Procurement observatory.

<!-- PAGE 1 --># Smlouva o zpracování osobních údajů

uzavřená v souladu s článkem 28 odst. 3 Obecného nařízení (jak je definováno dále), a to níže uvedeného dne, měsíce a roku mezi následujícími smluvními stranami (dále jen jako „**Smlouva**“): 

1. **Technická správa komunikací hl. m. Prahy, a.s.** 

**IČO: 034 47 286 se sídlem: Veletržní 1623/24, 170 00, Praha 7 - Holešovice zapsaná v obchodním rejstříku vedeném u Městského soudu v Praze sp. zn. B 20059**

**zastoupená:** PhDr. Filipem Hájkem, předsedou představenstva

 Při podpisu Smlouvy a veškerých jejích Dodatků jsou oprávněni zastupovat Společnost dva členové představenstva společně, z nichž nejméně jeden musí být předsedou, nebo místopředsedou představenstva.

(dále jen jako **„Správce“** nebo **„TSK“**)&#9;

a

**[BUDE DOPLNĚNO] IČO: [BUDE DOPLNĚNO] se sídlem: [BUDE DOPLNĚNO] zapsaná v obchodním rejstříku vedeném u [BUDE DOPLNĚNO], sp. zn. [BUDE DOPLNĚNO] zastoupená: [BUDE DOPLNĚNO]**

(dále jen jako **„Zpracovatel“**)&#9;&#9; 

(Správce a Zpracovatel dále společně jen jako „**Smluvní strany**“)

**Preambule Vzhledem k tomu, že:**

1. Správce a Zpracovatel spolu uzavřeli Smlouvu o implementaci a poskytování služeb centralizační platformy a o poskytnutí souvisejících služeb, evidovanou pod číslem ==[BUDE DOPLNĚNO PŘED UZAVŘENÍM SMLOUVY]==  (dále také jako „**Hlavní smlouva**“).
2. Zpracovatel bude při plnění Hlavní smlouvy zpracovávat osobní údaje pro Správce, a to takovým způsobem, aby zpracování osobních údajů ke kterému bude docházet splňovalo požadavky zákona č. 110/2019 Sb., o zpracování osobních údajů, v platném znění (dále také jako “**ZZOÚ**“) a obecného nařízení Evropského parlamentu a rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se 

zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále také jako „**Obecné nařízení**“), 

**dohodly se Smluvní strany na následujícím:**

**Úvodní ustanovení**

1. Není-li v této Smlouvě stanoveno jinak, mají pojmy zde užité stejný význam, jaký je jim přikládán v Hlavní Smlouvě.

1.2.&#9;Tato Smlouva se uzavírá za účelem zpracování a zajištění ochrany osobních údajů zpracovávaných Zpracovatelem v rámci poskytování plnění spočívajícího v implementaci služeb Centralizační platformy a navazujícím poskytování služeb Centralizační platformy (tj. poskytování Centralizační platformy v režimu „SaaS – Software as a Service“) a s tím souvisejících plnění (dále také jako „**Služba**“). 

**Pověření a rozsah zpracovávaných údajů**

1. __Pověření Zpracovatele.__ Správce tímto pověřuje Zpracovatele ve smyslu čl. 28 Obecného nařízení zpracováním osobních údajů v rozsahu a za podmínek stanovených níže v této Smlouvě, k nimž získá Zpracovatel přístup při poskytování Služby a Zpracovatel tento svůj závazek přijímá a zavazuje se jej řádně plnit. Zpracovatel je povinen zpracovávat osobní údaje v souladu se Smlouvou, právními předpisy, zejména se ZZOÚ a s Obecným nařízením. 
2. __Předmět zpracování__. Zpracovatel prohlašuje a zavazuje se zpracovávat v rámci svého pověření pro Správce pouze takové osobní údaje, které souvisí s předmětem Hlavní smlouvy. Zpracovatel bude dle této Smlouvy zpracovávat osobní údaje subjektů údajů uvedených v čl. 2.4 Smlouvy v rozsahu stanoveném v Příloze č. 1 Smlouvy. 
3. __Povaha a účel zpracování.__ Zpracovatel prohlašuje a zavazuje se zpracovávat osobní údaje subjektů údajů výlučně pro účely vymezené dále v této Smlouvě. Účelem zpracování osobních údajů v rámci komplexního zajištění Zpracovatelem poskytovaných Služeb je konkrétně:

- **[==BUDE DOPLNĚNO==]**

1. __Kategorie subjektu údajů__. Předmětem zpracování jsou osobní údaje těchto subjektů údajů: 

- **[==BUDE DOPLNĚNO==]***.*

1. __Pokyny Správce__. Zpracovatel prohlašuje a zavazuje se, že bude zpracovávat osobní údaje pouze na základě Správcem doložených pokynů. To platí obdobně pro statutární orgán a zaměstnance Zpracovatele, kteří mají při výkonu své pracovní činnosti ke zpracovávaným osobním údajům přístup. Pokyny se Správce zavazuje poskytovat Zpracovateli *elektronicky na e-mailovou adresu:* **[==BUDE DOPLNĚNO==]***.* 

Zpracovatel je povinen upozornit Správce bez zbytečného odkladu na nevhodnou povahu pokynu, který mu Správce ke zpracování osobních údajů předal; to neplatí, nemohl-li Zpracovatel nevhodnost zjistit ani při vynaložení potřebné péče. Trvá-li Správce na nevhodném pokynu i po Zpracovatelovu upozornění, může Zpracovatel od této Smlouvy jednostranně odstoupit. 

1. __Místo zpracování.__ Osobní údaje je možné zpracovávat pouze na pracovištích Zpracovatele nebo jeho poddodavatelů předem schválených písemně Správcem, a to na území Evropské unie. 

__Informování o provádění kontroly dohledovým orgánem.__ Zpracovatel je povinen Správci neprodleně oznámit provedení kontroly ze strany Úřadu pro ochranu osobních údajů (dále jen „ÚOOÚ“) a poskytnout Správci na jeho žádost podrobné informace o průběhu kontroly a kopii kontrolního protokolu. V případě zahájení správního řízení o uložení opatření k nápravě a/nebo uložení pokuty („**Správní řízení**“) je Zpracovatel rovněž povinen tuto skutečnost neprodleně oznámit Správci a poskytnout Správci na jeho žádost podrobné informace o průběhu a výsledcích Správního řízení, popř. Správci poskytnout plnou moc k nahlížení do spisu týkajícího se Správního řízení. Zpracovatel je povinen plnit povinnosti kontrolovaného dle zákona č. 255/2012 Sb., o kontrole (kontrolní řád), v platném znění, a zavazuje se poskytnout Správci kopii zprávy o odstranění nebo prevenci nedostatků zjištěných kontrolou, pokud je tato zpráva na vyžádání kontrolujícího vypracována.

**Poddodavatelé Zpracovatele**

1. Zpracovatel bere na vědomí, že dílčí poddodavatelé mohou být pověřeni zpracováním osobních údajů pouze na základě předchozího písemného souhlasu Správce. 
2. V případě, že Správce vysloví souhlas s pověřením dílčího poddodavatele zpracováním osobních údajů, je Zpracovatel povinen uložit tomuto poddodavateli v postavení dalšího zpracovatele osobních údajů stejné povinnosti týkající se ochrany osobních údajů i zapojení dalšího poddodavatele jako jsou stanoveny v této Smlouvě uzavřené mezi Správcem a Zpracovatelem Zpracovateli, a to zejména poskytnutí dostatečných záruk, pokud jde o zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky ZZOÚ a Obecného nařízení. 
3. Zpracovatel bere na vědomí, že nebude-li dílčí poddodavatel plnit své povinnosti v oblasti ochrany údajů, odpovídá Správci za plnění povinností poddodavatele, coby dalšího zpracovatele, i nadále plně Zpracovatel. 

**Technická a organizační zabezpečení ochrany osobních údajů**

1. Zpracovatel se zavazuje, že technicky a organizačně zabezpečí ochranu zpracovávaných osobních údajů tak, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití a aby byly personálně a organizačně nepřetržitě po dobu zpracování údajů zabezpečeny veškeré povinnosti Zpracovatele osobních údajů vyplývající z právních předpisů, včetně evropských právních předpisů a ISO norem, pokud ta na zpracování osobních údajů dopadají. 
2. Zpracovatel tímto prohlašuje, že ochrana osobních údajů podléhá interním bezpečnostním předpisům Zpracovatele v rámci jeho systému řízení bezpečnosti informací.
3. Zpracovatel se zavazuje, že zpracování osobních údajů bude zabezpečeno zejména následujícími způsoby: 

1. k osobním údajům budou mít přístup pouze oprávněné osoby Zpracovatele, které budou mít Zpracovatelem stanoveny podmínky a rozsah zpracování údajů a každá taková osoba bude přistupovat k osobním údajům pod svým jednoznačným identifikátorem;
2. oprávněné osoby Zpracovatele, které zpracovávají osobní údaje podle této Smlouvy, jsou povinny zachovávat mlčenlivost o osobních údajích a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo jejich zabezpečení. Zpracovatel zajistí jejich prokazatelné zavázání k této povinnosti. Zpracovatel zajistí, že tato povinnost pro Zpracovatele i oprávněné osoby bude trvat i po skončení jejich pracovněprávního nebo jiného vztahu ke Zpracovateli. V případě porušení této povinnosti se Zpracovatel zavazuje nahradit Správci veškerou způsobenou škodu;

1. bude používat odpovídající technické zařízení a programové vybavení způsobem, který vyloučí neoprávněný či nahodilý přístup k osobním údajům ze strany jiných osob než pověřených zaměstnanců Zpracovatele; 
2. bude osobní údaje uchovávat v náležitě zabezpečených objektech a místnostech, tj. do těchto místností s databázemi osobních údajů budou mít přístup pouze Zpracovatelem autorizované osoby a prostory budou uzamykatelné; 
3. osobní údaje v elektronické podobě bude uchovávat na zabezpečených serverech nebo na nosičích dat, ke kterým budou mít přístup pouze pověřené osoby na základě přístupových kódů či hesel, a bude osobní údaje pravidelně zálohovat; 
4. písemné dokumenty obsahující osobní údaje bude uchovávat na zabezpečeném místě, přičemž bude vést řádnou evidenci o pohybu takových písemných dokumentů;
5. osobní údaje, jejichž zpracováním byl Správcem pověřen či které získal v souvislosti se zpracováním osobních údajů dle této Smlouvy, uchovávat a shromažďovat odděleně od jiných osobních údajů, které zpracovává pro vlastní potřebu jako správce a/nebo jako zpracovatel na základě pověření jiným správcem;
6. zajistí neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování;
7. prostřednictvím vhodných technických prostředků zajistí schopnost obnovit dostupnost osobních údajů a přístup k nim včas v případě fyzických či technických incidentů;
8. zajistí pravidelné testování posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování; a
9. při ukončení zpracování osobních údajů zajistí Zpracovatel předání osobních údajů Správci a následně zajistí bezpečnou fyzickou likvidaci osobních údajů a veškerých jejich kopií v souladu s touto Smlouvou.
10. Zpracovatel se zavazuje, že na požádání Správci poskytne veškeré potřebné informace o zpracování osobních údajů a především doloží, že byla realizována technická a organizační opatření;

1. Doložená technická a organizační opatření budou základem zpracování osobních údajů. Pokud bude na základě ověření či auditu provedeného Správcem zjištěno, že technická a organizační opatření zachovávaná Zpracovatelem nejsou v souladu s touto Smlouvou a/nebo Obecným nařízením dostatečná pro zajištění požadované úrovně zabezpečení odpovídající možnému riziku s ohledem na povahu zpracování osobních údajů, tj. nastavení technických a organizačních opatření neposkytuje řádnou ochranu a zabezpečení před neoprávněným přístupem, zneužitím, zcizením nebo zničením osobních údajů, je Zpracovatel povinen neprodleně, nejpozději však do 10 pracovních dní od sdělení výstupů ověření či auditu provedeného Správcem, napravit zjištěné nedostatky a jejich nápravu doložit Správci. Nebude-li z objektivních důvodů možné napravit nedostatky ve lhůtě upravené v předešlé větě, je Zpracovatel povinen tuto skutečnost Správci oznámit, doložit a dohodnout se Správcem objektivně nejbližší možný termín pro jejich odstranění.
2. Technická a organizační opatření podléhají technickému pokroku a vývoji, proto Zpracovatel může zavést i jiná vhodná opatření, pokud nebude zavedením takových opatření snížena úroveň bezpečnosti, která je pro zpracování osobních údajů dostatečná. Veškeré podstatné změny původně zavedených technických a organizačních opatření musí Zpracovatel doložit. 
3. Zpracovatel se zavazuje poskytnout Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti zpracování osobních údajů včetně zpracování prostřednictvím dílčích poddodavatelů, kteří nakládají s osobními údaji, a umožnit audity, včetně inspekcí, prováděné Správcem nebo jiným auditorem, kterého Správce pověří, a k těmto auditům přispěje.

**Hlášení bezpečnostních incidentů**

1. Jakmile Zpracovatel zjistí, že došlo k porušení zabezpečení osobních údajů, je povinen ohlásit toto porušení bez zbytečného odkladu Správci, nejpozději však do 24 hodin po tomto zjištění, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. 
2. Pokud není ohlášení Správci učiněno nejpozději do 24 hodin, musí Zpracovatel současně s ním uvést důvody tohoto zpoždění. 
3. Ohlášení musí obsahovat zejména: 

1. popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;
2. popis pravděpodobných důsledků porušení zabezpečení osobních údajů;
3. jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, které může poskytnout bližší informace;
4. popis opatření, které Zpracovatel přijal nebo navrhl k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů. 

**Ukončení zpracování**

1. Tato Smlouva je uzavřena na dobu účinnosti Hlavní smlouvy. Ukončení Hlavní smlouvy z jakéhokoliv důvodu má za následek automatické ukončení této Smlouvy ke dni, ke kterému skončí Hlavní smlouva, nebude-li Smluvními stranami písemně ujednáno jinak. 
2. Tuto Smlouvu lze ukončit i písemnou dohodou Smluvních stran. 
3. Správce je oprávněn od této Smlouvy jednostranně odstoupit v případě závažného porušení jakékoliv povinnosti Zpracovatele vyplývající z této Smlouvy a/nebo ze ZZOÚ a/nebo z Obecného nařízení. Za závažné porušení této Smlouvy je považováno zejména porušení povinností Zpracovatele uvedených v článku 3, 4, 5 a 7 této Smlouvy.
4. Osobní údaje budou Zpracovatelem zpracovávány a uchovávány po dobu trvání této Smlouvy. 
5. Po ukončení této Smlouvy, je Zpracovatel povinen uchovávané osobní údaje předat zpět Správci, a to nejpozději do 7 kalendářních dnů ode dne ukončení účinnosti této Smlouvy na vhodném datovém nosiči anebo elektronicky ke stažení, nevylučuje-li to povaha zpracování osobních údajů. 
6. Po předání osobních údajů zpět Správci se Zpracovatel zavazuje bezodkladně, nejpozději však do 1 kalendářního měsíce po ukončení účinnosti této Smlouvy zpracovávané osobní údaje a jejich kopie zlikvidovat, např. vymazat z elektronických úložišť či skartovat listiny, ledaže je Zpracovatel oprávněn uchovávat osobní údaje i po ukončení účinnosti Smlouvy na základě jiného právního titulu specifikovaného v článku 6 Obecného nařízení. 
7. Zpracovatel je po zániku této Smlouvy povinen dodržovat veškeré povinnosti plynoucí z Obecného nařízení či ZZOÚ vedoucí zejména k předejití jakémukoliv neoprávněnému nakládání s osobními údaji do doby, než dle pokynů Správce tyto osobní údaje Zpracovatel předá Správci nebo provede jejich bezpečnou likvidaci.
8. Povinnost zachování důvěrné povahy osobních údajů trvá i po ukončení této Smlouvy.

**Mlčenlivost**

1. Zpracovatel prohlašuje a zavazuje se, že bude považovat veškerá data získaná při poskytování Služby za důvěrná, zavazuje se o nich zachovávat mlčenlivost, tj. nesdělí je nikomu, kromě svých zaměstnanců a dílčích subdodavatelů, a to pouze v rozsahu nezbytném pro poskytování Služeb. Tato povinnost mlčenlivosti přetrvává i po ukončení účinnosti této Smlouvy. 

**Sankce za porušení Smlouvy**

1. V případě nedodržení jakékoliv povinnosti Zpracovatele vyplývající z této Smlouvy, zejména zapojení dalšího zpracovatele do zpracování přes nesouhlas Správce dle článku 3 této Smlouvy, technicky a organizačně zabezpečit ochranu zpracovávaných údajů dle článku 4 této Smlouvy, povinnosti mlčenlivosti dle článku 7 této Smlouvy, povinnosti spočívající v předání a zlikvidování osobních údajů ve stanovené maximální lhůtě dle článku 6 této Smlouvy, má Správce právo uplatnit vůči Zpracovateli smluvní pokutu ve výši 50.000,- Kč (slovy: padesát tisíc korun českých) za každý případ porušení některé z povinností podle této Smlouvy. 
2. Smluvní pokuta je splatná ve lhůtě sedmi (7) kalendářních dnů od doručení písemné výzvy oprávněné Smluvní strany Smluvní straně povinné ze smluvní pokuty.
3. Zaplacení smluvní pokuty dle předchozích odstavců tohoto článku nemá vliv na nárok oprávněné Smluvní strany domáhat se náhrady škody v plné výši způsobené porušením povinnosti, které je zajištěno touto smluvní pokutou a ani na povinnost Smluvní strany povinné ze smluvní pokuty splnit závazek zajištěný smluvní pokutou. 
4. Právo Smluvní strany na smluvní pokutu a na náhradu škody přetrvává i po zrušení této Smlouvy. 

**Ostatní ujednání** 

1. Smluvní strany se zavazují, že bude-li to zapotřebí, poskytnou si bez zbytečného odkladu veškerou součinnost při styku a jednání s ÚOOÚ jako dozorovým úřadem a se subjekty údajů, kterých se zpracování osobních údajů týká, zejména při výkonu jejich práv na přístup ke svým údajům, na jejich opravu či výmaz. Zpracovatel je dále povinen poskytnout Správci veškeré informace a součinnost potřebné k doložení toho, že Zpracovatel řádně plní povinnosti stanovené touto Smlouvou a/nebo Obecným nařízením. Zpracovatel zejména umožní provedení auditů vč. inspekcí Správcem nebo jím pověřenou třetí osobou. 
2. Zpracovatel bere na vědomí, že pokud zpracovává osobní údaje subjektů údajů bez doloženého pokynu Správce ve větším rozsahu, jinými prostředky anebo k jiným účelům, než které jsou uvedeny v článku 2, odst. 2.3 této Smlouvy (tj. pro vlastní účely), platí, že osobní údaje nezpracovává pro účely stanovené Správcem a Správce za takové zpracování nenese žádnou odpovědnost. Ve vztahu k těmto osobním údajům je pak Zpracovatel ve smyslu ZZOÚ a Obecného nařízení v postavení správce osobních údajů. 

**Článek 10.**

**Závěrečná ustanovení**

1. Tato Smlouva nabývá platnosti a účinnosti dnem podpisu oběma Smluvními stranami.
2. Tato Smlouva může být doplňována anebo měněna s výjimkou změny Přílohy č. 1 pouze písemnými dodatky, které jsou jako takové označeny, číslovány a podepsány oběma Smluvními stranami. Rozsah zpracovávaných osobních údajů stanovený v *Příloze č. 1* může Správce rozšířit či jinak změnit při zachování písemné formy i bez nutnosti uzavírat dodatek k této Smlouvě (oznámení o změně *Přílohy č. 1* doručené Zpracovateli prostřednictvím e-mailu bude dostačující).
3. V případě, že některé ustanovení této Smlouvy je nebo se stane neplatným či neúčinným, nemá tato skutečnost vliv na ostatní ustanovení této Smlouvy, a Smluvní strany se zavazují nahradit takové neplatné či neúčinné ustanovení této Smlouvy ustanovením jiným, platným a účinným, které svým smyslem nejlépe odpovídá účelu této Smlouvy, a to do 30 (třiceti) kalendářních dnů od okamžiku, kdy byla o neplatnosti či neúčinnosti takového ujednání prokazatelně informována poslední Smluvní strana. 
4. Žádná ze Smluvních stran nesmí bez předchozího písemného souhlasu druhé Smluvní strany postoupit Smlouvu, jednotlivý závazek ze Smlouvy ani pohledávky vzniklé v souvislosti s touto Smlouvou na jiné osoby.
5. Tato Smlouva je vyhotovena ve třech stejnopisech, z nichž každý má platnost originálu. Správce obdrží dvě a Zpracovatel jedno vyhotovení této Smlouvy. V případě, že je Smlouva uzavírána elektronicky za využití uznávaných elektronických podpisů, postačí jedno vyhotovení Smlouvy, na kterém jsou zaznamenány uznávané elektronické podpisy zástupců Smluvních stran.
6. Smluvní strany prohlašují, že si tuto Smlouvu přečetly, že nebyla uzavřena v tísni či za nápadně nevýhodných podmínek, a na důkaz svého souhlasu s jeho obsahem připojují své podpisy.
7. Nedílnou součást této Smlouvy tvoří následující přílohy:

*Příloha č. 1 – Rozsah zpracovávaných osobních údajů*

| V Praze, dne&#9;[•] | V [•], dne [•] |
| --- | --- |
| ____________________________________ **Technická správa komunikací hl. m. Prahy, a.s.** [•] (Správce) | ____________________________________ [•] (Zpracovatel) |
|  |  |

**Příloha č. 1 Rozsah zpracovávaných Osobních údajů**

Zpracovatel bude zpracovávat osobní údaje subjektů údajů dle Smlouvy zejména v následujícím rozsahu:

1. **[==BUDE DOPLNĚNO==]**; 
2. **[==BUDE DOPLNĚNO==]**;
3. **[==BUDE DOPLNĚNO==]**.

Page 1

# Smlouva o zpracování osobních údajů

uzavřená v souladu s článkem 28 odst. 3 Obecného nařízení (jak je definováno dále), a to níže uvedeného dne, měsíce a roku mezi následujícími smluvními stranami (dále jen jako „**Smlouva**“): 

1. **Technická správa komunikací hl. m. Prahy, a.s. **

**IČO: 034 47 286**

**se sídlem: Veletržní 1623/24, 170 00, Praha 7 - Holešovice**

**zapsaná v obchodním rejstříku vedeném u Městského soudu v Praze sp. zn. B 20059**

**zastoupená: **PhDr. Filipem Hájkem, předsedou představenstva


Při podpisu Smlouvy a veškerých jejích Dodatků jsou oprávněni zastupovat Společnost dva členové představenstva společně, z nichž nejméně jeden musí být předsedou, nebo místopředsedou představenstva.

(dále jen jako **„Správce“ **nebo** „TSK“**)	

a

**[BUDE DOPLNĚNO]**

**IČO: [BUDE DOPLNĚNO]**

**se sídlem: [BUDE DOPLNĚNO]**

**zapsaná v obchodním rejstříku vedeném u [BUDE DOPLNĚNO], sp. zn. [BUDE DOPLNĚNO]**

**zastoupená: [BUDE DOPLNĚNO]**

(dále jen jako **„Zpracovatel“**)		  

(Správce a Zpracovatel dále společně jen jako „**Smluvní strany**“)

**Preambule**

**Vzhledem k tomu, že:**

1. Správce a Zpracovatel spolu uzavřeli Smlouvu o implementaci a poskytování služeb centralizační platformy a o poskytnutí souvisejících služeb, evidovanou pod číslem [BUDE DOPLNĚNO PŘED UZAVŘENÍM SMLOUVY]  (dále také jako „**Hlavní smlouva**“).
2. Zpracovatel bude při plnění Hlavní smlouvy zpracovávat osobní údaje pro Správce, a to takovým způsobem, aby zpracování osobních údajů ke kterému bude docházet splňovalo požadavky zákona č. 110/2019 Sb., o zpracování osobních údajů, v platném znění (dále také jako “**ZZOÚ**“) a obecného nařízení Evropského parlamentu a rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se

Page 2

zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále také jako „**Obecné nařízení**“), 

**dohodly se Smluvní strany na následujícím:**

1. 

**Úvodní ustanovení**

1. Není-li v této Smlouvě stanoveno jinak, mají pojmy zde užité stejný význam, jaký je jim přikládán v Hlavní Smlouvě.

1.2.	Tato Smlouva se uzavírá za účelem zpracování a zajištění ochrany osobních údajů zpracovávaných Zpracovatelem v rámci poskytování plnění spočívajícího v implementaci služeb Centralizační platformy a navazujícím poskytování služeb Centralizační platformy (tj. poskytování Centralizační platformy v režimu „SaaS – Software as a Service“) a s tím souvisejících plnění** **(dále také jako „**Služba**“). 

2. 

**Pověření a rozsah zpracovávaných údajů**

  1. <u>Pověření Zpracovatele.</u> Správce tímto pověřuje Zpracovatele ve smyslu čl. 28 Obecného nařízení zpracováním osobních údajů v rozsahu a za podmínek stanovených níže v této Smlouvě, k nimž získá Zpracovatel přístup při poskytování Služby a Zpracovatel tento svůj závazek přijímá a zavazuje se jej řádně plnit. Zpracovatel je povinen zpracovávat osobní údaje v souladu se Smlouvou, právními předpisy, zejména se ZZOÚ a s Obecným nařízením. 
  2. <u>Předmět zpracování</u>. Zpracovatel prohlašuje a zavazuje se zpracovávat v rámci svého pověření pro Správce pouze takové osobní údaje, které souvisí s předmětem Hlavní smlouvy. Zpracovatel bude dle této Smlouvy zpracovávat osobní údaje subjektů údajů uvedených v čl. 2.4 Smlouvy v rozsahu stanoveném v Příloze č. 1 Smlouvy. 
  3. <u>Povaha a účel zpracování.</u> Zpracovatel prohlašuje a zavazuje se zpracovávat osobní údaje subjektů údajů výlučně pro účely vymezené dále v této Smlouvě. Účelem zpracování osobních údajů v rámci komplexního zajištění Zpracovatelem poskytovaných Služeb je konkrétně:
- **[BUDE DOPLNĚNO]**
  4. <u>Kategorie subjektu údajů</u>. Předmětem zpracování jsou osobní údaje těchto subjektů údajů: 
- **[BUDE DOPLNĚNO]***.*
  5. <u>Pokyny Správce</u>. Zpracovatel prohlašuje a zavazuje se, že bude zpracovávat osobní údaje pouze na základě Správcem doložených pokynů. To platí obdobně pro statutární orgán a zaměstnance Zpracovatele, kteří mají při výkonu své pracovní činnosti ke zpracovávaným osobním údajům přístup. Pokyny se Správce zavazuje poskytovat Zpracovateli *elektronicky na e-mailovou adresu: ***[BUDE DOPLNĚNO]***. *

Zpracovatel je povinen upozornit Správce bez zbytečného odkladu na nevhodnou povahu pokynu, který mu Správce ke zpracování osobních údajů předal; to neplatí, nemohl-li Zpracovatel nevhodnost zjistit ani při vynaložení potřebné péče. Trvá-li Správce na nevhodném pokynu i po Zpracovatelovu upozornění, může Zpracovatel od této Smlouvy jednostranně odstoupit. 

  6. <u>Místo zpracování.</u> Osobní údaje je možné zpracovávat pouze na pracovištích Zpracovatele nebo jeho poddodavatelů předem schválených písemně Správcem, a to na území Evropské unie. 

<u>Informování o provádění kontroly dohledovým orgánem.</u> Zpracovatel je povinen Správci neprodleně oznámit provedení kontroly ze strany Úřadu pro ochranu osobních údajů (dále jen „ÚOOÚ“) a poskytnout Správci na jeho žádost podrobné informace o průběhu kontroly a kopii kontrolního protokolu. V případě zahájení správního řízení o uložení opatření k nápravě a/nebo uložení pokuty („**Správní řízení**“) je Zpracovatel rovněž povinen tuto skutečnost neprodleně oznámit Správci a poskytnout Správci na jeho žádost podrobné informace o průběhu a výsledcích Správního řízení, popř. Správci poskytnout plnou moc k nahlížení do spisu týkajícího se Správního řízení. Zpracovatel je povinen plnit povinnosti kontrolovaného dle zákona č. 255/2012 Sb., o kontrole (kontrolní řád), v platném znění, a zavazuje se poskytnout Správci kopii zprávy o odstranění nebo prevenci nedostatků zjištěných kontrolou, pokud je tato zpráva na vyžádání kontrolujícího vypracována.

3. 

**Poddodavatelé Zpracovatele**

  7. Zpracovatel bere na vědomí, že dílčí poddodavatelé mohou být pověřeni zpracováním osobních údajů pouze na základě předchozího písemného souhlasu Správce. 
  8. V případě, že Správce vysloví souhlas s pověřením dílčího poddodavatele zpracováním osobních údajů, je Zpracovatel  povinen uložit tomuto poddodavateli v postavení dalšího zpracovatele osobních údajů stejné povinnosti týkající se ochrany osobních údajů i zapojení dalšího poddodavatele jako jsou stanoveny v této Smlouvě uzavřené mezi Správcem a Zpracovatelem  Zpracovateli, a to zejména poskytnutí dostatečných záruk, pokud jde o zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky ZZOÚ a Obecného nařízení. 
  9. Zpracovatel bere na vědomí, že nebude-li dílčí poddodavatel plnit své povinnosti v oblasti ochrany údajů, odpovídá Správci za plnění povinností poddodavatele, coby dalšího zpracovatele, i nadále plně Zpracovatel. 

4. 

**Technická a organizační zabezpečení ochrany osobních údajů**

  10. Zpracovatel se zavazuje, že technicky a organizačně zabezpečí ochranu zpracovávaných osobních údajů tak, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití a aby byly personálně a organizačně nepřetržitě po dobu zpracování údajů zabezpečeny veškeré povinnosti Zpracovatele osobních údajů vyplývající z právních předpisů, včetně evropských právních předpisů a ISO norem, pokud ta na zpracování osobních údajů dopadají. 
  11. Zpracovatel tímto prohlašuje, že ochrana osobních údajů podléhá interním bezpečnostním předpisům Zpracovatele v rámci jeho systému řízení bezpečnosti informací.
  12. Zpracovatel se zavazuje, že zpracování osobních údajů bude zabezpečeno zejména následujícími způsoby: 
1. k osobním údajům budou mít přístup pouze oprávněné osoby Zpracovatele, které budou mít Zpracovatelem stanoveny podmínky a rozsah zpracování údajů a každá taková osoba bude přistupovat k osobním údajům pod svým jednoznačným identifikátorem;
2. oprávněné osoby Zpracovatele, které zpracovávají osobní údaje podle této Smlouvy, jsou povinny zachovávat mlčenlivost o osobních údajích a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo jejich zabezpečení. Zpracovatel zajistí jejich prokazatelné zavázání k této povinnosti. Zpracovatel zajistí, že tato povinnost pro Zpracovatele i oprávněné osoby bude trvat i po skončení jejich pracovněprávního nebo jiného vztahu ke Zpracovateli. V případě porušení této povinnosti se Zpracovatel zavazuje nahradit Správci veškerou způsobenou škodu;
      1. bude používat odpovídající technické zařízení a programové vybavení způsobem, který vyloučí neoprávněný či nahodilý přístup k osobním údajům ze strany jiných osob než pověřených zaměstnanců Zpracovatele; 
      2. bude osobní údaje uchovávat v náležitě zabezpečených objektech a místnostech, tj. do těchto místností s databázemi osobních údajů budou mít přístup pouze Zpracovatelem autorizované osoby a prostory budou uzamykatelné; 
      3. osobní údaje v elektronické podobě bude uchovávat na zabezpečených serverech nebo na nosičích dat, ke kterým budou mít přístup pouze pověřené osoby na základě přístupových kódů či hesel, a bude osobní údaje pravidelně zálohovat; 
      4. písemné dokumenty obsahující osobní údaje bude uchovávat na zabezpečeném místě, přičemž bude vést řádnou evidenci o pohybu takových písemných dokumentů;
      5. osobní údaje, jejichž zpracováním byl Správcem pověřen či které získal v souvislosti se zpracováním osobních údajů dle této Smlouvy, uchovávat a shromažďovat odděleně od jiných osobních údajů, které zpracovává pro vlastní potřebu jako správce a/nebo jako zpracovatel na základě pověření jiným správcem;
      6. zajistí neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování;
      7. prostřednictvím vhodných technických prostředků zajistí schopnost obnovit dostupnost osobních údajů a přístup k nim včas v případě fyzických či technických incidentů;
      8. zajistí pravidelné testování posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování; a
      9. při ukončení zpracování osobních údajů zajistí Zpracovatel předání osobních údajů Správci a následně zajistí bezpečnou fyzickou likvidaci osobních údajů a veškerých jejich kopií v souladu s touto Smlouvou.
      10. Zpracovatel se zavazuje, že na požádání Správci poskytne veškeré potřebné informace o zpracování osobních údajů a především doloží, že byla realizována technická a organizační opatření;
  13. Doložená technická a organizační opatření budou základem zpracování osobních údajů. Pokud bude na základě ověření či auditu provedeného Správcem zjištěno, že technická a organizační opatření zachovávaná Zpracovatelem nejsou v souladu s touto Smlouvou a/nebo Obecným nařízením dostatečná pro zajištění požadované úrovně zabezpečení odpovídající možnému riziku s ohledem na povahu zpracování osobních údajů, tj. nastavení technických a organizačních opatření neposkytuje řádnou ochranu a zabezpečení před neoprávněným přístupem, zneužitím, zcizením nebo zničením osobních údajů, je Zpracovatel povinen neprodleně, nejpozději však do 10 pracovních dní od sdělení výstupů ověření či auditu provedeného Správcem, napravit zjištěné nedostatky a jejich nápravu doložit Správci. Nebude-li z objektivních důvodů možné napravit nedostatky ve lhůtě upravené v předešlé větě, je Zpracovatel povinen tuto skutečnost Správci oznámit, doložit a dohodnout se Správcem objektivně nejbližší možný termín pro jejich odstranění.
  14. Technická a organizační opatření podléhají technickému pokroku a vývoji, proto Zpracovatel může zavést i jiná vhodná opatření, pokud nebude zavedením takových opatření snížena úroveň bezpečnosti, která je pro zpracování osobních údajů dostatečná. Veškeré podstatné změny původně zavedených technických a organizačních opatření musí Zpracovatel doložit. 
  15. Zpracovatel se zavazuje poskytnout Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti zpracování osobních údajů včetně zpracování prostřednictvím dílčích poddodavatelů, kteří nakládají s osobními údaji, a umožnit audity, včetně inspekcí, prováděné Správcem nebo jiným auditorem, kterého Správce pověří, a k těmto auditům přispěje.

5. 

**Hlášení bezpečnostních incidentů**

1. Jakmile Zpracovatel zjistí, že došlo k porušení zabezpečení osobních údajů, je povinen ohlásit toto porušení bez zbytečného odkladu Správci, nejpozději však do 24 hodin po tomto zjištění, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. 
2. Pokud není ohlášení Správci učiněno nejpozději do 24 hodin, musí Zpracovatel současně s ním uvést důvody tohoto zpoždění. 
3. Ohlášení musí obsahovat zejména: 
1. popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;
2. popis pravděpodobných důsledků porušení zabezpečení osobních údajů;
3. jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, které může poskytnout bližší informace;
4. popis opatření, které Zpracovatel přijal nebo navrhl k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů. 

6. 

**Ukončení zpracování**

  16. Tato Smlouva je uzavřena na dobu účinnosti Hlavní smlouvy. Ukončení Hlavní smlouvy z jakéhokoliv důvodu má za následek automatické ukončení této Smlouvy ke dni, ke kterému skončí Hlavní smlouva, nebude-li Smluvními stranami písemně ujednáno jinak. 
  17. Tuto Smlouvu lze ukončit i písemnou dohodou Smluvních stran. 
  18. Správce je oprávněn od této Smlouvy jednostranně odstoupit v případě závažného porušení jakékoliv povinnosti Zpracovatele vyplývající z této Smlouvy a/nebo ze ZZOÚ a/nebo z Obecného nařízení. Za závažné porušení této Smlouvy je považováno zejména porušení povinností Zpracovatele uvedených v článku 3, 4, 5 a 7 této Smlouvy.
  19. Osobní údaje budou Zpracovatelem zpracovávány a uchovávány po dobu trvání této Smlouvy. 
  20. Po ukončení této Smlouvy, je Zpracovatel povinen uchovávané osobní údaje předat zpět Správci, a to nejpozději do 7 kalendářních dnů ode dne ukončení účinnosti této Smlouvy na vhodném datovém nosiči anebo elektronicky ke stažení, nevylučuje-li to povaha zpracování osobních údajů. 
  21. Po předání osobních údajů zpět Správci se Zpracovatel zavazuje bezodkladně, nejpozději však do 1 kalendářního měsíce po ukončení účinnosti této Smlouvy zpracovávané osobní údaje a jejich kopie zlikvidovat, např. vymazat z elektronických úložišť či skartovat listiny, ledaže je Zpracovatel oprávněn uchovávat osobní údaje i po ukončení účinnosti Smlouvy na základě jiného právního titulu specifikovaného v článku 6 Obecného nařízení. 
  22. Zpracovatel je po zániku této Smlouvy povinen dodržovat veškeré povinnosti plynoucí z Obecného nařízení či ZZOÚ vedoucí zejména k předejití jakémukoliv neoprávněnému nakládání s osobními údaji do doby, než dle pokynů Správce tyto osobní údaje Zpracovatel předá Správci nebo provede jejich bezpečnou likvidaci.
  23. Povinnost zachování důvěrné povahy osobních údajů trvá i po ukončení této Smlouvy.

7. 

**Mlčenlivost**

  24. Zpracovatel prohlašuje a zavazuje se, že bude považovat veškerá data získaná při poskytování Služby za důvěrná, zavazuje se o nich zachovávat mlčenlivost, tj. nesdělí je nikomu, kromě svých zaměstnanců a dílčích subdodavatelů, a to pouze v rozsahu nezbytném pro poskytování Služeb. Tato povinnost mlčenlivosti přetrvává i po ukončení účinnosti této Smlouvy. 

8. 

**Sankce za porušení Smlouvy**

  25. V případě nedodržení jakékoliv povinnosti Zpracovatele vyplývající z této Smlouvy, zejména zapojení dalšího zpracovatele do zpracování přes nesouhlas Správce dle článku 3 této Smlouvy,  technicky a organizačně zabezpečit ochranu zpracovávaných údajů dle článku 4 této Smlouvy, povinnosti mlčenlivosti dle článku 7 této Smlouvy, povinnosti spočívající v předání a zlikvidování osobních údajů ve stanovené maximální lhůtě dle článku 6 této Smlouvy, má Správce právo uplatnit vůči Zpracovateli smluvní pokutu ve výši 50.000,- Kč (slovy: padesát tisíc korun českých) za každý případ porušení některé z povinností podle této Smlouvy.  
  26. Smluvní pokuta je splatná ve lhůtě sedmi (7) kalendářních dnů od doručení písemné výzvy oprávněné Smluvní strany Smluvní straně povinné ze smluvní pokuty.
  27. Zaplacení smluvní pokuty dle předchozích odstavců tohoto článku nemá vliv na nárok oprávněné Smluvní strany domáhat se náhrady škody v plné výši způsobené porušením povinnosti, které je zajištěno touto smluvní pokutou a ani na povinnost Smluvní strany povinné ze smluvní pokuty splnit závazek zajištěný smluvní pokutou. 
  28. Právo Smluvní strany na smluvní pokutu a na náhradu škody přetrvává i po zrušení této Smlouvy.  

9. 

**Ostatní ujednání **

  29. Smluvní strany se zavazují, že bude-li to zapotřebí, poskytnou si bez zbytečného odkladu veškerou součinnost při styku a jednání s ÚOOÚ jako dozorovým úřadem a se subjekty údajů, kterých se zpracování osobních údajů týká, zejména při výkonu jejich práv na přístup ke svým údajům, na jejich opravu či výmaz. Zpracovatel je dále povinen poskytnout Správci veškeré informace a součinnost potřebné k doložení toho, že Zpracovatel řádně plní povinnosti stanovené touto Smlouvou a/nebo Obecným nařízením. Zpracovatel zejména umožní provedení auditů vč. inspekcí Správcem nebo jím pověřenou třetí osobou. 
  30. Zpracovatel bere na vědomí, že pokud zpracovává osobní údaje subjektů údajů bez doloženého pokynu Správce ve větším rozsahu, jinými prostředky anebo k jiným účelům, než které jsou uvedeny v článku 2, odst. 2.3 této Smlouvy (tj. pro vlastní účely), platí, že osobní údaje nezpracovává pro účely stanovené Správcem a Správce za takové zpracování nenese žádnou odpovědnost. Ve vztahu k těmto osobním údajům je pak Zpracovatel ve smyslu ZZOÚ a Obecného nařízení v postavení správce osobních údajů. 

**Článek 10.**

**Závěrečná ustanovení**

  1. Tato Smlouva nabývá platnosti a účinnosti dnem podpisu oběma Smluvními stranami.
  2. Tato Smlouva může být doplňována anebo měněna s výjimkou změny Přílohy č. 1 pouze písemnými dodatky, které jsou jako takové označeny, číslovány a podepsány oběma Smluvními stranami. Rozsah zpracovávaných osobních údajů stanovený v *Příloze č. 1* může Správce rozšířit či jinak změnit při zachování písemné formy i bez nutnosti uzavírat dodatek k této Smlouvě (oznámení o změně *Přílohy č. 1* doručené Zpracovateli prostřednictvím e-mailu bude dostačující).
  3. V případě, že některé ustanovení této Smlouvy je nebo se stane neplatným či neúčinným, nemá tato skutečnost vliv na ostatní ustanovení této Smlouvy, a Smluvní strany se zavazují nahradit takové neplatné či neúčinné ustanovení této Smlouvy ustanovením jiným, platným a účinným, které svým smyslem nejlépe odpovídá účelu této Smlouvy, a to do 30 (třiceti) kalendářních dnů od okamžiku, kdy byla o neplatnosti či neúčinnosti takového ujednání prokazatelně informována poslední Smluvní strana. 
  4. Žádná ze Smluvních stran nesmí bez předchozího písemného souhlasu druhé Smluvní strany postoupit Smlouvu, jednotlivý závazek ze Smlouvy ani pohledávky vzniklé v souvislosti s touto Smlouvou na jiné osoby.
  5. Tato Smlouva je vyhotovena ve třech stejnopisech, z nichž každý má platnost originálu. Správce obdrží dvě a Zpracovatel jedno vyhotovení této Smlouvy. V případě, že je Smlouva uzavírána elektronicky za využití uznávaných elektronických podpisů, postačí jedno vyhotovení Smlouvy, na kterém jsou zaznamenány uznávané elektronické podpisy zástupců Smluvních stran.
  6. Smluvní strany prohlašují, že si tuto Smlouvu přečetly, že nebyla uzavřena v tísni či za nápadně nevýhodných podmínek, a na důkaz svého souhlasu s jeho obsahem připojují své podpisy.
  7. Nedílnou součást této Smlouvy tvoří následující přílohy:

*Příloha č. 1 – Rozsah zpracovávaných osobních údajů*

| V Praze, dne	[•]                                                                                             | V [•], dne [•]                                            |
| ------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------- |
| ____________________________________ **Technická správa komunikací hl. m. Prahy, a.s.** [•]  (Správce)       | ____________________________________ [•]  (Zpracovatel)   |
|                                                                                                              |                                                           |

**Příloha č. 1**

**Rozsah zpracovávaných Osobních údajů**

Zpracovatel bude zpracovávat osobní údaje subjektů údajů dle Smlouvy zejména v následujícím rozsahu:

    1. **[BUDE DOPLNĚNO]**; 
    2. **[BUDE DOPLNĚNO]**;
    3. **[BUDE DOPLNĚNO]**.