Podmínky zpracování osobních údajů

Zpracovatelská smlouva podle čl. 28 GDPR – pro prodejce

Tento dokument je smlouvou o zpracování osobních údajů podle čl. 28 nařízení (EU) 2016/679 (GDPR) mezi prodejcem, který službu Aukcelerátor užívá (dále jen „správce“), a poskytovatelem služby, kterým je Jan Otta, se sídlem Taškentská 1416/2, 101 00 Praha, IČO 17248531, e-mail podpora@aukcelerator.eu (dále jen „zpracovatel“).

Smlouva je uzavřena okamžikem, kdy správce začne službu užívat, a je nedílnou součástí obchodních podmínek. Uzavírá se na dobu trvání smlouvy o poskytování služby.

1. Předmět a povaha zpracování

Zpracovatel zpracovává osobní údaje kupujících správce, které služba získává z rozhraní platformy Aukro na základě přístupových údajů zadaných správcem, a to výhradně pro účel poskytování funkcí služby, které si správce zapnul.

Zpracování zahrnuje uložení, zobrazení, řazení a filtrování údajů, jejich úpravu na pokyn správce, sestavení a odeslání e-mailů kupujícím podle nastavení správce a vytvoření dokladů, umožňuje-li to zapnutý doplněk.

Volitelné funkce umělé inteligence se zapojí pouze tehdy, když je správce výslovně použije. Mohou zpracovat jeho dotaz, fotografie a údaje připravované nabídky nebo omezené provozní souhrny. Datové nástroje AI Asistenta jsou navrženy tak, aby modelu neposílaly jména, e-maily, telefony ani adresy kupujících. Správce však odpovídá za text, který do volného pole sám napíše, a nemá do AI zadávat osobní údaje kupujících, nejsou-li pro jeho pokyn nezbytné.

2. Kategorie subjektů údajů a údajů

Subjekty údajů	Kategorie osobních údajů
Kupující správce (fyzické osoby), případně kontaktní osoby odběratelů	jméno a příjmení, uživatelské jméno (nick) na Aukru, doručovací a fakturační adresa, e-mailová adresa, telefonní číslo, země, výdejní místo, IČO a DIČ u podnikatelů, údaje o objednávce (položky, ceny, doprava, stav platby, číslo zásilky), poznámky kupujícího

Služba není určena pro zvláštní kategorie osobních údajů podle čl. 9 GDPR. Správce je nemá vkládat do poznámek, volných polí ani AI dotazů, nemá-li pro takové zpracování odpovídající právní důvod a pokyn. Aukcelerátor neukládá úplné údaje o platebních kartách; při placeném checkoutu je uživatel zadává přímo společnosti Stripe.

3. Povinnosti zpracovatele

Zpracovatel se zavazuje, že:

bude údaje zpracovávat pouze na základě doložených pokynů správce a pouze v rozsahu nutném pro poskytování služby;
nepoužije údaje pro vlastní účely, zejména ne k marketingu, k jejich prodeji ani k vlastnímu trénování systémů umělé inteligence; případné předání při použití volitelné AI funkce je popsáno v čl. 6;
zavede přiměřená technická a organizační opatření podle čl. 32 GDPR (viz čl. 5);
zaváže k mlčenlivosti každou osobu, která k údajům bude mít přístup;
bude správci poskytovat součinnost při plnění jeho povinností, zejména při odpovídání na žádosti subjektů údajů a při posouzení vlivu na ochranu údajů;
oznámí správci každé porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozví, včetně informací potřebných pro ohlášení dozorovému úřadu;
na žádost správce mu poskytne informace potřebné k doložení souladu a umožní audit či inspekci, a to v rozumném rozsahu a po předchozí dohodě;
po ukončení poskytování služby údaje vymaže, nejpozději do 60 dnů, pokud právní předpis nevyžaduje jejich uchování; na žádost správce mu je před výmazem poskytne ve strojově čitelném formátu.

Zjistí-li zpracovatel, že pokyn správce je v rozporu s právními předpisy, správce na to bez zbytečného odkladu upozorní a je oprávněn takový pokyn neprovést.

4. Povinnosti správce

Správce (prodejce) zejména:

odpovídá za to, že má pro zpracování údajů kupujících právní základ – typicky plnění smlouvy s kupujícím, případně plnění právní povinnosti;
odpovídá za obsah, časování a rozsah e-mailů, které služba jeho jménem odesílá, a za to, že nejde o nevyžádaná obchodní sdělení;
plní vůči kupujícím informační povinnost podle čl. 13 a 14 GDPR;
nezadává do služby údaje, k jejichž zpracování není oprávněn.

5. Technická a organizační opatření

šifrovaný přenos dat (HTTPS/TLS) mezi prohlížečem, aplikací a databází;
šifrované uložení přístupových údajů k rozhraní Aukra;
hesla uživatelů uložena jako nevratný hash;
oddělení dat jednotlivých správců na úrovni databáze pravidly přístupu (row level security), takže správce vidí pouze vlastní data;
omezení přístupu k produkčnímu prostředí na osobu poskytovatele;
provozní záznamy o operacích v aplikaci pro dohledání příčin chyb;
zálohování databáze u poskytovatele databázových služeb;
zásada minimalizace – zpracovávají se pouze údaje potřebné pro zapnuté funkce.

6. Další zpracovatelé

Správce dává zpracovateli obecné povolení zapojit do zpracování další zpracovatele uvedené níže. Zpracovatel zajistí, aby jim byly uloženy stejné povinnosti, a odpovídá za jejich činnost v rozsahu čl. 28 GDPR. Poskytovatelé označení jako volitelní nedostávají údaje, dokud správce příslušnou funkci nepoužije.

Poskytovatel	Účel a kategorie předávaných údajů	Kdy se zapojí
Supabase	Databáze, přihlašování, souborové úložiště a zálohy. Zpracovává údaje účtu, nastavení, šifrované přístupové údaje k Aukru, údaje kupujících a objednávek, uložené soubory a provozní záznamy.	Po dobu používání služby
Vercel	Hosting a běh aplikace. Zpracovává technické údaje HTTP požadavků a data, která aplikace právě přijímá nebo vrací.	Po dobu používání služby
Resend	Technické doručení e-mailů. Zpracovává zejména e-mailovou adresu a jméno příjemce, obsah zprávy a údaje o jejím doručení.	Jen při odesílání e-mailů
Stripe	Placený checkout, předplatné a související platební evidence. Zpracovává fakturační a kontaktní údaje uživatele, jeho postavení spotřebitel/podnikatel, objednanou službu, cenu a identifikátory zákazníka, checkoutu, platby a předplatného. Údaje kupujících z Aukra se do Stripe záměrně neposílají.	Jen při použití placeného checkoutu
Vercel AI Gateway	Směrování AI požadavku k poskytovateli modelu. Zpracovává text dotazu, fotografie a obsah nabídky předaný AI funkci, technické identifikátory uživatele a účtu, zvolený model a údaje o využití.	Jen při výslovném použití AI funkce
OpenAI	Vytvoření odpovědi AI modelu z obsahu předaného přes Vercel AI Gateway, včetně dotazu, fotografií nebo údajů nabídky a omezených provozních souhrnů vyžádaných AI Asistentem.	Jen při výslovném použití AI funkce

Aplikace u AI požadavků vypíná vlastní telemetrický záznam vstupů a výstupů a u OpenAI žádá, aby se nevytvářel trvalý stav odpovědi (store: false). To samo o sobě není zárukou nulové retence. OpenAI uvádí, že data API ve výchozím nastavení nepoužívá k trénování modelů, ale obsah může být v záznamech pro prevenci zneužití uchován až 30 dní, pokud není pro konkrétní účet schválen jiný režim. Vercel rovněž rozlišuje svou vrstvu AI Gateway od pravidel navazujícího poskytovatele modelu. Aukcelerátor proto v tomto dokumentu neslibuje režim Zero Data Retention. Podrobnosti jsou v aktuálních pravidlech OpenAI API a popisu ochranných režimů Vercel AI Gateway.

Stripe může při plnění vlastních zákonných povinností, prevenci podvodů a provozu platební sítě jednat také jako samostatný správce. Pokud poskytovatel zpracovává údaje mimo Evropský hospodářský prostor, řídí se předání aktuální smluvní dokumentací daného poskytovatele a použitelným mechanismem podle GDPR.

O zamýšlené změně v okruhu dalších zpracovatelů bude zpracovatel správce informovat nejméně 30 dní předem; správce může proti změně z odůvodněných příčin písemně vznést námitku a v takovém případě smlouvu vypovědět.

7. Doba zpracování a výmaz

Údaje jsou zpracovávány po dobu, kdy správce službu užívá. Po zrušení účtu jsou data odstraněna nejpozději do 60 dnů. Deník odeslaných e-mailů a provozní záznamy mohou být uchovány po dobu nejdéle 12 měsíců pro účely doložení odeslání a řešení sporů.

8. Odpovědnost

Každá strana odpovídá za porušení svých povinností podle GDPR. Zpracovatel neodpovídá za škodu vzniklou v důsledku pokynů správce, nesprávného nastavení služby správcem nebo zpracování bez právního základu na straně správce.

9. Kontakt pro ochranu údajů

Veškerá oznámení podle této smlouvy, včetně hlášení porušení zabezpečení a žádostí o součinnost, zasílejte na podpora@aukcelerator.eu, případně telefonicky +420 773 231 153.

AUKCELERÁTOR

Načítám aktuální data…