1. Smluvní strany a předmět smlouvy

Tato zpracovatelská smlouva podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR") upravuje zpracování osobních údajů, které provádí provozovatel služby Certito jako zpracovatel jménem zákazníka. Zpracovatelem je Šikulovi s.r.o., IČO: 05184029, se sídlem Brno - Královo Pole, Rostislavovo náměstí 2347/5a, 612 00, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, oddíl C, vložka 93992 (dále jen „Zpracovatel"). Správcem je zákazník s aktivním placeným tarifem Služby (dále jen „Správce").

Předmětem smlouvy není zpracování podle čl. 2 odst. 2 (provozní deník kontrol), u kterého Zpracovatel vystupuje jako samostatný správce, protože u něj sám určuje účely a prostředky. Takové zpracování stojí mimo tuto smlouvu a řídí se zásadami ochrany osobních údajů.

Smlouva je nedílnou součástí Podmínek použití služby. Uzavírá se okamžikem aktivace placeného tarifu a trvá po dobu jeho užívání; samostatný podpis se nevyžaduje. Požádá-li Správce o podepsané vyhotovení, Zpracovatel mu vyhoví.

2. Povaha, účel a rozsah zpracování

2.1 Zpracování jménem Správce. Zpracovatel zpracovává osobní údaje jménem Správce výhradně za účelem poskytování Služby — průběžného hlídání souladu webu, zasílání upozornění a správy zákaznického účtu. Zpracování zahrnuje shromáždění, uložení, použití, předání subzpracovatelům uvedeným v příloze a výmaz.

2.2 Samostatné zpracování mimo tuto smlouvu. Vedle toho si Zpracovatel vede provozní deník kontrol (bod 2.6 zásad ochrany osobních údajů): o každém běhu drží adresu webu, čas, provozní údaje a výtah toho, jak kontrola dopadla. Účelem je statistika o stavu českých webů a vývoj Služby. V tomto rozsahu Zpracovatel nejedná podle pokynů Správce, ale jako samostatný správce z vlastního oprávněného zájmu podle čl. 6 odst. 1 písm. f) GDPR; text kontrolovaných stránek se do deníku neopisuje a Správce může požádat o jeho výmaz postupem podle čl. 7.

Typy osobních údajů a kategorie subjektů údajů:

Účet a upozornění — e-mailová adresa účtu, na kterou chodí výsledky kontrol a upozornění z monitoringu (typicky pracovní e-mail osoby jednající za Správce)
Údaje o hlídaných webech — URL, výsledky kontrol a historie auditů; mohou obsahovat osobní údaje zveřejněné na webu Správce (identifikace provozovatele, kontaktní osoby)
Komunikace se Správcem — obsah e-mailové korespondence k vyřizování požadavků

Povinnosti a práva Správce vyplývají z GDPR, z Podmínek použití služby a z jeho nastavení Služby.

3. Pokyny Správce

Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, a to i při předání do třetí země; to neplatí pro zpracování podle čl. 2 odst. 2, u kterého Zpracovatel vystupuje jako samostatný správce a pokyny Správce se na ně nevztahují. Za doložený pokyn se považuje nastavení Služby Správcem (zadání hlídané domény, konfigurace monitoringu) a tato smlouva. Výjimkou je zpracování, které Zpracovateli ukládá právo Evropské unie nebo České republiky — o takovém požadavku Zpracovatel Správce informuje před zahájením zpracování, ledaže to dané právo z důvodu důležitého veřejného zájmu zakazuje. Má-li Zpracovatel za to, že pokyn porušuje GDPR nebo jiný právní předpis, Správce na to bez zbytečného odkladu upozorní.

4. Mlčenlivost a zabezpečení

Osoby oprávněné zpracovávat osobní údaje jsou zavázány k mlčenlivosti. Zpracovatel přijal technická a organizační opatření podle čl. 32 GDPR: veškerá komunikace probíhá šifrovaně (HTTPS), hesla se ukládají výhradně v hashované podobě, přístup k databázi je omezen na aplikační vrstvu a přístup k produkční infrastruktuře mají jen pověřené osoby.

5. Subzpracovatelé

Správce uděluje obecné povolení k zapojení subzpracovatelů uvedených v příloze této smlouvy. Zamýšlené změny (přidání nebo nahrazení subzpracovatele) Zpracovatel oznámí e-mailem nejméně 30 dnů předem; Správce může z důvodů ochrany osobních údajů vznést námitku. Se všemi přímými subzpracovateli má Zpracovatel uzavřeny smlouvy ukládající jim povinnosti odpovídající této smlouvě; poskytovatele jazykových modelů, které příloha uvádí jako subdodavatele OpenRouter, zapojuje OpenRouter podle své zpracovatelské smlouvy. Při předání údajů mimo EU/EHP se předání opírá o rozhodnutí o odpovídající ochraně (EU-U.S. Data Privacy Framework) nebo o standardní smluvní doložky.

6. Součinnost

Zpracovatel je Správci nápomocen při plnění povinností podle čl. 12 až 23 GDPR (výkon práv subjektů údajů) a čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu). Porušení zabezpečení osobních údajů ohlásí Správci bez zbytečného odkladu po jeho zjištění na kontaktní e-mail účtu.

7. Výmaz a audit

Po ukončení placeného tarifu Zpracovatel osobní údaje zpracovávané jménem Správce podle jeho volby vrátí ve strojově čitelném formátu, nebo vymaže. Požádá-li Správce o výmaz, provede jej Zpracovatel do 30 dnů od žádosti, a to ke každé doméně, kterou už Správce nemá v hlídání; výmaz zahrnuje i provozní deník kontrol a zůstane po něm jen doklad o tom, že proběhl, bez uvedení domény. Nepožádá-li Správce o výmaz, údaje zaniknou uplynutím dob uchování uvedených v zásadách ochrany osobních údajů — každá kontrola 5 let od svého provedení, podklad veřejně ověřitelného osvědčení po dobu, po kterou zůstává ověřitelné. To neplatí, ukládá-li právo Evropské unie nebo České republiky jejich další uložení; daňové doklady k objednávkám proto Zpracovatel uchovává po zákonnou dobu a výmaz se jich netýká.

Uplynutím lhůty ale nezaniká všechno: provozní deník kontrol Zpracovatel uchovává neomezeně (bod 2.6 zásad, viz i čl. 2 odst. 2 této smlouvy) a odstraní ho jedině na žádost o výmaz. Doby uchování výš tedy popisují, co ze Služby zmizí samo; deník mezi to nepatří.

Zpracovatel poskytne Správci informace potřebné k doložení souladu s čl. 28 GDPR a umožní audity prováděné Správcem nebo jím pověřeným auditorem. Audit se oznamuje nejméně 14 dnů předem a nesmí nepřiměřeně narušit provoz Služby.

Příloha: Seznam subzpracovatelů

Subzpracovatel	Účel	Umístění
Railway Corporation	hosting aplikace, databáze, cache a úložiště souborů	EU – Amsterdam, Nizozemsko (sídlo USA; DPF)
Cloudflare, Inc.	DNS a směrování e-mailů	USA, celosvětová síť (DPF, záložní SCC)
Railsware Products Studio LLC (Mailtrap)	odesílání e-mailových upozornění	USA (DPF, záložní SCC)
Functional Software, Inc. (Sentry)	evidence technických chyb provozu	EU – Frankfurt, Německo (sídlo USA; DPF)
Google Ireland Ltd.	anonymizovaná analytika webu certito.cz (jen se souhlasem) a data Core Web Vitals hlídaných domén	Irsko / USA (DPF)
OpenRouter, Inc.	automatizovaná klasifikace obsahu hlídaných webů a druhý posudek nálezů auditu (veřejný text stránek, doména a údaje o provozovateli z rejstříku ARES); vstupy a výstupy po vygenerování odpovědi maže	USA (SCC)
Alibaba Cloud (subdodavatel OpenRouter)	jazykový model pro automatizovanou klasifikaci obsahu hlídaných webů (veřejný text stránek); text dotazu uchovává, k trénování ho nepoužívá	Singapur (datová centra i v Číně a USA; předání přes OpenRouter podle SCC)
Google LLC – Google Cloud (Vertex AI) (subdodavatel OpenRouter)	jazykový model pro druhý posudek nálezů auditu (veřejný text stránek, doména a údaje o provozovateli z rejstříku ARES); jen koncové body s nulovým uchováváním dat	EU – evropský region Google Cloud (sídlo USA; DPF)

Aktuální znění tohoto seznamu je vždy dostupné na této stránce. Dotazy ke zpracování osobních údajů přijímáme na adrese info@certito.cz.

Zpracovatelská smlouva (DPA)