Dohoda o spracovaní dát PhotoRobot (DPA)
Tento dokument predstavuje Dohodu o spracovaní dát PhotoRobot: Verzia 1.0 — PhotoRobot Edition, uni-Robot Ltd., Česká republika.
1. Strany
Táto Zmluva o spracovaní údajov ("DPA") je uzavretá medzi:
Kontrolér (zákazník)
Fyzická osoba alebo právnická osoba, ktorá uzavrela Podmienky používania PhotoRobot a používa túto službu.
a
Procesor:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praha 1
Česká republika
Identifikácia spoločnosti: 01478061
ID DPH: CZ01478061
Email: legal@photorobot.com
Ďalej spoločne označované ako "Strany".
Táto DPA dopĺňa Podmienky používania PhotoRobot a uplatňuje sa, keď PhotoRobot spracováva osobné údaje v mene zákazníka.
2. Predmet a povaha spracovania
PhotoRobot ("Procesor") poskytuje cloudové služby, lokálne softvérové rozšírenia, správu firmvéru a hostingovú infraštruktúru potrebnú na spracovanie obrázkov, metadát a súvisiaceho digitálneho obsahu nahraného zákazníkom ("Controller").
Spracovanie zahŕňa:
- Kolekcia
- Skladovanie
- Prenos
- Extrakcia metadát
- synchronizácia medzi CL ↔ Cloud
- Hostovanie obsahu nahraného zákazníkmi
- Vytváranie záznamov a diagnostiky
- Záložné operácie
Spracovanie sa vykonáva výlučne v mene kontrolóra podľa jeho zdokumentovaných pokynov.
3. Trvanie
Táto DPA zostáva v platnosti počas trvania zmluvného vzťahu medzi stranami a následne, pokiaľ spracovateľ uchováva alebo spracováva akékoľvek osobné údaje v mene kontrolóra.
4. Osobné údaje a kategórie subjektov údajov
4.1. Typy osobných údajov
V závislosti od spôsobu používania služby môžu spracované údaje zahŕňať:
- Identifikačné údaje (meno, priezvisko, spoločnosť)
- Kontaktné údaje (e-mail, telefón)
- Vizuálny obsah (obrázky, videá)
- Metadáta spojené s nahraným obsahom
- logové údaje, IP adresy, technické identifikátory
- Dáta na úrovni projektu
- Prihlasovacie údaje (zahashované), prístupové tokeny
Spracovateľ nevyžaduje ani úmyselne nespracováva špeciálne kategórie údajov (čl. 9 GDPR).
4.2. Kategórie subjektov údajov
- Zamestnanci zákazníka
- Klienti alebo partneri zákazníka
- Oprávnení používatelia
- Akékoľvek osoby prezentované vo vizuálnom obsahu nahranom zákazníkom
Zákazník je výlučne zodpovedný za zabezpečenie zákonného zhromažďovania údajov od subjektov údajov.
5. Pokyny od riadiaceho
Spracovateľ spracováva iba osobné údaje:
- podľa zdokumentovaných pokynov riadiaceho,
- ako je potrebné na poskytovanie služby,
- na zabezpečenie bezpečnosti, integrity a dostupnosti systémov,
- ako to vyžaduje právo EÚ alebo Česka.
Ak spracovateľ považuje pokyn za nezákonný, musí o tom informovať správcu.
6. Dôvernosť
Spracovateľ zabezpečuje, že všetky osoby oprávnené spracovávať osobné údaje:
- podliehajú povinnostiam dôvernosti,
- absolvovali primeraný výcvik,
- spracovávať dáta výlučne na základe pokynov od kontrolóra.
7. Subprocesory
Procesor používa určité tretie strany ("Sub-Processors") na podporu služby.
7.1. Schválené subprocesory
Kontrolór udeľuje všeobecnú autorizáciu procesoru na zapojenie sa do nasledujúcich kategórií podprocesorov:
- Poskytovatelia cloudovej infraštruktúry (napr. Google Cloud Platform)
- Poskytovatelia doručovania e-mailov
- Analytickí poskytovatelia
- Systémy predaja lístkov
- Služby monitorovania bezpečnosti
- Systémy zálohovania a obnovy po havárii
Kompletný zoznam je udržiavaný v zozname PhotoRobot Sub-Processor a môže byť aktualizovaný.
7.2. Oznámenie o zmenách
Procesor musí informovať kontrolóra o akýchkoľvek plánovaných zmenách na podprocesoroch najmenej 15 dní vopred, aby mohol podať námietku na základe rozumných dôvodov.
8. Medzinárodné prenosy dát
Ak sú subprocesory alebo infraštruktúra umiestnené mimo EEA, spracovateľ zabezpečuje:
- aplikácia štandardných zmluvných doložiek (SCC 2021),
- doplnkové technické a organizačné záruky,
- minimalizovaný prístup a šifrovanie,
- audity súladu zo strany pôvodného poskytovateľa.
Google Cloud Platform poskytuje:
- ISO 27001, ISO 27017, ISO 27018
- Správy SOC 1/2/3
- Dokumentácia o súlade s GDPR
Podrobnosti sú dostupné na https://cloud.google.com/security.
9. Bezpečnostné opatrenia
Procesor musí implementovať priemyselné štandardy technických a organizačných opatrení (TOM), vrátane:
9.1. Technické opatrenia
- TLS šifrovanie dát počas prenosu
- Bezpečné úložisko so šifrovanými prístupovými tokenmi
- Izolované spracovateľské prostredia
- Hashovanie hesiel
- Rýchlostné limity a systémy detekcie prieniku
- Viacvrstvové firewallovanie
- Fyzická bezpečnosť dátového centra (cez Google Cloud)
9.2. Organizačné opatrenia
- Riadenie prístupu založené na úlohách
- Záznam a monitorovanie prístupu
- Interné politiky pre spracovanie dát
- Povinnosti zamestnaneckého mlčanlivosti
- Pravidelné bezpečnostné školenia
- Riadenie rizík dodávateľov
Úplný zoznam TOM je k dispozícii na požiadanie.
10. Práva subjektov údajov
Procesor pomáha kontrolérovi reagovať na:
- Žiadosti o prístup
- Náprava
- Vymazanie
- Obmedzenie
- Prenositeľnosť dát
- Námietky
Procesor musí bez zbytočného oneskorenia preposielať akúkoľvek priamu požiadavku od subjektu údajov kontrolórovi.
11. Oznámenie o úniku údajov
V prípade úniku osobných údajov musí spracovateľ informovať Controllera:
- Bez zbytočného odkladu,
- vrátane všetkých informácií požadovaných článkom 33 GDPR,
- a poskytovať priebežné aktualizácie až do dokončenia sanácie.
Kontrolór zostáva zodpovedný za informovanie orgánov a dotknutých osôb.
12. Vymazanie alebo vrátenie údajov
Po ukončení zmluvy:
- Procesor vymaže údaje o zákazníku po 30 dňoch,
- pokiaľ Kontrolór neprikáže inak,
- okrem prípadov, keď je udržanie vyžadované zákonom.
Zálohy sa prepisujú počas ich bežného životného cyklu.
13. Audity
Kontrolór má právo:
- získajte dokumentáciu preukazujúcu súlad s GDPR
- žiadať správu o TOMoch
- vykonávať primerané audity, obmedzené na raz ročne
- spoliehať sa na certifikácie tretích strán (ISO/SOC správy Google Cloud)
Audity nesmú ohroziť bezpečnosť ani narušiť prevádzku.
14. Zodpovednosť
Zodpovednosť strán sa riadi Podmienkami používania.
Spracovateľ je zodpovedný len za porušenia spôsobené vlastným porušením povinností GDPR.
15. Riadiace právo a jurisdikcia
Táto DPA sa riadi zákonmi Českej republiky.
Spory riešia súdy v Prahe, Česká republika.
16. Štandardné zmluvné klauzuly (SCC)
Ak je to potrebné, SCC 2021 (Modul 2: Kontrolér → procesor) sa vzťahuje ako príloha k tomuto DPA.
PhotoRobot:
- zahŕňa SCC podľa referencie,
- zahŕňa všetky povinné klauzuly,
- implementuje doplnkové technické opatrenia
- zabezpečuje súlad pri prenosoch na subspracovateľov mimo EHP.
SCC môže byť poskytnutý v plnom rozsahu na požiadanie.
17. Kontakt
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praha 1
Česká republika
Email: legal@photorobot.com