Proton
Naposledy upraveno: 1. září 2026

Smlouva o zpracování údajů pro MSP

Tato smlouva o zpracování údajů ("Smlouva") tvoří součást Smlouvy s poskytovatelem spravovaných služeb ("Hlavní smlouva") mezi společností Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Švýcarsko, identifikační číslo společnosti CHE-354.686.492 (dále jen "Zpracovatel"), a poskytovatelem MSP uvedeným v Hlavní smlouvě (dále jen "Společnost", čímž se rozumí poskytovatel spravovaných služeb využívající Služby k poskytování, účtování a podpoře svých vlastních Spravovaných zákazníků, bez ohledu na jeho právní formu).

Tato smlouva upravuje konkrétní požadavky zákonů o ochraně osobních údajů v rozsahu, v jakém používání Služeb Společností, včetně poskytování Služeb Spravovaným zákazníkům ze strany Společnosti, zahrnuje Zpracování osobních údajů podléhajících zákonům o ochraně osobních údajů.

Doba platnosti této dohody se řídí dobou platnosti hlavní dohody. Pojmy zde nedefinované mají význam uvedený v Hlavní smlouvě.


VZHLEDEM K TOMU, ŽE

A) Společnost vystupuje jako Správce osobních údajů, nebo v případě, kdy Spravovaný zákazník sám zadává pokyny ke Zpracování svých vlastních Osobních údajů, jako Zpracovatel údajů jménem tohoto Spravovaného zákazníka (v obou případech "Správce").

B) Společnost si přeje zadat určité Služby, které zahrnují Zpracování osobních údajů, společnosti Proton AG vystupující jako Zpracovatel údajů ("Zpracovatel").

C) Strany mají v úmyslu uzavřít smlouvu o zpracování údajů, která splňuje požadavky platného právního rámce v oblasti zpracování údajů, včetně nařízení (EU) 2016/679 ("GDPR"), švýcarského federálního zákona o ochraně osobních údajů ("FADP") a dalších platných zákonů o ochraně osobních údajů.

D) Strany si přejí stanovit svá příslušná práva a povinnosti.


SE DOHODLY TAKTO:

1. Definice, role a rozsah

1.1 Definice. Pokud zde není definováno jinak, pojmy začínající velkým písmenem mají význam uvedený v Hlavní smlouvě nebo, pokud tam definovány nejsou, mají následující význam:

  • "Osobní údaje společnosti" znamenají jakékoli Osobní údaje týkající se Společnosti, Spravovaných zákazníků Společnosti nebo jejich příslušných zákazníků či zaměstnanců zpracovávané v souvislosti s Hlavní smlouvou.
  • "Smluvní zpracovatel" znamená dílčího zpracovatele.
  • "Zákony o ochraně osobních údajů" znamenají GDPR, FADP a v příslušném rozsahu zákony o ochraně osobních údajů nebo soukromí jakékoli jiné země.
  • "Předání údajů" znamená (i) předání Osobních údajů společnosti ze Společnosti Zpracovateli nebo Smluvnímu zpracovateli, nebo (ii) další předání Osobních údajů společnosti ze Zpracovatele Dílčímu zpracovateli nebo mezi dvěma provozovnami Dílčího zpracovatele.
  • "Spravovaný zákazník" má význam uvedený v Hlavní smlouvě: subjekt z řad koncových uživatelů, kterému Společnost poskytuje a dodává Služby v rámci své vlastní nabídky spravovaných služeb.
  • “Dílčí zpracovatel” znamená jakoukoli osobu pověřenou Zpracovatelem nebo jeho jménem ke Zpracování osobních údajů v souvislosti se Smlouvou.
  • Pojmy "Komise", "Správce", "Subjekt údajů", "Členský stát", "Osobní údaje", "Porušení zabezpečení osobních údajů", "Zpracování" a "Dozorový úřad" mají stejný význam jako v GDPR nebo jiných platných Zákonech o ochraně osobních údajů.

1.2 Role smluvních stran. Ve vztahu mezi společností Proton a Společností je Společnost Správcem (nebo případně Zpracovatelem jednajícím na základě pokynů Spravovaného zákazníka) a společnost Proton je Zpracovatelem, pokud jde o veškeré Osobní údaje společnosti zpracovávané na základě Hlavní smlouvy, včetně Osobních údajů Spravovaných zákazníků a jejich příslušných koncových uživatelů nebo údajů, které se jich týkají. Tato smlouva představuje úplné a výhradní ujednání o zpracování údajů mezi společností Proton a jakoukoli stranou v řetězci Spravovaného zákazníka. Společnost Proton nemá žádný přímý smluvní vztah, vztah správce-zpracovatel ani zpracovatel-dílčí zpracovatel s žádným Spravovaným zákazníkem a žádný Spravovaný zákazník není smluvní stranou ani oprávněnou třetí stranou podle této smlouvy. Společnost nese výhradní odpovědnost za své smlouvy se svými Spravovanými zákazníky a závazky vůči nim, včetně jakýchkoli podmínek ochrany údajů, které jim Společnost dluží podle platných právních předpisů nebo smlouvy.

1.3 Odpovědnost Společnosti v dalším řetězci. Společnost uzavře s každým Spravovaným zákazníkem písemnou smlouvu, která Společnosti ukládá povinnosti v oblasti ochrany osobních údajů, které nechrání Osobní údaje tohoto Spravovaného zákazníka o nic méně než povinnosti, které má společnost Proton vůči Společnosti podle této Smlouvy, a to v rozsahu odpovídajícím povaze Služeb, které Společnost danému Spravovanému zákazníkovi poskytuje. Závazky společnosti Proton podle této smlouvy se vztahují výhradně na Společnost; Společnost zůstává ve vztahu mezi Společností a jejími Spravovanými zákazníky výhradně odpovědná svým Spravovaným zákazníkům za Zpracování jejich Osobních údajů, včetně jakýchkoli činů nebo opomenutí společnosti Proton.

2. Zpracování osobních údajů společnosti

Zpracovatel musí:

  • dodržovat všechny platné Zákony o ochraně osobních údajů při Zpracování Osobních údajů společnosti; a
  • nezpracovávat Osobní údaje společnosti jinak než na základě zdokumentovaných pokynů Společnosti, jak je uvedeno níže.

Společnost pověřuje Zpracovatele, aby zpracovával Osobní údaje společnosti za účelem:

  • poskytování Služeb a související technické podpory Společnosti a jejím prostřednictvím Spravovaným zákazníkům;
  • plnění právních povinností nebo řešení sporů;
  • provádění jakýchkoli interních úkolů zaměřených na optimalizaci zabezpečení, soukromí, důvěrnosti a funkčnosti Služeb; a
  • provádění interního výkaznictví, finančního výkaznictví a dalších podobných interních úkolů.

3. Personál zpracovatele

Zpracovatel podnikne přiměřené kroky k zajištění spolehlivosti jakéhokoli zaměstnance, zástupce nebo dodavatele jakéhokoli Smluvního zpracovatele, který může mít přístup k Osobním údajům společnosti, přičemž v každém případě zajistí, aby byl přístup přísně omezen na ty osoby, které potřebují znát příslušné Osobní údaje společnosti nebo k nim mít přístup, jak je nezbytně nutné pro účely Hlavní smlouvy a/nebo pro dodržení Zákonů o ochraně osobních údajů, a zajistí, aby se na všechny tyto osoby vztahoval závazek mlčenlivosti nebo profesní či zákonná povinnost mlčenlivosti.

4. Bezpečnost

V souladu s čl. 32 odst. 1 GDPR Zpracovatel zavede vhodná technická a organizační opatření, aby zajistil úroveň zabezpečení odpovídající riziku, přičemž zohlední stav techniky, náklady na provedení a povahu, rozsah, kontext a účely Zpracování. Tato opatření jsou navržena tak, aby chránila práva a svobody fyzických osob s ohledem na rizika s různou pravděpodobností a závažností, včetně rizika Porušení zabezpečení osobních údajů. Společnost zavede vhodná technická a organizační opatření pro své vlastní Zpracování Osobních údajů společnosti, včetně správy účtů Spravovaných zákazníků prostřednictvím licencí správce MSP, a zajistí, aby přístup k těmto účtům byl omezen na personál Společnosti, který jej potřebuje, byl chráněn vhodnými kontrolami ověření a neprodleně odvolán, jakmile již není vyžadován.

5. Dílčí zpracování

V souladu s touto Smlouvou uděluje Společnost Zpracovateli obecné oprávnění k zapojení Dílčích zpracovatelů a ke zpřístupnění nebo předání Osobních údajů společnosti těmto zpracovatelům. Společnost bere na vědomí a schvaluje seznam Dílčích zpracovatelů uvedený v Zásadách ochrany osobních údajů Zpracovatele s vědomím, že tento seznam může Zpracovatel čas od času aktualizovat, přičemž v takovém případě bude Společnost informována v souladu s postupem oznámení podle Zásad ochrany osobních údajů. Společnost dále opravňuje Zpracovatele ke zpřístupnění a předání Osobních údajů kterékoli společnosti v rámci své podnikové skupiny. Zpracovatel zajistí, aby se na Dílčí zpracovatele vztahovala smlouva se Zpracovatelem, která není méně omezující a ochranná než tato Smlouva, pokud jde o ochranu Osobních údajů společnosti, a to v rozsahu odpovídajícím povaze služeb poskytovaných daným Dílčím zpracovatelem. Pro vyloučení pochybností platí, že Společnost není Dílčím zpracovatelem společnosti Proton a tento oddíl se nevztahuje na vlastní zapojení jakéhokoli Spravovaného zákazníka nebo třetí strany ze strany Společnosti.

6. Práva datového subjektu

S přihlédnutím k povaze Zpracování Zpracovatel přiměřeně pomáhá Společnosti při plnění povinností Společnosti reagovat na žádosti o výkon práv Subjektů údajů podle Zákonů o ochraně osobních údajů, včetně žádostí, které Společnost obdrží od Spravovaného zákazníka nebo jeho jménem, případně od vlastních koncových uživatelů daného Spravovaného zákazníka.

Zpracovatel musí:

  • neprodleně informovat společnost, pokud obdrží žádost od subjektu údajů podle jakéhokoli zákona o ochraně údajů týkající se osobních údajů společnosti; a
  • zajistit, aby na tuto žádost neodpovídal jinak než na základě zdokumentovaných pokynů Společnosti nebo podle požadavků platných právních předpisů; v takovém případě Zpracovatel v rozsahu povoleném zákonem informuje Společnost o tomto právním požadavku před tím, než odpoví.

Společnost nese výhradní odpovědnost za zodpovídání jakékoli žádosti Subjektu údajů týkající se Osobních údajů daného Spravovaného zákazníka a za koordinaci s tímto Spravovaným zákazníkem; Zpracovatel nemá žádnou povinnost identifikovat jakéhokoli Spravovaného zákazníka ani s ním přímo komunikovat.

7. Porušení zabezpečení osobních údajů

Zpracovatel řeší jakékoli Porušení zabezpečení osobních údajů v souladu s platnými Zákony o ochraně osobních údajů a svými interními postupy pro případ porušení zabezpečení osobních údajů. V případě Porušení zabezpečení osobních údajů, které má vliv na Osobní údaje společnosti, Zpracovatel neprodleně informuje Společnost a poskytne jí dostatečné informace, aby Společnost mohla splnit své vlastní povinnosti podle Zákonů o ochraně osobních údajů, včetně případného informování dotčených Spravovaných zákazníků a Subjektů údajů. Zpracovatel bude spolupracovat se Společností a podnikne přiměřené obchodní kroky podle pokynů Společnosti, aby pomohl při vyšetřování, zmírňování následků a nápravě každého takového Porušení zabezpečení osobních údajů. Každá Smluvní strana ponese náklady na vyšetřování, nápravu, zmírnění následků a další související náklady v rozsahu, v jakém Porušení zabezpečení osobních údajů způsobila tato Smluvní strana. Každá Smluvní strana ponese náklady na jakékoli pokuty, sankce, náhrady škody nebo jiné související částky uložené příslušným regulačním orgánem v rozsahu vyplývajícím z vlastního porušení povinností dané Smluvní strany podle této Smlouvy. Společnost nese výhradní odpovědnost za oznamování porušení zabezpečení svým Spravovaným zákazníkům a jejich Subjektům údajů a za načasování a obsah těchto oznámení.

8. Posouzení vlivu na ochranu osobních údajů a předchozí konzultace

Zpracovatel poskytne Společnosti přiměřenou součinnost při posuzování vlivu na ochranu osobních údajů a předchozích konzultacích s dozorovými úřady, které Společnost důvodně považuje za vyžadované článkem 35 nebo 36 GDPR či rovnocennými ustanoveními jakéhokoli jiného Zákona o ochraně osobních údajů, a to v každém případě výhradně v souvislosti se Zpracováním Osobních údajů společnosti Smluvními zpracovateli a s přihlédnutím k povaze Zpracování a informacím, které mají Smluvní zpracovatelé k dispozici.

9. Smazání nebo vrácení Osobních údajů společnosti

Při ukončení jakékoli Služby zahrnující Zpracování Osobních údajů společnosti Zpracovatel smaže veškeré Osobní údaje společnosti v rozsahu povoleném platnými právními předpisy a v souladu se Smluvními podmínkami a Zásadami ochrany osobních údajů Zpracovatele. Pokud Společnost požaduje kopii Osobních údajů společnosti, musí o ni požádat před smazáním; na žádosti podané po smazání již nelze brát zřetel. Při ukončení Hlavní smlouvy zůstává Společnost ve vztahu mezi Společností a daným Spravovaným zákazníkem výhradně odpovědná za správu smazání, vrácení nebo předání Osobních údajů jakéhokoli Spravovaného zákazníka v souladu s oddílem 5.4 Hlavní smlouvy (Pomoc při přechodu).

10. Práva na audit

V souladu s tímto oddílem 10 Zpracovatel na požádání zpřístupní Společnosti veškeré informace nezbytné k prokázání souladu s touto Smlouvou a umožní a přispěje k auditům, včetně inspekcí, prováděným Společností nebo auditorem pověřeným Společností v souvislosti se Zpracováním Osobních údajů společnosti Smluvními zpracovateli. Společnost nesmí uplatnit svá práva na audit podle tohoto oddílu více než jednou za kalendářní rok, s výjimkou případů po Porušení zabezpečení osobních údajů nebo na základě pokynu regulačního orgánu. Společnost písemně oznámí Zpracovateli svůj záměr provést audit nejméně šedesát (60) dní předem. Audit musí být prováděn v běžné pracovní době Zpracovatele, nesmí narušovat provoz Zpracovatele a musí zajistit ochranu Osobních údajů Společnosti, Zpracovatele a dalších Subjektů údajů. Smluvní strany se předem vzájemně dohodnou na datu, rozsahu, délce trvání a bezpečnostních a důvěrných kontrolních mechanismech vztahujících se na audit; Zpracovatel může před zahájením auditu vyžadovat uzavření dohody o mlčenlivosti. Informační a auditní práva podle tohoto oddílu vznikají pouze v rozsahu, v jakém tato Smlouva jinak neposkytuje Společnosti informační a auditní práva splňující příslušné požadavky Zákonů o ochraně osobních údajů. Pokud Spravovaný zákazník požaduje informace o Zpracování ze strany společnosti Proton v rámci vlastních povinností náležité péče Společnosti vůči tomuto Spravovanému zákazníkovi, může se Společnost spolehnout na tento oddíl, aby získala potřebné informace od Zpracovatele a předala je dál, avšak samotný Spravovaný zákazník nemá vůči Zpracovateli žádné nezávislé právo na audit.

11. Přenos dat

V rámci možností Zpracovatel předává nebo povoluje předávání Osobních údajů společnosti pouze do zemí v rámci Švýcarska, EU a/nebo zemí, na které se vztahuje rozhodnutí o odpovídající ochraně, jak stanoví článek 45 GDPR a článek 16 švýcarského zákona FADP. Pokud jsou Osobní údaje společnosti zpracovávané podle této Smlouvy předávány ze Švýcarska, EU nebo země, na kterou se vztahuje rozhodnutí o odpovídající ochraně, do země mimo tento rozsah, Smluvní strany zajistí odpovídající ochranu Osobních údajů, přičemž se, pokud není dohodnuto jinak, spolehnou na aktuálně platné standardní smluvní doložky schválené Švýcarskem, EU a/nebo Spojeným královstvím nebo na jiné mechanismy předávání stanovené Zákony o ochraně osobních údajů. Zpracovatel je oprávněn provádět taková předání Dílčím zpracovatelům za předpokladu, že jsou zavedena odpovídající ochranná opatření s ohledem na povahu předání.

12. Všeobecné podmínky

12.1 Dodržování platných právních předpisů. Zpracovatel bude zpracovávat Osobní údaje společnosti v souladu s touto Smlouvou a Zákony o ochraně osobních údajů vztahujícími se na jeho roli podle této Smlouvy. Zpracovatel neodpovídá za dodržování Zákonů o ochraně osobních údajů, které se vztahují výhradně na Společnost nebo na jakéhokoli Spravovaného zákazníka z titulu jejich konkrétního podnikání nebo odvětví.

12.2 Důvěrnost. Každá Smluvní strana zachová důvěrnost veškerých informací, které obdrží o druhé Smluvní straně v souvislosti s touto Smlouvou, a nepoužije je ani nezpřístupní bez předchozího písemného souhlasu druhé Smluvní strany, s výjimkou případů, kdy (a) je zpřístupnění vyžadováno zákonem, nebo (b) jsou informace již veřejně známé bez zavinění Smluvních stran.

12.3 Oznámení. Oznámení podle této Smlouvy se podávají v souladu s ustanoveními o oznámeních v Hlavní smlouvě. Oznámení Zpracovateli týkající se záležitostí ochrany osobních údajů se navíc v kopii zašlou na legal@proton.ch

12.4 Odpovědnost. Odpovědnost každé Smluvní strany vzniklá z této Smlouvy nebo v souvislosti s ní podléhá ustanovením o omezení odpovědnosti v Hlavní smlouvě a je zastropována v souladu s nimi, včetně jakéhokoli konkrétního limitu stanoveného v Hlavní smlouvě pro porušení povinností v oblasti důvěrnosti a ochrany osobních údajů. Nic v této Smlouvě neomezuje odpovědnost kterékoli Smluvní strany za pokuty nebo sankce uložené přímo jí příslušným dozorovým úřadem vyplývající z vlastního porušení platných Zákonů o ochraně osobních údajů danou Smluvní stranou. Společnost bere na vědomí, že jako jediná strana vystupující v pozici Správce vůči svým Spravovaným zákazníkům nese výhradní odpovědnost za jakoukoli škodu nebo závazek, který Společnosti vznikne vůči Spravovanému zákazníkovi a který převyšuje to, co je Společnost schopna vymoci od Zpracovatele v rámci limitu odpovědnosti podle Hlavní smlouvy.

12.5 Rozhodné právo a soudní příslušnost. Tato Smlouva se řídí švýcarským právem, bez ohledu na kolizní normy jakékoli jiné jurisdikce, a spory vyplývající z této Smlouvy nebo vzniklé v souvislosti s ní podléhají výlučné jurisdikci soudů v Ženevě ve Švýcarsku.

12.6 Pořadí přednosti. V případě rozporu mezi touto Smlouvou a Hlavní smlouvou, pokud jde o Zpracování osobních údajů, má přednost tato Smlouva v souladu s oddílem 10.1 Hlavní smlouvy. V případě rozporu mezi anglickou verzí této Smlouvy a jakoukoli přeloženou verzí je rozhodující anglická verze.