ZÁVAZNÁ PODNIKOVÁ PRAVIDLA PRO EU SPOLEČNOSTI AMERICAN EXPRESS (EU BCR)

Return to top

Naše pravidla BCR jsou ze zákona závazná pro subjekty podléhají pravidlům BCR American Express a jejich zaměstnance prostřednictvím dohody mezi společnostmi mezi American Express Company a American Express Europe, S.A. (AEESA), právním zástupcem společnosti American Express v EHP. 

Každý subjekt podléhající pravidlům BCR American Express  a jeho zaměstnanci může zpracovávat osobní údaje pouze v souladu s pravidly BCR. Zaměstnanci, kteří pravidla BCR poruší, mohou být disciplinárně stíháni. 

Return to top

3.1. Zeměpisný rozsah

Naše pravidla BCR platí pro veškeré zpracování osobních údajů v souladu s platnými zákony o ochraně osobních údajů. Znamená to osobní údaje  subjektů údajů, které jsou nebo byly zpracovány v souvislosti s činností subjektu podléhajícího pravidlům BCR American Express  se sídlem v EHP, i když zpracování proběhne mimo subjekt podléhající pravidlům BCR American Express mimo EHP. 

3.2. Věcný rozsah

Jako správce údajů společnost American Express zpracovává osobní údaje bývalých, současných i budoucích zaměstnanců, ředitelů, dodavatelů, individuálních konzultantů, kontingentních pracovníků, zaměstnaných společností American Express, ať už na plný úvazek, na částečný úvazek, na dobu neurčitou nebo dočasně, stejně jako důchodců (dále jen „zaměstnanci“) a osobní údaje bývalých, současných i potenciálních spotřebitelů společnosti American Express a fyzických osob pracujících u korporátních klientů, dodavatelů a partnerů společnosti American Express (dále jen „zákazníci“).

Účely, pro které společnost American Express zpracovává osobní údaje se týkají převážně spotřebitelů, komerčních a obchodních záležitostí, pojištění, cestování, schůzek, akcí, síťových služeb a lidských zdrojů.

Pro účinné vykonávání globálních činností společnosti American Express může zpracování osobních údajů subjekty podléhajícími BCR American Express ve spojení s účely identifikovanými v těchto BCR zahrnovat mezinárodní převody osobních údajů subjektů údajů ze subjektu podléhajícího BCR American Express v EHP do jiného subjektu podléhajícícho BCR American Express mimo EHP (včetně, ze zemí EHP do USA, kde se nachází hlavní servery společnosti American Express), a jakékoli další převody takto obdržených osobních údajů třetí straně mimo skupinu American Express. 

Podrobnější přehled činností zpracování společnosti American Express naleznete v Příloze 1. Kde se naše subjekty podléhající BCR American Express nachází, zjistíte v Příloze 2.

Return to top

Při zpracování vašich osobních údajů se subjekty podléhající BCR American Express zavazují k dodržování přísných zásad ochrany údajů (část 4.1) a dodržování vašich práv na ochranu osobních údajů (část 4.2).  

4.1. Principy ochrany osobních údajůr

4.1.1. Transparentnost a spravedlnost

Subjekty BCR American Express budou shromažďovat a zpracovávat vaše osobní údaje transparentně a spravedlivě. 

Zajišťujeme, aby vám byl poskytnut snadný přístup k informacím o našich činnostech zpracování, jak to vyžaduje globální nařízení o ochraně osobních údajů (GDPR). Tyto informace vám jsou poskytovány ve stručném, transparentním, srozumitelném a snadno přístupném formátu s použitím jednoduchého a srozumitelného jazyka,  jsou k dispozici v příslušných prohlášeních o ochraně osobních údajů společnosti American Express, které se vztahují na váš vztah s námi. Tato upozornění a tyto podmínky mohou obsahovat další ustanovení, která jsou relevantní pro zpracování osobních údajů, v souladu s platnými státními zákony a předpisy. 

Zejména, pokud jsou osobní údaje získávány od subjektu údajů, v okamžiku získání osobních údajů budou poskytnuty následující informace: 

- totožnost a kontaktní údaje správce osobních údajů a v příslušných případech, jeho zástupce;

- kontaktní údaje pověřence pro ochranu osobních údajů; 

- účel zpracování osobních údajů a právní základ pro zpracování; 

- příjemce nebo kategorie příjemců osobních údajů, kde existují; 

- existenci převodů osobních údajů do zemí bez odpovídající úrovně ochrany a přijatých vhodných záruk k zajištění stejné úrovně ochrany, jaká vyžaduje GDPR; 

- dobu, po kterou budou osobní údaje uloženy, nebo, pokud to není možné, kritéria používaná k určení této doby; a informace o právech subjektů dat podle GDPR.

Když osobní údaje nejsou získány od subjektu údajů, předchozí informaci i kategorie příslušných osobních údajů a zdroje, ze kterého osobní údaje pochází budou včas sděleny (kromě případů, kdy subjekt údajů již informace má, poskytnutí těchto informací se ukáže jako nemožné nebo by vyžadovalo nepřiměřené úsilí, jejich získání nebo zpřístupnění je výslovně stanoveno zákony Unie nebo členského státu, nebo kde osobní údaje musí  zůstat utajené kvůli povinnosti profesního tajemství upraveného právem Unie nebo členského státu, včetně zákonné povinnosti mlčenlivosti).

Naše BCR vás také informují o právech, které vy máte k vymáhání vůči AEESA nebo jakémukoli subjektu BCR American Express z pozice jiného příjemce ve spojení se zpracováním vašich osobních údajů podle těchto BCR  (dále jen „práva jiných příjemců“) a na prostředky k výkonu těchto práv (viz část 8). Tato pravidla BCR vám navíc poskytnou informace o principech ochrany osobních údajů, které my uplatňujeme při zpracování vašich osobních údajů (v souladu s vysvětlením v této části 4) a informace o odpovědnosti subjektů BCR American Express v případě porušení těchto pravidel BCR viz část 8).

Máte navíc právo vyžádat si kopii našich pravidel BCR. Veřejná verze bude k dispozici na veřejných stránkách subjektů podléhající BCR American Express napříč EHP a na našem intranetu, jestliže jste zaměstnanec.

4.1.2. Zákonnost zpracování

Vaše osobní údaje a zvláštní kategorie údajů jsou získávány a zpracovány spravedlivě a legálně v souladu s platnými zákony o ochraně osobních údajů. Právní základy pro zpracování vašich osobních údajů jsou popsány v příslušném prohlášení společnosti American Express o ochraně osobních údajů, které platí pro váš vztah se společností American Express.

• Zpracování osobních údajůa

Vaše osobní údaje jsou získávány a zpracovány pouze tam, kde existuje právní základ pro zpracování: 

- když jste udělili výslovný souhlas (například, aby vám byly zaslány komunikace obsahující inzeráty a akční nabídky produktů a služeb společnosti American Express); 

- když je zpracování nutné k výkonu smluvní povinnosti, jejíž jste vy stranou, nebo za účelem provedení kroků na vaši žádost před uzavřením smlouvy (například za účelem správy našeho smluvního vztahu s  vámi zpracováním vaší žádosti o kartu, účet nebo jiný produkt nebo ke správě vašich stávajících účtů); 

- pokud je zpracování nezbytné pro splnění zákonné povinnosti (například hlásit určité podezřelé transakce příslušným orgánům podle pravidel proti praní peněz nebo podle zákona k provedení náležité péče u zákazníků před schválením jejich žádostí); nebo

- pokud je zpracování nutné pro účely legitimních zájmů subjektů podléhajících BCR American Express nebo třetích stran (například k poskytování produktů a služeb, inzerci a prodeji produktů a služeb, provádění výzkumu a analýz a naší správě rizik podvodů a bezpečnostních rizik), s výjimkou případů, kdy tyto zájmy převažují nad vašimi zájmy nebo základními právy a svobodami. 

•  Zpracování zvláštních kategorií údajů

Můžeme shromažďovat speciální kategorie údajů včetně údajů týkajících se zdraví, biometrických údajů, sexuální orientace nebo rasového/etnického původu. Tyto údaje jsou shromažďovány a zpracovávány za účelem splnění zákonných požadavků, pro účely nezbytné pro správu pracovního vztahu nebo tam, kde je udělen výslovný souhlas, a pouze v případech, že to povolují příslušné zákony. 

Někdy nám můžete poskytnout typ dat, která zlepšují vaši cestu s námi (například, když nás informujete o speciálních dietních požadavcích nebo potřebě speciální pomoci během letu).

Někdy nám můžete poskytnout typ dat, která zlepšují vaši cestu s námi (například, když nás informujete o speciálních dietních požadavcích nebo potřebě speciální pomoci během letu).V omezeném rozsahu, ve kterém jsou shromažďovány speciální kategorie údajů, budou tyto zpracovány pouze na základě výše uvedeného zákonného základu a za předpokladu, že je splněna jedna z podmínek pro zpracování speciálních kategorií údajů, jako je tomu například, když:

- udělili jste výslovný souhlas se zpracováním;

- zpracování je nezbytné pro účely plnění povinností a zvláštních práv společnosti American Express v oblasti pracovního práva, práva sociálního zabezpečení a sociální ochrany;

- zpracování se týká speciálních kategorií údajů, které jste zjevně zveřejnili;

- zpracování je nutné pro stanovení, využití či obranu právních nároků;

- zpracování je nezbytné z důvodu podstatného veřejného zájmu na základě práva Unie nebo členského státu. 

Subjekty podléhající BCR American Express navíc přijmou posílená opatření pro zpracování speciálních kategorií údajů, jak si to vyžadují platné zákony o ochraně osobních údajů.

4.1.3. Minimalizace a správnost údajů a omezení ukládání

Subjekty podléhající BCR American Express používají vhodné technologie a ověřené postupy pro zaměstnance k rychlému a správnému zpracování vašich osobních údajů. 

Podnikáme přiměřené kroky k zajištění toho, že vaše osobní údaje jsou: 

- správné a aktualizované s ohledem na účel zpracování (správnost údajů). Nesprávné osobní údaje jsou neprodleně vymazány nebo opraveny; 

- Jsou shromažďovány a zpracovávány osobní údaje, které jsou adekvátní, relevantní a přiměřené pro daný účel (minimalizace údajů); 

- Nejsou udržovány ve formátu, který umožňuje identifikacidéle, než k účelu, pro který byly osobní údaje zpracovány, a po delší dobu se uchovávají pouze pro účely archivace, nebo jak je jinak povoleno nebo vyžadováno, aby byly uchovávány v souladu s platnými zákony pouze tehdy, jsou-li přijata vhodná správní, technická a organizační opatření.

4.1.4. Omezení účelu

Subjekty podléhající BCR American Express shromažďují osobní údaje pouze pro specifické a legitimní účely. My zpracováváme vaše osobní údaje spravedlivě a pouze pro účely, které jsme vám sdělili, pro vámi povolené účely nebo pro účely platných zákonů o ochraně osobních údajů. Zajistíme, že vaše osobní údaje nejsou dále zpracovávány způsobem, který není v souladu s těmito účely.

4.1.5. Zabezpečení a důvěrnost údajů

Společnost American Express implementovala a zavazuje se dodržovat komplexní program zabezpečení písemných informací, který je v souladu s příslušnými zákony a příslušnými zákony o ochraně osobních údajů.

Subjekty podléhající BCR American Express implementují vhodná administrativní, technická a organizační opatření k ochraně vašich osobních údajů před náhodným nebo nezákonným zničením, ztrátou, změnou, neoprávněným zveřejněním nebo přístupem k přeneseným, uloženým nebo jinak zpracovaným  osobním údajům. Vaše osobní údaje budeme udržovat utajené a omezíme přístup k vašim osobním údajům na ty, kdo je konkrétně potřebují k vykonávání obchodních činností, kromě případů, kdy si to od nás jinak vyžadují příslušné zákony.

Taková opatření zajišťují úroveň zabezpečení přiměřenou riziku a berou v úvahu současný stav techniky, náklady na implementaci a povahu, rozsah, kontext a účely zpracování, jakož i riziko různé pravděpodobnosti a závažnosti práv a svobod subjektů údajů, a mohou zahrnovat:

- pseudonymizace a šifrování osobních údajů subjektů údajů; 

- opatření k zajištění pokračujícího utajení, integrity, dostupnosti a odolnosti zpracovatelských systémů a služeb;

- opatření k zajištění schopnosti obnovy dostupnosti a včasného přístupu k  osobním údajům subjektů údajů v případě fyzické nebo technické nehody; a

- procesu pro pravidelné testování, hodnocení a vyhodnocování účinnosti technických a organizačních opatření pro zajištění bezpečnosti zpracování.

Rovněž požadujeme příslušná administrativní, technická a organizační opatření od těch třetích stran, které jsou námi oprávněny zpracovávat vaše osobním údaje naším jménem, a uzavíráme smluvní závazky s interními a externími zpracovateli údajů, které splňují bezpečnostní opatření požadovaná GDPR. 

Zejména zpracování zpracovatelem údajů se bude řídit smlouvou, která je závazná pro zpracovatele údajů s ohledem na správce údajů a která stanoví předmět a dobu zpracování, povahu a účel zpracování, typ osobních údajů a kategorie subjektů údajů a práva a povinnosti správce údajů. 

Následující povinnosti musí být součástí smlouvy, která musí vyžadovat, aby zpracovatel údajů: 

- Zpracovával osobní údaje pouze na dokumentovaný pokyn správce údajů nebo zajistil, že osoby pověřené zpracováním osobních údajů se zavázaly k mlčenlivosti nebo podléhají příslušným zákonným povinnostem mlčenlivosti;

- podnikl veškerá vhodná technická a organizační opatření nezbytná k zajištění přijatelné úrovně zabezpečení;

- neuzavřel smlouvu s jiným zpracovatelem údajů (dále jen „dílčí zpracovatel“) bez předchozího konkrétního nebo obecného pověření správce údajů a pouze za předpokladu, že stejné povinnosti, jako jsou uvedeny ve smlouvě mezi správcem údajů a zpracovatelem údajů platí i pro příslušného dílčího zpracovatele;

- pomáhal správci údajů s příslušnými technickými a organizačními opatřeními, kdykoli je to možné, pro plnění povinnosti správce údajů odpovídat na otázky subjektu údajů využívajícího jeho práva;

- pomáhal správci údajů s plněním povinností týkajících se zabezpečení zpracování, porušení ochrany osobních údajů a vyhodnocení dopadu ochrany osobních údajů;

- podle rozhodnutí správce údajů vymazal nebo vrátil všechny osobní údaje správci údajů na konci poskytování služeb spojených se zpracováním, a vymazal stávající kopie kromě případů, kdy si platné zákony vyžadují uložení osobních údajů;

- zpřístupnil správci údajů všechny informace nezbytné pro prokázání souladu s povinnostmi stanovenými v článku 28 GDPR, týkající se zpracovatelů údajů, a umožnil a přispíval k auditům, včetně inspekcí prováděných správcem údajů nebo jiným auditorem pověřeným správcem údajů. 

Subjekty podléhající BCR American Express navíc zavedly administrativní, technická a organizační opatření ke zjišťování, vyšetřování, eskalaci a nápravě porušení ochrany osobních údajů. Pověřenec pro ochranu osobních údajů ve společnosti American Express je neprodleně informován o porušení ochrany osobních údajů  subjekty podléhajícími BCR American Express a rozhodne, zda informovat příslušný dozorčí orgán a subjekty údajů v souladu s požadavky GDPR. Jakákoli porušení ochrany osobních údajů jsou zaznamenána (včetně informací vztahujících se k porušení ochrany osobních údajů, jeho následků a podniknutých nápravných kroků), dokumentace je pak na vyžádání k dispozici  dozorčímu orgánu.

4.1.6. Další převody

Vaše osobní údaje jsou převáděny subjekty podléhajícími BCR American Express a dále třetím stranám, vždy se zajištěním dostatečné úrovně ochrany zpracování vašich dat v souladu s platnými zákony o ochraně osobních údajů, bez ohledu na to, kam jsou převedeny.

Tento tok údajů je legitimní díky našim pravidlům BCR, která nám umožňují převádět osobní údaje z EHP do subjektů podléhajících BCR American Express mimo EHP. 

Ve všech případech dalších převodů (tedy osobní údaje, které byly zprvu převedeny z EHP subjektu podléhajícímu BCR American Express subjektu podléhajícímu BCR American Express mimo EHP a později třetí straně, která nepodléhá BCR), subjekty podléhající BCR American Express zajistí, že uzavřou písemnou dohodu s těmito třetími stranami obsahující ustanovení, která zajistí, že osobní údaje jsou chráněny alespoň v takovém rozsahu a zabezpečení, jako jsou požadovány v BCR, nebo jiným platným zákonným způsobem k zajištění toho, že převod je zákonný a poskytuje dostatečné záruky podle článku 46 nařízení GDPR. 

4.1.7. Zodpovědnost

Všechny subjekty podléhající BCR American Express jsou zodpovědné za tato pravidla BCR a musí prokázat jejich dodržování. Dodržování těchto požadavků zahrnuje: 

- udržování elektronických záznamů činností zpracování, které jsou na vyžádání k dispozici dozorčímu orgánu a které obsahují informace požadované GDPR, jako jsou jméno  a kontaktní údaje správce údajů, účel zpracování, kategorie subjektů údajů a kategorie osobních údajů, příjemce osobních údajů, převody do zemí mimo EHP, dobu pro vymazání kategorií osobních údajů a popis použitých bezpečnostních opatření);

- provedení vyhodnocení dopadu ochrany osobních údajů (platí pouze tehdy, když je pravděpodobné, že zpracování povede k vysokému riziku vůči právům a svobodám subjektů údajů); a 

- konzultaci s příslušnými dozorčími orgány, když se to vyžaduje.

Subjekty podléhající BCR American Express navíc zavedly vhodná administrativní, technická a organizační opatření určená k provádění zásad ochrany údajů a usnadnění dodržování požadavků stanovených těmito BCR (ochrana údajů jako záměr a norma).

4.2. Práva subjektů údajů

• Právo na přístup, omezení, námitky, opravy, vymazání, právo na odvolání souhlasu a na přenositelnost údajů

Subjekty podléhající BCR American Express vyhoví vašim požadavkům na uplatnění práv, která máte z GDPR, je-li to relevantní. Konkrétně, zajistíme, abyste mohli využít vaše právo na: 

- přístup k vašim osobní údajům (právo na přístup);

- omezení nebo námitky vůči zpracování vašich osobních údajů (právo na omezení zpracování a právo námitky vůči zpracování); 

- opravu vašich osobních údajů (právo na opravu);

 - vymazání vašich osobních údajů (právo na vymazání); 

- odvolání dříve uděleného souhlasu ke zpracování, a

- obdržení vašich osobních údajů ve strukturovaném, běžně používaném a strojově čitelném formátu a/nebo převod takových údajů jinému správci údajů (právo na přenositelnost údajů). 

Subjekty podléhající BCR American Express podléhají zásadám týkajícím se vyřizování těchto žádostí, aby bylo zajištěno, že máte prostředky k výkonu těchto práv. Pokud chcete některá z těchto vašich práv využít, můžete kontaktovat pověřence pro ochranu osobních údajů na DPO-Europe@aexp.com.

• Automatické rozhodování

Subjekty podléhající BCR American Express zajišťují, že se na vás nevztahují rozhodnutí učiněná výhradně na základě automatického zpracování osobních údajů, včetně profilování, které mají právní nebo podobné významné účinky, kromě toho, kdy je zpracování: 

- nezbytné pro uzavření nebo plnění smlouvy mezi vámi a společností American Express; 

- povoleno zákonem, kterému podléhá společnost American Express a který rovněž stanoví vhodná opatření k ochraně vašich práv a svobod a oprávněných zájmů; nebo

- na základě vašeho výslovného souhlasu s takovým zpracováním. 

V souladu s platnými zákony zavedeme vhodná opatření k ochraně vašich práv a svobod a oprávněných zájmů, přinejmenším práva na lidský zásah, k vyjádření vašeho názoru a námitky.

V souladu s těmito omezeními můžeme používat automatické procesy, aby nám pomáhaly přijímat určitá rozhodnutí, například detekovat a reagovat na podvody (např. pomáhat rozhodovat, zda je váš účet používán pro účely podvodu nebo praní peněz, nebo ke zjištění, zda podvodníci získali přístup na váš účet); nebo zpracovávat žádosti o karty a hodnotit kreditní a bezpečnostní rizika. Tyto metody jsou pravidelně testovány, aby se zajistilo, že zůstávají spravedlivé, účinné a nezaujaté.

Můžete kontaktovat našeho pověřence pro ochranu osobních údajů na DPO-Europe@aexp.com a vyžádat kontrolu určitých automatických činností zpracování, které mohou mít dopad na vaše zákonná nebo jiná smluvní práva nebo mohou mít podobný právní účinek.

BACK TO TOP

Společnost jmenovala pověřence ochrany údajů, který sleduje dodržování BCR. Pověřenec ochrany osobních údajů má následující úkoly: 

- informuje a radí subjektům společnosti American Express a zaměstnancům společnosti American Express
o jejich povinnostech vyplývajících z platných zákonů a předpisů o ochraně osobních údajů; 

- sleduje dodržování platných zákonů a předpisů o ochraně osobních údajů prostřednictvím hodnocení hlavních ukazatelů rizik a opatření. Pověřenec pro ochranu osobních údajů podává zprávy o výsledcích těchto monitorovacích činností příslušnému internímu fóru vedení; 

- poskytuje rady v souvislosti s vyhodnocením dopadu ochrany osobních údajů a sleduje jejich výsledky; 

- spolupracuje s dozorčími orgány; a

- je kontaktem pro dozorčí orgány.

Pověřenec pro ochranu osobních údajů, který je jmenován na základě odborných kvalifikací, podléhá hlavnímu řediteli pro ochranu osobních údajů společnosti American Express. Pověřenec pro ochranu osobních údajů je jmenován evropskými subjekty společnosti American Express jako ředitel AEESA nebo American Express Payments Europe SA, respektive, primárních vydávacích a akvizičních subjektů v Evropě. 

Jmenování je sděleno dozorčím orgánům evropských zemí, kde společnost American Express funguje.

Pověřenec pro ochranu osobních údajů úzce spolupracuje se sítí specialistů na ochranu osobních údajů a právníků pro dodržování předpisů na každém evropském trhu, kteří sledují dodržování příslušných zákonů o ochraně osobních údajů v jejich regionu. Pověřenec pro ochranu osobních údajů je při plnění jeho úkolů podporován Globálním úřadem pro ochranu osobních údajů pod vedením vrchního úředníka pro ochranu osobních údajů společnosti American Express.

BACK TO TOP

Všechny subjekty podléhající BCR American Express poskytují vhodné školící materiály a kurzy všem zaměstnancům, a zvláště zaměstnancům, kteří shromažďují, zpracovávají, mají neustálý nebo pravidelný přístup k osobním údajům, nebo kteří se účastní vývoje nástrojů, které mají být používány ke zpracování osobních údajů, aby se zajistilo, že si jsou vědomi povinností vyplývajících z příslušných zákonů a předpisů o ochraně osobních údajů a těchto BCR. Tyto kurzy jsou povinné a sleduje se jejich dokončení.

BACK TO TOP

Společnost American Express zavedla program dodržování předpisů, který zajišťuje pravidelné kontroly dodržování předpisů a audity činností subjektů podléhajících BCR American Express (interními, nebo, kde je to třeba, externími auditory), aby bylo zajištěno, že všechna pravidla BCR a přidružené zásady a postupy jsou dodržovány a aktualizovány.  

Audity ochrany údajů pokrývají všechny aspekty BCR, včetně metod zajišťujících provedení nápravných opatření. 

Pověřenec pro ochranu osobních údajů může požadovat další audity ochrany údajů z vlastní iniciativy nebo na konkrétní žádost subjektu podléhajícího BCR American Express. Skupina interního auditu společnosti American Express, jako nezávislý kontrolní orgán, posoudí možnost těchto žádostí o audit podle svého rámce pro hodnocení rizik.

Výsledky těchto kontrol a auditů budou komunikovány globálnímu úřadu společnosti American Express pro ochranu údajů, pověřenci pro ochranu osobních údajů, příslušným dozorčím orgánům (na vyžádání) a budou k dispozici auditnímu výboru správní rady společnosti American Express. 

Pokud je zjištěna mezera v dodržování předpisů, příslušný subjekt podléhající BCR American Express musí dodržovat veškeré konkrétní pokyny od pověřence pro ochranu osobních údajů. Pokud nebude možno pokyny dodržovat, subjekt podléhající BCR American Express musí dokumentovat, proč je tomu tak. 

Společnost American Express bude také spolupracovat s kontrolami dodržování předpisů prováděnými jakýmkoli dozorčím orgánem s příslušnou pravomocí, ať už jsou tyto reakcí na stížnost subjektů údajů nebo vlastní iniciativou dozorčího orgánu 

BACK TO TOP

8.1. Odpovědnost subjektů podléhajících BCR American Express

Subjekty podléhající BCR American Express nesou odpovědnost za dodržování těchto BCR. Kromě individuálních odpovědností subjektů podléhajících BCR American Express bude AEESA přijímat odpovědnost za jakékoli porušení BCR subjektem podléhajícím BCR American Express mimo EHP, který zpracovává osobní údaje podle platných zákonů a předpisů na ochranu osobních údajů. AEESA je oprávněna přijmout jakékoli nutné kroky k nápravě činností nebo opomenutí jakéhokoli subjektu podléhajícího BCR American Express, který zpracovává osobní údaje v rozporu s BCR.

AEESA ponese zodpovědnost za kompenzaci jakýchkoli hmotných či nehmotných škod, ke kterým došlo subjektům údajů ve spojení s porušením BCR. Kompenzace musí být před poskytnutím nabídky nápravy či platby schválena pověřencem pro ochranu osobních údajů. Jakákoli kompenzace bude plnou náhradou nároku subjektu údajů vůči všem subjektům podléhajícím BCR American Express. Aby se předešlo jakýmkoli pochybnostem, odpovědnost AEESA se vztahuje na jednání nebo opomenutí jakéhokoli subjektu podléhajícího BCR American Express, který se nachází mimo EHP a poruší BCR.

Pokud subjekt podléhající BCR American Express (včetně subjektu mimo EHP) poruší BCR, příslušný evropský soud bude mít pravomoc ve věci takového porušení. Jestliže subjekt podléhající BCR American Express poruší BCR, subjekty údajů, dozorčí orgány a soudy v příslušných jurisdikcích mohou využít svá práva a vznést nárok vůči AEESA, jako kdyby tak jednala AEESA v EHP(další podrobnosti o podání stížnosti naleznete níže v části 9).

8.2. Práva příjemců z třetích stran 

Každý subjekt údajů může vůči AEESA nebo subjektům podléhajícím BCR American Express  vymáhat dodržování následujících ustanovení BCR jako třetí strana:

- principy ochrany osobních údajů (část 4.1);

- transparentnost a snadnost přístupu k BCR (část 1.2 a 4.1.1);

- Práva subjektů údajů (část 4.2);

- dodržování předpisů, vymahatelnost a zodpovědnost (část 8). 

- právo na podání stížnosti s využitím interního mechanismu pro stížnosti společnosti American Express (část 9);

- právo podat stížnost dozorčímu orgánu a u příslušného evropského soudu (část 9);

- spolupráce s dozorčím orgánem (část 10); a

- střet zájmů (část 11.1);

8.3. Důkazní břemeno

Břemeno prokázání, že subjekt podléhající BCR American Express se sídlem mimo EHP neodpovídá za žádné údajné porušení BCR, které vedou k nároku subjektu údajů, je s AEESA. Kde AEESA  může prokázat, že  subjekt podléhající BCR American Express mimo EHP není zodpovědný za událost, která vedla ke vzniku škody, AEESA a taková společnost se mohou zbavit odpovědnosti.

BACK TO TOP

Pokud chcete podat stížnost nebo uplatnit nárok a využívat vaše práva vztahující se k těmto BCR, doporučuje se vám kdykoli písemně kontaktovat pověřence pro ochranu osobních údajů v sídle AEESA na adrese American Express Europe SA, Avenida Partenón 12 – 14, 28042 Madrid / ŠPANĚLSKO nebo na e-mailové adrese DPO-Europe@aexp.com. 

Náš pověřenec pro ochranu osobních údajů bude řešit vaše stížnosti bez zbytečného odkladu a v každém případě do jednoho měsíce. S ohledem na složitost a počet žádostí lze toto měsíční období prodloužit maximálně o další dva měsíce, v takovém případě vás o tom budeme náležitě informovat. 

Pro další informace o procesu společnosti American Express pro řešení stížností a o tom, jak můžete podat stížnost, prosím navštivte naše Prohlášení o ochraně osobních údajů.

Pokud problém není vyřešen k vaší spokojenosti, můžete také:

- podat stížnost u dozorčího orgánu v členském státě vašeho obvyklého bydliště, místa výkonu práce nebo místa údajného porušení;

 - podat žalobu u příslušného soudu evropské země, kde daný subjekt podléhající BCR American Express sídlí, nebo kde obvykle bydlíte, a v příslušných případech získat kompenzaci za škody, ke kterým vám došlo následkem porušení výše uvedených práv třetí strany.

BACK TO TOP

Všechny subjekty podléhající BCR American Express budou spolupracovat a přijímat audit jakýmkoli relevantním dozorčím orgánem a budou dodržovat pokyny dozorčích orgánů týkající se příslušných zákonů a předpisů na ochranu osobních údajů.

Pokud dozorčí orgán zjistí, že jeden ze subjektů podléhajících BCR American Express porušil kterékoli z práv subjektů údajů vyplývajících z těchto BCR, tento subjekt podléhající BCR American Express se bude řídit zjištěními dozorčího orgánu, s výhradou práva na námitku nebo odvolání vůči takovým zjištěním.

BACK TO TOP

11.1. Státní zákony brání dodržování pravidel EU BRC

Jestliže se subjekt podléhající BCR American Express domnívá, že zákon, kterému podléhá, brání dodržování BCR, nebo bude mít pravděpodobně výrazný dopad na záruky uvedené v BCR, subjekt podléhající BCR American Express bude informovat pověřence pro ochranu osobních údajů v AEESA, kromě toho, kdy to zakazují platné zákony. V nutných případech pověřenec pro ochranu osobních údajů informuje o konfliktu se zákonem dozorčí orgán s výjimkou případů, kdy to nedovolují platné zákony. 

Pokud subjekt podléhající BCR American Express obdrží žádost o osobní údaje od policejních nebo státních bezpečnostních orgánů, pověřenec pro ochranu osobních údajů bude o této žádosti (včetně informací o vyžádaných údajích, žadateli a právním základu zpřístupnění) informovat dozorčí orgán. Pokud v určitých případech přerušení nebo oznámení dozorčím orgánům zakazují platné zákony, společnost American Express vynaloží veškeré úsilí ke zrušení tohoto zákazu pro rychlé předání co největšího množství informací příslušnému dozorčímu orgánu a k prokázání toho, že tak učinila. 

Pokud ve výše uvedených případech i přes přiměřenou snahu subjekt podléhající BCR American Express není v pozici informovat dozorčí orgán, každý rok bude poskytovat obecné informace o žádostech, které obdržel příslušnému dozorčímu orgánu (jako počet žádostí o zpřístupnění informací, typ vyžádaných osobních údajů, v příslušných případech jméno žadatele, atd.). 

Převody osobních údajů subjektem podléhajícím BCR American Express  veřejnému orgánu nebudou v žádném případě obrovské, nepřiměřené a bez výběru. Tato omezení budou platit pro všechny právně závazné žádosti o zpřístupnění osobních údajů policejními orgány nebo orgánem státní bezpečnosti. 

11.2. Vztah mezi státními zákony a EU BCR

Pokud příslušná legislativa o ochraně osobních údajů vyžaduje vyšší úroveň ochrany osobních údajů, budou mít takové zákony o ochraně údajů přednost před těmito BCR.

BACK TO TOP

Podmínky našich BCR můžeme aktualizovat, abychom například zvážili úpravy regulatorního prostředí nebo struktury společnosti. Zavazujeme se bez zbytečného odkladu hlásit podstatné změny našich BCR všem entitám BCR American Express a AEPD. Jakékoli změny BCR nebo v seznamu  subjektů podléhajících BCR American Express budou jednou za rok hlášeny příslušným dozorčím orgánům prostřednictvím dozorčích orgánů se stručným vysvětlením důvodů pro aktualizaci. Pokud by změna mohla ovlivnit úroveň ochrany poskytované těmito BCR nebo významně ovlivnit tato pravidla BCR, bude neprodleně sdělena příslušným dozorčím orgánům prostřednictvím dozorčího orgánu.

Společnost American Express určila tým, který musí udržovat úplný seznam subjektů podléhajících BCR American Express a sledovat a zaznamenávat veškeré aktualizace pravidel a na požádání poskytovat nezbytné informace subjektům údajů nebo dozorčím orgánům. Subjekty podléhající BCR American Express neprovedou žádný nový převod novému subjektu podléhajícímu BCR American Express do té doby, než nový subjekt bude podléhat těmto BCR a může je plnit. 

BACK TO TOP

Subjekty podléhající BRC American Express se nachází v následujících zemích: 

• Argentina
  
• Rakousko
• Austrálie 
• Belgie
• Kanada
• Čína
• Kolumbie
• Česká republika
• Dánsko
• Finsko
• Francie
• Německo
• Řecko
• Hongkong
• Maďarsko
• Indie
• Irsko
• Itálie
• Japonsko
• Jersey
• Malajsie
• Mexiko
• Nizozemí
• Norsko
• Filipíny
• Polsko
• Rusko
• Singapur
• Slovensko
• Španělsko
• Švédsko
• Švýcarsko
• Tchaj-wan
• Thajsko
• Spojené království
• Spojené státy