Smlouva o zpracování osobních údajů

1. Strany

Zpracovatel: Jakub Jedlička, fyzická osoba podnikající, IČO 19540108, se sídlem Sokolovská 2775, 530 02 Pardubice, e-mail [email protected].

Správce: salon, který v systému založil firmu, s údaji uvedenými v jeho nastavení.

2. Předmět a doba zpracování

Zpracovatel zpracovává osobní údaje jen za účelem poskytování rezervačního systému správci, po dobu, kdy správce systém používá, a 30 dní poté (lhůta na export dat). V zašifrovaných zálohách zůstanou údaje nejdéle dalších 90 dní, pak se samy smažou.

3. Jaké údaje a o kom

• zákazníci správce: jméno, e-mail, telefon, rezervace a jejich historie, poznámky a štítky, které k nim správce zapíše,
• zaměstnanci správce: jméno, e-mail, telefon, fotografie, pracovní doba a nepřítomnosti, přihlašovací údaje.

Poznámky k zákazníkům mohou obsahovat i zdravotní údaje (např. alergie). Za zákonnost jejich zpracování odpovídá správce; zpracovatel je chrání stejně jako ostatní údaje a nikam je neposílá — nejsou v e-mailech ani na rezervační stránce.

4. Povinnosti zpracovatele

• zpracovávat údaje jen podle pokynů správce, které dává používáním systému,
• zajistit mlčenlivost všech, kdo k údajům mají přístup,
• chránit údaje přiměřenými opatřeními: šifrované spojení, hesla uložená jen jako otisky, šifrované přístupové klíče ke službám třetích stran, oddělení dat jednotlivých salonů, pravidelné zálohy, záznam o tom, kdo v systému co změnil,
• pomáhat správci s vyřizováním žádostí subjektů údajů (export, oprava, výmaz),
• oznámit správci porušení zabezpečení bez zbytečného odkladu, nejpozději do 48 hodin od zjištění,
• po skončení spolupráce údaje smazat (viz bod 2) a na žádost doložit, že se tak stalo,
• poskytnout správci informace potřebné k doložení souladu s GDPR.

5. Další zpracovatelé

Správce souhlasí s tím, že zpracovatel využívá tyto další zpracovatele:

• Poskytovatel serveru (WEDOS Internet, a.s. (Hluboká nad Vltavou), datová centra v České republice) — provoz aplikace a databáze
• Resend, Inc. (USA, standardní smluvní doložky EU) — odesílání e-mailů (potvrzení, připomínky, pozvánky)
• Google Ireland Limited (Irsko / EU — jen pokud si zaměstnanec připojí Google kalendář) — zápis rezervací do kalendáře a zjištění obsazenosti
• Microsoft Ireland Operations Limited (Irsko / EU — jen pokud si zaměstnanec připojí kalendář Outlook) — zápis rezervací do kalendáře a zjištění obsazenosti
• Backblaze, Inc. (datové centrum v Amsterdamu (EU); zálohy jsou zašifrované dřív, než opustí server, Backblaze do nich nevidí) — uložení záloh databáze mimo server: noční nejdéle 30 dní, měsíční nejdéle 90 dní
• GitHub, Inc. (USA, standardní smluvní doložky EU) — jednou měsíčně zkušební obnova zálohy v dočasném prostředí, které se po kontrole smaže
• Functional Software, Inc. (Sentry) (data uložená v EU (Frankfurt), standardní smluvní doložky EU) — hlášení technických chyb aplikace; jména, e-maily, telefony a IP adresy se odstraní ještě před odesláním
• Anthropic, PBC (USA, standardní smluvní doložky EU — jen pokud si salon zapne AI shrnutí) — psaní shrnutí statistik ze souhrnných čísel (bez údajů zákazníků a jmen zaměstnanců)

O přidání nebo změně dalšího zpracovatele informuje zpracovatel správce e-mailem nejméně 14 dní předem; správce může vznést námitku a smlouvu ukončit. Předání mimo EU probíhá jen se zárukami podle kapitoly V GDPR (standardní smluvní doložky).

6. Povinnosti správce

Správce odpovídá za to, že má pro zpracování údajů svých zákazníků a zaměstnanců právní titul a že je informoval — k tomu slouží i zásady, na které odkazuje jeho rezervační stránka. Dotazy k této smlouvě posílejte na [email protected].