Smlouva o zpracování osobních údajů (AVV)

1. Předmět a doba trvání

Předmětem je zpracování osobních údajů při poskytování LogCon jako softwaru jako služby. Doba trvání odpovídá době trvání hlavní smlouvy.

2. Povaha a účel zpracování

Řízení přepravy, AI podporované zpracování zakázek, dispečink, komunikace se zákazníky, dopravci a řidiči, tvorba dokumentů, příprava celního odbavení a fakturace.

3. Kategorie údajů a subjektů údajů

• Zaměstnanci správce: jméno, e-mail, telefon, role, jazyk, přihlašovací údaje
• Řidiči (vlastní i subdodavatelů): jméno, telefon, jazyk, kvalifikace, údaje o poloze během jízd
• Kontaktní osoby u zákazníků a dopravců: jméno, kontaktní údaje, obsah komunikace
• Údaje o zakázkách, dokumentech, celním odbavení a fakturách s osobním vztahem

4. Povinnosti zpracovatele

• Zpracování pouze na základě zdokumentovaných pokynů správce
• Povinnost mlčenlivosti pro všechny oprávněné osoby
• Provedení technických a organizačních opatření (příloha 1)
• Podpora při uplatňování práv subjektů údajů, posouzení vlivu na ochranu osobních údajů a oznamovacích povinnostech
• Informování správce, pokud pokyn podle názoru zpracovatele porušuje právní předpisy o ochraně osobních údajů

5. Zpracovatelé v řetězci (subdodavatelé)

Správce schvaluje zpracovatele uvedené v příloze 2. Zpracovatel informuje správce o zamýšlených změnách nejméně 30 dní předem; správce může ze závažného důvodu podle práva na ochranu osobních údajů vznést námitku.

6. Technická a organizační opatření (příloha 1)

• Kontrola fyzického přístupu: datové centrum v EU s certifikací ISO 27001, bez fyzického přístupu zaměstnanců zpracovatele
• Kontrola přístupu k systému: hesla hashovaná pomocí bcrypt, dvoufaktorové ověřování, zablokování po neúspěšných pokusech, JWT s omezenou platností, API klíče ukládané pouze jako hash
• Kontrola přístupu k datům: oprávnění podle rolí, princip nejnižších potřebných práv, administrace v rámci celé platformy pouze s oprávněními ověřenými v databázi
• Kontrola oddělení: ID klienta u každé tabulky, oddělené cesty úložiště pro každého klienta
• Šifrování: TLS při přenosu, AES-256-GCM pro přístupové údaje integrací, šifrování disku u poskytovatele hostingu
• Kontrola vstupu: auditní záznam se stavem před a po pro změny a akce AI
• Kontrola přenosu: webhooky podepsané pomocí HMAC, odchozí e-maily pouze přes nakonfigurované servery
• Dostupnost: denní šifrované zálohy databáze a dokumentů, s uchováváním 7 denních, 4 týdenních a 12 měsíčních záloh, šifrovaná kopie mimo lokalitu u druhého poskytovatele, zdokumentovaný postup obnovy, monitoring
• Řízení ochrany osobních údajů: záznam o činnostech zpracování, koncept mazání, proces reakce na incidenty

7. Oznámení porušení zabezpečení osobních údajů

Zpracovatel oznamuje porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 24 hodin od zjištění, s informacemi podle čl. 33 odst. 3 GDPR.

8. Práva na audit

Správce může ověřit dodržování této smlouvy nahlédnutím do podkladů a zpráv a po včasném oznámení také prostřednictvím auditu na místě.

9. Výmaz a vrácení dat

Po skončení smlouvy zpracovatel zpřístupní úplný export dat po dobu 30 dnů, poté vymaže všechna data správce včetně kopií a potvrdí výmaz. Zákonné povinnosti uchovávání zůstávají nedotčeny; šifrované záložní kopie jsou přepisovány v pravidelném rotačním cyklu, nejpozději po 12 měsících.

10. Předání do třetích zemí

K předání do třetích zemí dochází pouze za podmínek čl. 44 a násl. GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo standardních smluvních doložek.

11. Transparentnost AI (příloha 4)

AI agenti vytvářejí návrhy nebo – v závislosti na úrovni autonomie nastavené správcem – provádějí akce. Každá akce AI je zaznamenána s uvedením modelu, času, míry jistoty a stavu před a po; automatické akce jsou vratné. Data zákazníka se nepoužívají k trénování AI modelů.

12. Závěrečná ustanovení

V případě rozporu má tato smlouva ve věcech ochrany osobních údajů přednost před hlavní smlouvou. Platí rakouské právo; místem soudní příslušnosti je Wien.

Příloha 2: zpracovatelé v řetězci

Viz následující tabulka.