Smlouva o zpracování osobních údajů
Tuto smlouvu uzavírá zákazník – autoservis, který službu MechanikPilot používá (dále „správce“), a MROAUTO AUTODÍLY s.r.o., IČO 06630405, Čs. armády 360, Pudlov, 735 51 Bohumín (dále „zpracovatel“), podle čl. 28 nařízení (EU) 2016/679 (GDPR). Smlouva je uzavřena okamžikem vzniku smlouvy o poskytování služby.
1. Předmět, povaha a účel zpracování
Zpracovatel zpracovává osobní údaje, které správce vloží do služby, výhradně za účelem jejího poskytování: ukládání, zobrazení oprávněným uživatelům, synchronizace mezi zařízeními, tvorba dokladů a exportů, zálohování a technická podpora.
2. Kategorie subjektů a údajů
| Subjekty údajů | Typy osobních údajů |
|---|---|
| zákazníci správce a jejich kontaktní osoby | jméno, adresa, telefon, e-mail, IČO/DIČ, komunikace, souhlasy |
| vozidla zákazníků | SPZ, VIN, značka, model, stav kilometrů, termíny STK, fotografie z opravy |
| zakázky a doklady | popis oprav, položky, ceny, platby, podpisy na protokolu |
| zaměstnanci správce | jméno, role, telefon, záznamy o práci na zakázkách |
Služba není určena ke zpracování zvláštních kategorií osobních údajů (čl. 9 GDPR); správce je do služby nevkládá.
3. Doba trvání
Po dobu trvání smlouvy o poskytování služby a po dobu nezbytnou k výmazu podle článku 9.
4. Povinnosti zpracovatele
- zpracovává údaje jen na základě doložených pokynů správce; pokyny jsou tyto podmínky a úkony, které správce a jeho uživatelé provádějí ve službě. Považuje-li pokyn za porušení předpisů, upozorní na to správce;
- zajistí, aby osoby oprávněné zpracovávat údaje byly zavázány mlčenlivostí;
- přijme technická a organizační opatření podle čl. 32 GDPR (příloha A);
- pomáhá správci plnit povinnosti vůči subjektům údajů, při posouzení vlivu a konzultacích s dozorovým úřadem v rozsahu, v jakém to povaha zpracování umožňuje;
- poskytne správci informace potřebné k doložení splnění povinností a umožní audit, a to po předchozí dohodě, nejvýše jednou ročně a na náklady správce, nejde-li o audit po incidentu.
5. Další zpracovatelé
Správce uděluje obecný souhlas se zapojením dalších zpracovatelů uvedených v příloze B. O zamýšlené změně zpracovatel správce informuje nejméně 30 dní předem; správce může z oprávněných důvodů vznést námitku a smlouvu ukončit. Zpracovatel s dalšími zpracovateli uzavírá smlouvy se stejnými povinnostmi ochrany údajů a za jejich plnění odpovídá.
6. Předávání mimo EU
Údaje jsou uloženy v EU. Pokud některý další zpracovatel může k údajům přistupovat ze třetí země, je předání zajištěno standardními smluvními doložkami EU nebo rozhodnutím o odpovídající ochraně (EU-US Data Privacy Framework).
7. Porušení zabezpečení
Zpracovatel oznámí správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, s informacemi podle čl. 33 odst. 3 GDPR, které má k dispozici, a poskytne součinnost při jeho řešení a ohlášení.
8. Žádosti subjektů údajů
Dostane-li zpracovatel žádost subjektu údajů, předá ji správci a sám ji nevyřizuje, pokud ho k tomu správce nepověří. Správce může většinu žádostí vyřídit přímo ve službě (oprava, export, výmaz záznamu).
9. Výmaz a vrácení údajů
Po ukončení služby má správce 30 dní na stažení zálohy dat. Poté zpracovatel údaje vymaže, ze záloh nejpozději do dalších 30 dní, pokud jejich uchování nevyžaduje právní předpis.
10. Odpovědnost
Odpovědnost stran se řídí čl. 82 GDPR a obchodními podmínkami.
Příloha A – technická a organizační opatření
- šifrování přenosu (HTTPS/TLS 1.2+, HSTS), šifrování databáze a záloh u poskytovatele infrastruktury;
- logické oddělení dat jednotlivých správců na úrovni databáze (row-level security); každý dotaz je ověřen proti oprávnění uživatele;
- individuální účty, hesla ukládaná jako kryptografický otisk, role s minimálními oprávněními, okamžité odebrání přístupu;
- ochrana před automatizovanými útoky (Cloudflare, ověření proti robotům, omezení počtu pokusů o přihlášení);
- zásady bezpečnosti obsahu (Content Security Policy) proti podvržení skriptů, pravidelné aktualizace knihoven;
- záznamy o změnách dat (kdo a kdy), možnost exportu zálohy správcem;
- přístup provozovatele k datům správce jen v nezbytném rozsahu pro podporu a údržbu, s vědomím správce;
- postup řešení bezpečnostních incidentů a kontaktní adresa pro hlášení zranitelností.
Příloha B – další zpracovatelé
| Zpracovatel | Účel | Kde jsou data | Záruky při předání mimo EU |
|---|---|---|---|
| Supabase, Inc. (USA) | databáze, přihlašování uživatelů, synchronizace dat | EU – Frankfurt nad Mohanem (Německo), infrastruktura AWS eu-central-1 | smlouva o zpracování (DPA) se standardními smluvními doložkami EU |
| Cloudflare, Inc. (USA) | doručení webu a aplikace, šifrované spojení, ochrana před útoky a roboty (vč. Turnstile) | globální síť; obsah aplikace se v síti Cloudflare neukládá | DPA se standardními smluvními doložkami, certifikace EU-US Data Privacy Framework |