Zpracovatelská smlouva

Tato zpracovatelská smlouva (dále jen „Smlouva“) tvoří Přílohu č. 1 Podmínek pro poskytování služeb Shoptet doplňku a upravuje zpracování osobních údajů podle čl. 28 GDPR.

Správce: provozovatel e-shopu (v Podmínkách označený jako Klient)
Zpracovatel: SAIMON, s.r.o., IČ: 11971258, Revoluční 1403/28, 110 00 Praha 1

1.1Zpracovatel zpracovává osobní údaje návštěvníků e-shopu Správce výhradně za účelem poskytování Služeb podle Podmínek, tedy zejména vyhledávání, doporučování produktů, nákupního asistenta a souvisejícího reportingu.

1.2Povahou zpracování je automatizovaný sběr a vyhodnocování údajů o chování návštěvníků na e-shopu Správce.

1.3Zpracování trvá po dobu trvání smluvního vztahu podle Podmínek.

2.1Subjekty údajů jsou návštěvníci e-shopu Správce.

2.2Zpracovávanými osobními údaji jsou: pseudonymní identifikátor návštěvníka a relace, URL navštívené stránky, čas události, jazyk a měna, vyhledávací dotazy, zobrazené a rozkliknuté produkty a kategorie, vložení do košíku a údaje o dokončeném nákupu, a dále IP adresa a hlavička prohlížeče v provozních protokolech.

2.3Zpracovatel nezpracovává jméno, e-mailovou adresu, telefonní číslo, adresu ani zákaznické identifikátory ze systému Správce. Zpracovatel nezpracovává zvláštní kategorie osobních údajů podle čl. 9 GDPR.

3.1Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, včetně pokynů týkajících se předání do třetí země, ledaže mu takové zpracování ukládá právo Evropské unie nebo členského státu.

3.2Zpracovatel zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti.

3.3Zpracovatel přijímá technická a organizační opatření podle čl. 32 GDPR, uvedená v Příloze A této Smlouvy.

3.4Zpracovatel neprodleně informuje Správce, má-li za to, že jeho pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.

4.1Správce uděluje Zpracovateli obecné povolení zapojit do zpracování další zpracovatele (subdodavatele).

4.2Aktuální jmenný seznam subdodavatelů poskytuje Zpracovatel Správci při zahájení poskytování Služeb a dále kdykoli na vyžádání.

4.3Zamýšlenou změnu v osobě subdodavatele Zpracovatel oznámí Správci nejméně 30 dní předem. Správce může v této lhůtě vznést odůvodněnou námitku.

4.4Zpracovatel uloží každému subdodavateli stejné povinnosti, jaké jsou uvedeny v této Smlouvě, a odpovídá Správci za plnění jejich povinností.

5.1Zpracovatel je Správci nápomocen při plnění povinnosti reagovat na žádosti subjektů údajů podle kapitoly III GDPR, a to bez zbytečného odkladu po obdržení žádosti Správce.

5.2Zpracovatel je Správci nápomocen při zajišťování souladu s čl. 32 až 36 GDPR, s ohledem na povahu zpracování a informace, které má k dispozici.

5.3Vzhledem k pseudonymní povaze zpracovávaných údajů je pro vyřízení žádosti subjektu údajů nezbytné, aby Správce sdělil Zpracovateli příslušný identifikátor návštěvníka.

6.1Zpracovatel ohlásí Správci každé porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, nejpozději do 72 hodin.

6.2Oznámení obsahuje popis povahy porušení, jeho pravděpodobné důsledky a přijatá či navrhovaná opatření.

7.1Po ukončení poskytování Služeb Zpracovatel bez zbytečného odkladu vymaže veškeré osobní údaje zpracovávané pro Správce, nestanoví-li právo Evropské unie nebo členského státu jinak.

7.2Na žádost Správce vystaví Zpracovatel potvrzení o výmazu.

8.1Zpracovatel poskytne Správci na jeho žádost informace potřebné k doložení splnění povinností podle čl. 28 GDPR.

8.2Zpracovatel umožní Správci nebo jím pověřenému auditorovi kontrolu, a to po předchozí dohodě, v pracovní době a způsobem, který nenaruší provoz Zpracovatele. Náklady kontroly nese Správce.

9.1Tato Smlouva se uzavírá na dobu trvání smluvního vztahu podle Podmínek.

9.2Tato Smlouva se řídí právním řádem České republiky.

Pseudonymizace. Návštěvníci jsou vedeni pod náhodnými identifikátory. Zpracovatel nezpracovává údaje umožňující přímou identifikaci osoby.

Oddělení dat. Data jednotlivých e-shopů jsou vedena odděleně a nejsou vzájemně propojována.

Šifrování přenosu. Veškerá komunikace mezi e-shopem Správce a službou Zpracovatele probíhá výhradně přes HTTPS (TLS).

Šifrování při uložení. Úložiště jsou šifrována na úrovni infrastruktury poskytovatelů.

Řízení přístupu. Přístup k produkčním systémům mají pouze pověřené osoby, na základě individuálních přístupových údajů a v rozsahu nezbytném pro výkon jejich práce.

Zálohování a obnova. Zpracovatel provádí pravidelné zálohování a je schopen obnovit dostupnost údajů v případě incidentu.

Monitoring. Dostupnost a chování služby jsou průběžně monitorovány, provozní protokoly jsou uchovávány 14 dní.

Umístění zpracování. Zpracování probíhá na serverech v Evropské unii. Výjimkou je nákupní asistent, u kterého dochází k předání textu dotazu poskytovateli jazykového modelu se zpracováním ve Spojených státech, ošetřenému standardními smluvními doložkami.