Procurement observatory.

<!-- PAGE 1 -->**PŘÍLOHA Č. 2 – PODMÍNKY VYPLÝVAJÍCÍ Z INTERNÍ BEZPEČNOSTNÍ SMĚRNICE SM-BEZP-05_ŘÍZENÍ DODAVATELŮ**

# I. OBECNÁ USTANOVENÍ

1. Není-li dále stanoveno jinak nebo nevyplývá-li jinak z kontextu, mají pojmy počínající velkým písmenem v této **Příloze** shodný význam, jaký mají ve Smlouvě.
2. Dodavatel bere na vědomí, že Objednatel je provozovatelem regulované služby dle § 5 písm. a) zákona č. 264/2025 Sb., o kybernetické bezpečnosti (dále jen „**ZoKB**“) a souvisejících vyhlášek („**VoKB**“).

# II. DATA, VYUŽITÍ DAT DODAVATELEM A LIKVIDACE DAT

1. Dodavatel je při poskytování plnění dle Smlouvy oprávněn užívat data předaná mu Objednatelem či jiným způsobem získaná nebo vytvořená při plnění této Smlouvy (dále jen „Data“) pouze v rozsahu nezbytném ke splnění Smlouvy a pouze v souladu s touto Smlouvou a příslušnými právními předpisy, tj. zejména ZoKB a VoKB.
2. Dodavatel poskytne veškerou požadovanou součinnost, aby Objednatel provedl (i) identifikaci a zdokumentování existujících hrozeb pro Data a jiná informační aktiva a zranitelnosti, které by mohly být hrozbami využity a (ii) analýzu zmapování dopadů na Data a jiná informační aktiva z hlediska ztráty důvěrnosti, integrity a dostupnosti, (iii) odhad úrovně rizik a analýzu, zdali jsou bezpečnostní rizika akceptovatelná nebo vyžadují opatření pro jejich minimalizaci (dále jen „Analýza hrozeb“). Dodavatel se zavazuje postupovat podle pokynů Objednatele na základě Analýzy hrozeb a přizpůsobit veškerou svoji činnost tak, aby byla rizika minimalizována.
3. Dodavatel se zavazuje dodržovat Service-level agreement („SLA“) definující časy odezvy a odstranění vad v případě omezení dostupnosti, důvěrnosti či integrity Dat, jak jsou stanoveny ve Smlouvě.
4. Dodavatel bere na vědomí a souhlasí, že veškerá Data zůstávají předmětem výhradních práv Objednatele.
5. Dodavatel se zavazuje zachovávat mlčenlivost a důvěrnost Dat a zavazuje se, že tato Data nebudou Dodavatelem zneužita, využita a poskytnuta třetím osobám.
6. Dodavatel se zavazuje na základě výzvy Objednatele předat bezpečným způsobem a ve strojově čitelné podobě jakákoli Data v dispoziční sféře Dodavatele, a to v termínu a v souladu s instrukcemi Objednatele uvedenými v takové výzvě. Smluvní strany si mohou písemně dohodnout jiný způsob předání Dat.
7. Dodavatel se zavazuje protokolárně odstranit veškerá Data při ukončení účinnosti této Smlouvy nebo na základě písemné žádosti Objednatele, a to nejpozději do 14 dní [a za dozoru zástupce Objednatele]. V případě, že Dodavatel bude mít na svých nosičích Data klasifikovaná jako střední a vyšší, má povinnost fyzicky tyto nosiče zlikvidovat protokolárně, případně je předat k likvidaci Objednateli. Objednatel uvede klasifikaci dat ve Smlouvě.

# III. PROVÁDĚNÍ AUDITŮ

1. Není-li ve Smlouvě stanoveno jinak uplatní se na provádění auditů tento článek III.
2. Dodavatel umožní, na základě předchozí výzvy ze strany Objednatele doručené v přiměřeném časovém předstihu a pouze v nezbytném rozsahu, přístup k údajům, účtům, záznamům a jiným dokladům či podkladům vztahujícím se k plnění této Smlouvy (dále jen „Auditované materiály“), a to za účelem uskutečnění auditu provozních a technologických procesů a/nebo bezpečnostních opatření používaných Dodavatelem při plnění povinností vyplývajících z této Smlouvy (dále jen „Audit“). 
3. Audit bude prováděn nejvýše 1x za kalendářní rok, ledaže by byl prováděn v případě bezpečnostní události, důvodného podezření na nedostatečnou úroveň ochrany Dat či důvodného podezření na nakládání s Daty v rozporu s relevantními ustanoveními této Smlouvy. V takovém případě se na provádění Auditu časové omezení nevztahuje.
4. Audit bude prováděn Objednatelem nebo jím pověřeným externím auditorem.
5. Všechny osoby zapojené do Auditu musejí uzavřít smlouvy zajišťující důvěrnost informací ve vztahu ke Smluvním stranám, a to minimálně v rozsahu odpovídajícím povinnostem mlčenlivosti dle Smlouvy.
6. Dodavatel poskytne veškerou nezbytnou součinnost k řádnému provádění a dokončení Auditu. 
7. Jakákoliv data, informace nebo jiná aktiva získaná při Auditu mohou být použita výhradně pro účely Auditu.
8. V případě, že Audit neodhalí podstatné porušení ani bezprostřední hrozby takového podstatného porušení, ponese Objednatel veškeré náklady Auditu. Pokud Audit odhalí jakékoliv podstatné porušení této Smlouvy nebo hrozbu takového podstatného porušení, uhradí Dodavatel Objednateli i veškeré důvodně vynaložené náklady vzniklé v důsledku Auditu a porušení bezodkladně napraví. Smluvní strany se dohodly, že pro účely tohoto čl. 3.8 bude za podstatné porušení považováno zejména (nikoli však výlučně): únik Dat způsobený Dodavatelem, porušení bezpečnostních standardů a norem, které způsobí materiální újmu Objednateli. 

# VI. INFORMAČNÍ POVINNOST DODAVATELE

1. Dodavatel je povinen Objednatele bez zbytečného odkladu informovat o:
   1. identifikovaných kybernetických bezpečnostních incidentech souvisejících s plněním Smlouvy, nejpozději však do 48 hodin od výskytu;
   2. způsobu řízení rizik na straně Dodavatele a o zbytkových rizicích souvisejících s plněním Smlouvy;
   3. významné změně ovládání Dodavatele, přičemž ovládáním se rozumí vliv, ovládání či řízení dle § 71 a násl. zákona č. 90/2012 Sb., o obchodních korporacích, ve znění pozdějších předpisů, či ekvivalentní postavení, a to do 5 pracovních dnů od uskutečnění této změny, a
   4. o změně vlastnictví či oprávnění nakládat se zásadními aktivy využívanými Dodavatelem k plnění Smlouvy, a to do 5 pracovních dnů od uskutečnění této změny.

# V. ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ DODAVATELEM

1. Není-li ve Smlouvě stanoveno jinak nebo nebyla-li uzavřena mezi Smluvními stranami samostatná smlouva o zpracování osobních údajů, uplatní se na podmínky zpracování osobních údajů tento článek V.
2. Smluvní strany se dohodly, že pokud to bude potřebné ke splnění požadavků předpisů na ochranu osobních údajů (tyto zahrnují například zákon č. 110/2019 Sb. o zpracování osobních údajů, ve znění pozdějších předpisů, a GDPR; dále jen „POOÚ“), uzavřou bez zbytečného odkladu po výzvě kterékoli Smluvní strany písemný dodatek Smlouvy zohledňující takové požadavky.
3. Objednatel tímto pověřuje Dodavatele zpracováním osobních údajů subjektů údajů poskytovaných Objednatelem v rámci plnění Smlouvy. Dodavatel je povinen zpracovávat osobní údaje pro Objednatele na základě jeho pokynů a v rozsahu nezbytném k řádnému plnění povinností Dodavatele vyplývajících ze Smlouvy. 
4. Objednatel uzavřením Smlouvy potvrzuje, že osobní údaje, které jsou předmětem zpracování, jsou přesné, byly shromážděny v souladu s POOÚ, jsou aktuálně Objednatelem zpracovávány v souladu s POOÚ a že Objednatel plní veškeré povinnosti správce dle POOÚ. Objednatel prohlašuje, že zpracování osobních údajů, kterým touto Smlouvou pověřuje Dodavatele, bylo před podpisem této Smlouvy zaregistrováno Úřadem pro ochranu osobních údajů (dále jen „ÚOOÚ“), pokud se na příslušné zpracování tato povinnost vztahuje.

**Předmět zpracování, kategorie subjektů údajů a typ osobních údajů**

1. Předmětem zpracování jsou osobní údaje subjektů údajů a případně další údaje poskytnuté Objednatelem či třetími stranami z pokynu Objednatele (dále jen „osobní údaje“). 
2. Subjekty údajů jsou primárně pracovníci Objednatele.
3. O rozsahu zpracování rozhoduje vždy výhradně Objednatel, který je současně odpovědný za zajištění souladu stanoveného rozsahu zpracování v souladu s POOÚ.

**Povaha a účel zpracování**

1. Dodavatel bude zpracovávat osobní údaje automatizovaně s přispěním výpočetní techniky. Příležitostně může docházet k ručnímu zpracování dat.

**Doba zpracování**

1. Zpracování osobních údajů bude probíhat po dobu účinnosti Smlouvy. Povinnosti Dodavatele týkající se ochrany osobních údajů se Dodavatel zavazuje plnit po celou dobu účinnosti Smlouvy, pokud ze Smlouvy nevyplývá, že mají trvat i po zániku její účinnosti. 

**Prohlášení Objednatele**

1. Objednatel, jako správce osobních údajů, uzavřením Smlouvy prohlašuje, že ke dni uzavření Smlouvy řádně plní všechny své povinnosti dle POOÚ (podmínky ochrany osobních údajů), zejména:
   1. zpracovává osobní údaje za účelem, v rozsahu, prostředky a způsobem podle těchto Smluvních podmínek zákonně, zejména obdržel a má k dispozici platný souhlas všech subjektů údajů se zpracováním jejich osobních údajů, pokud se na takovéto zpracování tato povinnost vztahuje;
   2. informuje subjekty údajů o zpracování jejich osobních údajů, a to způsobem a v rozsahu stanoveném POOÚ;
   3. umožňuje subjektům údajů vykonávat jejich práva dle POOÚ;
   4. plní svou povinnost oznámit ÚOOÚ skutečnost, že zpracovává osobní údaje, pokud se na něj tato povinnost vztahuje;
   5. likviduje osobní údaje, jakmile pomine účel, pro který byly zpracovány;
   6. plní veškeré své další povinnosti dle POOÚ;

a zavazuje se tyto povinnosti plnit po celou dobu trvání Smlouvy. 

**Další povinnosti Dodavatele**

1. Dodavatel je při zpracovávání osobních údajů povinen:
   1. zpracovávat osobní údaje výlučně na základě doložených pokynů Objednatele; pro vyloučení pochybností zpracovávání osobních údajů v souladu s povinnostmi Dodavatele dohodnutými v rámci Smlouvy se považuje za prováděné v souladu s instrukcemi Objednatele;
   2. řídit se instrukcemi Objednatele v otázkách předání osobních údajů do třetí země nebo mezinárodní organizaci, pokud mu toto zpracování již neukládá právo Evropské unie nebo členského státu, které se na Dodavatele vztahuje; v takovém případě Dodavatel Objednatele informuje o tomto právním požadavku před zpracováním, ledaže by tyto právní předpisy toto informování zakazovaly z důležitých důvodů veřejného zájmu;
   3. zajišťovat, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti;
   4. nezapojit do zpracování žádného dalšího zpracovatele bez předchozího konkrétního nebo obecného písemného povolení Objednatele;
   5. při zohlednění povahy zpracování, být Objednateli nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, pro splnění Objednatelovy povinnosti reagovat na žádosti o výkon práv subjektů údajů;
   6. být Objednateli nápomocen při zajišťování souladu s povinnostmi Objednatele (i) zajistit úroveň zabezpečení zpracování, (ii) ohlašovat případy porušení zabezpečení osobních údajů Úřadu pro ochranu osobních údajů a případně též subjektům údajů, (iii) posuzovat vliv na ochranu osobních údajů a (iv) realizovat předchozí konzultace s Úřadem pro ochranu osobních údajů, a to při zohlednění povahy zpracování a informací, jež má Dodavatel k dispozici;
   7. v souladu s rozhodnutím Objednatele všechny osobní údaje buď vymazat, nebo vrátit Objednateli po ukončení poskytování plnění dle Smlouvy, a vymazat existující kopie, pokud právo Evropské unie nebo členského státu nepožaduje uložení daných osobních údajů; a
   8. poskytnout Objednateli veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené POOÚ;
   9. umožnit audity a k těmto auditům přispívat; smluvní strany si sjednávají, že Dodavatel provádí audity zpracování z vlastní iniciativy jednou za 2 kalendářní roky u jím vybraného nezávislého auditora; v případě požadavku na provedení dodatečného auditu může Objednatel požádat Dodavatele o audit zpracování prováděného Dodavatelem pro Objednatele, a to prostřednictvím nezávislého auditora dle předchozí věty, ne však častěji než 1x za kalendářní rok;

přičemž činnosti Dodavatele dle odst. 5.11.5, 5.11.6, 5.11.8 a 5.11.9 budou hrazeny dle cen pro poskytování těchto činností dle ceníku Dodavatele.

**Zabezpečení osobních údajů**

1. Dodavatel přijal a udržuje taková technická a organizační opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů.
2. Dodavatel přijal a udržuje zejména následující opatření k zajištění přiměřené úrovně zabezpečení: 
   1. pseudonymizace a šifrování osobních údajů;
   2. schopnost zajistit neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování – zavedená opatření a jejich korektní fungování budou pravidelně kontrolovány;
   3. schopnost obnovit dostupnost osobních údajů a přístup k nim včas a v případě fyzických či technických incidentů;
   4. proces pravidelného testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování;
   5. víceúrovňový firewall;
   6. antivirovou ochranu a kontrolu neoprávněných přístupů;
   7. šifrovaný přenos dat;
   8. přístup k osobním údajům mají pouze pověřené osoby Dodavatele;
   9. servery s osobními údaji jsou uzamčeny v datacentrech Dodavatele.
3. V případě, že Dodavatel zjistí porušení zabezpečení osobních údajů, ohlásí je bez zbytečného odkladu Objednateli.
4. V případě ukončení Smlouvy nejsou Dodavatel, resp. jeho zaměstnanci, popř. pověřené třetí osoby, které přišly do styku s osobními údaji, zbaveni mlčenlivosti. Povinnost mlčenlivosti u nich v takovémto případě trvá i po ukončení účinnosti Smlouvy, bez ohledu na trvání poměru uvedených osob k Dodavateli.

# VI. SMLUVNÍ POKUTA

1. V případě porušení jakékoli povinnosti Dodavatele dle této Přílohy, je Objednatel oprávněn požadovat smluvní pokutu ve výši, která mu byla v souvislosti s tímto porušením vyměřena správním orgánem. Smluvní pokutou není dotčeno Objednatelovo právo požadovat náhradu škody ve výši převyšující zaplacenou smluvní pokutu.

# VII. OSTATNÍ

1. Tato příloha je v souladu s právními předpisy. Práva a povinnosti touto přílohou neupravené se řídí aplikovatelnými právními předpisy.
2. Dodavatel se zavazuje provádět veškerá plnění dle Smlouvy v souladu se Smlouvou, příkazy Objednatele, s předanými podklady a dále v souladu s právními předpisy. Dodavatel se zavazuje při výkonu své činnosti včas a prokazatelně upozornit Objednatele na zřejmou nevhodnost jeho příkazů či doporučení vztahujících se k pravidlům bezpečnosti, jejichž následkem může vzniknout újma nebo nesoulad s právními předpisy a zajistit ve spolupráci s Objednatelem náhradní způsob naplnění pravidel bezpečnosti, pokud stávající řešení přestalo být funkční nebo efektivní.
3. Dodavatel je oprávněn odstoupit od Smlouvy, pokud dojde k významné změně kontroly nad Dodavatelem, přičemž kontrolou se rozumí vliv, ovládání či řízení dle § 71 a násl. zákona č. 90/2020 Sb., o obchodních korporacích, ve znění pozdějších předpisů, či ekvivalentní postavení nebo dojde ke změně vlastnictví či oprávnění nakládat se zásadními aktivy využívanými Dodavatelem k plnění Smlouvy a tato změna bude Objednatelem vyhodnocena jako bezpečnostní riziko ve smyslu ZoKB a/nebo VoKB.

Page 1

**PŘÍLOHA Č. 2 – PODMÍNKY VYPLÝVAJÍCÍ Z INTERNÍ BEZPEČNOSTNÍ SMĚRNICE SM-BEZP-05_ŘÍZENÍ DODAVATELŮ**

# I. OBECNÁ USTANOVENÍ

  1. Není-li dále stanoveno jinak nebo nevyplývá-li jinak z kontextu, mají pojmy počínající velkým písmenem v této **Příloze** shodný význam, jaký mají ve Smlouvě.
  2. Dodavatel bere na vědomí, že Objednatel je provozovatelem regulované služby dle § 5 písm. a) zákona č. 264/2025 Sb., o kybernetické bezpečnosti (dále jen „**ZoKB**“) a souvisejících vyhlášek („**VoKB**“).

# II. DATA, VYUŽITÍ DAT DODAVATELEM A LIKVIDACE DAT

  1. Dodavatel je při poskytování plnění dle Smlouvy oprávněn užívat data předaná mu Objednatelem či jiným způsobem získaná nebo vytvořená při plnění této Smlouvy (dále jen „Data“) pouze v rozsahu nezbytném ke splnění Smlouvy a pouze v souladu s touto Smlouvou a příslušnými právními předpisy, tj. zejména ZoKB a VoKB.
  2. Dodavatel poskytne veškerou požadovanou součinnost, aby Objednatel provedl (i) identifikaci a zdokumentování existujících hrozeb pro Data a jiná informační aktiva a zranitelnosti, které by mohly být hrozbami využity a (ii) analýzu zmapování dopadů na Data a jiná informační aktiva z hlediska ztráty důvěrnosti, integrity a dostupnosti, (iii) odhad úrovně rizik a analýzu, zdali jsou bezpečnostní rizika akceptovatelná nebo vyžadují opatření pro jejich minimalizaci (dále jen „Analýza hrozeb“). Dodavatel se zavazuje postupovat podle pokynů Objednatele na základě Analýzy hrozeb a přizpůsobit veškerou svoji činnost tak, aby byla rizika minimalizována.
  3. Dodavatel se zavazuje dodržovat Service-level agreement („SLA“) definující časy odezvy a odstranění vad v případě omezení dostupnosti, důvěrnosti či integrity Dat, jak jsou stanoveny ve Smlouvě.
  4. Dodavatel bere na vědomí a souhlasí, že veškerá Data zůstávají předmětem výhradních práv Objednatele.
  5. Dodavatel se zavazuje zachovávat mlčenlivost a důvěrnost Dat a zavazuje se, že tato Data nebudou Dodavatelem zneužita, využita a poskytnuta třetím osobám.
  6. Dodavatel se zavazuje na základě výzvy Objednatele předat bezpečným způsobem a ve strojově čitelné podobě jakákoli Data v dispoziční sféře Dodavatele, a to v termínu a v souladu s instrukcemi Objednatele uvedenými v takové výzvě. Smluvní strany si mohou písemně dohodnout jiný způsob předání Dat.
  7. Dodavatel se zavazuje protokolárně odstranit veškerá Data při ukončení účinnosti této Smlouvy nebo na základě písemné žádosti Objednatele, a to nejpozději do 14 dní [a za dozoru zástupce Objednatele]. V případě, že Dodavatel bude mít na svých nosičích Data klasifikovaná jako střední a vyšší, má povinnost fyzicky tyto nosiče zlikvidovat protokolárně, případně je předat k likvidaci Objednateli. Objednatel uvede klasifikaci dat ve Smlouvě.

# III. PROVÁDĚNÍ AUDITŮ

  1. Není-li ve Smlouvě stanoveno jinak uplatní se na provádění auditů tento článek III.
  2. Dodavatel umožní, na základě předchozí výzvy ze strany Objednatele doručené v přiměřeném časovém předstihu a pouze v nezbytném rozsahu, přístup k údajům, účtům, záznamům a jiným dokladům či podkladům vztahujícím se k plnění této Smlouvy (dále jen „Auditované materiály“), a to za účelem uskutečnění auditu provozních a technologických procesů a/nebo bezpečnostních opatření používaných Dodavatelem při plnění povinností vyplývajících z této Smlouvy (dále jen „Audit“).

Page 2

3. Audit bude prováděn nejvýše 1x za kalendářní rok, ledaže by byl prováděn v případě bezpečnostní události, důvodného podezření na nedostatečnou úroveň ochrany Dat či důvodného podezření na nakládání s Daty v rozporu s relevantními ustanoveními této Smlouvy. V takovém případě se na provádění Auditu časové omezení nevztahuje.
  4. Audit bude prováděn Objednatelem nebo jím pověřeným externím auditorem.
  5. Všechny osoby zapojené do Auditu musejí uzavřít smlouvy zajišťující důvěrnost informací ve vztahu ke Smluvním stranám, a to minimálně v rozsahu odpovídajícím povinnostem mlčenlivosti dle Smlouvy.
  6. Dodavatel poskytne veškerou nezbytnou součinnost k řádnému provádění a dokončení Auditu. 
  7. Jakákoliv data, informace nebo jiná aktiva získaná při Auditu mohou být použita výhradně pro účely Auditu.
  8. V případě, že Audit neodhalí podstatné porušení ani bezprostřední hrozby takového podstatného porušení, ponese Objednatel veškeré náklady Auditu. Pokud Audit odhalí jakékoliv podstatné porušení této Smlouvy nebo hrozbu takového podstatného porušení, uhradí Dodavatel Objednateli i veškeré důvodně vynaložené náklady vzniklé v důsledku Auditu a porušení bezodkladně napraví. Smluvní strany se dohodly, že pro účely tohoto čl. 3.8 bude za podstatné porušení považováno zejména (nikoli však výlučně): únik Dat způsobený Dodavatelem, porušení bezpečnostních standardů a norem, které způsobí materiální újmu Objednateli. 

# VI. INFORMAČNÍ POVINNOST DODAVATELE

  1. Dodavatel je povinen Objednatele bez zbytečného odkladu informovat o:
    1. identifikovaných kybernetických bezpečnostních incidentech souvisejících s plněním Smlouvy, nejpozději však do 48 hodin od výskytu;
    2. způsobu řízení rizik na straně Dodavatele a o zbytkových rizicích souvisejících s plněním Smlouvy;
    3. významné změně ovládání Dodavatele, přičemž ovládáním se rozumí vliv, ovládání či řízení dle § 71 a násl. zákona č. 90/2012 Sb., o obchodních korporacích, ve znění pozdějších předpisů, či ekvivalentní postavení, a to do 5 pracovních dnů od uskutečnění této změny, a
    4. o změně vlastnictví či oprávnění nakládat se zásadními aktivy využívanými Dodavatelem k plnění Smlouvy, a to do 5 pracovních dnů od uskutečnění této změny.

# V. ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ DODAVATELEM

  1. Není-li ve Smlouvě stanoveno jinak nebo nebyla-li uzavřena mezi Smluvními stranami samostatná smlouva o zpracování osobních údajů, uplatní se na podmínky zpracování osobních údajů tento článek V.
  2. Smluvní strany se dohodly, že pokud to bude potřebné ke splnění požadavků předpisů na ochranu osobních údajů (tyto zahrnují například zákon č. 110/2019 Sb. o zpracování osobních údajů, ve znění pozdějších předpisů, a GDPR; dále jen „POOÚ“), uzavřou bez zbytečného odkladu po výzvě kterékoli Smluvní strany písemný dodatek Smlouvy zohledňující takové požadavky.
  3. Objednatel tímto pověřuje Dodavatele zpracováním osobních údajů subjektů údajů poskytovaných Objednatelem v rámci plnění Smlouvy. Dodavatel je povinen zpracovávat osobní údaje pro Objednatele na základě jeho pokynů a v rozsahu nezbytném k řádnému plnění povinností Dodavatele vyplývajících ze Smlouvy. 
  4. Objednatel uzavřením Smlouvy potvrzuje, že osobní údaje, které jsou předmětem zpracování, jsou přesné, byly shromážděny v souladu s POOÚ, jsou aktuálně Objednatelem zpracovávány v souladu s POOÚ a že Objednatel plní veškeré povinnosti správce dle POOÚ. Objednatel prohlašuje, že zpracování osobních údajů, kterým touto Smlouvou pověřuje Dodavatele, bylo před podpisem této Smlouvy zaregistrováno Úřadem pro ochranu osobních údajů (dále jen „ÚOOÚ“), pokud se na příslušné zpracování tato povinnost vztahuje.

**Předmět zpracování, kategorie subjektů údajů a typ osobních údajů**

Page 3

5. Předmětem zpracování jsou osobní údaje subjektů údajů a případně další údaje poskytnuté Objednatelem či třetími stranami z pokynu Objednatele (dále jen „osobní údaje“). 
  6. Subjekty údajů jsou primárně pracovníci Objednatele.
  7. O rozsahu zpracování rozhoduje vždy výhradně Objednatel, který je současně odpovědný za zajištění souladu stanoveného rozsahu zpracování v souladu s POOÚ.

**Povaha a účel zpracování**

  8. Dodavatel bude zpracovávat osobní údaje automatizovaně s přispěním výpočetní techniky. Příležitostně může docházet k ručnímu zpracování dat.

**Doba zpracování**

  9. Zpracování osobních údajů bude probíhat po dobu účinnosti Smlouvy. Povinnosti Dodavatele týkající se ochrany osobních údajů se Dodavatel zavazuje plnit po celou dobu účinnosti Smlouvy, pokud ze Smlouvy nevyplývá, že mají trvat i po zániku její účinnosti. 

**Prohlášení Objednatele**

  10. Objednatel, jako správce osobních údajů, uzavřením Smlouvy prohlašuje, že ke dni uzavření Smlouvy řádně plní všechny své povinnosti dle POOÚ (podmínky ochrany osobních údajů), zejména:
    1. zpracovává osobní údaje za účelem, v rozsahu, prostředky a způsobem podle těchto Smluvních podmínek zákonně, zejména obdržel a má k dispozici platný souhlas všech subjektů údajů se zpracováním jejich osobních údajů, pokud se na takovéto zpracování tato povinnost vztahuje;
    2. informuje subjekty údajů o zpracování jejich osobních údajů, a to způsobem a v rozsahu stanoveném POOÚ;
    3. umožňuje subjektům údajů vykonávat jejich práva dle POOÚ;
    4. plní svou povinnost oznámit ÚOOÚ skutečnost, že zpracovává osobní údaje, pokud se na něj tato povinnost vztahuje;
    5. likviduje osobní údaje, jakmile pomine účel, pro který byly zpracovány;
    6. plní veškeré své další povinnosti dle POOÚ;

a zavazuje se tyto povinnosti plnit po celou dobu trvání Smlouvy. 

**Další povinnosti Dodavatele**

  11. Dodavatel je při zpracovávání osobních údajů povinen:
    7. zpracovávat osobní údaje výlučně na základě doložených pokynů Objednatele; pro vyloučení pochybností zpracovávání osobních údajů v souladu s povinnostmi Dodavatele dohodnutými v rámci Smlouvy se považuje za prováděné v souladu s instrukcemi Objednatele;
    8. řídit se instrukcemi Objednatele v otázkách předání osobních údajů do třetí země nebo mezinárodní organizaci, pokud mu toto zpracování již neukládá právo Evropské unie nebo členského státu, které se na Dodavatele vztahuje; v takovém případě Dodavatel Objednatele informuje o tomto právním požadavku před zpracováním, ledaže by tyto právní předpisy toto informování zakazovaly z důležitých důvodů veřejného zájmu;
    9. zajišťovat, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti;
    10. nezapojit do zpracování žádného dalšího zpracovatele bez předchozího konkrétního nebo obecného písemného povolení Objednatele;
    11. při zohlednění povahy zpracování, být Objednateli nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, pro splnění Objednatelovy povinnosti reagovat na žádosti o výkon práv subjektů údajů;

Page 4

12. být Objednateli nápomocen při zajišťování souladu s povinnostmi Objednatele (i) zajistit úroveň zabezpečení zpracování, (ii) ohlašovat případy porušení zabezpečení osobních údajů Úřadu pro ochranu osobních údajů a případně též subjektům údajů, (iii) posuzovat vliv na ochranu osobních údajů a (iv) realizovat předchozí konzultace s Úřadem pro ochranu osobních údajů, a to při zohlednění povahy zpracování a informací, jež má Dodavatel k dispozici;
    13. v souladu s rozhodnutím Objednatele všechny osobní údaje buď vymazat, nebo vrátit Objednateli po ukončení poskytování plnění dle Smlouvy, a vymazat existující kopie, pokud právo Evropské unie nebo členského státu nepožaduje uložení daných osobních údajů; a
    14. poskytnout Objednateli veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené POOÚ;
    15. umožnit audity a k těmto auditům přispívat; smluvní strany si sjednávají, že Dodavatel provádí audity zpracování z vlastní iniciativy jednou za 2 kalendářní roky u jím vybraného nezávislého auditora; v případě požadavku na provedení dodatečného auditu může Objednatel požádat Dodavatele o audit zpracování prováděného Dodavatelem pro Objednatele, a to prostřednictvím nezávislého auditora dle předchozí věty, ne však častěji než 1x za kalendářní rok;

přičemž činnosti Dodavatele dle odst. 5.11.5, 5.11.6, 5.11.8 a 5.11.9 budou hrazeny dle cen pro poskytování těchto činností dle ceníku Dodavatele.

**Zabezpečení osobních údajů**

  12. Dodavatel přijal a udržuje taková technická a organizační opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů.
  13. Dodavatel přijal a udržuje zejména následující opatření k zajištění přiměřené úrovně zabezpečení: 
    16. pseudonymizace a šifrování osobních údajů;
    17. schopnost zajistit neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování – zavedená opatření a jejich korektní fungování budou pravidelně kontrolovány;
    18. schopnost obnovit dostupnost osobních údajů a přístup k nim včas a v případě fyzických či technických incidentů;
    19. proces pravidelného testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování;
    20. víceúrovňový firewall;
    21. antivirovou ochranu a kontrolu neoprávněných přístupů;
    22. šifrovaný přenos dat;
    23. přístup k osobním údajům mají pouze pověřené osoby Dodavatele;
    24. servery s osobními údaji jsou uzamčeny v datacentrech Dodavatele.
  14. V případě, že Dodavatel zjistí porušení zabezpečení osobních údajů, ohlásí je bez zbytečného odkladu Objednateli.
  15. V případě ukončení Smlouvy nejsou Dodavatel, resp. jeho zaměstnanci, popř. pověřené třetí osoby, které přišly do styku s osobními údaji, zbaveni mlčenlivosti. Povinnost mlčenlivosti u nich v takovémto případě trvá i po ukončení účinnosti Smlouvy, bez ohledu na trvání poměru uvedených osob k Dodavateli.

# VI. SMLUVNÍ POKUTA

  1. V případě porušení jakékoli povinnosti Dodavatele dle této Přílohy, je Objednatel oprávněn požadovat smluvní pokutu ve výši, která mu byla v souvislosti s tímto porušením vyměřena správním orgánem. Smluvní pokutou není dotčeno Objednatelovo právo požadovat náhradu škody ve výši převyšující zaplacenou smluvní pokutu.

Page 5

# VII. OSTATNÍ

  1. Tato příloha je v souladu s právními předpisy. Práva a povinnosti touto přílohou neupravené se řídí aplikovatelnými právními předpisy.
  2. Dodavatel se zavazuje provádět veškerá plnění dle Smlouvy v souladu se Smlouvou, příkazy Objednatele, s předanými podklady a dále v souladu s právními předpisy. Dodavatel se zavazuje při výkonu své činnosti včas a prokazatelně upozornit Objednatele na zřejmou nevhodnost jeho příkazů či doporučení vztahujících se k pravidlům bezpečnosti, jejichž následkem může vzniknout újma nebo nesoulad s právními předpisy a zajistit ve spolupráci s Objednatelem náhradní způsob naplnění pravidel bezpečnosti, pokud stávající řešení přestalo být funkční nebo efektivní.
  3. Dodavatel je oprávněn odstoupit od Smlouvy, pokud dojde k významné změně kontroly nad Dodavatelem, přičemž kontrolou se rozumí vliv, ovládání či řízení dle § 71 a násl. zákona č. 90/2020 Sb., o obchodních korporacích, ve znění pozdějších předpisů, či ekvivalentní postavení nebo dojde ke změně vlastnictví či oprávnění nakládat se zásadními aktivy využívanými Dodavatelem k plnění Smlouvy a tato změna bude Objednatelem vyhodnocena jako bezpečnostní riziko ve smyslu ZoKB a/nebo VoKB.