Podmínky zpracování osobních údajů (DPA)

1. Strany a akceptace

Zpracovatel: Loops Collective s.r.o., IČO 29932386, se sídlem Příčná 1892/4, Nové Město, 110 00 Praha 1, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 454220, provozovatel služby Kaen (dále jen „Zpracovatel“). Kontakt: hello@kaen.cz.

Správce: zákazník Služby — podnikatel, jehož web, produkt nebo analytiku analyzujeme (dále jen „Správce“). Je-li zákazníkem agentura analyzující web svého klienta, prohlašuje, že je oprávněna jednat jako správce nebo podle jeho doložených pokynů.

Tato DPA je nedílnou součástí obchodních podmínek a Správce ji akceptuje užíváním Služby; samostatný podpis se nevyžaduje, na vyžádání ji podepíšeme. V rozsahu zpracování osobních údajů má DPA přednost před obchodními podmínkami.

2. Předmět, doba, povaha a účel zpracování

• Předmět: osobní údaje obsažené v analytických, produktových a platebních datech, která Správce Zpracovateli zpřístupní, a v komunikaci o nich.
• Doba: po dobu trvání smlouvy a následné výmazové lhůty dle čl. 8.
• Povaha: čtení, dotazování, agregace, analýza (včetně pomocí velkých jazykových modelů), ukládání odvozených zjištění a příprava reportů, cases a návrhů experimentů.
• Účel: najít, kde funnel Správce ztrácí zákazníky, vyčíslit to a navrhnout a vyhodnotit nápravu.

3. Kategorie subjektů údajů a osobních údajů

• Subjekty údajů: návštěvníci a uživatelé webu či produktu Správce, zákazníci Správce a pracovníci Správce vystupující ve sdílené komunikaci.
• Kategorie údajů: pseudonymní identifikátory (cookie, ID zařízení a uživatele), události a chování ve funnelu, přibližná poloha odvozená z IP adresy, údaje o zařízení a prohlížeči, nahrávky relací a heatmapy tam, kde Správce takový nástroj používá, metadata objednávek a plateb a — obsahují-li je data Správce — e-mailové adresy a jména.
• Zvláštní kategorie osobních údajů (čl. 9 GDPR) nejsou předmětem zpracování. Správce se zavazuje je nezpřístupnit a maskovat je nebo vyloučit v nahrávkách relací, kde by se mohly objevit.

4. Povinnosti Zpracovatele

Zpracovatel se zavazuje, že (čl. 28 odst. 3 GDPR):

• zpracovává osobní údaje pouze na základě doložených pokynů Správce — dané nastavením a užíváním Služby, odsouhlasenou nabídkou a touto DPA — ledaže mu zpracování ukládá právo EU nebo členského státu; v takovém případě Správce informuje, nezakazuje-li to zákon;
• zajistí, že osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí;
• přijme bezpečnostní opatření dle čl. 32 GDPR (čl. 5 této DPA);
• dodrží podmínky pro zapojení subzpracovatelů (čl. 7);
• je Správci nápomocen s plněním jeho povinností (čl. 6);
• po ukončení Služby osobní údaje vymaže nebo vrátí (čl. 8);
• poskytne informace potřebné k doložení souladu a umožní audit (čl. 9) a upozorní Správce, porušuje-li jeho pokyn právní předpisy o ochraně osobních údajů.

5. Zabezpečení

S ohledem na stav techniky a riziko Zpracovatel uplatňuje zejména:

• šifrování při přenosu (TLS) i při uložení u dodavatelů;
• přístup pouze pro čtení, kdykoliv to stačí, udělený přes vlastní účty Správce a v nejužším potřebném rozsahu;
• dvoufaktorové ověření tam, kde to účet umožňuje, a jmenovité přístupy;
• žádné kopie surových datasetů nad rámec potřeby analýzy; uchovávají se odvozená zjištění;
• logování přístupů, pravidelnou revizi oprávnění a odebrání přístupů po skončení smlouvy;
• výběr dodavatelů se zpracovatelskou smlouvou a tam, kde to dává smysl, s uložením dat v EU.

6. Součinnost Správci

Zpracovatel s ohledem na povahu zpracování:

• pomáhá Správci vyřídit žádosti subjektů údajů; dorazí-li žádost přímo Zpracovateli, předá ji bez zbytečného odkladu a sám ji nevyřizuje;
• pomáhá se zabezpečením, ohlašováním porušení, posouzením vlivu a předchozí konzultací (čl. 32–36 GDPR);
• ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl, s dostupnými informacemi.

Součinnost nad přiměřený rozsah lze účtovat podle standardních sazeb Zpracovatele po předchozí dohodě.

7. Subzpracovatelé

Správce uděluje Zpracovateli obecné povolení k zapojení subzpracovatelů. Aktuální seznam s účelem, lokalitou a zárukami je zveřejněn na kaen.cz/subdodavatele.

Zpracovatel uloží každému subzpracovateli povinnosti odpovídající této DPA a vůči Správci odpovídá za jeho plnění v plném rozsahu.

8. Výmaz a vrácení

Po skončení Služby Zpracovatel bez zbytečného odkladu odebere své přístupy k systémům Správce a do 30 dnů vymaže osobní údaje, které drží, nebo je Správci vrátí, požádá-li o to v této lhůtě. Již dodané reporty a cases zůstávají Správci.

Déle je Zpracovatel uchová jen tehdy, ukládá-li to právo EU nebo členského státu, a pouze k tomuto účelu.

9. Audit

Zpracovatel poskytne Správci na žádost informace potřebné k doložení souladu s čl. 28 GDPR. Správce je oprávněn provést audit jednou za kalendářní rok na vlastní náklady, s písemným oznámením alespoň 30 dní předem, v pracovní době a bez narušení provozu Zpracovatele; častěji jen po porušení zabezpečení nebo vyžaduje-li to dozorový úřad. Auditor musí být vázán mlčenlivostí a nesmí být konkurentem Zpracovatele.

10. Předávání mimo EU

Osobní údaje se zpracovávají primárně v EU. Zpracovává-li subzpracovatel údaje mimo EHP, opírá se předání o rozhodnutí o odpovídající ochraně nebo o standardní smluvní doložky Evropské komise včetně případných doplňkových opatření. Lokalita každého dodavatele je uvedena v seznamu subdodavatelů.

11. Použití AI modelů

K analýze se používají velké jazykové modely dodavatelů uvedených v seznamu subdodavatelů. Podle jejich podmínek se vstupy nepoužívají k trénování modelů. Zpracovatel posílá nejmenší množství dat, které analýza potřebuje, a dává přednost agregovaným a pseudonymizovaným datům před surovými záznamy.

12. Závěrečná ustanovení

Tato DPA se řídí českým právem a GDPR. Je-li některé ustanovení neplatné, zůstávají ostatní v platnosti. Zpracovatel může DPA aktualizovat postupem podle čl. 10 obchodních podmínek; změna snižující ochranu osobních údajů vyžaduje souhlas Správce.

Tato DPA je zveřejněna v angličtině a v češtině. V případě rozporu má přednost anglická verze.