Smlouva o zpracování osobních údajů (DPA)

1. Smluvní strany

• Zpracovatel: Jan Ujec, IČO 01299441, se sídlem Újezd 2178/5, 796 01 Prostějov, provozovna Plumlovská 30, 796 01 Prostějov, kontakt: poptavky@truhlarstvihm.cz (dále také „truhlářství Ujec & Konečný“).
• Správce: Klient, který vyplnil poptávkový formulář na truhlarstvihm.cz/poptavka.

2. Předmět a účel zpracování

Zpracovatel zpracovává osobní údaje výhradně za účelem plnění hlavní smlouvy, tj. zaměření, návrhu, výroby, dodání, montáže a servisu truhlářských výrobků (kuchyní, vestavěných skříní, nábytku, dveří, schodišť a dalších prvků), vyřizování poptávek předaných správcem a související komunikace s uživateli bytů či prostor.

3. Kategorie subjektů údajů a rozsah údajů

• Subjekty údajů: vlastníci a uživatelé bytů, nájemníci, zaměstnanci správce, kontaktní osoby.
• Rozsah údajů: jméno a příjmení, adresa místa plnění, telefonní číslo, e-mail, číslo bytu / jednotky, fotodokumentace stavu prostor a stávajícího vybavení, poznámky nezbytné pro realizaci zakázky.
• Zpracovatel nezpracovává zvláštní kategorie osobních údajů dle čl. 9 GDPR.

4. Doba zpracování

Po dobu trvání hlavní smlouvy a následně po dobu nezbytnou pro splnění právních povinností a ochranu oprávněných zájmů (zákonná záruka a účetní evidence, nejdéle 10 let od poslední realizace). Po uplynutí této doby jsou údaje smazány nebo anonymizovány.

5. Povinnosti zpracovatele

• Zpracovávat osobní údaje pouze na základě doložených pokynů správce.
• Zachovávat mlčenlivost a zavázat mlčenlivostí všechny osoby, které mají k údajům přístup.
• Zavést a udržovat vhodná technická a organizační opatření dle čl. 32 GDPR (viz čl. 7).
• Být správci nápomocen při plnění žádostí subjektů údajů a při ohlašování případů narušení bezpečnosti.
• Ohlásit správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění.
• Po ukončení zpracování údaje na pokyn správce vymazat nebo vrátit, pokud právní předpis nevyžaduje jejich uchování.
• Umožnit správci audit a poskytnout informace potřebné k prokázání souladu s GDPR.

6. Další zpracovatelé (subprocesoři)

Správce dává zpracovateli obecné povolení zapojit další zpracovatele, kteří poskytují srovnatelné záruky ochrany údajů. Aktuálně využíváme:

• Lovable / Supabase (AWS, region eu-west-1, Irsko): hosting webu, databáze a úložiště souborů.
• Resend: odesílání transakčních e-mailů a notifikací o poptávkách.
• Google Ireland Ltd.: firemní e-mail, analytika a reklamní nástroje (na základě souhlasu uživatele).
• Martin Drábek, IČO 87611228, se sídlem Dr. Horáka 2, Prostějov: externí technická správa webu a marketing.
• Externí montážní partneři a smluvní dopravci: pouze v rozsahu nezbytném pro realizaci zakázky.

Údaje jsou zpracovávány na serverech v Evropské unii. Pokud by v konkrétním případě docházelo k předání do třetí země, děje se tak pouze na základě standardních smluvních klauzulí Evropské komise.

7. Technická a organizační opatření

• Šifrovaný přenos dat (HTTPS / TLS) a šifrování dat v úložišti.
• Řízení přístupů na základě rolí a individuálních oprávnění.
• Zabezpečení databáze pravidly řízení přístupu na úrovni jednotlivých záznamů (RLS) a auditní logy.
• Pravidelné šifrované zálohování a testování obnovy dat.
• Minimalizace údajů, evidence souhlasů a pravidelné mazání nepotřebných dat.

8. Odpovědnost a účinnost

Tyto podmínky se stávají účinnými okamžikem zahájení zpracování osobních údajů pro správce, tj. podpisem hlavní smlouvy nebo předáním prvního kontaktu. Strany mohou uzavřít i samostatnou písemnou smlouvu; v takovém případě má písemná smlouva přednost.

9. Získání podepsaného vyhotovení

Potřebujete-li podepsané vyhotovení smlouvy o zpracování osobních údajů napište nám na poptavky@truhlarstvihm.cz. Dokument vám zašleme do 5 pracovních dnů.