Smlouva o zpracování osobních údajů

Tato smlouva upravuje, jak nakládáme s osobními údaji, které do služby AML Way vkládá zákazník. Je součástí smlouvy o poskytování služby a zákazník ji uzavírá spolu s obchodními podmínkami odesláním objednávky. Splňuje požadavky čl. 28 nařízení (EU) 2016/679 (GDPR).

1. Strany a jejich role

• Správce je zákazník. Určuje, proč a jak se osobní údaje jeho klientů a zaměstnanců zpracovávají, a zpravidla tím plní své povinnosti podle zákona č. 253/2008 Sb. („AML zákon“).
• Zpracovatel je společnost AMaL spol. s r.o., IČO 25679911, se sídlem Vinohradská 343/6, Vinohrady, 120 00 Praha 2, zapsaná v obchodním rejstříku (Městský soud v Praze, oddíl C, vložka 60600). Údaje zpracovává pro správce a podle jeho pokynů.

Údaje o samotném zákazníkovi a jeho uživatelích, které potřebujeme k vedení účtu, fakturaci a zabezpečení služby, zpracováváme jako správce. Popisují to zásady ochrany osobních údajů.

2. Co, proč a jak dlouho zpracováváme

• Předmět a účel: provoz služby AML Way pro správce, tedy ukládání údajů, jejich zobrazování oprávněným uživatelům, příprava podkladů a dokumentů, prověřování v seznamech a rejstřících, hlídání termínů, vedení záznamů o provedených úkonech, zálohování a technická podpora.
• Povaha zpracování: automatizované zpracování v online systému.
• Doba: po dobu trvání smlouvy o poskytování služby a potom do výmazu podle článku 9.

Čí údaje zpracováváme

• klienti správce, kteří jsou fyzickými osobami,
• osoby jednající za klienty, jejich zástupci a skuteční majitelé,
• zaměstnanci a spolupracovníci správce, kteří se službou pracují nebo procházejí školením.

Jaké údaje zpracováváme

• identifikační údaje: jméno a příjmení, rodné číslo nebo datum narození, místo narození, pohlaví, bydliště a státní občanství,
• údaje o průkazu totožnosti a jeho kopie, pokud ji správce do služby nahraje,
• kontaktní údaje,
• údaje o podnikání, vlastnické a řídicí struktuře a o skutečných majitelích,
• informace, zda je osoba politicky exponovanou osobou nebo zda se na ni vztahují mezinárodní sankce,
• údaje o účelu a povaze obchodního vztahu a o zdroji peněžních prostředků,
• rizikové zařazení klienta, záznamy o provedených kontrolách a rozhodnutích,
• dokumenty, které správce nebo jeho klient do služby nahraje,
• u zaměstnanců správce: jméno, e-mail, role, záznamy o činnosti ve službě a o absolvovaných školeních.

Služba není určena ke zpracování zvláštních kategorií osobních údajů (například údajů o zdravotním stavu). Správce takové údaje do služby nevkládá, pokud mu to neukládá zákon. Některé zpracovávané údaje mohou vypovídat o podezření z protiprávního jednání. Takové údaje jsou ve službě zařazené do nejpřísnější třídy ochrany.

3. Pokyny správce

• Údaje zpracováváme jen podle doložených pokynů správce. Pokynem je smlouva o poskytování služby, tato smlouva a to, jak správce a jeho uživatelé službu nastaví a používají.
• Další pokyny nám správce posílá písemně nebo e-mailem na support@amlway.com.
• Když si budeme myslet, že pokyn porušuje předpisy o ochraně osobních údajů, hned na to správce upozorníme a s provedením pokynu do vyjasnění počkáme.
• Pokud nám zpracování nad rámec pokynů uloží právní předpis, správce o tom předem informujeme, ledaže to předpis zakazuje.
• Údaje nepoužíváme pro vlastní účely a nikomu je neprodáváme.

4. Povinnosti správce

• Správce odpovídá za to, že má pro zpracování údajů právní důvod a že údaje získal zákonně.
• Správce plní vůči subjektům údajů informační povinnost.
• Správce rozhoduje, kteří jeho uživatelé mají k údajům přístup, a přístupy udržuje aktuální.
• Správce odpovídá za dodržení lhůt, po které musí údaje uchovávat. Podle AML zákona je to 10 let.

5. Mlčenlivost a zabezpečení

K údajům pouštíme jen ty pracovníky, kteří to ke své práci nezbytně potřebují. Všichni jsou vázáni mlčenlivostí, která trvá i po skončení jejich práce pro nás. Údaje chráníme hlavně těmito opatřeními:

• šifrování při přenosu i při uložení, u nejcitlivějších údajů navíc šifrování přímo v aplikaci,
• oddělení dat jednotlivých zákazníků na úrovni aplikace i databáze,
• přístup podle rolí a dvoufázové přihlášení pro role s rozšířenými oprávněními,
• neměnný záznam důležitých akcí s autorem a časem,
• kontrola nahrávaných souborů včetně antivirové,
• pravidelné zálohy a ověřování obnovy dat,
• pravidlo, že citlivé údaje se nezapisují do provozních záznamů.

Podrobný popis najdete na stránce Bezpečnost. Opatření průběžně zlepšujeme a úroveň ochrany nesnížíme.

6. Další zpracovatelé

• Správce nám dává obecné povolení zapojit další zpracovatele. Využíváme je jen pro provoz služby, hlavně tyto druhy dodavatelů: poskytovatel hostingu a úložiště dat, poskytovatel přihlašování, poskytovatel rozesílání e-mailů a dodavatelé údajů pro prověřování v sankčních a dalších seznamech.
• Aktuální seznam dalších zpracovatelů správci na požádání pošleme.
• O záměru zapojit nového zpracovatele nebo některého nahradit informujeme správce e-mailem nejméně 30 dní předem. Správce může do 14 dní vznést odůvodněnou námitku. Když se nedohodneme na řešení, může správce smlouvu o poskytování služby vypovědět ke dni, kdy by změna začala platit, a my mu vrátíme poměrnou část zaplacené ceny.
• Každého dalšího zpracovatele smluvně zavážeme ke stejné ochraně údajů, jakou ukládá tato smlouva. Za to, jak své povinnosti plní, odpovídáme správci my.

7. Kde údaje zpracováváme

Údaje ukládáme a zpracováváme v Evropské unii. Mimo Evropský hospodářský prostor je bez předchozího písemného souhlasu správce nepředáváme. Pokud by k takovému předání mělo dojít, zajistíme záruky, které vyžaduje kapitola V GDPR.

8. Pomoc správci

• Žádosti subjektů údajů: služba správci umožňuje údaje vyhledat, opravit a exportovat. Když se subjekt údajů se žádostí obrátí přímo na nás, předáme ji bez zbytečného odkladu správci a sami na ni neodpovídáme.
• Porušení zabezpečení: když zjistíme porušení zabezpečení osobních údajů, oznámíme to správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění. Sdělíme, co se stalo, kterých údajů a kolika osob se to přibližně týká, jaké jsou pravděpodobné důsledky a jaká opatření jsme přijali nebo navrhujeme. Co ještě nevíme, doplníme, jakmile to zjistíme.
• Posouzení vlivu a konzultace s úřadem: poskytneme správci informace o službě, které k tomu potřebuje.
• Žádosti úřadů: když nás o údaje správce požádá orgán veřejné moci, dáme o tom správci vědět, pokud to zákon nezakazuje.

Bezpečnostní události nám hlaste na security@amlway.com.

9. Vrácení a výmaz údajů

• Po skončení smlouvy o poskytování služby si správce může údaje po dobu 30 dní exportovat v běžně čitelném formátu.
• Potom údaje smažeme, ze záloh nejpozději do dalších 90 dní. Výmaz správci na požádání písemně potvrdíme.
• Ponecháme si jen údaje, jejichž uchování nám ukládá právní předpis, a jen po dobu, kterou stanoví.
• Povinnost uchovávat údaje o klientech a obchodech 10 let podle AML zákona má správce. Proto si údaje před skončením smlouvy musí exportovat, nebo se s námi dohodnout na jejich dalším uchování.

10. Kontrola a audit

• Na požádání správci poskytneme informace potřebné k doložení, že plníme povinnosti z této smlouvy a z čl. 28 GDPR.
• Správce může provést audit sám nebo prostřednictvím nezávislého auditora vázaného mlčenlivostí, nejvýše jednou za rok, a navíc vždy po porušení zabezpečení, které se týká jeho údajů. Termín a rozsah s námi dohodne nejméně 30 dní předem.
• Audit nesmí ohrozit bezpečnost služby ani údaje jiných zákazníků a probíhá v běžné pracovní době. Náklady na audit nese správce. Když audit odhalí, že jsme tuto smlouvu porušili, neseme přiměřené náklady my.

11. Odpovědnost

Každá strana odpovídá za škodu, kterou způsobí porušením této smlouvy nebo předpisů o ochraně osobních údajů. Pro odpovědnost mezi stranami platí omezení sjednané v obchodních podmínkách. Práva subjektů údajů podle čl. 82 GDPR tím nejsou dotčena.

12. Závěrečná ustanovení

• Tato smlouva platí po dobu, po kterou pro správce zpracováváme osobní údaje.
• Když se tato smlouva v otázkách ochrany osobních údajů liší od obchodních podmínek, má přednost tato smlouva.
• Změny této smlouvy oznamujeme stejným způsobem jako změny obchodních podmínek.
• Smlouva se řídí českým právem.
• Potřebujete-li smlouvu v podepsané listinné nebo elektronické podobě, napište nám na support@amlway.com a pošleme vám ji.