Zpracovatelská smlouva

1. Smluvní strany a jak smlouva vzniká

Správcem je firma, která si ve službě založila účet, a je jím ke všem osobním údajům, které do služby vloží — údajům svých zákazníků i svých zaměstnanců.

Poskytovatel není v této instalaci vyplněný. Než se tyhle texty použijí naostro, musí být v prostředí nastavené jméno, IČO, sídlo a kontaktní e-mail.

Poskytovatel je ve vztahu k těmto údajům zpracovatelem. Smlouva vzniká odsouhlasením při založení firmy, spolu s obchodními podmínkami a zásadami zpracování osobních údajů, a o tom odsouhlasení si služba vede záznam: kdo, kdy a jakou verzi textu odsouhlasil.

Tahle smlouva je nedílnou součástí obchodních podmínek. Uzavírá se na dobu, po kterou firma službu používá, a končí spolu se smlouvou o užívání služby.

2. Předmět, povaha a účel zpracování

Předmětem zpracování je provoz evidence zakázek pro firmu: uložení dat, jejich zobrazení oprávněným uživatelům firmy, zálohování a technická podpora.

Povahou jde o automatizované zpracování v aplikaci a v databázi. Účelem je výhradně poskytování služby té firmě, která data vložila — nic jiného. Poskytovatel data neprodává, nepředává je nikomu mimo seznam dalších zpracovatelů v článku 7 a nepoužívá je k trénování žádných modelů.

3. Kategorie subjektů údajů a druhy údajů

Zákazníci firmy

Jméno nebo název, adresa místa práce, telefon, e-mail, IČO a poznámky, které si k nim firma zapíše.

Uživatelé firmy

Jméno, e-mail, role ve firmě, stav účtu a záznam o přihlášení.

Obsah zakázek

Popis práce, termíny, ceny a položky, fotky z terénu — které mohou nést polohu, pokud je tak zařízení pořídilo — a vystavené nabídky a faktury.

Zvláštní kategorie osobních údajů podle článku 9 GDPR služba nezpracovává a není k tomu určená. Pokud je do ní firma přesto vloží, děje se to na její odpovědnost jako správce.

4. Zpracování jen podle pokynů správce

Poskytovatel zpracovává osobní údaje pouze na základě doložených pokynů správce. Pokynem se rozumí samotné používání služby a její nastavení firmou, dále tenhle dokument a obchodní podmínky, a konečně jednotlivé písemné požadavky, na kterých se strany dohodnou.

Poskytovatel údaje nepředá do třetí země nad rámec článku 7, ledaže mu to ukládá právo Evropské unie nebo členského státu; v takovém případě správce o takovém požadavku informuje předem, pokud to dané právo nezakazuje.

Pokud podle názoru poskytovatele pokyn správce porušuje předpisy o ochraně osobních údajů, poskytovatel na to správce neprodleně upozorní.

5. Mlčenlivost

Poskytovatel zachovává o zpracovávaných údajích mlčenlivost a zavazuje k ní každou osobu, která se k údajům dostane. Mlčenlivost trvá i po skončení smlouvy.

K datům firmy má u poskytovatele přístup jen ten, kdo ho potřebuje k provozu nebo k opravě poruchy. Provozní konzole poskytovatele nezobrazuje obsah zakázek, zákazníky ani ceny — vidí jen kolik firem službu používá, jak velké jsou a jak jsou na tom s předplatným.

6. Zabezpečení zpracování

Poskytovatel přijal tato technická a organizační opatření podle článku 32 GDPR:

• Data jednotlivých firem jsou oddělená na úrovni databáze, ne až v aplikaci nad ní: dotaz jedné firmy se k řádkům jiné firmy nedostane, i kdyby o ně požádal.
• Ceny a finanční údaje jsou pro roli zaměstnance nedostupné na stejné, databázové úrovni.
• Veškerý přenos probíhá přes HTTPS. Přihlašovací cookie je šifrovaná, nejen podepsaná.
• Přihlašovací údaje drží samostatný přihlašovací server; aplikace žádné heslo nevidí ani neukládá.
• Fotky a dokumenty leží v úložišti jen jako neveřejné objekty; ke každému čtení i zápisu vydává server dočasnou podepsanou adresu.
• Zálohy databáze jsou šifrované a jejich obnova se pravidelně zkouší.
• Chování, na kterém tahle opatření stojí, je pokryté automatickými testy, které běží před každou změnou aplikace.

7. Další zpracovatelé

Správce dává poskytovateli obecné povolení zapojit do zpracování další zpracovatele. K datům firmy mají přístup tito a žádní jiní:

Poskytovatel serverového hostingu (v této instalaci není vyplněný)

Provozuje server, na kterém běží aplikace a databáze se všemi daty firmy. Umístění: Evropská unie.

Backblaze, Inc. (Backblaze B2)

Objektové úložiště: fotky u zakázek, vystavené nabídky a faktury, a šifrované zálohy databáze. Umístění: Spojené státy americké.

Sentry (Functional Software, Inc.)

Hlášení chyb aplikace. Hlášení nese adresu stránky, identifikátor přihlášeného uživatele a technický kontext chyby, ne obsah zakázek. Umístění: Evropský region Sentry.

Umami

Anonymní statistika návštěvnosti: která stránka byla otevřená a odkud návštěvník přišel. Bez cookies a bez identifikace uživatele. Umístění: Vlastní infrastruktura poskytovatele, Evropská unie.

Google Maps (Google Ireland Limited)

Zobrazení mapy a vyhledání adresy zakázky. Do Google se dostane adresa nebo souřadnice, které si firma zobrazuje na mapě. Umístění: Evropská unie, s přenosem do skupiny Google.

Resend, Inc.

Odesílání e-mailů zákazníkům firmy — nabídek a faktur — a pozvánek pro nové uživatele. Prochází jím adresa příjemce, předmět a obsah zprávy s přílohou. Umístění: Spojené státy americké.

Stripe Payments Europe, Ltd.

Platba předplatného. Zpracovává fakturační údaje firmy, ne data jejích zákazníků. Číslo platební karty se do aplikace vůbec nedostane. Umístění: Evropská unie.

Poskytovatel identity (přihlašovací server platformy)

Ověřuje přihlášení. Drží e-mail a heslo uživatele; aplikace heslo nikdy nevidí. Umístění: Vlastní infrastruktura poskytovatele, Evropská unie.

Předání mimo Evropskou unii se týká těchto služeb: Backblaze, Inc. (Backblaze B2) a Resend, Inc.. Opírá se o standardní smluvní doložky Evropské komise a data jsou u nich uložená v šifrované podobě.

Změnu tohohle seznamu — nového zpracovatele nebo výměnu stávajícího — poskytovatel oznámí nejméně 30 dní předem novou verzí tohohle dokumentu. Správce může proti změně v té lhůtě vznést námitku; pokud ji vznese a nedohodnou se jinak, může smlouvu ke dni účinnosti změny ukončit bez sankce.

Každému dalšímu zpracovateli poskytovatel ukládá stejné povinnosti, jaké má sám podle téhle smlouvy, a odpovídá správci za jejich plnění, jako by zpracovával sám.

8. Součinnost při právech subjektů údajů

Žádost zákazníka firmy o přístup, opravu, výmaz, omezení zpracování nebo přenositelnost vyřizuje firma jako správce. Poskytovatel jí k tomu poskytuje vhodná technická opatření: data se ve službě dají opravit i smazat a export všech dat firmy ve strojově čitelném formátu je dostupný kdykoli, i v uzamčeném účtu.

Pokud se žádost subjektu údajů obrátí omylem na poskytovatele, poskytovatel ji nevyřídí sám — předá ji správci a vyrozumí o tom žadatele.

9. Porušení zabezpečení a další součinnost

Zjistí-li poskytovatel porušení zabezpečení osobních údajů, ohlásí ho správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl — aby správci zůstal čas na jeho vlastní ohlášení úřadu do 72 hodin. Oznámení popíše povahu porušení, dotčené kategorie a přibližný počet záznamů, pravděpodobné důsledky a přijatá opatření.

Poskytovatel je správci nápomocen i při posouzení vlivu na ochranu osobních údajů a při případné předchozí konzultaci s úřadem, v rozsahu odpovídajícím povaze zpracování a informacím, které má k dispozici.

10. Co se s daty stane na konci

Po skončení poskytování služby si firma data odnese exportem — ten zůstává dostupný i po zrušení předplatného. Poskytovatel data následně smaže.

Lhůta je 30 dní od zrušení. V téhle době jde zrušení ještě vzít zpět; po jejím uplynutí se data nevratně smažou, včetně fotek a dokumentů v úložišti. Zálohy databáze se drží nejvýš stejných 30 dní, takže firma zmizí nejpozději spolu s poslední z nich — vybrat jednu firmu ze šifrované zálohy totiž nejde a doba držení záloh je proto schválně stejně dlouhá jako lhůta pro smazání.

Výjimkou jsou údaje, které si poskytovatel musí ponechat podle práva — typicky účetní doklady o zaplaceném předplatném. Ty se drží po zákonnou dobu a k ničemu jinému se nepoužijí.

11. Doložení souladu a kontrola

Poskytovatel poskytne správci na vyžádání informace potřebné k doložení toho, že povinnosti podle článku 28 GDPR plní.

Správce má právo na audit nebo inspekci, prováděnou jím samým nebo auditorem, kterého pověří. Termín se dohodne předem, audit nesmí ohrozit provoz služby ani důvěrnost dat jiných firem a jeho náklady nese správce. Nad rámec jednoho auditu ročně jen tehdy, došlo-li k porušení zabezpečení nebo změnil-li se okruh dalších zpracovatelů.

12. Odpovědnost, změny a účinnost

Každá strana odpovídá za porušení povinností, které jí ukládá GDPR nebo tahle smlouva. Poskytovatel neodpovídá za právní důvod, na kterém firma údaje zpracovává, ani za obsah, který do služby vložila.

Každá verze téhle smlouvy nese číslo a datum účinnosti, uvedené v jejím záhlaví. Podstatnou změnu poskytovatel oznámí nejméně 30 dní předem a vyžádá si k nové verzi nový souhlas; kdo se změnou nesouhlasí, může do dne účinnosti smlouvu ukončit.

Smlouva se řídí právem České republiky a v otázkách, které neupravuje, se použijí obchodní podmínky.