Zpracovatelská smlouva (DPA)

1. Smluvní strany

Správce: Partner využívající platformu Beeply pro provoz vlastního věrnostního programu (dále jen „Správce“)

a

Zpracovatel: Beeply s.r.o., IČO 30057388, se sídlem Obránců míru 264, Jakubské Předměstí, 551 01 Jaroměř, zapsaná v obchodním rejstříku vedeném Krajským soudem v Hradci Králové, oddíl C, vložka 57534 (dále jen „Zpracovatel“).

2. Předmět a účel zpracování

Zpracovatel poskytuje Správci technickou platformu Beeply pro správu digitálních věrnostních programů, Apple Wallet / Google Wallet karet, evidenci bodů a související provozní infrastrukturu. Zpracování probíhá po dobu poskytování služby a v rozsahu kategorií údajů a subjektů popsaných níže.

Za účelem poskytování služby může Zpracovatel pro Správce zpracovávat osobní údaje zákazníků Správce.

Účelem zpracování je zejména provoz věrnostního programu, evidence bodů a odměn, generování a správa digitálních karet, technické zabezpečení, prevence podvodů, podpora a údržba služby a řešení incidentů.

3. Doba trvání zpracování

Zpracování trvá po dobu poskytování služby Správci a následně po dobu nezbytnou pro splnění právních povinností, řešení sporů, ochranu oprávněných zájmů a bezpečnostní či záložní účely.

Není-li právní důvod pro další uchování údajů, Zpracovatel údaje vymaže nebo anonymizuje bez zbytečného odkladu po ukončení smluvního vztahu.

4. Kategorie údajů

Subjekty údajů jsou zejména zákazníci, uživatelé karet a oprávnění pracovníci Správce. Zpracovávané údaje mohou zahrnovat identifikační údaje, kontaktní údaje, údaje o věrnostním programu, technické a provozní údaje a bezpečnostní logy. Operace zahrnují ukládání, uspořádání, vyhledání, zpřístupnění Správci, aktualizaci, zabezpečení, zálohování a výmaz.

Služba není určena ke zpracování zvláštních kategorií osobních údajů ve smyslu čl. 9 GDPR. Správce takové údaje do služby nevloží bez předchozí písemné dohody se Zpracovatelem a stanovení odpovídajících pokynů a bezpečnostních opatření.

5. Povinnosti Zpracovatele

• zpracovávat údaje pouze na základě doložených pokynů Správce, včetně přenosů, ledaže zpracování ukládá právo EU nebo členského státu; v takovém případě Správce předem informovat, pokud to právo nezakazuje,
• zachovávat mlčenlivost,
• přijmout odpovídající technická a organizační opatření,
• zabezpečit důvěrnost, integritu a dostupnost údajů,
• omezit přístup pouze oprávněným osobám,
• poskytnout přiměřenou součinnost při plnění článků 32 až 36 GDPR a žádostí subjektů údajů,
• informovat Správce o bezpečnostních incidentech bez zbytečného odkladu.
• neprodleně upozornit Správce, pokud podle názoru Zpracovatele jeho pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů.

6. Technická data a měření návštěvnosti

Pro bezpečné přihlášení, volbu aktivního podniku nebo provozovny, ochranu relace a dokončení uživatelem vyžádaných operací používá služba nezbytné cookies, local storage a session storage. Tyto prostředky nejsou používány k reklamnímu profilování. Splnění informační povinnosti vůči oprávněným pracovníkům Správce zajišťuje Zpracovatel prostřednictvím zásad ochrany osobních údajů zveřejněných na webu Beeply.

Měření návštěvnosti veřejného webu pomocí samo-hostovaného nástroje Umami provádí Zpracovatel jako samostatný správce, nikoli na pokyn Správce podle této DPA. Umami je nastaven bez analytických cookies a bez analytického zápisu do local storage; omezené technické údaje ze síťového požadavku mohou být zpracovány za účelem souhrnných statistik, zabezpečení a zlepšování webu. Podrobnosti jsou uvedeny v zásadách ochrany osobních údajů.

7. Další zpracovatelé

Zpracovatel je oprávněn zapojit další zpracovatele nezbytné pro provoz služby. O plánovaném zapojení nového zpracovatele nebo jeho nahrazení informuje Správce alespoň 14 dní předem, pokud to povaha služby umožňuje.

Správce je oprávněn proti takové změně vznést odůvodněné námitky. Pokud námitky neuplatní ve lhůtě 7 dnů od oznámení, má se za to, že změnu akceptuje.

K dnešnímu dni jsou pro zpracování podle této DPA zapojeni zejména: Supabase (databáze, autentizace a ukládání), Hetzner (hosting), Cloudflare (síťová ochrana a doručování obsahu) a Resend (transakční e-mail). Apple a Google mohou obdržet údaje nezbytné pro vydání a provoz digitální karty, zvolí-li uživatel jejich peněženku; jejich další zpracování se řídí podmínkami a zásadami příslušného poskytovatele.

Zpracovatel vede aktuální seznam dalších zpracovatelů a poskytne jej Správci na vyžádání v přiměřeném rozsahu.

Zpracovatel zajistí, že všichni další zpracovatelé budou vázáni povinnostmi ochrany osobních údajů minimálně ve stejném rozsahu jako tato smlouva.

8. Přenosy do třetích zemí

Pokud dochází k přenosu osobních údajů mimo Evropský hospodářský prostor, probíhá pouze za podmínek vyžadovaných GDPR, zejména na základě standardních smluvních doložek, rozhodnutí o odpovídající ochraně nebo jiného zákonného mechanismu.

9. Součinnost a práva subjektů údajů

Zpracovatel poskytne Správci přiměřenou součinnost při vyřizování žádostí subjektů údajů, řešení incidentů, komunikaci s dozorovým úřadem a plnění povinností dle GDPR.

Primární odpovědnost vůči subjektům údajů nese Správce.

10. Audit a kontrola

Správce je oprávněn požadovat přiměřené informace o zabezpečení a zpracování osobních údajů.

Audit může být proveden pouze po předchozí rozumné výzvě a způsobem, který nenaruší provoz služby, bezpečnost infrastruktury ani práva ostatních partnerů.

Zpracovatel zpřístupní informace potřebné k doložení souladu s článkem 28 GDPR a umožní přiměřené audity Správce nebo jím pověřeného auditora, včetně inspekcí, při zachování důvěrnosti a bezpečnosti ostatních zákazníků.

11. Ukončení zpracování

Po skončení služby Zpracovatel podle volby Správce osobní údaje vymaže nebo je Správci vrátí a vymaže existující kopie, ledaže jejich další uložení vyžaduje právo EU nebo členského státu. Volbu Správce je třeba sdělit nejpozději při ukončení služby; provozní zálohy budou odstraněny v běžném cyklu zabezpečeného mazání.

12. Závěrečná ustanovení

Tato DPA tvoří nedílnou součást smluvního vztahu mezi Správcem a Zpracovatelem.

Tato DPA je uzavřena přijetím objednávky, smlouvy, dohody o postoupení nebo předávacího protokolu, který na ni odkazuje, případně jejím samostatným podpisem. Zpracovatel uchová znění účinné v okamžiku jejího uzavření tak, aby je bylo možné smluvnímu vztahu doložit.

Aktuální znění DPA je dostupné na webu Beeply. O podstatné změně Zpracovatel Správce informuje prostřednictvím kontaktního e-mailu nebo partnerského účtu před její účinností; změna se nedotkne práv a povinností vzniklých před její účinností.