatření a závazků zpracovatele s ohledem na potřeby správce, zejména ve vztahu k bezpečnostním povinnostem správce podle obecně závazných právních předpisů.

6.3.Správce před uzavřením smlouvy a přijetím podmínek důkladně prověřil a vyhodnotil bezpečnostní opatření zavedená a udržovaná zpracovatelem s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob. Uzavřením smlouvy správce potvrzuje zpracovateli, že bezpečnostní opatření zavedená a udržovaná zpracovatelem, jak je uvedeno v těchto podmínkách, zajišťují dostatečnou úroveň ochrany osobních údajů s ohledem na hrozící rizika.

6.4.Pokud zpracovatel při zpracovávání osobních údajů obdrží od subjektu údajů jakoukoliv žádost, sdělí zpracovatel subjektu údajů, aby se s žádostí obrátil přímo na správce. Správce je odpovědný za vyřízení takové žádosti.

6.5.Za účelem ochrany osobních údajů se zpracovatel zavazuje, že po dobu zpracování osobních údajů podle těchto podmínek:

• a)přijme a bude udržovat sjednaná technická a organizační opatření v příloze A těchto podmínek, aby zajistil správcem požadovanou úroveň zabezpečení osobních údajů,
• b)podnikne odpovídající kroky k zajištění dodržování bezpečnostních opatření svými zaměstnanci, jinými spolupracovníky nebo dodavateli v rozsahu odpovídajícím jejich činnostem, včetně zajištění, že se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo se na ně vztahuje zákonná povinnost mlčenlivosti,
• c)v rozsahu přiměřenému povaze zpracování a informacím, které bude mít k dispozici, bude zpracovatel nápomocný správci při zajišťování vhodných technických a organizačních opatření k zabezpečení osobních údajů, při ohlašování porušení zabezpečení osobních údajů dozorovému úřadu, při oznamování případů porušení zabezpečení osobních údajů subjektu údajů, při posouzení vlivu na ochranu osobních údajů a při předchozích konzultacích s dozorovým úřadem,
• d)poskytne správci nezbytné informace, které lze po zpracovateli spravedlivě požadovat, pro splnění povinností správce reagovat na žádosti o výkon práv subjektů údajů podle obecně závazných právních předpisů, vztahujících se k ochraně osobních údajů,
• e)poskytne správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti zpracovatele stanovené v čl. 28 GDPR a umožní audity, včetně inspekcí, prováděné správcem nebo jiným auditorem, kterého správce pověřil, a k těmto auditům přispěje. Audity a inspekce budou prováděny v souladu s přílohou B těchto podmínek, a
• f)povede záznamy o všech kategoriích činností zpracování prováděných pro správce, a bude připraven na vyžádání dozorového úřadu tyto záznamy předložit.

6.6.Zpracovatel nese odpovědnost za porušení podmínek všemi osobami, které pověřil zpracováním osobních údajů (např. zaměstnanci, jinými osobami v obdobném postavení vůči zpracovateli nebo dodavateli zpracovatele), a všemi dalšími zpracovateli, které do zpracování osobních údajů zapojil.

6.7.Zpracovatel bez zbytečného odkladu informuje správce o porušení zabezpečení osobních údajů zpracovávaných pro správce, jakmile se o něm dozví, a poskytne správci informace, které má k dispozici a které správce potřebuje k plnění oznamovací povinnosti podle čl. 33 a 34 GDPR. Nové

7. Další zpracovatelé

7.1.Zpracovatel je oprávněn zapojit do zpracování osobních údajů další zpracovatele, nevysloví-li proti jejich zapojení správce námitky.

7.2.Zpracovatel písemně informuje správce o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení nejméně 1 týden před plánovanou změnou. Po tuto dobu má správce právo vyslovit vůči změně námitky. Nevysloví-li správce námitky, má se za to, že se změnou souhlasí.

7.3.Zpracovatel se zavazuje vést vždy aktuální seznam dalších zpracovatelů a na vyžádání tento seznam správci předložit.

7.4.V případě zapojení dalšího zpracovatele do zpracování osobních údajů v souladu s těmito podmínkami zpracovatel zajistí, aby další zpracovatel dodržoval při zpracování osobních údajů obecně závazné právní předpisy, zejména GDPR.

7.5.Správce je oprávněn kdykoliv vznést námitky proti zapojení konkrétního dalšího zpracovatele do zpracování osobních údajů, a to i po uplynutí doby podle odst. 7.2 těchto podmínek. V takovém případě se strany dohodnou na tom, jak situaci vyřešit (např. nahrazením dalšího zpracovatele, přijetím vhodných záruk nebo zpětvzetím námitek správce).

7.6.Ke dni účinnosti těchto podmínek zpracovatel zapojuje do zpracování osobních údajů tyto další zpracovatele: Nové

• a)Microsoft (platforma Microsoft Azure): hosting aplikace a databází služby Requestor Cloud v regionu West Europe (Nizozemsko, Evropská unie); Nové
• b)Microsoft (služba Azure OpenAI Service): zpracování požadavků AI funkcí, a to pouze v případě, že správce AI funkce ve své instanci zapne. Nové

8. Zachování důvěrnosti informací

8.1.Zpracovatel má povinnost zachovávat mlčenlivost o osobních údajích, které zpracovává pro správce. Dodržení povinnosti mlčenlivosti znamená nesdělit ani nezpřístupnit osobní údaje třetí osobě, s výjimkou dalšího zpracovatele, proti jehož zapojení nevyjádřil správce námitky, a nepoužít osobní údaje k jinému než sjednanému účelu.

9. Závazek odškodnění

9.1.Vznese-li třetí osoba, včetně orgánu veřejné moci, vůči zpracovateli jakýkoli nárok v souvislosti s porušením této smlouvy správcem, zavazuje se správce vést mimosoudní jednání s třetí osobou a bránit zpracovatele v případných soudních, rozhodčích či jiných řízeních, a to vše na své náklady; to neplatí, pokud je nárok vznesený třetí osobou zjevně neopodstatněný. Bude-li zpracovatel povinen v důsledku správcem schváleného smíru nebo pravomocného rozhodnutí soudu či jiného orgánu zaplatit komukoliv jakoukoliv náhradu nebo sankci v důsledku porušení podmínek správcem, zavazuje se správce zpracovateli tuto náhradu a sankci zaplatit. Za náhradu nebo sankci se v tomto případě považují mj. náhrada škody, ušlého zisku, vydání bezdůvodného obohacení, peněžité přiměřené zadostiučinění, peněžitý trest, pokuta či penále.

9.2.Odpovědnost zpracovatele za újmu vzniklou správci v souvislosti s těmito podmínkami podléhá omezení výše náhrady újmy podle čl. 8.8 a 8.9 Podmínek služby Requestor Cloud, a to v rozsahu, v jakém to právní předpisy připouštějí. Toto omezení se uplatní společně s nároky podle Podmínek služby (jeden společný limit). Nové

10. Závěrečná ujednání

10.1.Tyto podmínky obsahují následující přílohy:

• a)Příloha A – Bezpečnostní opatření;
• b)Příloha B – Pravidla provádění auditů a inspekcí.

10.2.Podmínky byly sepsány v českém a anglickém jazyce. Veškeré povinnosti stran, vyplývající z těchto podmínek, budou plněny v českém nebo anglickém jazyce. V případě rozdílů mezi oběma dokumenty má přednost verze česká.

Příloha A – Bezpečnostní opatření

Zpracovatel zavede a bude udržovat při zpracování osobních údajů bezpečnostní opatření uvedená v této příloze. Zpracovatel je oprávněn aktualizovat nebo upravit tato opatření za předpokladu, že aktualizace nebo úpravy nepovedou ke snížení celkového zabezpečení osobních údajů. Zpracovatel písemně informuje správce o veškerých zamýšlených změnách týkajících se změny bezpečnostních opatření. Po tuto dobu má správce právo vyslovit vůči změně námitky. Nevysloví-li správce námitky, má se za to, že se změnou souhlasí. Vyjádří-li správce námitky, zpracovatel změnu neprovede, dokud se na jejím obsahu strany písemně nedohodnou.

Veškeré zde obsažené povinnosti se týkají interních systémů zpracovatele, které používá ke zpracování osobních údajů (články 1 až 4), a infrastruktury služby Requestor Cloud (článek 5).

1. Princip založený na riziku

1.1.Zpracovatel po dobu účinnosti smlouvy v pravidelných intervalech dle vlastního uvážení přezkoumá rizika informační bezpečnosti, která souvisí s osobními údaji a důležitými aktivy správce.

2. Organizační bezpečnost

2.1.Zpracovatel přijme taková opatření, aby zabezpečil osobní údaje proti rizikům lidského faktoru, zejména:

• a)přijetí a udržování směrnic a dokumentů interní bezpečnosti;
• b)pravidelné školení pracovníků ohledně pravidel práce s osobními údaji a rizika informační bezpečnosti;
• c)zajištění smluvní odpovědnosti zaměstnanců, externích spolupracovníků, dodavatelů a jiných třetích stran s přístupem k osobním údajům;
• d)přijetí a udržování procesů kolem práce s klíčovými aktivy zpracovatele, mimo jiné s osobními údaji správce.

3. Technická opatření

3.1.Zpracovatel přijme adekvátní technická opatření pro ochranu osobních údajů, zejména:

• a)antivirové řešení pro ochranu proti malware;
• b)řešení pro síťovou bezpečnost, kombinující firewally, konfiguraci síťových prvků a jiné technologie;
• c)nástroje pro audit práce s citlivými daty správce, nakonfigurován na automatizované hlášení incidentů odpovědným osobám;
• d)šifrování pevných disků a externích médií zpracovatele;
• e)Data Loss Prevention (DLP) řešení pro vynucení pravidel bezpečné práce s osobními údaji a snížení rizika porušení zabezpečení osobních údajů;
• f)zálohování důležité infrastruktury a dat.

4. Fyzická bezpečnost

4.1.Pro ochranu osobních údajů v písemné formě a fyzickou ochranu IT zařízení zpracovatel zavede zejména:

• a)řízení přístupu k osobním údajům; a
• b)fyzické zabezpečení areálů a fyzických/digitálních úložišť dat.

5. Infrastruktura služby Requestor Cloud Nové

5.1.Služba Requestor Cloud je provozována na platformě Microsoft Azure v regionu West Europe (Nizozemsko, Evropská unie). Nové

5.2.Každý správce používá vlastní webovou aplikaci (Azure Web App) a vlastní databázi (Azure SQL). Osobní údaje různých správců se neukládají ve společných databázích. Nové

5.3.Databáze se zálohují automaticky nejméně jednou denně a zálohy se uchovávají po dobu 7 dnů. Zálohy jsou uloženy zónově redundantně v regionu West Europe. Nové

5.4.Aplikace umožňuje jednotné přihlášení (SSO) a vícefázové ověření (MFA). Jejich zapnutí a nastavení provádí správce ve své instanci. Nové

5.5.Údaje v tomto článku popisují stav ke dni účinnosti těchto podmínek a vycházejí z vlastností služeb platformy Microsoft Azure. Zpracovatel je oprávněn je změnit, pokud zachová srovnatelnou úroveň ochrany osobních údajů. Nejde o záruku konkrétní dostupnosti ani o příslib dodatečné náhrady. Nové

Příloha B – Pravidla provádění auditů a inspekcí

1.Poté, co zpracovatel obdrží žádost správce o audit nebo inspekci, se strany dopředu dohodnou na: (a) možném termínu provedení auditu, bezpečnostních opatřeních a způsobu zajištění dodržení závazků mlčenlivosti během auditu nebo (b) předpokládaném začátku, rozsahu a době trvání inspekce, bezpečnostních opatřeních a způsobu zajištění dodržení závazků mlčenlivosti během inspekce.

2.Nedohodnou-li se strany v souladu s bodem 1 této přílohy na všech potřebných náležitostech auditu nebo inspekce do 2 týdnů ode dne, kdy zpracovatel obdržel žádost správce, stanoví termín, průběh a další náležitosti auditu či inspekce sám zpracovatel s přihlédnutím ke spravedlivým zájmům správce.

3.Pro účely auditu nebo inspekce zpracovatel zpřístupní správci nebo správcem pověřenému auditorovi vlastní prostory, zařízení, úložiště a systémy, kde dochází ke zpracování osobních údajů pro správce.

4.Zpracovatel může vznést písemné námitky proti jakémukoliv auditorovi, který byl pověřen správcem, pokud není auditor podle názoru zpracovatele dostatečně kvalifikován, není nezávislý, je v soutěžním postavení vůči zpracovateli, je jinak zjevně nevhodný nebo bez uvedení důvodu. Na základě těchto námitek správce nejprve vybere dalšího auditora. Budou-li námitky následně vzneseny i u tohoto dalšího auditora, správce námitky posoudí, a pokud je shledá důvodnými, provede audit sám.

5.Odměnu auditora, pověřeného správcem, hradí správce. Pokud by však audit nebo inspekce odhalily závažná porušení podmínek ze strany zpracovatele, uhradí odměnu auditora zpracovatel. Budou-li zjištěna porušení obou stran, uhradí celou odměnu auditora správce.

6.Náklady a škodu spojenou s auditem nebo inspekcí si každá smluvní strana nese sama. Pokud se však audit nebo inspekce (1) provádí v kalendářním roce podruhé nebo častěji a (2) neodhalí závažné porušení podmínek ze strany zpracovatele, uhradí správce zpracovateli škodu způsobenou provedením auditu či inspekce (zejména náklady spojené s omezením provozu a náhradu za ztracený čas).

7.Zpracovatel vyvine maximální úsilí, které po něm lze spravedlivě požadovat, aby byla tato pravidla použitelná také na audity a inspekce prováděné u dalších zpracovatelů, zapojených do zpracování zpracovatelem v souladu se smlouvou a těmito podmínkami. Audity a inspekce u dalších zpracovatelů se však mohou řídit individuálními podmínkami těchto dalších zpracovatelů (např. Microsoft Azure), případně může být soulad s dodržováním obecně závazných právních předpisů, zejména GDPR, doložen vlastní auditní zprávou dalšího zpracovatele nebo jinými prostředky dalšího zpracovatele.

Technické informace o hostingu služby Requestor Cloud najdete na stránce Bezpečnost a infrastruktura. Dotazy k zpracování údajů nám pošlete na support@requestor.com.