Dodatek o zpracování údajů

Tento Dodatek o zpracování údajů (Dodatek) je součástí Podmínek služby, které jste uzavřeli s poskytovatelem Služby, jímž je společnost ze skupiny GridStudio uvedená na vaší faktuře (my, nás). Uplatní se vždy, když vaším jménem zpracováváme osobní údaje obsažené v Zákaznických datech. Pojmy psané s velkým počátečním písmenem, které zde nejsou vymezeny, mají význam uvedený v Podmínkách služby.

Při tomto zpracování jste správcem, nebo zpracovatelem jednajícím pro své vlastní klienty, vy a my jsme vaším zpracovatelem. Každá strana dodržuje právní předpisy o ochraně osobních údajů, které se na ni vztahují, případně včetně obecného nařízení o ochraně osobních údajů EU a Spojeného království, tureckého zákona o ochraně osobních údajů (KVKK) a zákona Spojených arabských emirátů o ochraně osobních údajů.

Tento Dodatek se nevztahuje na údaje, které zpracováváme jako správce pro vlastní účely, například údaje o účtu a fakturační údaje. Toto zpracování popisují Zásady ochrany osobních údajů.

Je-li tento Dodatek ohledně zpracování osobních údajů v rozporu s ostatními ustanoveními Podmínek služby, má přednost tento Dodatek.

• Předmět a účel: odesílání a přijímání zpráv na Kanálech, které připojíte, hlášení jejich stavu, doručování událostí webhooků vám, vyúčtování a zajištění bezpečnosti Služby.
• Doba trvání: po dobu, kdy máte Účet, a následně do výmazu údajů popsaného v oddílu 10.
• Povaha zpracování: přijímání, ukládání, předávání Poskytovatelům kanálů, zaznamenávání do protokolů, zobrazování vám a výmaz.
• Subjekty údajů: osoby, kterým zprávy zasíláte a od kterých je přijímáte, a kdokoli další, kdo je ve zprávách zmíněn.
• Kategorie údajů: identifikátory, jako jsou telefonní čísla, ID chatů a ID uživatelů na platformách; obsah zpráv a odkazovaná média; stavy doručení a přečtení; a reference a metadata, která připojíte.
• Zvláštní kategorie: Služba není určena pro zvláštní kategorie osobních údajů. O obsahu svých zpráv rozhodujete vy a takové údaje nesmíte odesílat, ledaže k tomu máte zákonný základ a Poskytovatel kanálu to povoluje.

Osobní údaje zpracováváme pouze na základě vašich doložených pokynů. Podmínky služby, tento Dodatek a vaše užívání API a konzole představují vaše úplné pokyny. Informujeme vás, pokud podle našeho názoru některý pokyn porušuje právní předpisy o ochraně osobních údajů, a takovým pokynem se nejsme povinni řídit.

Údaje můžeme zpracovávat také tehdy, pokud to vyžaduje právní předpis, který se na nás vztahuje. V takovém případě vás o tom předem informujeme, ledaže to tento právní předpis zakazuje.

Za zákonnost zpracování odpovídáte vy: za existenci právního základu, za souhlasy a informace, které náleží subjektům údajů, a za přesnost údajů, které předáváte.

Zajišťujeme, aby osoby oprávněné zpracovávat osobní údaje byly vázány povinností mlčenlivosti a měly k údajům přístup pouze v rozsahu, který jejich práce vyžaduje.

Uplatňujeme technická a organizační opatření odpovídající danému riziku a můžeme je aktualizovat, pokud se úroveň ochrany nesníží. V současné době k nim patří:

• šifrování dat při přenosu pomocí TLS;
• ukládání hesel jako hashů Argon2id a ukládání tokenů relací a klíčů API výhradně jako hashů;
• šifrování uložených podpisových klíčů webhooků a klíčů, které propojují Účet s doručovací platformou, algoritmem AES-256-GCM;
• předávání přihlašovacích údajů, tokenů a autorizačních kódů Kanálů doručovací platformě, aniž by je brána ukládala nebo zaznamenávala do protokolů;
• řízení přístupu podle rolí pro členy Účtu, klíče API omezené oprávněními a IP adresou, omezování počtu požadavků a uzamčení po opakovaných neúspěšných pokusech o přihlášení;
• logické oddělení dat jednotlivých Účtů;
• auditní protokol administrativních úkonů, včetně každého přístupu našich pracovníků k Účtu za účelem poskytnutí podpory;
• podepsané doručování webhooků a ověřování adres webhooků vůči rozsahům privátních sítí.

Udělujete nám obecné povolení zapojit další zpracovatele. Zapojujeme je na základě písemné smlouvy, která jim ukládá povinnosti na ochranu osobních údajů rovnocenné povinnostem podle tohoto Dodatku, a za jejich činnost vám nadále odpovídáme.

Pro Zákaznická data využíváme tyto kategorie dalších zpracovatelů:

• Hosting a infrastruktura: poskytovatelé, kteří hostují naše servery, databáze a zálohy;
• Společnosti ze skupiny GridStudio: které provozují doručovací platformu napojenou na Poskytovatele kanálů a zajišťují podporu Služby.

Před přidáním nebo nahrazením dalšího zpracovatele informujeme vlastníky vašeho Účtu. Do čtrnácti dnů můžete z přiměřených důvodů týkajících se ochrany osobních údajů vznést námitku. Nepodaří-li se nám námitku vyřešit, můžete smlouvu ukončit a my vám v takovém případě vrátíme nevyužitý zůstatek Peněženky, který jste uhradili, a poměrně vypočtenou nevyužitou část zakoupených Balíčků, jejichž platnost dosud neskončila.

Poskytovatelé kanálů, například Meta, Telegram, TikTok, Twilio a další poskytovatelé SMS a operátoři, nejsou našimi dalšími zpracovateli. Vybíráte si je vy, s každým z nich máte vlastní smlouvu a my jim údaje předáváme na základě vašich pokynů. Náš poskytovatel plateb a náš poskytovatel doručování e-mailů pro nás jako správce zpracovávají údaje o účtu a fakturační údaje a Zákaznická data nedostávají.

S přihlédnutím k povaze zpracování jsme vám prostřednictvím vhodných technických a organizačních opatření nápomocni při vyřizování žádostí subjektů údajů, které uplatňují svá práva. Konzole a API vám umožňují vyhledat a získat zprávy konkrétního příjemce. Obrátí-li se subjekt údajů přímo na nás, odkážeme jej na vás a na žádost sami neodpovídáme, ledaže nás o to požádáte nebo to vyžaduje právní předpis.

Poskytujeme vám rovněž přiměřenou součinnost při posouzeních vlivu na ochranu osobních údajů, při konzultacích s dozorovými úřady a při zabezpečení zpracování, pokud se týkají Služby a informace si nemůžete opatřit sami.

Jakmile se dozvíme o porušení zabezpečení osobních údajů, které se dotýká Zákaznických dat, oznámíme to bez zbytečného odkladu vlastníkům vašeho Účtu. Oznámení popisuje, co je nám známo o povaze porušení, o dotčených údajích, o jeho pravděpodobných důsledcích a o přijatých nebo navrhovaných opatřeních, a informace doplňujeme, jakmile jsou k dispozici. Oznámení není uznáním zavinění.

Dáváte nám pokyn předávat Zákaznická data Poskytovatelům kanálů a příjemcům, kterým zprávy adresujete, ať se nacházejí kdekoli. My a naši další zpracovatelé můžeme Zákaznická data zpracovávat i v jiných zemích než v té, kde máte sídlo.

Omezují-li právní předpisy o ochraně osobních údajů určité předání, opírají se strany o mechanismus předávání, který tyto předpisy uznávají. Jsou-li pro předání od vás k nám vyžadovány standardní smluvní doložky schválené Evropskou komisí, případně s dodatkem pro Spojené království, jsou do tohoto Dodatku začleněny odkazem, přičemž vy jste vývozcem údajů a my dovozcem údajů a podrobnosti o zpracování jsou uvedeny v oddílech 2 a 5.

Po dobu trvání smlouvy můžete Zákaznická data získat prostřednictvím konzole a API. Po ukončení smlouvy Zákaznická data v přiměřené lhůtě vymažeme, ledaže nám právní předpis, který se na nás vztahuje, ukládá je uchovat; v takovém případě zachováváme jejich důvěrnost a nepoužíváme je k žádnému jinému účelu. Požádáte-li o to před zrušením Účtu, poskytneme vám přiměřenou součinnost při exportu dat.

Zálohy se přepisují podle našeho zálohovacího cyklu. Záznamy, které potřebujeme jako správce, například souhrnné údaje o využití pro účely vyúčtování, uchováváme podle Zásad ochrany osobních údajů.

Zpřístupňujeme informace, které jsou rozumně nezbytné k doložení toho, že tento Dodatek dodržujeme, a odpovídáme na písemné dotazy k našim bezpečnostním opatřením.

Nepostačují-li tyto informace ke splnění zákonného požadavku, můžete nejvýše jednou za dvanáct měsíců a na základě písemného oznámení zaslaného třicet dnů předem provést audit sami nebo prostřednictvím nezávislého auditora vázaného mlčenlivostí. Audit probíhá v pracovní době, nesmí narušit Službu ani odhalit data jiných zákazníků a provádí se na vaše náklady. Častější audity jsou možné, pokud je vyžaduje dozorový úřad nebo po porušení zabezpečení osobních údajů.

Omezení a vyloučení odpovědnosti uvedená v Podmínkách služby se vztahují i na tento Dodatek, s výjimkou případů, kdy právní předpisy o ochraně osobních údajů nepřipouštějí jejich uplatnění na práva subjektů údajů.

Tento Dodatek platí po dobu, po kterou vaším jménem zpracováváme osobní údaje. Potřebujete-li podepsané vyhotovení, napište na adresu support@omnimessage.co.