SMLOUVA O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ

Příloha č. 1 Všeobecných obchodních podmínek služby Cvesso — dle čl. 28 nařízení (EU) 2016/679 (GDPR)

I. Smluvní strany a předmět smlouvy

1.1 Tato smlouva o zpracování osobních údajů (dále jen „Smlouva") se uzavírá mezi společností Big HW Consulting s.r.o., IČO: 109 43 749, se sídlem Chmelová 2893/4, Záběhlice Praha 10, (dále jen „Zpracovatel"), a klientem služby CVesso identifikovaným v jeho uživatelském účtu (dále jen „Správce"). Smlouva je nedílnou přílohou Všeobecných obchodních podmínek služby CVesso (dále jen „VOP") a je uzavřena okamžikem uzavření smlouvy o užívání Služby dle VOP.

1.2 Předmětem Smlouvy je úprava vzájemných práv a povinností při zpracování osobních údajů, které Zpracovatel provádí pro Správce v souvislosti s poskytováním služby CVesso — cloudové aplikace pro správu náborového procesu (dále jen „Služba").

II. Povaha, účel a doba zpracování

2.1 Povahou zpracování je automatizované i manuální zpracování v elektronické podobě, zejména: shromažďování (příjem životopisů e-mailem a nahráním), ukládání, strukturování, analýza a vyhodnocování prostřednictvím systému umělé inteligence, zobrazování Správci, odesílání automatizovaných zpráv Kandidátům, uchovávání a výmaz.

2.2 Účelem zpracování je vedení náborového procesu Správce, zejména evidence uchazečů o zaměstnání, jejich vyhodnocování vůči požadavkům pozic definovaným Správcem, komunikace s uchazeči a správa souhlasů se zpracováním osobních údajů.

2.3 Doba zpracování odpovídá době trvání smlouvy o užívání Služby dle VOP; ustanovení čl. VIII této Smlouvy trvá i po jejím ukončení.

III. Kategorie subjektů údajů a typy osobních údajů

3.1 Kategorie subjektů údajů: uchazeči o zaměstnání u Správce (dále jen „Kandidáti") a kontaktní osoby Správce.

3.2 Typy zpracovávaných osobních údajů Kandidátů:

a) identifikační a kontaktní údaje (jméno, příjmení, adresa, e-mail, telefon);

b) údaje o vzdělání, kvalifikaci, odborné praxi a pracovních zkušenostech;

c) další údaje, které Kandidát uvede ve svém životopise, motivačním dopise nebo navazující komunikaci (např. fotografie, jazykové znalosti, reference);

d) záznamy o komunikaci a o udělení či odvolání souhlasu se zpracováním.

3.3 Služba není určena k cílenému zpracování zvláštních kategorií osobních údajů dle čl. 9 GDPR ani údajů o odsouzeních dle čl. 10 GDPR. Správce se zavazuje takové údaje do Služby cíleně nevkládat a nepožadovat jejich vyhodnocování; uvede-li je Kandidát z vlastní iniciativy v životopise, budou zpracovány pouze jako součást dokumentu bez samostatného vyhodnocování.

IV. Pokyny Správce a povinnosti Zpracovatele

4.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, včetně předání do třetích zemí; to neplatí, ukládá-li mu zpracování právo EU nebo členského státu — v takovém případě Zpracovatel Správce o tomto požadavku informuje před zpracováním, ledaže to právní předpis zakazuje.

4.2 Za doložený pokyn Správce se považuje zejména konfigurace Služby Správcem (nastavení pozic, požadavků, automatizovaných odpovědí, šablon souhlasů) a užívání funkcí Služby v souladu s dokumentací.

4.3 Zpracovatel neprodleně informuje Správce, pokud podle jeho názoru určitý pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.

4.4 Zpracovatel zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti; povinnost mlčenlivosti trvá i po skončení jejich zapojení.

4.5 Zpracovatel nevyužívá osobní údaje Kandidátů k trénování obecných modelů umělé inteligence ani pro vlastní účely; pro rozvoj Služby smí využít výhradně anonymizované a agregované údaje, z nichž nelze identifikovat žádnou fyzickou osobu.

V. Zabezpečení zpracování

5.1 Zpracovatel přijímá s přihlédnutím ke stavu techniky, nákladům, povaze, rozsahu, kontextu a účelům zpracování i rizikům pro práva subjektů údajů vhodná technická a organizační opatření dle čl. 32 GDPR, zejména:

a) šifrování dat při přenosu (TLS) a při uložení;

b) řízení přístupů na principu nezbytného minima, autentizaci uživatelů a oddělení dat jednotlivých klientů;

c) logování přístupů a událostí systému;

d) pravidelné zálohování a postupy obnovy dostupnosti dat;

e) pravidelné testování a hodnocení účinnosti přijatých opatření.

5.2 Zpracovatel zajistí, aby fyzické osoby jednající z jeho pověření zpracovávaly osobní údaje pouze na pokyn Správce dle této Smlouvy.

VI. Dílčí zpracovatelé

6.1 Správce uděluje Zpracovateli obecné povolení k zapojení dílčích zpracovatelů. Aktuální seznam dílčích zpracovatelů ke dni účinnosti Smlouvy:

a) Davmo Software s.r.o. IČ: 08068470 — vývoj a technický provoz Služby;

b) Seonet Multimedia s.r.o. IČ: 27522041— hosting a datová infrastruktura (EU);

c) Ecomail.cz, s.r.o., IČ: 02762943 — odesílání transakčních e-mailů;

d) OpenAI Ireland Ltd. IČ. 737350 — zpracování textu životopisů pro účely AI vyhodnocení.

6.2 Zpracovatel informuje Správce o zamýšlených změnách týkajících se přijetí nebo nahrazení dílčích zpracovatelů nejméně 14 dní předem e-mailem nebo ve Službě. Správce je oprávněn vůči změně vznést odůvodněnou námitku; nedojde-li k dohodě, je Správce oprávněn smlouvu o užívání Služby vypovědět ke dni účinnosti změny.

6.3 Zpracovatel uloží každému dílčímu zpracovateli smlouvou stejné povinnosti na ochranu osobních údajů, jaké jsou uvedeny v této Smlouvě. Za plnění povinností dílčích zpracovatelů odpovídá Zpracovatel, jako by zpracování prováděl sám.

6.4 Dílčí zpracovatelé jsou usazeni v EU/EHP. Předání osobních údajů do třetí země je přípustné pouze při splnění podmínek kapitoly V GDPR (rozhodnutí o odpovídající ochraně nebo vhodné záruky, zejména standardní smluvní doložky) a po předchozím informování Správce.

VII. Součinnost, práva subjektů údajů a incidenty

7.1 Zpracovatel je Správci nápomocen prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti reagovat na žádosti o výkon práv subjektů údajů dle kapitoly III GDPR (přístup, oprava, výmaz, omezení, přenositelnost, námitka). Obdrží-li Zpracovatel žádost subjektu údajů přímo, bez zbytečného odkladu ji předá Správci a sám na ni věcně neodpovídá, nedohodnou-li se strany jinak.

7.2 Zpracovatel je Správci nápomocen při zajišťování souladu s povinnostmi dle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace), a to s přihlédnutím k povaze zpracování a informacím, jež má k dispozici.

7.3 Porušení zabezpečení. Zjistí-li Zpracovatel porušení zabezpečení osobních údajů, ohlásí je Správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, včetně popisu povahy porušení, kategorií a přibližného počtu dotčených subjektů a záznamů, pravděpodobných důsledků a přijatých či navrhovaných opatření. Povinnost ohlásit porušení dozorovému úřadu a subjektům údajů nese Správce.

VIII. Ukončení zpracování a audit

8.1 Po ukončení poskytování Služby Zpracovatel dle volby Správce všechny osobní údaje vymaže, nebo je vrátí Správci ve strojově čitelném formátu, a vymaže existující kopie, nejpozději do 30 dnů od ukončení, ledaže právo EU nebo členského státu vyžaduje jejich uložení. Neurčí-li Správce jinak do 14 dnů od ukončení, Zpracovatel údaje vymaže.

8.2 Zpracovatel poskytne Správci veškeré informace potřebné k doložení souladu s čl. 28 GDPR a umožní audity, včetně inspekcí, prováděné Správcem nebo jím pověřeným auditorem, a přispěje k nim. Audit lze provést nejvýše jednou za 12 měsíců (mimo případy prokázaného incidentu), po písemném oznámení nejméně 14 dní předem, v běžné pracovní době, na náklady Správce a za podmínky ochrany důvěrných informací Zpracovatele a dat ostatních klientů.

8.3 Zpracovatel je oprávněn plnit auditní povinnost přednostně poskytnutím aktuálních zpráv, certifikací nebo výsledků nezávislých auditů, jsou-li k dispozici.

IX. Odpovědnost a závěrečná ustanovení

9.1 Odpovědnost stran za škodu se řídí čl. 82 GDPR a limitací odpovědnosti sjednanou ve VOP; limitace se nepoužije tam, kde ji kogentní právní úprava vylučuje.

9.2 Správce odpovídá za zákonnost zpracování, existenci právního titulu, plnění informačních povinností vůči Kandidátům (čl. 13 a 14 GDPR) a za nastavení doby uchování údajů ve Službě.

9.3 Smlouva se řídí právním řádem České republiky. V otázkách neupravených touto Smlouvou se použijí VOP a GDPR. Změny Smlouvy se provádějí postupem pro změnu VOP.

9.4 Tato Smlouva nabývá účinnosti okamžikem uzavření smlouvy o užívání Služby dle VOP.