1. Smluvní strany a předmět smlouvy

Tato zpracovatelská smlouva podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR") upravuje zpracování osobních údajů, které provádí provozovatel služby Certito jako zpracovatel jménem zákazníka. Zpracovatelem je Šikulovi s.r.o., IČO: 05184029, se sídlem Brno - Královo Pole, Rostislavovo náměstí 2347/5a, 612 00, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, oddíl C, vložka 93992 (dále jen „Zpracovatel"). Správcem je zákazník s aktivním placeným tarifem Služby (dále jen „Správce").

Smlouva je nedílnou součástí Podmínek použití služby. Uzavírá se okamžikem aktivace placeného tarifu a trvá po dobu jeho užívání; samostatný podpis se nevyžaduje. Požádá-li Správce o podepsané vyhotovení, Zpracovatel mu vyhoví.

2. Povaha, účel a rozsah zpracování

Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování Služby — průběžného hlídání souladu webu, zasílání upozornění a správy zákaznického účtu. Zpracování zahrnuje shromáždění, uložení, použití, předání subzpracovatelům uvedeným v příloze a výmaz.

Typy osobních údajů a kategorie subjektů údajů:

Účet a upozornění — e-mailová adresa účtu, na kterou chodí výsledky kontrol a upozornění z monitoringu (typicky pracovní e-mail osoby jednající za Správce)
Údaje o hlídaných webech — URL, výsledky kontrol a historie auditů; mohou obsahovat osobní údaje zveřejněné na webu Správce (identifikace provozovatele, kontaktní osoby)
Komunikace se Správcem — obsah e-mailové korespondence k vyřizování požadavků

Povinnosti a práva Správce vyplývají z GDPR, z Podmínek použití služby a z jeho nastavení Služby.

3. Pokyny Správce

Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, a to i při předání do třetí země. Za doložený pokyn se považuje nastavení Služby Správcem (zadání hlídané domény, konfigurace monitoringu) a tato smlouva. Výjimkou je zpracování, které Zpracovateli ukládá právo Evropské unie nebo České republiky — o takovém požadavku Zpracovatel Správce informuje před zahájením zpracování, ledaže to dané právo z důvodu důležitého veřejného zájmu zakazuje. Má-li Zpracovatel za to, že pokyn porušuje GDPR nebo jiný právní předpis, Správce na to bez zbytečného odkladu upozorní.

4. Mlčenlivost a zabezpečení

Osoby oprávněné zpracovávat osobní údaje jsou zavázány k mlčenlivosti. Zpracovatel přijal technická a organizační opatření podle čl. 32 GDPR: veškerá komunikace probíhá šifrovaně (HTTPS), hesla se ukládají výhradně v hashované podobě, přístup k databázi je omezen na aplikační vrstvu a přístup k produkční infrastruktuře mají jen pověřené osoby.

5. Subzpracovatelé

Správce uděluje obecné povolení k zapojení subzpracovatelů uvedených v příloze této smlouvy. Zamýšlené změny (přidání nebo nahrazení subzpracovatele) Zpracovatel oznámí e-mailem nejméně 30 dnů předem; Správce může z důvodů ochrany osobních údajů vznést námitku. Se všemi subzpracovateli má Zpracovatel uzavřeny smlouvy ukládající jim povinnosti odpovídající této smlouvě. Při předání údajů mimo EU/EHP se předání opírá o rozhodnutí o odpovídající ochraně (EU-U.S. Data Privacy Framework) nebo o standardní smluvní doložky.

6. Součinnost

Zpracovatel je Správci nápomocen při plnění povinností podle čl. 12 až 23 GDPR (výkon práv subjektů údajů) a čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu). Porušení zabezpečení osobních údajů ohlásí Správci bez zbytečného odkladu po jeho zjištění na kontaktní e-mail účtu.

7. Výmaz a audit

Po ukončení placeného tarifu Zpracovatel osobní údaje zpracovávané jménem Správce podle jeho volby vrátí ve strojově čitelném formátu, nebo vymaže; nezvolí-li Správce jinak, vymaže je v souladu s dobami uchování uvedenými v zásadách ochrany osobních údajů, nejpozději do 30 dnů od zániku účtu nebo od žádosti Správce. To neplatí, ukládá-li právo Evropské unie nebo České republiky jejich další uložení.

Zpracovatel poskytne Správci informace potřebné k doložení souladu s čl. 28 GDPR a umožní audity prováděné Správcem nebo jím pověřeným auditorem. Audit se oznamuje nejméně 14 dnů předem a nesmí nepřiměřeně narušit provoz Služby.

Příloha: Seznam subzpracovatelů

Subzpracovatel	Účel	Umístění
Railway Corporation	hosting aplikace, databáze a cache	USA (servery v EU; SCC/DPF)
Cloudflare, Inc.	DNS a směrování e-mailů	USA (DPF)
Railsware Products Studio LLC (Mailtrap)	odesílání e-mailových upozornění	USA (DPF, záložní SCC)
Functional Software, Inc. (Sentry)	evidence technických chyb provozu	USA (DPF)
Google Ireland Ltd.	anonymizovaná analytika webu certito.cz (jen se souhlasem) a data Core Web Vitals hlídaných domén	Irsko / USA (DPF)
OpenRouter, Inc.	automatizovaná klasifikace obsahu hlídaných webů	USA

Aktuální znění tohoto seznamu je vždy dostupné na této stránce. Dotazy ke zpracování osobních údajů přijímáme na adrese info@certito.cz.

Zpracovatelská smlouva (DPA)