Podmínky zpracování osobních údajů

Tyto Podmínky zpracování osobních údajů („DPA“) upravují zpracování osobních údajů, které Poskytovatel zpracovává pro Zákazníka při poskytování služby Elowio CRM („Služba“).

DPA je uzavíráno v souladu zejména s:

• nařízením Evropského parlamentu a Rady (EU) 2016/679 („GDPR“),
• zákonem č. 110/2019 Sb., o zpracování osobních údajů,
• a dalšími příslušnými právními předpisy na ochranu osobních údajů.

Pokud Zákazník prostřednictvím Služby ukládá nebo jinak zpracovává osobní údaje svých zákazníků, zaměstnanců, obchodních partnerů, dodavatelů nebo jiných fyzických osob, je Zákazník zpravidla správcem osobních údajů a Poskytovatel je v rozsahu tohoto zpracování zpracovatelem.

Poskytovatel zpracovává osobní údaje pouze v rozsahu nezbytném pro poskytování Služby a podle doložených pokynů Zákazníka, není-li mu další zpracování uloženo právními předpisy.

Toto DPA tvoří samostatnou součást smluvní dokumentace ke Službě.

V případě rozporu mezi VOP a tímto DPA má v otázkách zpracování osobních údajů přednost toto DPA.

Poskytovatel zpracovává osobní údaje za účelem umožnění provozu, poskytování, zabezpečení, údržby a podpory Služby Elowio CRM.

Zpracování může zahrnovat zejména:

• ukládání osobních údajů v CRM,
• jejich zobrazování oprávněným uživatelům,
• vyhledávání, třídění a organizaci údajů,
• vytváření a správu obchodních záznamů,
• správu zákaznických a obchodních vztahů,
• správu uživatelských účtů a oprávnění,
• autentizaci uživatelů,
• ukládání dokumentů a souborů,
• technické logování a zabezpečení Služby,
• zasílání transakčních a systémových e-mailů,
• zajištění technické dostupnosti a ochrany Služby.

Poskytovatel nesmí osobní údaje Zákazníka využívat pro vlastní marketingové účely ani je prodávat nebo poskytovat třetím osobám za účelem jejich vlastního marketingu.

V závislosti na způsobu využití Služby mohou být zpracovávány zejména:

• jméno a příjmení,
• pracovní nebo soukromá e-mailová adresa,
• telefonní číslo,
• adresa,
• fakturační a doručovací údaje,
• údaje o společnosti,
• IČO a DIČ,
• pracovní pozice,
• údaje o obchodních vztazích,
• údaje o komunikaci,
• poznámky vložené uživatelem,
• údaje o objednávkách,
• fakturační údaje,
• údaje o platbách v rozsahu dostupném ve Službě,
• dokumenty a jejich metadata,
• přihlašovací a autorizační údaje,
• identifikátory uživatelských účtů,
• IP adresa,
• technické údaje zařízení a připojení,
• provozní a bezpečnostní logy.

Rozsah konkrétních údajů závisí na funkcích, které Zákazník ve Službě používá.

Osobní údaje mohou náležet zejména:

• zákazníkům Zákazníka,
• potenciálním zákazníkům,
• obchodním partnerům,
• dodavatelům,
• kontaktním osobám,
• zaměstnancům a spolupracovníkům,
• uživatelům účtu Zákazníka,
• jiným fyzickým osobám, jejichž údaje Zákazník do Služby oprávněně vloží.

Poskytovatel zpracovává osobní údaje po dobu trvání smluvního vztahu a po dobu, po kterou je jejich zpracování nezbytné pro poskytování Služby.

Po ukončení smluvního vztahu Poskytovatel osobní údaje:

• na žádost Zákazníka umožní exportovat nebo jinak zpřístupní v rozsahu dostupném ve Službě,
• následně je vymaže nebo anonymizuje, pokud jejich další uchování nevyžaduje právní předpis.

Technické záložní kopie mohou být odstraněny s časovým odstupem odpovídajícím zálohovacímu cyklu příslušné infrastruktury.

Poskytovatel není povinen odstranit údaje, jejichž uchování je nezbytné pro splnění zákonné povinnosti, ochranu právních nároků nebo splnění povinnosti uložené veřejným orgánem.

Poskytovatel zpracovává osobní údaje pouze na základě doložených pokynů Zákazníka.

Za doložené pokyny se považuje zejména používání funkcí Služby oprávněnými uživateli Zákazníka.

Pokud se Poskytovatel domnívá, že pokyn Zákazníka porušuje GDPR nebo jiný právní předpis, upozorní na tuto skutečnost Zákazníka.

Poskytovatel není povinen provádět právní posouzení zákonnosti každého jednotlivého údaje, který Zákazník do Služby vloží.

Za zákonnost získání a vložení osobních údajů do Služby odpovídá Zákazník jako jejich správce.

Zákazník zejména odpovídá za:

• existenci právního titulu pro zpracování osobních údajů,
• splnění informační povinnosti vůči subjektům údajů,
• správnost a aktuálnost osobních údajů,
• nastavení oprávnění vlastních uživatelů,
• ochranu přístupových údajů svých uživatelů,
• zákonnost pokynů předávaných Poskytovateli,
• vyřízení žádostí subjektů údajů v rozsahu, v jakém je za ně odpovědný jako správce,
• určení přiměřené doby uchování údajů,
• neposkytování zvláštních kategorií osobních údajů nebo jiných vysoce citlivých údajů do Služby, pokud k tomu není Služba výslovně určena nebo pokud Poskytovatel takové zpracování výslovně nepovolil.

Poskytovatel se zavazuje:

• zpracovávat osobní údaje pouze podle tohoto DPA a pokynů Zákazníka,
• zajistit, aby osoby oprávněné zpracovávat osobní údaje byly zavázány k mlčenlivosti,
• přijmout přiměřená technická a organizační opatření podle čl. 32 GDPR,
• chránit osobní údaje před neoprávněným přístupem, ztrátou, změnou, zničením nebo jiným narušením,
• poskytovat Zákazníkovi přiměřenou součinnost při plnění povinností podle GDPR,
• oznámit Zákazníkovi bez zbytečného odkladu relevantní bezpečnostní incident týkající se osobních údajů,
• přiměřeně spolupracovat při řešení žádostí subjektů údajů,
• zachovávat mlčenlivost o osobních údajích,
• nepoužívat osobní údaje Zákazníka pro vlastní účely, pokud tento účel není výslovně založen právním předpisem.

Poskytovatel přijímá s ohledem na povahu zpracování a dostupné technologie přiměřená bezpečnostní opatření.

Ta zahrnují zejména:

• 1. Řízení přístupu — autentizaci uživatelů, řízení oprávnění, oddělení jednotlivých zákaznických prostředí, kontrolu oprávnění na aplikační i databázové úrovni, ochranu administrátorských funkcí.
• 2. Izolace zákaznických dat — data jednotlivých zákazníků jsou logicky oddělena. Přístup k tenantním údajům je kontrolován kombinací aplikačních kontrol, serverových oprávnění a databázových bezpečnostních mechanismů včetně Row Level Security.
• 3. Šifrování — při přenosu dat mezi uživatelem a Službou je používáno šifrované spojení HTTPS/TLS.
• 4. Autentizace — Služba používá centralizovaný systém autentizace. Přístup do chráněných částí aplikace je podmíněn platnou uživatelskou relací a v relevantních případech také ověřením e-mailové adresy.
• 5. Session management — autentizační relace aplikace jsou u klienta spravovány způsobem, který omezuje jejich trvalé uchování po uzavření karty/prohlížeče.
• 6. Ochrana veřejných rozhraní — veřejné integrační endpointy mohou využívat HMAC autentizaci, timestamp, nonce, ochranu proti replay útokům, rate limiting a validaci vstupů.
• 7. Storage — ukládané soubory jsou odděleny podle zákaznického prostředí a přístup k nim podléhá autorizaci.
• 8. Logování — technické a bezpečnostní události mohou být logovány za účelem bezpečnosti, diagnostiky, prevence zneužití, řešení incidentů a provozu Služby.
• 9. Zálohování — primární infrastruktura využívá zálohovací mechanismy příslušných poskytovatelů infrastruktury. Konkrétní retenční lhůty se mohou lišit podle použitého poskytovatele a tarifu.
• 10. Incident response — Poskytovatel udržuje procesy pro detekci, posouzení a řešení bezpečnostních incidentů.

Zákazník souhlasí s využitím dalších zpracovatelů uvedených v Příloze č. 3 tohoto DPA.

Poskytovatel může zapojit dalšího subzpracovatele za předpokladu, že:

• o jeho zapojení Zákazníka vhodným způsobem informuje,
• subzpracovatel je smluvně zavázán k povinnostem odpovídajícím tomuto DPA,
• Poskytovatel zůstává vůči Zákazníkovi odpovědný za plnění povinností subzpracovatele v rozsahu stanoveném GDPR.

Zákazník může proti novému subzpracovateli vznést odůvodněnou námitku z důvodů ochrany osobních údajů.

Pokud se Smluvní strany nedohodnou jinak, může být změna subzpracovatele provedena po uplynutí přiměřené lhůty od oznámení.

Primární projektová infrastruktura Elowio je podle současné konfigurace umístěna v AWS regionu eu-west-1 (Irsko). To představuje primární lokalitu projektu, nikoli absolutní garanci, že žádné zpracování nikdy neproběhne mimo EU/EHP.

Některé použité technologické služby využívají globální infrastrukturu nebo mohou zapojovat poskytovatele mimo EU/EHP. V současné infrastruktuře se jedná zejména o Lovable, Supabase, Cloudflare, Resend.

Příslušní poskytovatelé používají pro relevantní transfery zejména standardní smluvní doložky EU („SCC“), případně mechanismy založené na EU-U.S. Data Privacy Framework, pokud jsou pro konkrétního poskytovatele relevantní.

Zákazník bere na vědomí, že některé služby mohou zpracovávat technická metadata nebo jiná data v globální infrastruktuře.

Poskytovatel nebude v tomto DPA tvrdit, že veškerá data jsou zpracovávána výhradně v EU/EHP.

Pokud Zákazník obdrží žádost subjektu údajů týkající se zpracování realizovaného prostřednictvím Služby, odpovídá za její vyřízení jako správce.

Poskytovatel poskytne přiměřenou součinnost, pokud je k jejímu poskytnutí objektivně potřebný.

Poskytovatel nebude bez pokynu Zákazníka odpovídat subjektu údajů za Zákazníka, s výjimkou případů, kdy mu takovou povinnost ukládá právní předpis.

Součinnost může zahrnovat zejména vyhledání údajů, export údajů, opravu nebo odstranění údajů prostřednictvím dostupných funkcí a technickou součinnost při omezení zpracování.

Pokud Poskytovatel zjistí porušení zabezpečení osobních údajů, které se týká osobních údajů zpracovávaných pro Zákazníka, oznámí tuto skutečnost Zákazníkovi bez zbytečného odkladu.

Oznámení bude podle dostupnosti obsahovat zejména popis incidentu, přibližný rozsah, dotčené kategorie údajů, přijatá nebo navrhovaná opatření a kontaktní místo pro další komunikaci.

Poskytovatel bude podle okolností spolupracovat se Zákazníkem při vyhodnocení rizika a přijetí nápravných opatření.

Zákazník odpovídá za posouzení, zda a jakým způsobem je nutné incident oznámit Úřadu pro ochranu osobních údajů nebo subjektům údajů.

Poskytovatel zachovává mlčenlivost o všech osobních údajích a dalších důvěrných informacích, které získá v souvislosti s poskytováním Služby.

Povinnost mlčenlivosti se nevztahuje na případy, kdy je zpřístupnění vyžadováno právním předpisem, je nezbytné pro plnění smlouvy nebo je nezbytné pro ochranu práv Poskytovatele.

Povinnost mlčenlivosti trvá i po ukončení smluvního vztahu.

Zákazník je oprávněn získat informace nezbytné k ověření plnění povinností Poskytovatele podle čl. 28 GDPR.

Poskytovatel může za tímto účelem poskytnout zejména informace o přijatých bezpečnostních opatřeních, dostupnou dokumentaci, relevantní bezpečnostní certifikace, informace o použitých subzpracovatelích a informace o bezpečnostních incidentech.

Audit na místě lze požadovat pouze v odůvodněných případech, zejména pokud nelze požadované informace získat jiným přiměřeným způsobem.

Audit nesmí nepřiměřeně narušovat bezpečnost, provoz nebo důvěrnost údajů jiných zákazníků.

Náklady auditu nese Zákazník, pokud právní předpis nestanoví jinak.

Pokud je Poskytovatel povinen zpřístupnit osobní údaje orgánu veřejné moci, postupuje podle příslušných právních předpisů.

Pokud to právní předpis umožňuje, Poskytovatel Zákazníka o takové žádosti předem informuje.

Poskytovatel může být nucen respektovat právní požadavky jurisdikcí, ve kterých působí jeho subzpracovatelé.

Přeshraniční předávání se řídí příslušným právním mechanismem uvedeným v tomto DPA a Příloze č. 3.

Po skončení poskytování Služby má Zákazník možnost požádat o zpřístupnění nebo export svých údajů, pokud to umožňuje konkrétní funkce Služby.

Po uplynutí přiměřené lhůty Poskytovatel osobní údaje odstraní nebo anonymizuje.

Osobní údaje obsažené v zálohách mohou být odstraněny až v rámci běžného cyklu jejich přepisování.

Pokud právní předpis vyžaduje uchování některých údajů, budou tyto údaje uchovány pouze po nezbytně nutnou dobu a v rozsahu vyžadovaném právem.

Každá Smluvní strana odpovídá za plnění povinností, které jí ukládá GDPR a další příslušné právní předpisy.

Zákazník odpovídá zejména za zákonnost zpracování, právní tituly, informační povinnosti, obsah osobních údajů vložených do Služby a oprávnění vlastních uživatelů.

Poskytovatel odpovídá zejména za plnění povinností zpracovatele podle GDPR a tohoto DPA.

Odpovědnost za škodu a smluvní odpovědnost se dále řídí VOP a příslušnými právními předpisy.

Služba není primárně určena ke zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR.

Zákazník je povinen takové údaje do Služby nevkládat, pokud jejich zpracování nebylo předem výslovně dohodnuto s Poskytovatelem.

Pokud Zákazník zvláštní kategorie osobních údajů přesto do Služby vloží, činí tak na vlastní odpovědnost a musí zajistit existenci odpovídajícího právního titulu a splnění všech povinností správce.

Služba v aktuálním rozsahu není určena k provádění rozhodování, které by mělo pro subjekty údajů právní účinky nebo se jich obdobně významně dotýkalo ve smyslu čl. 22 GDPR.

Případné AI funkce mohou být do Služby přidány nebo aktivovány samostatně. Pokud bude AI funkce zpracovávat osobní údaje prostřednictvím dalšího poskytovatele, bude příslušný poskytovatel před jejím použitím řešen v souladu s pravidly pro subzpracovatele.

V současném produkčním stavu není AI Gateway využívána pro běžné zpracování zákaznických dat.

Elowio využívá externí službu pro odesílání transakčních a systémových e-mailů. Tato služba může zpracovávat zejména e-mailové adresy, jména, obsah zpráv, doručovací metadata, údaje o doručení, bounce a event data.

Aktuálním poskytovatelem této služby je Plus Five Five, Inc. (Resend). Zákazník bere na vědomí, že podle dostupné dokumentace Resend může docházet k ukládání account dat, metadat a logů v USA i při použití EU sending regionu.

Příslušné mezinárodní předávání se řídí mechanismy uvedenými v Příloze č. 3.

Zákazník odpovídá za bezpečnost přístupových údajů svých uživatelů. Uživatelé nesmí své přístupové údaje sdílet s jinými osobami.

Zákazník je povinen bez zbytečného odkladu deaktivovat přístupy osob, které již nejsou oprávněny Službu používat.

Poskytovatel může při podezření na kompromitaci účtu přijmout přiměřená bezpečnostní opatření včetně omezení přístupu.

Poskytovatel může toto DPA aktualizovat zejména v návaznosti na změny právních předpisů, změny Služby, změny subzpracovatelů, změny bezpečnostních standardů nebo změny infrastruktury.

Pokud změna podstatně ovlivní práva nebo povinnosti Zákazníka, Poskytovatel o ní Zákazníka vhodným způsobem informuje.

Změny subzpracovatelů se řídí čl. X tohoto DPA.

Toto DPA nabývá účinnosti společně se smluvním vztahem ke Službě, pokud není mezi Smluvními stranami dohodnuto jinak.

DPA trvá po dobu, po kterou Poskytovatel zpracovává osobní údaje pro Zákazníka.

Ustanovení, která mají ze své povahy trvat i po ukončení smluvního vztahu, zejména mlčenlivost a povinnost ochrany osobních údajů, trvají i po jeho skončení.

Toto DPA se řídí právním řádem České republiky, není-li závaznými právními předpisy stanoveno jinak.

Tím nejsou dotčena práva subjektů údajů podle GDPR ani pravomoci příslušných dozorových orgánů.

Pro řešení sporů se použijí pravidla sjednaná ve VOP, pokud kogentní právní předpis nestanoví jinak.

Pokud se některé ustanovení tohoto DPA stane neplatným nebo nevymahatelným, nemá to vliv na platnost ostatních ustanovení.

Smluvní strany se zavazují nahradit takové ustanovení ustanovením, které se svým účelem co nejvíce blíží původnímu ustanovení.

Toto DPA může být uzavřeno elektronicky a může být součástí elektronické smluvní dokumentace ke Službě.

Aktuální verze DPA bude zveřejněna na webových stránkách Poskytovatele.

Předmět zpracování

Poskytování SaaS služby Elowio CRM, zejména provoz CRM, správa zákaznických záznamů, dokumentů, obchodních údajů, uživatelských účtů, autentizace a souvisejících technických funkcí.

Doba zpracování

Po dobu trvání smluvního vztahu a následně po dobu nezbytnou pro export, výmaz nebo splnění zákonné povinnosti.

Kategorie subjektů údajů

• zákazníci Zákazníka,
• potenciální zákazníci,
• kontaktní osoby,
• zaměstnanci,
• dodavatelé,
• obchodní partneři,
• uživatelé Služby,
• jiné osoby, jejichž údaje Zákazník oprávněně zpracovává.

Kategorie údajů

• identifikační,
• kontaktní,
• adresní,
• firemní,
• obchodní,
• smluvní,
• fakturační,
• komunikační,
• uživatelské,
• technické,
• provozní a bezpečnostní údaje,
• dokumenty a metadata.

Účely

• poskytování Služby,
• ukládání dat,
• zobrazování a správa dat,
• autentizace,
• řízení oprávnění,
• zabezpečení,
• technická podpora,
• provoz a diagnostika,
• odesílání systémových e-mailů.

Poskytovatel používá přiměřená technická a organizační opatření odpovídající rizikům zpracování.

A. Přístupová kontrola

• autentizace uživatelů,
• autorizace na úrovni aplikace,
• autorizace na úrovni serverových funkcí,
• databázová RLS,
• tenant isolation,
• oddělení oprávnění uživatelů,
• ochrana administrátorských funkcí.

B. Ochrana komunikace

• HTTPS/TLS,
• zabezpečená API komunikace,
• HMAC ochrana vybraných veřejných endpointů,
• nonce a ochrana proti replay útokům.

C. Ochrana databáze

• PostgreSQL infrastruktura,
• Row Level Security,
• oddělení tenantních dat,
• autorizované serverové funkce,
• omezení anonymního přístupu k citlivým funkcím.

D. Ochrana autentizace

• centralizovaná autentizace,
• ověření e-mailu,
• session management,
• jednorázové first-access tokeny,
• hashování tokenů v databázi,
• ochrana proti opakovanému použití tokenu.

E. Ochrana souborů

• tenantní oddělení storage,
• autorizace přístupu,
• omezení přístupu k cizím tenantním prefixům.

F. Provozní bezpečnost

• technické logování,
• bezpečnostní monitoring,
• rate limiting vybraných veřejných funkcí,
• validace vstupů,
• ochrana secrets mimo klientský kód.

G. Bezpečnostní testování

Poskytovatel provádí podle potřeby technické kontroly, včetně kontrol autentizace, autorizace, tenant isolation, RLS, veřejných endpointů, serverových funkcí a storage isolation.

V rámci posledního black-box auditu nebyl zjištěn kritický ani vysoký problém v tenantní izolaci nebo autorizaci. Zjištěné bezpečnostní mechanismy zahrnují RLS, tenant guard, platform guard a ochranu storage.

H. Subdodavatelská infrastruktura

Primární databázová infrastruktura projektu je konfigurována v AWS eu-west-1 (Irsko).

V současném produkčním prostředí jsou jako aktivní subzpracovatelé identifikováni následující poskytovatelé:

Lovable Labs Incorporated

• Služba: hosting, deployment, server runtime, Lovable Cloud
• Účel: provoz aplikace Elowio
• Lokalita / transfer: EU/USA/globální infrastruktura; SCC

Supabase, Inc.

• Služba: PostgreSQL, Auth, Storage
• Účel: databáze, autentizace, soubory
• Lokalita / transfer: primární projekt AWS eu-west-1, Irsko; možné další zpracování mimo EU/EHP

Cloudflare, Inc.

• Služba: CDN, TLS, WAF, Workers
• Účel: ochrana a doručování aplikace
• Lokalita / transfer: globální edge infrastruktura

Plus Five Five, Inc. (Resend)

• Služba: transakční e-mail
• Účel: systémové a registrační e-maily
• Lokalita / transfer: sending může být EU; account data, metadata a logy mohou být v USA

Lovable

Lovable Labs Incorporated poskytuje zejména hosting, deployment a serverový runtime. Podle auditu používá další poskytovatele v EU i USA, mimo jiné Google Cloud Platform, Cloudflare, AWS a Anthropic. Pro relevantní transfery jsou uváděny EU SCC, UK IDTA a Swiss Addendum.

Úplnost veřejně dostupného seznamu Lovable subzpracovatelů nebyla auditem definitivně ověřena.

Supabase

Supabase poskytuje databázi, autentizaci a Storage. Projekt Elowio je konfigurován v AWS eu-west-1 (Irsko). Supabase DPA obsahuje SCC a veřejný seznam subzpracovatelů zahrnuje mimo jiné AWS a Cloudflare.

Cloudflare

Cloudflare zajišťuje zejména CDN, TLS terminaci, WAF a Workers. Cloudflare používá globální edge infrastrukturu; EU-only varianta přes Regional Services není v současném setupu Elowio aktivní.

Resend

Resend zajišťuje transakční e-mailovou komunikaci. Podle dostupné dokumentace může být sending region nastaven na EU, avšak account data, metadata a logy jsou podle auditu ukládány v USA. Transfer je pokryt EU-U.S. DPF, UK Extension a SCC.

Některé funkce Elowio mohou v budoucnu vyžadovat další poskytovatele.

AI služby

Poskytovatelé AI modelů mohou být zapojeni pouze v případě, že je příslušná AI funkce skutečně aktivována a používána. V současném produkčním stavu AI Gateway není používána pro běžné zpracování zákaznických dat. Před aktivací funkce budou příslušní poskytovatelé posouzeni a případně doplněni do seznamu subzpracovatelů.

E-mailové schránky zákazníka

Funkce připojení firemní e-mailové schránky prostřednictvím IMAP/SMTP není součástí současného aktivního zpracování zákaznických dat a není v této verzi DPA uvedena jako aktivní subzpracovatel. Pokud bude tato funkce aktivována, budou podmínky zpracování a případní další poskytovatelé posouzeni před jejím použitím.

Zákazník bere na vědomí, že Elowio využívá globální cloudovou infrastrukturu a některé služby mohou zpracovávat osobní údaje nebo související technická data mimo EU/EHP.

Poskytovatel proto negarantuje, že všechny osobní údaje budou za všech okolností zpracovávány výhradně v EU/EHP.

Primární databázová infrastruktura projektu Elowio je v současnosti umístěna v AWS regionu eu-west-1 v Irsku.

Případné předávání mimo EU/EHP je realizováno prostřednictvím příslušných mechanismů podle GDPR, zejména standardních smluvních doložek Evropské komise a tam, kde je relevantní, prostřednictvím uznaných mechanismů přiměřenosti.

Zákazník bere na vědomí, že jednotliví subzpracovatelé mohou mít vlastní infrastrukturu, subzpracovatele a režimy mezinárodního předávání.

Ve věcech ochrany osobních údajů lze Poskytovatele kontaktovat:

Erik Löwy

• IČO: 06228810
• Školská 660/3
• 110 00 Praha 1
• Česká republika
• E-mail: info@elowio.cz