Zpracování osobních údajů

https://docs.wdd.systems/zpracovani.html · verze 1.0 · účinnost od 1. 8. 2026

Část A · Smlouva o zpracování osobních údajů

A1Strany a předmět

A1.1 Tuto smlouvu uzavírá Klient jako správce a Poskytovatel jako zpracovatel podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále „GDPR“). Je součástí Smlouvy podle Obchodních podmínek hostingových služeb (dále „Podmínky“); pojmy s velkým počátečním písmenem mají význam podle Podmínek.

A1.2 Je-li Klient sám zpracovatelem pro jiného správce, je Poskytovatel jeho dalším zpracovatelem a Klient odpovídá za to, že k zapojení Poskytovatele má oprávnění.

A1.3 Předmětem této smlouvy je zpracování osobních údajů obsažených v Datech Klienta při poskytování Služby.

A1.4 Provozní údaje Infrastruktury (např. IP adresy a záznamy o požadavcích v logu serverů) zpracovává Poskytovatel v nezbytném rozsahu také jako samostatný správce, a to k zabezpečení Infrastruktury na základě oprávněného zájmu. IP adresy, ze kterých byl veden útok, sdílí se systémem ochrany CrowdSec (CrowdSec SAS, Francie), který z nich sestavuje seznamy útočníků.

A2Popis zpracování

A2.1 Zpracování má tyto parametry:

A3Povinnosti Klienta

A3.1 Klient odpovídá za zákonnost zpracování, za to, že má pro ně právní základ, a za splnění informační povinnosti vůči subjektům údajů.

A3.2 Pokyny Klienta ke zpracování tvoří Smlouva, nastavení Služby, která Klient provádí, a jeho písemné nebo e-mailové požadavky.

A3.3 Ukládá-li Klient do Služby zvláštní kategorie osobních údajů (např. údaje o zdravotním stavu) nebo údaje o rozsudcích v trestních věcech, oznámí to Poskytovateli předem. Strany se mohou dohodnout na doplňujících opatřeních. Klient bere na vědomí, že Infrastruktura je sdílená mezi více klienty, a posoudí, zda opatření podle Přílohy 1 pro jeho data postačují.

A4Povinnosti Poskytovatele

A4.1 Poskytovatel zpracovává osobní údaje pouze na základě doložených pokynů Klienta, a to i pokud jde o předání do třetích zemí, ledaže mu zpracování ukládá právo Evropské unie nebo České republiky. V takovém případě Klienta před zpracováním informuje, pokud mu to právo nezakazuje.

A4.2 Poskytovatel Klienta bez zbytečného odkladu upozorní, pokud má za to, že jeho pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.

A4.3 Poskytovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí.

A4.4 Poskytovatel přijme a udržuje technická a organizační opatření podle čl. 32 GDPR popsaná v Příloze 1. Opatření může měnit, pokud se tím úroveň zabezpečení nesníží.

A4.5 S ohledem na povahu zpracování je Poskytovatel Klientovi nápomocen vhodnými technickými a organizačními opatřeními, pokud je to možné, při plnění povinnosti reagovat na žádosti subjektů údajů o výkon jejich práv. Obdrží-li takovou žádost přímo, předá ji bez zbytečného odkladu Klientovi a sám na ni věcně neodpovídá.

A4.6 Poskytovatel je Klientovi nápomocen při plnění povinností podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu, předchozí konzultace), s ohledem na povahu zpracování a informace, které má k dispozici.

A4.7 Poskytovatel ani další zpracovatelé neukládají Data Klienta mimo Evropskou unii a Evropský hospodářský prostor. Přenos, ke kterému dochází na pokyn Klienta nebo jeho uživatelů (např. doručení e-mailu příjemci v zahraničí, zobrazení webu návštěvníkovi), tím není dotčen.

A4.8 Součinnost nad běžný rozsah (např. rozsáhlé exporty nebo analýzy na žádost Klienta) může Poskytovatel účtovat v přiměřené výši podle čl. 4.6 Podmínek.

A4.9 Poskytovatel vede záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR.

A5Další zpracovatelé

A5.1 Klient uděluje Poskytovateli obecné povolení k zapojení dalších zpracovatelů. Jejich aktuální seznam je v Příloze 2.

A5.2 O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje Poskytovatel Klienta e-mailem nejméně 30 dní předem. Klient může do 14 dní od oznámení vznést odůvodněnou námitku. Nedohodnou-li se strany, může Klient Smlouvu vypovědět s účinností ke dni změny a Poskytovatel mu vrátí poměrnou část předplacené ceny. Hrozí-li bezprostřední ohrožení bezpečnosti nebo dostupnosti Služby, může Poskytovatel dalšího zpracovatele nahradit i bez této lhůty; Klienta informuje bez zbytečného odkladu a Klient má stejná práva jako při předchozím oznámení.

A5.3 Poskytovatel uloží každému dalšímu zpracovateli smlouvou povinnosti ochrany osobních údajů se stejnou úrovní ochrany, jakou stanoví tato smlouva, zejména poskytnutí dostatečných záruk zabezpečení, a za jejich plnění odpovídá.

A6Porušení zabezpečení

A6.1 Poskytovatel ohlásí Klientovi porušení zabezpečení osobních údajů, které se týká Dat Klienta, bez zbytečného odkladu poté, co se o něm dozví, nejpozději do 48 hodin.

A6.2 Ohlášení obsahuje informace dostupné v daném okamžiku: popis povahy porušení, pokud možno kategorie a přibližný počet dotčených subjektů a záznamů, pravděpodobné důsledky, přijatá nebo navrhovaná opatření a kontakt pro další informace. Co v okamžiku ohlášení známo není, doplní Poskytovatel postupně.

A6.3 Poskytovatel přijme opatření k omezení následků porušení a vede o porušeních záznamy.

A6.4 Ohlášení Úřadu pro ochranu osobních údajů a subjektům údajů provádí Klient jako správce; Poskytovatel mu k tomu poskytne potřebné informace.

A6.5 Zjistí-li Poskytovatel porušení zabezpečení v aplikaci Klienta (např. zneužitou zranitelnost pluginu), ohlásí je stejně jako podle čl. A6.1. Odstranění příčiny se řídí čl. 7.3 Podmínek.

A7Kontrola a informace

A7.1 Poskytovatel zpřístupní Klientovi informace potřebné k doložení toho, že plní povinnosti podle čl. 28 GDPR, zejména popis opatření, seznam dalších zpracovatelů a záznamy o porušeních zabezpečení, které se Klienta týkají.

A7.2 Klient nebo jím pověřený auditor vázaný mlčenlivostí může u Poskytovatele provést audit nebo kontrolu, a to nejvýše jednou ročně (častěji jen po porušení zabezpečení nebo na pokyn dozorového úřadu), s oznámením nejméně 30 dní předem, na vlastní náklady a tak, aby nebyla ohrožena bezpečnost a důvěrnost dat jiných klientů. Fyzický přístup do datových center dalších zpracovatelů se řídí jejich pravidly; Poskytovatel místo něj může předložit jejich certifikace a zprávy.

A8Ukončení zpracování

A8.1 Po skončení Smlouvy Poskytovatel podle volby Klienta osobní údaje vymaže, nebo je vrátí (předáním dat podle čl. 10.5 Podmínek) a poté vymaže, včetně existujících kopií, ledaže právo Evropské unie nebo České republiky vyžaduje jejich uložení. Klient dává pokyn, aby se zálohy mazaly v rámci rotace podle čl. A8.2.

A8.2 Výmaz probíhá podle čl. 10.6 Podmínek: z provozních serverů po uplynutí 30 dní, nejpozději do 45 dní, ze záloh postupně s jejich rotací, nejpozději do 8 měsíců od skončení Smlouvy.

A9Trvání a odpovědnost

A9.1 Tato smlouva trvá po dobu trvání Smlouvy a dále, dokud Poskytovatel zpracovává osobní údaje Klienta.

A9.2 Odpovědnost stran se řídí čl. 82 GDPR a Podmínkami. Práva subjektů údajů tím nejsou dotčena.

Část B · Údaje o Klientovi

B1Kdo údaje zpracovává

B1.1 Osobní údaje Klienta a jeho kontaktních osob zpracovává jako správce Dmitry Meiner, IČO 71492780, Na Domovině 1081/2, 142 00 Praha – Libuš. Kontakt pro otázky ochrany osobních údajů: support@wdd.systems.

B2Jaké údaje, proč a jak dlouho

B2.1 Zpracováváme identifikační a kontaktní údaje (jméno, firma, IČO, DIČ, adresa, e-mail, telefon), fakturační a platební údaje, vzájemnou komunikaci a technické údaje o užívání Služby (např. záznamy o přihlášení). Údaje o kontaktních osobách získáváme od Klienta. Jejich poskytnutí je nutné k uzavření a plnění Smlouvy a k vystavení faktur; bez nich nelze Službu poskytovat.

B2.2 Účely a právní základy:

B2.3 Údaje uchováváme po dobu trvání Smlouvy a poté po dobu, po kterou lze uplatnit nároky ze Smlouvy (zpravidla 3 roky). Faktury a další daňové doklady uchováváme 10 let, jak ukládá zákon o DPH.

B2.4 Údaje mohou získat poskytovatelé infrastruktury, e-mailových a dalších služeb, které k provozu a fakturaci používáme, účetní nebo daňový poradce, banka a orgány veřejné moci, pokud to ukládá zákon. Některé z těchto služeb mohou údaje přenášet mimo Evropskou unii; děje se tak jen do zemí s rozhodnutím Evropské komise o odpovídající ochraně (např. v rámci EU–US Data Privacy Framework) nebo na základě standardních smluvních doložek.

B3Vaše práva

B3.1 Máte právo na přístup ke svým údajům, na jejich opravu, výmaz, omezení zpracování a přenositelnost a právo vznést námitku proti zpracování na základě oprávněného zájmu. Stačí napsat na support@wdd.systems.

B3.2 Můžete podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, https://uoou.gov.cz.

Příloha 1 · Technická a organizační opatření

Opatření, kterými Poskytovatel podle čl. 32 GDPR chrání Data Klienta. Popis je záměrně obecný, aby nepomáhal útočníkům; podrobnosti poskytne Poskytovatel Klientovi na vyžádání podle čl. A7.

Příloha 2 · Další zpracovatelé

Nástroje pro monitoring dostupnosti a pro správu serverů, které k obsahu Dat Klienta nemají přístup, se v seznamu neuvádějí. Sdílení IP adres útočníků podle čl. A1.4 je zpracováním Poskytovatele jako správce.