Smlouva o zpracování osobních údajů

1. Úvodní ustanovení, smluvní strany, vznik a účel smlouvy

Tato smlouva o zpracování osobních údajů (dále jen „Smlouva o zpracování“ nebo „tato Smlouva“) upravuje vzájemná práva a povinnosti smluvních stran při zpracování osobních údajů, k němuž dochází v souvislosti s poskytováním a užíváním webové aplikace A1Hire (dále jen „Aplikace“ nebo „Služba“). Smlouva o zpracování se uzavírá ve smyslu a za účelem splnění požadavků čl. 28 odst. 3 obecného nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „GDPR“).

Smluvními stranami této Smlouvy jsou:

• Provozovatel: společnost A1 GEN s.r.o., IČO 24939684, se sídlem Rybná 716/24, Staré Město, 110 00 Praha 1, provozující službu pod značkou A1Gen, web https://www.a1gen.ai/, kontaktní e-mail info@a1gen.ai (dále jen „Provozovatel“), který ve vztahu k osobním údajům kandidátů vystupuje jako ZPRACOVATEL ve smyslu čl. 4 bodu 8 GDPR; a
• Uživatel: fyzická nebo právnická osoba, která se zaregistrovala ke Službě a užívá ji, zpravidla náborář, personalista nebo zaměstnavatel, jenž do Aplikace nahrává životopisy kandidátů (dále jen „Uživatel“), který ve vztahu k osobním údajům kandidátů vystupuje jako SPRÁVCE ve smyslu čl. 4 bodu 7 GDPR.

Účelem této Smlouvy je vymezit podmínky, za nichž Provozovatel jako zpracovatel zpracovává pro Uživatele jako správce osobní údaje kandidátů obsažené v životopisech nahraných do Aplikace, a zajistit, aby toto zpracování probíhalo v souladu s GDPR a poskytovalo dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky GDPR a byla zajištěna ochrana práv subjektů údajů.

Tato Smlouva vzniká a nabývá účinnosti okamžikem dokončení registrace uživatelského účtu a jeho akceptací, kdy Uživatel projevem vůle (zejména zaškrtnutím příslušného políčka a odesláním registrace) potvrzuje, že se s touto Smlouvou seznámil a souhlasí s jejím obsahem. Tato Smlouva se tak uzavírá distančním způsobem jako tzv. klikací smlouva (click-wrap) elektronickými prostředky. Trvá po dobu trvání smlouvy o poskytování Služby uzavřené mezi Provozovatelem a Uživatelem (dále jen „Hlavní smlouva“) a zaniká způsobem uvedeným v čl. 13 této Smlouvy.

Tato Smlouva o zpracování tvoří nedílnou součást smluvních podmínek služby A1Hire, zejména obchodních podmínek, podmínek užití a zásad ochrany osobních údajů Provozovatele. Vztah těchto dokumentů je následující: v otázkách zpracování osobních údajů kandidátů, u nichž je Uživatel správcem a Provozovatel zpracovatelem, má přednost tato Smlouva o zpracování; ostatní otázky se řídí příslušnými smluvními podmínkami. Zásady ochrany osobních údajů Provozovatele upravují rovněž zpracování, při němž Provozovatel vystupuje jako samostatný správce (zejména údaje uživatelského účtu a údaje o využití Služby); takové zpracování není předmětem této Smlouvy.

Není-li v této Smlouvě stanoveno jinak, mají pojmy psané s velkým počátečním písmenem význam vymezený v obchodních podmínkách a v zásadách ochrany osobních údajů Provozovatele, popřípadě v GDPR. Pojmy „správce“, „zpracovatel“, „další zpracovatel“, „subjekt údajů“, „osobní údaje“, „zpracování“ a „porušení zabezpečení osobních údajů“ se vykládají ve smyslu čl. 4 GDPR.

2. Předmět, povaha a účel zpracování, doba trvání, kategorie subjektů údajů a osobních údajů (specifikace zpracování)

Předmět, povaha a účel zpracování, doba jeho trvání, kategorie dotčených subjektů údajů a kategorie zpracovávaných osobních údajů jsou závazně vymezeny v této specifikaci zpracování, která je nedílnou součástí této Smlouvy (a plní funkci přílohy ve smyslu čl. 28 odst. 3 GDPR).

Předmět zpracování: Provozovatel jako zpracovatel pro Uživatele jako správce na základě jeho pokynů provádí zejména následující operace s osobními údaji kandidátů obsaženými v nahraných životopisech:

• uložení nahraných životopisů (zpravidla ve formátu PDF) v úložišti Cloud Storage,
• předání obsahu životopisů umělé inteligenci (Google Gemini) k automatizovanému hodnocení,
• výpočet váženého skóre v rozsahu 0–100 a sestavení žebříčku kandidátů,
• zpřístupnění výsledků hodnocení a žebříčku Uživateli v rozhraní Aplikace,
• export výsledků hodnocení do formátu PDF.

Povaha a účel zpracování: zpracování má povahu automatizovaného zpracování v prostředí cloudové webové aplikace a slouží výhradně k poskytování Služby Uživateli, tj. k podpoře jeho náborového a výběrového procesu prostřednictvím hodnocení životopisů a sestavení žebříčku kandidátů. Provozovatel zpracovává osobní údaje kandidátů pouze za účelem poskytování Služby a nezpracovává je pro vlastní účely odlišné od pokynů Uživatele.

Doba trvání zpracování: zpracování probíhá po dobu trvání Hlavní smlouvy o poskytování Služby A1Hire a po dobu existence příslušné pracovní pozice nebo uživatelského účtu, dokud Uživatel dotčené údaje nesmaže. Po ukončení Hlavní smlouvy nebo na pokyn Uživatele Provozovatel osobní údaje vymaže (nebo je na žádost Uživatele vrátí), nestanoví-li právní předpis jejich další uchování.

Kategorie subjektů údajů: uchazeči o zaměstnání (kandidáti), jejichž životopisy Uživatel nahraje do Aplikace.

Kategorie osobních údajů: identifikační a kontaktní údaje, údaje o vzdělání, pracovních zkušenostech, dovednostech a další údaje, které kandidát uvedl ve svém životopise. Provozovatel aktivně nevyžaduje a nepožaduje, aby do životopisů byly vkládány zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR ani osobní údaje týkající se rozsudků v trestních věcech a trestných činů dle čl. 10 GDPR; za jejich případné vložení do životopisu a za splnění podmínek jejich zpracování odpovídá Uživatel jako správce.

Uživatel bere na vědomí, že nahraje-li do Aplikace životopis obsahující zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR (například údaje o zdravotním stavu, příslušnosti k odborové organizaci, náboženském vyznání či rasovém nebo etnickém původu) nebo údaje dle čl. 10 GDPR, budou tyto údaje v rámci poskytování Služby fakticky zpracovány, tj. zejména uloženy v Cloud Storage a předány umělé inteligenci (Google Gemini) k hodnocení obsahu životopisu, ačkoli je Provozovatel nevyžaduje. Za existenci a doložení platného právního základu pro zpracování takových údajů (zejména dle čl. 9 odst. 2 GDPR) odpovídá výlučně Uživatel jako správce.

Uživatel bere na vědomí, že rozsah a obsah zpracovávaných osobních údajů je dán výlučně obsahem životopisů, které do Aplikace nahraje, a nastavením hodnoticích kategorií, které zvolí; Provozovatel nemá vliv na to, jaké konkrétní osobní údaje životopisy obsahují.

3. Pokyny správce a zpracování pouze na základě doložených pokynů

Provozovatel zpracovává osobní údaje kandidátů pouze na základě doložených pokynů Uživatele jako správce, a to v souladu s čl. 28 odst. 3 písm. a) GDPR, včetně otázek předání osobních údajů do třetí země nebo mezinárodní organizaci, ledaže mu toto zpracování ukládá právo Evropské unie nebo členského státu, které se na Provozovatele vztahuje; v takovém případě Provozovatel Uživatele před zpracováním informuje o tomto právním požadavku, ledaže toto právo z důležitých důvodů veřejného zájmu takové informování zakazuje.

Smluvní strany se dohodly, že za doložený pokyn správce ve smyslu předchozího odstavce se považují zejména:

• tato Smlouva o zpracování a smluvní podmínky Služby jako celek,
• samotné užívání Aplikace Uživatelem a úkony v ní provedené (zejména nahrání životopisů, vytvoření pracovní pozice, nastavení hodnoticích kategorií, spuštění hodnocení, sestavení žebříčku, export a smazání dat); takové užívání Aplikace v souladu s jejím určením a dokumentací se považuje za pokyn Uživatele ke zpracování v odpovídajícím rozsahu,
• individuální pokyny Uživatele udělené Provozovateli prokazatelným způsobem, zejména písemně či elektronicky na adresu info@a1gen.ai.

Provozovatel je oprávněn provádět pouze takové zpracování osobních údajů, které je nezbytné k poskytování Služby a které odpovídá pokynům Uživatele. Pokud Provozovatel obdrží pokyn, který přesahuje rozsah Služby nebo není technicky proveditelný, je oprávněn jej odmítnout.

Domnívá-li se Provozovatel, že určitý pokyn Uživatele porušuje GDPR nebo jiné právní předpisy Evropské unie nebo členského státu týkající se ochrany osobních údajů, neprodleně o tom Uživatele informuje a je oprávněn provedení takového pokynu pozastavit nebo odmítnout, dokud Uživatel pokyn nepotvrdí, nezmění nebo nevezme zpět.

Uživatel jako správce odpovídá za zákonnost pokynů a za to, že pro zpracování osobních údajů kandidátů má platný právní základ podle čl. 6 GDPR (a v případě zvláštních kategorií údajů též podle čl. 9 GDPR). Provozovatel není povinen sám posuzovat zákonnost účelu zpracování ani existenci právního základu na straně Uživatele; tím však není dotčena povinnost Provozovatele podle předchozího odstavce a podle čl. 28 odst. 3 in fine GDPR informovat Uživatele, je-li určitý pokyn zjevně v rozporu s GDPR nebo jinými předpisy o ochraně osobních údajů.

4. Mlčenlivost osob oprávněných zpracovávat osobní údaje

Provozovatel v souladu s čl. 28 odst. 3 písm. b) GDPR zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje (zejména zaměstnanci, spolupracovníci a jiné pověřené osoby Provozovatele) zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

• Provozovatel umožní přístup k osobním údajům pouze těm svým osobám, které jej potřebují k plnění svých úkolů při poskytování Služby, a to v nezbytně nutném rozsahu.
• Povinnost mlčenlivosti těchto osob trvá i po skončení jejich pracovněprávního, smluvního nebo jiného vztahu k Provozovateli.
• Provozovatel tyto osoby přiměřeně poučí o jejich povinnostech při zpracování osobních údajů a o zásadách jejich ochrany.

Stejnou povinnost mlčenlivosti je Provozovatel povinen smluvně uložit i případným dalším zpracovatelům, které do zpracování zapojí (viz čl. 6 této Smlouvy).

5. Technická a organizační opatření k zabezpečení zpracování (čl. 32 GDPR)

Provozovatel přijal v souladu s čl. 28 odst. 3 písm. c) a čl. 32 GDPR vhodná technická a organizační opatření, aby zajistil úroveň zabezpečení odpovídající danému riziku, a to s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k pravděpodobným rizikům pro práva a svobody fyzických osob. Cílem těchto opatření je zejména ochrana osobních údajů před náhodným nebo protiprávním zničením, ztrátou, změnou, neoprávněným zpřístupněním nebo přístupem k nim.

Provozovatel zavedl zejména následující technická a organizační opatření:

• šifrování přenosu dat prostřednictvím protokolu HTTPS/TLS,
• ukládání hesel v zabezpečené, hashované podobě prostřednictvím služby Firebase Authentication (hesla nejsou uchovávána v čitelné ani vratně zašifrované podobě),
• řízení a omezení přístupu k osobním údajům tak, aby každý Uživatel měl přístup pouze k vlastním datům, a to prostřednictvím bezpečnostních pravidel (security rules) databáze Cloud Firestore a úložiště Cloud Storage vázaných na jedinečný identifikátor uživatele (UID),
• využívání renomovaných poskytovatelů cloudové infrastruktury s odpovídajícími bezpečnostními standardy a certifikacemi,
• logování a monitoring provozu systémů a vedení provozních a bezpečnostních záznamů,
• zajištění možnosti exportu a smazání dat v rozhraní Aplikace, čímž je podporován výkon práva na výmaz a práva na přenositelnost údajů.

Provozovatel je oprávněn přijatá opatření v čase přiměřeně měnit a rozvíjet, zejména v reakci na vývoj techniky a na nově zjištěná rizika, za podmínky, že tím nedojde ke snížení dosažené úrovně zabezpečení. Při posuzování vhodné úrovně bezpečnosti se zohledňují zejména rizika, která představuje zpracování, především náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů, nebo neoprávněný přístup k nim.

6. Zapojení dalších zpracovatelů (sub-zpracovatelů)

Uživatel jako správce uděluje Provozovateli v souladu s čl. 28 odst. 2, odst. 3 písm. d) a odst. 4 GDPR obecné písemné povolení k zapojení dalších zpracovatelů (sub-zpracovatelů) do zpracování osobních údajů kandidátů. Provozovatel zapojí dalšího zpracovatele pouze za podmínek stanovených v čl. 28 odst. 2 a 4 GDPR. Toto obecné povolení Uživatel uděluje akceptací této Smlouvy při registraci.

Ke dni účinnosti této Smlouvy Provozovatel využívá ke zpracování osobních údajů kandidátů následujícího dalšího zpracovatele:

• Google LLC (resp. Google Ireland Ltd.) – služby Firebase, a to Firebase Authentication (přihlášení uživatelů), Cloud Firestore (databáze Aplikace), Cloud Storage (uložení nahraných životopisů ve formátu PDF) a Google Gemini API (automatizované hodnocení obsahu životopisů umělou inteligencí, výpočet skóre a sestavení žebříčku).

S výše uvedeným dalším zpracovatelem (Google LLC, resp. Google Ireland Ltd.) má Provozovatel uzavřenou smlouvu o zpracování osobních údajů (DPA) dle čl. 28 GDPR. Ke službě Google Gemini API Provozovatel uvádí, že využívá její PLACENOU (zpoplatněnou) úroveň. V rámci placených podmínek Google data zákazníka NEPOUŽÍVÁ k trénování svých modelů a poskytuje smlouvu o zpracování osobních údajů (DPA) a standardní smluvní doložky.

Pro úplnost Provozovatel uvádí, že k zajištění provozu Aplikace dále využívá společnost Vercel Inc. – hosting webové aplikace a nástroj Vercel Web Analytics pro bezsouborové (cookieless) měření návštěvnosti. Vercel Inc. zpracovává toliko provozní a technické údaje související s hostingem a měřením návštěvnosti Aplikace, nikoli obsah životopisů (osobní údaje kandidátů), které jsou ukládány v Cloud Storage u společnosti Google. Vercel Inc. proto není ve vztahu k osobním údajům kandidátů, jež jsou předmětem této Smlouvy, dalším zpracovatelem; jeho postavení a související zpracování provozních a účtových údajů upravují zásady ochrany osobních údajů Provozovatele, v nichž Provozovatel vystupuje jako samostatný správce.

Provozovatel uloží každému dalšímu zpracovateli na základě smlouvy stejné povinnosti na ochranu osobních údajů, jaké jsou uvedeny v této Smlouvě, zejména povinnost poskytnout dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky GDPR. Neplní-li další zpracovatel své povinnosti v oblasti ochrany osobních údajů, odpovídá Provozovatel Uživateli za plnění povinností dotčeného dalšího zpracovatele i nadále plně.

Provozovatel informuje Uživatele o veškerých zamýšlených změnách týkajících se přijetí nových nebo nahrazení stávajících dalších zpracovatelů, a to vhodným způsobem (zejména prostřednictvím Aplikace nebo na kontaktní e-mailovou adresu Uživatele), čímž Uživateli poskytne příležitost vyslovit vůči těmto změnám námitky. Uplatní-li Uživatel proti zapojení nového dalšího zpracovatele odůvodněnou námitku, vyvine Provozovatel přiměřené úsilí k nalezení řešení; není-li to možné a trvá-li Uživatel na námitce, je každá ze stran oprávněna z tohoto důvodu ukončit poskytování dotčené části Služby, popřípadě Hlavní smlouvu, postupem podle smluvních podmínek.

7. Součinnost při výkonu práv subjektů údajů

Provozovatel je v souladu s čl. 28 odst. 3 písm. e) GDPR Uživateli nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, při plnění povinnosti Uživatele jako správce reagovat na žádosti o výkon práv subjektů údajů stanovených v kapitole III GDPR, zejména práva na přístup, na opravu, na výmaz, na omezení zpracování, na přenositelnost údajů a práva vznést námitku.

• Provozovatel poskytuje Uživateli v rozhraní Aplikace nástroje umožňující výkon některých práv subjektů údajů, zejména přístup k uloženým životopisům, jejich export a jejich výmaz.
• Obrátí-li se kandidát se svou žádostí týkající se osobních údajů obsažených v životopise přímo na Provozovatele, Provozovatel takový požadavek sám nevyřizuje, nýbrž jej bez zbytečného odkladu předá příslušnému Uživateli jako správci a poskytne mu nezbytnou součinnost.
• Provozovatel sám nezpřístupní osobní údaje kandidátů třetím osobám ani neprovede jejich opravu, výmaz či jiný zásah do nich bez pokynu Uživatele, ledaže mu takovou povinnost ukládá právní předpis.

8. Součinnost při plnění povinností správce dle čl. 32 až 36 GDPR a ohlašování bezpečnostních incidentů

Provozovatel je v souladu s čl. 28 odst. 3 písm. f) GDPR Uživateli nápomocen při zajišťování souladu s povinnostmi správce podle čl. 32 až 36 GDPR, a to při zohlednění povahy zpracování a informací, jež má Provozovatel k dispozici. Jedná se zejména o povinnosti týkající se zabezpečení zpracování (čl. 32), ohlašování případů porušení zabezpečení osobních údajů dozorovému úřadu (čl. 33) a oznamování takových případů subjektům údajů (čl. 34), posouzení vlivu na ochranu osobních údajů (DPIA, čl. 35) a předchozí konzultace s dozorovým úřadem (čl. 36).

Uživatel bere na vědomí, že vzhledem k povaze zpracování, jímž je systematické a rozsáhlé automatizované hodnocení životopisů kandidátů umělou inteligencí (profilování pro účely výběrového řízení), může být jako správce povinen provést před zahájením zpracování posouzení vlivu na ochranu osobních údajů (DPIA) podle čl. 35 GDPR. Posouzení této povinnosti náleží Uživateli jako správci; Provozovatel mu k jejímu případnému splnění poskytne potřebnou součinnost v rozsahu tohoto článku.

Provozovatel ohlásí Uživateli jakékoli porušení zabezpečení osobních údajů zpracovávaných na základě této Smlouvy bez zbytečného odkladu poté, co se o něm dozví, zpravidla nejpozději do 48 hodin od okamžiku, kdy se o porušení dozvěděl, aby Uživatel mohl splnit svou případnou ohlašovací povinnost vůči dozorovému úřadu (zpravidla do 72 hodin) a oznamovací povinnost vůči subjektům údajům. Oznámení Provozovatele Uživateli bude v rozsahu, v jakém má Provozovatel příslušné informace k dispozici, obsahovat zejména:

• popis povahy daného porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů,
• jméno a kontaktní údaje kontaktního místa Provozovatele, kde lze získat bližší informace,
• popis pravděpodobných důsledků porušení zabezpečení osobních údajů,
• popis opatření, která Provozovatel přijal nebo navrhuje přijmout s cílem vyřešit dané porušení zabezpečení osobních údajů, případně zmírnit jeho možné nepříznivé dopady.

Posouzení, zda porušení zabezpečení osobních údajů podléhá ohlašovací povinnosti vůči dozorovému úřadu či oznamovací povinnosti vůči subjektům údajů, jakož i samotné provedení těchto ohlášení a oznámení, náleží Uživateli jako správci. Provozovatel mu k tomu poskytuje potřebnou součinnost.

9. Naložení s osobními údaji po ukončení zpracování

Po ukončení poskytování Služby vztahujícího se ke zpracování Provozovatel v souladu s čl. 28 odst. 3 písm. g) GDPR podle rozhodnutí Uživatele buď všechny osobní údaje kandidátů vymaže, nebo je Uživateli vrátí, a vymaže existující kopie, pokud právo Evropské unie nebo členského státu nepožaduje uložení daných osobních údajů.

• Uživatel má v rozhraní Aplikace k dispozici nástroje pro samoobslužný export i samoobslužný výmaz nahraných životopisů, jednotlivých pracovních pozic i celého uživatelského účtu; jejich využitím Uživatel volí způsob naložení s údaji.
• Neprovede-li Uživatel volbu (vrácení nebo výmaz) ani sám neodstraní data před ukončením Hlavní smlouvy či po něm, Provozovatel po ukončení Hlavní smlouvy osobní údaje kandidátů vymaže.
• Provozovatel je oprávněn ponechat si osobní údaje pouze v rozsahu a po dobu, v jakých mu jejich uchování ukládá právní předpis; po tuto dobu je dále chrání a nezpracovává je k jiným účelům.

Na žádost Uživatele Provozovatel doloží splnění povinnosti výmazu nebo vrácení osobních údajů podle tohoto článku.

10. Audit a kontroly

Provozovatel v souladu s čl. 28 odst. 3 písm. h) GDPR poskytne Uživateli jako správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v čl. 28 GDPR, a umožní audity, včetně inspekcí, prováděné Uživatelem nebo jiným auditorem, kterého Uživatel pověřil, a k těmto auditům přispěje.

• Audity a inspekce se konají na základě předchozí přiměřené písemné výzvy Uživatele, v rozumné lhůtě, v pracovní době Provozovatele a způsobem, který nepřiměřeně nenaruší provoz Provozovatele a neohrozí ochranu osobních údajů a obchodní tajemství Provozovatele či třetích osob.
• Osoby provádějící audit jsou povinny zachovávat mlčenlivost o skutečnostech, s nimiž se při auditu seznámí, a Provozovatel je oprávněn po nich vyžadovat odpovídající závazek mlčenlivosti.
• Povinnost Provozovatele dle tohoto článku lze v přiměřeném rozsahu naplnit též předložením relevantní dokumentace, popisů přijatých opatření nebo platných certifikací a auditních zpráv (včetně zpráv týkajících se využívaných dalších zpracovatelů).

Provozovatel neprodleně informuje Uživatele, pokud má za to, že určitý pokyn v rámci auditu porušuje GDPR nebo jiné předpisy Evropské unie nebo členského státu týkající se ochrany osobních údajů.

11. Předání osobních údajů do třetích zemí

Provozovatel je oprávněn předávat osobní údaje kandidátů do třetích zemí mimo Evropský hospodářský prostor pouze v rozsahu nezbytném pro poskytování Služby a v souladu s pokyny Uživatele a kapitolou V GDPR. Další zpracovatel Google LLC sídlí ve Spojených státech amerických nebo může údaje zpracovávat na serverech umístěných mimo Evropský hospodářský prostor.

Takové předání je zajištěno vhodnými zárukami, zejména:

• standardními smluvními doložkami (Standard Contractual Clauses) přijatými Evropskou komisí jako vhodné záruky dle čl. 46 GDPR, nebo
• mechanismem EU–USA Data Privacy Framework (DPF), který je rozhodnutím Evropské komise o odpovídající úrovni ochrany dle čl. 45 GDPR (nikoli zárukou dle čl. 46 GDPR), je-li příjemce v rámci DPF certifikován.

Akceptací této Smlouvy Uživatel jako správce uděluje Provozovateli pokyn k uskutečnění předání do třetích zemí v rozsahu nezbytném pro poskytování Služby a za výše uvedených záruk. Kopii uplatňovaných vhodných záruk, resp. informaci o použitém mechanismu předání, si Uživatel může vyžádat na adrese info@a1gen.ai. Za posouzení přípustnosti předání do třetích zemí ve vztahu k vlastnímu zpracování odpovídá Uživatel jako správce; Provozovatel odpovídá za to, že jím zajištěné předání je podloženo některým z uvedených mechanismů.

12. Odpovědnost, sankce, odškodnění a rozdělení odpovědnosti za automatizované rozhodování a informační povinnost

Každá ze smluvních stran odpovídá za splnění svých povinností vyplývajících z GDPR a z této Smlouvy. Odpovědnost správce a zpracovatele za škodu způsobenou zpracováním se řídí čl. 82 GDPR; možnost uložení správních pokut dozorovým úřadem se řídí čl. 83 GDPR a souvisejícími předpisy. Každá strana nese odpovědnost za pokuty a sankce uložené jí dozorovým úřadem v důsledku porušení jejích vlastních povinností.

Provozovatel jako zpracovatel sám NEČINÍ automatizované rozhodnutí s právními nebo obdobně významnými účinky vůči kandidátům ve smyslu čl. 22 GDPR. Aplikace poskytuje pouze podpůrné skóre a žebříček; konečné rozhodnutí o kandidátech činí Uživatel jako správce na základě vlastního posouzení s podstatným lidským zapojením. Za zajištění smysluplného lidského zásahu, za posouzení, zda v konkrétním náborovém procesu dochází k rozhodování dle čl. 22 GDPR, a za soulad konečného rozhodnutí s čl. 22 GDPR odpovídá výlučně Uživatel jako správce.

Informační povinnost vůči kandidátům podle čl. 13 a 14 GDPR, jakož i zajištění a doložení platného právního základu pro zpracování jejich osobních údajů, nese Uživatel jako správce. Provozovatel není primárním informačním subjektem ve vztahu ke kandidátům.

Uživatel se zavazuje odškodnit Provozovatele a poskytnout mu náhradu za veškerou újmu, sankce, pokuty a účelně vynaložené náklady, které Provozovateli vzniknou v důsledku porušení povinností Uživatele jako správce, zejména v důsledku zpracování bez platného právního základu, nesplnění informační povinnosti vůči kandidátům, nezákonných pokynů nebo nahrání obsahu v rozporu s právními předpisy; tento závazek se uplatní vůči Uživateli, který je podnikatelem, a vůči Uživateli, který je spotřebitelem, pouze v rozsahu jeho zákonné odpovědnosti za škodu. Tím nejsou dotčena práva subjektů údajů dle čl. 82 GDPR vůči kterékoli ze stran.

13. Doba a ukončení ujednání, závěrečná ustanovení, rozhodné právo a kontakt

Tato Smlouva o zpracování se uzavírá na dobu trvání Hlavní smlouvy o poskytování Služby A1Hire a po dobu, po kterou Provozovatel zpracovává pro Uživatele osobní údaje kandidátů. Tato Smlouva zaniká okamžikem ukončení Hlavní smlouvy a splněním povinností týkajících se naložení s osobními údaji podle čl. 9 této Smlouvy. Ustanovení, která mají vzhledem ke své povaze trvat i po zániku této Smlouvy (zejména povinnost mlčenlivosti a ustanovení o odpovědnosti), zůstávají v účinnosti i po jejím zániku.

Provozovatel je oprávněn tuto Smlouvu jednostranně měnit pouze v přiměřeném rozsahu, a to zejména v reakci na změny právních předpisů, rozhodovací praxi dozorových úřadů, technický a provozní vývoj Služby nebo změnu dalších zpracovatelů. Jednostrannou změnou nesmí v žádném případě dojít ke snížení úrovně ochrany osobních údajů a záruk poskytovaných Uživateli jako správci pod minimum stanovené GDPR, zejména čl. 28 GDPR; změna, která by takový účinek měla, je vůči Uživateli neúčinná. O změně Provozovatel Uživatele vhodným způsobem informuje (zejména prostřednictvím Aplikace nebo na kontaktní e-mailovou adresu Uživatele) s přiměřeným předstihem. Jde-li o změnu čistě technické, provozní nebo legislativně vynucené povahy, která nemá dopad do práv Uživatele, považuje se za odsouhlasenou pokračováním Uživatele v užívání Služby po nabytí účinnosti změny. Jde-li naopak o podstatnou změnu obsahu této Smlouvy, je Uživatel oprávněn ji ve lhůtě oznámené Provozovatelem odmítnout; odmítne-li ji, je každá ze stran oprávněna z tohoto důvodu Hlavní smlouvu bez sankce ukončit postupem podle smluvních podmínek, přičemž do té doby se na zpracování použije dosavadní znění této Smlouvy.

• Je-li nebo stane-li se některé ustanovení této Smlouvy neplatným, neúčinným nebo nevymahatelným, nemá to vliv na platnost, účinnost a vymahatelnost ostatních ustanovení; strany takové ustanovení nahradí ustanovením, jehož smysl se mu co nejvíce přibližuje.
• V případě rozporu mezi touto Smlouvou a ostatními smluvními podmínkami Služby mají v otázkách zpracování osobních údajů kandidátů přednost ujednání této Smlouvy.
• Veškerá komunikace mezi stranami podle této Smlouvy probíhá zpravidla elektronicky, prostřednictvím Aplikace nebo na kontaktní e-mailové adresy stran.
• Provozovatel nejmenoval pověřence pro ochranu osobních údajů; ve věcech této Smlouvy a zpracování osobních údajů lze Provozovatele kontaktovat na adrese info@a1gen.ai.

Tato Smlouva a právní vztahy z ní vyplývající se řídí právním řádem České republiky, zejména GDPR (nařízení Evropského parlamentu a Rady (EU) 2016/679), zákonem č. 110/2019 Sb., o zpracování osobních údajů, a zákonem č. 89/2012 Sb., občanský zákoník. Dozorovým úřadem v oblasti ochrany osobních údajů je Úřad pro ochranu osobních údajů (ÚOOÚ), se sídlem Pplk. Sochora 27, 170 00 Praha 7, webové stránky www.uoou.cz.

Tato Smlouva o zpracování osobních údajů se uzavírá akceptací při registraci uživatelského účtu (jako klikací smlouva) a tvoří nedílnou součást smluvních podmínek služby A1Hire. Aktuální znění je Uživateli trvale dostupné v rámci Služby a na vyžádání na adrese info@a1gen.ai. Toto znění nabývá účinnosti dne 9. června 2026.