Dodatek o zpracování osobních údajů

Realytics Corp Limited

Poslední aktualizace: 5. srpna 2026 | Účinnost: 5. srpna 2026

Tento Dodatek o zpracování osobních údajů a jeho přílohy (dále jen „DPA“) vyjadřují dohodu mezi společností Realytics a Zákazníkem (jak jsou definováni níže), společně dále jen „Smluvní strany“ („Parties“), ohledně Zpracování Osobních údajů Zákazníka podle podmínek služby, smlouvy o předplatném, objednávkového formuláře nebo jiné písemné či elektronické smlouvy mezi Smluvními stranami, která na tento DPA odkazuje (dále jen „Smlouva“ („Agreement“)).

Tento DPA je začleněn do Smlouvy a tvoří její nedílnou součást bez potřeby jakéhokoli dalšího podpisu kterékoli ze Smluvních stran. Vyhotovení určené k podpisu je pro Zákazníky, jejichž vnitřní postupy je vyžadují, k dispozici na vyžádání na adrese .

V případě rozporu mezi tímto DPA a Smlouvou má přednost tento DPA. V případě rozporu mezi tímto DPA a Standardními smluvními doložkami uvedenými v oddíle 9 mají přednost Standardní smluvní doložky.

1. Definice

Pojmy psané s velkým počátečním písmenem, které zde nejsou definovány, mají význam uvedený ve Smlouvě.

„Propojená osoba“ („Affiliate“) znamená subjekt, který vlastní nebo ovládá dotčený subjekt, je jím vlastněn nebo ovládán, případně je s ním pod společným vlastnictvím či ovládáním, přičemž „ovládáním“ se rozumí oprávnění řídit vedení nebo záležitosti subjektu a „vlastnictvím“ se rozumí skutečné vlastnictví padesáti procent (50 %) nebo více hlasovacích cenných papírů či rovnocenných hlasovacích podílů.

„Příslušné právní předpisy o ochraně osobních údajů“ („Applicable Data Protection Law“) znamenají veškeré právní předpisy týkající se ochrany osobních údajů a soukromí použitelné na Zpracování podle tohoto DPA, včetně Evropských právních předpisů o ochraně osobních údajů, CCPA, zákona státu Virginie o ochraně spotřebitelských údajů (Virginia Consumer Data Protection Act), zákona státu Colorado o ochraně soukromí (Colorado Privacy Act), zákona státu Connecticut o ochraně soukromí údajů (Connecticut Data Privacy Act), zákona státu Utah o ochraně soukromí spotřebitelů (Utah Consumer Privacy Act) a dalších použitelných právních předpisů jednotlivých států Spojených států amerických o ochraně soukromí.

„CCPA“ znamená kalifornský zákon o ochraně soukromí spotřebitelů (California Consumer Privacy Act) ve znění kalifornského zákona o právech na ochranu soukromí (California Privacy Rights Act) společně s jeho prováděcími předpisy.

„Správce“ („Controller“) znamená subjekt, který určuje účely a prostředky Zpracování Osobních údajů, včetně „podniku“ (business), jak je tento pojem definován podle Příslušných právních předpisů o ochraně osobních údajů.

„Zákazník“ („Customer“) znamená subjekt, který uzavírá se společností Realytics Smlouvu za účelem přístupu ke Službám nebo jejich užívání.

„Osobní údaje Zákazníka“ („Customer Personal Data“) znamenají Osobní údaje popsané v Příloze I, které Zákazník nebo jeho Oprávnění uživatelé předávají do Služeb, nahrávají do nich nebo je jejich prostřednictvím zpřístupňují, případně které Realytics Zpracovává jménem Zákazníka podle Smlouvy a ve vztahu k nimž je Zákazník buď Správcem, nebo Zpracovatelem jednajícím jménem třetí strany v postavení Správce.

„Subjekt údajů“ („Data Subject“), „Zpracovávat“ („Process“), „Zpracované“ („Processed“) a „Zpracování“ („Processing“) mají význam, který jim přiznávají Příslušné právní předpisy o ochraně osobních údajů.

„Údaje na úrovni provozovny“ („Establishment-Level Data“) znamenají údaje, které se vztahují k podniku, značce, prodejně, pobočce, odbytovému místu, provozovně nebo jiné komerční lokalitě či právnické osobě a které Realytics nepoužívá k identifikaci, vyčlenění ani vytvoření profilu jakékoli fyzické osoby.

„Evropské právní předpisy o ochraně osobních údajů“ („European Data Protection Laws“) znamenají GDPR, zákon Spojeného království o ochraně osobních údajů z roku 2018 (Data Protection Act 2018) společně s UK GDPR a švýcarský spolkový zákon o ochraně údajů, každý z nich ve znění pozdějších změn nebo aktů, které je nahradily.

„GDPR“ znamená nařízení (EU) 2016/679 a totéž nařízení ve znění, v jakém bylo začleněno do práva Spojeného království.

„Osobní údaje“ („Personal Data“) znamenají osobní údaje nebo osobní informace, jak jsou definovány podle Příslušných právních předpisů o ochraně osobních údajů.

„Porušení zabezpečení osobních údajů“ („Personal Data Breach“) znamená porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému zpřístupnění předávaných, uložených či jinak Zpracovávaných Osobních údajů, anebo k neoprávněnému přístupu k nim.

„Zpracovatel“ („Processor“) znamená subjekt, který Zpracovává Osobní údaje jménem Správce, včetně „poskytovatele služeb“ (service provider), jak je tento pojem definován podle Příslušných právních předpisů o ochraně osobních údajů.

„Realytics“ znamená společnost Realytics Corp Limited, zapsanou na Kypru pod číslem HE424817, se sídlem 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, nebo — je-li Smlouva uzavřena se společností Reality Analytics, Inc. — tuto společnost.

„Dozorový úřad“ („Regulator“) znamená dozorový nebo vynucovací orgán příslušný pro dané Zpracování.

„Služby“ („Services“) znamenají služby poskytované společností Realytics Zákazníkovi podle Smlouvy.

„Standardní smluvní doložky“ („Standard Contractual Clauses“) nebo „SCC“ („SCCs“) znamenají standardní smluvní doložky schválené prováděcím rozhodnutím Komise (EU) 2021/914 ze dne 4. června 2021.

„Další zpracovatel“ („Sub-Processor“) znamená jakéhokoli Zpracovatele zapojeného společností Realytics, včetně Propojené osoby Realytics, ke Zpracování Osobních údajů Zákazníka.

2. Role a rozsah

2.1 Role Zpracovatele. Ve vztahu k Osobním údajům Zákazníka je Zákazník Správcem a Realytics je Zpracovatelem. Jedná-li Zákazník jako Zpracovatel jménem třetí strany v postavení Správce, jedná Realytics jako Další zpracovatel Zákazníka a Zákazník odpovídá za zajištění toho, aby jeho pokyny společnosti Realytics byly příslušným Správcem schváleny. Realytics bude Zpracovávat Osobní údaje Zákazníka pouze způsobem stanoveným v tomto DPA a v souladu s pokyny Zákazníka.

2.2 Role Správce. Realytics jedná jako Správce, a nikoli jako Zpracovatel, ve vztahu k údajům o registraci účtu, údajům o oprávněných uživatelích, fakturačním a platebním informacím, korespondenci s podporou a údajům o užívání Služeb a telemetrii, které Realytics Zpracovává za účelem poskytování, zabezpečení, podpory, údržby a zlepšování Služeb, řízení vztahu se zákazníkem, předcházení podvodům, kontinuity provozu a výkonu základních podnikových funkcí, jako je účetnictví, fakturace a plnění právních povinností. Zpracování těchto údajů společností Realytics v postavení Správce je popsáno v Zásadách ochrany osobních údajů Realytics a tímto DPA se neřídí.

2.3 Vlastní údaje Realytics. Soubory údajů, které Realytics sestavuje, licencuje nebo odvozuje nezávisle na Zákazníkovi — včetně údajů získaných procházením veřejně přístupných webových stránek, licencovaných souborů údajů třetích stran a Údajů na úrovni provozovny — nejsou Osobními údaji Zákazníka a neřídí se tímto DPA bez ohledu na to, zda jsou Zákazníkovi prezentovány prostřednictvím Služeb.

2.4 Propojené osoby Zákazníka. Pokud si Propojené osoby Zákazníka zakoupily předplatné Služeb přímo podle Smlouvy, vztahuje se tento DPA na tato předplatná a každá taková Propojená osoba se považuje za Správce svých vlastních Osobních údajů Zákazníka. Zákazník odpovídá za koordinaci veškeré komunikace se společností Realytics podle tohoto DPA za sebe i za své Propojené osoby a je oprávněn takovou komunikaci jejich jménem vést a přijímat.

2.5 Doba trvání. Realytics bude Zpracovávat Osobní údaje Zákazníka po dobu trvání Smlouvy a poté pouze v rozsahu povoleném oddílem 8.

3. Povinnosti Zákazníka

3.1 Zákazník bude Zpracovávat Osobní údaje Zákazníka a vydávat pokyny společnosti Realytics v souladu s Příslušnými právními předpisy o ochraně osobních údajů. Zákazník nese výhradní odpovědnost za přesnost, kvalitu a zákonnost Osobních údajů Zákazníka i za způsob, jakým tyto údaje získal.

3.2 Zákazník prohlašuje a zaručuje, že má veškerá potřebná oprávnění a platný právní základ k poskytnutí Osobních údajů Zákazníka společnosti Realytics za účelem Zpracování předpokládaného Smlouvou. Vyžadují-li to Příslušné právní předpisy o ochraně osobních údajů, odpovídá Zákazník za získání a vedení záznamu o veškerých potřebných souhlasech Subjektů údajů. Je-li souhlas odvolán, odpovídá Zákazník za informování společnosti Realytics a Realytics nadále odpovídá za provedení jakéhokoli z toho vyplývajícího pokynu v souladu s tímto DPA.

3.3 Zakázané údaje. Zákazník nebude do Služeb předávat a nedovolí svým Oprávněným uživatelům předávat:

(a) zvláštní kategorie Osobních údajů ve smyslu článku 9 GDPR, tedy údaje vypovídající o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení, členství v odborech, genetické údaje, biometrické údaje zpracovávané za účelem identifikace, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

(b) Osobní údaje týkající se rozsudků v trestních věcech nebo trestných činů;

(c) Osobní údaje dětí mladších šestnácti (16) let; nebo

(d) čísla platebních karet, čísla finančních účtů, identifikační čísla vydaná státními orgány nebo přesné geolokační údaje identifikované fyzické osoby.

Služby nejsou navrženy ke Zpracování údajů popsaných v tomto oddíle 3.3 a Realytics nemá ve vztahu k takovým údajům, jsou-li předány v rozporu s tímto oddílem, žádnou povinnost ani odpovědnost.

3.4 Odškodnění. Zákazník bude hájit společnost Realytics a její Propojené osoby, odškodní je a zbaví je odpovědnosti ve vztahu k jakémukoli nároku, požadavku, řízení, pokutě, ztrátě nebo výdaji (včetně přiměřených nákladů právního zastoupení), které vyplývají z (a) Osobních údajů Zákazníka, k jejichž poskytnutí společnosti Realytics neměl Zákazník zákonný základ ani potřebná oprávnění, (b) porušení oddílu 3.3 Zákazníkem nebo (c) jakéhokoli pokynu Zákazníka, v jehož důsledku Realytics poruší Příslušné právní předpisy o ochraně osobních údajů, anebo s uvedeným souvisejí, za předpokladu, že společnost Realytics Zákazníka upozornila podle oddílu 4.1 písm. c), pokud tak mohla učinit.

4. Povinnosti Realytics jako Zpracovatele

4.1 V rozsahu, v jakém Realytics Zpracovává Osobní údaje Zákazníka jménem Zákazníka, bude Realytics:

(a) Zpracovávat Osobní údaje Zákazníka pouze na základě doložených pokynů Zákazníka, které zahrnují Smlouvu, tento DPA, konfiguraci a užívání Služeb Zákazníkem a jakýkoli jiný přiměřený písemný pokyn v souladu s tímto DPA, a to i pokud jde o předávání do třetích zemí, s výjimkou případů, kdy je Zpracování vyžadováno k dodržení právního předpisu, kterému Realytics podléhá;

(b) pokud právní předpis vyžaduje Zpracování jinak než na základě pokynů Zákazníka, informovat Zákazníka o tomto právním požadavku před Zpracováním, ledaže právní předpis takové sdělení zakazuje;

(c) neprodleně informovat Zákazníka, pokud podle názoru Realytics pokyn Zákazníka porušuje Příslušné právní předpisy o ochraně osobních údajů;

(d) zajistit, aby pracovníci oprávnění Zpracovávat Osobní údaje Zákazníka byli vázáni povinností mlčenlivosti, a omezit přístup na ty pracovníky, kteří jej potřebují k poskytování, podpoře nebo zabezpečení Služeb; a

(e) udržovat písemnou politiku bezpečnosti informací, která pokrývá Zpracování Osobních údajů Zákazníka.

4.2 Omezení pro poskytovatele služeb a zpracovatele. Realytics nebude:

(a) uchovávat, používat ani zpřístupňovat Osobní údaje Zákazníka jinak než v rozsahu nezbytném k poskytování Služeb a plnění Smlouvy, případně jinak, než jak povolují Příslušné právní předpisy o ochraně osobních údajů;

(b) uchovávat, používat ani zpřístupňovat Osobní údaje Zákazníka mimo přímý obchodní vztah mezi společností Realytics a Zákazníkem;

(c) Osobní údaje Zákazníka „prodávat“ ani „sdílet“, jak jsou tyto pojmy definovány podle Příslušných právních předpisů o ochraně osobních údajů; ani

(d) kombinovat Osobní údaje Zákazníka s Osobními údaji získanými od jakékoli jiné osoby nebo jejím jménem, případně shromážděnými z vlastních interakcí Realytics s jednotlivci, s výjimkou případů povolených oddílem 5 nebo nezbytných k poskytování Služeb.

Smluvní strany berou na vědomí, že zpřístupnění Osobních údajů Zákazníka společnosti Realytics ze strany Zákazníka není součástí žádného peněžitého ani jiného hodnotného protiplnění vyměňovaného mezi Smluvními stranami. Realytics zajistí Osobním údajům Zákazníka stejnou úroveň ochrany soukromí, jaká je vyžadována od Zákazníka podle Příslušných právních předpisů o ochraně osobních údajů, a uvědomí Zákazníka, pokud zjistí, že již nadále nemůže plnit své povinnosti podle Příslušných právních předpisů o ochraně osobních údajů.

5. Analýza na úrovni provozovny a zlepšování Služeb

5.1 Účel. Služby fungují tak, že přiřazují obchodní aktivitu k úrovni podniku, značky nebo fyzické lokality. Realytics neusiluje o identifikaci, vyčlenění ani profilování jednotlivých fyzických osob, nepřijímá o nich rozhodnutí a nepokouší se o opětovnou identifikaci fyzických osob v žádném souboru údajů, který má k dispozici.

5.2 Povolené použití. Realytics může používat Údaje na úrovni provozovny a agregované nebo statistické údaje odvozené z provozu Služeb, včetně údajů odvozených z Osobních údajů Zákazníka, k poskytování, zabezpečení, údržbě, analýze a zlepšování Služeb, včetně vývoje, trénování, testování a vyhodnocování analytických modelů a modelů strojového učení, které tvoří součást Služeb.

5.3 Omezení. Realytics bude údaje podle oddílu 5.2 používat pouze tehdy, byly-li agregovány nebo redukovány na Údaje na úrovni provozovny tak, že již neidentifikují žádnou fyzickou osobu a nelze je rozumně použít k její identifikaci, a již neidentifikují Zákazníka. Realytics nezpřístupní žádnému jinému zákazníkovi samotné Osobní údaje Zákazníka ani žádný výstup, který Zákazníka identifikuje.

5.4 Údaje na úrovni jednotlivců. Realytics neuchovává ani nevyhledává záznamy o jednotlivých fyzických osobách v souborech údajů, na nichž jsou Služby založeny.

5.5 Námitka. Uplatní-li Subjekt údajů právo vznést námitku podle článku 21 GDPR ve vztahu ke Zpracování prováděnému podle tohoto oddílu, Realytics této námitce vyhoví v souladu s Příslušnými právními předpisy o ochraně osobních údajů.

6. Zabezpečení

6.1 S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům Zpracování i k rizikům pro Subjekty údajů zavede a bude udržovat Realytics vhodná technická a organizační opatření k ochraně Osobních údajů Zákazníka před Porušením zabezpečení osobních údajů. Tato opatření jsou popsána v Příloze II.

6.2 Realytics může opatření uvedená v Příloze II čas od času aktualizovat za předpokladu, že takové aktualizace nepovedou k podstatnému zhoršení celkového zabezpečení Služeb.

6.3 Na písemnou žádost Zákazníka a s výhradou ustanovení Smlouvy o důvěrnosti poskytne Realytics informace přiměřeně nezbytné k prokázání souladu s tímto oddílem 6, které mohou zahrnovat vyplněné bezpečnostní dotazníky a, jsou-li k dispozici, souhrny zpráv o auditech třetích stran nebo certifikací, které mohou být z bezpečnostních důvodů nebo z důvodu důvěrnosti začerněny.

6.4 Audit. Vyžadují-li to Příslušné právní předpisy o ochraně osobních údajů a nejsou-li informace poskytnuté podle oddílu 6.3 dostatečné, může Zákazník požádat o audit Zpracování Osobních údajů Zákazníka společností Realytics. Takový audit lze provést nejvýše jednou za období dvanácti (12) měsíců, vyžaduje předchozí písemné oznámení nejméně třicet (30) dnů předem a je podmíněn tím, že se Smluvní strany předem dohodnou na jeho rozsahu, načasování a délce. Zákazník nese vlastní náklady a uhradí společnosti Realytics přiměřené náklady za čas věnovaný podpoře auditu. Výsledky auditu jsou Důvěrnými informacemi společnosti Realytics. Zákazník neprodleně oznámí společnosti Realytics jakýkoli zjištěný nesoulad a Realytics vynaloží obchodně přiměřené úsilí k nápravě jakéhokoli potvrzeného nesouladu. Nic v tomto oddíle neomezuje audit nebo kontrolu vyžadovanou Dozorovým úřadem.

7. Další zpracovatelé

7.1 Povolení. Zákazník uděluje společnosti Realytics obecné písemné povolení zapojit Propojené osoby Realytics a Další zpracovatele z řad třetích stran do Zpracování Osobních údajů Zákazníka v souvislosti se Službami. To představuje předchozí písemné povolení Zákazníka pro účely doložky 9 Standardních smluvních doložek. Aktuální seznam Dalších zpracovatelů je k dispozici na realytics.com/legal/subprocessors a je uveden v Příloze III.

7.2 Oznámení a námitka. Realytics oznámí zapojení každého nového Dalšího zpracovatele aktualizací seznamu nejméně patnáct (15) dnů předtím, než bude tomuto Dalšímu zpracovateli udělen přístup k Osobním údajům Zákazníka, a poskytne mechanismus, jehož prostřednictvím se Zákazník může přihlásit k odběru oznámení o aktualizacích. Zákazník může vznést námitku z rozumných důvodů týkajících se ochrany osobních údajů do čtrnácti (14) dnů od oznámení. Pokud Zákazník v této lhůtě nereaguje, považuje se Další zpracovatel za schváleného.

7.3 Řešení. Vznese-li Zákazník námitku, budou Smluvní strany námitku v dobré víře projednávat. Nedojde-li k vyřešení do třiceti (30) dnů, může Zákazník písemným oznámením ukončit dotčenou část Služeb a Realytics vrátí poměrnou část jakýchkoli předem uhrazených poplatků pokrývajících období po ukončení.

7.4 Přenesení povinností a odpovědnost. Realytics uloží každému Dalšímu zpracovateli povinnosti v oblasti ochrany osobních údajů poskytující Osobním údajům Zákazníka přinejmenším stejnou úroveň ochrany jako tento DPA. Pokud Další zpracovatel tyto povinnosti nesplní, zůstává Realytics vůči Zákazníkovi odpovědná za plnění povinností tohoto Dalšího zpracovatele.

8. Výmaz a vrácení údajů

8.1 Po uplynutí doby platnosti nebo ukončení Smlouvy, na písemnou žádost Zákazníka nebo poté, co byl účel Zpracování naplněn, Realytics vymaže Osobní údaje Zákazníka do třiceti (30) dnů, ledaže je jejich uchování vyžadováno právním předpisem.

8.2 Osobní údaje Zákazníka obsažené v běžných zálohách budou vymazány v souladu s obvyklým zálohovacím cyklem Realytics a v každém případě do devadesáti (90) dnů od ukončení.

8.3 Zákazník může Osobní údaje Zákazníka kdykoli po dobu trvání Smlouvy bez dalšího poplatku exportovat pomocí exportní funkce Služeb. Požádá-li Zákazník o individuální extrakci vyžadující vývojářské úsilí, může Realytics účtovat své přiměřené náklady.

8.4 Realytics zachová důvěrnost veškerých Osobních údajů Zákazníka uchovávaných podle oddílu 8.1 a bude je Zpracovávat pouze v rozsahu nezbytném k dodržení právního předpisu, kterému podléhá.

8.5 Agregované údaje a Údaje na úrovni provozovny vytvořené zákonným způsobem podle oddílu 5 před ukončením, které neidentifikují Zákazníka ani žádnou fyzickou osobu, výmazu podle tohoto oddílu nepodléhají.

9. Mezinárodní předávání údajů

9.1 Standardní smluvní doložky. Jsou-li Osobní údaje Zákazníka pocházející z Evropského hospodářského prostoru, Spojeného království nebo Švýcarska předávány do země, ohledně které nebylo vydáno rozhodnutí o odpovídající ochraně, Smluvní strany se dohodly, že jsou vázány Modulem dva (předání od správce zpracovateli) Standardních smluvních doložek, které se do tohoto DPA začleňují odkazem. Jedná-li Zákazník jako Zpracovatel jménem třetí strany v postavení Správce, použije se namísto toho Modul tři (předání od zpracovatele zpracovateli). Zákazník plní povinnosti vývozce údajů a Realytics plní povinnosti dovozce údajů.

9.2 Zvolené varianty. Pro účely Standardních smluvních doložek platí, že:

(a) nepovinná doložka o přistoupení v doložce 7 se použije, pokud kterákoli Smluvní strana písemně oznámí druhé, že je vyžadována;

(b) v doložce 9 se použije Možnost 2 (obecné písemné povolení), se lhůtou pro oznámení stanovenou v oddíle 7.2;

(c) v doložce 11 se nepovinné ustanovení o nezávislém řešení sporů nepoužije;

(d) v doložce 17 se použije Možnost 1 a doložky se řídí právem Kyperské republiky;

(e) v doložce 18 písm. b) budou spory řešeny před soudy Kyperské republiky;

(f) příloha I Standardních smluvních doložek se vyplňuje informacemi uvedenými v Příloze I tohoto DPA a příloha II informacemi uvedenými v Příloze II tohoto DPA; a

(g) uzavření tohoto DPA představuje podpis Standardních smluvních doložek a jejich příloh každou ze Smluvních stran.

9.3 Spojené království. U předávání podléhajícího UK GDPR se Smluvní strany dohodly na Dodatku Spojeného království o mezinárodním předávání údajů (UK International Data Transfer Addendum, verze B1.0) vydaném Úřadem komisaře pro informace (Information Commissioner), který se začleňuje odkazem. Tabulka 1 se vyplňuje údaji Smluvních stran uvedenými v Příloze I; tabulka 2 označuje vývozce jako Správce a dovozce jako Zpracovatele; tabulky 3 a 4 se vyplňují informacemi uvedenými v Příloze I, resp. v Příloze II.

9.4 Švýcarsko. U předávání podléhajícího švýcarskému spolkovému zákonu o ochraně údajů je příslušným dozorovým orgánem Federální zmocněnec pro ochranu údajů a informace (Federal Data Protection and Information Commissioner), odkazy na GDPR se vykládají jako odkazy na švýcarský zákon a Subjekty údajů ve Švýcarsku mohou svá práva vymáhat ve Švýcarsku.

9.5 Další předávání. Realytics může předávat Osobní údaje Zákazníka společnosti Reality Analytics, Inc. a Dalším zpracovatelům uvedeným v Příloze III, v každém případě s výhradou vhodných záruk podle Příslušných právních předpisů o ochraně osobních údajů.

9.6 Změna mechanismu. Budou-li Standardní smluvní doložky nebo Dodatek Spojeného království změněny, nahrazeny anebo prohlášeny soudem či Dozorovým úřadem s příslušnou pravomocí za neplatné nebo nedostatečné, Smluvní strany se dohodly, že příslušné náhradní nebo aktualizované doložky, případně jakýkoli alternativní mechanismus předávání platný podle Příslušných právních předpisů o ochraně osobních údajů, se použijí automaticky ode dne, kdy se stanou použitelnými, a že Realytics může podle potřeby zavést dodatečné záruky bez změny tohoto DPA.

10. Práva subjektů údajů a součinnost

10.1 Obdrží-li Realytics žádost Subjektu údajů o uplatnění práva na přístup, opravu, výmaz, omezení zpracování, přenositelnost nebo práva vznést námitku ve vztahu k Osobním údajům Zákazníka, Realytics v rozsahu, v jakém je to právně přípustné, neprodleně informuje Subjekt údajů, že žádost má být směrována na Zákazníka, a o žádosti uvědomí Zákazníka.

10.2 S přihlédnutím k povaze Zpracování bude Realytics Zákazníkovi nápomocna prostřednictvím vhodných technických a organizačních opatření, pokud je to rozumně možné, při plnění povinnosti Zákazníka na takové žádosti reagovat. Nemůže-li Zákazník žádost vyřídit prostřednictvím funkcí Služeb, vynaloží Realytics obchodně přiměřené úsilí k poskytnutí součinnosti.

10.3 Na žádost Zákazníka a s přihlédnutím k povaze Zpracování a informacím, které má Realytics k dispozici, poskytne Realytics Zákazníkovi přiměřenou součinnost při provádění posouzení vlivu na ochranu osobních údajů souvisejícího s užíváním Služeb Zákazníkem a při jakékoli předchozí konzultaci s Dozorovým úřadem podle článku 36 GDPR, a to v každém případě v rozsahu, v jakém Zákazník nemá k příslušným informacím přístup jinak.

11. Porušení zabezpečení osobních údajů

11.1 Realytics oznámí Zákazníkovi Porušení zabezpečení osobních údajů týkající se Osobních údajů Zákazníka bez zbytečného odkladu a v každém případě do sedmdesáti dvou (72) hodin poté, co se o něm dozví, s využitím kontaktních údajů, které Zákazník pro tento účel poskytl. Zákazník odpovídá za udržování těchto údajů v aktuálním stavu.

11.2 Oznámení bude v rozsahu tehdy známých skutečností obsahovat povahu porušení, kategorie a přibližný objem dotčených Osobních údajů Zákazníka, pravděpodobné důsledky a přijatá či navrhovaná opatření. Nejsou-li informace v době oznámení k dispozici, poskytne je Realytics postupně, jakmile budou dostupné.

11.3 Realytics podnikne obchodně přiměřené kroky k zamezení šíření a nápravě porušení v rozsahu, v jakém je náprava v její moci, a poskytne Zákazníkovi přiměřenou součinnost, aby Zákazník mohl uvědomit Dozorové úřady a dotčené Subjekty údajů tam, kde je k tomu povinen.

11.4 Zákazník výhradně odpovídá za dodržení oznamovacích povinností při porušení, které se na něj vztahují, a za jakékoli oznamovací povinnosti vůči třetím stranám.

11.5 Tento oddíl se nepoužije na Porušení zabezpečení osobních údajů způsobené Zákazníkem, jeho Oprávněnými uživateli anebo produkty či službami, které neposkytuje Realytics.

11.6 Oznámení Porušení zabezpečení osobních údajů ze strany Realytics není uznáním zavinění ani odpovědnosti.

12. Obecná ustanovení

12.1 Odpovědnost. Odpovědnost každé Smluvní strany a jejích Propojených osob vyplývající z tohoto DPA nebo s ním související, ať už ze smlouvy, z deliktu či na základě jakéhokoli jiného právního titulu, podléhá omezením a vyloučením odpovědnosti stanoveným ve Smlouvě. Jakýkoli odkaz ve Smlouvě na odpovědnost Smluvní strany znamená souhrnnou odpovědnost této Smluvní strany a všech jejích Propojených osob podle Smlouvy a všech dodatků o zpracování údajů dohromady. Nic v tomto DPA neomezuje odpovědnost, kterou podle Příslušných právních předpisů o ochraně osobních údajů omezit nelze, včetně práv Subjektu údajů podle článků 79 a 82 GDPR.

12.2 Rozhodné právo. Tento DPA se řídí právem rozhodným pro Smlouvu. Neurčuje-li Smlouva rozhodné právo, řídí se tento DPA právem Kyperské republiky a výlučnou pravomoc mají soudy Kypru, s výhradou oddílů 9.2 písm. e) a 9.3.

12.3 Pořadí přednosti. Tento DPA nahrazuje jakékoli rozporné ustanovení Smlouvy, pokud jde o Zpracování Osobních údajů Zákazníka. S výjimkou změn provedených tímto DPA zůstává Smlouva v plné platnosti a účinnosti.

12.4 Změny tohoto DPA. Realytics může tento DPA aktualizovat tak, aby odrážel změny Příslušných právních předpisů o ochraně osobních údajů, Služeb nebo jejích Dalších zpracovatelů, za předpokladu, že žádná aktualizace podstatně nesníží ochranu poskytovanou Osobním údajům Zákazníka. Realytics oznámí podstatné změny nejméně třicet (30) dnů předem zveřejněním aktualizovaného DPA a, přihlásil-li se Zákazník k odběru oznámení, e-mailem.

12.5 Oddělitelnost. Bude-li kterékoli ustanovení tohoto DPA shledáno neplatným nebo nevymahatelným, zůstávají ostatní ustanovení v platnosti.

12.6 Žádné partnerství. Nic v tomto DPA nezakládá mezi Smluvními stranami partnerství, společný podnik ani zastoupení.

12.7 Doba platnosti. Tento DPA nabývá účinnosti dnem účinnosti Smlouvy a zaniká automaticky uplynutím doby platnosti nebo ukončením Smlouvy, s výjimkou ustanovení, která svou povahou přetrvávají, včetně oddílů 8, 9 a 12.1.

12.8 Kontakt. Dotazy k tomuto DPA lze zasílat na . Záležitosti týkající se zabezpečení lze zasílat na .

Příloha I — Popis Zpracování

A. Seznam stran

Vývozce údajů (Správce): Zákazník, jak je určen ve Smlouvě. Činnosti relevantní pro předávání: přijímání Služeb podle Smlouvy. Podpis a datum: uzavření tohoto DPA představuje podpis této Přílohy Zákazníkem.

Dovozce údajů (Zpracovatel): Subjekt Realytics určený ve Smlouvě, tedy buď Realytics Corp Limited, registrační číslo HE424817, 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, nebo Reality Analytics, Inc., 1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States. Kontakt: . Činnosti relevantní pro předávání: poskytování Služeb Zákazníkovi podle Smlouvy. Podpis a datum: uzavření tohoto DPA představuje podpis této Přílohy společností Realytics.

B. Popis předávání

C. Příslušný dozorový úřad

Úřad komisaře pro ochranu osobních údajů Kyperské republiky.

Příloha II — Technická a organizační opatření

Realytics udržuje technická a organizační opatření navržená k ochraně Osobních údajů Zákazníka před Porušením zabezpečení osobních údajů, s přihlédnutím k povaze, rozsahu, kontextu a účelům Zpracování a k riziku pro Subjekty údajů. Realytics nezveřejňuje podrobnosti o architektuře systémů ani o implementaci zabezpečení tam, kde by tím vzniklo bezpečnostní riziko.

A. Řízení přístupu

Realytics omezuje přístup k Osobním údajům Zákazníka na pracovníky, kteří přístup potřebují k poskytování, podpoře, údržbě nebo zabezpečení Služeb. Přístup se uděluje na základě rolí, vyžaduje autentizaci a je odebrán, jakmile již není potřebný. Pracovníci s přístupem k Osobním údajům Zákazníka jsou vázáni povinností mlčenlivosti.

B. Zabezpečení přenosu

Realytics chrání Osobní údaje Zákazníka přenášené prostřednictvím veřejných sítí pomocí šifrování při přenosu, je-li to technicky vhodné.

C. Oddělení a minimalizace

Realytics používá logická opatření navržená k oddělení zákaznických prostředí a údajů v rámci Služeb. Realytics omezuje Zpracování Osobních údajů Zákazníka na to, co je nezbytné pro účely popsané ve Smlouvě a v tomto DPA, a tam, kde to účel umožňuje, používá agregaci, deidentifikaci nebo Údaje na úrovni provozovny.

D. Zálohování a odolnost

Realytics udržuje zálohovací a obnovovací opatření navržená k podpoře dostupnosti a obnovy Služeb a Osobních údajů Zákazníka po incidentu, v závislosti na úrovni Služby a na Smlouvě.

E. Řízení incidentů

Realytics udržuje postupy pro identifikaci, vyšetřování, zamezení šíření a nápravu bezpečnostních incidentů týkajících se Služeb.

F. Řízení dalších zpracovatelů

Realytics uzavírá smlouvy s Dalšími zpracovateli za podmínek ukládajících povinnosti v oblasti ochrany osobních údajů, které poskytují přinejmenším stejnou úroveň ochrany jako tento DPA, a udržuje zveřejněný seznam Dalších zpracovatelů popsaný v oddíle 7.

Příloha III — Další zpracovatelé

Poznámky. Hetzner Online GmbH poskytuje dedikované fyzické servery a zařízení datových center. Realytics neuděluje společnosti Hetzner přístup k Osobním údajům Zákazníka a Hetzner Osobní údaje Zákazníka jménem Realytics nezpracovává; v seznamu se uvádí z důvodu transparentnosti jako poskytovatel hostingové infrastruktury.

Meta Platforms, TikTok, LinkedIn a Google Ads využívá Realytics pro vlastní marketingové a reklamní činnosti, v nichž Realytics jedná jako Správce. Osobní údaje Zákazníka nezpracovávají, a nejsou tedy Dalšími zpracovateli podle tohoto DPA. Jejich úloha je popsána v Zásadách ochrany osobních údajů Realytics.

Realytics neumožňuje výše uvedeným Dalším zpracovatelům, kteří poskytují inferenci modelů umělé inteligence, používat Osobní údaje Zákazníka k trénování jejich vlastních modelů a uzavírá s nimi smlouvy za podmínek, které takové použití vylučují.