Smlouva o zpracování dat (DPA)

1. Definice

Pro účely této DPA mají pojmy „osobní údaje“, „zpracování“, „správce“, „zpracovatel“, „subjekt údajů“, „porušení ochrany osobních údajů“ a „dozorový orgán“ význam uvedený v GDPR. Kromě toho:

• „Smlouva“ znamená smluvní podmínky, jakýkoli objednávkový formulář a tuto DPA dohromady.
• „Údaje o zákaznících“ znamenají osobní údaje, které Zákazník nebo jeho oprávnění uživatelé zadávají do Služby nebo které jsou v rámci Služby generovány, včetně údajů o objednávkách koncových zákazníků.
• „Služba“ znamená platformu pro správu objednávek OrderSilo COD, řídicí panel, rozhraní API a související služby.
• „Dílčí zpracovatel“ znamená jakoukoli třetí stranu, kterou OrderSilo najal ke zpracování zákaznických dat za účelem poskytování služby.

2. Role stran

U zákaznických dat týkajících se koncových zákazníků zákazníka (jména, telefonní čísla, dodací adresy, podrobnosti o objednávce a související pole odeslaná prostřednictvím vstupních stránek zákazníka, výkladů nebo integrací) zákazník vystupuje jako správce dat a OrderSilo vystupuje jako zpracovatel dat, který zpracovává tato data výhradně na základě zdokumentovaných pokynů zákazníka k poskytování služby.

Pro údaje o účtu a pracovním prostoru týkající se vlastních zaměstnanců zákazníka (držitelé účtů, členové týmu, fakturační kontakty) působí OrderSilo obecně jako nezávislý správce, jak je popsáno v našich Zásadách ochrany osobních údajů, pokud se strany písemně nedohodnou jinak.

Tato DPA platí pouze v rozsahu, v jakém OrderSilo zpracovává osobní údaje jako zpracovatel jménem zákazníka.

3. Pokyny zákazníka

OrderSilo bude zpracovávat zákaznická data pouze na základě zdokumentovaných pokynů zákazníka, včetně pokynů uvedených ve smlouvě, jak je zákazník nakonfiguroval ve službě (například domény, pravidla pro podvody a nastavení kurýra), a pokud je to nezbytné pro dodržení práva EU nebo členského státu, pokud takový zákon nezakazuje zveřejnění.

Zákazník je odpovědný za zákonnost jeho pokynů a za to, že má platný právní základ, a je-li to vyžadováno, příslušná upozornění a souhlasy svých koncových zákazníků s poskytnutím jejich údajů Službě.

Pokud se OrderSilo domnívá, že pokyn porušuje GDPR nebo jiný platný zákon o ochraně údajů, budeme zákazníka bez zbytečného odkladu informovat.

4. Důvěrnost personálu

OrderSilo zajišťuje, že pracovníci oprávnění zpracovávat zákaznická data jsou vázáni příslušnými závazky mlčenlivosti, ať už smluvními nebo zákonnými, a absolvovali školení odpovídající jejich roli při nakládání s osobními údaji.

5. Zabezpečení zpracování

S přihlédnutím ke stavu techniky, nákladům na implementaci a povaze, rozsahu, kontextu a účelům zpracování, jakož i k riziku pro subjekty údajů, OrderSilo zavádí vhodná technická a organizační opatření, včetně:

• Šifrování osobních údajů při přenosu pomocí moderního TLS.
• Izolace tenantů mezi pracovními prostory zákazníků, vynucená na úrovni infrastruktury a databáze.
• Řízení přístupu omezující přístup personálu k zákaznickým datům na základě potřeby vědět.
• Kryptografické ověření (podepisování HMAC) údajů o objednávce odeslaných prostřednictvím našeho rozhraní API a integrací značek skriptů.
• Protokolování a sledování významné aktivity systému a účtu.
• Pravidelný přezkum bezpečnostních postupů v souladu s přílohou 2 tohoto DPA.
• Dokumentovaná politika reakce na incidenty, která řídí detekci, zadržování a oznamování bezpečnostních incidentů.

6. Dílčí zpracovatelé

Zákazník opravňuje OrderSilo k zapojení dílčích zpracovatelů k poskytování služby, včetně poskytovatelů hostingu, doručování e-mailů, analýz a platební infrastruktury. Přehled kategorií je uveden v příloze 3.

OrderSilo ukládá každému dílčímu zpracovateli povinnosti v oblasti ochrany údajů, které jsou v podstatě podobné těm v tomto DPA, prostřednictvím písemných dohod v souladu s článkem 28(4) GDPR.

OrderSilo zůstává vůči zákazníkovi odpovědný za plnění povinností souvisejících s ochranou dat ze strany dílčího zpracovatele.

OrderSilo poskytne aktuální pojmenovaný seznam dílčích zpracovatelů na vyžádání prostřednictvím hello@ordersilo.app a poskytne zákazníkovi v přiměřeném předstihu oznámení o jakémkoli zamýšleném přidání nebo nahrazení dílčího zpracovatele, které zahrnuje zpracování zákaznických dat, což zákazníkovi umožní vznést námitku z přiměřených důvodů ochrany údajů. Pokud strany nemohou námitku vyřešit, může zákazník ukončit dotčenou část služby.

7. Mezinárodní přenosy dat

OrderSilo primárně ukládá a zpracovává zákaznická data v Evropském hospodářském prostoru (EHP) — v současnosti AWS Frankfurt (eu-central-1).

Pokud dílčí zpracovatel nebo integrovaná služba (například reklamní nebo analytická platforma, kterou zákazník povolí) zahrnuje přenos osobních údajů mimo EHP, OrderSilo spoléhá na rozhodnutí Evropské komise o přiměřenosti, standardní smluvní doložky (2021/914/EU) nebo jiný zákonný mechanismus přenosu a na požádání zpřístupní podrobnosti.

8. Pomoc s právy subjektu údajů

S přihlédnutím k povaze zpracování poskytne OrderSilo Zákazníkovi přiměřenou pomoc prostřednictvím vhodných technických a organizačních opatření, aby Zákazníkovi umožnil reagovat na požadavky subjektů údajů uplatňujících svá práva podle GDPR (přístup, oprava, výmaz, omezení, přenositelnost a námitka).

Pokud subjekt údajů kontaktuje OrderSilo přímo ohledně údajů o koncových zákaznících kontrolovaných zákazníkem, bez zbytečného odkladu předáme žádost zákazníkovi a poskytneme přiměřenou podporu.

9. Oznámení o narušení osobních údajů

OrderSilo uvědomí zákazníka bez zbytečného prodlení a v každém případě do 72 hodin od okamžiku, kdy se o něm dozvěděl, poté, co potvrdí porušení zabezpečení osobních údajů ovlivňující zákaznická data, která OrderSilo zpracovává jako zpracovatel.

Oznámení popíše, v rozsahu tehdy známém, povahu narušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky a přijatá nebo navržená opatření k řešení narušení a zmírnění jeho účinků.

OrderSilo poskytne přiměřenou spolupráci a informace, které zákazníkovi pomohou splnit jeho vlastní oznamovací povinnosti podle článků 33 a 34 GDPR.

Chcete-li nahlásit podezření na bezpečnostní incident, kontaktujte hello@ordersilo.app. Další podrobnosti naleznete v našich zásadách reakce na incidenty.

10. Posouzení dopadů na ochranu údajů

OrderSilo poskytne přiměřeně požadované informace o Službě, aby zákazníkovi pomohl při provádění posouzení vlivu na ochranu osobních údajů (DPIA) nebo při konzultaci s dozorovým úřadem, pokud je taková pomoc vyžadována podle článků 35 a 36 GDPR a je nám přiměřeně dostupná.

11. Audity a dodržování předpisů

OrderSilo zpřístupní zákazníkovi informace přiměřeně nezbytné k prokázání souladu s tímto DPA, včetně odpovědi na přiměřené písemné žádosti o informace.

Pokud takové informace nejsou dostatečné, může Zákazník (nebo nezávislý, vzájemně dohodnutý auditor třetí strany zavázaný mlčenlivostí) provést audit příslušných činností zpracování údajů společnosti OrderSilo, a to maximálně jednou za 12 měsíců, pokud nedojde k porušení ochrany osobních údajů nebo regulačnímu požadavku, na základě písemného oznámení s dostatečným předstihem, dohodnutého rozsahu a Zákazník ponese své vlastní náklady. Audity musí být prováděny během pracovní doby a nesmí bezdůvodně narušovat operace OrderSilo nebo ohrožovat důvěrnost nebo bezpečnost ostatních zákazníků.

12. Vrácení a vymazání zákaznických dat

Po ukončení nebo vypršení platnosti smlouvy a na písemnou žádost zákazníka do 30 dnů od tohoto data, OrderSilo vymaže nebo, je-li to technicky proveditelné a požádáno, vrátí zákaznická data zpracovávaná jménem zákazníka, s výjimkou rozsahu, v jakém příslušné zákony vyžadují uchování (například fakturační, daňové nebo účetní záznamy), v takovém případě bude OrderSilo nadále chránit tato data v souladu s tímto DPA po dobu uchování a poté je vymaže.

13. Odpovědnost

Odpovědnost každé strany vyplývající z této DPA nebo v souvislosti s ní podléhá omezením a vyloučením odpovědnosti stanoveným v podmínkách služby. Nic v této DPA nezbavuje žádnou ze stran jejích vlastních přímých povinností a odpovědnosti podle GDPR.

14. Doba trvání a ukončení

Tato DPA nabývá účinnosti dnem, kdy zákazník poprvé přijme podmínky služby nebo vyplní objednávkový formulář s odkazem na ně, a zůstává v platnosti, dokud OrderSilo zpracovává zákaznická data jako zpracovatel jménem zákazníka, bez ohledu na ukončení smlouvy, dokud takové zpracování neskončí.

15. Přednostní a rozhodné právo

Tato DPA tvoří součást a řídí se těmito podmínkami služby, včetně jejich rozhodného práva a ustanovení o řešení sporů. V případě rozporu mezi touto DPA a Podmínkami služby ohledně zpracování osobních údajů má přednost tato DPA.

16. Jak se na vás vztahuje tato DPA

Tato DPA se vztahuje automaticky na všechny zákazníky s odkazem na podmínky služby a nevyžaduje samostatný podpis. Pokud vaše organizace vyžaduje spolupodepsanou kopii pro účely interního dodržování předpisů, zásobování nebo rizika dodavatele, vyžádejte si ji prostřednictvím hello@ordersilo.app a my vám poskytneme podepsanou verzi odrážející výše uvedené podmínky.

Příloha 1 – Podrobnosti o zpracování

Tato příloha popisuje zpracování prováděné společností OrderSilo jako zpracovatelem jménem zákazníka, jak vyžaduje článek 28(3) GDPR.

• Předmět: poskytování služby OrderSilo COD správy objednávek, včetně příjmu objednávek, hodnocení podvodů, sledování stavu kurýra, hlášení a přiřazování reklam.
• Doba trvání: po dobu platnosti smlouvy a dobu uchovávání popsanou v našich Zásadách ochrany osobních údajů, pokud nebudou na žádost zákazníka odstraněny dříve.
• Povaha a účel: shromažďování, ukládání, organizace, získávání, používání a mazání zákaznických dat za účelem provozování služby, včetně deduplikace objednávek, detekce podvodů a zneužití a generování zpráv a analýz pro zákazníka.
• Kategorie subjektů údajů: Koncoví zákazníci Zákazníka, kteří zadávají objednávky na dobírku; Oprávnění uživatelé a členové týmu zákazníka.
• Kategorie osobních údajů: jméno koncového zákazníka, telefonní číslo, dodací adresa, podrobnosti o objednávce a produktu, stav objednávky, a pokud jsou nakonfigurovány, indikátory podvodu, identifikátory reklamních kliknutí a metadata přiřazování; jméno majitele účtu, e-mail a role.

Příloha 2 – Technická a organizační bezpečnostní opatření

• Šifrování při přenosu (TLS) pro všechna data přesouvající se mezi vstupními stránkami zákazníka, službou a prohlížečem zákazníka.
• Izolace tenantů na úrovni databáze mezi pracovními prostory zákazníků.
• Řízení přístupu na základě rolí pro personál OrderSilo a pro členy vlastního týmu zákazníka v rámci Služby.
• Přijímání objednávek podepsaných HMAC, chráněné proti přehrání a integrace skriptu a značek uzamčenou doménou.
• Omezení rychlosti a automatická detekce provozu botů / spamu.
• Auditní protokolování významných změn účtů, objednávek a konfigurace.
• Hosting v EU (AWS Frankfurt, eu-central-1) s fyzickými a infrastrukturními bezpečnostními kontrolami na úrovni poskytovatelů.
• Dokumentovaná reakce na incident a postupy oznamování narušení osobních údajů.
• Pravidelná kontrola přístupu, konfigurace a postupů zabezpečení.

Příloha 3 – Kategorie dílčích zpracovatelů

OrderSilo zaměstnává dílčí zpracovatele v následujících kategoriích, aby poskytovali Službu. Aktuální pojmenovaný seznam je k dispozici na vyžádání prostřednictvím hello@ordersilo.app.

• Cloud hosting a infrastruktura (region EU).
• Doručování transakčních a marketingových e-mailů.
• Zpracování a vyúčtování plateb (Merchant of Record).
• Analýza webových stránek a produktů.
• Zákaznická podpora a komunikační nástroje.