Smlouva o zpracování osobních údajů

1. Strany

Správce: Pražírna, která smlouvu odsouhlasila v Opáčku (údaje v jejím nastavení). Zpracovatel: Jan Kadlec, e-mail jan@opacko.app (dále „Poskytovatel“).

2. Předmět, povaha a účel

Zpracovatel pro správce ukládá a zpracovává osobní údaje zákazníků správce za účelem provozu předplatného kávy: příjem a vyřízení objednávek, platby, doručení, komunikace se zákazníkem (potvrzení, odeslání, připomínky konce předplatného) a vystavení dokladů. Součástí je i volitelný import seznamu zákazníků správce z nahraného souboru, včetně přečtení souboru umělou inteligencí, pokud správce v rozhraní platformy výslovně potvrdí odeslání obsahu souboru (viz bod 5).

Zpracování probíhá po dobu trvání smlouvy o používání platformy.

3. Kategorie údajů a subjektů

Subjekty: zákazníci správce, obdarovaní a kupující dárků. Údaje: jméno, e-mail, telefon, doručovací a fakturační adresa nebo výdejní místo, firma, IČO a DIČ u nákupu na firmu, text věnování, tarif, historie objednávek a doručení včetně čísla zásilky, záznamy o odeslaných e-mailech, souhlas s novinkami, údaje o platbě bez čísla karty (kartu zpracovává Stripe).

4. Povinnosti zpracovatele

Zpracovávat údaje pouze na základě doložených pokynů správce, které představuje tato smlouva a úkony správce v rozhraní platformy, včetně předávání do třetích zemí, pokud zpracování již neukládá právo EU nebo členského státu. Zpracovatel správce neprodleně informuje, pokud se domnívá, že pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů.

Zajistit mlčenlivost osob oprávněných zpracovávat údaje.

Přijmout opatření podle čl. 32 GDPR: šifrovaný přenos (HTTPS), oddělení dat jednotlivých pražíren, přihlášení jednorázovými odkazy a podepsanými httpOnly relacemi, denní zálohy s retencí 30 dnů, omezení přístupu administrátorů.

Pomáhat správci s plněním práv subjektů údajů (přístup, oprava, výmaz, omezení, přenositelnost, námitka), například exportem dat a mazáním na žádost. Výmaz z aktivní databáze proběhne bezodkladně, ze záložních kopií jsou údaje automaticky přepsány v rámci 30denního cyklu záloh.

Pomáhat správci s plněním povinností podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu, předchozí konzultace) s ohledem na povahu zpracování a dostupné informace. O porušení zabezpečení osobních údajů informovat správce bez zbytečného odkladu, nejpozději do 48 hodin od zjištění.

Po ukončení smlouvy údaje podle rozhodnutí správce vrátit (export CSV) a vymazat, nejpozději do 90 dnů, nestanoví-li právo EU nebo členského státu povinnost je uchovat.

Poskytnout správci informace potřebné k doložení souladu s čl. 28 GDPR a umožnit audit, včetně inspekcí, který provede správce nebo jím pověřený auditor. Audit se oznamuje písemně alespoň 30 dnů předem, probíhá v pracovní době a tak, aby nenarušil provoz platformy ani bezpečnost údajů jiných pražíren. Přiměřené náklady součinnosti nad rámec poskytnutí dokumentace nese správce.

5. Další zpracovatelé

Správce uděluje obecné písemné povolení k využití dalších zpracovatelů. Ke dni uzavření smlouvy jsou to: (a) poskytovatel serverové a databázové infrastruktury v EU: netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Německo (servery v Norimberku), (b) Zoho Corporation B.V., Nizozemsko, služba ZeptoMail (odesílání transakčních e-mailů, datové centrum v EU), (c) OpenRouter, Inc., USA, zprostředkovatel jazykových modelů, a OpenAI, poskytovatel modelu, a to výhradně pro volitelné čtení nahraného souboru se zákazníky umělou inteligencí. K tomu dochází jen na výslovný pokyn správce (potvrzení souhlasu v rozhraní platformy před každým odesláním). Odesílá se pouze text souboru, bez prázdných sloupců, a požadujeme zpracování poskytovatelem, který data neuchovává ani nepoužívá k trénování modelů. Zpracovatel neukládá soubor, text určený k přečtení maže po přečtení a přečtená data po provedení nebo zahození importu, nejpozději po 7 dnech.

Zpracovatel o zamýšlené změně dalších zpracovatelů informuje správce e-mailem nejméně 14 dnů předem a správce může z oprávněných důvodů ochrany údajů vznést námitku. Nelze-li námitce z technických nebo provozních důvodů vyhovět, může kterákoli strana smlouvu o používání platformy vypovědět s účinností ke dni nasazení nového zpracovatele.

Zpracovatel zaváže každého dalšího zpracovatele písemnou smlouvou ke stejným povinnostem na ochranu údajů, jaké stanoví tato smlouva (čl. 28 odst. 4 GDPR), a odpovídá správci za plnění jeho povinností.

Stripe Payments Europe, Limited a PPL CZ s.r.o. nejsou dalšími zpracovateli zpracovatele. Jsou to přímí smluvní partneři správce, s nimiž má správce vlastní smlouvu. Totéž platí pro služby, které si správce sám zapne (například našeptávání adres Shikula Adresy).

6. Předávání do třetích zemí

Primární databáze a e-mailové servery jsou v EU. U dodavatelů se skupinovou působností mimo EHP (například Stripe, Zoho) a u dodavatelů se sídlem v USA (OpenRouter, Inc., OpenAI) může docházet k předání údajů do třetích zemí, které probíhá na základě rozhodnutí Evropské komise o odpovídající ochraně (například EU-US Data Privacy Framework) nebo standardních smluvních doložek.

7. Vlastní záznamy zpracovatele

Záznamy o poplatcích a transakcích nutné pro vlastní fakturaci a daňové povinnosti Poskytovatele (datum, částka, identifikátor balíčku nebo předplatného) zpracovává Poskytovatel jako samostatný správce. Na tyto záznamy se výmaz do 90 dnů nevztahuje, uchovává je po dobu stanovenou právními předpisy.

8. Závěr

Smlouva nabývá účinnosti okamžikem odsouhlasení správcem v Opáčku. Čas a verze souhlasu se ukládají.