Smlouva o zpracování osobních údajů

1. Předmět a trvání

Předmětem zpracování je poskytování digitální platformy WaiverKit pro prohlášení o zproštění odpovědnosti správci. Zpracování probíhá tak dlouho, dokud správce udržuje aktivní účet, a po jakoukoli příslušnou dobu uchovávání po ukončení popsanou v oddílu 11.

2. Povaha a účel zpracování

Zpracovatel zpracovává osobní údaje výhradně za účelem hostování, doručování, zabezpečení a podpory služby WaiverKit: shromažďování a ukládání podepsaných prohlášení, generování PDF záznamů, odesílání transakčních e-mailů, ověřování uživatelů, zpracování plateb a tvorby analytických přehledů jménem správce.

3. Typy osobních údajů a kategorie subjektů údajů

Zpracovávané osobní údaje mohou zahrnovat:

• Identifikační údaje podepisujícího (jméno, datum narození, adresa, e-mail, telefon)
• Obrázky podpisů a psané podpisy
• Údaje o zákonném zástupci u nezletilých signatářů
• Údaje o firemním uživatelském účtu (jméno, e-mail, ověřovací identifikátory, IP adresa)

Kategorie subjektů údajů zahrnují: účastníky podepisující prohlášení, zákonné zástupce nezletilých účastníků a zaměstnance nebo oprávněné uživatele správce.

4. Povinnosti a práva správce

Správce odpovídá za zákonnost shromažďování a zpracování osobních údajů, za získání veškerých nezbytných souhlasů od subjektů údajů, za přesnost pokynů udělených zpracovateli a za to, že šablony a postupy prohlášení, které si konfiguruje, odpovídají platným právním předpisům. Správce si ponechává veškerá práva k osobním údajům a může kdykoli vydat zpracovateli zdokumentované pokyny.

5. Dílčí zpracovatelé

Správce zmocňuje zpracovatele k zapojení následujících dílčích zpracovatelů při poskytování služby:

• Clerk (ověřování, správa relací a adresář uživatelů).
• Stripe (zpracování plateb a fakturace předplatného).
• Resend (transakční doručování e-mailů).
• Cloudflare R2 (ukládání objektů pro obrázky podpisů a PDF soubory).
• Vercel (hostování aplikace, okrajová síť a směrování požadavků).
• Neon (Postgres) (spravovaný hosting databáze Postgres pro strukturovaná data).

Zpracovatel upozorní správce na jakékoli zamýšlené přidání nebo výměnu dílčích zpracovatelů a poskytne mu přiměřenou možnost vznést námitku z oprávněných důvodů.

6. Bezpečnostní opatření

Zpracovatel zavádí vhodná technická a organizační opatření k ochraně osobních údajů, včetně:

• Šifrování při přenosu (TLS 1.2+) i v klidu pro databázové a objektové úložiště
• Řízení přístupu podle rolí a IAM s principem nejmenších oprávnění v celé infrastruktuře
• Vynucená izolace nájemců na aplikační i dotazovací vrstvě
• Auditní protokolování administrativních akcí a přístupu k osobním údajům
• Pravidelné zálohování, automatizované skenování závislostí a postupy reakce na incidenty

7. Práva subjektů údajů

S ohledem na povahu zpracování bude zpracovatel vhodnými technickými a organizačními opatřeními nápomocen správci při plnění jeho povinnosti reagovat na žádosti subjektů údajů, které uplatňují svá práva na přístup, opravu, výmaz, omezení, přenositelnost a vznesení námitky podle článků 15 až 22 GDPR.

8. Oznámení o porušení zabezpečení údajů

Zpracovatel oznámí správci bez zbytečného odkladu, v každém případě do 72 hodin od okamžiku, kdy se dozví o porušení zabezpečení osobních údajů dotýkajícím se údajů správce. Oznámení popíše povahu porušení, jeho pravděpodobné důsledky, přijatá nebo navrhovaná opatření a kontaktní místo pro další informace.

9. Mezinárodní předávání

Pokud jsou osobní údaje předávány mimo Evropský hospodářský prostor, Spojené království nebo Švýcarsko do země bez rozhodnutí o odpovídající ochraně, řídí se takové předávání standardními smluvními doložkami Evropské komise (SCC) a případně dodatkem Spojeného království k mezinárodnímu předávání údajů a švýcarským dodatkem, spolu s dodatečnými opatřeními vyžadovanými na základě posouzení dopadu předávání.

10. Práva auditu

Zpracovatel poskytne správci veškeré přiměřeně nezbytné informace k prokázání souladu s touto DPA a umožní audity i inspekce prováděné správcem nebo auditorem pověřeným správcem a bude při nich spolupracovat, s výhradou přiměřených povinností mlčenlivosti a nejvýše jednou za kalendářní rok, s výjimkou případu zdokumentovaného bezpečnostního incidentu nebo regulačního požadavku.

11. Ukončení, vrácení a smazání

Po ukončení smlouvy zpracovatel podle volby správce vymaže nebo vrátí všechny osobní údaje zpracovávané jménem správce a vymaže existující kopie, pokud platné právní předpisy nevyžadují jejich další uložení. Zálohy obsahující osobní údaje budou smazány v rámci běžného cyklu uchovávání záloh.