Smlouva o zpracování osobních údajů

Obsah

1. 1. Rozsah, role a definice
2. 2. Podrobnosti o Zpracování
3. 3. Pokyny Zákazníka
4. 4. Mlčenlivost oprávněných osob
5. 5. Bezpečnostní opatření
6. 6. Další zpracovatelé
7. 7. Umístění dat a mezinárodní předávání
8. 8. Součinnost při žádostech Subjektů údajů
9. 9. Oznamování Porušení zabezpečení osobních údajů
10. 10. Posouzení vlivu a konzultace s regulačními orgány
11. 11. Informace a audity
12. 12. Vrácení a smazání dat
13. 13. Žádosti vládních orgánů
14. 14. Odpovědnost
15. 15. Doba trvání a přednost
16. 16. Kontakt pro ochranu údajů a záznamy o činnostech zpracování
17. Příloha 1: Podrobnosti o Zpracování
18. Příloha 2: Technická a organizační opatření
19. Příloha 3: Další zpracovatelé

Verze: 1.2 · Zveřejněno: 16. října 2026 · Účinnost: přijetím u nových Pracovních prostorů; u Pracovních prostorů, které přijaly dřívější Verzi, dnem, který STAK uvede ve svém oznámení podle článku 20 Podmínek poskytování služeb zákazníkům · Rozhodující znění: anglické (článek 23.9 Podmínek poskytování služeb zákazníkům)

Vydavatel: Společnost STAK Global, LLC, společnost s ručením omezeným založená ve státě Delaware, Spojené státy americké (evidenční číslo 10798493), která vlastní STAK (ستاك) a Služby. Kontakt: [email protected].

1. Rozsah, role a definice

1.1 Tato Smlouva o zpracování osobních údajů tvoří nedílnou součást Smlouvy podle článku 3.1 Podmínek poskytování služeb zákazníkům STAK („Podmínky“). Upravuje Zpracování Osobních údajů zákazníka společností STAK. Výrazy definované v Podmínkách mají v této Smlouvě o zpracování osobních údajů stejný význam.

1.2 Zákazník je Správcem Osobních údajů zákazníka a STAK je Zpracovatelem, který je zpracovává jménem Zákazníka a podle jeho pokynů.

• Správce a Zpracovatel znamenají jejich ekvivalenty podle Platných právních předpisů o ochraně osobních údajů, například řídící subjekt a zpracovávající subjekt v Saúdskoarabském království.
• Pokud Zákazník zpracovává data jako zpracovatel jménem jiného správce, STAK je zpracovává jako zpracovatel jednající pro Zákazníka a není Dalším zpracovatelem ve smyslu článku 1.3. Zákazník zajistí, aby jeho pokyny byly v souladu s pokyny tohoto správce.
• STAK zpracovává Údaje o účtu jako Správce, jak je popsáno v Zásadách ochrany osobních údajů, a tato Smlouva o zpracování osobních údajů se na ně nevztahuje. Ani tento odkaz, ani odkaz v Příloze 3 nezakládá smluvní povinnosti podle článku 3.2 Podmínek.

1.3 Následující výrazy mají význam uvedený u každého z nich:

• Osobní údaje zákazníka: Osobní údaje obsažené v Datech zákazníka, včetně údajů o Koncových zákaznících, zaměstnancích, dodavatelích a Uživatelích Zákazníka, jiné než Údaje o účtu.
• Citlivé osobní údaje: zdravotní a klinická data a jakékoli údaje, které Platné právní předpisy o ochraně osobních údajů klasifikují jako citlivé.
• Zpracování: jakákoli operace prováděná s Osobními údaji, například shromažďování, zaznamenávání, ukládání, vyhledávání, používání, zpřístupňování, předávání a mazání.
• Další zpracovatel: každá strana, kterou STAK pověří zpracováním Osobních údajů zákazníka za účelem poskytování Služeb.
• Subjekt údajů: fyzická osoba, jíž se Osobní údaje týkají.
• Bezpečnostní incident: jakákoli událost, která ohrožuje nebo u níž existuje podezření, že ohrožuje, důvěrnost, integritu nebo dostupnost Služeb.
• Porušení zabezpečení osobních údajů: jakékoli porušení zabezpečení vedoucí k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému zpřístupnění či neoprávněnému přístupu k Osobním údajům zákazníka.
• Záloha: jakákoli kopie Dat zákazníka pořízená pro účely obnovy podle článku 12.3 a Přílohy 2.
• Produkční prostředí: systémy a databáze, na nichž Služby běží a které Zákazník používá, s výjimkou Záloh.
• Platné právní předpisy o ochraně osobních údajů: právní předpisy o ochraně osobních údajů, které se na Zpracování vztahují, každý v rozsahu své působnosti, včetně následujících:
  • ve státě Kuvajt: zákon č. 20 z roku 2014 o elektronických transakcích a nařízení o ochraně soukromí dat, regulační rámec pro cloud computing a politika klasifikace dat vydané Regulačním úřadem pro komunikace a informační technologie, každý v rozsahu své působnosti;
  • zákon o ochraně osobních údajů Saúdskoarabského království vydaný královským dekretem č. (M/19) ze dne 9/2/1443 AH ve znění pozdějších změn, jeho prováděcí nařízení a nařízení o předávání osobních údajů mimo království;
  • ve Spojených arabských emirátech: federální dekret-zákon č. (45) z roku 2021 o ochraně osobních údajů, federální zákon č. (2) z roku 2019 o využívání informačních a komunikačních technologií ve zdravotnictví a právní předpisy o ochraně údajů Dubai International Financial Centre a Abu Dhabi Global Market pro osoby, které jim podléhají;
  • zákon č. (30) z roku 2018, kterým se vydává zákon o ochraně osobních údajů Království Bahrajn;
  • zákon č. (13) z roku 2016 o ochraně soukromí osobních údajů státu Katar;
  • zákon o ochraně osobních údajů vydaný královským dekretem č. (6/2022) Sultanátu Omán;
  • obecné nařízení Evropské unie o ochraně osobních údajů (nařízení (EU) 2016/679), pokud se na Zákazníka vztahuje;
  • obecné nařízení Spojeného království o ochraně osobních údajů a Data Protection Act 2018; švýcarský spolkový zákon o ochraně osobních údajů; California Consumer Privacy Act ve znění pozdějších změn a další komplexní zákony o ochraně soukromí jednotlivých států Spojených států amerických; Personal Information Protection and Electronic Documents Act Kanady a zákony provincií; brazilský Lei Geral de Proteção de Dados (zákon č. 13.709/2018); indický Digital Personal Data Protection Act, 2023; turecký zákon č. 6698 o ochraně osobních údajů; egyptský zákon č. 151 z roku 2020; jihoafrický Protection of Personal Information Act, 2013; singapurský Personal Data Protection Act 2012; australský Privacy Act 1988; a jakýkoli jiný zákon o ochraně osobních údajů, který se na Zpracování vztahuje.

2. Podrobnosti o Zpracování

Příloha 1 stanoví předmět, dobu trvání, povahu a účel Zpracování, kategorie Subjektů údajů a kategorie Osobních údajů.

3. Pokyny Zákazníka

3.1 STAK zpracovává Osobní údaje zákazníka pouze na základě zdokumentovaných pokynů Zákazníka. Těmito pokyny jsou:

• Smlouva;
• nastavení Pracovního prostoru;
• úkony, které Uživatelé provádějí ve Službách;
• jakékoli další písemné pokyny, na nichž se Strany dohodnou.

3.2 STAK může údaje zpracovávat i jinak než podle těchto pokynů, pokud to vyžadují Platné právní předpisy. Zákazníka předem uvědomí, pokud uvědomění zákon nezakazuje.

3.3 STAK uvědomí Zákazníka, pokud se domnívá, že pokyn porušuje Platné právní předpisy o ochraně osobních údajů. Může odmítnout takový pokyn provést, dokud jej Zákazník nezmění tak, aby bylo porušení odstraněno, nebo jej písemně nepotvrdí s uvedením právního základu, který STAK přiměřeně přijme.

3.4 Zákazník odpovídá za zákonnost svých pokynů a za to, že má právní základ pro shromažďování a Zpracování Osobních údajů zákazníka. Zahrnuje to informování Subjektů údajů a získání jejich souhlasu tam, kde je to nutné, včetně souhlasu s předáním jejich údajů podle článku 7.

4. Mlčenlivost oprávněných osob

STAK omezuje přístup k Osobním údajům zákazníka na zaměstnance a dodavatele, kteří jej pro svou práci potřebují, a zavazuje je k mlčenlivosti. Zaměstnanci a dodavatelé společnosti STAK přistupují k Datům zákazníka pouze v následujících případech a začátek každého takového přístupu do Produkčního prostředí se zaznamenává:

• (a) k poskytnutí podpory, o kterou Zákazník požádá;
• (b) k provozu a údržbě Služeb a k jejich obnově ze Záloh;
• (c) k vyšetření Bezpečnostního incidentu nebo podezření na porušení Zásad přijatelného používání;
• (d) pokud to vyžaduje zákon.

5. Bezpečnostní opatření

5.1 STAK uplatňuje vhodná technická a organizační opatření k ochraně Osobních údajů zákazníka s ohledem na povahu a rizika Zpracování. Patří mezi ně alespoň opatření uvedená v Příloze 2.

5.2 STAK může tato opatření aktualizovat za předpokladu, že se celková úroveň ochrany nesníží.

5.3 Zákazník odpovídá za bezpečnostní opatření, která jsou pod jeho kontrolou, například správu Uživatelů a oprávnění, zapnutí dvoustupňového přihlášení, zabezpečení svých zařízení a vybavení a bezpečné uchování dat, která exportuje.

6. Další zpracovatelé

6.1 Zákazník zmocňuje STAK k využívání Dalších zpracovatelů uvedených v Příloze 3.

6.2 STAK musí s každým Dalším zpracovatelem uzavřít písemnou smlouvu. Smlouva musí ukládat povinnosti v oblasti ochrany údajů, které poskytují úroveň ochrany odpovídající Zpracování a v podstatných ohledech rovnocennou této Smlouvě o zpracování osobních údajů. STAK zůstává vůči Zákazníkovi odpovědná za plnění povinností svých Dalších zpracovatelů.

6.3 STAK oznámí Zákazníkovi každého nového Dalšího zpracovatele nejméně 30 dnů předtím, než začne zpracovávat Osobní údaje zákazníka, ve Službách nebo e-mailem.

6.4 Během oznamovací lhůty může Zákazník písemně vznést námitku proti novému Dalšímu zpracovateli z opodstatněných důvodů týkajících se ochrany údajů. Pokud se Strany nemohou dohodnout na řešení, může Zákazník dotčené předplatné nebo Smlouvu ukončit před zahájením Zpracování a získat zpět předem zaplacené Poplatky za zbývající období.

6.5 Připojení poskytovatelé, které Zákazník připojuje prostřednictvím svých vlastních účtů, nejsou Dalšími zpracovateli společnosti STAK. Patří mezi ně Poskytovatelé platebních služeb, společnost Meta ve vztahu k vlastnímu účtu WhatsApp Business Zákazníka a platformy pro doručování. Odesílání údajů těmto poskytovatelům na pokyn Zákazníka je předání prováděné na pokyn Zákazníka a jeho jménem.

6.6 Údaje se poskytovateli Funkcí AI odesílají pouze tehdy, když Uživatel požádá o jednu z těchto funkcí, když Uživatel nahraje dokument, aby jej některá z nich přečetla, například účtenku, nebo když automatizace nastavená Uživatelem provede krok, který využívá AI, a odesílají se pouze údaje nezbytné k provedení tohoto požadavku nebo kroku. Poskytovatel je nesmí používat k trénování svých modelů. Citlivé osobní údaje se mu odesílají pouze tehdy, pokud je obsahuje samotný požadavek nebo krok.

7. Umístění dat a mezinárodní předávání

7.1 Služby jsou hostovány a Osobní údaje zákazníka jsou primárně ukládány v produkčním prostředí Amazon Web Services v regionu Frankfurt ve Spolkové republice Německo. Zálohy se uchovávají ve stejném regionu a jejich kopie se vytvářejí do samostatného regionu Amazon Web Services v Irské republice.

7.2 Zákazník bere na vědomí následující a výslovně povoluje předání, která z toho vyplývají:

• (a) hostování probíhá v Evropské unii, která se může nacházet mimo zemi, v níž je Zákazník usazen nebo podniká;
• (b) společnost Cloudflare zpracovává síťový provoz prostřednictvím své globální sítě neustále;
• (c) ostatní Další zpracovatelé uvedení v Příloze 3 zpracovávají údaje v jiných zemích, včetně Spojených států amerických, pouze tehdy, když je příslušná služba používána;
• (d) zaměstnanci společnosti STAK mohou k údajům přistupovat ze státu Kuvajt, a to pouze v případech uvedených v článku 4.

7.3 Při předávání Osobních údajů zákazníka mimo zemi, v níž byly shromážděny, STAK uplatňuje následující záruky:

• (a) smlouvy uvedené v článku 6.2, včetně standardních smluvních doložek, které má STAK uzavřeny s Dalšími zpracovateli mimo Evropskou unii;
• (b) šifrování při přenosu i při uložení;
• (c) mechanismy předávání uznané Platnými právními předpisy o ochraně osobních údajů, pokud je vyžadují, včetně těch uvedených v článku 7.6.

7.4 Zákazník musí získat veškeré souhlasy či povolení, které právo jeho země vyžaduje k předání Osobních údajů zákazníka mimo tuto zemi, ať již od regulačního orgánu, nebo od Subjektů údajů. STAK na žádost poskytne informace potřebné k tomuto účelu.

7.5 STAK může primární hostování nebo Zálohy přesunout do jiného regionu po oznámení Zákazníkovi nejméně 30 dnů předem a Zákazník může vznést námitku podle článku 6.4, přičemž případné ukončení podle tohoto článku nabývá účinnosti před datem přesunu. Dočasný provoz Služeb ze Záloh v Irské republice po ztrátě primárního regionu hostování není přesunem podle tohoto článku a STAK o něm Zákazníka bez zbytečného odkladu uvědomí.

7.6 Mechanismy předávání vyžadované zákonem: aniž by byl dotčen článek 7.4:

• (a) Pokud se na Zákazníka vztahuje obecné nařízení Evropské unie o ochraně osobních údajů, jsou do této Smlouvy o zpracování osobních údajů odkazem začleněny standardní smluvní doložky přijaté prováděcím rozhodnutím Evropské komise (EU) 2021/914 („standardní doložky EU“): Modul dva (správce – zpracovatel), pokud je Zákazník správcem, a Modul tři (zpracovatel – zpracovatel), pokud údaje zpracovává pro jiného správce. Zákazník je vývozcem údajů a STAK dovozcem údajů. Použije se Doložka 7 (doložka o připojení). Podle Doložky 9(a) se použije Možnost 2 (obecné písemné povolení) s oznamovací lhůtou podle článku 6.3. Nepovinné znění Doložky 11(a) se nepoužije. Podle Doložek 17 a 18 se použije právo a soudy Irské republiky. Příslušný dozorový úřad se určí podle Doložky 13. Jejich přílohy jsou doplněny Přílohami 1, 2 a 3. V případě rozporu mají přednost před Smlouvou.
• (b) Pokud se na Zákazníka vztahuje zákon o ochraně osobních údajů Saúdskoarabského království, jsou do této Smlouvy o zpracování osobních údajů odkazem začleněny Standardní smluvní doložky pro předávání osobních údajů vydané Saúdským úřadem pro data a umělou inteligenci (Saudi Data and Artificial Intelligence Authority), Druhá šablona (správce – zpracovatel). Zákazník je vývozcem údajů a STAK dovozcem údajů a jejich dodatky jsou doplněny Přílohami 1, 2 a 3. STAK poskytne Zákazníkovi informace, které potřebuje pro posouzení rizik předání, jež musí provést podle nařízení o předávání osobních údajů mimo království. V případě rozporu mají přednost před Smlouvou.
• (c) Pokud se na Zákazníka vztahuje federální dekret-zákon č. (45) z roku 2021 Spojených arabských emirátů, uplatňuje STAK na předávané údaje ustanovení, opatření a kontroly tohoto zákona, v rozsahu, v jakém se vztahují na zpracovatele.
• (d) Pokud se na Zákazníka vztahuje obecné nařízení Spojeného království o ochraně osobních údajů, je odkazem začleněn Dodatek o mezinárodním předávání údajů (International Data Transfer Addendum) ke standardním doložkám EU vydaný Úřadem komisaře pro informace Spojeného království (UK Information Commissioner) (verze B1.0, v platnosti od 21. března 2022, ve znění pozdějších změn). Tabulky 1 až 3 jsou doplněny údaji Stran ve Smlouvě a Přílohách 1 až 3. U Tabulky 4 může kterákoli Strana Dodatek ukončit tak, jak to umožňuje jeho Oddíl 19.
• (e) Pokud se na Zákazníka vztahuje švýcarský spolkový zákon o ochraně osobních údajů, uplatní se standardní doložky EU s těmito změnami: švýcarský spolkový pověřenec pro ochranu údajů a informace (Federal Data Protection and Information Commissioner) je příslušným dozorovým úřadem pro předání, na něž se vztahuje tento zákon; odkazy na GDPR zahrnují tento zákon; a „členský stát“ se vykládá tak, aby subjekty údajů ve Švýcarsku mohly uplatňovat nároky ve Švýcarsku.
• (f) Pokud jiné Platné právní předpisy o ochraně osobních údajů vyžadují určitý nástroj předávání, například standardní smluvní doložky brazilského národního úřadu pro ochranu údajů nebo standardní smlouvu podle tureckého zákona č. 6698, STAK tento nástroj na žádost Zákazníka podepíše nebo začlení, přičemž jeho údaje doplní z Příloh 1 až 3.
• (g) Pokud se použije California Consumer Privacy Act nebo obdobný zákon o ochraně soukromí některého státu Spojených států amerických, jedná STAK jako poskytovatel služeb (service provider), dodavatel (contractor) nebo zpracovatel Zákazníka. STAK Osobní údaje zákazníka neprodává ani nesdílí. Neuchovává je, nepoužívá ani nezpřístupňuje pro žádný jiný účel než poskytování Služeb podle Smlouvy ani mimo přímý obchodní vztah se Zákazníkem. Nekombinuje je s osobními informacemi z jiných zdrojů, s výjimkou případů, které tyto zákony umožňují. Tyto zákony dodržuje a poskytuje stejnou úroveň ochrany soukromí, jakou vyžadují. Zákazníka uvědomí, pokud již tyto povinnosti nemůže plnit. Zákazník může podniknout přiměřené kroky k zastavení a nápravě jakéhokoli neoprávněného použití. STAK osvědčuje, že těmto omezením rozumí.

7.7 Data, která musí zůstat v určité zemi: Zákazník nesmí ve Službách uchovávat data, která Platné právní předpisy vyžadují ukládat nebo zpracovávat v rámci určité země, pokud Služby podle článku 9.5 Podmínek neuvádějí, že hostování v dané zemi je pro příslušnou Aplikaci dostupné. Vyplývá to z článku 13.4 Podmínek a článku 5.4 Zásad přijatelného používání.

8. Součinnost při žádostech Subjektů údajů

8.1 Služby poskytují Zákazníkovi nástroje k zobrazení, exportu a opravě Osobních údajů jeho Koncových zákazníků, nástroj k jejich výmazu nahrazením jejich totožnosti aliasem při zachování záznamů, jejichž vedení zákon vyžaduje, a nástroje k zobrazení a opravě údajů jeho zaměstnanců. Zákazník tyto nástroje používá k vyřizování žádostí Subjektů údajů a STAK podle článku 8.3 poskytuje součinnost u všeho, co tyto nástroje nepokrývají, včetně exportu a smazání údajů zaměstnanců.

8.2 Pokud STAK obdrží žádost přímo od Subjektu údajů týkající se Osobních údajů zákazníka, bez zbytečného odkladu ji předá Zákazníkovi a odpoví pouze na základě pokynů Zákazníka.

8.3 STAK poskytne Zákazníkovi přiměřenou součinnost u všeho, co dostupné nástroje nepokrývají.

9. Oznamování Porušení zabezpečení osobních údajů

9.1 STAK uvědomí Zákazníka bez zbytečného odkladu poté, co se dozví o jakémkoli Porušení zabezpečení osobních údajů, které se týká Osobních údajů zákazníka. Učiní tak do 24 hodin od okamžiku, kdy se o něm dozví, pokud je to možné, a v každém případě do 48 hodin.

9.2 Oznámení obsahuje, pokud jsou informace k dispozici:

• (a) povahu porušení;
• (b) kategorie údajů a Subjektů údajů a jejich přibližný počet;
• (c) pravděpodobné důsledky;
• (d) opatření přijatá a navrhovaná k řešení porušení;
• (e) kontaktní místo ve společnosti STAK.

STAK poskytne další informace, jakmile budou k dispozici.

9.3 STAK neprodleně přijme přiměřená opatření k omezení porušení a jeho účinků. Spolupracuje se Zákazníkem při oznamování regulačním orgánům a Subjektům údajů tam, kde je Zákazník povinen tak učinit, s ohledem na lhůty, které zákon pro Zákazníka stanoví. Pokud Platné právní předpisy vyžadují, aby porušení regulačnímu orgánu oznámila sama společnost STAK, učiní tak v požadované lhůtě a uvědomí Zákazníka.

9.4 Oznámení porušení ze strany STAK ani její součinnost při jeho řešení nepředstavují uznání viny nebo odpovědnosti.

10. Posouzení vlivu a konzultace s regulačními orgány

Na žádost Zákazníka poskytne STAK přiměřené informace potřebné k provedení posouzení vlivu na ochranu osobních údajů nebo ke konzultaci s regulačním orgánem, a to v rozsahu, v jakém se týkají Služeb.

11. Informace a audity

11.1 Na žádost Zákazníka poskytne STAK informace, které jsou přiměřeně nezbytné k prokázání souladu s touto Smlouvou o zpracování osobních údajů. Zahrnuje to bezpečnostní dokumentaci a odpovědi na jeden bezpečnostní dotazník ročně.

11.2 Zákazník může na vlastní náklady provést audit nebo jej nechat provést nezávislým auditorem vázaným mlčenlivostí v následujících případech:

• (a) pokud to vyžaduje regulační orgán;
• (b) po Porušení zabezpečení osobních údajů, které se týká jeho údajů;
• (c) pokud informace poskytnuté podle článku 11.1 nejsou dostačující.

Audit podléhá těmto podmínkám:

• Zákazník audit oznámí společnosti STAK nejméně 30 dnů předem.
• Probíhá v pracovní době v Pracovních dnech.
• Audit podle písmene (c) probíhá nejvýše jednou ročně.
• Žádný audit se nevztahuje na zařízení Dalších zpracovatelů. Místo toho postačují jejich certifikace a nezávislé zprávy.
• Žádný audit nezahrnuje přístup k datům jiných zákazníků ani k ničemu, co ovlivňuje jejich bezpečnost.

12. Vrácení a smazání dat

12.1 Zákazník může Osobní údaje zákazníka exportovat kdykoli a po dobu 30 dnů po skončení Smlouvy podle článku 19.5 Podmínek.

12.2 Po uplynutí doby exportu STAK smaže Osobní údaje zákazníka z Produkčního prostředí do 30 dnů, pokud jejich uchování nevyžadují Platné právní předpisy, a s výhradou pozastavení smazání podle článku 19.5 Podmínek po dobu, kdy byl společnosti STAK oznámen soudní spor, vyšetřování nebo žádost příslušného orgánu.

12.3 Zálohy se uchovávají po následující doby uchování:

• (a) obnova k určitému časovému okamžiku a denní Zálohy: 35 dnů ode dne pořízení každé Zálohy;
• (b) noční logické Zálohy databáze (výpisy databáze): 35 dnů;
• (c) měsíční Zálohy: 12 měsíců ode dne pořízení každé Zálohy;
• (d) dřívější verze nahraných souborů: 90 dnů ode dne, kdy jsou nahrazeny nebo smazány.

Pravidla, která se na tyto Zálohy vztahují:

• Denní a měsíční Zálohy a jejich kopie jsou uloženy v zálohovacích trezorech (backup vaults), jejichž politika brání komukoli, včetně vlastních zaměstnanců STAK, smazat Zálohu před uplynutím doby uchování nebo tuto dobu změnit, a jejichž zámek v režimu shody (compliance mode) poskytovatele hostování brání smazání jakékoli Zálohy alespoň během prvních 35 dnů.
• Noční logické Zálohy jsou chráněny proti změně a smazání až do uplynutí doby uchování.
• STAK nemaže žádnou Zálohu před uplynutím doby jejího uchování, a to ani na žádost Zákazníka.
• Všechny Zálohy se uchovávají mimo běžné používání a používají se pouze k technické obnově, s výhradou článku 12.4, nebo tam, kde to vyžaduje zákon.
• Všechny Zálohy obsahující smazaná data vyprší po uplynutí těchto dob, tedy nejpozději do 12 měsíců, a smazaná data jsou poté trvale zničena.
• Na žádost STAK sdělí Zákazníkovi datum, kdy vyprší poslední Záloha obsahující smazaná data, aby to mohl Zákazník sdělit Subjektu údajů.

12.4 Pokud STAK během těchto dob obnoví Zálohu, před zpřístupněním dat znovu provede výmazy provedené podle článku 8.1 a smazání provedená podle článku 12.2 po datu této Zálohy, a to s využitím záznamů o těchto operacích, které vede.

13. Žádosti vládních orgánů

Pokud STAK obdrží závazný požadavek vládního nebo soudního orgánu na zpřístupnění Osobních údajů zákazníka, uvědomí o tom Zákazníka, pokud uvědomění zákon nezakazuje. STAK omezí zpřístupnění na minimum, které požadavek vyžaduje. Požadavky, které přiměřeně považuje za protiprávní, napadne dostupnými právními prostředky.

14. Odpovědnost

Odpovědnost každé Strany podle této Smlouvy o zpracování osobních údajů, včetně její odpovědnosti vůči druhé Straně podle standardních smluvních doložek uvedených v článku 7.6, podléhá ustanovením o omezení odpovědnosti v článku 16 Podmínek, v rozsahu, v jakém tato ustanovení umožňují, a aniž by tím byla dotčena práva Subjektů údajů podle nich.

15. Doba trvání a přednost

15.1 Tato Smlouva o zpracování osobních údajů platí po dobu, po kterou STAK zpracovává Osobní údaje zákazníka.

15.2 Pokud je tato Smlouva o zpracování osobních údajů v rozporu s Podmínkami, má přednost ve věcech týkajících se Osobních údajů zákazníka.

15.3 Pokud Platné právní předpisy o ochraně osobních údajů ukládají donucující povinnost, která je přísnější než tato Smlouva o zpracování osobních údajů, uplatní se tato povinnost v rozsahu své působnosti.

16. Kontakt pro ochranu údajů a záznamy o činnostech zpracování

STAK jmenovala kontaktní osobu pro ochranu údajů, kterou lze zastihnout e-mailem na [email protected]. STAK vede záznamy o činnostech zpracování, které provádí jménem zákazníků, a poskytuje je příslušnému regulačnímu orgánu, pokud to zákon vyžaduje.

Příloha 1: Podrobnosti o Zpracování

• Předmět: poskytování Služeb Zákazníkovi podle Podmínek.
• Doba trvání: doba trvání Smlouvy, doba exportu a smazání po jejím skončení podle článku 12, doby uchování Záloh uvedené v článku 12.3 a doby uchování Dalších zpracovatelů uvedené v Příloze 3.
• Povaha a účel:
  • ukládání a hostování Dat zákazníka;
  • zpracování prodejů, objednávek, rezervací a faktur;
  • správa skladu, účetnictví, lidských zdrojů a mezd;
  • odesílání zpráv, o které Zákazník požádá, prostřednictvím svých vlastních účtů u Připojených poskytovatelů nebo prostřednictvím poskytovatelů zasílání zpráv, které STAK využívá, jakmile budou uvedeni v Příloze 3;
  • poskytování Funkcí AI při jejich používání;
  • Zálohy, zabezpečení a Podpora.
• Kategorie Subjektů údajů:
  • Koncoví zákazníci, hosté a pacienti Zákazníka;
  • jeho zaměstnanci a uchazeči o zaměstnání;
  • Uživatelé;
  • jeho dodavatelé a jejich kontaktní osoby;
  • řidiči a kurýři.
• Kategorie Osobních údajů:
  • identifikační a kontaktní údaje, například jméno, telefon, e-mail, adresa a místo doručení;
  • záznamy o transakcích, objednávkách, rezervacích a fakturách;
  • odkazy spojené s platbami, bez úplných čísel karet;
  • údaje o věrnostním programu, preference a souhlasy;
  • údaje o zaměstnancích Zákazníka, například číslo Civil ID, údaje o pobytu, plat, mezinárodní číslo bankovního účtu (IBAN), docházka a dovolená;
  • fotografie a dokumenty, které Zákazník nahraje;
  • protokoly zpráv a auditní stopa.
• Citlivé osobní údaje: zdravotní a klinická data při používání Aplikací pro kliniky, s výhradou článku 7.7 a článku 13.4 Podmínek, podle nichž se funkce záznamů pacientů nesmějí používat pro pacienty, kterým jsou zdravotní služby poskytovány ve státě Kuvajt nebo ve Spojených arabských emirátech; a zdravotní údaje v personálních složkách, například potvrzení o pracovní neschopnosti. Klinické záznamy a personální složky jsou šifrovány samostatnými klíči a tato data jsou viditelná pouze Uživatelům, kteří mají role oprávněné je vidět. Kódy diagnóz a výkonů v pojistných nárocích a předběžných schváleních a snímky pojistných karet jsou chráněny šifrováním databáze a úložiště podle Přílohy 2.

Příloha 2: Technická a organizační opatření

1. Šifrování:
   • Data při přenosu jsou šifrována protokolem TLS verze 1.2 nebo novější a identita databázového serveru se ověřuje při každém připojení.
   • Data uložená v databázích, na discích, v souborech, v Zálohách a v úložišti tajných údajů jsou šifrována algoritmem AES-256 pomocí klíčů spravovaných prostřednictvím AWS Key Management Service (AWS KMS) nebo poskytovatelem hostování.
   • Personální složky a klinické záznamy jsou navíc šifrovány v rámci aplikace samostatnými klíči a přístupové údaje k Připojeným poskytovatelům jsou uloženy v samostatném úložišti tajných údajů šifrovaném samostatným klíčem.
2. Izolace dat každého zákazníka: každý záznam Dat zákazníka nese identifikátor Podniku, ke kterému patří. Zásady zabezpečení na úrovni řádků (row-level security) v databázi se vztahují na roli aplikace a role aplikace nemá oprávnění je obejít. Omezení se složeným klíčem brání propojení záznamů jednoho Podniku se záznamy jiného.
3. Řízení přístupu:
   • Přístup se uděluje na základě zásady nejmenších oprávnění.
   • Přístup do Produkčního prostředí je omezen na jmenovitě určené zaměstnance společnosti STAK, vyžaduje vícefaktorové ověření a začátek každého přístupu se zaznamenává.
   • Správcovský přístup k serverům probíhá výhradně prostřednictvím AWS Systems Manager, bez přímého přihlášení (SSH).
4. Zabezpečení přihlášení Uživatelů:
   • Pro Uživatele nabízejí Služby přístupové klíče (passkeys), autentizační aplikace a ověřovací kódy zasílané na ověřený telefon.
   • Pro Zákazníka nabízejí přizpůsobitelné role a oprávnění, přístup omezený podle Poboček a v Tarifech, které je zahrnují, pravidla nečinnosti relace a upozornění Vlastníkům na přihlášení z nových zařízení.
5. Auditní stopa: vede se auditní stopa změn, kterou žádný Uživatel nemůže změnit ani smazat. Zaznamenává aktéra, čas, zdroj a adresu IP. Když Zákazník vymaže Osobní údaje Koncového zákazníka podle článku 8.1, záznamy ztratí identifikační údaje dané osoby, ale zachovají, co se stalo, kým a kdy. Auditní stopa se maže spolu s Daty zákazníka podle článku 12. Účetní zápisy jsou propojeny v řetězci, který odhalí jakoukoli manipulaci.
6. Zálohy a obnova:
   • automatizované, průběžné Zálohy umožňují obnovu k určitému časovému okamžiku do 35 dnů;
   • denní Zálohy se uchovávají 35 dnů a měsíční Zálohy 12 měsíců a kopírují se do samostatného geografického regionu v Irské republice. Politika zálohovacích trezorů brání jejich smazání před uplynutím doby uchování i jakékoli změně této doby a zámek v režimu shody (compliance mode) brání smazání jakékoli Zálohy alespoň během prvních 35 dnů;
   • každou noc se pořizuje logická Záloha databáze, která se uchovává 35 dnů v úložišti chráněném proti změně a smazání;
   • obnova databáze ze Záloh se testuje každý měsíc.
7. Platební údaje: Služby jsou navrženy tak, aby STAK neukládala úplná čísla karet. Platby se provádějí na stránkách hostovaných Poskytovateli platebních služeb nebo na jejich certifikovaných terminálech pro přijímání karet a v jejich aplikacích. Obrazovky Služeb neobsahují žádná pole pro zadání údajů o kartě a Služby umožňují Zákazníkovi prohledávat pole s volným textem, zda neobsahují omylem zadaná čísla karet, aby je bylo možné odstranit.
8. Síť a infrastruktura: databáze běží v privátních sítích, které nejsou veřejně dostupné, za firewally. Firewall webových aplikací a ochrana proti útokům typu odepření služby jsou zajišťovány prostřednictvím Cloudflare.
9. Správa zranitelností a bezpečný vývoj: kód se kontroluje a před každým vydáním se spouštějí automatizované testy. Softwarové knihovny se kontrolují a bezpečnostní aktualizace se aplikují bez zbytečného odkladu.
10. Monitorování a reakce na incidenty:
    • cloudová infrastruktura je automaticky monitorována nepřetržitě, s okamžitými upozorněními;
    • každá správcovská akce v cloudové infrastruktuře se zaznamenává a hrozby a nadbytečná oprávnění se automaticky odhalují prostřednictvím specializovaných služeb Amazonu (AWS CloudTrail, GuardDuty a IAM Access Analyzer);
    • pro reakci na Bezpečnostní incidenty a pro oznamování podle článku 9 platí zdokumentované postupy.
11. Kontinuita provozu: platí plány kontinuity a obnovy v souladu s cíli obnovy uvedenými ve Smlouvě o úrovni služeb.
12. Personál: Zaměstnanci a dodavatelé společnosti STAK jsou vázáni mlčenlivostí a absolvují školení o bezpečnostním povědomí.
13. Bezpečné smazání: data se mažou podle článku 12 a poskytovatel hostování ničí média v souladu se svými standardy.

Příloha 3: Další zpracovatelé

Poskytovatelé využívaní pouze po zapnutí. STAK má nastavené následující poskytovatele, ale v současnosti je nepoužívá ke Zpracování Osobních údajů zákazníka. Kteréhokoli z nich začne využívat až po oznámení podle článku 6.3 učiněném nejméně 30 dnů předem a oznámení uvede, kde poskytovatel údaje zpracovává a jak dlouho je uchovává.

Jakmile STAK zapne své vlastní číslo WhatsApp, odesílá z něj společnost Meta přihlašovací kódy Uživatelům a ověřovací kódy Koncovým zákazníkům, kteří na Veřejných stránkách ověřují svá telefonní čísla. Tím zpracovává údaje, které STAK zpracovává jako Správce podle Zásad ochrany osobních údajů, nikoli Osobní údaje zákazníka.

Kromě výše uvedených poskytovatelů STAK ke Zpracování Osobních údajů zákazníka nevyužívá poskytovatele textových zpráv, push oznámení, digitálních peněženek ani vyhledávání adres, ověřování a mapování.