Smluvní strany
Tyto podmínky upravují zpracování osobních údajů podle čl. 28 GDPR mezi provozovatelem e-shopu na platformě Upgates, který si doplněk Notify aktivuje (dále jen „správce“ nebo „vy“), a společností Apptiary s.r.o., se sídlem Tylova 1043/15, 831 04 Bratislava, Slovensko, IČO 57 466 408, DIČ 2122765986 (dále jen „zpracovatel“ nebo „my“).
Podmínky jsou součástí dokumentu Obchodní podmínky doplňku a platí od aktivace doplňku. Údaje, které zpracováváme jako správce (kontaktní e-mail e-shopu, nastavení kanálů, údaje o instalaci a o předplatném), popisuje stránka Ochrana osobních údajů.
Předmět, povaha a účel zpracování
Předmětem zpracování jsou údaje z oznámení o objednávkách, která nám Upgates pošle, a které doplněk potřebuje k tomu, aby na váš pokyn poslal zprávu o objednávce do kanálu, který jste si zvolili, zařadil objednávku do denních souhrnů a vypočítal statistiky v administraci doplňku.
Zpracování zahrnuje přijetí oznámení, ověření jeho podpisu, výběr potřebných údajů, jejich krátké uložení, odeslání zprávy do vašeho kanálu a výmaz. Jiný účel zpracování nemá. Údaje nepoužíváme pro vlastní účely, neprodáváme je a nesdílíme je s jinými doplňky.
Doba zpracování
Zpracováváme jen po dobu, kdy je doplněk ve vašem e-shopu aktivovaný. Zpracování končí deaktivací doplňku a údaje poté smažeme způsobem, který popisuje část Výmaz a vrácení údajů.
Typ osobních údajů a kategorie subjektů údajů
Z oznámení o objednávce zpracováváme číslo objednávky, celkovou částku a měnu, počet položek, způsob platby a dopravy, stav, příznak zaplacení a čas vzniku. Samy o sobě to nejsou osobní údaje o kupujícím, ale mohou se jimi stát, pokud je spojíte s konkrétní osobou. Jméno kupujícího zpracováváme jen tehdy, pokud pro daný kanál zapnete jeho zobrazení ve zprávě. Tehdy ho z oznámení vybereme, vložíme do zprávy a neukládáme. Adresu, e-mail, telefon ani seznam položek z oznámení neukládáme vůbec.
Subjekty údajů jsou tedy kupující ve vašem e-shopu. Doplněk nezpracovává zvláštní kategorie osobních údajů.
Nastavení kanálů (adresy webhooků, identifikátory chatů, e-mailové adresy příjemců, API klíč vaší e-mailové služby) a kontaktní e-mail e-shopu mohou být osobními údaji vašich zaměstnanců nebo kontaktních osob. Zpracováváme je jako správce podle stránky Ochrana osobních údajů, a proto se na ně tyto podmínky nevztahují.
Pokyny správce
Osobní údaje zpracováváme jen na základě vašich doložených pokynů. Pokyny jsou tyto podmínky, nastavení, která provedete v administraci doplňku, a pokyny, které nám pošlete e-mailem na [email protected]. To platí i pro předávání údajů do třetích zemí; kteří zpracovatelé zpracovávají údaje mimo EU, uvádí část Další zpracovatelé.
Zprávy posíláme jen do služeb, které si zvolíte a spravujete vy. Za jejich podmínky a za to, kdo k nim má přístup, odpovídáte vy.
Pokud bychom podle našeho názoru dostali pokyn, který porušuje GDPR nebo jiný předpis o ochraně osobních údajů, bez zbytečného odkladu vás na to upozorníme.
Mlčenlivost
K osobním údajům mají přístup jen osoby pověřené zpracovatelem, které ho potřebují k provozu a podpoře doplňku. Každá z nich je vázána povinností mlčenlivosti, která trvá i po skončení jejich spolupráce s námi.
Zabezpečení zpracování (čl. 32 GDPR)
Údaje jsou uložené v EU (Hetzner Online GmbH, datové centrum Helsinky, Finsko). Veškerá komunikace probíhá výhradně šifrovaně přes HTTPS (TLS) a oznámení od Upgates ověřujeme podpisem.
Přístupové údaje k rozhraní API Upgates a nastavení kanálů jsou v databázi šifrované algoritmem AES-256-GCM. Přístup k serverům a databázi mají jen pověřené osoby s vlastními přístupovými údaji a každý doplněk má vlastní databázi, do které jiné doplňky nemají přístup.
Databázi každý den zálohujeme do šifrovaného úložiště Cloudflare R2 v EU. Denní zálohy uchováváme 30 dní a týdenní nejvýše 6 měsíců, poté se automaticky smažou. Provozní záznamy vedeme bez osobních údajů: neobsahují jména, e-mailové adresy, přístupové údaje ani obsah oznámení a zpráv.
Další zpracovatelé
Udělujete nám obecné povolení zapojit další zpracovatele. Údaje o kupujících v současnosti mohou zpracovávat: Hetzner Online GmbH (hosting, EU) a Cloudflare, Inc. (úložiště R2 v EU pro šifrované zálohy databáze). Functional Software, Inc. (Sentry, sledování chyb, EU region) dostává jen technické chyby bez osobních údajů. Servisní e-maily na kontaktní e-mail e-shopu odesílá Resend, Inc. (USA, e-maily odcházejí přes region v EU v Irsku, případný přenos do USA na základě standardních smluvních doložek Evropské komise) a platby za placené plány zpracovává Stripe Payments Europe, Limited (Irsko). Ti dva údaje o kupujících vašeho e-shopu nedostávají.
Každého dalšího zpracovatele zavazujeme smlouvou ke stejným povinnostem ochrany údajů, jaké máme podle těchto podmínek, a za jeho plnění vám odpovídáme.
O záměru přidat nebo vyměnit zpracovatele, který by zpracovával údaje o kupujících, vás budeme informovat e-mailem na kontaktní adresu e-shopu nejméně 30 dní předem. Proti změně můžete v této lhůtě vznést námitku na [email protected]. Pokud námitce nemůžeme vyhovět, můžete doplněk kdykoli deaktivovat bez jakékoli sankce.
Součinnost při právech subjektů údajů a povinnostech správce
S ohledem na povahu zpracování vám pomůžeme vhodnými technickými a organizačními opatřeními splnit povinnost reagovat na žádosti subjektů údajů o výkon jejich práv. Protože údaje o kupujících neukládáme déle, než je nutné k poslání zprávy, většinu žádostí vyřídíte přímo ve svém e-shopu. Pokud se subjekt údajů obrátí přímo na nás, jeho žádost vám bez zbytečného odkladu předáme.
Na požádání vám poskytneme součinnost i při plnění povinností podle čl. 32 až 36 GDPR, tedy při zabezpečení zpracování, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a předchozí konzultaci s dozorovým úřadem.
Porušení zabezpečení osobních údajů
O porušení zabezpečení osobních údajů, které se týká vašich údajů, vás budeme informovat bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, e-mailem na kontaktní adresu e-shopu. Uvedeme povahu porušení, dotčené kategorie údajů a osob, pravděpodobné důsledky a opatření, která jsme přijali nebo navrhujeme. Informace, které ještě nemáme, doplníme hned, jak je zjistíme. Pokud se porušení týká platformy Upgates nebo jejích zákazníků, oznámíme ho také Upgates do 24 hodin.
Výmaz a vrácení údajů
Údaje o objednávkách, které doplněk zpracovává, jsou krátkodobé: technickou obálku oznámení uchováváme 7 dní, záznamy o doručení 30 dní a údaje o objednávkách pro statistiky 400 dní, jak popisuje stránka Ochrana osobních údajů. Poté je automaticky smažeme.
Po deaktivaci doplňku notifikace okamžitě zastavíme a všechny údaje e-shopu včetně šifrovaných přístupových údajů a nastavení kanálů smažeme do 30 dní. Pokud doplněk v této lhůtě aktivujete znovu, nastavení se obnoví. V zálohách databáze zůstanou až do jejich automatického smazání, nejvýše 6 měsíců. Zálohu použijeme jen k obnově celé databáze po havárii a údaje deaktivovaných e-shopů po takové obnově hned znovu smažeme. Na požádání vám provedení výmazu potvrdíme.
Pokud chcete své údaje před deaktivací dostat, napište na [email protected] a pošleme vám je. Údaje uchováváme déle jen tehdy, pokud to vyžaduje právní předpis.
Informace a audity
Na požádání vám poskytneme všechny informace potřebné k doložení toho, že plníme povinnosti podle čl. 28 GDPR a těchto podmínek. Umožníme audity a kontroly, které provedete vy nebo auditor, kterého pověříte, v termínu, na kterém se předem dohodneme. Žádosti posílejte na [email protected].
Závěrečná ustanovení
Tyto podmínky se řídí právem Slovenské republiky. Změny podmínek oznamujeme stejně jako změny dokumentu Obchodní podmínky doplňku, tedy e-mailem nejméně 30 dní před jejich účinností.
Kontakt: Apptiary s.r.o., Tylova 1043/15, 831 04 Bratislava, Slovensko, IČO 57 466 408, DIČ 2122765986, [email protected].