Smlouva o zpracování osobních údajů (DPA)

I. Smluvní strany

II. Předmět zpracování

Zpracovatel zpracovává osobní údaje výhradně pro účely poskytování služby ReportMaster — automatizovaná tvorba stavební dokumentace pomocí AI.

Kategorie zpracovávaných osobních údajů

Kategorie subjektů údajů

• Zaměstnanci a spolupracovníci Správce s přístupem do aplikace
• Osoby uvedené v dokumentech nahraných Správcem (stavbyvedoucí, dodavatelé apod.)

III. Povinnosti Zpracovatele

• Zpracovávat osobní údaje pouze na základě doložených pokynů Správce
• Zachovávat mlčenlivost; osoby zpracovávající údaje jsou vázány mlčenlivostí
• Zajistit odpovídající technická a organizační opatření dle čl. 32 GDPR (viz Příloha A)
• Pomáhat Správci s naplňováním práv subjektů údajů
• Pomáhat Správci s povinnostmi dle čl. 32–36 GDPR (zabezpečení, breach notification)
• Po ukončení smlouvy vymazat nebo vrátit veškeré osobní údaje (volba Správce)
• Zpřístupnit Správci informace nezbytné k prokázání dodržování povinností
• Umožnit Správci audity (s 30denním předstihem, max 1× ročně)

IV. Dílčí zpracovatelé

Zpracovatel je oprávněn využít následující dílčí zpracovatele:

Změny dílčích zpracovatelů budou oznámeny Správci s předstihem alespoň 30 dní. Správce má právo vznést námitku.

V. Předávání mimo EU/EHP

Zpracovatel může předávat osobní údaje do zemí mimo EHP (zejména USA — Anthropic). Předávání probíhá výhradně na základě standardních smluvních doložek (SCC) schválených Evropskou komisí (rozhodnutí 2021/914).

VI. Doba trvání

Tato smlouva nabývá účinnosti dnem podpisu obou stran a trvá po dobu trvání hlavní smlouvy o poskytování služby ReportMaster.

VII. Povinnost součinnosti při bezpečnostním incidentu

V případě porušení zabezpečení osobních údajů Zpracovatel:

• Informuje Správce bez zbytečného odkladu, nejpozději do 24 hodin od zjištění
• Poskytne popis povahy incidentu, kategorie a počet dotčených údajů a subjektů
• Spolupracuje na vyšetření a navrhnutých nápravných opatřeních
• Pomáhá Správci s notifikací ÚOOÚ (čl. 33 GDPR) a dotčených subjektů (čl. 34 GDPR)

VIII. Příloha A — Technická a organizační opatření

• TLS 1.3 šifrování veškeré komunikace (HTTPS)
• Hesla hashovaná bcrypt (cost factor 10)
• Role-based access control (RBAC) s rolemi superadmin / admin / pripravac / ctenar
• Multi-tenant izolace — striktní oddělení dat mezi organizacemi
• Rate limiting proti brute-force útokům
• Bezpečnostní HTTP hlavičky (CSP, HSTS, Permissions-Policy)
• MIME sniffing nahrávaných souborů (podle magic bytes)
• Hook pro antivirovou kontrolu (ClamAV)
• Audit log citlivých operací (přihlášení, GDPR výmaz, nahrávání)
• Retention policy automatické mazání starých dat
• Session timeout (8h idle, 24h absolutní)
• Firewall na úrovni operačního systému (UFW)
• Pravidelné bezpečnostní aktualizace

IX. Závěrečná ustanovení

• Smlouva se řídí právním řádem České republiky a GDPR (Nařízení EU 2016/679)
• Spory budou řešeny u soudu místně příslušného dle sídla Zpracovatele
• Smlouva může být měněna pouze písemně se souhlasem obou stran