Další zpracovatelé

Tato příloha uvádí další zpracovatele a technické dodavatele, které je Provozovatel oprávněn zapojit při poskytování služby DentalWeb, e-shopu, MANTAdent, skladového modulu, pacientských funkcí, komunikačních funkcí a souvisejících služeb.

Správce přijetím Podmínek služby DentalWeb uděluje Provozovateli obecné povolení k zapojení níže uvedených dalších zpracovatelů a technických dodavatelů. Provozovatel oznámí Správci podstatné doplnění nebo nahrazení dalšího zpracovatele způsobem uvedeným v Podmínkách služby DentalWeb.

Do této přílohy jsou pro transparentnost zahrnuti i někteří technicko-infrastrukturní dodavatelé, u nichž se standardně nepředpokládá přístup k obsahu pacientské databáze, ale kteří se mohou podílet na provozu domény, komunikace, doručování zpráv nebo technické infrastruktury.

1. Hetzner Online GmbH

Název a sídlo:
Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen
Německo

Rejstříkové údaje:
Ansbach Registration Office, HRB 6089
VAT Reg. No.: DE812871812

Kontakt:
info@hetzner.com
kontakt pro ochranu osobních údajů: data-protection@hetzner.com

Hetzner uvádí výše uvedené sídlo, rejstřík, DIČ/VAT a kontaktní e-mail ve svém legal notice; kontakt pro ochranu osobních údajů uvádí v zásadách ochrany osobních údajů.

Služba / role:
Hosting, cloudová nebo serverová infrastruktura, provoz aplikace MANTAdent, databází, úložiště, záloh, technických logů a související infrastruktury.

Postavení:
Další zpracovatel.

Rozsah zpracování:
Uložení, provoz, přenos, zabezpečení, zálohování a technická správa dat zpracovávaných v systému MANTAdent a souvisejících službách. Může zahrnovat zejména:

a) údaje pacientů a potenciálních pacientů zadané Správcem do Online služby;
b) údaje o zdravotním stavu a jiné zvláštní kategorie osobních údajů, pokud je Správce do systému zadá;
c) údaje o objednávkách, rezervacích, návštěvách, výkonech, komunikaci a platbách;
d) údaje o uživatelích aplikace na straně Správce;
e) skladová, provozní a evidenční data;
f) technické, provozní, bezpečnostní a auditní logy;
g) zálohy, exporty a dočasné technické kopie.

Kategorie subjektů údajů:
Pacienti a potenciální pacienti Správce, uživatelé aplikace na straně Správce, osoby jednající za Správce, zdravotničtí nebo odborní pracovníci evidovaní v aplikaci, případně další osoby, jejichž údaje Správce do služby zadá.

Místo zpracování:
Evropská unie / Evropský hospodářský prostor, zejména Německo nebo Finsko, podle zvolené lokality služby. Produkční prostředí systému MANTAdent je určeno k provozu v EU/EHP. Hetzner uvádí vlastní datacentra v Německu a Finsku; jiné lokality USA a Singapur nejsou pro produkční pacientská data určeny bez samostatného posouzení a právního mechanismu pro předání mimo EHP.

Třetí země:
Ne, pokud jsou produkční služby, databáze a zálohy provozovány výlučně v EU/EHP.

Použitý přenosový mechanismus, jde-li o třetí zemi:
Neaplikuje se při provozu v EU/EHP. Pokud by Provozovatel v budoucnu použil lokalitu mimo EU/EHP, zejména USA nebo Singapur, bude před takovým použitím zajištěn odpovídající právní mechanismus podle GDPR, zejména rozhodnutí o odpovídající ochraně, standardní smluvní doložky, případné doplňkové záruky a posouzení rizik předání.

Poznámka k DPA:
Hetzner uvádí, že jeho Data Processing Agreement upravuje vztah správce–zpracovatel podle čl. 28 GDPR a že dohodu lze uzavřít v zákaznickém účtu; vlastnoruční podpis nevyžaduje a souhlas se uděluje checkboxem.

2. ACTIVE 24, s.r.o.

Název a sídlo:
ACTIVE 24, s.r.o.
Sokolovská 394/17
186 00 Praha 8
Česká republika

Identifikační údaje:
IČO: 25115804
DIČ: CZ25115804
zapsaná u Městského soudu v Praze, sp. zn. C 51029

Kontakt:
info@active24.cz
kontakt pro otázky soukromí: privacy@active24.com

ACTIVE 24 uvádí své sídlo, IČO, DIČ a spisovou značku na kontaktní stránce; v části „Soukromí“ uvádí, že pro dotazy ke zpracování osobních údajů lze použít privacy@active24.com.

Služba / role:
E-mailové služby, provoz e-mailových schránek, e-mailová infrastruktura, případně související webhostingové nebo serverové služby, pokud budou pro DentalWeb nebo MANTAdent využity.

Postavení:
Další zpracovatel v rozsahu, v jakém zpracovává osobní údaje jménem Provozovatele nebo prostřednictvím služeb používaných Provozovatelem. U některých údajů může vystupovat také jako samostatný správce podle vlastních podmínek a zákonných povinností.

Rozsah zpracování:
Příjem, odesílání, směrování, ukládání, filtrování, zabezpečení a technická správa e-mailové komunikace. Může zahrnovat zejména:

a) e-mailové adresy Správce, jeho zaměstnanců, spolupracovníků a kontaktních osob;
b) e-mailové adresy pacientů nebo potenciálních pacientů, pokud jsou prostřednictvím těchto e-mailových služeb kontaktováni;
c) obsah e-mailové komunikace, pokud přes e-mail prochází;
d) metadata e-mailové komunikace, zejména datum a čas odeslání, příjemce, odesílatele, předmět, technické hlavičky, IP adresy a doručovací logy;
e) technické a bezpečnostní logy.

Kategorie subjektů údajů:
Uživatelé služby, osoby jednající za Správce, pacienti a potenciální pacienti Správce, kontaktní osoby, zaměstnanci a spolupracovníci Provozovatele nebo Správce, případně další osoby obsažené v e-mailové komunikaci.

Místo zpracování:
Česká republika / Evropská unie podle služby a technické infrastruktury ACTIVE 24. ACTIVE 24 uvádí, že hlavní kancelář sídlí v Praze a podléhá evropské právní úpravě včetně GDPR; pro datacentrum uvádí využití datacentra Perpetuus.

Třetí země:
Ne pro běžné využití služby v EU. Pokud by ACTIVE 24 nebo jeho subdodavatelé zapojili zpracování mimo EU/EHP, musí být použit odpovídající mechanismus podle GDPR.

Použitý přenosový mechanismus, jde-li o třetí zemi:
Neaplikuje se při zpracování v EU/EHP. V případě předání mimo EU/EHP se použije platný mechanismus podle GDPR, zejména rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky.

Poznámka k DPA:
ACTIVE 24 ve svých informacích o soukromí uvádí, že u služeb používaných zákazníky pro zpracování údajů jejich vlastních zákazníků vystupuje jako zpracovatel a vztah je upraven dohodou o zpracování osobních údajů, která je součástí všeobecných obchodních podmínek ACTIVE 24.

3. ProfiSMS s.r.o. / SMS-Sluzba.cz

Název a sídlo:
ProfiSMS s.r.o.
Thámova 166/18
186 00 Praha 8
Česká republika

Identifikační údaje:
IČO: 03676307
DIČ: CZ03676307
zapsaná u Městského soudu v Praze, oddíl C, vložka 236070

Kontakt:
admin@sms-sluzba.cz
kontakt pro ochranu osobních údajů / DPO: dpo@profisms.cz

ProfiSMS je ve všeobecných obchodních podmínkách SMS-Sluzba.cz uvedená jako provozovatel služby, včetně sídla, IČO, DIČ a rejstříkových údajů; informační memorandum uvádí kontakt dpo@profisms.cz a pověřence pro ochranu osobních údajů.

Služba / role:
SMS brána, odesílání SMS, příjem SMS, zpracování stavů doručení, SMS notifikace, připomínky termínů, ověřovací a informační zprávy, případně API pro napojení Online služby.

Postavení:
Další zpracovatel v rozsahu, v jakém prostřednictvím SMS služby zpracovává údaje zadané Provozovatelem nebo Správcem pro účely komunikace se subjekty údajů.

Rozsah zpracování:
Technické zpracování SMS komunikace, zejména příprava, odeslání, doručení, evidence a zobrazení stavu SMS zpráv. Může zahrnovat zejména:

a) telefonní čísla pacientů, potenciálních pacientů, uživatelů služby nebo kontaktních osob;
b) obsah SMS zpráv, pokud je prostřednictvím služby odesílán nebo přijímán;
c) informace o odesílateli a příjemci;
d) čas odeslání, čas doručení, stav doručení a technické doručovací údaje;
e) údaje obsažené v odpovědích na SMS, pokud je služba umožňuje přijímat;
f) technické, provozní a bezpečnostní logy.

SMS-Sluzba.cz uvádí, že umožňuje odesílání, příjem a automatické zpracování SMS, hromadné SMS, autentizaci, potvrzení, informační zprávy a připojení přes API; v přehledu funkcí uvádí evidenci odeslaných SMS včetně čísla příjemce, času odeslání a stavu doručení a evidenci přijatých SMS.

Kategorie subjektů údajů:
Pacienti a potenciální pacienti Správce, uživatelé aplikace, osoby jednající za Správce, kontaktní osoby, případně další osoby, kterým Správce prostřednictvím Online služby odešle SMS nebo od kterých SMS přijme.

Místo zpracování:
Česká republika / Evropský hospodářský prostor. V případě doručování SMS do zahraničí nebo přes zahraniční telekomunikační infrastrukturu může dojít k technickému zapojení operátorů nebo sítí mimo Českou republiku; takové zpracování se posuzuje podle povahy konkrétní komunikace a pravidel elektronických komunikací.

Třetí země:
Ne pro běžné zpracování v rámci EHP. Pokud by při konkrétní službě nebo doručení SMS docházelo k předání mimo EHP, musí být zajištěn odpovídající mechanismus podle GDPR. ProfiSMS ve svém informačním memorandu uvádí, že v rámci EHP platí režim volného pohybu údajů a že v některých případech mohou dodavatelé zpracovávat údaje ve třetích zemích při dodržení legislativních požadavků.

Použitý přenosový mechanismus, jde-li o třetí zemi:
Neaplikuje se při zpracování v EHP. V případě předání mimo EHP se použije platný mechanismus podle GDPR, zejména rozhodnutí o odpovídající ochraně, standardní smluvní doložky nebo jiný odpovídající mechanismus.

Poznámka k DPA:
Před ostrým použitím SMS pro pacientské připomínky bych doporučil u ProfiSMS ověřit nebo uzavřít zpracovatelskou smlouvu pro situaci, kdy Wikinomist předává ProfiSMS telefonní čísla pacientů a obsah pacientských notifikací. VOP a informační memorandum jsou dohledatelné, ale samostatnou zákaznickou DPA jsem z veřejných podkladů nepotvrdil.

4. INTERNET CZ, a.s. / FORPSI

Název a sídlo:
INTERNET CZ, a.s.
Ktiš 2
384 03 Ktiš
Česká republika

Identifikační údaje:
IČO: 26043319
DIČ: CZ26043319
zapsaná v obchodním rejstříku vedeném Krajským soudem v Českých Budějovicích, sp. zn. B/1245

Kontakt:
admin@forpsi.com
kontakt pro ochranu osobních údajů / DPO: dpo@forpsi.com

FORPSI uvádí na kontaktní stránce společnost INTERNET CZ, a.s., adresu, IČO, DIČ a rejstříkovou spisovou značku; v informacích o cookies uvádí kontakt na DPO.

Služba / role:
DNS hosting, správa DNS záznamů, technická správa doménových záznamů a související infrastruktury pro domény a subdomény DentalWeb.

Postavení:
Technický dodavatel; další zpracovatel pouze v omezeném rozsahu, pokud při poskytování služby DNS hosting zpracovává osobní údaje jménem Provozovatele. Standardně se nepředpokládá, že by měl přístup k obsahu pacientské databáze, obsahu e-mailů nebo obsahu SMS.

Rozsah zpracování:
Správa a provoz DNS záznamů, zajištění překladu doménových jmen, provozní a bezpečnostní evidence související s DNS službou. Může zahrnovat zejména:

a) doménová jména a subdomény;
b) DNS záznamy;
c) technické údaje o provozu DNS služby;
d) IP adresy nebo technické identifikátory související s DNS dotazy a správou služby;
e) identifikační a kontaktní údaje Provozovatele nebo osob spravujících službu;
f) provozní a bezpečnostní logy.

FORPSI uvádí DNS hosting jako správu DNS záznamů a podmínky DNS hostingu popisují poskytování služby DNS pro doménová jména druhého řádu nebo subdomény; dokument zároveň uvádí, že služba je poskytována minimálně na dvou serverech ve dvou nezávislých geograficky oddělených lokalitách.

Kategorie subjektů údajů:
Osoby jednající za Provozovatele, administrátoři domény, technické kontakty, případně návštěvníci služeb v rozsahu technických údajů souvisejících s DNS provozem. Nepředpokládá se zpracování pacientských zdravotních údajů ani obsahu pacientské dokumentace.

Místo zpracování:
Česká republika / Evropská unie podle služby a infrastruktury provozovatele. INTERNET CZ ve svých informacích uvádí, že údaje jsou uchovávány v archivech na území EU a případné předání mimo EU je řešeno odpovídajícími zárukami.

Třetí země:
Ne pro běžné poskytování DNS služby v EU. Vzhledem k povaze veřejné DNS služby mohou probíhat technické dotazy z různých částí světa; tyto dotazy samy o sobě nepředstavují předání pacientské databáze ani obsahu aplikace.

Použitý přenosový mechanismus, jde-li o třetí zemi:
Neaplikuje se při zpracování v EU. V případě předání mimo EU/EHP se použije platný mechanismus podle GDPR, zejména rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky.

Poznámka k rozsahu:
DNS hosting bych v příloze ponechal z opatrnosti a transparentnosti, ale formuloval bych ho jako technického dodavatele s velmi omezeným rozsahem zpracování. Není to dodavatel, kterému by se standardně předávala pacientská zdravotní dokumentace.

Společné ustanovení k dalším zpracovatelům

Provozovatel zajistí, aby každý další zpracovatel, který zpracovává osobní údaje jménem Provozovatele v rozsahu této zpracovatelské smlouvy, byl vázán smlouvou nebo jiným právním aktem podle čl. 28 GDPR a aby mu byly uloženy povinnosti ochrany osobních údajů v rozsahu vyžadovaném GDPR.

Provozovatel je oprávněn tuto přílohu aktualizovat zejména při změně dodavatele, změně služby, změně infrastruktury, změně místa zpracování nebo změně rozsahu zpracování. Podstatné změny budou Správci oznámeny způsobem uvedeným v Podmínkách služby DentalWeb.

Správce je oprávněn proti zapojení nového dalšího zpracovatele vznést odůvodněnou námitku ve lhůtě uvedené v Podmínkách služby DentalWeb.