Tyto podmínky se použijí pouze v rozsahu, v jakém X-care Warehousing zpracovává osobní údaje jménem Objednatele jako zpracovatel. Objednatel je v takovém rozsahu správcem, není-li z povahy konkrétního zpracování zřejmé jiné postavení stran.
I. Předmět, povaha a parametry zpracování
Předmětem a účelem zpracování je poskytování aktivních služeb podle Rámcové smlouvy a Objednávky služeb, zejména fulfillment, skladové a doručovací procesy, WMS, integrační služby, Track & Trace, technická podpora a související provozní činnosti. Povaha zpracování zahrnuje zejména přijetí, zaznamenání, uspořádání, uložení, vyhledání, použití, předání oprávněným příjemcům, omezení a výmaz osobních údajů v rozsahu potřebném pro danou službu.
Zpracování trvá po dobu poskytování příslušné služby a po dobu nezbytnou k jejímu vypořádání, exportu dat, standardním zálohám, plnění právních povinností a obraně právních nároků.
Není-li v Objednávce služeb uvedeno jinak, kategoriemi subjektů údajů mohou být zejména zákazníci a příjemci zásilek, uživatelé systémů, zaměstnanci a jiné kontaktní osoby Objednatele nebo jeho obchodních partnerů. Zpracovávané údaje mohou zahrnovat zejména identifikační, kontaktní, objednávkové, doručovací, transakční, provozní, přístupové a logovací údaje. Zvláštní kategorie osobních údajů nejsou zamýšleny a Objednatel je X-care Warehousing nepředá bez předchozí písemné dohody.
Objednatel je oprávněn udělovat X-care Warehousing doložené pokyny v mezích smluvní dokumentace a vykonávat práva správce podle GDPR. Objednatel odpovídá za zákonnost zpracování, existenci právního základu, plnění informačních povinností, správnost pokynů a přiměřenost osobních údajů předávaných X-care Warehousing.
II. Pokyny, mlčenlivost a zabezpečení
X-care Warehousing zpracovává osobní údaje pouze na doložené pokyny Objednatele obsažené ve smluvní dokumentaci a provozních zadáních, včetně pokynů k předání do třetí země, ledaže zpracování ukládá právo EU nebo členského státu. V takovém případě X-care Warehousing Objednatele předem informuje, pokud to právní předpis nezakazuje.
X-care Warehousing zajistí, aby osoby oprávněné zpracovávat osobní údaje byly vázány mlčenlivostí a měly přístup pouze v rozsahu nezbytném pro své úkoly.
X-care Warehousing přijme přiměřená technická a organizační opatření odpovídající riziku podle čl. 32 GDPR, zejména řízení a revizi přístupů, autentizaci, přiměřené zálohování a obnovu, logování, aktualizace, ochranu infrastruktury, řízení bezpečnostních incidentů a organizační opatření odpovídající povaze služby.
X-care Warehousing bez zbytečného odkladu informuje Objednatele, pokud se podle jejího názoru doložený pokyn dostává do rozporu s předpisy o ochraně osobních údajů; provedení takového pokynu může v nezbytném rozsahu pozastavit do vyjasnění.
III. Další zpracovatelé
Objednatel uděluje X-care Warehousing obecné písemné oprávnění zapojit další zpracovatele nezbytné pro aktivní služby, zejména poskytovatele cloudové infrastruktury, osapiens, integračních, komunikačních, logistických a podpůrných systémů.
Aktuální seznam dalších zpracovatelů je dostupný na: https://xcw.cz/cz/podminky/zpracovatele.
X-care Warehousing informuje Objednatele o zamýšleném přidání nebo nahrazení dalšího zpracovatele alespoň 15 dnů předem, je-li to objektivně možné. Objednatel může v této lhůtě vznést doloženou námitku založenou na závažném důvodu ochrany osobních údajů. Strany se pokusí nalézt přiměřené řešení; není-li řešení možné a bez daného zpracovatele nelze službu přiměřeně poskytovat, může být dotčená služba ukončena.
Je-li změna dalšího zpracovatele nezbytná okamžitě k odvrácení bezpečnostního nebo právního rizika a předchozí oznámení není rozumně možné, může X-care Warehousing změnu provést a informovat Objednatele bez zbytečného odkladu následně; právo Objednatele vznést námitku založenou na závažném důvodu ochrany osobních údajů tím není dotčeno.
X-care Warehousing uloží dalšímu zpracovateli odpovídající povinnosti ochrany osobních údajů v rozsahu vyžadovaném čl. 28 GDPR a vůči Objednateli odpovídá za plnění povinností dalšího zpracovatele v rozsahu stanoveném GDPR.
IV. Součinnost a incidenty
S přihlédnutím k povaze zpracování poskytne X-care Warehousing Objednateli přiměřenou součinnost, pokud je to možné prostřednictvím vhodných technických a organizačních opatření, při vyřizování žádostí subjektů údajů a při plnění povinností podle čl. 32 až 36 GDPR, pokud jsou potřebné informace nebo prostředky v její dispozici.
Zjistí-li X-care Warehousing porušení zabezpečení osobních údajů zpracovávaných pro Objednatele, oznámí je Objednateli bez zbytečného odkladu po zjištění a poskytne informace, které má přiměřeně k dispozici a které jsou potřebné k posouzení a oznámení incidentu. Informace může podle okolností doplňovat postupně.
X-care Warehousing poskytne Objednateli informace přiměřeně nezbytné k doložení plnění povinností podle čl. 28 GDPR.
V. Přenosy, ukončení a audit
Přenos osobních údajů mimo Evropský hospodářský prostor se uskuteční pouze při splnění podmínek kapitoly V GDPR, zejména na základě rozhodnutí o odpovídající ochraně, standardních smluvních doložek nebo jiného použitelného mechanismu.
Po skončení zpracování X-care Warehousing podle volby Objednatele osobní údaje vrátí nebo vymaže, včetně dostupných kopií, ledaže jejich uchování vyžaduje právo EU nebo členského státu. Údaje obsažené ve standardních zálohách mohou být odstraněny v rámci obvyklého retenčního cyklu, přičemž do té doby zůstávají chráněny a nejsou dále aktivně zpracovávány, ledaže je to nezbytné pro obnovu nebo splnění právní povinnosti. Povinnosti X-care Warehousing podle těchto DPA trvají po dobu, po kterou má po skončení služby osobní údaje Objednatele ve své dispozici.
Objednatel může nejvýše jednou za kalendářní rok, a dále při důvodném podezření na závažné porušení nebo v návaznosti na závažný incident, požádat o audit nebo kontrolu. Audit proběhne s přiměřeným předstihem, v běžné pracovní době, bez nepřiměřeného narušení provozu a bez přístupu k datům jiných zákazníků nebo chráněnému know-how; X-care Warehousing může přednostně poskytnout relevantní certifikace, auditní zprávy nebo rovnocenné podklady. Náklady auditu nese Objednatel, ledaže audit zjistí závažné porušení povinností X-care Warehousing. Tato omezení se nepoužijí v rozsahu, v jakém audit nebo součinnost vyžaduje příslušný dozorový úřad nebo kogentní právní předpis.
Změny těchto DPA lze provádět mechanismem podle VOP pouze v rozsahu slučitelném s čl. 28 GDPR a nesmí vést ke snížení povinného standardu ochrany. Aktuálně účinné znění DPA je vždy dostupné na https://xcw.cz/cz/podminky/dpa. Změny seznamu dalších zpracovatelů se řídí článkem III těchto DPA.