Dodatek o zpracování osobních údajů (DPA)

1. Rozsah a role stran

Tento Dodatek o zpracování osobních údajů („DPA“) je součástí podmínek CREVORO v rozsahu, v jakém CREVORO zpracovává osobní údaje jménem zákazníka. Zákazník je správcem (nebo zpracovatelem jednajícím pro jiného správce) a Synaria Ltd je zpracovatelem nebo dalším zpracovatelem podle okolností.

U vlastních údajů CREVORO týkajících se účtu, fakturace, zabezpečení a podpory vystupuje Synaria Ltd jako správce a použijí se Zásady ochrany soukromí.

Synaria klub, z.s., IČO 24094412, Děčínská 552/1, Střížkov, 180 00 Praha 8, Česká republika, je zástupcem CREVORO v Evropské unii a kontaktním subjektem pro EU compliance pro příslušné činnosti CREVORO. Zajišťuje kontaktní místo v EU pro subjekty údajů a dozorové úřady. Toto určení nepřevádí roli správce ani zpracovatele ze Synaria Ltd.

2. Podrobnosti zpracování

Předmět: hosting, tvorba, údržba, zabezpečení a provoz zákaznického projektu CREVORO a vyžádaných integrací. Doba: po dobu trvání projektu a případnou omezenou dobu nutnou k odstranění, obnově, zabezpečení nebo splnění právních povinností.

Kategorie údajů mohou zahrnovat jména, kontaktní údaje, identifikátory účtů, rezervace nebo CRM záznamy, metadata objednávek a transakcí, zprávy, nahrané soubory, IP adresy, technické identifikátory a další osobní údaje, které se zákazník rozhodne prostřednictvím projektu zpracovávat.

Subjekty údajů mohou zahrnovat zaměstnance, dodavatele, klienty, zájemce, členy, návštěvníky webu, kupující a další osoby, jejichž údaje jsou do projektu zákonně vloženy.

3. Pokyny zákazníka a mlčenlivost

CREVORO zpracovává zákaznické osobní údaje pouze na základě doložených pokynů, včetně pokynů vyplývajících z používání a konfigurace služby zákazníkem, pokud jiné zpracování nevyžaduje zákon.

Osoby oprávněné zpracovávat zákaznické osobní údaje jsou vázány mlčenlivostí a přístup je omezen podle role a provozní potřeby.

4. Bezpečnostní opatření

CREVORO udržuje technická a organizační opatření odpovídající povaze a riziku zpracování. Patří sem řízení přístupů, oddělení rolí, šifrovaný přenos, kontrolovaný administrátorský přístup, auditní události, izolace build/deploy operací a šifrování citlivých uložených credentials tam, kde je podporováno.

Zákazník odpovídá za projektovou konfiguraci, oprávnění svých uživatelů, obsah, zákonnost sběru osobních údajů a bezpečnostní nastavení závislá na jeho volbě nebo systému třetí strany.

5. Další zpracovatelé

Zákazník povoluje CREVORO využívat další zpracovatele potřebné k poskytování služby, zejména poskytovatele hostingu/infrastruktury, firemního e-mailu, plateb, automatizovaného vývoje/inference a zákazníkem zvolených integrací.

CREVORO bude po zpracovatelích osobních údajů požadovat odpovídající povinnosti k ochraně dat. Pokud to vyžaduje použitelné právo, CREVORO poskytne informace o podstatné změně zpracovatele a přiměřenou možnost vznést legitimní námitku z důvodu ochrany dat.

6. Mezinárodní předávání

Pokud jsou zákaznické osobní údaje předávány do zahraničí způsobem omezeným použitelným právem, CREVORO použije dostupný zákonný mechanismus, například odpovídající ochranu, UK IDTA/Addendum, standardní smluvní doložky nebo jinou uznávanou záruku.

7. Žádosti subjektů údajů a součinnost

S ohledem na povahu zpracování poskytne CREVORO přiměřenou součinnost zákazníkovi při vyřizování žádostí subjektů údajů, plnění bezpečnostních povinností, DPIA a konzultacích s dozorovým úřadem v rozsahu vyžadovaném právem a rozumně možném prostřednictvím služby.

Pokud CREVORO obdrží žádost týkající se zejména projektových dat spravovaných zákazníkem, může žadatele odkázat na zákazníka, pokud zákon nevyžaduje přímou odpověď.

8. Porušení zabezpečení osobních údajů

CREVORO oznámí zákazníkovi bez zbytečného odkladu zjištěné porušení zabezpečení zákaznických osobních údajů v případech, kdy je takové oznámení vyžadováno zpracovatelskými povinnostmi. Poskytneme rozumně dostupné informace potřebné k posouzení a splnění oznamovacích povinností zákazníka.

9. Vrácení a odstranění údajů

Po skončení služby CREVORO zákaznické osobní údaje odstraní nebo vrátí podle použitelných právních povinností a dostupných exportních/mazacích funkcí, pokud jejich další uchování nevyžaduje zákon. Zbytkové kopie v zálohách mohou zůstat do vypršení příslušného zálohovacího cyklu při zachování ochrany a omezení použití.

10. Informace a audity

CREVORO poskytne informace rozumně potřebné k doložení splnění povinností zpracovatele. Audit musí být přiměřený, chránit ostatní zákazníky a bezpečnost CREVORO, zbytečně nenarušovat provoz a před případnou kontrolou na místě běžně využít dostupnou dokumentaci.