Dodatek o zpracování osobních údajů (DPA)

Zpracovatel zpracovává osobní údaje jménem správce výhradně za účelem poskytování služby platform popsané v objednávkovém formuláři: reportingu, auditu a analýzy reklamních a e-commerce dat, která se správce rozhodne připojit. Operace zpracování zahrnují ukládání, strukturování, vyhledávání a výmaz.

DPA nabývá účinnosti dnem účinnosti objednávkového formuláře a končí 30 dní po ukončení předplatného (lhůta pro export dat). Povinnosti podle článku 28 trvají po jakoukoli dobu, po kterou jsou uchovávány zbytkové osobní údaje — např. v časově omezených zálohách.

Subjekty údajů:

• Oprávnění uživatelé správce (vaši zaměstnanci).
• Koncoví uživatelé správce (návštěvníci / zákazníci webových stránek správce), v omezeném rozsahu, v jakém jsou jejich identifikátory zpřístupněny připojenými reklamními platformami.

Kategorie osobních údajů:

• Údaje o účtu (e-mail, jméno, jazyk, časové pásmo, hašované heslo, stav zapojení do 2FA).
• Autentizační údaje (OAuth refresh tokeny, API klíče; šifrované obálkovým šifrováním v klidu).
• Záznamy auditního logu (IP adresa, user agent, metadata akcí).
• Agregované denní metriky podle kampaní — žádné individuální osobní údaje koncových uživatelů nejsou ingerovány.

• Dodržovat příslušné právní předpisy o ochraně osobních údajů jako správce.
• Zajistit zákonný základ pro veškeré osobní údaje zpřístupněné zpracovateli.
• Poskytovat přesné a zákonné pokyny ke zpracování prostřednictvím objednávkového formuláře, tohoto DPA a standardních produktových rozhraní.
• Reagovat na žádosti o uplatnění práv subjektů údajů, s pomocí zpracovatele podle §6.

Zpracovatel bude:

• zpracovávat osobní údaje pouze na základě doložených pokynů správce a nezbytných operací popsaných v §1;
• zajistí, aby osoby oprávněné ke zpracování byly vázány povinností mlčenlivosti;
• zavede technická a organizační opatření uvedená v příloze 2;
• nezapojí nového dílčího zpracovatele bez předchozího obecného povolení správce podle §7;
• bude správci s ohledem na povahu zpracování nápomocen při plnění jeho povinností podle článků 32–36;
• dle volby správce vymaže nebo vrátí veškeré osobní údaje po ukončení, s výhradou uchovávání vyžadovaného zákonem (např. daňové záznamy);
• zpřístupní veškeré informace nezbytné k prokázání souladu a umožní audity podle §9;
• bez zbytečného odkladu informuje správce, pokud některý pokyn porušuje právní předpisy o ochraně osobních údajů.

Zpracovatel je správci nápomocen vhodnými technickými a organizačními opatřeními a v rozsahu, který je rozumně možný, při reagování na žádosti o uplatnění práv subjektů údajů (články 15–22), a to i prostřednictvím samoobslužných endpointů, jako je GET /api/v1/auth/me/export/. Zpracovatel je rovněž nápomocen v oblasti zabezpečení (čl. 32), ohlašování porušení (čl. 33–34), DPIA (čl. 35) a předchozí konzultace (čl. 36).

Správce uděluje zpracovateli obecné povolení zapojit dílčí zpracovatele uvedené na veřejné stránce dílčích zpracovatelů, která tvoří přílohu 3. Zpracovatel oznámí správci nejméně 30 dní předem přidání nebo nahrazení dílčího zpracovatele. Správce může vznést námitku z odůvodněných důvodů ochrany osobních údajů; pokud se strany nedohodnou na nápravě, může správce ukončit dotčené služby bez sankce pro zbývající část doby trvání.

Zpracovatel zůstává plně odpovědný správci za plnění povinností v oblasti ochrany osobních údajů ze strany kteréhokoli dílčího zpracovatele.

Produkční data zůstávají v rámci Evropského hospodářského prostoru. Pokud dílčí zpracovatel zpracovává data mimo EHP, zpracovatel se opírá o:

• standardní smluvní doložky (prováděcí rozhodnutí Komise 2021/914), začleněné odkazem; a
• rámec EU-US Data Privacy Framework, je-li použitelný (pro příjemce se sídlem v USA certifikované podle tohoto rámce).

Zpracovatel zpřístupní informace nezbytné k prokázání souladu s článkem 28, včetně nedávných auditních zpráv třetích stran (jsou-li k dispozici) na základě dohody o mlčenlivosti. Správce může s nejméně 30denním písemným předstihem a nejvýše jednou za 12 měsíců provést audit na vlastní náklady, během běžné pracovní doby, způsobem, který nenarušuje provoz a respektuje důvěrnost ostatních zákazníků. Audity nařízené regulátorem jsou povoleny bez těchto omezení.

Zpracovatel oznámí správci bez zbytečného odkladu — a v každém případě do 72 hodin od okamžiku, kdy se o něm dozvěděl — porušení zabezpečení osobních údajů týkající se dat správce. Oznámení bude obsahovat kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné následky a přijatá nebo navrhovaná opatření.

Do 30 dní od ukončení může správce exportovat zákaznická data prostřednictvím standardních produktových rozhraní. Po uplynutí této lhůty zpracovatel vymaže veškeré osobní údaje z produkčních systémů do 30 dní a ze záloh při jejich přirozeném vypršení (max. 6 měsíců). Zpracovatel na vyžádání písemně potvrdí výmaz, s výhradou zákonných požadavků na uchovávání (např. daňové faktury uchovávané 10 let podle českého práva).

Odpovědnost každé strany podle tohoto DPA podléhá omezením a vyloučením uvedeným v podmínkách služby. Pro podepsaný DPA (protipodepsané PDF) kontaktujte dpa@advisio.cz.