Informativní překlad. V případě rozporu má přednost původní anglická verze, podléhající jurisdikci Irska (Cuandeoro Limited, CRO 813028).
Smlouva o zpracování osobních údajů Veripass
Tvoří součást Obchodních podmínek.
1. Strany a role. Zákazník je správcem. Cuandeoro Limited t/a Veripass je zpracovatelem osobních údajů obsažených v dokumentech Zákazníka a obsahu účtu („Osobní údaje Zákazníka“).
2. Předmět, povaha a účel. Uložení, extrakce, analýza a publikace dat produktových a bateriových pasů, výhradně za účelem poskytování Služby.
3. Doba trvání. Doba trvání předplatného plus lhůta pro výmaz podle článku 11.
4. Kategorie subjektů údajů. Zaměstnanci a uživatelé Zákazníka; kontaktní osoby dodavatelů, zákazníků a laboratoří Zákazníka uvedené v nahraných dokumentech.
5. Kategorie údajů. Jména, pracovní kontaktní údaje, pracovní pozice, podpisy a identifikátory uvedené v dokumentech; údaje uživatelských účtů. Zvláštní kategorie údajů se nepředpokládají. Zákazník je nebude nahrávat.
5A. Povinnosti Zákazníka. Zákazník zajistí, že má právní základ pro zpracování a uděluje zákonné pokyny, informuje subjekty údajů, jak je požadováno, a nenahrává zvláštní kategorie údajů.
6. Povinnosti zpracovatele. Veripass bude:
- (a) zpracovávat pouze na základě doložených pokynů Zákazníka, a to i pokud jde o předání do třetí země, ledaže to vyžaduje právo EU nebo členského státu; v takovém případě Veripass Zákazníka o tomto právním požadavku před zpracováním informuje, pokud tento předpis takové informování nezakazuje z důležitých důvodů veřejného zájmu;
- (b) zajišťovat, aby osoby oprávněné ke zpracování byly vázány povinností mlčenlivosti;
- (c) provádět technická a organizační opatření uvedená v příloze 2;
- (d) poskytovat Zákazníkovi součinnost při žádostech subjektů údajů a při plnění povinností podle Arts. 32-36 GDPR, s ohledem na povahu zpracování;
- (e) poskytovat informace nezbytné k doložení souladu;
- (f) neprodleně informovat Zákazníka, pokud má za to, že pokyn porušuje právní předpisy o ochraně osobních údajů.
7. Další zpracovatelé.
- Zákazník uděluje obecné povolení pro další zpracovatele uvedené v příloze 3.
- Veripass oznamuje nové další zpracovatele e-mailem 30 dní předem. Zákazník může z odůvodněných důvodů vznést námitku a pokud není dohodnuto řešení, ukončit smlouvu bez sankce.
- Veripass ukládá každému dalšímu zpracovateli rovnocenné povinnosti na ochranu údajů a zůstává za něj odpovědný.
8. Mezinárodní předávání. Osobní údaje Zákazníka mohou být zpracovávány ve Spojených státech hostingovým poskytovatelem společnosti Veripass (Cloud Clusters, Inc.) a společností Google (Gemini API, placená úroveň) na základě standardních smluvních doložek (rozhodnutí Komise (EU) 2021/914) a případně rámce EU-US Data Privacy Framework, s doplňujícími opatřeními (šifrování při přenosu i v klidu). Demo soubory se mažou po 24 hodinách.
9. Zpracování pomocí umělé inteligence. Dokumenty zpracovávají poskytovatelé umělé inteligence uvedení v příloze 3 za podmínek, které jim nedovolují používat data Zákazníka k trénování jejich modelů. Vaše dokumenty ani data nepoužíváme k trénování žádného modelu umělé inteligence.
10. Porušení zabezpečení osobních údajů. Veripass informuje Zákazníka bez zbytečného odkladu a v každém případě do 48 hodin od okamžiku, kdy se o porušení týkajícím se Osobních údajů Zákazníka dozví, s informacemi požadovanými podle Art. 33(3) GDPR, jakmile budou k dispozici.
11. Vrácení a výmaz. Podle volby Zákazníka Veripass Osobní údaje Zákazníka vrátí nebo vymaže. Do 60 dnů od ukončení může Zákazník svá data exportovat. Poté Veripass Osobní údaje Zákazníka vymaže do 30 dnů, včetně záloh v rámci jejich rotačního cyklu (maximálně 35 dní), pokud právo EU nebo členského státu nevyžaduje uložení.
12. Audity. Veripass umožňuje audity, včetně inspekcí, prováděné Zákazníkem nebo nezávislým auditorem, jehož Zákazník pověřil a který je vázán povinností mlčenlivosti, a k těmto auditům přispívá. Audity probíhají jednou za 12 měsíců s upozorněním 30 dní předem (častěji po porušení zabezpečení nebo pokud to vyžaduje dozorový úřad), v pracovní době a na náklady Zákazníka. Pokud postačuje, předchází auditu písemný dotazník.
13. Odpovědnost. S výhradou omezení uvedených v Obchodních podmínkách, s výjimkou případů, kdy GDPR omezení neumožňuje.
14. Přednost. V případě rozporu má toto DPA přednost před Obchodními podmínkami ve věcech ochrany osobních údajů.
Příloha 1 · Podrobnosti o zpracování
Jako v článcích 2 až 5.
Příloha 2 · Technická a organizační opatření
- TLS 1.2 nebo vyšší při přenosu; šifrování AES-256 v klidu.
- Přístup založený na rolích, MFA pro zaměstnance, princip nejnižších oprávnění.
- Data Zákazníka jsou logicky oddělena podle účtů.
- Auditní záznam ověření a publikací.
- Denní šifrované zálohy, rotace 35 dní.
- Demo soubory se mažou po 24 h.
- Záplatování kritických zranitelností do 7 dnů.
- Každoroční přezkum těchto opatření.
Příloha 3 · Další zpracovatelé
| Další zpracovatel | Účel | Umístění |
|---|---|---|
| Cloud Clusters, Inc. | Hosting aplikace a stránek pasů | Spojené státy |
| Google (Gemini API, placená úroveň) | Extrakce dat z dokumentů | Spojené státy |
| Cloud Clusters, Inc. (vlastní poštovní server, mailcow) | Spojené státy |
Stripe zpracovává vlastní fakturační údaje společnosti Veripass; nezpracovává Osobní údaje Zákazníka z dokumentů.