Smlouva o zpracování osobních údajů (DPA)

1. Předmět a doba trvání

Zpracovatel zpracovává osobní údaje jménem Správce za účelem poskytování DocTracker SaaS application.

Doba zpracování: po dobu trvání hlavní smlouvy a jakéhokoli použitelného období uchování.

2. Povaha a účel zpracování

Zpracování zahrnuje ukládání, organizaci, strukturování, vyhledávání, nahlížení, předávání, omezení a výmaz Customer Data.

Účel: poskytování platformy pro správu dokumentů ve workspace.

3. Typy osobních údajů

Mohou zahrnovat:

• identifikační údaje (jméno, e-mail)
• dokumenty nahrané Správcem nebo jeho klienty
• finanční nebo obchodní záznamy
• metadata (termíny, stavy, activity logs)

Zpracovatel záměrně neshromažďuje zvláštní kategorie údajů, může je však zpracovávat, pokud je nahraje Správce.

4. Kategorie subjektů údajů

• klienti Správce
• zaměstnanci
• dodavatelé
• jiné osoby, jejichž údaje jsou nahrány

5. Povinnosti Zpracovatele

Zpracovatel je povinen:

• Zpracovávat údaje pouze na základě doložených pokynů Správce.
• Zajistit důvěrnost.
• Zavést vhodná technická a organizační opatření (Annex I).
• Informovat Správce bez zbytečného odkladu a nejpozději do 48 hodin od okamžiku, kdy se dozví o porušení zabezpečení osobních údajů.
• Poskytnout Správci součinnost při žádostech subjektů údajů.
• Poskytnout součinnost při DPIA, pokud je vyžadováno.
• Po ukončení vymazat nebo vrátit osobní údaje.
• Zpřístupnit informace nezbytné k prokázání souladu.

6. Subzpracovatelé

Správce uděluje obecné povolení pro subzpracovatele.

Aktuální subzpracovatelé zahrnují:

• Vercel (EU region - Germany)
• Neon (EU region - Germany)
• Cloudflare (EU region)
• Google LLC (United States and/or European Union)
• Resend (USA)
• Stripe (United States and/or European Union)
• Upstash (EU region - Germany)

Zpracovatel bude informovat Správce o změnách.

Zpracovatel zůstává plně odpovědný za subzpracovatele.

7. Mezinárodní předávání

Customer Data mohou být některými subzpracovateli předávány mimo EHP (například Resend a/nebo Stripe, pokud je to relevantní).

Zpracovatel se opírá o vhodné záruky, včetně Standard Contractual Clauses, pokud se použijí.

8. Uchování a výmaz

• Údaje jsou uchovávány po dobu aktivního účtu.
• Po smazání účtu: soft deletion okamžitě.
• Trvalý výmaz z primární databáze do 30 dnů.
• Veškeré související údaje, včetně dokumentů, metadat a záznamů aktivit, jsou smazány při odstranění příslušného pracovního prostoru.
• Některé provozní záznamy (včetně záznamů o doručení e-mailů) mohou být zpracovávány a uchovávány subzpracovateli v souladu s jejich nezávislými zásadami uchovávání údajů.

9. Audit

Správce může provádět audity založené na dokumentaci jednou ročně s předchozím upozorněním 30 dnů.

Audit nesmí narušit provoz Zpracovatele ani přístup k údajům jiných zákazníků.

Annex I - Bezpečnostní opatření

• TLS šifrování při přenosu
• Šifrování při uložení (na úrovni databáze)
• Řízení přístupu na základě rolí (owner/client)
• Logická izolace workspace
• Activity logging
• Denní automatizované čištění smazaných dat
• Žádný přístup zaměstnanců k produkčním datům