Dodatek o zpracování osobních údajů (DPA)

1. Strany a použití DPA

Tento DPA je součástí smlouvy mezi zákazníkem jako správcem a Martinem Kučerou, IČO 00959324, jako zpracovatelem, pokud zákazník prostřednictvím služby předává osobní údaje, u nichž určuje účely a prostředky zpracování. DPA se použije po dobu poskytování příslušné funkce.

2. Předmět a pokyny

Předmětem je zpracování dat z připojeného WordPress webu pro aktivované audity, hostované generování, podporu, licenční a provozní funkce. Dokumentované pokyny tvoří smlouva, nastavení zákazníka, volání API a písemné požadavky v dohodnutém rozsahu.

Zpracovatel zpracovává údaje pouze podle doložených pokynů, ledaže mu zpracování ukládá právo EU nebo členského státu; o takovém požadavku zákazníka předem informuje, pokud to zákon nezakazuje. Na zjevně protiprávní pokyn upozorní a může jeho provedení pozastavit.

3. Povaha, účel, údaje a osoby

• Povaha: příjem, přenos, strukturování, analýza, generování výstupu, dočasné uložení, zabezpečení, podpora, výmaz a anonymizace.
• Účel: funkce vybrané zákazníkem pro AI viditelnost, Markdown výstupy, audity, reporty a technickou podporu.
• Údaje: veřejný nebo výslovně povolený obsah webu, URL, metadata, technické identifikátory, hash IP, user-agent, omezená diagnostika, zprávy podpory, nastavení značky reportu a případné osobní údaje obsažené v zákaznickém obsahu.
• Osoby: návštěvníci a uživatelé webu zákazníka, zákazníci e-shopu, zaměstnanci, dodavatelé a další osoby, jejichž údaje zákazník oprávněně zpracovává.
• Zvláštní kategorie a údaje o trestných činech nejsou určeny ke zpracování; zákazník je nesmí předávat bez předchozí písemné dohody a odpovídajících opatření.

4. Povinnosti zpracovatele

• Zajistit, aby osoby oprávněné zpracovávat údaje byly vázány mlčenlivostí.
• Udržovat přiměřená technická a organizační opatření a omezit přístup podle rolí a tenantů.
• S ohledem na povahu zpracování pomáhat zákazníkovi s žádostmi subjektů údajů, posouzením rizik, incidenty a konzultacemi s úřadem.
• Poskytnout informace potřebné k doložení souladu a umožnit přiměřený audit podle tohoto DPA.
• Po ukončení na volbu zákazníka údaje vymazat nebo vrátit, pokud jejich uchování nevyžaduje právo.

5. Bezpečnost a incidenty

• TLS při přenosu, hashované licence a tokeny, šifrovaná tajemství a dočasné asynchronní payloady.
• Tenant isolation, role-based access, HMAC, časová validace, ochrana proti replay, rate limiting a auditní záznamy.
• Minimalizace dat, výchozí nulová retence raw LLM vstupu, pravidelné promazávání a ověřený proces výmazu organizace.
• Zpracovatel oznámí zákazníkovi porušení zabezpečení osobních údajů bez zbytečného odkladu po jeho zjištění a poskytne dostupné informace potřebné pro splnění oznamovacích povinností.

6. Další zpracovatelé

Zákazník uděluje obecné písemné oprávnění používat další zpracovatele. Aktuálně jde o ACTIVE 24, s.r.o. / WebSupport s.r.o. pro hosting, infrastrukturu, zálohy a doručování systémového e-mailu a o Stripe v rozsahu, v němž při budoucím schváleném použití platebních služeb jedná jako zpracovatel. Veřejný checkout zůstává vypnutý. Externí AI provider není zapojen.

Zpracovatel uloží dalšímu zpracovateli v zásadě stejné povinnosti ochrany údajů. O zamýšleném přidání nebo nahrazení zpracovatele informuje alespoň 15 dnů předem, je-li to prakticky možné. Zákazník může vznést odůvodněnou námitku; pokud ji nelze vyřešit, může ukončit dotčenou funkci.

7. Mezinárodní předávání

Údaje budou předávány mimo EU/EHP pouze podle dokumentovaných pokynů a s platným mechanismem podle kapitoly V GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo standardních smluvních doložek. Na žádost zpracovatel sdělí použitý mechanismus v rozsahu, v němž to dovolují smluvní a bezpečnostní povinnosti.

8. Audit, výmaz a odpovědnost

Zpracovatel nejprve poskytne dostupnou dokumentaci a odpovědi. Zákazník může nejvýše jednou ročně, nebo po závažném incidentu, požádat o přiměřený audit s alespoň 30denním oznámením, během pracovní doby, bez ohrožení ostatních zákazníků a na své náklady, pokud audit neprokáže podstatné porušení.

Retence odpovídá zásadám ochrany soukromí. Ověřený proces výmazu odstraňuje provozní záznamy a anonymizuje nezbytné vazby; data u Stripe a dalších poskytovatelů se řeší jejich procesem. Odpovědnost se řídí hlavní smlouvou a použitelným právem, aniž jsou omezeny povinnosti, které omezit nelze.