DPA a subdodavatelé

Role

U zákaznických dat vystupuje provozovatel Splnit.eu (Marco Zoratto, IČO 23821370, č.p. 424, 78347 Hněvotín, Česká republika, zapsaný v živnostenském rejstříku; ARES: https://ares.gov.cz/ekonomicke-subjekty?ico=23821370) zpravidla jako zpracovatel a zákazník jako správce. U obchodní komunikace a provozních metrik vystupujeme jako správce.

Zákazník určuje účel a prostředky zpracování zákaznických dat v aplikaci. Splnit.eu zpracovává tato data za účelem poskytování služby, bezpečnosti, podpory, údržby, zákonných povinností a dalších dokumentovaných pokynů zákazníka.

Předmět, doba a kategorie údajů

Předmětem zpracování jsou compliance data zákazníka, uživatelské účty, auditní záznamy, evidence, dokumenty, dodavatelské a incidentní záznamy, integrační konfigurace a výsledky automatizovaných testů.

Kategorie subjektů údajů mohou zahrnovat uživatele zákazníka, administrátory, zaměstnance, dodavatele, kontaktní osoby, auditované osoby a další osoby, jejichž údaje zákazník do služby vloží.

Doba zpracování odpovídá době trvání smlouvy a následnému období potřebnému pro vrácení nebo výmaz dat, pokud právo nevyžaduje další uchování.

Pokyny zákazníka

Osobní údaje zpracováváme pouze na základě dokumentovaných pokynů zákazníka, včetně nastavení aplikace, připojených integrací, požadavků podpory a smluvních ujednání.

Pokud by pokyn podle našeho názoru porušoval GDPR nebo jiné právo EU nebo členského státu, zákazníka na to upozorníme, ledaže by nám takové upozornění zakazovalo právo.

Subdodavatelé

V produkčním provozu používáme Vercel a Vercel Blob, Neon, Clerk, Resend, Upstash, Sentry a Inngest. Stripe zajišťuje platby a pro část platebního zpracování vystupuje jako samostatný správce. OpenAI zpracovává podklady pouze při použití volitelné funkce návrhů odpovědí do dotazníků.

Vlastník přijal jako zamýšlený postup oznámení nového nebo náhradního dalšího zpracovatele alespoň 14 dnů předem a 14denní lhůtu pro odůvodněnou námitku na hello@splnit.eu. Přesné smluvní znění čeká na právní kontrolu a vždy je určuje podepsaná DPA.

Smluvní a přenosový stav není uzavřený pro všechny dodavatele: zbývá zejména podepsat a správně zařadit DPA Inngest, potvrdit region a mechanismus předání Upstash a potvrdit přijetí DPA a nastavení uchování u OpenAI. Tento přehled proto není prohlášením o právním schválení dodavatelů.

Bezpečnostní opatření

Data oddělujeme podle organizací, používáme šifrované přenosy, šifrování integračních tokenů, auditní logy, princip nejmenších oprávnění, omezený přístup k produkčním systémům a pravidelné kontroly kritických konfigurací.

Přístup pracovníků a dodavatelů je omezen podle role a potřeby. Osoby oprávněné zpracovávat osobní údaje jsou vázány mlčenlivostí nebo odpovídající zákonnou povinností důvěrnosti.

Bezpečnostní incidenty vyhodnocujeme podle jejich dopadu. Pokud se incident týká zákaznických dat zpracovávaných jako zpracovatel, informujeme zákazníka bez zbytečného odkladu poté, co se o incidentu dozvíme.

Pomoc zákazníkovi

V přiměřeném rozsahu pomáháme zákazníkovi plnit povinnosti podle GDPR, zejména při vyřizování žádostí subjektů údajů, zabezpečení zpracování, posuzování dopadu, oznámení porušení zabezpečení a prokazování souladu.

Po skončení služby zákaznická data podle pokynů zákazníka vrátíme, zpřístupníme k exportu nebo odstraníme, pokud nám právo neukládá další uchování.

Audit a informace

Zákazníkovi poskytneme informace nezbytné k doložení plnění povinností zpracovatele. Audity musí být přiměřené, předem oznámené, nesmí ohrozit bezpečnost jiných zákazníků ani zpřístupnit důvěrné informace třetích stran.

Kontaktní adresa pro DPA, subdodavatele, námitky a bezpečnostní otázky je hello@splnit.eu.