Podmínky zpracování osobních údajů (DPA)

1. Strany a akceptace

Zpracovatel: Loops Collective s.r.o., IČO 29932386, se sídlem Příčná 1892/4, Nové Město, 110 00 Praha 1, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 454220, provozovatel služby Kaen (dále jen „Zpracovatel“). Kontakt: hello@kaen.cz.

Správce: zákazník Služby – podnikatel, jehož web, produkt nebo analytiku analyzujeme (dále jen „Správce“). Je-li zákazníkem agentura analyzující web svého klienta, prohlašuje, že je oprávněna jednat jako správce nebo podle jeho doložených pokynů.

Tato DPA je nedílnou součástí obchodních podmínek a Správce ji akceptuje užíváním Služby; samostatný podpis se nevyžaduje, na vyžádání ji podepíšeme. V rozsahu zpracování osobních údajů má DPA přednost před obchodními podmínkami.

2. Předmět, doba, povaha a účel zpracování

• Předmět: osobní údaje obsažené v analytických, produktových a platebních datech, která Správce Zpracovateli zpřístupní, v datech získaných na webu Správce během běžícího testu a v komunikaci o nich.
• Doba: po dobu trvání smlouvy a následné výmazové lhůty dle čl. 8.
• Povaha: čtení, dotazování, agregace, analýza webu a analytiky (včetně pomocí velkých jazykových modelů), ukládání odvozených zjištění a příprava variant; tam, kde je to dohodnuto, nastavení měření v nástrojích Správce; spouštění A/B testů schválených Správcem na webu Správce (přiřazení návštěvníků k variantám a zaznamenání zobrazení a konverzních událostí), jejich vyhodnocení a nasazení schválené vítězné varianty.
• Účel: najít, kde funnel Správce ztrácí zákazníky, připravit varianty, spustit testy schválené Správcem na jeho webu a vyhodnotit je.

3. Kategorie subjektů údajů a osobních údajů

• Subjekty údajů: návštěvníci a uživatelé webu či produktu Správce, zákazníci Správce, návštěvníci webu Správce během běžícího testu a pracovníci Správce vystupující ve sdílené komunikaci.
• Kategorie údajů: pseudonymní identifikátory (cookie, ID zařízení a uživatele), události a chování ve funnelu, přibližná poloha odvozená z IP adresy, údaje o zařízení a prohlížeči, nahrávky relací a heatmapy tam, kde Správce takový nástroj používá, metadata objednávek a plateb a – obsahují-li je data Správce – e-mailové adresy a jména.
• Během běžícího testu: přiřazení návštěvníka k variantě, identifikátor experimentu a události zobrazení a konverze, navázané na pseudonymní identifikátor.
• Zvláštní kategorie osobních údajů (čl. 9 GDPR) nejsou předmětem zpracování. Správce se zavazuje je nezpřístupnit a maskovat je nebo vyloučit v nahrávkách relací, kde by se mohly objevit.

Správce nadále odpovídá za právní základ zpracování na svém webu, včetně získání souhlasu přes svou cookie lištu tam, kde je souhlas potřeba. Testovací skript Zpracovatele je navržen tak, aby respektoval signál souhlasu z nástroje Správce pro správu souhlasů, je-li takový signál k dispozici.

4. Povinnosti Zpracovatele

Zpracovatel se zavazuje, že (čl. 28 odst. 3 GDPR):

• zpracovává osobní údaje pouze na základě doložených pokynů Správce – dané nastavením a užíváním Služby, odsouhlasenou nabídkou a touto DPA – ledaže mu zpracování ukládá právo EU nebo členského státu; v takovém případě Správce informuje, nezakazuje-li to zákon;
• zajistí, že osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí;
• přijme bezpečnostní opatření dle čl. 32 GDPR (čl. 5 této DPA);
• dodrží podmínky pro zapojení subzpracovatelů (čl. 7);
• je Správci nápomocen s plněním jeho povinností (čl. 6);
• po ukončení Služby osobní údaje vymaže nebo vrátí, případně je na žádost vymaže dříve (čl. 8);
• poskytne informace potřebné k doložení souladu a umožní audit (čl. 9) a upozorní Správce, porušuje-li jeho pokyn právní předpisy o ochraně osobních údajů.

5. Zabezpečení

S ohledem na stav techniky a riziko Zpracovatel uplatňuje zejména:

• šifrování při přenosu (TLS) i při uložení u dodavatelů;
• přístup pouze pro čtení, kdykoliv to stačí, udělený přes vlastní účty Správce a v nejužším potřebném rozsahu;
• zápisový přístup jen tam, kde ho Správce udělí k nastavení měření nebo spuštění schválených testů; používá se jen k těmto účelům a Správce ho může kdykoli odebrat;
• dvoufaktorové ověření tam, kde to účet umožňuje, a jmenovité přístupy;
• žádné kopie surových datasetů nad rámec potřeby analýzy; uchovávají se odvozená zjištění;
• logování přístupů, pravidelnou revizi oprávnění a odebrání přístupů po skončení smlouvy;
• výběr dodavatelů se zpracovatelskou smlouvou a tam, kde to dává smysl, s uložením dat v EU.

6. Součinnost Správci

Zpracovatel s ohledem na povahu zpracování:

• pomáhá Správci vyřídit žádosti subjektů údajů; dorazí-li žádost přímo Zpracovateli, předá ji bez zbytečného odkladu a sám ji nevyřizuje;
• pomáhá se zabezpečením, ohlašováním porušení, posouzením vlivu a předchozí konzultací (čl. 32–36 GDPR);
• ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl, s dostupnými informacemi.

Součinnost nad přiměřený rozsah lze účtovat podle standardních sazeb Zpracovatele po předchozí dohodě.

7. Subzpracovatelé

Správce uděluje Zpracovateli obecné povolení k zapojení subzpracovatelů. Aktuální seznam s účelem, lokalitou a zárukami je zveřejněn na kaen.cz/subdodavatele.

Zpracovatel uloží každému subzpracovateli povinnosti odpovídající této DPA a vůči Správci odpovídá za jeho plnění v plném rozsahu.

8. Výmaz a vrácení

Po skončení Služby Zpracovatel bez zbytečného odkladu odebere své přístupy k systémům Správce a do 30 dnů vymaže osobní údaje, které drží, nebo je Správci vrátí, požádá-li o to v této lhůtě. Již dodané výsledky zůstávají Správci.

Během trvání smlouvy Zpracovatel vymaže osobní údaje, které Správce určí, do 30 dnů od jeho žádosti, pokud nejsou potřeba k poskytování Služby, kterou Správce nadále využívá.

Déle je Zpracovatel uchová jen tehdy, ukládá-li to právo EU nebo členského státu, a pouze k tomuto účelu.

9. Audit

Zpracovatel poskytne Správci na žádost informace potřebné k doložení souladu s čl. 28 GDPR. Správce je oprávněn provést audit jednou za kalendářní rok na vlastní náklady, s písemným oznámením alespoň 30 dní předem, v pracovní době a bez narušení provozu Zpracovatele; častěji jen po porušení zabezpečení nebo vyžaduje-li to dozorový úřad. Auditor musí být vázán mlčenlivostí a nesmí být konkurentem Zpracovatele.

10. Předávání mimo EU

Osobní údaje se zpracovávají primárně v EU. Zpracovává-li subzpracovatel údaje mimo EHP, opírá se předání o rozhodnutí o odpovídající ochraně nebo o standardní smluvní doložky Evropské komise včetně případných doplňkových opatření. Lokalita každého dodavatele je uvedena v seznamu subdodavatelů.

11. Použití AI modelů

K analýze se používají velké jazykové modely dodavatelů uvedených v seznamu subdodavatelů. Podle jejich podmínek se vstupy nepoužívají k trénování modelů. Zpracovatel posílá nejmenší množství dat, které analýza potřebuje, a dává přednost agregovaným a pseudonymizovaným datům před surovými záznamy.

12. Závěrečná ustanovení

Tato DPA se řídí českým právem a GDPR. Je-li některé ustanovení neplatné, zůstávají ostatní v platnosti. Zpracovatel může DPA aktualizovat postupem podle čl. 10 obchodních podmínek; změna snižující ochranu osobních údajů vyžaduje souhlas Správce.

Tato DPA je zveřejněna v angličtině a v češtině. V případě rozporu má přednost anglická verze.