uzavřená podle článku 28 nařízení (EU) 2016/679 (GDPR)
Tento překlad je informativní. Závazné je slovenské znění dostupné na callania.eu/spracovatelska-zmluva. V případě rozporu platí slovenský text.
Smluvní strany
Správce: klient — podnikatel, který používá službu Callania Booking, identifikovaný údaji uvedenými ve svém účtu.
Zpracovatel: - Obchodní jméno: MACET, s.r.o. · Sídlo: Nitrianska 32/189, 949 11 Nitra · IČO: 35 953 781 - Kontakt: booking@callania.eu
Smlouva je nedílnou součástí Všeobecných obchodních podmínek a uzavírá se okamžikem založení provozu ve službě.
1. Předmět a trvání
Zpracovatel zpracovává osobní údaje jménem správce výhradně za účelem provozu rezervačního systému — přijímání a správu rezervací, notifikace zákazníkům, evidenci zákazníků a související funkce, které si správce ve službě zapne.
Smlouva trvá po dobu trvání hlavní smlouvy a končí spolu s ní.
2. Povaha zpracování a kategorie údajů
| Subjekty údajů | zákazníci správce, kteří si rezervují termín nebo pobyt; osoby zapsané jako náhradníci; zaměstnanci správce s přístupem do systému |
| Kategorie údajů | jméno a příjmení, e-mail, telefonní číslo, jazyk, poznámka k rezervaci, historie rezervací a jejich stavů, příznak neúčasti, zdroj návštěvy, u ubytování počet hostů a termín pobytu |
| Operace | získávání, uchovávání, nahlížení, úprava, přenos notifikací, výmaz |
| Zvláštní kategorie | služba není určená ke zpracování údajů o zdraví ani jiných zvláštních kategorií. Pokud je správce přesto vloží (například do poznámky), činí tak na vlastní odpovědnost a musí k tomu mít právní základ. |
3. Povinnosti zpracovatele
Zpracovatel:
1. zpracovává údaje jen na základě doložených pokynů správce; za pokyn se považuje i používání funkcí služby a jejího nastavení 2. zajistí, že osoby s přístupem k údajům jsou vázány mlčenlivostí 3. přijme technická a organizační opatření podle článku 32 GDPR, uvedená v příloze B 4. neposkytne údaje třetím osobám kromě subdodavatelů podle článku 4 a případů uložených zákonem 5. pomáhá správci při vyřizování žádostí subjektů údajů — poskytnutím exportu údajů, jejich opravou nebo výmazem na pokyn správce 6. pomáhá při plnění povinností podle článků 32 až 36 GDPR v rozsahu, který odpovídá povaze zpracování a informacím, které má k dispozici 7. oznámí porušení zabezpečení údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, spolu s tím, co se stalo, koho se to týká a jaké kroky činí 8. na výzvu zpřístupní informace potřebné k prokázání plnění těchto povinností 9. upozorní správce, pokud podle jeho názoru pokyn odporuje právním předpisům
4. Subdodavatelé
Správce dává zpracovateli obecné povolení k zapojení dalších zpracovatelů uvedených v příloze A.
Při změně seznamu — přibytí nebo nahrazení — informuje zpracovatel správce nejméně 30 dní předem e-mailem. Správce může v této lhůtě vznést námitku; pokud jí nelze vyhovět, může hlavní smlouvu vypovědět ke dni účinnosti změny bez sankce.
Zpracovatel ukládá subdodavatelům stejné povinnosti a odpovídá za jejich plnění.
5. Přenos mimo EU
K přenosu údajů mimo Evropský hospodářský prostor nedochází. Pokud by k němu mělo dojít, zpracovatel o tom správce předem informuje a zajistí přiměřené záruky podle kapitoly V GDPR.
6. Výmaz a vrácení údajů
Po skončení smlouvy zpracovatel podle volby správce údaje vymaže nebo vrátí. Export je dostupný přímo ve službě.
Pokud si správce export nevyžádá, údaje se vymažou do 30 dní od skončení smlouvy. Zálohy se promazávají v rámci běžného cyklu, nejpozději do 6 měsíců; do té doby jsou šifrované a nepřístupné běžnému provozu.
Zpracovatel si může ponechat údaje, jejichž uchovávání mu ukládá právní předpis.
7. Kontrola
Správce má právo ověřit plnění této smlouvy. Zpracovatel mu na písemnou žádost poskytne potřebné informace a doklady. Kontrola na místě je možná po dohodě, nejvýše jednou ročně a s oznámením nejméně 14 dní předem, tak aby nenarušila provoz; náklady na svou kontrolu nese správce.
8. Odpovědnost
Odpovědnost stran se řídí článkem 82 GDPR a omezením odpovědnosti podle hlavní smlouvy, pokud to právní předpisy připouštějí.
Příloha A — Subdodavatelé
| Subdodavatel | Co dělá | Umístění |
|---|---|---|
| Hetzner Online GmbH | hosting serveru, úložiště, zálohy | Německo |
| Webglobe, a.s. (IČO 52486567) | odesílání e-mailových notifikací | Slovensko |
| BulkGate s. r. o. | odesílání SMS notifikací (jen pokud si správce doplněk zapne) | Česko |
Rezervační portály (Booking.com, Airbnb) nejsou našimi subdodavateli — správce s nimi má vlastní vztah a my jen vyměňujeme údaje o obsazenosti podle jeho pokynu.
Příloha B — Technická a organizační opatření
Přístup a síť. Přihlášení na server jen klíčem, bez hesel, bez přihlášení roota. Zvenku jsou dostupné jen porty pro web a správu. Databáze není dostupná z internetu.
Šifrování. Veškerý přenos přes HTTPS. Hesla uložená algoritmem argon2id. Zálohy šifrované.
Oddělení údajů. Údaje každého provozu jsou oddělené a oddělení je ověřované automatickými testy při každé změně.
Odolnost. Denní zálohy, uchovávání 14 denních a 8 týdenních, měsíční automatické ověření, že se záloha dá obnovit.
Zaznamenávání. Přístupy a změny se zapisují do auditu. V provozních lozích se maskují tokeny i telefonní čísla.
Dohled. Kontrola integrity systému, antivirová kontrola, automatická detekce neobvyklých změn a denní hlášení o stavu.
Minimalizace. Do notifikací a exportů se dostávají jen údaje potřebné k danému účelu. Rezervační feedy pro portály neobsahují osobní údaje hostů, jen kód rezervace.