Smlouva o zpracování osobních údajů

Tato Smlouva o zpracování osobních údajů („DPA“) je součástí Podmínky služby mezi Passport Digital Limited („my“, zpracovatel) a zákazníkem („vy“, správce). Platí vždy, když při poskytování MyProductPassport zpracováváme osobní údaje vaším jménem, a splňuje článek 28 UK GDPR a případně EU GDPR. Pokud váš pracovní prostor spravuje partner, který drží vaši smlouvu, jsme za stejných podmínek dílčím zpracovatelem tohoto partnera.

1. Podrobnosti o zpracování

• Předmět a doba trvání: poskytování MyProductPassport vám po dobu trvání smlouvy a do smazání dat, jak je popsáno níže.
• Povaha a účel: hosting, ukládání, zveřejňování, překlad a zobrazování vašich dat o produktech a pasů; tvorba statistik zobrazení pasů; podpora; a zálohy.
• Pokud je využíváte, také: zasílání žádostí o informace dodavatelům, které si zvolíte, vedení podepsané historie každého zveřejněného pasu a přihlašování vašeho týmu přes vašeho poskytovatele identity.
• Dotčené osoby: vaši zaměstnanci a členové týmu; osoby uvedené ve vašich datech o produktech a dokumentech; a osoby, které si prohlížejí vaše zveřejněné pasy.
• Druhy osobních údajů: jména, firemní kontaktní údaje a pracovní role; jakékoli osobní údaje, které zahrnete do produktových dat nebo dokumentů; a u návštěvníků pasů země, typ zařízení, prohlížeč, operační systém, odkazující stránka a kódovaný identifikátor návštěvníka (nikdy IP adresa).
• Pokud zapnete poprodejní servis: registrace vlastníků vašich produktů a vedení záznamů o jejich záruce, předávání servisních požadavků, vašich odpovědí a fotografií vašich zákazníků mezi vámi a nimi, umožnění vlastníkům předat produkt dál a ověřování pravosti kusu.
• Dotčené osoby, pokud používáte poprodejní servis: osoby, které registrují některý z vašich produktů, posílají vám servisní požadavek, přebírají produkt od jeho vlastníka nebo ověřují pravost kusu.
• Druhy osobních údajů o nich: jméno a e-mailová adresa; co se rozhodnou doplnit, například telefonní číslo, země, datum a místo nákupu, sériové číslo, zprávy a fotografie; zda souhlasily se zasíláním zpráv od vás, s přesným zněním, které viděly; a u ověření pravosti země a kódovaný identifikátor návštěvníka (nikdy IP adresa).
• Pokud žádáte dodavatele o informace: kontaktní osoby vašich dodavatelů (jméno, e-mailová adresa a společnost) a odpovědi a soubory, které zašlou. Pokud používáte jednotné přihlašování: jméno a e-mailová adresa, které váš poskytovatel identity zasílá pro každou osobu. Podepsaná historie pasu uchovává každou zveřejněnou verzi v podobě, v jaké byla zveřejněna, včetně dřívějších hodnot polí. Maže se spolu s vaším pracovním prostorem a na váš pokyn odstraníme dřívější verze, pokud z nich musí být vymazány osobní údaje.

Služba není určena pro zvláštní kategorie údajů (například údaje o zdraví). Prosíme, nenahrávejte je.

O tom, co se vaši zákazníci dozví, rozhodujete vy. Odkaz na vaše zásady ochrany osobních údajů je v každém formuláři a e-mailu poprodejního servisu a tyto funkce zůstanou vypnuté, dokud je nepřidáte. E-maily vašim zákazníkům odcházejí vaším jménem, s vaší adresou pro odpovědi, přes našeho poskytovatele rozesílání.

2. Naše povinnosti

Zavazujeme se:

• zpracovávat osobní údaje pouze na základě vašich zdokumentovaných pokynů, kterými jsou tyto podmínky a vaše používání služby, pokud právo nevyžaduje jinak; v takovém případě vás o tom předem informujeme, pokud to právo nezakazuje;
• informovat vás, pokud se domníváme, že pokyn porušuje právní předpisy o ochraně údajů;
• zajistíme, aby každý, koho pověříme zpracováním dat, byl vázán mlčenlivostí;
• uplatňovat bezpečnostní opatření popsaná níže;
• využívat dílčí zpracovatele pouze tak, jak je uvedeno níže;
• pomůžeme vám odpovídat na žádosti osob uplatňujících svá práva;
• pomůžeme vám plnit povinnosti v oblasti zabezpečení, ohlašování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace s ohledem na informace, které máme k dispozici;
• po skončení smlouvy vymazat nebo vrátit osobní údaje, jak je popsáno níže;
• zpřístupníme informace potřebné k prokázání plnění těchto povinností a umožníme audity, jak je popsáno níže.

3. Dílčí zpracovatelé

Pověřujete nás využitím těchto dílčích zpracovatelů:

• DigitalOcean prostřednictvím Cloudways: hosting, databáze a zálohy (Londýn, Spojené království).
• Cloudflare: síť, zabezpečení a doručování obsahu (globální síť).
• Brevo (Sendinblue SAS): odesílání servisních e-mailů vám a vašemu týmu a, pokud používáte poprodejní servis, vašim zákazníkům (Francie).
• OpenAI: automatický překlad textu zveřejněných pasů a čtení dokumentů, které se rozhodnete importovat do pasu (Spojené státy).
• Sentry (Functional Software, Inc.): monitorování chyb (Německo, datový region EU).
• Microsoft (Microsoft 365): e-mail pro korespondenci podpory.

Každému dílčímu zpracovateli ukládáme povinnosti ochrany údajů, které nejsou méně ochranné než tato DPA, a za jeho práci vám nadále odpovídáme. O novém dílčím zpracovateli vás informujeme e-mailem nebo v aplikaci nejméně 30 dní před zahájením jeho činnosti. Můžete vznést námitku z oprávněných důvodů ochrany údajů; pokud námitku nevyřešíme, můžete dotčenou službu ukončit a vrátíme vám poplatky zaplacené za období po jejím skončení.

4. Mezinárodní předávání

Vaše data jsou hostována ve Spojeném království, u něhož Evropská komise uznává, že zajišťuje odpovídající ochranu. Pokud dílčí zpracovatel zpracovává osobní údaje v zemi bez rozhodnutí o odpovídající ochraně, spoléháme na standardní smluvní doložky Evropské komise spolu s UK International Data Transfer Addendum, nebo na certifikaci dílčího zpracovatele v rámci EU-US Data Privacy Framework a jeho rozšíření pro Spojené království.

5. Žádosti jednotlivců

Služba vám umožňuje data sami zobrazit, opravit, exportovat a smazat. Pokud nás někdo kontaktuje ohledně osobních údajů, které spravujete vy, předáme vám žádost bez zbytečného odkladu a sami na ni neodpovíme, pokud nás o to nepožádáte.

Vlastníci registrovaných produktů se také mohou sami odhlásit z vašich marketingových e-mailů a smazat svou registraci na stránce vlastníka.

6. Bezpečnostní opatření

• Šifrování při přenosu: TLS na každém připojení s HTTP Strict Transport Security.
• Šifrování v klidu: IČ, DIČ a telefonní číslo uložené v uživatelských účtech jsou v aplikaci šifrované; hesla se ukládají pouze jako jednosměrné hashe.
• Přístup: přístup podle rolí v pracovních prostorech (vlastník, správce, editor, čtenář), volitelné dvoufázové ověření a omezený počet pokusů o přihlášení. Přístup k produkčním serverům mají jen jmenovitě určení správci.
• Protokolování: významné akce se zaznamenávají s uživatelem, časem a IP adresou a uchovávají se 90 dní.
• Návštěvníci pasů: IP adresy se nikdy neukládají; pouze kódovaný identifikátor vytvořený tajným klíčem.
• Poprodejní servis: skryté kódy kusů, klíče zabezpečených tagů a soukromé odkazy v e-mailech vašim zákazníkům se v aplikaci šifrují; fotografie od zákazníků se ukládají soukromě a zobrazují se jen vašemu týmu a zákazníkovi, který je poslal.
• Odolnost: denní zálohy databáze a ochrana Cloudflare proti útokům typu odepření služby.
• Zabezpečení aplikace: přísná zásada zabezpečení obsahu (CSP) s hlášením porušení.

7. Porušení zabezpečení osobních údajů

Pokud se dozvíme o porušení zabezpečení osobních údajů, které se týká vašich dat, budeme:

• informovat vás bez zbytečného odkladu, v každém případě do 48 hodin, e-mailem vlastníkovi vašeho pracovního prostoru;
• poskytneme vám informace potřebné k oznámení Úřadu komisaře pro informace (ICO) nebo vašemu dozorovému úřadu do 72 hodin a budeme je doplňovat, jak se dozvíme víc;
• spolupracovat s vámi na vyšetření a omezení porušení a zaznamenat, co se stalo a co jsme s tím udělali.

Podezření na bezpečnostní problém nám můžete nahlásit na [email protected].

8. Audity

Odpovíme na přiměřené písemné dotazy ohledně dodržování této DPA. Pokud to nestačí, můžete na vlastní náklady provést audit:

• s písemnou výpovědí nejméně 30 dní;
• během běžné pracovní doby;
• auditory vázanými mlčenlivostí;
• nejvýše jednou ročně, pokud porušení nebo regulátor nevyžaduje další.

9. Vrácení a výmaz dat

Svá data můžete kdykoli exportovat a při skončení smlouvy požádat o kompletní export (viz „Přechod k jinému poskytovateli“ v našich Podmínky služby). Když smažete účet, osobní údaje v něm se okamžitě smažou. Pokud smlouva skončí jinak, data smažeme 30 dní po jejím skončení. Kopie v zálohách se přepíší do 60 dní poté. Uchováváme jen to, co vyžaduje zákon, například faktury, a na požádání vám smazání písemně potvrdíme.

Od 26. října 2026 zůstávají pasy baterií dostupné i po smazání účtu, jak je popsáno v Podmínkách služby (nařízení (EU) 2023/1542, čl. 78 písm. e)).

Údaje poprodejního servisu: registrace, kterou nikdo nepotvrdí, se smaže po 30 dnech a údaje pozvaného nového vlastníka se smažou, jakmile je převod přijat, zrušen nebo vyprší jeho platnost. Vlastníci mohou svou registraci sami smazat na stránce vlastníka a vy můžete v přehledu odebrat registraci nebo smazat servisní požadavek. Jinak se tyto údaje smažou spolu s vaším pracovním prostorem.

10. Rozhodné právo

Tato DPA se řídí právem Anglie a Walesu, stejně jako naše Podmínky služby. Pokud EU GDPR vyžaduje, aby se řídila právem členského státu EU, platí irské právo a pravomoc mají soudy Irska. Pokud je tato DPA v rozporu s Podmínkami služby, má v otázkách zpracování osobních údajů přednost tato DPA.

Dotazy k této smlouvě o zpracování: [email protected].