Smluvní strany
Tyto podmínky upravují zpracování osobních údajů podle čl. 28 GDPR mezi provozovatelem e-shopu na platformě Shoptet, který si doplněk Dovolenkový režim nainstaluje (dále jen „správce“ nebo „vy“), a společností Apptiary s.r.o., se sídlem Tylova 1043/15, 831 04 Bratislava, Slovensko, IČO 57 466 408, DIČ 2122765986 (dále jen „zpracovatel“ nebo „my“).
Podmínky jsou součástí dokumentu Obchodní podmínky doplňku a platí od instalace doplňku. Údaje, které zpracováváme jako správce (kontaktní e-mail e-shopu a údaje o instalaci, které potřebujeme k poskytování doplňku, k posílání souhrnů a k podpoře), popisuje stránka Ochrana osobních údajů.
Předmět, povaha a účel zpracování
Předmětem zpracování jsou údaje, které doplněk potřebuje k tomu, aby na váš pokyn dočasně změnil dodací lhůty a dostupnosti v e-shopu, zobrazil oznámení na e-shopu a upozornění v košíku, po skončení dovolené vrátil původní hodnoty a poslal vám souhrny a připomínky.
Zpracování zahrnuje uložení, čtení a zápis údajů přes rozhraní API Shoptetu, jejich uchovávání během instalace a jejich výmaz. Jiný účel zpracování nemá. Údaje nepoužíváme pro vlastní účely, neprodáváme je a nesdílíme je s jinými doplňky.
Doba zpracování
Zpracováváme jen po dobu, kdy je doplněk ve vašem e-shopu nainstalovaný. Zpracování končí odinstalováním doplňku a údaje poté smažeme způsobem, který popisuje část Výmaz a vrácení údajů.
Typ osobních údajů a kategorie subjektů údajů
Doplněk ukládá identifikátor a adresu e-shopu, jeho časové pásmo a jazyk, kontaktní e-mail e-shopu, vaše nastavení (posun dodacích lhůt, strategii, text banneru a upozornění v košíku, ponechané dostupnosti a naplánované termíny dovolených), záznam původních hodnot dodacích lhůt a dostupností a záznamy o činnosti doplňku. Osobními údaji mohou být tehdy, když e-shop provozuje fyzická osoba, když kontaktní e-mail patří konkrétní osobě, nebo když do textu banneru či upozornění v košíku uvedete údaje o osobě, například jméno nebo telefon. Kontaktní e-mail e-shopu zpracováváme jako správce podle stránky Ochrana osobních údajů, a proto se na něj tyto podmínky nevztahují.
Subjekty údajů jsou tedy provozovatel e-shopu, pokud je fyzickou osobou, jeho zaměstnanci a kontaktní osoby, a osoby, jejichž údaje uvedete v textech doplňku.
Doplněk nečte údaje o zákaznících e-shopu ani o objednávkách a nemá k nim přístup. O návštěvnících e-shopu nic neukládáme a doplněk na e-shopu nenastavuje žádné cookies. Doplněk nezpracovává zvláštní kategorie osobních údajů.
Pokyny správce
Osobní údaje zpracováváme jen na základě vašich doložených pokynů. Pokyny jsou tyto podmínky, nastavení, která provedete v administraci doplňku, a pokyny, které nám pošlete e-mailem na [email protected]. To platí i pro předávání údajů do třetích zemí; kteří zpracovatelé zpracovávají údaje mimo EU, uvádí část Další zpracovatelé.
Pokud bychom podle našeho názoru dostali pokyn, který porušuje GDPR nebo jiný předpis o ochraně osobních údajů, bez zbytečného odkladu vás na to upozorníme.
Mlčenlivost
K osobním údajům mají přístup jen osoby pověřené zpracovatelem, které ho potřebují k provozu a podpoře doplňku. Každá z nich je vázána povinností mlčenlivosti, která trvá i po skončení jejich spolupráce s námi.
Zabezpečení zpracování (čl. 32 GDPR)
Údaje jsou uložené v EU (Hetzner Online GmbH, datové centrum Helsinky, Finsko). Veškerá komunikace probíhá výhradně šifrovaně přes HTTPS (TLS) a notifikace od Shoptetu ověřujeme podpisem.
Přístupový token k rozhraní API Shoptetu je v databázi šifrovaný algoritmem AES-256-GCM. Přístup k serverům a databázi mají jen pověřené osoby s vlastními přístupovými údaji a každý doplněk má vlastní databázi, do které jiné doplňky nemají přístup.
Databázi každý den zálohujeme do šifrovaného úložiště Cloudflare R2 v EU. Denní zálohy uchováváme 30 dní a týdenní nejvýše 6 měsíců, poté se automaticky smažou. Provozní záznamy vedeme bez osobních údajů: neobsahují jména, e-mailové adresy, přístupové tokeny ani obsah notifikací.
Další zpracovatelé
Udělujete nám obecné povolení zapojit další zpracovatele. V současnosti jsou to: Hetzner Online GmbH (hosting, EU), Resend, Inc. (odesílání souhrnů a připomínek na kontaktní e-mail e-shopu; společnost se sídlem v USA, e-maily odcházejí přes její region v EU v Irsku, případný přenos do USA na základě standardních smluvních doložek Evropské komise), Cloudflare, Inc. (doručování nastavení banneru na e-shop, ochrana před útoky a úložiště R2 v EU pro šifrované zálohy databáze), Functional Software, Inc. (Sentry, sledování chyb, EU region, bez osobních údajů).
Každého dalšího zpracovatele zavazujeme smlouvou ke stejným povinnostem ochrany údajů, jaké máme podle těchto podmínek, a za jeho plnění vám odpovídáme.
O záměru přidat nebo vyměnit zpracovatele vás budeme informovat e-mailem na kontaktní adresu e-shopu nejméně 30 dní předem. Proti změně můžete v této lhůtě vznést námitku na [email protected]. Pokud námitce nemůžeme vyhovět, můžete doplněk kdykoli odinstalovat bez jakékoli sankce.
Součinnost při právech subjektů údajů a povinnostech správce
S ohledem na povahu zpracování vám pomůžeme vhodnými technickými a organizačními opatřeními splnit povinnost reagovat na žádosti subjektů údajů o výkon jejich práv. Pokud se subjekt údajů obrátí přímo na nás, jeho žádost vám bez zbytečného odkladu předáme.
Na požádání vám poskytneme součinnost i při plnění povinností podle čl. 32 až 36 GDPR, tedy při zabezpečení zpracování, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a předchozí konzultaci s dozorovým úřadem.
Porušení zabezpečení osobních údajů
O porušení zabezpečení osobních údajů, které se týká vašich údajů, vás budeme informovat bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, e-mailem na kontaktní adresu e-shopu. Uvedeme povahu porušení, dotčené kategorie údajů a osob, pravděpodobné důsledky a opatření, která jsme přijali nebo navrhujeme. Informace, které ještě nemáme, doplníme hned, jak je zjistíme.
Výmaz a vrácení údajů
Po odinstalování doplňku smažeme všechny údaje e-shopu včetně šifrovaného přístupového tokenu, nastavení, záznamu původních hodnot a historie. Po odinstalování už doplněk nemá přístup k e-shopu a nemůže v něm nic změnit. Pokud byla zapnutá dovolená, doplněk vám před smazáním pošle e-mail se všemi původními hodnotami, abyste je nastavili ručně. Ve všech případech jsou údaje smazané nejpozději do 24 hodin od odinstalování. V zálohách databáze zůstanou až do jejich automatického smazání, nejvýše 6 měsíců. Zálohu použijeme jen k obnově celé databáze po havárii a údaje odinstalovaných e-shopů po takové obnově hned znovu smažeme.
Pokud chcete své údaje před odinstalováním dostat, napište na [email protected] a pošleme vám je. Údaje uchováváme déle jen tehdy, pokud to vyžaduje právní předpis.
Informace a audity
Na požádání vám poskytneme všechny informace potřebné k doložení toho, že plníme povinnosti podle čl. 28 GDPR a těchto podmínek. Umožníme audity a kontroly, které provedete vy nebo auditor, kterého pověříte, v termínu, na kterém se předem dohodneme. Žádosti posílejte na [email protected].
Závěrečná ustanovení
Tyto podmínky se řídí právem Slovenské republiky. Změny podmínek oznamujeme stejně jako změny dokumentu Obchodní podmínky doplňku, tedy e-mailem nejméně 30 dní před jejich účinností.
Kontakt: Apptiary s.r.o., Tylova 1043/15, 831 04 Bratislava, Slovensko, IČO 57 466 408, DIČ 2122765986, [email protected].