Smlouva o zpracování osobních údajů
Tato smlouva o zpracování osobních údajů (dále „Smlouva") se uzavírá podle čl. 28 nařízení (EU) 2016/679 (GDPR) mezi ubytovatelem užívajícím službu Pobytník jako správcem a společností Hrady pro děti s.r.o. jako zpracovatelem. Smlouva je nedílnou součástí Obchodních podmínek a je uzavřena okamžikem uzavření smlouvy o poskytování služby.
1. Předmět a povaha zpracování
Zpracovatel pro správce v rámci služby Pobytník ukládá, strukturuje, zpřístupňuje, exportuje a vymazává osobní údaje za účelem: vedení evidence ubytovaných osob (kniha hostů), přípravy podkladů a exportů pro plnění zákonných povinností správce (např. UbyPort, ČSÚ, místní poplatky), komunikace s hosty prostřednictvím zabezpečených odkazů, vyúčtování pobytů a volitelné fakturace.
2. Kategorie subjektů a údajů
- Subjekty údajů: hosté a osoby ubytované u správce, případně kontaktní osoby rezervací.
- Kategorie údajů: identifikační údaje (jméno, příjmení, datum narození, státní příslušnost, číslo a druh dokladu, adresa), kontaktní údaje (e-mail, telefon), údaje o pobytu (termín, objekt, počet osob, účel pobytu), údaje o vyúčtování, a volitelně přílohy vložené správcem (např. podpis hosta).
- Zvláštní kategorie údajů se nezpracovávají; správce se zavazuje je do služby nevkládat.
3. Doba zpracování
Zpracování trvá po dobu trvání smlouvy o poskytování služby. Dobu uchování jednotlivých záznamů hostů určuje správce nastavením ve službě v souladu se svými zákonnými povinnostmi; po jejím uplynutí zpracovatel záznamy automaticky anonymizuje (odstraní identifikační a kontaktní údaje, ponechá statistické údaje) a vymaže citlivé přílohy.
4. Pokyny správce
Zpracovatel zpracovává údaje výhradně na základě doložených pokynů správce; pokyny jsou udíleny zejména užíváním funkcí služby (vložení, úprava, export, výmaz, nastavení doby uchování). Zpracovatel správce informuje, pokud podle jeho názoru pokyn porušuje GDPR či jiné předpisy. Zpracování mimo EU probíhá pouze v rozsahu čl. 6 (Resend) při zajištění vhodných záruk.
5. Zabezpečení (čl. 32 GDPR)
- šifrování přenosů (HTTPS/TLS) na všech doménách služby;
- důsledné oddělení dat jednotlivých správců (tenant izolace na úrovni aplikace i dotazů);
- autentizace správce tokenem vázaným na jeho účet; přístup hostů přes časově omezené odkazy, jejichž tokeny jsou ukládány pouze jako kryptografické otisky a expirují nejpozději odjezdem;
- hesla ukládána výhradně jako bcrypt otisky;
- denní zálohy dat; auditní záznamy úkonů;
- automatická anonymizace po uplynutí doby uchování a výmaz citlivých příloh;
- přístup k infrastruktuře omezen na pověřené osoby vázané mlčenlivostí.
6. Subzpracovatelé
Správce uděluje obecné povolení k zapojení subzpracovatelů. Aktuální seznam: Hetzner Online GmbH (EU — serverová infrastruktura) a Resend, Inc. (USA — odesílání e-mailů; standardní smluvní doložky). Zamýšlené změny zpracovatel oznámí (v rozhraní služby nebo e-mailem) nejméně 14 dnů předem; správce může vznést námitku a v případě nedohody smlouvu vypovědět. Zpracovatel ukládá subzpracovatelům povinnosti odpovídající této Smlouvě.
7. Součinnost
Zpracovatel je správci nápomocen při plnění povinností dle čl. 32–36 GDPR a při vyřizování žádostí subjektů údajů (zejména prostřednictvím funkcí přístupu, opravy, exportu a výmazu ve službě). Porušení zabezpečení osobních údajů oznámí zpracovatel správci bez zbytečného odkladu po jeho zjištění spolu s dostupnými informacemi.
8. Mlčenlivost a audit
Osoby oprávněné zpracovávat údaje jsou zavázány mlčenlivostí. Zpracovatel poskytne správci informace nezbytné k doložení souladu s čl. 28 GDPR a umožní audity v přiměřeném rozsahu, po předchozí dohodě a na náklady správce, nenaruší-li to bezpečnost dat ostatních správců.
9. Ukončení
Po ukončení poskytování služby zpracovatel dle volby správce údaje vymaže, nebo mu je vrátí ve strojově čitelném exportu a poté vymaže, ledaže právo EU či ČR ukládá jejich další uložení. Nevyžádá-li správce export do 30 dnů od ukončení, zpracovatel údaje vymaže či anonymizuje.
10. Závěrečná ustanovení
Smlouva se řídí právem České republiky. V otázkách zde neupravených platí Obchodní podmínky a GDPR. Změny Smlouvy se oznamují postupem dle čl. 9 Obchodních podmínek.