Dodatek o zpracování osobních údajů

1. Postavení a předmět

Tento dodatek je uzavřen mezi Studiem jako správcem a Detailero s.r.o. jako zpracovatelem a tvoří součást smlouvy o profesionální službě . Uplatní se na osobní údaje vložené Studiem do CRM pro vlastní podnikání.

2. Doba, povaha a účel

Zpracování trvá po dobu účtu Studia a krátkou technickou dobu nutnou k bezpečnému výmazu. Povahou je ukládání, organizace, vyhledávání, zobrazování, úpravy na pokyn Studia, tvorba dokumentů, rozesílání zpráv, zálohování a výmaz. Účelem je provoz CRM, kalendáře, zakázek, fakturace, komunikace a správy pracovníků.

3. Kategorie subjektů a údajů

• Klienti a kontaktní osoby Studia – identifikační, kontaktní, adresní a fakturační údaje, obchodní historie, poznámky a komunikační preference.
• Vozidla klientů – SPZ, VIN, značka, model, rok, barva, vazba na klienta a historie zakázek.
• Zaměstnanci a spolupracovníci Studia – jméno, kontakt, role, přístup, přiřazené zakázky a dostupnost či docházka po jednotlivých dnech.
• Příjemci dokumentů a zpráv – e-mail, obsah a stav doručení nebo odhlášení.

Zpracování zvláštních kategorií údajů není zamýšleno. Studio je nesmí do volných polí vkládat, ledaže je to nezbytné, zákonné a Detailero s tím předem písemně souhlasí.

4. Pokyny správce

Detailero zpracovává údaje pouze na dokumentované pokyny Studia obsažené ve smlouvě, nastavení a oprávněných pokynech podpory. Pokud má za to, že pokyn porušuje právní předpis, upozorní Studio, nebrání-li tomu zákon.

5. Povinnosti Detailera

• zajistit mlčenlivost osob s přístupem;
• přijmout přiměřená technická a organizační opatření;
• pomáhat Studiu při žádostech subjektů údajů, posouzení zabezpečení, incidentech a případném posouzení vlivu;
• vést potřebné záznamy a umožnit přiměřený audit;
• bez zbytečného odkladu informovat Studio o porušení zabezpečení jeho osobních údajů;
• po skončení údaje vymazat nebo vrátit podle volby Studia, nebrání-li tomu zákon.

6. Povinnosti Studia

• mít právní titul a splnit informační povinnost vůči klientům a zaměstnancům;
• vkládat pouze přiměřené a správné údaje a aktualizovat je;
• spravovat role, hesla a odcházející pracovníky;
• respektovat odhlášení z marketingu a uchovávat důkaz o souhlasu nebo zákaznické výjimce;
• nepoužívat volné poznámky k nepřiměřenému nebo diskriminačnímu profilování osob;
• bezodkladně hlásit bezpečnostní incidenty a zneužití účtu.

7. Bezpečnostní opatření

• šifrování přenosu pomocí HTTPS/TLS;
• oddělení dat jednotlivých Studií pomocí databázových oprávnění;
• individuální účty a role, omezené administrátorské přístupy;
• EU databázový region, denní zálohy s retencí sedm dní;
• řízení tajných klíčů mimo zdrojový kód, aktualizace a monitoring incidentů;
• postup obnovy a pravidelné ověřování přístupů a kritických toků.

8. Subzpracovatelé

Studio uděluje obecné písemné povolení k využití subzpracovatelů. Detailero oznámí zamýšlenou podstatnou změnu předem a umožní Studiu vznést odůvodněnou námitku.

• Supabase – databáze, autentizace, ukládání souborů a zálohy, EU region;
• Resend – doručování e-mailů;
• Stripe – předplatné a související platební metadata;
• Cloudflare – bezpečnost, DNS/CDN a ochrana formulářů;
• Google Firebase a Apple – push notifikace.

Úplný a průběžně aktualizovaný přehled je v seznamu subzpracovatelů . Na subzpracovatele uloží Detailero povinnosti ochrany údajů odpovídající tomuto dodatku. Za jejich plnění vůči Studiu odpovídá v rozsahu GDPR.

9. Předávání mimo EHP

Pokud subzpracovatel zpracovává údaje mimo EHP, Detailero použije platný předávací mechanismus, zejména rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky, a podle potřeby doplňková opatření.

10. Žádosti subjektů

Obdrží-li Detailero žádost týkající se CRM dat, předá ji bez zbytečného odkladu Studiu a bez jeho pokynu na ni věcně neodpoví, ledaže to vyžaduje zákon. Technickou součinnost v běžném rozsahu poskytuje v ceně služby; mimořádně náročná práce může být po předchozí dohodě zpoplatněna.

11. Incidenty

O potvrzeném porušení zabezpečení osobních údajů Studia informuje Detailero bez zbytečného odkladu a poskytne dostupné informace o povaze incidentu, dotčených údajích a osobách, pravděpodobných následcích, přijatých opatřeních a kontaktním místu. Ohlášení dozorovému úřadu a subjektům zajišťuje Studio jako správce.

12. Audity

Studio může jednou ročně požádat o přiměřené informace pro doložení souladu. Audit se nejprve provádí prostřednictvím dokumentace a vzdáleného posouzení, nesmí ohrozit bezpečnost jiných zákazníků ani obchodní tajemství a jeho rozsah a termín se dohodnou předem.

13. Ukončení a výmaz

Po skončení služby Detailero na volbu Studia umožní dostupný export nebo data vymaže. Po potvrzeném smazání účtu odstraní aktivní CRM data bez zbytečného odkladu; kopie v rotačních zálohách budou přepsány nejpozději do sedmi dní a nebudou běžně obnoveny jinak než pro obnovu celého systému po incidentu. Povinně uchovávané údaje budou izolovány.

14. Přednost a kontakt

Při rozporu tohoto dodatku s obecnými obchodními podmínkami má ve věcech zpracování osobních údajů přednost tento dodatek. Kontaktem zpracovatele je info@detailero.com; kontaktem správce je osoba uvedená Studiem v účtu.

15. Rozdělení odpovědnosti

Studio odpovídá za zákonnost pokynů, právní základy, transparentnost, přesnost a retenční pravidla CRM dat, výběr příjemců a zákonnost zpráv. Detailero odpovídá za plnění vlastních povinností zpracovatele. Žádné smluvní ujednání nemění práva subjektů údajů ani pravomoc dozorového úřadu.

16. Vrácení dat a omezení exportu

Detailero poskytne dostupné standardní exporty, pokud jsou v produktu implementovány. Není-li úplný export dostupný, Studio může před ukončením stáhnout faktury a požádat podporu o přiměřenou součinnost.

17. Požadavky orgánů a mlčenlivost

Detailero zajistí, aby osoby oprávněné zpracovávat CRM data byly vázány mlčenlivostí. O právně závazné žádosti orgánu týkající se CRM dat informuje Studio před zpřístupněním, pokud to zákon nezakazuje, a poskytne pouze nezbytný rozsah.

18. Náklady na mimořádnou součinnost

Běžná součinnost podle článku 28 GDPR je zahrnuta ve službě. Mimořádně rozsáhlý audit, individuální export nebo opakovaný požadavek nad běžný rámec lze po předchozím oznámení účtovat podle prokazatelných nákladů, pokud to nebrání účinnému výkonu zákonné povinnosti.

19. Obnova ze záloh

Obnovení zálohy může dočasně vrátit již smazané údaje do izolované obnovovací kopie. Detailero zajistí, aby nebyly znovu běžně používány a byly znovu odstraněny podle výmazového procesu. Záloha neslouží jako archiv Studia ani jako individuální možnost obnovy každého záznamu.

20. Standard důkazů

Detailero může soulad dokládat bezpečnostní dokumentací, přehledem opatření, výsledkem relevantního nezávislého auditu nebo cílenými odpověďmi. Studio nesmí testovat produkční systémy, přistupovat k údajům jiných zákazníků ani provádět penetrační test bez předchozího písemného povolení.

Příloha A – dokumentované pokyny

Pokyny zahrnují operace vyvolané oprávněnými uživateli Studia v aplikaci, nastavení automatických notifikací, generování a odeslání dokumentů, žádosti podpory ověřené oprávněnou osobou a výmaz účtu. Pokyn k obchodnímu sdělení nezbavuje Studio odpovědnosti za jeho zákonnost.

Příloha B – minimální bezpečnostní standard

• oddělení tenantů a pravidelné ověření databázových pravidel přístupu;
• silná autentizace administrátorů, princip nejmenších oprávnění a bezodkladné odebrání přístupů;
• šifrování přenosu, bezpečná správa tajných klíčů a řízení změn;
• denní zálohy, test obnovy a sedmidenní rotační retence podle potvrzené produkční konfigurace;
• evidence a vyšetření incidentů, aktualizace závislostí a ochrana proti zneužití;
• mlčenlivost osob, kontrolovaný support přístup a audit administrátorských zásahů.

Příloha C – změny subzpracovatelů

Aktuální veřejný seznam subzpracovatelů tvoří samostatný dokument. O novém subzpracovateli CRM oznámí Detailero Studiu předem e-mailem nebo v aplikaci. Námitka musí být konkrétní a založená na ochraně osobních údajů; nedohodnou-li se strany na řešení, může Studio službu ukončit před zapojením změny.