Smlouva o zpracování osobních údajů (DPA) služby ExitShop.cz

Tato DPA tvoří nedílnou součást Všeobecných obchodních podmínek (VOP) služby ExitShop.cz a upravuje vzájemná práva a povinnosti při zpracování osobních údajů.

  1. Předmět a účel zpracování
    1. Role stran: Klient vystupuje jako Správce osobních údajů svých zákazníků a uživatelů e-shopu. Poskytovatel (ExitShop s.r.o.) vystupuje jako Zpracovatel, který pro Klienta zajišťuje technické prostředí pro provoz e-shopu a správu dat.
    2. Účel: Účelem zpracování je plnění hlavní smlouvy (poskytování služeb e-shopové platformy, správa objednávek, expedice, skladové hospodářství a související podpora).
    3. Doba zpracování: Poskytovatel zpracovává údaje po dobu trvání smluvního vztahu založeného VOP a následně po dobu nezbytnou pro vypořádání závazků (viz bod 8 VOP).
  2. Rozsah zpracování
    1. Kategorie subjektů údajů: Zákazníci Klienta (kupující), registrovaní uživatelé e-shopu, případně zaměstnanci Klienta přistupující do administrace.
    2. Typy osobních údajů: Jméno, příjmení, fakturační a dodací adresa, e-mail, telefonní číslo, historie objednávek, IP adresa a další údaje, které Klient v rámci systému shromažďuje.
  3. Povinnosti Poskytovatele (Zpracovatele)
    1. Pokyny Klienta: Poskytovatel zpracovává údaje pouze na základě doložených pokynů Klienta (včetně technických nastavení v administraci) a za účelem plnění smlouvy.
    2. Důvěrnost: Poskytovatel zajišťuje, aby osoby oprávněné zpracovávat osobní údaje (zaměstnanci a subdodavatelé) byly zavázány k mlčenlivosti.
    3. Zabezpečení: Poskytovatel zavedl a udržuje vhodná technická a organizační opatření (viz bod 5 této DPA), aby zajistil úroveň zabezpečení odpovídající riziku.
    4. Součinnost: Poskytovatel pomáhá Klientovi (v rámci technických možností a za úhradu nákladů) při vyřizování žádostí subjektů údajů a při plnění povinností podle GDPR (ohlašování incidentů, posouzení vlivu na ochranu údajů).
  4. Další zpracovatelé (Sub-procesory)
    1. Klient uděluje Poskytovateli obecné povolení zapojit do zpracování další zpracovatele. Seznam aktuálních subdodavatelů je dostupný na vyžádání.
    2. Mezi hlavní subdodavatele patří poskytovatelé serverové infrastruktury (hosting v ČR), nástroje pro rozesílání systémových e-mailů a poskytovatelé technické podpory.
    3. Poskytovatel informuje Klienta o veškerých zamýšlených změnách týkajících se přijetí nebo nahrazení dalších zpracovatelů, čímž dává Klientovi možnost vyslovit námitky.
  5. Technické a organizační zabezpečení
    1. Lokalita: Data jsou uchovávána výhradně v datových centrech na území České republiky.
    2. Zabezpečení přenosu: Veškerá komunikace mezi prohlížečem a systémem je šifrována pomocí SSL certifikátů.
    3. Zálohování: Poskytovatel provádí pravidelné zálohování dat pro zamezení ztráty při technickém selhání.
    4. Přístup: Přístup k databázím je omezen pouze na pověřené pracovníky Poskytovatele a je chráněn silnými autentizačními mechanismy.
  6. Porušení zabezpečení
    1. V případě zjištění porušení zabezpečení osobních údajů, které má za následek riziko pro práva a svobody fyzických osob, informuje Poskytovatel Klienta bez zbytečného odkladu od okamžiku, kdy se o něm dozvěděl.
  7. Ukončení zpracování
    1. Při ukončení smlouvy je Poskytovatel povinen naložit s daty dle volby Klienta (export/smazání) v souladu s lhůtami definovanými v bodě 8 VOP.
    2. Po uplynutí lhůt pro export dat (6 měsíců) nebo lhůty pro smazání neaktivních účtů (2 roky) budou data nevratně smazána, pokud zákon neukládá jejich další uchování.