Informace o zpracování osobních údajů mobilní aplikací SZIF GTFoto

Státní zemědělský intervenční fond (dále jen SZIF nebo my) je státní organizací, a proto klade vysoký důraz na ochranu soukromí svých klientů a partnerů. S vašimi osobními údaji nakládá v souladu se všemi povinnostmi, které vyplývají z platných právních předpisů.

V oblasti zpracování osobních údajů jsou to především:

• Obecné nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volném pohybu těchto údajů (GDPR) a
• Zákon č. 110/2019 Sb., o zpracování osobních údajů (ZOOÚ).

Účelem tohoto dokumentu je poskytnout vám informace o tom:

• kdo je správcem osobních údajů zpracovávaných mobilní aplikací SZIF GTFoto,
• jaké údaje o vás zpracováváme a proč,
• jak údaje zpracováváme a jak je chráníme,
• jak dlouho je uchováváme,
• komu údaje můžeme předat nebo kdo k nim může mít v rámci zpracování přístup,
• jaká jsou vaše práva v souvislosti se zpracováním vašich osobních údajů,
• jak můžete tato práva uplatnit.

Údaje v tomto dokumentu uvedené se týkají pouze zpracování osobních údajů v souvislosti s používáním mobilní aplikace SZIF GTFoto. Obecné informace o zpracování osobních údajů prováděném SZIF naleznete na našem webu szif.gov.cz.

Správcem osobních údajů je:

Kontakt na pověřence pro ochranu osobních údajů:

Pověřencem pro ochranu osobních údajů je:

Mgr. Filip Sova, LL.M.
Adresa: Ve Smečkách 33, Praha 1, 110 00
E-mail: poverenec@szif.gov.cz

Role mobilní aplikace

Mobilní aplikace vytváří komunikační kanál připojený k informačnímu systému SZIF. Použití toho kanálu není pro žadatele nebo osoby za žadatele jednající povinné.

Použití aplikace zaměstnanci SZIF je upraveno interními předpisy SZIF.

Jaké údaje zpracováváme a proč?

Zákonnou povinností SZIF je ověřovat splnění podmínek pro výplatu dotací žadateli. SZIF vytvořil mobilní aplikaci SZIF GTFoto, která primárně slouží ke zdokumentování skutečného stavu plnění dotačních podmínek v terénu a předání těchto informací do centrálního informačního systému SAIF. Za tímto účelem umožňuje mobilní aplikace SZIF GTFoto pořídit geotagované fotografie a zpracovává kromě vlastní fotografie i následující údaje:

• Zeměpisné souřadnice pořízené fotografie, datum a čas jejího pořízení, směr pořízení (azimut), náklon mobilního zařízení vůči horizontální rovině země, informaci o počtu satelitů využitých pro výpočet polohy nebo o BTS stanici spolu s informací o síti dostupné v daném místě a použité pro zpřesnění určení polohy, sílu signálu, nadmořskou výšku. K pořízené fotografii může uživatel připojit poznámku, která je s fotografií uložena.
• Každá fotografie má svůj unikátní identifikátor a je s ní ukládán i identifikátor mobilní aplikace, kterou byla pořízena.
• Aby byla zajištěna vazba mezi podmínkou z Jednotné žádosti, jejíž splnění/nesplnění má být fotografií prokázáno, je v metadatech fotografie ukládán odkaz na DPB evidovaný v LPIS.
• S fotografií se ukládají i některé údaje o výbavě mobilního zařízení, kterým byla fotografie pořízena. Tyto údaje, jsou nutné pro správné zpracování pořízených fotografií. Jedná se o tyto údaje:
  • informace o vybavení senzory, které umožní měřit úhly natáčení/náklonu kamery mobilního zařízení,
  • vybavení gyroskopem,
  • akcelerometrem nebo magnetometrem.
• Pro zajištění správné funkce mobilní aplikace zpracováváme údaje, které umožňují řešit přizpůsobení mobilní aplikace vlastnostem jednotlivých mobilních zařízení. Do této skupiny údajů patří informace o:
  • výrobci mobilního zařízení a jeho modelu,
  • rozměrech obrazovky,
  • operačním systému mobilního zařízení a jeho verzi.
• Abychom mohli fotografii využít jako důkaz, je nutné evidovat i to, kdo ji pořídil nebo to, k jakému žadateli je daná mobilní aplikace registrována.
  • Je-li fotografie vytvořena zaměstnancem SZIF, evidujeme s fotografií identifikátor zaměstnance, díky kterému můžeme v následném zpracování propojit fotografii s osobními údaji zaměstnance SZIF (potřebujeme vědět, kdo kontrolu provedl).
  • V případě, že fotografie pořizuje žadatel, pak evidujeme jeho Jednotný identifikátor (JI), který označuje žadatele (buď právnickou osobu, nebo fyzickou osobu). Nepotřebujeme znát fyzickou osobu, která danou fotografii pořídila, ale musíme vědět, že fotografie byla pořízena zařízením, které je registrováno ke konkrétnímu uživateli. Registraci může provést jen takový uživatel, který je k takové operaci v rámci organizace žadatele zmocněn.
  • S fotografií je evidován i identifikátor mobilní aplikace, kterou byla fotografie pořízena.
• Tyto identifikátory používáme i při práci s úkoly pro evidenci toho, komu náleží daná mobilní aplikace, případně za jaký subjekt uživatel aplikace právě jedná, má-li daný uživatel oprávnění jednat za více subjektů. Subjekt, za který uživatel jedná, volí uživatel v aplikaci ze seznamu těch subjektů, k nimž má danou mobilní aplikaci zaregistrovanou. Mobilní zařízení, na kterém je aplikaci provozována, můžete při registraci pojmenovat libovolně, nemusíte udávat jméno jeho vlastníka.
• Ke každému mobilnímu zařízení evidujeme ještě identifikátor, který slouží k identifikaci mobilního zařízení pro zasílání notifikací.
• Vaši polohu zpracováváme i při navigaci na požadovaný bod focení. Při tomto zpracovávání informaci o poloze neuchováváme, polohu zpracováváme jen v době, kdy je tato funkce aktivní. Pro navigaci je toto zpracování nezbytné. Trasu, po které jste se při přesunu na požadovaný bod focení pohybovali, neuchováváme.
• Mobilní aplikaci je možno použít i k vyfocení dokladu, který může obsahovat osobní údaje.
• Pro zajištění nepopiratelnosti prováděných úkolů zpracováváme datum a čas vámi prováděných úkonů, evidujeme, jaký úkon jste prováděli a identifikátor uživatele.
• Pro zajištění bezpečné komunikace mezi mobilní aplikací a serverovou aplikací, která na ni navazuje, a ke splnění zákonných podmínek stanovených Vyhláškou o kybernetické bezpečnosti, zpracováváme navíc i IP adresu komunikujícího zařízení, datum a čas relace, volané URL, stavový kód odpovědi. Tyto údaje jsou ukládány v logu, který jsme na základě Vyhlášky o kybernetické bezpečnosti povinni uchovávat 18 měsíců.

Právní důvody zpracování vašich osobních údajů

Právním důvodem pro zpracování osobních údajů mobilní aplikací uvedených výše je plnění smlouvy, kterou jste s námi přijetím licenční smlouvy uzavřeli. Instalací a používáním mobilní aplikace jste se rozhodli se SZIF komunikovat prostřednictvím této mobilní aplikace.

Na zpracování geotagovaných fotografií, úkolů/žádostí o spolupráci a jejich metadat v rámci kontrolních procesů SZIF se vztahují i legislativní předpisy uvedené níže a podmínky dalšího zpracování vašich osobních údajů v rámci procesů administrace dotací a plateb, které jsou uvedeny na stránkách szif.gov.cz.

Údaje, jejichž zpracování je uvedeno pod body k) a l) zpracováváme též k plnění právní povinnosti uložené nám Vyhláškou o kybernetické bezpečnosti. Jsme povinni vaše údaje chránit a uchovávat údaje, které nám umožní v případě, že nastane jakýkoli bezpečnostní incident, analyzovat jeho příčiny a důsledky.

O jaké zákony se při plnění našich zákonných povinností jedná?

• Zákon o Státním zemědělském intervenčním fondu č. 256/2000 Sb., ve znění pozdějších předpisů
• Zákon č. 252/1997 Sb., o zemědělství, ve znění pozdějších předpisů
• Nařízení Evropského parlamentu a Rady (EU) č. 1306/2013 ze dne 17. prosince 2013 o financování, řízení a sledování společné zemědělské politiky a z dalších souvisejících nařízení pro realizaci Společné zemědělské politiky Evropské unie
• Zákon o kybernetické bezpečnosti č. 181/214 Sb. Ve znění pozdějších předpisů (ZoKB)
• Vyhláška o kybernetické bezpečnosti č. 82/2018 Sb. (VoKB)
• Zákon 110/2019 Sb., o zpracování osobních údajů
• Obecné nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volném pohybu těchto údajů (GDPR)

Jak dlouho data uchováváme?

Údaje zpracovávané v rámci kontrolního procesu proplácení dotací uchováváme po dobu 15 let od data vyplacení poslední dotace, která se vztahuje k podané Jednotné žádosti nebo jiné žádosti o dotaci. Tato doba může být prodloužena v případě, že bude veden mezi vámi a SZIF spor, a to na dobu do vypršení všech lhůt k odvolání proti rozhodnutí.

Data zpracovávaná a logovaná za účelem ochrany a zabezpečení systému uchováváme v souladu s VoKB po dobu 18 měsíců.

Lokalizační data použitá při navigaci na místo focení neuchováváme.

Potřebujeme pro zpracování vašich údajů váš souhlas?

Vzhledem k tomu, že výše uvedené údaje zpracováváme na základě plnění smlouvy a k plnění našich zákonných povinností, pro zpracování těchto údajů k výše uvedeným účelům váš souhlas nepotřebujeme.

Jak vaše údaje chráníme?

Naší snahou je plnit co nejlépe jak podmínky GDPR a ZOOÚ, tak podmínky stanovené ZoKB a VoKB.

Komunikace mobilní aplikace s centrální serverovou aplikací je šifrovaná protokolem https.

Snažíme se rozsah osobních údajů v mobilní aplikaci minimalizovat. Všude, kde je to možné a nemá to negativní dopad na funkce aplikace, preferujeme zpracování, kdy je uživatel označen pouze identifikátorem a v datech se jeho jméno a další jeho údaje nevyskytují.

Data jsou z mobilní aplikace odesílána na zabezpečené servery, kde jsou ukládána a dále zpracovávána.

Data ukládaná v našich systémech i v cloudových službách, které používáme, jsou zpracovávána na základě dodavatelských smluv a všichni poskytovatelé jsou smluvně zavázání plnit podmínky smluv o zpracování osobních údajů a bezpečnostní požadavky dle našich standardů, které jsou v souladu s VoKB. Naše systémy a procesy zajištění bezpečnosti splňují též požadavky normy ISO 27 001:2022.

Plnění podmínek ZoKB, VoKB i ISO 27 001 je pravidelně auditováno externím auditorem. Plnění podmínek ZoKB a VoKB je také kontrolováno Národním úřadem pro kybernetickou bezpečnost.

Komu můžeme vaše osobní údaje předat nebo kdo k nim může získat přístup?

K vašim datům mohou získat přístup:

• naši zaměstnanci, kteří se podílejí na administraci žádostí a kontrole a výplatě dotací,
• naši zaměstnanci, kteří se podílejí na provozu našich IT systémů a rozvoji aplikací,
• poskytovatelé, kteří se podílejí na základě uzavřených smluv na provozu a rozvoji našich IT systémů,
• pracovníci auditních a dozorujících orgánů Ministerstva zemědělství ČR, Ministerstva financí ČR, Evropské komise nebo pracovníci Národního kontrolního úřadu a další orgány a instituce ČR nebo EU, je-li tak stanoveno obecně závazným předpisem,
• u některých dotací pracovníci Úřadu pro kontrolu hospodářské soutěže,
• účastníci správních řízení organizace, na něž byly delegovány některé činnosti při realizaci Společné zemědělské politiky,
• subjekty soukromého práva, které jsou pověřeny výkonem určitého úkolu veřejné moci,
• Policie ČR, Celní správa ČR, finanční úřady, soudy v rámci poskytnutí součinnosti a informací od povinného subjektu.

Žádné mezinárodní organizaci vaše data nepředáváme.

Vaše osobní údaje neopouští Evropský hospodářský prostor. Jejich zpracování se děje pouze v prostoru, kde platí GDPR.

Automatizované zpracování a profilování

Zpracování vašich dat probíhá automatizovaně i manuálně.

• Automatizovaným individuálním rozhodováním je takové zpracování údajů, které má pro vás podstatné důsledky a na kterém se přímo nepodílí žádní lidé.
• Profilování znamená automatizované zpracování údajů za účelem zhodnocení určitých osobních aspektů člověka (pracovní výkony, ekonomická situace, zdraví, chování, preference nebo sledování polohy).

Automatizované rozhodování je součástí našich kontrolních procesů, ale v případech, kdy by mělo dojít k nepříznivým dopadům na vás nebo vaši společnost (např. udělení pokuty nebo nevyplacení dotace), je kontrolní proces nastaven tak, aby finální rozhodnutí udělal člověk. Automatizované zpracování nám umožňuje zajistit přesnější a efektivnější kontrolní procesy a zajišťuje aplikaci kontrolních pravidel stejným způsoben na všechny kontrolované subjekty.

Díky mobilní aplikaci a službám Portálu AMS se i vy stáváte účastníkem kontrolního procesu, jste průběžně informování o stavu vyřizování vaší žádosti a můžete jeho výsledek aktivně ovlivnit poskytováním informací a důkazů, k čemuž slouží i tato mobilní aplikace. Vždy máte možnost uplatnit své právo, aby o vašem případu rozhodl člověk.

Zpracování údajů k marketingovým účelům

Data zpracovávaná mobilní aplikací nejsou zpracovávána k marketingovým účelům.

Jak můžete svá práva uplatnit?

K uplatnění svých práv můžete využít všechny SZIFem publikované komunikační kanály, tj. můžete ke komunikaci použít výše uvedený e-mail, infolinku, datovou schránku, nebo můžete využít i návštěvy naší kanceláře.

Nebude-li váš podnět uspokojivě vyřešen správcem (SZIF), můžete se obrátit na Úřad pro ochranu osobních údajů (kontakt viz výše) nebo na soud.