Smlouva o zpracování osobních údajů

Tato Smlouva o zpracování osobních údajů („Smlouva") tvoří nedílnou přílohu Obchodních podmínek pro pořadatele („Obchodní podmínky") uzavřených mezi společností Amahi s.r.o. (provozovatelem služby Lapvio) a pořadatelem, který tyto Obchodní podmínky přijal.

Tato Smlouva stanovuje podmínky, za nichž společnost Amahi s.r.o. jako zpracovatel zpracovává osobní údaje jménem pořadatele jako správce v souvislosti s jeho užíváním Lapvio Pro. Je uzavírána podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 („GDPR") a navazujícího českého zákona č. 110/2019 Sb., o zpracování osobních údajů.

Přijetím Obchodních podmínek pořadatel přijímá také tuto Smlouvu. Oba dokumenty tvoří jednu smlouvu.

V této Smlouvě:

• „Amahi", „my", „nás", „naše" a „zpracovatel" označují společnost Amahi s.r.o.
• „Pořadatel", „vy", „váš" a „správce" označují pořadatele jako stranu Obchodních podmínek
• „Lapvio" a „Lapvio Pro" mají význam stanovený v Obchodních podmínkách
• „Údaje řidičů" mají význam stanovený v Obchodních podmínkách: osobní údaje řidičů a dalších koncových uživatelů, které prostřednictvím Lapvio Pro procházejí v souvislosti s akcemi pořadatele
• Pojmy psané velkými písmeny, které zde nejsou jinak vymezeny, mají význam přiřazený jim v GDPR

1. Předmět a role stran

1.1 Role stran

U Údajů řidičů zpracovávaných v Lapvio Pro jménem pořadatele je pořadatel správcem a Amahi je zpracovatelem.

U vlastních údajů Amahi na úrovni platformy (účty administrátorů, fakturační údaje, analytika využití platformy, marketingová komunikace s administrátory) je správcem Amahi a toto zpracování se řídí Zásadami ochrany osobních údajů Lapvio, nikoli touto Smlouvou.

1.2 Předmět

Předmětem této Smlouvy je zpracování Údajů řidičů, které Amahi provádí jménem pořadatele v rámci poskytování Lapvio Pro podle Obchodních podmínek.

1.3 Žádné společné správcovství

Strany nevystupují jako společní správci podle čl. 26 GDPR. Každá strana nezávisle určuje účely a prostředky zpracování v rozsahu, v jakém je správcem.

2. Doba trvání

Tato Smlouva nabývá účinnosti přijetím Obchodních podmínek pořadatelem a trvá po dobu, po kterou Amahi zpracovává Údaje řidičů jménem pořadatele. Ukončení upravuje část 17.

3. Povaha a účel zpracování

Amahi zpracovává Údaje řidičů výhradně za účelem poskytování Lapvio Pro pořadateli v souladu s Obchodními podmínkami a doloženými pokyny pořadatele.

To zahrnuje:

• Ukládání registračních údajů řidičů zadaných prostřednictvím portálů akcí
• Zasílání transakčních e-mailů řidičům jménem pořadatele (potvrzení registrace, magic-linky, pozvánky k instruktáži, žádosti o podpis Prohlášení účastníka, post-event komunikace, hromadné zprávy iniciované pořadatelem)
• Doručování push notifikací do zařízení řidičů v souvislosti s akcemi pořadatele (například zprávy z chatu akce a oznámení k akci), pokud si řidič nainstaloval aplikaci Lapvio a povolil notifikace
• Generování a ověřování magic-link tokenů pro autentizaci řidičů
• Koordinaci podpisu Prohlášení účastníka prostřednictvím DocuSeal (pokud se pořadatel rozhodne službu využívat)
• Synchronizaci objednávek z WooCommerce nebo jiných propojených zdrojů, pokud to pořadatel nakonfiguruje
• Směrování plateb prostřednictvím Stripe Connect, pokud je tato funkce pořadatelem aktivována (Stripe vystupuje jako zpracovatel platebních údajů přímo vůči pořadateli; Amahi nevidí údaje o platebních kartách)
• Generování QR kódů pro odbavení (check-in)
• Provoz funkcí na úrovni platformy, které pořadatel aktivoval (CRM nástroje, zveřejňování fotografií, reporting akcí apod.)
• Ukládání logů a záloh pro provoz, bezpečnost a kontinuitu služby

Amahi nezpracovává Údaje řidičů pro vlastní účely. Analytika na úrovni platformy popsaná v Zásadách ochrany osobních údajů využívá pouze deidentifikovaná souhrnná data, ze kterých nelze identifikovat konkrétního řidiče ani pořadatele.

4. Kategorie údajů a subjekty údajů

4.1 Subjekty údajů

Údaje řidičů, které Amahi zpracovává jménem pořadatele, se týkají:

• Řidičů, kteří se registrují na akce pořadatele
• Vlastníků rezervací (booking owners), kteří kupují více slotů a přiřazují je
• Dalších koncových uživatelů, kterým pořadatel udělí přístup (např. instruktoři, personál, hosté)

4.2 Kategorie osobních údajů

Kategorie osobních údajů, které Amahi zpracovává, závisí na tom, co pořadatel prostřednictvím Lapvio Pro shromažďuje. Typicky zahrnují:

• Identifikační údaje: jméno, příjmení, zobrazované jméno
• Kontaktní údaje: e-mailová adresa, telefonní číslo, jazyková preference
• Údaje o vozidle: značka a model auta, SPZ, typ vozu
• Údaje o účasti na akci: typ slotu, stav registrace, splnění instruktáže, stav Prohlášení účastníka, podepsané PDF Prohlášení účastníka, stav odbavení, denní operativní poznámky (přiřazení do skupiny / pitu, transpondér, skupina)
• Údaje generované pořadatelem: poznámky, štítky, vlajky (incident, nezaplaceno, problémové chování, no-show), stav banování a důvod
• Fotografie a média: fotografie aut řidičů nebo samotných řidičů, pokud pořadatel zveřejňuje fotosety
• Komunikační metadata: metadata o doručení a interakci u e-mailů odeslaných jménem pořadatele
• Platební údaje (omezeně): pokud je aktivován Stripe Connect, částka transakce, měna, stav a reference. Údaje o platebních kartách a úplné bankovní údaje zpracovává přímo Stripe a Amahi je nevidí.

4.3 Zvláštní kategorie osobních údajů

Lapvio Pro není navrženo pro zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR (údaje o rasovém či etnickém původu, politických názorech, náboženském vyznání, členství v odborech, genetické údaje, biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci).

Pořadatel se zavazuje nepoužívat Lapvio Pro ke zpracování zvláštních kategorií osobních údajů bez předchozí konzultace s Amahi. Pokud pořadatel zamýšlí zaznamenávat zdravotní informace o řidičích (například zdravotní prohlášení v rámci Prohlášení účastníka), odpovídá za zajištění odpovídajícího právního základu podle čl. 9 GDPR a Amahi může požadovat dodatečné záruky nebo daný účel odmítnout.

4.4 Údaje o dětech

Lapvio Pro je určeno výhradně dospělým řidičům. Pořadatel se zavazuje neregistrovat v systému řidiče mladší 18 let bez předchozí písemné dohody s Amahi.

5. Pokyny správce a povinnosti správce

5.1 Doložené pokyny

Amahi zpracovává Údaje řidičů pouze podle doložených pokynů pořadatele. Pokyny pořadatele jsou:

• Akt užívání Lapvio Pro běžným způsobem (každá interakce s platformou je pokynem ke zpracování příslušných údajů odpovídajícím způsobem)
• Konfigurační volby, které pořadatel provede v administrátorském rozhraní
• Konkrétní písemné pokyny zaslané oprávněnou osobou na privacy@lapvio.com, jsou-li přiměřené, zákonné a v souladu s touto Smlouvou

Pokud by pokyn podle rozumného úsudku Amahi vedl k porušení GDPR nebo jiných aplikovatelných právních předpisů, Amahi o tom pořadatele bez zbytečného odkladu informuje a může pokyn odmítnout, dokud nebude vyjasněn.

5.2 Odpovědnost správce

Pořadatel odpovídá za:

• Stanovení právního základu pro každou zpracovatelskou činnost podle čl. 6 GDPR (případně čl. 9 GDPR)
• Poskytnutí informace o zpracování osobních údajů řidičům podle čl. 13 a 14 GDPR pokrývající zpracování, které pořadatel provádí jako správce
• Vedení vlastního záznamu o činnostech zpracování podle čl. 30 GDPR, pokud to vyžaduje rozsah a charakter jeho činnosti
• Vyřizování žádostí subjektů údajů, kde se uplatňují vůči pořadateli v jeho roli správce (čl. 28 popisuje součinnost Amahi v části 10)
• Oznámení dozorovému úřadu a v případech podle čl. 34 GDPR i řidičům porušení zabezpečení osobních údajů týkajících se Údajů řidičů, bez ohledu na to, kde k porušení došlo (část 11 popisuje roli Amahi)
• Provedení posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR tam, kde je vyžadováno (část 12 popisuje součinnost Amahi)
• Zajištění toho, aby předávání osobních údajů do Lapvio Pro probíhalo v souladu s aplikovatelným právem

5.3 Záruka zákonnosti

Pořadatel prohlašuje a zaručuje, že:

• Má platný právní základ pro každou kategorii Údajů řidičů, kterou do Lapvio Pro vkládá nebo v něm generuje
• Získal veškeré souhlasy vyžadované od řidičů
• Zpracování, které pořadatel zadává Amahi k provádění, je zákonné

Pokud řidič, dozorový úřad nebo soud rozhodne, že pořadatel postrádal právní základ pro konkrétní zpracovatelskou činnost, nese pořadatel důsledky takového rozhodnutí v souladu s odškodněním podle části 10.4 Obchodních podmínek.

6. Povinnosti zpracovatele

Amahi se zavazuje plnit povinnosti stanovené v čl. 28 odst. 3 GDPR. Konkrétně:

• Zpracování pouze podle pokynů: Amahi zpracovává Údaje řidičů pouze podle doložených pokynů pořadatele, včetně pokynů týkajících se předávání do třetích zemí, s výjimkou případů, kdy to vyžaduje právo Evropské unie nebo členského státu (v takovém případě Amahi pořadatele před zahájením zpracování o tomto požadavku informuje, pokud daný právní předpis takové oznámení nezakazuje z důvodů důležitého veřejného zájmu)
• Mlčenlivost personálu: Amahi zajišťuje, aby každá osoba zpracovávající Údaje řidičů byla vázána smluvní nebo zákonnou povinností mlčenlivosti (část 7)
• Bezpečnost: Amahi přijímá technická a organizační opatření popsaná v Příloze B (část 8)
• Subprocesoři: Amahi zapojuje subprocesory pouze za podmínek stanovených v části 9
• Práva subjektů údajů: Amahi je pořadateli nápomocno při vyřizování žádostí subjektů údajů odpovídajícími technickými a organizačními opatřeními, pokud je to možné (část 10)
• Součinnost při dodržování předpisů: Amahi je pořadateli nápomocno při plnění povinností podle čl. 32 až 36 GDPR s ohledem na povahu zpracování a informace, které má k dispozici (části 11 a 12)
• Vrácení nebo výmaz: Po skončení poskytování služeb Amahi podle volby pořadatele Údaje řidičů vrátí nebo vymaže (část 13)
• Součinnost při auditech: Amahi poskytuje pořadateli informace nezbytné k prokázání souladu s touto Smlouvou a umožňuje audity a poskytuje při nich součinnost (část 14)

7. Mlčenlivost personálu

Amahi zajišťuje, aby všichni zaměstnanci a smluvní partneři s přístupem k Údajům řidičů:

• Byli vázáni písemnou smluvní nebo zákonnou povinností mlčenlivosti
• Obdrželi odpovídající poučení o ochraně osobních údajů
• Měli přístup pouze k těm Údajům řidičů, které potřebují pro svůj přidělený úkol

Tato povinnost mlčenlivosti trvá i po skončení příslušného pracovního poměru nebo smluvního vztahu.

8. Bezpečnost

8.1 Opatření podle čl. 32 GDPR

Amahi přijímá vhodná technická a organizační opatření k zajištění úrovně bezpečnosti odpovídající danému riziku, s ohledem na stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování i na rizika pro práva a svobody fyzických osob.

Aktuální technická a organizační opatření jsou uvedena v Příloze B. Amahi může Přílohu B čas od času aktualizovat v reakci na vývoj bezpečnostního prostředí; jakákoli aktualizace zachová alespoň stejnou úroveň ochrany.

8.2 Žádné snížení standardů

Amahi nesníží bezpečnostní standardy popsané v Příloze B bez předchozího písemného souhlasu pořadatele.

9. Subprocesoři

9.1 Obecné zmocnění

Pořadatel uděluje Amahi obecné zmocnění zapojit pro zpracování Údajů řidičů subprocesory, za podmínek stanovených v této části 9.

9.2 Povinnosti subprocesorů

Amahi ukládá každému subprocesorovi formou písemné smlouvy povinnosti v oblasti ochrany osobních údajů rovnocenné těm, které jsou stanoveny v této Smlouvě, zejména dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky GDPR. Amahi vůči pořadateli nadále odpovídá za plnění povinností každého subprocesora.

9.3 Aktuální seznam subprocesorů

Aktuální seznam subprocesorů je v Příloze A. Tentýž seznam je publikován na lapvio.com/legal/sub-processors a je aktualizován při změně subprocesorů.

9.4 Oznamování změn

Amahi oznamuje pořadateli zamýšlené přidání nebo nahrazení subprocesorů nejméně 30 dnů předem:

• Aktualizací seznamu na lapvio.com/legal/sub-processors
• E-mailovým oznámením na e-mailovou adresu super-admina pořadatele

9.5 Právo na námitku

Do 14 dnů od oznámení změny subprocesora ze strany Amahi může pořadatel písemně na privacy@lapvio.com vznést námitku, pokud se důvodně domnívá, že navrhovaná změna vytváří podstatné nové riziko pro Údaje řidičů.

Pokud se strany nedohodnou na vyřešení námitky do 30 dnů, pořadatel může písemnou výpovědí ukončit Obchodní podmínky (a tím i tuto Smlouvu) bez sankce, s účinností ke dni, kdy by jinak nově navrhovaný subprocesor začal být využíván. Pořadatel zůstává povinen uhradit poplatky narostlé před ukončením.

Pokud pořadatel ve lhůtě 14 dnů námitku nevznese, má se za to, že se změnou souhlasí.

10. Součinnost při výkonu práv subjektů údajů

10.1 Žádosti směřované přímo k Amahi

Pokud řidič kontaktuje Amahi přímo se žádostí týkající se Údajů řidičů (například žádostí o přístup, opravu, výmaz, omezení zpracování, přenositelnost nebo námitku), Amahi:

• Potvrdí přijetí žádosti a sdělí řidiči, že příslušným správcem je pořadatel
• Bez zbytečného odkladu předá žádost pořadateli
• Nebude na úroveň zpracování v roli správce řidiči věcně odpovídat, kromě toho, že ho odkáže na pořadatele

10.2 Součinnost s pořadatelem

Amahi je pořadateli nápomocno odpovídajícími technickými a organizačními opatřeními, pokud je to možné, při plnění jeho povinností odpovídat na žádosti subjektů údajů. To zahrnuje:

• Poskytování nástrojů v administrátorském rozhraní Lapvio Pro, které pořadateli umožňují vyhledávat, zobrazovat, upravovat, exportovat nebo mazat údaje konkrétního řidiče bez nutnosti zapojení podpory Amahi
• Tam, kde je podpora Amahi nezbytná, reakce na přiměřené žádosti zaslané z privacy@lapvio.com do pěti pracovních dnů

10.3 Náklady

Amahi poskytuje přiměřenou součinnost zdarma jako součást předplatného. U neobvykle častých nebo časově náročných žádostí může Amahi za doplňkovou podporu účtovat aktuální sazby s předchozím oznámením a se souhlasem pořadatele.

11. Oznamování porušení zabezpečení osobních údajů

11.1 Lhůta oznámení

Amahi oznamuje pořadateli porušení zabezpečení osobních údajů týkající se Údajů řidičů bez zbytečného odkladu poté, co se o něm dozví, a v každém případě do 48 hodin od okamžiku, kdy se o něm dozví.

11.2 Obsah oznámení

V rozsahu, v jakém jsou příslušné informace k dispozici, oznámení obsahuje:

• Popis povahy porušení, pokud možno včetně kategorií a přibližného počtu dotčených subjektů údajů a záznamů
• Pravděpodobné důsledky porušení
• Opatření, která Amahi přijalo nebo navrhuje přijmout k řešení porušení a zmírnění jeho možných nepříznivých dopadů
• Jméno a kontaktní údaje kontaktní osoby Amahi pro další informace

Pokud nejsou všechny informace k dispozici do 48 hodin, Amahi poskytne to, co je k dispozici, a doplňuje je s tím, jak postupuje vyšetřování.

11.3 Součinnost

Amahi poskytuje pořadateli součinnost při vyšetřování, zmírňování a nápravě porušení zabezpečení osobních údajů. Pořadatel zůstává jako správce odpovědný za jakákoli oznámení dozorovému úřadu podle čl. 33 GDPR nebo subjektům údajů podle čl. 34 GDPR.

11.4 Porušení na úrovni infrastruktury Amahi

U porušení vlastní infrastruktury Amahi, která mohou současně dotknout Údaje řidičů více pořadatelů, může Amahi provést oznámení společně, kde je to vhodné, při zachování výše uvedených lhůt a obsahových požadavků.

12. Součinnost při DPIA a předchozí konzultaci

Amahi poskytuje pořadateli přiměřenou součinnost při:

• Posouzení vlivu na ochranu osobních údajů (DPIA) podle čl. 35 GDPR
• Předchozí konzultaci s dozorovým úřadem podle čl. 36 GDPR

Tato součinnost zahrnuje poskytování informací o platformě Lapvio Pro, jejích subprocesorech a bezpečnostních opatřeních a u přiměřených žádostí je poskytována bez doplňkového poplatku.

13. Vrácení nebo výmaz Údajů řidičů

13.1 Volba při ukončení

Po skončení poskytování služeb souvisejících se zpracováním podle této Smlouvy Amahi podle volby pořadatele provedené při ukončení:

• Vrátí Údaje řidičů pořadateli ve strukturovaném, běžně používaném a strojově čitelném formátu (typicky JSON nebo CSV); nebo
• Vymaže Údaje řidičů

Pokud pořadatel volbu nesdělí do 30 dnů od ukončení, Amahi standardně zpřístupní export údajů ke stažení po dalších 30 dnů, po kterých přistoupí k výmazu.

13.2 Proces výmazu

Výmaz zahrnuje:

• Odstranění Údajů řidičů z aktivních systémů (databáze, úložiště souborů, vyhledávací indexy)
• Písemné potvrzení výmazu pořadateli na e-mailovou adresu super-admina
• Postupné vyřazení záložních kopií v rámci standardního cyklu rotace záloh (aktuálně až 35 dnů), po kterém jsou nevratně nedostupné

13.3 Záznamy, které musí být uchovány

Amahi uchovává údaje po datu ukončení pouze:

• Pokud to vyžaduje české nebo unijní právo (například finanční záznamy podle českého zákona o DPH)
• Po dobu promlčecí lhůty u nevyřízených nebo důvodně předvídatelných právních nároků
• V agregované, anonymizované podobě, která již neidentifikuje konkrétního řidiče ani pořadatele

Jakékoli takto uchovávané údaje jsou nadále chráněny bezpečnostními opatřeními uvedenými v Příloze B.

13.4 Osobní profily na straně řidičů

Pokud řidiči aktivovali profil Lapvio a ověřená historie akcí se na tyto profily přenesla, historický fakt, že se řidič zúčastnil akce pořádané pořadatelem, na profilu řidiče zůstává viditelný a je označen historickým názvem pořadatele. Jedná se o vlastní údaje řidiče na vlastním profilu, nikoli o Údaje řidičů, které spravuje pořadatel. Pořadatel nemá právo požadovat výmaz této historie na straně řidiče a Amahi ji v rámci ukončení vztahu s pořadatelem nemaže.

14. Audity a kontroly

14.1 Právo na audit

Pořadatel má právo ověřit dodržování této Smlouvy ze strany Amahi prostřednictvím:

• Žádostí o informace: písemné žádosti zaslané na privacy@lapvio.com, na které Amahi odpoví do 30 dnů přiměřeně podrobnými informacemi o postupech zpracování údajů, bezpečnostních opatřeních a subprocesorech
• Standardní dokumentace: Amahi zpřístupňuje certifikace, zprávy z auditů a bezpečnostní dokumentaci, kterou má k dispozici (například zprávy SOC 2 svých subprocesorů, které je oprávněno sdílet)
• Auditu na místě nebo na dálku: jednou za kalendářní rok může pořadatel provést podrobnější audit za níže uvedených podmínek

14.2 Podmínky auditu

Audity na místě nebo na dálku podléhají těmto podmínkám:

• Nejméně 30denní písemné oznámení předem
• Provedení v běžné pracovní době
• Provedení kvalifikovaným personálem pořadatele nebo nezávislým třetím auditorem přiměřeně přijatelným pro Amahi (a nikoli konkurentem Amahi)
• Podpis odpovídající dohody o mlčenlivosti auditorem
• Bez nepřiměřeného zásahu do provozu Amahi nebo využívání platformy ostatními pořadateli
• Omezení na informace relevantní pro Údaje řidičů pořadatele a povinnosti podle této Smlouvy

14.3 Náklady

Každá strana nese vlastní náklady na audit, s výjimkou případu, kdy audit zjistí podstatné porušení ze strany Amahi; v takovém případě Amahi uhradí přiměřené auditní náklady pořadatele.

14.4 Koordinace

U auditů více pořadatelů týkajících se společné platformní infrastruktury může Amahi reakce na audity koordinovat tak, aby minimalizovala zátěž všech zúčastněných stran. Pořadatel souhlasí s tím, že Amahi může své individuální auditní zjištění sdílet s ostatními dotčenými pořadateli ve vhodně anonymizované podobě.

15. Mezinárodní předávání

15.1 Předávání do třetích zemí

Někteří subprocesoři Amahi sídlí v zemích mimo Evropský hospodářský prostor, včetně Spojených států amerických. Aktuální subprocesoři a jejich umístění jsou uvedeni v Příloze A.

15.2 Mechanismy předávání

Pro každé předávání Údajů řidičů do třetí země se Amahi opírá o jeden nebo více následujících mechanismů (v pořadí preference):

• Rozhodnutí Evropské komise o odpovídající úrovni ochrany přijímající země (aktuálně platné pro USA prostřednictvím EU–US Data Privacy Framework u subprocesorů, kteří jsou v něm certifikováni)
• Standardní smluvní doložky (SCC podle prováděcího rozhodnutí Komise (EU) 2021/914) podepsané se subprocesorem
• Jiné vhodné záruky podle kapitoly V GDPR tam, kde se uplatňují

Amahi přijímá doplňková opatření nezbytná k řešení identifikovaných rizik, včetně šifrování při přenosu i v klidu.

15.3 V případě zneplatnění mechanismu předávání

Pokud bude mechanismus předávání, o který se Amahi opírá, zneplatněn rozhodnutím soudu nebo dozorového úřadu, Amahi:

• Bezodkladně informuje pořadatele
• Přejde na alternativní platný mechanismus, nebo
• Přesune dotčené zpracování k subprocesorovi v jurisdikci s odpovídající úrovní ochrany
• Pokud žádné z výše uvedených není proveditelné bez podstatné změny služby, bude s pořadatelem hledat řešení, které může zahrnovat ukončení vztahu

15.4 Role pořadatele

Pořadatel jako správce nadále odpovídá za to, že jeho celkové užívání služby je v souladu s pravidly mezinárodního předávání té země, jejíž rezidenti jsou subjekty údajů, které pořadatel prostřednictvím Lapvio Pro zpracovává.

16. Odpovědnost a odškodnění

Odpovědnost stran podle této Smlouvy se řídí částí 10 Obchodních podmínek (Odpovědnost a odškodnění), jako kdyby byla obsažena v této Smlouvě.

Pro vyloučení pochybností: škody a regulatorní pokuty vzniklé v důsledku porušení této Smlouvy (kteroukoli ze stran) se započítávají do limitu odpovědnosti uvedeného v Obchodních podmínkách s výjimkou případů, kdy se limit neuplatní (úmyslné nebo hrubě nedbalé porušení, porušení způsobující podstatnou újmu subjektům údajů a další odpovědnost, kterou nelze omezit podle českého práva).

Odškodnění pořadatele ve prospěch Amahi podle části 10.4 Obchodních podmínek pokrývá nároky třetích stran vzniklé z vlastního porušení právních předpisů o ochraně osobních údajů ze strany pořadatele v jeho roli správce.

17. Trvání a ukončení

Tato Smlouva nabývá účinnosti spolu s Obchodními podmínkami a trvá po dobu jejich trvání.

Tato Smlouva zaniká automaticky se zánikem Obchodních podmínek. Ustanovení, která mají rozumně přetrvat (důvěrnost, vrácení nebo výmaz údajů, auditní práva po dobu promlčecí lhůty, uchovávání záznamů vyžadované zákonem a řešení sporů), platí dál.

Ukončení této Smlouvy bez ukončení Obchodních podmínek není možné. Amahi nemůže pokračovat v poskytování Lapvio Pro bez podkladového vztahu zpracovatele, takže oba dokumenty stojí a padají společně.

Příloha A: Subprocesoři

Následující subprocesoři zpracovávají Údaje řidičů jménem Amahi ke dni účinnosti této Smlouvy. Aktuální seznam je publikován na lapvio.com/legal/sub-processors.

Subprocesoři využívaní pouze pro vlastní zpracování Amahi v roli správce (například Google Analytics, Meta Pixel pro marketing na lapvio.com) zde nejsou uvedeni, protože nezpracovávají Údaje řidičů jménem pořadatele. Jsou uvedeni v Zásadách ochrany osobních údajů Lapvio.

Příloha B: Technická a organizační bezpečnostní opatření

Amahi přijímá následující technická a organizační opatření k ochraně Údajů řidičů v souladu s čl. 32 GDPR.

Řízení přístupu a autentizace

• Autentizace administrátorů pořadatelů přes Google OAuth s doporučením vícefaktorového ověření na úrovni Google účtu
• Autentizace řidičů přes e-mail OTP (žádná hesla se neukládají)
• Magic-link tokeny ukládané pouze jako SHA-256 hashe v databázi; surový token není nikdy ukládán ani logován na serverech Amahi
• Řízení přístupu podle rolí v rámci Lapvio Pro (super_admin, admin, operator) omezující přístup podle principu nejnižších oprávnění
• Přístup do produkční databáze omezen na malý počet oprávněných osob Amahi, všechny s vícefaktorovým ověřením
• Veškeré administrátorské akce auditně zaznamenávány

Ochrana údajů při přenosu i v klidu

• Veškeré údaje šifrovány při přenosu pomocí TLS 1.2 nebo vyšším
• Šifrování databáze v klidu v Supabase
• Šifrování úložiště souborů v klidu v Supabase
• Zálohy šifrovány v klidu

Bezpečnost sítě a infrastruktury

• Hostingová infrastruktura poskytována certifikovanými poskytovateli (Supabase: SOC 2 Type II; Vercel: SOC 2; Stripe: PCI DSS Level 1)
• Tajné údaje a API klíče uložené v šifrované infrastruktuře pro správu tajných údajů, nikoli ve zdrojovém kódu
• Produkční a vývojové prostředí oddělená
• Omezování rychlosti a detekce zneužití na úrovni aplikace

Postupy vývoje softwaru

• Změny kódu před nasazením do produkce procházejí kontrolou
• Skenování zranitelností závislostí povolené
• Sledování bezpečnostních upozornění od subprocesorů a závislostí

Zálohy a obnova po havárii

• Automatické zálohy databáze
• Zálohy uchovávány až 35 dnů
• Schopnost obnovy testována v rámci provozní praxe

Reakce na incidenty

• Dokumentovaný postup reakce na incidenty
• Oznámení porušení zabezpečení osobních údajů do 48 hodin od zjištění (část 11)
• Zpětné vyhodnocení incidentu a sledovaná náprava

Personál

• Veškerý personál s přístupem k Údajům řidičů vázán písemnou povinností mlčenlivosti
• Přístup odebrán neprodleně po skončení vztahu
• Pravidlo o ochraně osobních údajů a bezpečnosti sdíleno s personálem

Správa subprocesorů

• Každý subprocesor vázán písemnou smlouvou rovnocennou této Smlouvě
• Seznam subprocesorů udržován na lapvio.com/legal/sub-processors a aktualizován s minimálně 30denním předstihem (část 9)

Amahi může Přílohu B čas od času aktualizovat s tím, jak se platforma vyvíjí a jak se mění bezpečnostní prostředí. Aktualizace zachovají alespoň stejnou úroveň ochrany jako tato opatření.

Příloha C: Mechanismy mezinárodního předávání

U každého subprocesora, který není certifikován v rámci EU–US Data Privacy Framework, Amahi uzavřelo Standardní smluvní doložky (prováděcí rozhodnutí (EU) 2021/914) a doplňuje je technickými a organizačními opatřeními uvedenými v Příloze B.

Pokud bude EU–US Data Privacy Framework zneplatněn, Amahi přechází tam, kde jsou již zavedeny, výhradně na SCC a oznamuje pořadateli jakoukoli podstatnou změnu úrovně ochrany.

Konec Smlouvy o zpracování osobních údajů.

Pro dotazy k této Smlouvě nás kontaktujte na privacy@lapvio.com.