Podmínky ochrany osobních údajů a zabezpečení
Obecná ustanovení
Podmínky ochrany osobních údajů a & bezpečnosti byly dříve obsaženy v Příloze 1 Podmínek služeb online.
Dodatek k ochraně osobních údajů (DPA) (definovaný ve slovníku) stanovuje povinnosti stran ohledně zpracování a bezpečnosti dat zákazníka, dat odborných služeb a osobních údajů v produktech. Dodatek o ochraně osobních údajů je k dispozici ke stažení na adrese https://aka.ms/DPA. V případě jakýchkoli rozporů nebo nesouladu mezi Dodatkem o ochraně osobních údajů a jakýmikoli dalšími podmínkami uvedenými v licenční smlouvě se zákazníkem (včetně těchto podmínek) mají rozhodující platnost podmínky tohoto Dodatku o ochraně osobních údajů.
Hlavní služby online
Termín „hlavní služby online“ se používá pouze pro služby uvedené v tabulce níže s výjimkou veškerých předběžných verzí.
| Služby online | |
|---|---|
| Microsoft Dynamics 365 Core Services | Následující služby, každá jako samostatná služba nebo tak, jak jsou zahrnuty v plánu nebo v aplikaci služeb Dynamics 365: Dynamics 365 Customer Service, Dynamics 365 Customer Insights, Dynamics 365 Field Service, Dynamics 365 Business Central, Dynamics 365 Supply Chain Management, Dynamics 365 Intelligent Order Management, Dynamics 365 Finance, Dynamics 365 Commerce, Dynamics 365 Human Resources, Dynamics 365 Project Operations a Dynamics 365 Sales. Služby Dynamics 365 Core nezahrnují (1) služby Dynamics 365 pro podporovaná zařízení nebo software, který mimo jiné zahrnuje služby Dynamics 365 pro aplikace, tablety, telefony nebo libovolné z těchto položek; (2) službu LinkedIn Sales Navigator; nebo (3) jakoukoli další samostatně nabízenou službu zpřístupněnou společně nebo ve spojení s produktem Dynamics 365 Core Services, kromě případů výslovně definovaných v licenčních podmínkách pro odpovídající službu. |
| Služby Office 365 | Následující služby jako samostatná služba nebo tak, jak jsou zahrnuty v plánu nebo sadě Office 365 nebo Microsoft 365: Customer Lockbox, Exchange Online Archiving, Exchange Online Protection, Exchange Online, Microsoft Bookings, Microsoft Forms, Microsoft Planner, Microsoft Stream (Classic), Microsoft Teams, Microsoft To-Do, Microsoft Defender pro Office 365, Office pro web, OneDrive for Business, Project, SharePoint, Sway, Viva Insights, Whiteboard, Viva Engage a Microsoft Copilot 365. Služby Office 365 nezahrnují aplikace Microsoft 365 Apps for enterprise, žádnou součást služby PSTN, která funguje mimo kontrolu společnosti Microsoft, žádný klientský software ani žádnou samostatnou značkovou službu, která je k dispozici se značkovým plánem Office 365 nebo Microsoft 365 nebo sadu, např. Bing nebo značkovou službu „pro Office 365“. |
| Služby Microsoft 365 Compliance | Následující služby, vždy samostatně nebo tak, jak jsou zahrnuty v plánu nebo sadě Microsoft 365: Microsoft Purview Customer Lockbox, Microsoft Purview Data Loss Prevention, Microsoft Purview Customer Key, Microsoft Purview Data Lifecycle Management, Microsoft Purview Information Barriers, Microsoft Purview Privileged Access Management, Microsoft Purview Compliance Manager, Microsoft Purview Information Protection, Microsoft Information Governance, Microsoft Purview-Insider Risk Management, Microsoft Purview Communication Compliance, Microsoft Purview Records Management, Microsoft Purview eDiscovery a Microsoft Purview Audit, Microsoft Priva Privacy Risk Management a Microsoft Priva Subject Rights Request. |
| Služby Microsoft Azure Core | Azure AI, Azure AI Content Safety, Azure Active Directory B2C, Anomaly Detector, API Management, App Service (API Apps, Logic Apps, Mobile Apps, WebJobs, Functions), Lab Services, Application Gateway, Azure Monitor, Automation, Azure API for FHIR, Azure App Configuration, Azure Bastion, Azure AI Bot Service, Azure Cache for Redis, Azure AI Search, Azure Communication Services, Azure Container Apps, Azure Container Instances, Azure Container Registry (ACR), Azure Cosmos DB, Azure Data Explorer, Azure Database for MySQL, Azure Database for PostgreSQL, Azure Databricks, Azure DDOS Protection, Azure DevOps, Azure DNS, Microsoft Entra ID, Azure Event Grid, Microsoft Fabric, Azure Firewall, Azure AI Document Intelligence, Azure Health Data Services, Azure AI Immersive Reader, Azure Kubernetes Service, Azure Managed Grafana, Azure Machine Learning, Azure AI Metrics Advisor, Azure NetApp Files, Azure OpenAI Service, Azure Red Hat OpenShift, Azure VMware Solution, Microsoft Purview Data Map (Classic), Microsoft Purview Data Catalog (Classic), Microsoft Purview Data Estate Insights (Classic), Microsoft Purview Data Policies (Classic), Azure Resource Manager, Azure Spring Apps, Azure Time Series Insights, Azure AI Video Indexers, Azure Web PubSub, Backup, Batch, Cloud Services, Computer Vision, Content Moderator, Azure AI Custom Vision, Data Factory, Data Lake Analytics, Data Lake Store, Event Hubs, Express Route, Face, HDInsight, Import/Export, IoT Hub, Key Vault, Language Understanding, Load Balancer, Azure Machine Learning Studio (classic), Media Services, Microsoft Azure Portal, Notification Hubs, Azure AI Personalizer, Power BI Embedded, QnA Maker, Microsoft Defender for Cloud, Service Bus, Service Connector, Service Fabric, Azure SignalR Service, Site Recovery, Speech Services, SQL Database, SQL Managed Instance, SQL Server Stretch Database, Storage, StorSimple, Stream Analytics, Synapse Analytics, Text Analytics, Traffic Manager, Azure AI Translator, Virtual Machines, Virtual Machine Scale Sets, Virtual Network, a VPN Gateway. |
| Online služby Microsoft Intune | Cloudová část služby Microsoft Intune. |
| Služby Microsoft Power Platform Core | Následující služby jako samostatná služba nebo tak, jak jsou zahrnuty v plánu nebo sadě Office 365 nebo Microsoft Dynamics 365: Microsoft Power BI, Microsoft Power Apps, Microsoft Power Automate, Microsoft Power Pages a Microsoft Copilot Studio. Služby Microsoft Power Platform Core nezahrnují žádný klientský software, včetně mimo jiné Power BI Report Server, Power BI, PowerApps nebo mobilní aplikace Microsoft Power Automate, Power BI Desktop nebo Power Apps Studio. |
| Microsoft Copilot | Microsoft Copilot, využívaný s pracovním nebo studijním účtem. |
| Microsoft Defender Experts | Cloudová část služby Microsoft Defender Experts. |
| Microsoft Defender pro cloudové aplikace | Cloudová část služeb Microsoft Defender pro cloudové aplikace (dříve služba Microsoft Cloud App Security). |
| Služby Microsoft Defender pro koncový bod | Cloudová část služeb Microsoft Defender pro koncový bod. |
| Microsoft Defender for Identity | Cloudová část služeb Microsoft Defender for Identity. |
| Microsoft Defender XDR | Cloudová část služby Microsoft Defender XDR. |
| Microsoft Sentinel | Cloudová část služby Microsoft Sentinel. |
| Windows 365 | Cloudová část služby Windows 365, s výjimkou operačního systému Windows běžícího na Windows 365 Cloud PC. |
Postupy a zásady zabezpečení pro hlavní služby online
Vedle postupů a zásad zabezpečení pro služby online, které jsou obsaženy v DPA, každá z hlavních služeb online dále splňuje požadavky kontrolních standardů a rámců uvedených v tabulce níže a nasazuje a používá bezpečnostní opatření uvedená v příloze A DPA pro ochranu zákaznických dat.
| Služba online | SSAE 18 SOC 1, typ II | SSAE 18 SOC 2, typ II |
|---|---|---|
| Služby Office 365 | Ano | Ano |
| Služby Microsoft 365 Compliance | Ano | Ano |
| Microsoft Dynamics 365 Core Services | Ano | Ano |
| Služby Microsoft Azure Core | Liší se* | Liší se* |
| Online služby Microsoft Intune | Ano | Ano |
| Služby Microsoft Power Platform Core | Ano | Ano |
| Microsoft Copilot | Ano | Ano |
| Microsoft Defender Experts | Liší se* | Liší se* |
| Microsoft Defender pro cloudové aplikace | Ano | Ano |
| Služby Microsoft Defender pro koncový bod | Ano | Ano |
| Microsoft Defender for Identity | Ano | Ano |
| Microsoft Defender XDR | Ano | Ano |
| Microsoft Sentinel | Ano | Ano |
| Windows 365 | Ano | Ano |
*Aktuální rozsah je uvedený ve zprávě auditu a shrnutý v Centru zabezpečení společnosti Microsoft.
Umístění pro uchování neaktivních zákaznických dat pro hlavní služby online
Pro hlavní online služby bude společnost Microsoft uchovávat neaktivní zákaznická data v určitých hlavních geografických oblastech následujícím způsobem, pokud nebude v podmínkách specifických pro službu online uvedeno jinak:
- Služby Office 365. Pokud zákazník poskytuje svého klienta v Austrálii, Brazílii, Kanadě, Evropské unii, Francii, Německu, Indii, Japonsku, Norsku, Kataru, Jihoafrické republice, Jižní Koreji, Švédsku, Švýcarsku, ve Velké Británii, ve Spojených arabských emirátech nebo ve Spojených státech amerických, společnost Microsoft bude následující uložená neaktivní zákaznická data uchovávat pouze v této oblasti: (1) obsah poštovní schránky Exchange Online (tělo e-mailu, záznamy v kalendáři a obsah příloh e-mailu), (2) obsah webu SharePoint Online a soubory uložené na tomto webu, (3) soubory nahrané na OneDrive for Business, (4) zprávy z chatu Microsoft Teams (včetně soukromých zpráv, zpráv z kanálů, zpráv ze schůzek a obrázků použitých v chatech) a u zákazníků používajících Microsoft Stream (Classic) (on SharePoint) záznamy ze schůzek, a (5) jakýkoli uložený obsah interakcí se službou Microsoft 365 Copilot, a to v rozsahu nezahrnutém v předchozích závazcích. Pokud si zákazník zakoupí předplatné Advanced Data Residency, bude společnost Microsoft ukládat určitá neaktivní data zákazníka v příslušném doplňku Geo v souladu s touto částí a částí „Advanced Data Residency Commitments“ v dokumentaci k produktu na adrese https://aka.ms/adroverview.
- Online služby Microsoft Intune. Pokud zákazník poskytuje učet zákazníka Microsoft Intune k nasazení v některé z dostupných geografických oblastí, bude společnost Microsoft uchovávat neaktivní zákaznická data v této geografické oblasti, s výjimkou popsanou v centru Microsoft Intune Trust Center.
- Služby Microsoft Power Platform Core. Pokud zákazník poskytuje službu Power Platform Core k nasazení v některé z dostupných geografických oblastí, bude společnost Microsoft uchovávat neaktivní zákaznická data v této geografické oblasti, s výjimkou popsanou v Centru zabezpečení Microsoft Power Platform.
- Služby Microsoft Azure Core. Pokud zákazník konfiguruje konkrétní službu pro nasazení v rámci určité oblasti, společnost Microsoft bude pro danou službu následující odpočívající zákaznická data uchovávat v rámci dané oblasti: Určité služby nemusí zákazníkovi povolit konfiguraci nasazení v konkrétním regionu nebo mimo USA a mohou uchovávat zálohy v jiných umístěních. V centru Microsoft Trust Center naleznete další informace (které společnost Microsoft může čas od času aktualizovat, do obecné verze však nepřidá výjimky pro stávající služby).
- Microsoft Defender pro cloudové aplikace. Pokud zákazník poskytuje svého klienta v Evropské unii nebo USA, společnost Microsoft bude neaktivní zákaznická data uchovávat pouze v rámci dané oblasti, kromě případů popsaných v centru zabezpečení Microsoft Defender pro cloudové aplikace.
- Microsoft Dynamics 365 Core Services. Pokud zákazník poskytuje službu Dynamics 365 Core k nasazení v některé z dostupných geografických oblastí, bude společnost Microsoft uchovávat neaktivní zákaznická data v této geografické oblasti, s výjimkou popsanou v centru Microsoft Dynamics 365 Trust Center.
- Služby Microsoft Defender pro koncový bod. Pokud zákazník poskytuje účet služby Microsoft Defender pro koncový bod k nasazení v některé z dostupných geografických oblastí, bude společnost Microsoft uchovávat neaktivní zákaznická data v této geografické oblasti, s výjimkou popsanou v centru zabezpečení pro Microsoft Defender pro koncový bod.
- Microsoft Defender for Identity. Pokud zákazník poskytuje účet služby Microsoft Defender for Identity k nasazení v některé z dostupných geografických oblastí, bude společnost Microsoft uchovávat neaktivní zákaznická data v této geografické oblasti, s výjimkou popsanou v centru zabezpečení pro Microsoft Defender for Identity.
- Microsoft Defender XDR. Pokud zákazník poskytuje účet služby Microsoft Defender XDR k nasazení v některé z dostupných geografických oblastí, bude společnost Microsoft uchovávat neaktivní zákaznická data v této geografické oblasti, s výjimkou popsanou v centru Microsoft Defender XDR Trust Center.
- Windows 365. Pokud je nájemce systému Windows 365 nasazen v dostupné zeměpisné oblasti, bude společnost Microsoft pro tohoto nájemce ukládat data zákazníků v klidu v dané zeměpisné oblasti. Pokud zákazník přidělí cloudové počítače se systémem Windows 365 v rámci stejného nájemce do různých dostupných zeměpisných oblastí, pak pro každý cloudový počítač společnost Microsoft uloží data zákazníka z cloudového počítače v neaktivním stavu v rámci dané zeměpisné oblasti.
Služby Datové hranice EU
Pojem „Datové hranice EU“ znamená počítače, výpočetní prostředí a fyzická datová centra společnosti Microsoft, umístěné výlučně v Evropské unii (EU) nebo Evropském sdružení volného obchodu (EFTA). Termín „služby Datové hranice EU“ se používá pouze pro služby online uvedené v tabulce níže s výjimkou veškerých předběžných verzí.
| Služby Datové hranice EU | |
|---|---|
| Azure | Služby Azure, které umožňují nasazení v regionu v rámci Datových hranic EU, a následující neregionální služby: Azure Active Directory B2C, Azure Advisor, Azure Bot Service, Cloud Shell, Azure Communication Services, Azure Data Box, Azure DNS, Microsoft Entra ID, Microsoft Fabric, Azure Kubernetes Service on Azure Stack HCI, Azure Lighthouse, Azure Migrate, Azure Monitor, Azure Resource Mover, Azure Service Health, Azure Sphere, Azure Stack Edge, Azure Stack HCI, Azure Stack Hub, Azure Virtual Desktop, Azure VM Image Builder, Power BI Embedded, Traffic Manager, Translator |
| Dynamics 365 | Dynamics 365 Business Central, Dynamics 365 Commerce, Dynamics 365 Customer Insights, Dynamics 365 Customer Service, Dynamics 365 Customer Voice, Dynamics 365 Field Service, Dynamics 365 Finance, Dynamics 365 Guides, Dynamics 365 Intelligent Order Management, Dynamics 365 Project Operations, Dynamics 365 Remote Assist, Dynamics 365 Sales, Dynamics 365 Supply Chain Management |
| Microsoft 365 | Customer Lockbox, Exchange Online, Exchange Online Archiving for Exchange Online, Microsoft Bookings, Microsoft Forms, Microsoft MyAnalytics, Microsoft Planner, Microsoft StaffHub, Microsoft Stream (Classic) (on SharePoint), Microsoft Teams, Microsoft To-Do, Office for the web, služby online poskytované v rámci produktu Microsoft 365 Apps, OneDrive for Business, SharePoint Online, Sway, Whiteboard, Viva Engage, Microsoft 365 Copilot, Communications Compliance, eDiscovery and Audit, Insider Risk Management, Information Barriers, Microsoft Purview Data Loss Prevention, Microsoft Intune, Priva Privacy Risk Management, Priva Subject Rights Management, Microsoft Viva Answers, Microsoft Viva Connections, Microsoft Viva Engage, Microsoft Viva Glint, Microsoft Viva Goals, Microsoft Viva Insights, Microsoft Viva Learning, Microsoft Viva Pulse, Microsoft 365 Copilot for Sales a Microsoft Viva Topics |
| Power Platform | Microsoft Power Apps, Microsoft Power Automate, Microsoft Power BI, Microsoft Power Pages, Microsoft Copilot Studio |
Umístění pro uchování zákaznických dat pro služby Datové hranice EU
V případě služeb Datové hranice EU bude společnost Microsoft ukládat a zpracovávat zákaznická data a osobní údaje v rámci služeb Datové hranice EU, jak je podrobně popsáno níže.
Zákazník musí nakonfigurovat služby Datové hranice EU takto:
- V případě služeb Azure je zákazník povinen zavést službu do regionu Azure nacházejícího se v rámci oblasti služeb Datové hranice EU. Další informace naleznete v článku Rezidence dat ve službě Azure (https://azure.microsoft.com/explore/global-infrastructure/data-residency). U služeb, které neumožňují nasazení v určitém regionu služby Azure, musí zákazník postupovat podle pokynů v části Konfigurace neregionálních služeb Azure pro služby Datové hranice EU (https://learn.microsoft.com/privacy/eudb/eu-data-boundary-configure-azure-nonregional-services).
- V případě produktu Dynamics 365 a Power Platform, pokud zákazník poskytne účet klienta s fakturační adresou v EU nebo EFTA, bude tento účet klienta spadat do oblasti působnosti služeb Datové hranice EU, pokud zákazník také vytvoří všechna svá prostředí v zeměpisné oblasti uvnitř hranic služeb Datové hranice EU.
- V případě služby Microsoft 365, pokud zákazník poskytne účet klienta s fakturační adresou v EU nebo EFTA, bude tento účet klienta spadat do oblasti působnosti služeb Datové hranice EU, s výjimkou těch účtů klientů, u kterých si zákazník zakoupil také doplněk Microsoft 365 Multi-Geo Capabilities , který umožňuje zákazníkům rozšířit přítomnost účtů klientů služby Microsoft 365 do více geografických oblastí nebo zemí (https://learn.microsoft.com/microsoft-365/enterprise/microsoft-365-multi-geo?view=o365-worldwide).
Používání služeb Datové hranice EU může vést k omezenému předávání zákaznických nebo osobních údajů za datové hranice EU, jak je uvedeno níže a podrobněji popsáno v dokumentaci o transparentnosti pro Datové hranice EU, která se nachází na adrese https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-learn nebo na nástupnickém webu. Veškeré takové převody budou prováděny v souladu s ustanoveními dodatku o ochraně osobních údajů a podmínek pro produkt.
- Vzdálený přístup. Zaměstnanci společnosti Microsoft, kteří se nacházejí mimo datové hranice EU, mohou vzdáleně přistupovat k systémům zpracování osobních údajů v rámci datových hranic EU, pokud je to nezbytné pro provoz, řešení problémů a zabezpečení služeb Datové hranice EU.
- Převody vyvolané zákazníkem. Zákazníci mohou iniciovat přenosy mimo datové hranice EU, například přístupem ke službám Datové hranice EU míst mimo datové hranice EU, odesláním e-mailu příjemci nacházejícímu se mimo datové hranice EU nebo použitím služeb Datové hranice EU v kombinaci s jinými službami mimo datové hranice EU.
- Ochrana zákazníků. Společnost Microsoft přenáší omezené množství údajů mimo datové hranice EU, pokud je to nezbytné k odhalení bezpečnostních hrozeb a ochraně zákazníků před bezpečnostními hrozbami.
- Data v adresáři. Společnost Microsoft může při poskytování služby replikovat omezená data v adresářích Microsoft Entra z produktu Microsoft Entra ID (včetně uživatelského jména a e-mailové adresy) mimo datové hranice EU.
- Síťový přenos. Za účelem snížení latence směrování a zachování odolnosti směrování používá společnost Microsoft proměnlivé síťové cesty, které mohou občas vést k přenosu dat mimo datové hranice EU.
- Kvalita a správa služeb a platformy. Při povinnosti monitorovat a zachovat kvalitu služeb nebo zajistit přesnost statistického měření využití služeb mohou být pseudonymizované osobní údaje předávány mimo datové hranice EU.
- Předávání specifické pro služby. Informace o předávání platné pro konkrétní služby Datové hranice EU naleznete ve výše uvedené dokumentaci o transparentnosti.