Tato dohoda o zpracování údajů (dále jen „DPA“) tvoří nedílnou součást Smlouvy mezi společností ELXAO SASU (dále jen „Zpracovatel“) a klientem (dále jen „Správce“) a naplňuje článek 28 nařízení (EU) 2016/679 (dále jen „GDPR“) a francouzský zákon o ochraně osobních údajů.
Definice
Pojmy „osobní údaje“, „zpracování“, „správce“, „zpracovatel“, „dílčí zpracovatel“, „subjekt údajů“, „údaje zvláštní kategorie“ a „porušení ochrany osobních údajů“ mají význam uvedený v článku 4 GDPR. Podmínky smlouvy se vztahují na tuto DPA s výjimkou případů, kdy je tato DPA výslovně převažuje.
Předmět, doba a povaha zpracování
| Položka | Popis |
|---|---|
| Předmět | Poskytování služeb marketingových operací (webové stránky, SEO, placená média, analýzy, CRM/e-mail, branding, sociální média, lokalizace, PM/události) jménem Správce. |
| Trvání | Doba trvání zakázky plus doby uchování uvedené níže. |
| Příroda a účel | Ukládání, organizace, analýza, přenos, hostování a mazání osobních údajů, jak je požadováno pro poskytování Služeb. |
| Kategorie subjektů údajů | Koncoví uživatelé správce, potenciální zákazníci, zákazníci, předplatitelé, zaměstnanci, dodavatelé a účastníci akcí. |
| Kategorie osobních údajů | Identifikační údaje (jméno, titul), kontaktní údaje (e-mail, telefon, poštovní adresa), profesní údaje (společnost, role), online identifikátory (IP, soubory cookie, ID zařízení), údaje o chování (kliknutí, relace, konverze), obchodní údaje (objednávky, fakturace), údaje o událostech (registrace, účast, odznaky, nahrávky). |
| Údaje zvláštní kategorie | Ve výchozím nastavení nezpracováno. Jakákoli výjimka vyžaduje písemný pokyn a další bezpečnostní opatření. |
Role a pokyny
Správce určuje účely a prostředky zpracování. ELXAO zpracovává osobní údaje výhradně na základě zdokumentovaných pokynů Správce, které jsou formalizovány Smlouvou, objednávkami, SLA, Zásadami ochrany osobních údajů Správce a jakýmikoli konkrétními písemnými pokyny zaslanými poté. ELXAO bude bez zbytečného odkladu informovat Správce, pokud zváží pokyn k porušení zákona o ochraně údajů.
Důvěrnost personálu
ELXAO zajišťuje, že každý jednotlivec oprávněný zpracovávat osobní údaje je vázán vymahatelnou povinností mlčenlivosti (pracovní smlouva, smlouva na volné noze nebo NDA) a absolvoval školení o ochraně osobních údajů odpovídající jeho roli.
Bezpečnostní opatření
ELXAO zavádí vhodná technická a organizační opatření (článek 32 GDPR), včetně:
- Šifrování TLS 1.2+ při přenosu a šifrování AES-256 v klidu pro úložiště produkčních dat.
- Řízení přístupu na základě rolí s principem nejmenšího oprávnění; povinné vícefaktorové ověřování pro všechny administrátory.
- Posílená infrastruktura hostovaná v EU s pravidelným skenováním zranitelností a opravami.
- Kontrola kódu, správa tajemství, zabezpečené SDLC a oddělení produkčních/stagingových prostředí.
- Centralizované protokolování chráněné integritou; upozornění na podezřelé události ověřování a exportu dat.
- Šifrované, geograficky oddělené zálohy s dokumentovanými testy obnovy.
- Postupy nástupu a odchodu personálu, správce hesel, zabezpečené notebooky s šifrováním celého disku.
- Plány kontinuity provozu a reakce na incidenty přezkoumány alespoň jednou ročně.
Dílčí zpracování
Správce uděluje ELXAO obecné oprávnění zapojit dílčí zpracovatele k provádění konkrétních činností zpracování (hosting, doručování e-mailů, analýzy, reklamní platformy, nástroje zákaznické podpory, platformy pro správu událostí). ELXAO vede aktuální seznam dílčích zpracovatelů, který je na vyžádání k dispozici na adrese [email protected], a bude o jakémkoli zamýšleném přidání nebo nahrazení informovat nejméně třicet (30) dní předem, během nichž může Správce vznést námitky z přiměřených důvodů ochrany údajů. ELXAO ukládá každému dílčímu zpracovateli povinnosti ochrany údajů, které nejsou méně ochranné než ty, které jsou stanoveny v tomto DPA.
Mezinárodní převody
Osobní údaje jsou zpracovávány především v rámci Evropského hospodářského prostoru (EHP). Pokud zpracování zahrnuje převod mimo EHP do země bez rozhodnutí o přiměřenosti, ELXAO se opírá o vhodná ochranná opatření podle článku 46 GDPR, zejména standardní smluvní doložky (SCC) Evropské komise ze 4. června 2021, doplněné o jakákoli další opatření požadovaná na základě posouzení dopadu převodu.
Asistence Kontrolorovi
ELXAO pomáhá správci vhodnými technickými a organizačními opatřeními při plnění jeho povinností reagovat na žádosti subjektů údajů (články 12–22 GDPR) a při zajišťování souladu s články 32–36 GDPR (zabezpečení, oznámení o porušení, DPIA, předchozí konzultace). Standardní asistence je součástí Služeb; podstatná práce přesahující jeden (1) pracovní den na žádost může být po písemném upozornění účtována za aktuální profesionální sazby ELXAO.
Porušení osobních údajů
ELXAO oznámí správci bez zbytečného odkladu a v každém případě do sedmdesáti dvou (72) hodin poté, co se dozví o porušení zabezpečení osobních údajů, které má vliv na údaje správce. Oznámení zahrnuje povahu narušení, kategorie a přibližné dotčené objemy, pravděpodobné důsledky a přijatá nebo navržená opatření k jeho řešení.
Audity
ELXAO zpřístupní Správci na přiměřenou žádost a ne více než jednou ročně (s výjimkou případů po porušení) informace nezbytné k prokázání souladu s tímto DPA, včetně zpráv typu ISO 27001 / SOC 2 od dílčích zpracovatelů, pokud jsou k dispozici. Audity na místě může provádět Správce nebo vzájemně schválený auditor třetí strany zavázaný mlčenlivostí na náklady Správce, s přiměřeným předchozím upozorněním a během pracovní doby způsobem, který nepřiměřeně nenaruší provoz ELXAO.
Vrácení nebo vymazání dat
Po ukončení Smlouvy ELXAO na základě volby Správce vyjádřené do třiceti (30) dnů buď vrátí všechny osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu, nebo je vymaže ze všech produkčních a provozních systémů. Záložní kopie se mažou ve standardním cyklu rotace (až devadesát (90) dní) a mohou být uchovány i po uplynutí této doby, pouze pokud to vyžadují platné zákony, v takovém případě se na ně vztahují povinnosti týkající se bezpečnosti a důvěrnosti podle tohoto DPA.
Odpovědnost
Na nároky vyplývající z této DPA se vztahují ustanovení o odpovědnosti MSA. Každá strana zůstává odpovědná vůči subjektům údajů a dozorovým úřadům v souladu s článkem 82 GDPR.
Kontakt
V případě jakýchkoli dotazů, požadavků nebo upozornění týkajících se ochrany údajů podle tohoto DPA kontaktujte ELXAO na [email protected].