Smlouva o zpracování osobních údajů

Tato smlouva o zpracování osobních údajů ("DPA") je součástí smlouvy mezi Ubytovatelem ("Správce") a Josef Pechar, IČO 24005169 ("Zpracovatel"), o službě UbyHost ("Služba") dle podmínek na /terms. Vytvořením účtu, přihlášením nebo používáním Služby Správce přijímá DPA za sebe i za nastavené právnické osoby. Samostatná písemná DPA mezi stranami má přednost při rozporu.

Velká písmena bez definice mají význam z Podmínek nebo GDPR. "Údaje hostů" jsou osobní údaje hostů zpracované Zpracovatelem pro Správce ve Službě. "Porušení zabezpečení" dle čl. 4 odst. 12 GDPR. "Subzpracovatel" je třetí strana pověřená Zpracovatelem. "Použitelné právo" znamená GDPR, zákon č. 110/2019 Sb. a další závazné předpisy.

U údajů hostů je Správce správcem a určuje účely a prostředky vůči hostům. Zpracovatel zpracovává údaje jen na dokumentovaný pokyn Správce (nastavení ve Službě, UbyPort, podpora) a ne pro vlastní marketing. Zpracovatel je samostatný dodavatel, ne zástupce Správce u úřadů.

Předmět: hostovaný software pro domovní knihu, formuláře hostů, pobyty a volitelné hlášení policii. Doba: po dobu používání Služby a do smazání/vrácení dle čl. 15. Povaha: shromažďování, uložení, uspořádání, vyhledávání, doručování transakčních e-mailů (odkazy k převzetí, upozornění na nedokončení, potvrzení a kopie Správci), přenos, šifrování přihlašovacích údajů, zobrazení oprávněným uživatelům, export a přenos do UbyPortu při zapnutí.

Subjekty: hosté a osoby na dokladech. Kategorie údajů: identita, e-mail k převzetí rezervace, nahlášený počet hostů, kontakt, státní příslušnost, data pobytu, cestovní doklady, adresy, podpisy a metadata ubytování. Údaje personálu Správce spadají do Zásad ochrany osobních údajů.

Správce: dodržuje právo; dává zákonné pokyny a právní titul; udržuje informace pro hosty; neinstruuje protiprávní zpracování; zajišťuje oprávnění uživatelů; vyřizuje žádosti hostů; bez zbytečného odkladu informuje Zpracovatele o námitkách hostů dotýkajících se Služby.

Zpracovatel: zpracovává jen na pokyn; zajišťuje mlčenlivost; uplatňuje opatření dle čl. 10; pověřuje subzpracovatele dle čl. 11; pomáhá dle čl. 12–14; poskytuje informace pro doložení souladu s čl. 28.

Pokyny zahrnují: DPA, Podmínky, Zásady, nastavení ubytování, hlášení a zpráv ve Službě, akce v UI a písemné žádosti na kontakt na /legal. Při protiprávním pokynu Zpracovatel informuje Správce a může zpracování pozastavit, kde to vyžaduje zákon nebo hrozí podstatné riziko.

Zpracovatel zajišťuje mlčenlivost pověřených osob. Údaje hostů neposkytne třetím stranám kromě DPA, Zásad, pokynu Správce nebo zákonné povinnosti s oznámením Správci, kde je to možné.

Zpracovatel uplatňuje přiměřená opatření: řízení přístupu, povinné dvoufázové ověření (TOTP) v produkci, šifrování citlivých údajů a TOTP, HTTPS včetně HSTS na produkční doméně, Cloudflare Turnstile při nastavení a v produkční zóně také Bot Fight Mode, kontrolu uniklých přihlašovacích údajů a monitoring skriptů v prohlížeči, oddělení dat zákazníků, rate limiting přihlášení, zálohy včetně volitelných off-site kopií (Google Drive, Amazon S3) a omezený přístup do produkce. Správce odpovídá za hesla, zařízení, obnovovací kódy a sdílení odkazů hostům. Shrnutí je v Zásadách.

Správce uděluje obecné povolení k subzpracovatelům uvedeným v Zásadách na /privacy (včetně AWS Lightsail, Render.com, Cloudflare včetně Turnstile, Bot Fight Mode, kontroly uniklých údajů, klientské bezpečnosti a HSTS, Google Drive a Amazon S3 pro nastavené zálohy a případně DNS/CDN či transakční e-mail včetně Amazon SES). Zpracovatel ukládá obdobné povinnosti. Odpovídá za subzpracovatele dle čl. 28 odst. 4. O změnách informuje (např. aktualizací Zásad); Správce může vznést oprávněnou námitku a při neřešení ukončit Službu dle Podmínek.

Zpracovatel přiměřeně pomůže technicky na pokyn Správce s žádostmi hostů (přístup, oprava, výmaz, omezení, přenositelnost, námitka), kde je to možné. Hosté kontaktují Správce z informace u ubytování. Za zjevně nepřiměřené žádosti může být úhrada nákladů, pokud to zákon dovolí.

Správce provádí DPIA a konzultace dle čl. 35–36. Zpracovatel na rozumnou písemnou žádost poskytne dostupné informace o Službě a bezpečnosti.

Zpracovatel bez zbytečného odkladu oznámí Správci porušení týkající se údajů hostů s informacemi pro plnění čl. 33–34. Oznámení e-mailem nebo ve Službě. Rozumná spolupráce při nápravě.

Po ukončení nebo na pokyn Správce Zpracovatel smaže nebo vrátí údaje v přiměřené lhůtě, kromě zákonné povinnosti a omezených záloh před vymazáním. Před ukončením použijte export. Anonymizovaná agregovaná data mohou zůstat.

Zpracovatel poskytne informace pro doložení čl. 28 a umožní audit nejvýše jednou za 12 měsíců po 30 dnech, v pracovní době, bez narušení ostatních zákazníků, s mlčenlivostí. Náklady nese Správce, pokud audit neprokáže podstatné porušení Zpracovatelem. Lze nahradit certifikacemi či zprávami třetích stran.

Zpracování primárně v EHP. Při přenosu mimo EHP Zpracovatel zajistí záruky dle kapitoly V (SCC, rozhodnutí o přiměřenosti). Podrobnosti v Zásadách. Správce přenosy autorizuje, pokud písemně nevznesl oprávněnou námitku.

Odpovědnost mezi stranami u údajů hostů řídí Obchodní podmínky včetně limitů a indemnifikace. Každá strana odpovídá subjektům a dozorovým úřadům za vlastní porušení. Omezení neplatí, kde zákon nedovoluje.

Dotazy a pokyny ke zpracování údajů hostů směřujte na Josef Pechar dle /legal (e-mail, pokud je uveden). Uveďte identifikaci účtu a popis požadavku.

Zpracovatel může DPA měnit. Podstatné změny na /dpa s datem účinnosti a pokud možno 30 dní předem. Pokračující používání znamená přijetí, kde zákon dovolí. Správce může ukončit při oprávněné námitce na podstatné zhoršení ochrany.

U údajů hostů má DPA přednost před rozpornými ustanoveními Podmínek. Zásady popisují širší zpracování včetně účtu Správce. Informace pro hosty zajišťuje Správce. Kogentní právo má přednost.

DPA se řídí právem České republiky. Příslušnost soudů v Praze pro podnikatele jako v Podmínkách, s výhradou kogentních pravidel.

Neplatné ustanovení neovlivní zbytek. Strany ho nahradí ustanovením co nejbližším účelu.

Spolu s Podmínkami a Zásadami tvoří DPA úplnou dohodu o zpracování údajů hostů Zpracovatelem, pokud ji nepřepíše pozdější písemná změna.