Dodatek o zpracování osobních údajů

1. Postavení a předmět

Tento dodatek je uzavřen mezi Studiem jako správcem a Detailero s.r.o. jako zpracovatelem a tvoří součást smlouvy o profesionální službě . Uplatní se na osobní údaje vložené Studiem do CRM pro vlastní podnikání.

2. Doba, povaha a účel

Zpracování trvá po dobu účtu Studia a 30 dní po jeho smazání, než se data nevratně vymažou. Povahou je ukládání, organizace, vyhledávání, zobrazování, úpravy na pokyn Studia, tvorba dokumentů, rozesílání zpráv, zálohování a výmaz. Účelem je provoz CRM, kalendáře, zakázek, fakturace, komunikace a správy pracovníků.

3. Kategorie subjektů a údajů

• Klienti a kontaktní osoby Studia – identifikační, kontaktní, adresní a fakturační údaje, obchodní historie, poznámky a komunikační preference.
• Vozidla klientů – SPZ, VIN, značka, model, rok, barva, vazba na klienta a historie zakázek.
• Zaměstnanci a spolupracovníci Studia – jméno, kontakt, role, přístup, přiřazené zakázky a dostupnost či docházka po jednotlivých dnech.
• Příjemci dokumentů a zpráv – e-mail, obsah a stav doručení nebo odhlášení.

Zpracování zvláštních kategorií údajů není zamýšleno. Studio je nesmí do volných polí vkládat, ledaže je to nezbytné, zákonné a Detailero s tím předem písemně souhlasí.

4. Pokyny správce

Detailero zpracovává údaje pouze na dokumentované pokyny Studia obsažené ve smlouvě, nastavení a oprávněných pokynech podpory. Pokud má za to, že pokyn porušuje právní předpis, upozorní Studio, nebrání-li tomu zákon.

5. Povinnosti Detailera

• zajistit mlčenlivost osob s přístupem;
• přijmout přiměřená technická a organizační opatření;
• pomáhat Studiu při žádostech subjektů údajů, posouzení zabezpečení, incidentech a případném posouzení vlivu;
• vést potřebné záznamy a umožnit přiměřený audit;
• informovat Studio o porušení zabezpečení jeho osobních údajů bez zbytečného odkladu poté, co se o něm dozví;
• po skončení údaje vymazat nebo vrátit podle volby Studia, nebrání-li tomu zákon.

6. Povinnosti Studia

• mít právní titul a splnit informační povinnost vůči klientům a zaměstnancům;
• vkládat pouze přiměřené a správné údaje a aktualizovat je;
• spravovat role, hesla a odcházející pracovníky;
• respektovat odhlášení z marketingu a uchovávat důkaz o souhlasu nebo zákaznické výjimce;
• nepoužívat volné poznámky k nepřiměřenému nebo diskriminačnímu profilování osob;
• bezodkladně hlásit bezpečnostní incidenty a zneužití účtu.

7. Bezpečnostní opatření

• šifrování přenosu pomocí HTTPS/TLS;
• oddělení dat jednotlivých Studií pomocí databázových oprávnění;
• individuální účty a role, omezené administrátorské přístupy;
• EU databázový region, denní zálohy s retencí sedm dní;
• řízení tajných klíčů mimo zdrojový kód, aktualizace a monitoring incidentů;
• postup obnovy a pravidelné ověřování přístupů a kritických toků.

8. Subzpracovatelé

Studio uděluje obecné písemné povolení k využití subzpracovatelů. Detailero oznámí zamýšlenou podstatnou změnu předem a umožní Studiu vznést odůvodněnou námitku.

• Supabase – databáze, autentizace, ukládání souborů a zálohy, EU region;
• Laravel Cloud – hosting aplikačního rozhraní, EU region;
• Cloudflare – hosting webové aplikace, bezpečnost, DNS/CDN a ochrana formulářů;
• Vercel – hosting webu a interní administrace;
• Resend – doručování e-mailů;
• Stripe – předplatné a související platební metadata;
• PostHog – analytika používání aplikace pracovníky Studia;
• Google Maps Platform, CARTO a Photon – mapy a vyhledávání adres;
• Google Firebase a Apple – push notifikace.

Úplný a průběžně aktualizovaný přehled je v seznamu subzpracovatelů . Na subzpracovatele uloží Detailero povinnosti ochrany údajů odpovídající tomuto dodatku. Za jejich plnění vůči Studiu odpovídá v rozsahu GDPR.

9. Předávání mimo EHP

Pokud subzpracovatel zpracovává údaje mimo EHP, Detailero použije platný předávací mechanismus, zejména rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky, a podle potřeby doplňková opatření. Zemi a použitou záruku u každého subzpracovatele uvádí seznam subzpracovatelů ; kopii záruk Detailero Studiu na žádost poskytne.

10. Žádosti subjektů

Obdrží-li Detailero žádost týkající se CRM dat, předá ji bez zbytečného odkladu Studiu a bez jeho pokynu na ni věcně neodpoví, ledaže to vyžaduje zákon. Technickou součinnost v běžném rozsahu poskytuje v ceně služby; mimořádně náročná práce může být po předchozí dohodě zpoplatněna.

11. Incidenty

Jakmile se Detailero dozví o porušení zabezpečení osobních údajů Studia, informuje Studio bez zbytečného odkladu, a to i tehdy, když vyšetřování ještě není uzavřené. Poskytne informace, které v tu chvíli má: povahu porušení, dotčené kategorie a přibližný počet osob a záznamů, pravděpodobné důsledky, přijatá nebo navržená opatření a kontaktní místo. Co ještě neví, doplní postupně, jakmile to zjistí. Ohlášení dozorovému úřadu a subjektům zajišťuje Studio jako správce; Detailero mu s ním poskytne součinnost.

12. Audity

Detailero poskytne Studiu informace potřebné k doložení souladu s článkem 28 GDPR a umožní audity a kontroly prováděné Studiem nebo auditorem, kterého Studio pověří. Běžně se ověření provádí nejvýše jednou ročně, a to nejprve prostřednictvím dokumentace a vzdáleného posouzení. Toto omezení se neuplatní, pokud došlo k porušení zabezpečení osobních údajů Studia, pokud ověření požaduje dozorový úřad nebo jiný orgán veřejné moci, nebo má-li Studio důvodné podezření, že Detailero s jeho údaji nezachází v souladu s tímto dodatkem. Audit nesmí ohrozit bezpečnost jiných zákazníků ani obchodní tajemství a jeho rozsah a termín se dohodnou předem.

13. Ukončení a výmaz

Po skončení služby Detailero na volbu Studia umožní dostupný export nebo data vymaže. Po smazání účtu Studia odstraní aktivní CRM data nevratně po uplynutí 30 dní, během nichž je lze na žádost Studia obnovit nebo vydat faktury; kopie v rotačních zálohách budou přepsány nejpozději do sedmi dní po výmazu a nebudou běžně obnoveny jinak než pro obnovu celého systému po incidentu. Povinně uchovávané údaje budou izolovány.

14. Přednost a kontakt

Při rozporu tohoto dodatku s obecnými obchodními podmínkami má ve věcech zpracování osobních údajů přednost tento dodatek. Kontaktem zpracovatele je info@detailero.com; kontaktem správce je osoba uvedená Studiem v účtu.

15. Rozdělení odpovědnosti

Studio odpovídá za zákonnost pokynů, právní základy, transparentnost, přesnost a retenční pravidla CRM dat, výběr příjemců a zákonnost zpráv. Detailero odpovídá za plnění vlastních povinností zpracovatele. Žádné smluvní ujednání nemění práva subjektů údajů ani pravomoc dozorového úřadu.

16. Vrácení dat a omezení exportu

Detailero poskytne dostupné standardní exporty, pokud jsou v produktu implementovány. Není-li úplný export dostupný, Studio může před ukončením stáhnout faktury a požádat podporu o přiměřenou součinnost.

17. Požadavky orgánů a mlčenlivost

Detailero zajistí, aby osoby oprávněné zpracovávat CRM data byly vázány mlčenlivostí. O právně závazné žádosti orgánu týkající se CRM dat informuje Studio před zpřístupněním, pokud to zákon nezakazuje, a poskytne pouze nezbytný rozsah.

18. Náklady na mimořádnou součinnost

Běžná součinnost podle článku 28 GDPR je zahrnuta ve službě. Mimořádně rozsáhlý audit, individuální export nebo opakovaný požadavek nad běžný rámec lze po předchozím oznámení účtovat podle prokazatelných nákladů, pokud to nebrání účinnému výkonu zákonné povinnosti. Ověření z důvodů, pro které článek 12 roční omezení neuplatňuje, se neúčtuje.

19. Obnova ze záloh

Obnovení zálohy může dočasně vrátit již smazané údaje do izolované obnovovací kopie. Detailero zajistí, aby nebyly znovu běžně používány a byly znovu odstraněny podle výmazového procesu. Záloha neslouží jako archiv Studia ani jako individuální možnost obnovy každého záznamu.

20. Standard důkazů

Detailero může soulad dokládat bezpečnostní dokumentací, přehledem opatření, výsledkem relevantního nezávislého auditu nebo cílenými odpověďmi. Studio nesmí testovat produkční systémy, přistupovat k údajům jiných zákazníků ani provádět penetrační test bez předchozího písemného povolení.

Příloha A – dokumentované pokyny

Pokyny zahrnují operace vyvolané oprávněnými uživateli Studia v aplikaci, nastavení automatických notifikací, generování a odeslání dokumentů, žádosti podpory ověřené oprávněnou osobou a výmaz účtu. Pokyn k obchodnímu sdělení nezbavuje Studio odpovědnosti za jeho zákonnost.

Příloha B – minimální bezpečnostní standard

• oddělení tenantů a pravidelné ověření databázových pravidel přístupu;
• silná autentizace administrátorů, princip nejmenších oprávnění a bezodkladné odebrání přístupů;
• šifrování přenosu, bezpečná správa tajných klíčů a řízení změn;
• denní zálohy, test obnovy a sedmidenní rotační retence podle potvrzené produkční konfigurace;
• evidence a vyšetření incidentů, aktualizace závislostí a ochrana proti zneužití;
• mlčenlivost osob, kontrolovaný support přístup a audit administrátorských zásahů.

Příloha C – změny subzpracovatelů

Aktuální veřejný seznam subzpracovatelů tvoří samostatný dokument. O novém subzpracovateli CRM oznámí Detailero Studiu předem e-mailem nebo v aplikaci. Námitka musí být konkrétní a založená na ochraně osobních údajů; nedohodnou-li se strany na řešení, může Studio službu ukončit před zapojením změny.