Data Processing Agreement / Smlouva o zpracování osobních údajů

Tato smlouva o zpracování osobních údajů (dále jen „Smlouva“) je uzavřena mezi organizací, jejíž oprávněný zástupce ji přijme při vytvoření projektu nebo jako aktualizovanou verzi ve Scoutzy (dále jen „Správce“), a Karlem Ježkem, fyzickou osobou provozující Scoutzy (dále jen „Zpracovatel“). Kontaktním místem Zpracovatele je [email protected]; doručovací údaje pro ověřený požadavek Správce poskytne Zpracovatel na tomto kontaktu.

Smlouva nabývá účinnosti elektronickým přijetím. Scoutzy zaznamená verzi, datum a čas přijetí, projekt a účet oprávněného zástupce. Zástupce potvrzuje, že je oprávněn jednat za Správce.

This data processing agreement (the “Agreement”) is concluded between the organisation whose authorised representative accepts it when creating a project or as an updated version in Scoutzy (the “Controller”), and Karel Ježek, a natural person operating Scoutzy (the “Processor”). The Processor’s contact point is [email protected]; service-contact details for a verified Controller request will be provided through that contact.

The Agreement takes effect through electronic acceptance. Scoutzy records the version, date and time of acceptance, project, and authorised representative’s account. The representative confirms that they are authorised to act for the Controller.

Zpracovatel zpracovává osobní údaje pouze na doložené pokyny Správce, včetně pokynů daných používáním funkcí Scoutzy, ledaže právo Evropské unie nebo České republiky vyžaduje jinak. V takovém případě Zpracovatel Správce předem informuje, pokud to právo nezakazuje.

Předmětem je poskytování hostovaného nástroje Scoutzy pro správu projektů, volitelných modulů účastníků, událostí, docházky, vybavení a formulářů a oprávněných přímých uživatelů či uživatelů Týmu. Formuláře může Správce zpřístupnit i veřejnosti prostřednictvím odkazu. Zpracování trvá po dobu aktivního využívání služby a dále po nezbytnou dobu pro vrácení nebo výmaz podle této Smlouvy.

The Processor processes personal data only on the Controller’s documented instructions, including instructions expressed through use of Scoutzy’s features, unless Union or Czech law requires otherwise. In that case, the Processor informs the Controller in advance unless the law prohibits it.

The subject matter is the hosted Scoutzy tool for managing projects, optional attendee, event, attendance, inventory and forms modules, and authorised direct or Team users. The Controller may also make a form available to the public through a link. Processing lasts for active use of the service and then for the time necessary to return or erase data under this Agreement.

Účelem je umožnit Správci řídit vlastní činnost organizace. Povaha a operace zahrnují shromažďování na pokyn Správce, ukládání, uspořádání, zobrazování oprávněným uživatelům, vyhledávání, aktualizaci, export na žádost Správce, výmaz a technickou podporu zabezpečení služby.

Správce určuje účel a prostředky svého zpracování, právní titul, informační povinnost vůči subjektům údajů včetně respondentů formulářů, oprávnění svých uživatelů a zákonnost údajů vložených do Scoutzy. Zpracovatel nepoužívá data Správce pro vlastní marketing ani k samostatnému rozhodování o účastnících.

The purpose is to enable the Controller to manage its own organisational activity. The nature and operations include collection on the Controller’s instruction, storage, organisation, display to authorised users, retrieval, updating, export at the Controller’s request, erasure, and technical security support for the service.

The Controller determines the purposes and means of its processing, lawful basis, notices to data subjects including form respondents, its users’ authority, and the lawfulness of data entered into Scoutzy. The Processor does not use Controller Data for its own marketing or independently decide matters about attendees.

Zpracovány mohou být údaje o přímých uživatelích projektů, členech Týmů, pozvaných osobách, účastnících, dobrovolnících, vedoucích, externích držitelích výpůjček, rodičích či zákonných zástupcích a respondentech formulářů z řad projektových uživatelů i veřejnosti. Typicky jde o identifikační a kontaktní údaje, role a rozsahy modulů, fotografie vložené Správcem, údaje o účasti, událostech a výpůjčkách vybavení, datum narození, pohlaví, kontaktní údaje rodičů či zástupců a odpovědi na otázky, které Správce ve formuláři vytvořil.

Pole poznámek nejsou určena pro zvláštní kategorie osobních údajů ani údaje o trestních věcech. Pokud Správce takové údaje přesto zadá, činí tak pouze tehdy, je-li to nezbytné, zákonné a kryté doloženým pokynem; Zpracovatele o tom předem informuje.

Data subjects may include direct project users, Team members, invited people, attendees, volunteers, leaders, external checkout holders, parents or legal guardians, and form respondents from the project or general public. Data may typically include identification and contact data, roles and module scopes, photos supplied by the Controller, attendance, event and equipment-loan data, date of birth, gender, parent or guardian contact data, and answers to questions set by the Controller.

Note fields are not intended for special-category personal data or criminal-offence data. If the Controller nevertheless enters such data, it does so only where necessary, lawful, and covered by documented instructions, and informs the Processor in advance.

Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly vázány povinností mlčenlivosti nebo zákonnou povinností mlčenlivosti. Přístup k produkčním datům je omezen na osoby s konkrétním oprávněným důvodem, například podporu nebo údržbu.

Zpracovatel zavádí přiměřená technická a organizační opatření podle článku 32 GDPR, včetně řízení přístupu, ověřování uživatelů, hashování hesel, omezení přihlášení, projektových rolí s omezením na moduly, řízení přístupu Týmů a průběžně omezených databázových záloh. Opatření jsou přezkoumávána s ohledem na riziko a vývoj služby.

The Processor ensures that persons authorised to process personal data are bound by confidentiality or an appropriate statutory duty of confidentiality. Production-data access is restricted to people with a specific legitimate reason, such as support or maintenance.

The Processor implements appropriate technical and organisational measures under Article 32 GDPR, including access control, user authentication, password hashing, login limiting, module-scoped project roles, Team access controls, and rolling database backups with restricted access. Measures are reviewed in light of risk and service development.

S přihlédnutím k povaze zpracování Zpracovatel přiměřeně pomáhá Správci s vyřizováním žádostí subjektů údajů a s povinnostmi podle článků 32 až 36 GDPR. Žádost lze zaslat na [email protected].

Na žádost Správce Zpracovatel poskytne informace přiměřeně nezbytné pro posouzení vlivu na ochranu osobních údajů (DPIA) podle článku 35 GDPR a pro případnou předchozí konzultaci s dozorovým úřadem podle článku 36 GDPR.

Zjistí-li Zpracovatel porušení zabezpečení osobních údajů týkající se dat Správce, oznámí je Správci bez zbytečného odkladu, poskytne dostupné informace a přiměřeně spolupracuje při nápravě. Správce zůstává odpovědný za vlastní posouzení a případné oznámení dozorovému úřadu a subjektům údajů.

Taking account of the nature of processing, the Processor reasonably assists the Controller with data-subject requests and with obligations under Articles 32 to 36 GDPR. Requests may be sent to [email protected].

On the Controller’s request, the Processor provides information reasonably necessary to support a Data Protection Impact Assessment (DPIA) under Article 35 GDPR and any related prior consultation with the supervisory authority under Article 36 GDPR.

If the Processor becomes aware of a personal-data breach affecting Controller Data, it notifies the Controller without undue delay, provides available information, and reasonably cooperates in remediation. The Controller remains responsible for its own assessment and any notification to the supervisory authority and data subjects.

Správce uděluje Zpracovateli obecné písemné oprávnění využívat níže uvedené další zpracovatele. Před přidáním nebo nahrazením dalšího zpracovatele Zpracovatel aktualizuje tento seznam nejméně 30 dní předem, je-li to přiměřeně možné. Správce může z vážných důvodů ochrany údajů vznést námitku na [email protected]; strany se pokusí najít přiměřené řešení, jinak může Správce službu pro dotčené zpracování ukončit.

Pokud zpracování zahrnuje předání mimo EHP, Zpracovatel zajistí, aby se použily odpovídající záruky stanovené v příslušné smlouvě s dodavatelem, například závazná standardní smluvní doložka nebo jiné platné mechanismy podle kapitoly V GDPR.

The Controller gives the Processor general written authorisation to use the subprocessors listed below. Before adding or replacing a subprocessor, the Processor updates this list at least 30 days in advance where reasonably possible. The Controller may object for material data-protection reasons at [email protected]; the parties will try to find a reasonable solution, otherwise the Controller may end the service for the affected processing.

Where processing involves a transfer outside the EEA, the Processor ensures that appropriate safeguards in the applicable supplier agreement are used, such as binding standard contractual clauses or another valid Chapter V GDPR mechanism.

Zpracovatel poskytne Správci na přiměřenou žádost informace nezbytné k prokázání souladu s touto Smlouvou a umožní přiměřené audity. Audit se nejprve provede vzdáleným přezkumem dokumentace; případný audit na místě vyžaduje alespoň 30 dní předchozího písemného oznámení, nesmí nepřiměřeně narušit službu ani ohrozit údaje jiných organizací a je nejvýše jednou ročně, ledaže právo nebo závažný incident vyžaduje jinak.

Zpracovatel Správce bez zbytečného odkladu informuje, pokud se domnívá, že pokyn porušuje GDPR nebo jiné použitelné předpisy o ochraně osobních údajů.

On reasonable request, the Processor provides the Controller with information necessary to demonstrate compliance with this Agreement and allows reasonable audits. An audit is first performed through remote documentation review; any on-site audit requires at least 30 days’ written notice, must not unreasonably disrupt the service or expose other organisations’ data, and is limited to once per year unless law or a serious incident requires otherwise.

The Processor informs the Controller without undue delay if it considers an instruction to infringe the GDPR or other applicable data-protection law.

Po ukončení služby nebo na ověřenou žádost Správce Zpracovatel data Správce vrátí nebo vymaže do 30 dnů, pokud použitelné právo nevyžaduje další uchování. Žádosti se podávají na [email protected]. Správce musí před výmazem zajistit vlastní export, pokud jej potřebuje.

Správce může modul vypnout se zachováním dat nebo po výslovném potvrzení data modulu trvale vymazat. Data z běžného úložiště se odstraní při provedení výmazu. Technické databázové zálohy se přepisují v průběžném cyklu nejvýše sedmi denních kopií; data proto mohou přetrvat v záloze do vypršení tohoto cyklu. Zpracovatel o tom Správce na požádání informuje.

After termination of the service or on the Controller’s verified request, the Processor returns or erases Controller Data within 30 days unless applicable law requires further retention. Requests are made through [email protected]. The Controller must ensure its own export before erasure if it needs one.

The Controller may disable a module while retaining its data or permanently erase that module’s data after explicit confirmation. Data is removed from live storage when erasure is carried out. Technical database backups are overwritten in a rolling cycle of no more than seven daily copies, so data may remain in a backup until that cycle expires. The Processor will inform the Controller on request.

Tato Smlouva je součástí podmínek používání Scoutzy pro organizace provozující projekty. Změny, které podstatně ovlivňují zpracování osobních údajů, budou zveřejněny na této stránce. Vlastník musí přijmout aktuální verzi při vytvoření projektu a před zveřejněním formuláře. Tato verze nahrazuje předchozí verze pro nová přijetí.

Smlouva se řídí právem České republiky, s výhradou přímo použitelných právních předpisů EU. Česká a anglická verze jsou zveřejněny současně; při rozporu má přednost české znění.

This Agreement forms part of Scoutzy’s terms for organisations operating projects. Changes that materially affect personal-data processing will be published on this page. The Owner must accept the current version when creating a project and before publishing a form. This version supersedes earlier versions for new acceptances.

The Agreement is governed by the law of the Czech Republic, subject to directly applicable EU law. Czech and English versions are published simultaneously; in case of conflict, the Czech text prevails.