Tyto zásady se vztahují na osobní údaje, které Atodat zpracovává při návštěvě veřejného webu, při odeslání formuláře, při žádosti o ukázku služby, při e-mailové nebo telefonické komunikaci, při jednání o spolupráci, při uzavření smlouvy a při správě vlastních obchodních a provozních vztahů.

Rozsah zpracování

Tyto zásady se vztahují na osobní údaje, které Atodat zpracovává při návštěvě veřejného webu, při odeslání formuláře, při žádosti o ukázku služby, při e-mailové nebo telefonické komunikaci, při jednání o spolupráci, při uzavření smlouvy a při správě vlastních obchodních a provozních vztahů.

Zásady se mohou vztahovat také na údaje oprávněných uživatelů, kterým byl vytvořen přístup do konkrétní služby Atodat, pokud Atodat pro dané zpracování skutečně určuje účel a prostředky použití osobních údajů.

Pokud organizace využívá produkt Atodat pro práci se svými vlastními daty, může být tato organizace správcem osobních údajů a Atodat může vystupovat jako zpracovatel. V takové situaci Atodat zpracovává údaje pouze jménem zákazníka, v rozsahu smlouvy o zpracování osobních údajů a doložených pokynů zákazníka.

Konkrétní situace, na které zásady dopadají

Zásady se mohou uplatnit už při první návštěvě webu, pokud při ní vznikají technické provozní údaje. Rozsah se dále rozšiřuje podle toho, zda odešlete formulář, požádáte o ukázku, vedete s Atodat obchodní komunikaci, uzavřete smlouvu nebo získáte přístup do konkrétní služby.

• návštěva veřejných stránek a bezpečnostní provoz webu,
• odeslání kontaktního nebo poptávkového formuláře,
• e-mailová, telefonická nebo jiná přímá komunikace,
• příprava nabídky a jednání před uzavřením smlouvy,
• správa zákaznického vztahu a uživatelského účtu,
• poskytování podpory a řešení technických problémů.

Kdy se naopak může uplatnit režim zákazníka

Pokud organizace používá Atodat pro vlastní agendu a sama určuje, proč a jak bude s osobními údaji pracovat, může být vůči těmto datům správcem právě tato organizace. Atodat pak nemusí rozhodovat o účelu použití dat, ale zajišťuje technické operace potřebné pro provoz služby.

Rozsah zpracování se odvíjí od toho, jakým způsobem s Atodat komunikujete nebo jakou službu používáte. Při běžné návštěvě webu vzniká jiný rozsah údajů než při založení účtu, používání produktu nebo uzavření smluvního vztahu.

Kategorie údajů

Rozsah zpracování se odvíjí od toho, jakým způsobem s Atodat komunikujete nebo jakou službu používáte. Při běžné návštěvě webu vzniká jiný rozsah údajů než při založení účtu, používání produktu nebo uzavření smluvního vztahu.

• jméno, příjmení, pracovní pozice, organizace a profesní kontaktní údaje,
• e-mailová adresa, telefonní číslo a obsah komunikace s Atodat,
• údaje uvedené v kontaktním formuláři, poptávce, objednávce nebo smluvní dokumentaci,
• uživatelské identifikátory, přístupová oprávnění, přiřazené role a nastavení účtu,
• technické údaje, například IP adresa, čas přístupu, identifikátor relace, typ prohlížeče a provozní záznamy,
• fakturační, účetní, platební a smluvní údaje, pokud vznikne obchodní vztah,
• informace o nastavení komunikace, volbách soukromí a udělených souhlasech.

Atodat nevyžaduje zvláštní kategorie osobních údajů, pokud nejsou nezbytné pro konkrétní legitimní účel. Do běžných formulářů proto nevkládejte informace o zdravotním stavu, politických názorech, náboženském vyznání, biometrických údajích nebo jiné citlivé údaje, pokud o ně Atodat výslovně nepožádá.

Rozdělení údajů podle jejich funkce

Identifikační a kontaktní údaje slouží k rozpoznání osoby a vedení komunikace. Údaje o účtu a oprávněních umožňují určit, kdo se může do služby přihlásit a jaké funkce může používat. Technické a provozní údaje vznikají při samotném používání webu nebo služby a mohou být důležité pro bezpečnost, diagnostiku a stabilitu.

• Identifikační údaje: jméno, příjmení, pracovní pozice a organizace.
• Kontaktní údaje: pracovní e-mail, telefon a další údaje použité pro komunikaci.
• Obsah komunikace: zprávy, poptávky, požadavky na podporu a informace uvedené ve formulářích.
• Účet a přístupy: uživatelský identifikátor, role, přidělená oprávnění a nastavení.
• Technické údaje: IP adresa, čas přístupu, identifikátor relace, typ prohlížeče a relevantní provozní záznamy.
• Obchodní a účetní údaje: informace nezbytné pro smlouvu, fakturaci, platby a účetní evidenci.
• Volby soukromí: informace o uděleném souhlasu, jeho odvolání nebo nastavení cookies.

Citlivější údaje

Běžné formuláře Atodat nejsou určeny pro vkládání údajů o zdravotním stavu, politických názorech, náboženském vyznání, biometrických údajích nebo jiných zvláštních kategoriích osobních údajů, pokud jejich poskytnutí není výslovně vyžádáno pro konkrétní legitimní účel.

Ve většině případů získává Atodat osobní údaje přímo od vás. Může jít o údaje uvedené ve formuláři, v e-mailu, při registraci, v žádosti o ukázku, při komunikaci s obchodním týmem nebo při používání konkrétní služby.

Zdroje údajů

Ve většině případů získává Atodat osobní údaje přímo od vás. Může jít o údaje uvedené ve formuláři, v e-mailu, při registraci, v žádosti o ukázku, při komunikaci s obchodním týmem nebo při používání konkrétní služby.

V omezených případech mohou údaje pocházet od organizace, pro kterou pracujete. Typicky se tak může stát, pokud vám správce zákaznického prostředí vytvoří uživatelský účet, přidělí roli nebo předá Atodat pracovní kontaktní údaje nutné pro správu přístupu.

Atodat může získat omezené profesní kontaktní údaje také z veřejně dostupných zdrojů, pokud je jejich použití přiměřené obchodní komunikaci a existuje pro něj odpovídající právní základ. Pokud údaje nezískáme přímo od vás, poskytneme informace o jejich zpracování v rozsahu vyžadovaném právními předpisy.

Přímé zdroje

Nejčastěji údaje poskytujete sami při formuláři, registraci, žádosti o ukázku, e-mailu, telefonátu nebo při používání služby. V takové situaci je možné spojit konkrétní údaj přímo s komunikací nebo úkonem, při kterém byl předán.

Údaje od vaší organizace

Pokud používáte službu v rámci zaměstnání nebo jiné profesní role, může Atodat obdržet vaše pracovní údaje od organizace, která vám vytváří účet nebo přiděluje přístup. Může jít například o pracovní e-mail, jméno, organizační zařazení nebo roli potřebnou pro nastavení oprávnění.

Veřejně dostupné profesní údaje

V omezených případech mohou být použity veřejně dostupné profesní kontaktní údaje, pokud je jejich využití přiměřené obchodní komunikaci a existuje pro něj odpovídající právní základ. Pokud údaj nebyl získán přímo od vás, musí být informační povinnost splněna v rozsahu požadovaném právními předpisy.

Atodat používá osobní údaje pro odpověď na zprávu, vyřízení poptávky, přípravu nabídky, jednání před uzavřením smlouvy, vytvoření účtu, poskytování objednané služby, správu oprávnění, zákaznickou podporu, fakturaci, řešení technických problémů a komunikaci související se smluvním vztahem.

Komunikace, nabídky a smluvní vztahy

Atodat používá osobní údaje pro odpověď na zprávu, vyřízení poptávky, přípravu nabídky, jednání před uzavřením smlouvy, vytvoření účtu, poskytování objednané služby, správu oprávnění, zákaznickou podporu, fakturaci, řešení technických problémů a komunikaci související se smluvním vztahem.

Právním základem pro tato zpracování může být provedení opatření přijatých před uzavřením smlouvy, plnění uzavřené smlouvy nebo plnění povinností, které Atodat ukládají právní předpisy.

Bezpečnost a ochrana práv

Atodat může používat technické a bezpečnostní záznamy za účelem ochrany webu, uživatelských účtů, infrastruktury, obchodních informací a právních nároků. To může zahrnovat vyhodnocení neúspěšných přihlášení, neobvyklých provozních událostí, pokusů o zneužití formulářů, bezpečnostních incidentů nebo porušení smluvních podmínek.

Právním základem je v těchto případech oprávněný zájem Atodat na bezpečném a řádném provozu služeb, ochraně jeho práv, prevenci podvodů a obraně nebo uplatňování právních nároků.

Souhlas a volitelné účely

Pokud Atodat používá osobní údaje pro účel, který vyžaduje souhlas, například pro určité druhy marketingové komunikace nebo volitelné cookies, bude zpracování založeno na vašem souhlasu. Souhlas můžete kdykoliv odvolat, aniž by tím byla dotčena zákonnost zpracování provedeného před jeho odvoláním.

Komunikace a obchodní vztah

Údaje mohou být potřeba k tomu, aby Atodat odpověděl na konkrétní dotaz, připravil nabídku, navázal na žádost o ukázku, uzavřel smlouvu, vytvořil uživatelský účet nebo poskytoval dohodnutou službu. Do stejné oblasti patří správa oprávnění, fakturace, zákaznická podpora a řešení technických problémů.

Bezpečnostní a provozní použití

Technické záznamy mohou být používány pro ochranu webu, účtů a infrastruktury. Prakticky může jít o vyhodnocování neúspěšných přihlášení, neobvyklých provozních událostí, pokusů o zneužití formulářů, bezpečnostních incidentů nebo porušení smluvních podmínek.

Jak se volí právní základ

• opatření před uzavřením smlouvy, pokud o nabídku nebo službu sami žádáte,
• plnění smlouvy po vzniku zákaznického vztahu,
• plnění zákonné povinnosti, pokud Atodat musí určitý údaj zpracovat ze zákona,
• oprávněný zájem, například pro bezpečný provoz, prevenci zneužití nebo ochranu práv,
• souhlas u účelů, u kterých je souhlas skutečně požadován, například u některých volitelných marketingových nebo cookie scénářů.

Pokud je zpracování založeno na souhlasu, jeho odvolání neovlivňuje zákonnost zpracování provedeného před odvoláním.

Pokud Atodat zpracovává údaje na základě oprávněného zájmu, posuzuje, zda je zpracování nezbytné a zda nad jeho zájmy nepřevažují práva a svobody dotčených osob.

Oprávněné zájmy

Pokud Atodat zpracovává údaje na základě oprávněného zájmu, posuzuje, zda je zpracování nezbytné a zda nad jeho zájmy nepřevažují práva a svobody dotčených osob.

• zajištění bezpečnosti webu, účtů, systémů a komunikačních kanálů,
• prevence podvodů, zneužití služeb a neoprávněného přístupu,
• správa a obrana právních nároků, řešení sporů a ochrana majetku,
• udržování přiměřené obchodní komunikace s existujícími nebo potenciálními partnery,
• zlepšování stability, výkonu a bezpečnosti vlastních služeb na základě provozních dat.

Proti zpracování založenému na oprávněném zájmu můžete vznést námitku. Atodat pak zpracování omezí nebo ukončí, pokud neprokáže závažné oprávněné důvody, které převažují nad vašimi zájmy, právy a svobodami, nebo pokud údaje nepotřebuje pro určení, výkon nebo obhajobu právních nároků.

Kdy může být oprávněný zájem relevantní

Oprávněný zájem není automatickým oprávněním použít osobní údaje pro libovolný účel. Atodat musí posoudit, zda je zamýšlené zpracování skutečně potřebné a zda nad daným zájmem nepřevažují práva a svobody dotčené osoby.

• ochrana účtů, systémů a komunikačních kanálů před zneužitím,
• prevence podvodů a neoprávněného přístupu,
• správa, uplatňování a obrana právních nároků,
• přiměřená obchodní komunikace s existujícími nebo potenciálními partnery,
• vyhodnocování provozních dat potřebných pro stabilitu, výkon a bezpečnost služeb.

Námitka proti zpracování

Pokud je konkrétní zpracování založeno na oprávněném zájmu, můžete proti němu vznést námitku. Atodat musí následně posoudit, zda existují závažné oprávněné důvody pro pokračování, případně zda jsou údaje potřeba pro určení, výkon nebo obhajobu právních nároků.

Návštěva veřejné části webu zpravidla nevyžaduje poskytnutí běžných kontaktních údajů. Pokud však odešlete formulář, požádáte o ukázku služby, chcete uzavřít smlouvu nebo používat uživatelský účet, mohou být určité údaje nezbytné pro zpracování vašeho požadavku, ověření oprávnění nebo poskytnutí služby.

Dobrovolné a nezbytné údaje

Návštěva veřejné části webu zpravidla nevyžaduje poskytnutí běžných kontaktních údajů. Pokud však odešlete formulář, požádáte o ukázku služby, chcete uzavřít smlouvu nebo používat uživatelský účet, mohou být určité údaje nezbytné pro zpracování vašeho požadavku, ověření oprávnění nebo poskytnutí služby.

Neposkytnutí údajů, které jsou nutné pro uzavření nebo plnění smlouvy, může znamenat, že Atodat nebude moci poskytnout požadovaný přístup, nabídku, podporu, smluvní plnění nebo konkrétní funkci služby.

Údaje používané pouze pro volitelné účely nejsou podmínkou pro přístup k základnímu obsahu webu. To se může týkat například newsletteru, marketingových sdělení nebo volitelných analytických a marketingových cookies.

Co můžete používat bez běžných kontaktních údajů

Samotná návštěva veřejné části webu zpravidla nevyžaduje, abyste zadávali jméno, e-mail nebo telefon. To ale nevylučuje vznik omezených technických údajů potřebných pro fungování a zabezpečení webu.

Kdy jsou údaje nezbytné

Pokud chcete, aby Atodat odpověděl na individuální požadavek, připravil nabídku, založil účet, poskytl službu, ověřil oprávnění nebo splnil smluvní povinnost, může být bez některých údajů nemožné požadovanou činnost provést.

• bez kontaktního údaje nemusí být možné odpovědět na poptávku,
• bez identifikačních a smluvních údajů nemusí být možné uzavřít nebo plnit smlouvu,
• bez údajů o účtu a roli nemusí být možné vytvořit bezpečný přístup do služby,
• bez relevantních technických záznamů může být omezeno řešení konkrétního bezpečnostního nebo technického problému.

Údaje pro volitelné marketingové nebo analytické účely nejsou podmínkou pro přístup k základnímu obsahu webu.

Přístup k osobním údajům mají pouze osoby a dodavatelé, kteří je potřebují pro konkrétní provozní, smluvní, bezpečnostní nebo zákonný účel. Rozsah přístupu je omezen příslušnou rolí, povahou úkolu a nezbytným rozsahem údajů.

Příjemci a zpracovatelé

Přístup k osobním údajům mají pouze osoby a dodavatelé, kteří je potřebují pro konkrétní provozní, smluvní, bezpečnostní nebo zákonný účel. Rozsah přístupu je omezen příslušnou rolí, povahou úkolu a nezbytným rozsahem údajů.

• oprávnění členové týmu Atodat, kteří jsou vázáni povinností mlčenlivosti,
• poskytovatelé hostingu, cloudové infrastruktury, e-mailových služeb, záloh, podpory a zabezpečení,
• účetní, daňoví, právní a další odborní poradci, pokud je jejich zapojení nezbytné,
• poskytovatelé platebních, fakturačních nebo komunikačních služeb, pokud jsou pro konkrétní vztah využiti,
• orgány veřejné moci, pokud jejich přístup vyžaduje právní předpis nebo vykonatelné rozhodnutí.

Externí poskytovatelé mohou údaje zpracovávat pouze v rozsahu nezbytném pro poskytnutí sjednané služby a na základě odpovídajících smluvních ujednání, pokud vystupují jako zpracovatelé.

Před zveřejněním doplňte nebo interně ověřte skutečný seznam poskytovatelů hostingu, e-mailu, analytiky, formulářů, cloudové infrastruktury, zálohování a zákaznické podpory.

Přístup podle role a potřeby

Přístup nemá být plošný. Má být omezen na osoby a dodavatele, kteří dané údaje potřebují pro konkrétní úkol. Rozsah přístupu se proto může lišit mezi obchodní komunikací, technickou podporou, účetnictvím, hostingem nebo bezpečnostními činnostmi.

• členové týmu Atodat vázaní povinností mlčenlivosti,
• poskytovatelé hostingu a cloudové infrastruktury,
• e-mailové, zálohovací, podpůrné a bezpečnostní služby,
• účetní, daňoví, právní a další odborní poradci,
• poskytovatelé platebních, fakturačních nebo komunikačních služeb, pokud jsou využiti,
• orgány veřejné moci, pokud je zpřístupnění vyžadováno právním předpisem nebo vykonatelným rozhodnutím.

Externí zpracovatelé

Pokud externí dodavatel vystupuje jako zpracovatel, má zpracovávat údaje pouze v rozsahu nutném pro sjednanou službu a na základě odpovídajících smluvních ujednání.

Některé technologie nebo poskytovatelé infrastruktury mohou zpracovávat osobní údaje mimo Evropský hospodářský prostor. Pokud k takovému předání dojde, Atodat použije pouze právní mechanismus, který poskytuje odpovídající úroveň ochrany osobních údajů.

Mezinárodní předávání

Některé technologie nebo poskytovatelé infrastruktury mohou zpracovávat osobní údaje mimo Evropský hospodářský prostor. Pokud k takovému předání dojde, Atodat použije pouze právní mechanismus, který poskytuje odpovídající úroveň ochrany osobních údajů.

V závislosti na konkrétním poskytovateli může jít zejména o rozhodnutí Evropské komise o odpovídající ochraně, standardní smluvní doložky, doplňková technická a organizační opatření nebo jiný mechanismus uznaný příslušnými právními předpisy.

Informace o relevantních ochranných opatřeních lze požadovat prostřednictvím kontaktu uvedeného v části „Správce osobních údajů a kontakt“, pokud je to pro dané zpracování použitelné.

Kdy může k mezinárodnímu předání dojít

K předání mimo EHP může dojít zejména tehdy, pokud použitý poskytovatel infrastruktury nebo jiné technologie zpracovává data v zemi mimo Evropský hospodářský prostor. Samotné použití zahraniční technologie ale neznamená, že je možné údaje předávat bez dalších podmínek.

Jaké ochranné mechanismy mohou být použity

• rozhodnutí Evropské komise o odpovídající úrovni ochrany,
• standardní smluvní doložky,
• doplňková technická a organizační opatření,
• jiný mechanismus uznaný příslušnými právními předpisy.

Informace o relevantním mechanismu a ochranných opatřeních lze požadovat prostřednictvím privacy kontaktu, pokud se takové předávání na konkrétní zpracování vztahuje.

Web Atodat může používat technické cookies a obdobné technologie nezbytné pro základní fungování webu, zabezpečení formulářů, správu relace, ochranu proti zneužití, udržení dostupnosti webu a zapamatování základních voleb uživatele.

Technické cookies

Web Atodat může používat technické cookies a obdobné technologie nezbytné pro základní fungování webu, zabezpečení formulářů, správu relace, ochranu proti zneužití, udržení dostupnosti webu a zapamatování základních voleb uživatele.

Technické cookies nesmí být používány pro nesouvisející reklamní nebo marketingové účely. Pokud je prostřednictvím technických cookies zpracováván osobní údaj, Atodat poskytuje informace o tomto zpracování v těchto zásadách.

Analytické, marketingové a jiné volitelné technologie

Analytické, marketingové nebo jiné netechnické cookies a podobné technologie mohou být aktivovány pouze v souladu s vaším aktivním nastavením soukromí. Pokud souhlas neudělíte, tyto volitelné technologie zůstanou vypnuté.

Odmítnutí volitelných cookies musí být stejně snadné jako jejich přijetí. Vaše volba musí být kdykoliv dostupná ke změně prostřednictvím funkčního nastavení cookies na webu.

Před publikací doplňte skutečný seznam cookies a podobných technologií: poskytovatel, název, účel, právní základ, doba uložení, případné předání mimo EHP a odkaz na funkční centrum nastavení cookies.

Technické cookies a obdobné technologie

Technické cookies mohou být použity pro základní fungování webu, správu relace, zabezpečení formulářů, ochranu proti zneužití, udržení dostupnosti a zapamatování základních voleb. Jejich účelem nemá být nesouvisející reklamní profilování.

Volitelné technologie

Analytické, marketingové nebo jiné netechnické technologie mají být aktivovány pouze podle vašeho aktivního nastavení soukromí. Pokud souhlas neudělíte, mají zůstat vypnuté. Odmítnutí volitelných cookies má být stejně snadné jako jejich přijetí a volbu musí být možné později změnit.

Co má být u jednotlivých cookies dohledatelné

• poskytovatel technologie,
• název cookie nebo obdobného identifikátoru,
• konkrétní účel použití,
• právní základ,
• doba uložení nebo životnost,
• informace o případném předání mimo EHP.

Atodat přijímá opatření přiměřená povaze zpracování, rozsahu používaných systémů a rizikům pro dotčené osoby. Cílem těchto opatření je snížit riziko neoprávněného přístupu, ztráty, změny, zneužití, zveřejnění nebo nedostupnosti osobních údajů.

Technická a organizační opatření

Atodat přijímá opatření přiměřená povaze zpracování, rozsahu používaných systémů a rizikům pro dotčené osoby. Cílem těchto opatření je snížit riziko neoprávněného přístupu, ztráty, změny, zneužití, zveřejnění nebo nedostupnosti osobních údajů.

• řízení přístupových oprávnění a princip minimálních oprávnění,
• oddělování rolí a omezení přístupu k údajům podle pracovního nebo smluvního účelu,
• ochrana komunikace, přenosu dat a důležitých provozních rozhraní,
• evidence vybraných bezpečnostních a provozních událostí,
• řízení změn, zálohování a vyhodnocování technických rizik,
• postupy pro identifikaci, řešení a dokumentaci bezpečnostních incidentů.

Žádné digitální prostředí nelze považovat za zcela bezrizikové. Pokud Atodat zjistí porušení zabezpečení osobních údajů, vyhodnotí povahu incidentu, přijme odpovídající nápravná opatření a splní oznamovací povinnosti, pokud je jejich splnění vyžadováno právními předpisy.

Ochrana přístupu a provozu

Bezpečnostní opatření se mají přizpůsobovat rozsahu systémů, typu dat a konkrétním rizikům. Smyslem je snížit pravděpodobnost neoprávněného přístupu, ztráty, změny, zneužití, zveřejnění nebo nedostupnosti údajů.

• řízení přístupových oprávnění a princip minimálních oprávnění,
• oddělení rolí a přístup pouze podle pracovního nebo smluvního účelu,
• ochrana komunikace, přenosu dat a důležitých provozních rozhraní,
• evidence vybraných bezpečnostních a provozních událostí,
• řízení změn a vyhodnocování technických rizik,
• zálohování a postupy pro řešení bezpečnostních incidentů.

Co se děje při incidentu

Pokud Atodat zjistí porušení zabezpečení osobních údajů, musí vyhodnotit jeho povahu, přijmout nápravná opatření a splnit oznamovací povinnosti, pokud je vyžadují příslušné právní předpisy.

Atodat neuchovává osobní údaje déle, než je nezbytné pro konkrétní účel, splnění právní povinnosti, ochranu právních nároků nebo řešení bezpečnostního incidentu. Konkrétní doba uchování se může lišit podle povahy služby, typu údajů, smluvního vztahu a relevantních právních požadavků.

Doby uchování a kritéria

Atodat neuchovává osobní údaje déle, než je nezbytné pro konkrétní účel, splnění právní povinnosti, ochranu právních nároků nebo řešení bezpečnostního incidentu. Konkrétní doba uchování se může lišit podle povahy služby, typu údajů, smluvního vztahu a relevantních právních požadavků.

• poptávky a obchodní komunikace po dobu potřebnou pro vyřízení požadavku a přiměřenou navazující komunikaci,
• údaje uživatelského účtu po dobu existence účtu a nezbytnou dobu po jeho ukončení,
• smluvní, účetní a daňová dokumentace po dobu stanovenou relevantními právními předpisy,
• údaje zpracovávané na základě souhlasu do odvolání souhlasu nebo do naplnění účelu,
• bezpečnostní a provozní logy po dobu přiměřenou jejich bezpečnostnímu a diagnostickému účelu.

Po uplynutí příslušné doby jsou údaje vymazány, anonymizovány nebo dále uchovávány pouze tehdy, pokud pro jejich další uložení existuje samostatný zákonný důvod.

Pro plnou právní přesnost doplňte interně schválené retenční doby pro formuláře, CRM, uživatelské účty, zálohy, logy, účetní dokumentaci a data zákaznické podpory.

Retence se řídí účelem, ne jednou univerzální lhůtou

Různé typy údajů mají odlišný důvod existence. Proto se může lišit i doba, po kterou je Atodat potřebuje. Poptávka, uživatelský účet, účetní dokumentace a bezpečnostní log mají odlišný účel i odlišná kritéria pro výmaz.

• poptávky a obchodní komunikace po dobu nutnou pro vyřízení a přiměřenou navazující komunikaci,
• údaje účtu po dobu jeho existence a nezbytnou dobu po jeho ukončení,
• smluvní, účetní a daňové údaje podle příslušných zákonných povinností,
• údaje založené na souhlasu do odvolání souhlasu nebo naplnění účelu,
• bezpečnostní a provozní logy po dobu přiměřenou diagnostickému a bezpečnostnímu účelu.

Po skončení příslušné doby mají být údaje vymazány, anonymizovány nebo dále uchovávány jen tehdy, existuje-li pro další uchování samostatný zákonný důvod.

Za podmínek stanovených právními předpisy můžete požádat o potvrzení, zda Atodat zpracovává vaše osobní údaje, a můžete požadovat přístup k těmto údajům nebo kopii informací o jejich zpracování.

Práva subjektů údajů

Za podmínek stanovených právními předpisy můžete požádat o potvrzení, zda Atodat zpracovává vaše osobní údaje, a můžete požadovat přístup k těmto údajům nebo kopii informací o jejich zpracování.

• opravu nepřesných nebo neúplných osobních údajů,
• výmaz osobních údajů, pokud pro jejich další zpracování neexistuje důvod,
• omezení zpracování v případech stanovených právními předpisy,
• přenositelnost údajů, pokud jsou splněny zákonné podmínky,
• námitku proti zpracování založenému na oprávněném zájmu,
• odvolání souhlasu, pokud je zpracování na souhlasu založeno.

Žádost můžete poslat na privacy@atodat.com. Atodat může před vyřízením žádosti požadovat přiměřené ověření totožnosti, aby nedošlo k neoprávněnému zpřístupnění nebo změně osobních údajů.

Atodat poskytne informace o přijatých opatřeních bez zbytečného odkladu, zpravidla nejpozději do jednoho měsíce od obdržení žádosti. Pokud je žádost složitá nebo je podáno více žádostí, může být lhůta prodloužena o další dva měsíce; o takovém prodloužení a jeho důvodech bude žadatel informován v první měsíční lhůtě.

Máte také právo podat stížnost u Úřadu pro ochranu osobních údajů, pokud se domníváte, že zpracování vašich osobních údajů není v souladu s příslušnými právními předpisy.

Co můžete požadovat

• potvrzení, zda Atodat vaše osobní údaje zpracovává,
• přístup k údajům a informacím o jejich zpracování,
• opravu nepřesných nebo neúplných údajů,
• výmaz, pokud pro další zpracování neexistuje důvod,
• omezení zpracování v zákonem stanovených situacích,
• přenositelnost údajů, pokud jsou splněny podmínky,
• námitku proti zpracování založenému na oprávněném zájmu,
• odvolání souhlasu u zpracování, které je na souhlasu založeno.

Jak probíhá vyřízení žádosti

Žádost lze zaslat na privacy@atodat.com. Před poskytnutím nebo změnou údajů může Atodat přiměřeně ověřit totožnost žadatele, aby nedošlo k neoprávněnému zpřístupnění. Informace o přijatých opatřeních mají být poskytnuty bez zbytečného odkladu, zpravidla nejpozději do jednoho měsíce. U složité žádosti nebo většího počtu žádostí může být lhůta prodloužena o další dva měsíce, přičemž žadatel musí být o prodloužení a jeho důvodech informován v první měsíční lhůtě.

Stížnost u dozorového úřadu

Pokud se domníváte, že zpracování není v souladu s pravidly ochrany osobních údajů, můžete podat stížnost u Úřadu pro ochranu osobních údajů.

Při provozu veřejného webu Atodat neprovádí automatizované individuální rozhodování, které by samo o sobě mělo právní účinky nebo jednotlivce obdobně významně ovlivňovalo.

Automatizované rozhodování

Při provozu veřejného webu Atodat neprovádí automatizované individuální rozhodování, které by samo o sobě mělo právní účinky nebo jednotlivce obdobně významně ovlivňovalo.

Pokud by konkrétní produkt, služba nebo zákaznický proces Atodat v budoucnu zahrnoval automatizované rozhodování nebo profilování s významným dopadem, budou informace o logice, významu a předpokládaných důsledcích takového zpracování poskytnuty přímo u dané služby nebo v navazující dokumentaci.

Údaje dětí

Web a běžné služby Atodat nejsou určeny dětem, pokud konkrétní služba výslovně nestanoví jinak. Atodat vědomě neshromažďuje osobní údaje dětí způsobem, který by byl v rozporu s platnými právními předpisy.

Pokud se domníváte, že dítě poskytlo Atodat osobní údaje bez odpovídajícího oprávnění, kontaktujte nás prostřednictvím adresy privacy@atodat.com.

Veřejný web a automatizované rozhodování

Při běžném provozu veřejného webu Atodat neprovádí automatizované individuální rozhodování, které by samo o sobě mělo právní účinky nebo jednotlivce obdobně významně ovlivňovalo.

Pokud by konkrétní produkt nebo zákaznický proces takové rozhodování nebo profilování obsahoval, musí být u dané služby samostatně popsána logika, význam a předpokládané důsledky takového zpracování.

Údaje dětí

Veřejný web a běžné služby nejsou určeny dětem, pokud konkrétní služba výslovně nestanoví jinak. Pokud se domníváte, že dítě předalo osobní údaje bez odpovídajícího oprávnění, je možné situaci oznámit na privacy@atodat.com.

Tyto zásady mohou být upraveny, pokud se změní služby Atodat, používané technologie, zpracovatelské procesy, dodavatelská infrastruktura nebo právní požadavky vztahující se k ochraně osobních údajů.

Změny dokumentu

Tyto zásady mohou být upraveny, pokud se změní služby Atodat, používané technologie, zpracovatelské procesy, dodavatelská infrastruktura nebo právní požadavky vztahující se k ochraně osobních údajů.

Významné změny, které mohou podstatně ovlivnit způsob zpracování osobních údajů, budou oznámeny přiměřeným způsobem podle povahy změny a vztahu s uživatelem nebo zákazníkem.

Kontakt

Atodat
[DOPLŇTE PRÁVNÍ NÁZEV SPOLEČNOSTI]
[DOPLŇTE SÍDLO SPOLEČNOSTI]
privacy@atodat.com

Kdy může být dokument změněn

Zásady mohou být aktualizovány při změně služeb, používaných technologií, způsobu zpracování, dodavatelské infrastruktury nebo právních požadavků. Změna dokumentu má odpovídat skutečnému fungování služeb a nemá sloužit k zakrytí zásadní změny způsobu zpracování.

Významné změny

Pokud by změna mohla podstatně ovlivnit způsob, jakým jsou osobní údaje používány, má být oznámena přiměřeným způsobem podle povahy změny a vztahu s uživatelem nebo zákazníkem.

Kontaktní údaje, které musí být před zveřejněním kompletní

• právní název společnosti,
• IČO,
• sídlo společnosti,
• privacy kontakt a případně kontakt pověřence, pokud bude jmenován.

Pokud orgán státní správy určuje účely a podstatné prostředky zpracování osobních údajů v systému Atodat, vystupuje tento orgán zpravidla jako správce osobních údajů a Atodat jako zpracovatel. Atodat v takovém případě zpracovává osobní údaje pouze jménem správce, v rozsahu smlouvy o zpracování osobních údajů a na základě jeho doložených pokynů.

Správce a zpracovatel

Pokud orgán státní správy určuje účely a podstatné prostředky zpracování osobních údajů v systému Atodat, vystupuje tento orgán zpravidla jako správce osobních údajů a Atodat jako zpracovatel. Atodat v takovém případě zpracovává osobní údaje pouze jménem správce, v rozsahu smlouvy o zpracování osobních údajů a na základě jeho doložených pokynů.

Atodat nebude určovat nový vlastní účel použití zákaznických osobních údajů pouze proto, že technicky provozuje infrastrukturu, ukládá data, zajišťuje podporu, bezpečnost, zálohování nebo jiné zpracovatelské operace.

V omezených situacích může Atodat vystupovat jako samostatný správce, zejména u údajů, které zpracovává pro vlastní zákonné povinnosti, účetnictví, ochranu vlastních práv, správu obchodního vztahu nebo zabezpečení vlastní infrastruktury. Takové zpracování musí být odděleno od zákaznického obsahu a musí mít samostatný právní základ.

Před nasazením u konkrétního orgánu veřejné moci musí být role stran popsány ve smlouvě a případné smlouvě o zpracování osobních údajů podle skutečného fungování služby.

Kdy je orgán veřejné moci správcem

Pokud úřad nebo jiný orgán veřejné moci určuje, proč jsou osobní údaje zpracovávány, jaká agenda se prostřednictvím systému vykonává a jaké podstatné prostředky zpracování se použijí, vystupuje zpravidla jako správce. Atodat v takovém scénáři technicky zajišťuje zpracování jménem správce.

Kdy může být Atodat samostatným správcem

Samostatná role Atodat může vzniknout u údajů, které potřebuje pro vlastní zákonné povinnosti, účetnictví, ochranu vlastních práv, správu obchodního vztahu nebo zabezpečení své infrastruktury. Tyto činnosti musí být odděleny od zákaznického obsahu a musí mít samostatný právní základ.

Co musí být jasně popsáno ve smlouvě

• která strana určuje účel zpracování,
• jaké operace Atodat provádí jako zpracovatel,
• jaké kategorie údajů a subjektů údajů mohou být dotčeny,
• jak jsou rozděleny odpovědnosti, pokyny a kontrolní mechanismy.

Atodat zpracovává zákaznické osobní údaje pouze v rozsahu nezbytném pro poskytování, zabezpečení, podporu a správu sjednané služby a pouze podle doložených pokynů správce, ledaže zpracování vyžaduje přímo použitelný právní předpis.

Zpracování pouze pro sjednanou veřejnou službu

Atodat zpracovává zákaznické osobní údaje pouze v rozsahu nezbytném pro poskytování, zabezpečení, podporu a správu sjednané služby a pouze podle doložených pokynů správce, ledaže zpracování vyžaduje přímo použitelný právní předpis.

• zákaznická data nebudou použita pro nesouvisející marketingové účely,
• zákaznická data nebudou prodávána ani poskytována datovým brokerům,
• zákaznická data nebudou použita k reklamnímu profilování občanů nebo zaměstnanců úřadu,
• zákaznická data nebudou spojována s daty jiných zákazníků za účelem vytvoření komerčního profilu fyzické osoby,
• obsah zákazníka nebude použit k trénování obecných modelů Atodat nebo třetích stran, pokud to orgán veřejné moci výslovně a samostatně neschválí.

Pokud Atodat obdrží pokyn, který je podle jeho odůvodněného posouzení v rozporu s použitelnými pravidly ochrany osobních údajů, upozorní na tuto skutečnost správce před provedením pokynu, pokud mu takové upozornění právní předpis nezakazuje.

Co znamená zpracování podle pokynu

Atodat má zákaznické údaje používat pouze pro poskytování, zabezpečení, podporu a správu sjednané služby nebo pro jinou operaci, kterou správce doloženým způsobem požaduje. Vlastní technický provoz infrastruktury nevytváří právo použít zákaznický obsah pro nesouvisející účely.

Konkrétní omezení sekundárního použití

• žádné nesouvisející marketingové použití zákaznických dat,
• žádný prodej nebo předávání datovým brokerům,
• žádné reklamní profilování občanů nebo zaměstnanců úřadu,
• žádné spojování dat více zákazníků za účelem vytvoření komerčního profilu fyzické osoby,
• žádné trénování obecných modelů na zákaznickém obsahu bez samostatného oprávnění správce.

Pokyn v rozporu s pravidly ochrany údajů

Pokud Atodat odůvodněně vyhodnotí, že konkrétní pokyn odporuje použitelným pravidlům ochrany osobních údajů, má správce na tuto skutečnost upozornit před provedením pokynu, pokud takové upozornění není právním předpisem zakázáno.

Rozsah dat závisí na konkrétní službě a agendě orgánu veřejné moci. Atodat nevyžaduje, aby zákazník předával více osobních údajů, než je nutné pro sjednané použití produktu.

Kategorie údajů určuje konkrétní agenda

Rozsah dat závisí na konkrétní službě a agendě orgánu veřejné moci. Atodat nevyžaduje, aby zákazník předával více osobních údajů, než je nutné pro sjednané použití produktu.

• identifikační a kontaktní údaje občanů, zaměstnanců, úředních osob a dalších oprávněných uživatelů,
• uživatelské identifikátory, role, oprávnění, organizační zařazení a autentizační metadata,
• obsah podání, dokumentů, formulářů, případů, správních spisů nebo jiné agendové informace, pokud je konkrétní služba zpracovává,
• provozní a bezpečnostní záznamy, zejména čas přístupu, IP adresa, identifikátor relace, provedená operace a relevantní auditní události,
• zvláštní kategorie osobních údajů nebo údaje s vyšší citlivostí pouze tehdy, pokud je jejich zpracování součástí konkrétní zákonné agendy a je pro něj vytvořen odpovídající bezpečnostní režim.

Správce odpovídá za to, že kategorie údajů a rozsah jejich použití odpovídají jeho zákonné působnosti, právnímu titulu, zásadě minimalizace a stanovenému účelu. Atodat poskytuje technické prostředky umožňující tato pravidla prosazovat podle možností konkrétní služby.

Rozsah se odvíjí od konkrétní agendy

Jedna služba může pracovat pouze s identitou oprávněných uživatelů, jiná může podle sjednané agendy pracovat s obsahem podání, formulářů, případů nebo správních spisů. Samotná platforma proto neurčuje univerzální seznam zákaznických dat; rozhodující je konkrétní použití orgánu veřejné moci.

• identifikační a kontaktní údaje občanů, zaměstnanců a úředních osob,
• uživatelské identifikátory, organizační zařazení, role a oprávnění,
• autentizační metadata a informace související se správou přístupu,
• obsah podání, dokumentů, formulářů, případů nebo správních spisů, pokud je daná služba zpracovává,
• IP adresa, čas přístupu, identifikátor relace, provedená operace a auditní události,
• zvláštní kategorie nebo jinak citlivější údaje jen tehdy, pokud jsou součástí zákonné agendy a existuje odpovídající bezpečnostní režim.

Minimalizace

Správce má určit, které údaje jsou pro jeho zákonnou působnost a stanovený účel opravdu potřeba. Atodat má technickými prostředky podporovat prosazování těchto omezení v rozsahu možností konkrétní služby.

Umístění produkčních dat, záloh a relevantních podpůrných systémů musí být pro orgán veřejné moci předem popsáno ve smluvní nebo bezpečnostní dokumentaci. Atodat nebude měnit dohodnutou datovou lokalitu způsobem, který by vedl k nepovolenému předání osobních údajů do třetí země.

Datová lokalita musí být předem transparentní

Umístění produkčních dat, záloh a relevantních podpůrných systémů musí být pro orgán veřejné moci předem popsáno ve smluvní nebo bezpečnostní dokumentaci. Atodat nebude měnit dohodnutou datovou lokalitu způsobem, který by vedl k nepovolenému předání osobních údajů do třetí země.

Předání osobních údajů mimo Evropský hospodářský prostor může proběhnout pouze tehdy, pokud je slučitelné s pokyny správce, smlouvou a pravidly pro mezinárodní předávání osobních údajů. Pokud je pro konkrétní službu sjednán režim zpracování výhradně v České republice nebo Evropském hospodářském prostoru, bude tento požadavek součástí technické a smluvní konfigurace služby.

Před publikací uveďte skutečnou garantovanou datovou lokalitu jednotlivých produktů: [DOPLŇTE ČR / EHP / KONKRÉTNÍ REGIONY A ZÁLOHY].

Co musí být předem známé

U státní správy nestačí obecné tvrzení o „cloudu“. Smluvní nebo bezpečnostní dokumentace má popsat, kde se nacházejí produkční data, zálohy a podpůrné systémy, které mohou mít k zákaznickým datům přístup nebo je zpracovávat.

Změna regionu nebo dodavatele

Atodat nemá měnit sjednanou datovou lokalitu způsobem, který by vytvořil nepovolené předání do třetí země. Pokud je pro službu sjednáno zpracování pouze v České republice nebo v EHP, musí být tento požadavek promítnut do technické i smluvní konfigurace.

• produkční region,
• lokalita záloh,
• relevantní podpůrné systémy,
• případné přeshraniční datové toky,
• právní mechanismus mezinárodního předávání, pokud je použit.

Atodat nezapojí dalšího zpracovatele do zpracování zákaznických osobních údajů bez předchozího konkrétního nebo obecného písemného povolení správce podle sjednaného režimu. Každý subzpracovatel musí být smluvně vázán povinnostmi ochrany osobních údajů, které odpovídají jeho skutečné roli a rozsahu zpracování.

Kontrolovaný režim subzpracovatelů

Atodat nezapojí dalšího zpracovatele do zpracování zákaznických osobních údajů bez předchozího konkrétního nebo obecného písemného povolení správce podle sjednaného režimu. Každý subzpracovatel musí být smluvně vázán povinnostmi ochrany osobních údajů, které odpovídají jeho skutečné roli a rozsahu zpracování.

Orgánu veřejné moci bude zpřístupněn aktuální seznam relevantních subzpracovatelů včetně jejich role, typu služby a datové lokality. Při zamýšlené změně bude zákazník informován způsobem a v předstihu stanoveném smlouvou tak, aby mohl využít svá sjednaná práva.

Atodat odpovídá za to, že subzpracovatel dostane přístup pouze k údajům a operacím, které jsou nezbytné pro jeho konkrétní úkol.

Před publikací připojte skutečný seznam subzpracovatelů nebo odkaz na jeho aktuální verzi.

Co má být u subzpracovatele transparentní

Orgán veřejné moci má mít k dispozici aktuální informace o relevantních subzpracovatelích, jejich roli, typu poskytované služby a datové lokalitě. Změny mají být oznamovány způsobem a s předstihem sjednaným ve smlouvě.

• kdo subzpracovatel je,
• jakou část služby zajišťuje,
• k jakému typu zákaznických dat může mít přístup,
• kde zpracování probíhá,
• jak je subzpracovatel smluvně zavázán k ochraně osobních údajů.

Princip nejmenšího nutného rozsahu

Subzpracovatel nemá získat širší přístup jen proto, že je součástí dodavatelského řetězce. Přístup má být omezen na data a operace potřebné pro jeho konkrétní technický nebo provozní úkol.

Přístup pracovníků Atodat k produkčním zákaznickým datům není běžným předpokladem používání služby. Pokud je přístup nezbytný pro podporu, odstranění incidentu, správu infrastruktury nebo jiný sjednaný účel, musí být omezen na nezbytný rozsah, čas a oprávněnou roli.

Need-to-know a minimální oprávnění

Přístup pracovníků Atodat k produkčním zákaznickým datům není běžným předpokladem používání služby. Pokud je přístup nezbytný pro podporu, odstranění incidentu, správu infrastruktury nebo jiný sjednaný účel, musí být omezen na nezbytný rozsah, čas a oprávněnou roli.

• přístupová oprávnění jsou přidělována podle pracovních rolí a principu minimálních oprávnění,
• privilegované přístupy podléhají zvýšenému zabezpečení a evidenci,
• osoby s přístupem k zákaznickým datům jsou vázány povinností mlčenlivosti,
• přístupy jsou pravidelně revidovány a po zániku potřeby odebrány,
• kde to technické řešení umožňuje a odpovídá riziku, jsou citlivé administrátorské operace auditovatelné.

Přístup není výchozím stavem

Přístup pracovníků Atodat k produkčním zákaznickým datům nemá být běžnou podmínkou používání služby. Pokud je nezbytný pro podporu, řešení incidentu, správu infrastruktury nebo jiný sjednaný účel, má být časově, rozsahově a rolově omezen.

• oprávnění podle pracovních rolí,
• princip minimálních oprávnění,
• zvýšené zabezpečení privilegovaných přístupů,
• povinnost mlčenlivosti pro osoby s přístupem k zákaznickým datům,
• pravidelné revize oprávnění a jejich odebrání po zániku potřeby,
• auditovatelnost citlivých administrátorských operací tam, kde to technické řešení a riziko vyžadují.

Podpora a incidenty

Přístup při řešení podpory nebo incidentu má být vázán na konkrétní požadavek nebo technickou potřebu, nikoli na trvalou možnost volně procházet zákaznický obsah.

Atodat zavádí technická a organizační opatření přiměřená povaze konkrétní služby, kategoriím zpracovávaných údajů a identifikovaným rizikům. Přesný rozsah opatření je popsán ve smluvní, bezpečnostní nebo technické dokumentaci konkrétního produktu.

Bezpečnost odpovídající riziku a významu veřejné agendy

Atodat zavádí technická a organizační opatření přiměřená povaze konkrétní služby, kategoriím zpracovávaných údajů a identifikovaným rizikům. Přesný rozsah opatření je popsán ve smluvní, bezpečnostní nebo technické dokumentaci konkrétního produktu.

• řízení identit, rolí a oprávnění včetně silného ověřování tam, kde je to přiměřené riziku,
• ochrana dat při přenosu a podle architektury služby také ochrana uložených dat,
• oddělení zákaznických prostředí nebo jiné mechanismy bránící neoprávněnému křížovému přístupu,
• bezpečnostní a provozní logování relevantních událostí,
• řízení zranitelností, aktualizací, změn a bezpečnostních konfigurací,
• zálohování, obnova a postupy pro zajištění dostupnosti podle sjednané úrovně služby,
• postupy pro detekci, vyhodnocení, řešení a dokumentaci bezpečnostních incidentů.

Konkrétní produkt může obsahovat další opatření nebo omezení vyplývající z bezpečnostní klasifikace systému, smlouvy, požadavků správce nebo použitelných právních a regulatorních předpisů.

Bezpečnostní vrstvy

Rozsah opatření se musí přizpůsobit konkrétní službě, typu zpracovávaných údajů a rizikům dané veřejné agendy. U různých produktů proto může být konkrétní technická konfigurace odlišná.

• řízení identit, rolí a oprávnění, včetně silného ověřování tam, kde odpovídá riziku,
• ochrana dat při přenosu a podle architektury služby také při uložení,
• oddělení zákaznických prostředí nebo jiný mechanismus proti neoprávněnému křížovému přístupu,
• bezpečnostní a provozní logování relevantních událostí,
• řízení zranitelností, aktualizací, změn a bezpečnostních konfigurací,
• zálohování, obnova a dostupnost podle sjednané úrovně služby,
• detekce, vyhodnocení, řešení a dokumentace bezpečnostních incidentů.

Vazba na konkrétní produkt

Konkrétní systém může vyžadovat další opatření podle bezpečnostní klasifikace, smlouvy, požadavků správce nebo právních a regulatorních povinností vztahujících se právě na dané nasazení.

Tam, kde to povaha systému a sjednaná konfigurace vyžaduje, Atodat vede bezpečnostní a auditní záznamy umožňující zpětně vyhodnotit relevantní přístupy, administrátorské operace, změny oprávnění, autentizační události a další bezpečnostně významné činnosti.

Prokazatelnost přístupů a změn

Tam, kde to povaha systému a sjednaná konfigurace vyžaduje, Atodat vede bezpečnostní a auditní záznamy umožňující zpětně vyhodnotit relevantní přístupy, administrátorské operace, změny oprávnění, autentizační události a další bezpečnostně významné činnosti.

Auditní záznamy jsou chráněny proti neoprávněným změnám a přístup k nim je omezen podle role. Doba jejich uchování odpovídá účelu, smlouvě, bezpečnostnímu riziku a případným zákonným požadavkům.

Rozsah logů nesmí být bezdůvodně širší, než je nutné pro bezpečnost, auditovatelnost, diagnostiku a splnění právních nebo smluvních povinností.

Jaké události mohou být auditovatelné

Podle povahy systému mohou auditní záznamy zachycovat přístupy, administrátorské operace, změny oprávnění, autentizační události a další bezpečnostně významné činnosti.

Ochrana samotných logů

Auditní záznam není užitečný, pokud jej může libovolně měnit neoprávněná osoba. Proto mají být logy chráněny proti neoprávněným změnám a přístup k nim omezen podle role. Doba uchování má odpovídat účelu, smlouvě, riziku a případným právním povinnostem.

Minimalizace logování

Rozsah logů nemá být bezdůvodně širší, než je potřeba pro bezpečnost, auditovatelnost, diagnostiku a splnění zákonných nebo smluvních povinností.

Pokud Atodat zjistí porušení zabezpečení osobních údajů, které zpracovává jako zpracovatel pro orgán veřejné moci, oznámí tuto skutečnost správci bez zbytečného odkladu po jejím zjištění a poskytne dostupné informace potřebné pro vyhodnocení dopadu a plnění oznamovacích povinností správce.

Včasná eskalace správci

Pokud Atodat zjistí porušení zabezpečení osobních údajů, které zpracovává jako zpracovatel pro orgán veřejné moci, oznámí tuto skutečnost správci bez zbytečného odkladu po jejím zjištění a poskytne dostupné informace potřebné pro vyhodnocení dopadu a plnění oznamovacích povinností správce.

• popis povahy incidentu v rozsahu, v jakém je v daném okamžiku znám,
• dotčené systémy, kategorie údajů a odhadovaný rozsah, pokud jej lze určit,
• pravděpodobné nebo zjištěné důsledky,
• provedená nebo plánovaná nápravná a omezující opatření,
• průběžné aktualizace, pokud nejsou všechny informace dostupné současně.

Atodat zachová důkazy a relevantní záznamy v rozsahu přiměřeném incidentu a bude se správcem spolupracovat na jeho vyšetření, nápravě a dokumentaci.

Do smlouvy doplňte konkrétní interní SLA pro prvotní oznámení incidentu: [DOPLŇTE NAPŘ. X HODIN OD POTVRZENÍ INCIDENTU].

První informace pro správce

Po zjištění incidentu má Atodat správci bez zbytečného odkladu poskytnout informace, které jsou v danou chvíli dostupné a potřebné pro vyhodnocení dopadu. Pokud nejsou všechny informace známé současně, mohou být doplňovány průběžně.

• povaha incidentu,
• dotčené systémy,
• kategorie údajů a odhadovaný rozsah, pokud jej lze určit,
• pravděpodobné nebo zjištěné důsledky,
• provedená nebo plánovaná nápravná opatření,
• průběžné aktualizace průběhu vyšetřování.

Důkazy a spolupráce

Relevantní důkazy a záznamy mají být zachovány v rozsahu přiměřeném incidentu. Atodat má spolupracovat se správcem na vyšetření, nápravě a dokumentaci události. Konkrétní SLA prvotního oznámení má být uvedeno ve smluvní dokumentaci.

Atodat poskytne správci přiměřenou součinnost potřebnou k plnění jeho povinností v oblasti ochrany osobních údajů, pokud se tyto povinnosti vztahují ke zpracování prováděnému prostřednictvím služby Atodat a Atodat má relevantní informace k dispozici.

Podpora prokazatelnosti souladu

Atodat poskytne správci přiměřenou součinnost potřebnou k plnění jeho povinností v oblasti ochrany osobních údajů, pokud se tyto povinnosti vztahují ke zpracování prováděnému prostřednictvím služby Atodat a Atodat má relevantní informace k dispozici.

• informace potřebné pro záznamy o činnostech zpracování a smluvní dokumentaci,
• technické podklady pro posouzení vlivu na ochranu osobních údajů, pokud je DPIA vyžadováno,
• součinnost pověřenci pro ochranu osobních údajů nebo jiné oprávněné kontrolní funkci zákazníka,
• informace o bezpečnostních opatřeních a relevantních subzpracovatelích,
• přiměřenou součinnost při konzultaci s dozorovým úřadem, pokud je pro konkrétní zpracování potřebná.

Atodat neposuzuje za orgán veřejné moci zákonnost jeho agendy ani nenahrazuje jeho pověřence, právní oddělení nebo rozhodnutí správce o tom, zda je konkrétní posouzení vlivu povinné.

Jakou součinnost může Atodat poskytovat

• podklady pro záznamy o činnostech zpracování,
• technické informace pro posouzení vlivu na ochranu osobních údajů,
• informace o bezpečnostních opatřeních,
• informace o relevantních subzpracovatelích,
• součinnost pověřenci nebo jiné oprávněné kontrolní funkci zákazníka,
• podklady pro konzultaci s dozorovým úřadem, pokud se vztahují ke zpracování v Atodat.

Co zůstává odpovědností správce

Atodat neposuzuje za orgán veřejné moci zákonnost jeho agendy, nenahrazuje jeho pověřence ani právní oddělení a nerozhoduje za správce, zda konkrétní posouzení vlivu musí být provedeno.

V rozsahu vyžadovaném smlouvou o zpracování osobních údajů poskytne Atodat informace nezbytné k doložení plnění relevantních povinností zpracovatele a umožní přiměřený audit nebo kontrolu za podmínek, které chrání bezpečnost ostatních zákazníků, důvěrné informace a integritu infrastruktury.

Přiměřená ověřitelnost

V rozsahu vyžadovaném smlouvou o zpracování osobních údajů poskytne Atodat informace nezbytné k doložení plnění relevantních povinností zpracovatele a umožní přiměřený audit nebo kontrolu za podmínek, které chrání bezpečnost ostatních zákazníků, důvěrné informace a integritu infrastruktury.

Způsob ověření může podle konkrétní služby zahrnovat bezpečnostní dokumentaci, výstupy nezávislých auditů, certifikace, dotazníky, vzdálenou kontrolu, řízené předložení důkazů nebo jinou smluvně dohodnutou formu.

Kontrola nesmí sama vytvářet nepřiměřené bezpečnostní riziko nebo zpřístupnit údaje jiného zákazníka.

Způsoby ověření

Podle konkrétní služby a smlouvy může prokazování plnění povinností využívat bezpečnostní dokumentaci, výstupy nezávislých auditů, certifikace, dotazníky, vzdálenou kontrolu, řízené předložení důkazů nebo jinou dohodnutou formu.

Omezení auditu

Kontrola má být dostatečná k ověření povinností zpracovatele, ale současně nesmí vytvářet nepřiměřené bezpečnostní riziko, zpřístupnit důvěrné informace jiného zákazníka nebo narušit integritu infrastruktury.

• rozsah ověření se váže ke konkrétní službě,
• přístup k důkazům může být řízený,
• musí být chráněna data ostatních zákazníků,
• konkrétní proces auditu má vycházet ze smluvních podmínek.

Doby uchování zákaznických dat určuje správce podle své zákonné agendy, spisových a skartačních pravidel, smlouvy a dalších použitelných právních povinností. Atodat nebude samostatně prodlužovat dobu uchování zákaznického obsahu pro vlastní nesouvisející účely.

Data se neuchovávají bez účelu

Doby uchování zákaznických dat určuje správce podle své zákonné agendy, spisových a skartačních pravidel, smlouvy a dalších použitelných právních povinností. Atodat nebude samostatně prodlužovat dobu uchování zákaznického obsahu pro vlastní nesouvisející účely.

Po skončení poskytování služby Atodat podle pokynu správce osobní údaje vrátí, zpřístupní k exportu nebo odstraní, pokud právní předpis nevyžaduje jejich další uchování. Výmaz ze záloh může proběhnout v rámci definovaného zálohovacího cyklu, během něhož zůstávají data chráněna a nejsou používána pro běžný provoz.

Pokud je konkrétní dokumentace předmětem povinné archivace nebo spisové služby, odpovědnost za určení příslušného režimu má orgán veřejné moci jako správce a původce příslušné dokumentace.

Před publikací doplňte skutečné retenční a zálohovací cykly jednotlivých produktů: [DOPLŇTE RETENCI, EXPORT A LHŮTU VÝMAZU ZÁLOH].

Kdo určuje dobu uchování

U zákaznických dat veřejné správy určuje dobu uchování správce podle své zákonné agendy, spisových a skartačních pravidel, smlouvy a dalších povinností. Atodat nemá samostatně prodlužovat uchování zákaznického obsahu pro nesouvisející vlastní účely.

Co se děje po ukončení potřeby

Podle pokynu správce mohou být data vrácena, zpřístupněna k exportu nebo odstraněna. Výmaz ze záloh může probíhat podle definovaného zálohovacího cyklu; do té doby mají zůstat chráněna a nemají být využívána pro běžný provoz.

• retenční pravidla produkčních dat,
• čas a formát exportu,
• zálohovací cyklus,
• lhůta odstranění zbývajících kopií,
• případná povinná archivace nebo spisový režim.

Pokud Atodat vystupuje jako zpracovatel, o žádostech subjektů údajů rozhoduje příslušný orgán veřejné moci jako správce. Atodat nebude bez pokynu správce samostatně rozhodovat o přístupu, opravě, výmazu, omezení zpracování nebo jiném právu vztahujícím se k zákaznickým datům.

Správce rozhoduje, Atodat poskytuje technickou součinnost

Pokud Atodat vystupuje jako zpracovatel, o žádostech subjektů údajů rozhoduje příslušný orgán veřejné moci jako správce. Atodat nebude bez pokynu správce samostatně rozhodovat o přístupu, opravě, výmazu, omezení zpracování nebo jiném právu vztahujícím se k zákaznickým datům.

Pokud subjekt údajů zašle žádost přímo Atodat a z okolností vyplývá, že se týká dat zpracovávaných jménem orgánu veřejné moci, Atodat ji předá příslušnému správci nebo subjekt údajů nasměruje na správce podle sjednaného postupu.

Atodat poskytne správci přiměřenou technickou součinnost, pokud je pro vyřízení žádosti nutná a funkce produktu ji umožňují.

Kdo rozhoduje o žádosti

Pokud Atodat vystupuje jako zpracovatel, rozhodnutí o přístupu, opravě, výmazu, omezení nebo jiném právu náleží příslušnému orgánu veřejné moci jako správci. Atodat nemá bez jeho pokynu samostatně měnit zákaznická data jen proto, že obdrží žádost fyzické osoby.

Žádost zaslaná přímo Atodat

Pokud je z okolností zřejmé, že se žádost týká dat konkrétního úřadu nebo jiné veřejné instituce, může ji Atodat předat příslušnému správci nebo žadatele na správce nasměrovat podle sjednaného postupu.

Technická součinnost

Pokud produkt umožňuje vyhledání, export, opravu, omezení nebo odstranění konkrétních dat, může Atodat správci poskytnout přiměřenou technickou součinnost potřebnou pro vyřízení žádosti.

Pokud Atodat obdrží právně závazný požadavek třetího orgánu na zpřístupnění zákaznických dat, posoudí jeho formální rozsah a poskytne pouze údaje, které je povinen zpřístupnit. Pokud to právní předpis nezakazuje, Atodat o požadavku informuje zákazníka nebo správce před zpřístupněním či bez zbytečného odkladu poté.

Zpřístupnění pouze na zákonném základě

Pokud Atodat obdrží právně závazný požadavek třetího orgánu na zpřístupnění zákaznických dat, posoudí jeho formální rozsah a poskytne pouze údaje, které je povinen zpřístupnit. Pokud to právní předpis nezakazuje, Atodat o požadavku informuje zákazníka nebo správce před zpřístupněním či bez zbytečného odkladu poté.

Atodat nebude poskytovat zákaznická data jiné veřejné instituci pouze na základě neformální žádosti, obchodního zájmu nebo skutečnosti, že žadatelem je orgán veřejné moci.

Pokud je žádost zjevně širší, než vyžaduje její právní základ, Atodat může požadovat její upřesnění nebo využít dostupný právní prostředek k omezení nepřiměřeného rozsahu, pokud je to v konkrétní situaci přípustné.

Formální právní základ

Skutečnost, že o data žádá jiný orgán veřejné moci, sama o sobě nestačí. Atodat má posoudit formální rozsah právně závazného požadavku a zpřístupnit pouze údaje, které je podle něj povinen poskytnout.

Informování zákazníka

Pokud to právní předpis nezakazuje, má být zákazník nebo správce o požadavku informován před zpřístupněním nebo bez zbytečného odkladu poté.

Nepřiměřeně široký požadavek

Pokud je požadavek zjevně širší, než odpovídá jeho právnímu základu, může Atodat požadovat jeho upřesnění nebo využít dostupný právní prostředek k omezení rozsahu, pokud je to v dané situaci přípustné.

Zákaznická data státní správy nejsou automaticky považována za data určená k vývoji, trénování nebo zlepšování obecných modelů Atodat. Takové použití vyžaduje samostatné posouzení, odpovídající právní základ, smluvní ujednání a výslovný pokyn nebo jiné oprávnění správce, je-li podle povahy zpracování nutné.

Žádné skryté sekundární využití zákaznických dat

Zákaznická data státní správy nejsou automaticky považována za data určená k vývoji, trénování nebo zlepšování obecných modelů Atodat. Takové použití vyžaduje samostatné posouzení, odpovídající právní základ, smluvní ujednání a výslovný pokyn nebo jiné oprávnění správce, je-li podle povahy zpracování nutné.

Pokud konkrétní produkt používá model strojového učení nebo generativní AI při zpracování zákaznických dat, musí být tato funkce popsána v produktové dokumentaci včetně role poskytovatelů modelu, datových toků, uchování vstupů a výstupů a případného předávání mimo dohodnutou lokalitu.

Atodat nebude na základě zákaznických dat samostatně vytvářet rozhodnutí o právech nebo povinnostech fyzické osoby jménem orgánu veřejné moci, pokud taková funkce není výslovně součástí sjednaného řešení a orgán veřejné moci předem neurčí její zákonný a procesní rámec.

Zákaznická data nejsou automaticky trénovací dataset

Data státní správy nejsou automaticky považována za vstup pro vývoj nebo zlepšování obecných modelů. Takové použití by vyžadovalo samostatné posouzení, odpovídající právní základ, smluvní ujednání a oprávnění správce podle povahy zpracování.

Co má být popsáno u AI funkce

• jaký model nebo typ modelu funkce používá,
• jaká je role poskytovatele modelu,
• jakým směrem proudí zákaznická data,
• jak dlouho se uchovávají vstupy a výstupy,
• zda mohou data opustit sjednanou lokalitu,
• zda výstup modelu vstupuje do rozhodování o právech nebo povinnostech fyzické osoby.

Rozhodování jménem orgánu veřejné moci

Atodat nemá samostatně vytvářet rozhodnutí o právech nebo povinnostech fyzické osoby jen na základě zákaznických dat, pokud taková funkce není výslovně součástí sjednaného řešení a orgán veřejné moci předem neurčí její zákonný a procesní rámec.

Ochrana osobních údajů nenahrazuje povinnosti v oblasti kybernetické bezpečnosti, informačních systémů veřejné správy nebo cloud computingu. Pokud konkrétní orgán, systém nebo služba podléhá zvláštním bezpečnostním požadavkům, musí být nasazení Atodat navrženo a smluvně nastaveno tak, aby byly relevantní povinnosti vyhodnoceny před uvedením služby do provozu.

Požadavky podle konkrétního systému a regulace

Ochrana osobních údajů nenahrazuje povinnosti v oblasti kybernetické bezpečnosti, informačních systémů veřejné správy nebo cloud computingu. Pokud konkrétní orgán, systém nebo služba podléhá zvláštním bezpečnostním požadavkům, musí být nasazení Atodat navrženo a smluvně nastaveno tak, aby byly relevantní povinnosti vyhodnoceny před uvedením služby do provozu.

Pokud je služba Atodat pro konkrétní použití kvalifikována jako cloud computing poskytovaný orgánu veřejné správy, musí zákazník a Atodat před nasazením ověřit, zda se na službu vztahují požadavky zákona o informačních systémech veřejné správy, pravidla eGovernment cloudu, příslušné prováděcí předpisy a požadavky na zápis poskytovatele nebo nabídky do katalogu cloud computingu.

Pokud zákazník spadá do působnosti zákona o kybernetické bezpečnosti, smluvní a technické řešení musí zohlednit také povinnosti, které se na jeho regulovanou službu skutečně vztahují.

Tato část nesmí být používána jako tvrzení, že konkrétní produkt Atodat již má určitý zápis, certifikaci nebo bezpečnostní úroveň, dokud to není skutečně doloženo.

Ochrana osobních údajů není jediná regulatorní vrstva

Nasazení ve veřejné správě může vedle ochrany osobních údajů podléhat také požadavkům kybernetické bezpečnosti, informačních systémů veřejné správy nebo cloud computingu. Je proto nutné posuzovat konkrétní systém, službu a roli zákazníka.

Co je potřeba ověřit před nasazením

• zda konkrétní systém nebo organizace spadá do zvláštního bezpečnostního režimu,
• zda je služba pro dané použití cloud computingem poskytovaným orgánu veřejné správy,
• zda se uplatní pravidla eGovernment cloudu a související prováděcí předpisy,
• zda jsou potřeba konkrétní zápisy poskytovatele nebo nabídky do příslušného katalogu,
• jaké smluvní a technické požadavky vyplývají z regulace zákazníka.

Tato část sama o sobě nesmí být interpretována jako tvrzení, že konkrétní produkt Atodat již má určitou certifikaci, zápis nebo bezpečnostní úroveň, dokud to není skutečně doloženo.

Při ukončení služby Atodat poskytne zákazníkovi možnost převzít zákaznická data v dohodnutém formátu a v rozsahu stanoveném smlouvou. Přenos musí proběhnout bezpečným způsobem a s ohledem na integritu, důvěrnost a dostupnost dat.

Kontrolovaný odchod bez uzamčení zákaznických dat

Při ukončení služby Atodat poskytne zákazníkovi možnost převzít zákaznická data v dohodnutém formátu a v rozsahu stanoveném smlouvou. Přenos musí proběhnout bezpečným způsobem a s ohledem na integritu, důvěrnost a dostupnost dat.

Po dokončení migrace a uplynutí smluvené přechodné doby budou zbývající kopie odstraněny v souladu s dohodnutou retenční a zálohovací politikou, pokud jejich uchování nevyžaduje právní předpis.

U služeb, u nichž je kontinuita kritická, mohou být ve smlouvě samostatně sjednány exportní postupy, plán ukončení služby, kontaktní osoby, záložní mechanismy, RTO, RPO a další parametry kontinuity.

Data musí být možné bezpečně převzít

Při ukončení služby má zákazník dostat možnost převzít svá data v dohodnutém formátu a rozsahu. Přenos musí chránit integritu, důvěrnost a dostupnost dat a má probíhat podle předem dohodnutého migračního postupu.

Co následuje po migraci

Po dokončení migrace a uplynutí přechodné doby mají být zbývající kopie odstraněny podle retenční a zálohovací politiky, pokud právní předpis nevyžaduje další uchování.

Parametry kontinuity u kritických služeb

• formát a způsob exportu,
• kontaktní osoby pro ukončení služby,
• přechodná doba a pořadí migračních kroků,
• záložní mechanismy,
• RTO a RPO, pokud jsou pro službu sjednány,
• způsob potvrzení dokončení výmazu po migraci.

Dotazy k ochraně osobních údajů, bezpečnostní dokumentaci, subzpracovatelům, výkonu práv subjektů údajů nebo smluvním požadavkům orgánu veřejné moci zasílejte na privacy@atodat.com .

Kontaktní místo pro státní správu

Dotazy k ochraně osobních údajů, bezpečnostní dokumentaci, subzpracovatelům, výkonu práv subjektů údajů nebo smluvním požadavkům orgánu veřejné moci zasílejte na privacy@atodat.com.

Bezpečnostní incidenty nebo podezření na bezpečnostní událost oznamujte také prostřednictvím sjednaného bezpečnostního kontaktního kanálu: [DOPLŇTE SECURITY KONTAKT / INCIDENT KANÁL].

Identifikace Atodat

Atodat
[DOPLŇTE PRÁVNÍ NÁZEV SPOLEČNOSTI]
IČO [DOPLŇTE IČO]
[DOPLŇTE SÍDLO SPOLEČNOSTI]
privacy@atodat.com

Významná změna těchto podmínek, která může podstatně ovlivnit smluvené zpracování zákaznických dat, nebude nahrazovat změnu smlouvy nebo zpracovatelské dokumentace tam, kde je pro takovou změnu vyžadován souhlas či jiné smluvní jednání zákazníka.

Kontakt pro státní správu

Na privacy@atodat.com lze směrovat dotazy k ochraně osobních údajů, bezpečnostní dokumentaci, subzpracovatelům, právům subjektů údajů a smluvním požadavkům orgánu veřejné moci.

Bezpečnostní incidenty

Pro incidenty má být vedle obecného privacy kontaktu sjednán také odpovídající bezpečnostní kontaktní kanál. Konkrétní security kontakt nebo incidentní kanál musí být doplněn podle skutečného provozního nastavení Atodat.

Změny zvláštních podmínek

Významná změna zvláštních podmínek, která by podstatně ovlivnila sjednané zpracování zákaznických dat, nemá nahrazovat změnu smlouvy nebo zpracovatelské dokumentace tam, kde je pro takovou změnu potřebný souhlas nebo jiné smluvní jednání zákazníka.

Identifikace, která musí být před publikací doplněna

• právní název Atodat,
• IČO,
• sídlo společnosti,
• privacy kontakt,
• bezpečnostní incidentní kontakt,
• případně kontaktní údaje pověřence pro ochranu osobních údajů.