Data Processing Agreement

Tato Smlouva o zpracování osobních údajů je vzorem připraveným pro 1click2open a před tím, než se na ni budete spoléhat, by měla být přezkoumána kvalifikovaným právním poradcem.

Tato Smlouva o zpracování osobních údajů ("DPA") tvoří součást Všeobecných obchodních podmínek mezi vámi ("Zákazník", správce) a 1click2open ("Proofwright", zpracovatel) a uplatní se v případech, kdy Proofwright zpracovává osobní údaje jménem Zákazníka — například údaje o vlastních klientských webech Zákazníka vložených do konzole. Odráží Article 28 obecného nařízení EU o ochraně osobních údajů (GDPR).

1. Role a rozsah

Zákazník je správcem (nebo zpracovatelem jednajícím pro vlastní klienty) a Proofwright je zpracovatelem. Každá strana bude dodržovat platné právní předpisy o ochraně osobních údajů. Předmět, doba trvání, povaha, účel, typy údajů a kategorie subjektů údajů jsou uvedeny v Annex I.

2. Povinnosti zpracovatele

Proofwright bude:

Zpracovávat osobní údaje pouze na základě doložených pokynů Zákazníka (včetně pokynů uvedených v Podmínkách a v této DPA), ledaže to vyžaduje zákon; v takovém případě Zákazníka vyrozumí, je-li to povoleno.
Zajišťovat, aby se osoby oprávněné ke zpracování údajů zavázaly k mlčenlivosti.
Zavádět technická a organizační opatření uvedená v Annex II (Art. 32).
Být Zákazníkovi v rozumně možné míře nápomocen při reakci na žádosti subjektů údajů a při plnění jeho povinností podle Arts. 32–36 (zabezpečení, ohlašování porušení, posouzení vlivu).
Podle volby Zákazníka vymazat nebo vrátit osobní údaje po ukončení služeb a vymazat stávající kopie, ledaže uchování vyžaduje zákon.
Zpřístupnit informace přiměřeně nezbytné k prokázání shody a umožnit audity podle oddílu 6.

3. Další zpracovatelé

Zákazník uděluje Proofwright obecné povolení zapojit do poskytování Služby další zpracovatele uvedené v Annex III. Proofwright každému dalšímu zpracovateli ukládá povinnosti v oblasti ochrany osobních údajů, které nejsou méně přísné než tato DPA, a nadále odpovídá za jejich plnění. Proofwright oznámí přidání nebo nahrazení dalšího zpracovatele alespoň 30 dnů předem (e-mailem nebo na této stránce); v této lhůtě může Zákazník vznést námitku z důvodných příčin týkajících se ochrany osobních údajů.

4. Zabezpečení

Proofwright udržuje technická a organizační opatření popsaná v Annex II, včetně šifrování při přenosu, hashovaných přihlašovacích údajů, řízení přístupu, izolace nájemců (tenant isolation), omezování četnosti požadavků (rate limiting), protokolování důkazů odolného vůči neoprávněné manipulaci a záloh mimo pracoviště.

5. Porušení zabezpečení osobních údajů

Proofwright vyrozumí Zákazníka bez zbytečného odkladu, a v každém případě do 72 hodin od zjištění, o porušení zabezpečení osobních údajů týkajícím se údajů Zákazníka, a to s informacemi přiměřeně dostupnými k tomu, aby Zákazníkovi pomohl splnit jeho vlastní povinnosti.

6. Audity

Proofwright zpřístupní informace nezbytné k prokázání shody a na základě přiměřeného předchozího oznámení a při zachování mlčenlivosti umožní audity (včetně inspekcí) prováděné Zákazníkem nebo jím pověřeným auditorem, a to nejvýše jednou ročně, pokud to nevyžaduje dozorový úřad.

7. Mezinárodní předávání údajů

Pokud zpracování zahrnuje předávání osobních údajů mimo Evropský hospodářský prostor, opírají se strany o standardní smluvní doložky Evropské komise (Decision 2021/914), které jsou začleněny odkazem a doplněny údaji uvedenými v přílohách, a/nebo o jiné platné mechanismy pro předávání.

8. Odpovědnost a doba trvání

Odpovědnost každé strany podle této DPA podléhá omezením uvedeným v Podmínkách. Tato DPA zůstává v platnosti po celou dobu, po kterou Proofwright zpracovává osobní údaje pro Zákazníka.

Annex I — Podrobnosti o zpracování

Předmět: poskytování Služby Proofwright pro připravenost na CRA a shromažďování důkazů.
Doba trvání: doba trvání předplatného Zákazníka plus doba uchování uvedená v Zásadách ochrany osobních údajů.
Povaha a účel: hosting, inventarizace, analýza, monitoring a generování důkazů na podporu náležité péče Zákazníka podle CRA.
Subjekty údajů: zaměstnanci Zákazníka a v případech, kdy Zákazník takové údaje vloží, zaměstnanci jeho koncových klientů (např. správci webů, bezpečnostní kontakty).
Kategorie údajů: jména, pracovní e-mailové adresy, přihlašovací údaje k účtu, identifikátory webů a komponent, IP adresy a jakékoli osobní údaje obsažené v předložených SBOM, zprávách podpory nebo konfiguraci. Služba není určena pro zvláštní kategorie údajů.

Annex II — Technická a organizační opatření

Šifrování údajů při přenosu (TLS); přihlašovací údaje uchovávané v hashované podobě.
Přísná izolace více nájemců (multi-tenant); každé čtení a zápis je omezen podle vlastnictví.
Řízení přístupu na základě rolí a omezení administrátorského přístupu podle zásady nejnižších oprávnění.
Omezování četnosti požadavků (rate limiting) a ochrana proti zneužití u autentizačních a veřejných koncových bodů.
Protokolování důkazů odolné vůči neoprávněné manipulaci, zapečetěné pomocí hashů.
Průběžné zálohy úložiště důkazů mimo pracoviště, umožňující obnovení k určitému časovému bodu (point-in-time).
Monitoring zranitelností a kanál pro koordinované zveřejňování (coordinated disclosure) pro samotnou Službu.

Annex III — Další zpracovatelé

Cloudflare, Inc. — edge, Pages, databáze D1, záložní úložiště R2 a Access — Spojené státy / globální edge.
The Fly.io Company — hosting aplikace konzole a úložiště důkazů — Evropská unie.
Resend — transakční e-maily — Spojené státy.
PayPal — zpracování plateb — Evropská unie / Spojené státy.

Kontakt

Dotazy k této DPA: connect@proofwright.eu.