Smlouva o zpracování osobních údajů

Verze 1.0 · Účinná od 14. října 2026

Tuto smlouvu o zpracování osobních údajů (dále jen „Smlouva o zpracování“) uzavírají:

• Voidhash s.r.o., IČO 23738944, se sídlem Chudenická 1059/30, Hostivař, 102 00 Praha 10, Česká republika, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 432083 (dále jen „Poskytovatel“ nebo „my“), a
• zákazník, který přijal Obchodní podmínky Poskytovatele nebo podepsal objednávku, která na ně odkazuje (dále jen „Zákazník“ nebo „vy“).

Smlouva o zpracování upravuje podmínky, za kterých Poskytovatel při poskytování Služby zpracovává osobní údaje pro Zákazníka, jak to vyžaduje článek 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR“) a další Použitelné předpisy o ochraně osobních údajů. Ustanovení o povinnostech zpracovatele vycházejí ze struktury standardních smluvních doložek přijatých prováděcím rozhodnutím Komise (EU) 2021/915.

1. Uzavření, působnost a struktura

1.1 Součást Obchodních podmínek. Smlouva o zpracování je součástí obchodních podmínek Poskytovatele dostupných na https://voidhash.com/legal/terms (dále jen „Obchodní podmínky“), do nichž je začleněna odkazem. Je uzavřena okamžikem, kdy Zákazník při založení účtu přijme Obchodní podmínky, a nevyžaduje žádný další podpis. Přijetím Obchodních podmínek Zákazník přijímá i tuto Smlouvu o zpracování, včetně Standardních smluvních doložek začleněných podle článku 14 a Přílohy IV, pokud se uplatní.

1.2 Podepsané vyhotovení. Zákazník s tarifem Enterprise si může na adrese legal@voidhash.com vyžádat Poskytovatelem podepsané vyhotovení této Smlouvy o zpracování. Podepsané vyhotovení má stejný obsah jako tato Smlouva o zpracování, ledaže se strany v objednávce nebo písemném dodatku výslovně dohodnou jinak.

1.3 Působnost. Smlouva o zpracování se vztahuje na zpracování Osobních údajů zákazníka Poskytovatelem při poskytování hostované Služby. Nevztahuje se na:

(a) osobní údaje, jejichž správcem je Poskytovatel, například údaje o uživatelích účtu Zákazníka, fakturačních kontaktech a komunikaci s podporou, které Poskytovatel zpracovává podle svých Zásad zpracování osobních údajů dostupných na https://voidhash.com/legal/privacy;

(b) software s otevřeným zdrojovým kódem (včetně SDK Poskytovatele a edice Community určené k vlastnímu provozu), který Zákazník provozuje na vlastní infrastruktuře, aniž by Poskytovatel měl přístup k osobním údajům. Pokud pracovníci Poskytovatele na žádost Zákazníka přistupují k instalaci provozované Zákazníkem nebo v jeho cloudu (například při podpoře), vztahuje se tato Smlouva o zpracování na tento přístup.

1.4 Propojené osoby Zákazníka. Jsou-li správci osobních údajů zpracovávaných v účtu Zákazníka osoby propojené se Zákazníkem, uzavírá Zákazník tuto Smlouvu o zpracování i jejich jménem, prohlašuje, že je k tomu oprávněn, a zůstává pro Poskytovatele jediným kontaktním místem.

1.5 Přílohy. Součástí této Smlouvy o zpracování jsou tyto přílohy:

• Příloha I — Popis zpracování (na úrovni jednotlivých údajů)
• Příloha II — Technická a organizační opatření
• Příloha III — Další zpracovatelé
• Příloha IV — Mechanismy předávání do třetích zemí
• Příloha V — Dodatek pro předpisy států USA o ochraně soukromí

2. Definice

2.1 Pojmy s velkým počátečním písmenem, které nejsou definovány v této Smlouvě o zpracování, mají význam uvedený v Obchodních podmínkách. Pojmy „správce“, „zpracovatel“, „subjekt údajů“, „osobní údaje“, „zpracování“, „porušení zabezpečení osobních údajů“ a „dozorový úřad“ mají význam podle GDPR; odpovídající pojmy jiných Použitelných předpisů o ochraně osobních údajů se vykládají obdobně.

2.2 V této Smlouvě o zpracování:

(a) „Použitelné předpisy o ochraně osobních údajů“ znamenají, v rozsahu, v jakém se na zpracování vztahují, GDPR; zákon č. 110/2019 Sb., o zpracování osobních údajů; předpisy provádějící směrnici 2002/58/ES (včetně § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích)); britské GDPR a zákon Spojeného království o ochraně údajů z roku 2018 (Data Protection Act 2018) (dále jen „britské předpisy o ochraně údajů“); švýcarský spolkový zákon o ochraně údajů ze dne 25. září 2020 (dále jen „FADP“) a Předpisy států USA o ochraně soukromí definované v Příloze V.

(b) „Osobní údaje zákazníka“ znamenají osobní údaje obsažené v Datech zákazníka nebo v Obsahu zákazníka, které Poskytovatel při poskytování Služby zpracovává pro Zákazníka jako zpracovatel (nebo další zpracovatel), jak je popsáno v Příloze I.

(c) „Koncový uživatel“ znamená fyzickou osobu, která používá aplikaci, webové stránky nebo jiný produkt Zákazníka, do něhož Zákazník Službu začlenil.

(d) „Pokyny“ mají význam uvedený v odstavci 4.2.

(e) „Další zpracovatel“ znamená jakéhokoli zpracovatele zapojeného Poskytovatelem, který zpracovává Osobní údaje zákazníka. Zaměstnanci Poskytovatele a fyzické osoby spolupracující s Poskytovatelem, které jednají z jeho přímého pověření (článek 29 GDPR), jsou pracovníky Poskytovatele, nikoli Dalšími zpracovateli.

(f) „Integrace zákazníka“ znamená službu nebo koncový bod třetí strany, který Zákazník se Službou propojí prostřednictvím vlastního účtu, přístupových údajů nebo nastavení, zejména služby společnosti Apple (App Store Server API, App Store Connect, Apple Push Notification service), společnosti Google (Google Play Developer API, Cloud Pub/Sub, Firebase Cloud Messaging), vlastní účet Zákazníka u společnosti Stripe, koncové body webhooků, nástroje a agenty umělé inteligence, které Zákazník se Službou propojí, a komponenty paywallů třetích stran, které odesílají data na koncové body zvolené jejich vydavatelem.

(g) „Porušení zabezpečení“ znamená porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění Osobních údajů zákazníka, které zpracovává Poskytovatel nebo jeho Další zpracovatelé.

(h) „Standardní smluvní doložky“ znamenají standardní smluvní doložky pro předávání osobních údajů do třetích zemí přijaté prováděcím rozhodnutím Komise (EU) 2021/914, v modulu určeném v Příloze IV.

(i) „Britský dodatek“ znamená dodatek o mezinárodním předávání údajů ke standardním smluvním doložkám Evropské komise (International Data Transfer Addendum, verze B1.0) vydaný britským Information Commissioner podle oddílu 119A zákona Spojeného království o ochraně údajů z roku 2018.

(j) „Omezené předání“ znamená předání Osobních údajů zákazníka do země mimo Evropský hospodářský prostor (dále jen „EHP“), na kterou se nevztahuje rozhodnutí o odpovídající ochraně, nebo obdobné předání podle britských předpisů o ochraně údajů nebo FADP.

(k) „Anonymizovaná data“ znamenají data, která se již netýkají identifikované nebo identifikovatelné fyzické osoby, s ohledem na všechny prostředky, které mohou být s rozumnou pravděpodobností použity k identifikaci osoby (bod 26 odůvodnění GDPR).

(l) „Pracovní den“ znamená den, který je v České republice pracovním dnem.

3. Postavení smluvních stran

3.1 Zákazník jako správce. Ve vztahu k Osobním údajům zákazníka je Zákazník správcem a Poskytovatel zpracovatelem.

3.2 Zákazník jako zpracovatel. Zpracovává-li Zákazník Osobní údaje zákazníka pro třetí osobu (například agentura nebo studio, které vyvíjí a provozuje aplikace pro své klienty), je Zákazník zpracovatelem, Poskytovatel dalším zpracovatelem a platí, že:

(a) Zákazník prohlašuje, že jeho Pokyny, včetně zapojení Poskytovatele a Dalších zpracovatelů, jsou schváleny příslušným správcem;

(b) Zákazník předá správci informace a oznámení, které mu Poskytovatel poskytne podle této Smlouvy o zpracování, pokud je správce potřebuje;

(c) Poskytovatel jedná pouze se Zákazníkem a není povinen komunikovat se správcem, ledaže to vyžadují Použitelné předpisy o ochraně osobních údajů nebo Zákazník právně zanikl; a

(d) ustanovení této Smlouvy o zpracování o povinnostech Zákazníka jako správce se na Zákazníka jako zpracovatele použijí v rozsahu jeho postavení.

3.3 Poskytovatel jako správce. Poskytovatel je samostatným správcem osobních údajů týkajících se účtu Zákazníka, jeho uživatelů a kontaktních osob, fakturace, podpory, zabezpečení Služby a vlastní obchodní činnosti Poskytovatele, jak je popsáno v Zásadách zpracování osobních údajů. Toto zpracování nespadá pod tuto Smlouvu o zpracování.

3.4 Integrace zákazníka nejsou Dalšími zpracovateli. Pokud Služba odesílá Osobní údaje zákazníka Integraci zákazníka (například ověřuje nákup u společnosti Apple nebo Google, doručuje push notifikaci prostřednictvím APNs nebo FCM nebo volá koncový bod webhooku Zákazníka), činí tak na Pokyn Zákazníka. Poskytovatel Integrace zákazníka je příjemcem zvoleným Zákazníkem a jedná jako zpracovatel Zákazníka nebo jako samostatný správce podle svých vlastních podmínek se Zákazníkem, nikoli jako Další zpracovatel Poskytovatele. Poskytovatel neodpovídá za zpracování prováděné v rámci Integrací zákazníka.

3.5 Každá ze smluvních stran dodržuje Použitelné předpisy o ochraně osobních údajů, které se na ni vztahují v jejím postavení.

4. Pokyny

4.1 Poskytovatel zpracovává Osobní údaje zákazníka pouze na základě doložených Pokynů Zákazníka, včetně předávání osobních údajů do třetí země nebo mezinárodní organizaci, ledaže mu zpracování ukládá právo Unie nebo členského státu, které se na Poskytovatele vztahuje. V takovém případě Poskytovatel Zákazníka o tomto právním požadavku informuje před zahájením zpracování, ledaže právo tuto informaci zakazuje z důležitých důvodů veřejného zájmu.

4.2 Úplnými doloženými pokyny Zákazníka (dále jen „Pokyny“) jsou ke dni uzavření:

(a) Obchodní podmínky a tato Smlouva o zpracování, včetně Přílohy I a pokynu podle článku 5;

(b) nastavení a používání Služby Zákazníkem, včetně nastavení provedených v administraci a ve Studiu, konfigurace SDK, volání API, zapnutí Integrací zákazníka a vytvoření, zveřejnění nebo instalace paywallů, flows, komponent, experimentů, feature flagů, kohort a kampaní push notifikací; a

(c) další písemné pokyny oprávněného uživatele účtu Zákazníka (například v žádosti o podporu), které jsou v souladu s Obchodními podmínkami a technicky proveditelné.

4.3 Pokyny nad rámec odstavce 4.2 vyžadují předchozí písemný souhlas Poskytovatele, který může být podmíněn dodatečnou úplatou. Nemůže-li Poskytovatel takový Pokyn splnit, informuje o tom Zákazníka a Zákazník může dotčenou část Služby ukončit v souladu s Obchodními podmínkami.

4.4 Poskytovatel Zákazníka neprodleně informuje, pokud má za to, že Pokyn porušuje GDPR nebo jiné předpisy Unie nebo členského státu týkající se ochrany osobních údajů. Poskytovatel může splnění takového Pokynu pozastavit, dokud jej Zákazník nepotvrdí nebo nezmění. Poskytovatel není povinen Pokyny právně posuzovat.

4.5 Zákazník odpovídá za to, že jeho Pokyny jsou v souladu s Použitelnými předpisy o ochraně osobních údajů.

5. Anonymizované statistiky

5.1 Pokyn. Zákazník pověřuje Poskytovatele, aby Osobní údaje zákazníka anonymizoval a výsledná Anonymizovaná data používal k těmto účelům:

(a) provoz, zabezpečení a údržba Služby (například plánování kapacit, měření výkonu a chybovosti, odhalování podvodů a zneužití); a

(b) zlepšování Služby a tvorba souhrnných statistik a srovnávacích ukazatelů (například průměrné míry konverze podle typu paywallu nebo trhu).

5.2 Podmínky. Poskytovatel (a) anonymizuje data tak, aby Koncové uživatele ani Zákazníka nemohl identifikovat Poskytovatel ani žádný příjemce prostředky, které mohou být s rozumnou pravděpodobností použity; (b) statistiky zveřejňuje nebo sdílí pouze v souhrnné podobě kombinující data více zákazníků; (c) se nepokouší o opětovnou identifikaci Anonymizovaných dat a příjemcům ji smluvně zakazuje; a (d) průběžně přezkoumává metody anonymizace s ohledem na aktuální stav techniky.

5.3 Anonymizovaná data nejsou osobními údaji ani Osobními údaji zákazníka. Práva Poskytovatele k Anonymizovaným datům se řídí Obchodními podmínkami.

5.4 Omezení. Poskytovatel (a) neprodává Osobní údaje zákazníka ani je nezpřístupňuje třetím osobám pro jejich vlastní účely; (b) nepoužívá Osobní údaje zákazníka pro vlastní marketing, k profilování Koncových uživatelů ani k poskytování služeb jiným zákazníkům; a (c) nepoužívá Data zákazníka, Obsah zákazníka ani údaje Koncových uživatelů k trénování modelů umělé inteligence nebo strojového učení a neumožňuje to ani svým poskytovatelům AI.

6. Povinnosti a prohlášení Zákazníka

6.1 Právní základ. Zákazník prohlašuje, že má a po celou dobu, kdy Poskytovatel zpracovává Osobní údaje zákazníka, bude mít platný právní základ podle Použitelných předpisů o ochraně osobních údajů pro zpracování, k němuž dává Pokyny, včetně předávání popsaného v článku 14.

6.2 Informování. Zákazník poskytuje Koncovým uživatelům všechny informace vyžadované články 13 a 14 GDPR a dalšími Použitelnými předpisy o ochraně osobních údajů, včetně kategorií údajů shromažďovaných prostřednictvím Služby, využití zpracovatele, předávání mimo EHP a, pokud je Zákazník využívá, propojování aktivity Koncových uživatelů napříč jeho aplikacemi a webovými stránkami na základě IP adres (část D Přílohy I). Poskytovatel zveřejňuje popis údajů shromažďovaných SDK a vzorový odstavec do zásad ochrany osobních údajů na https://voidhash.com/legal/sdk-data.

6.3 Souhlas a ukládání v zařízení. Stanovisko Poskytovatele k souhlasu se zpracováním prováděným prostřednictvím SDK je následující; za posouzení ve svých konkrétních poměrech odpovídá Zákazník jako správce:

(a) Zpracování nákupů. Ověřování účtenek a transakcí, obnova nákupů, určování oprávnění (entitlementů) a identifikátory a ukládání v zařízení, které jsou k těmto funkcím potřebné, jsou součástí služby, kterou si Koncový uživatel výslovně vyžádal, a jsou pro ni nezbytně nutné. Probíhají bez souhlasu.

(b) Analytika tržeb. Přehledy tržeb, MRR, předplatných a refundací se počítají na serverech Poskytovatele z nákupních transakcí, které se již zpracovávají podle písmene a). Nevyžadují žádné další ukládání v zařízení ani sběr událostí a fungují bez ohledu na volbu Koncového uživatele ohledně analytiky. Právní základ určuje Zákazník (zpravidla oprávněný zájem nebo plnění účetních povinností).

(c) Analytika používání. Automatické události (například otevření aplikace a zobrazení obrazovek), vlastní události, zobrazení paywallů a interakce s nimi a atributy osob mohou podle předpisů provádějících čl. 5 odst. 3 směrnice 2002/58/ES (v České republice § 89 odst. 3 zákona č. 127/2005 Sb.) vyžadovat souhlas Koncového uživatele, a to v závislosti na jurisdikci a na tom, jak je Zákazník používá. Za posouzení, zda je souhlas potřeba, za jeho získání a zaznamenání a za předání výsledku SDK pomocí ovládacích prvků popsaných na https://voidhash.com/legal/sdk-data odpovídá Zákazník. Je-li analytika používání pro Koncového uživatele vypnuta, počítají se metriky založené na zobrazeních (například míra konverze paywallu) pouze z Koncových uživatelů, u nichž je zapnuta, a mohou být neúplné.

6.4 App Tracking Transparency. SDK Poskytovatele nečte identifikátory IDFA, IDFV, Google Advertising ID ani Android ID. Nastaví-li Zákazník flow paywallu tak, aby žádalo o oprávnění App Tracking Transparency, odpovídá Zákazník za účel a znění této žádosti, za její soulad s pravidly společnosti Apple a za jakékoli sledování, které na základě tohoto oprávnění provádí.

6.5 Děti. Je-li produkt Zákazníka určen dětem nebo ví-li Zákazník, že zpracovává osobní údaje dětí, odpovídá Zákazník za dodržení příslušných pravidel, včetně článku 8 GDPR (v České republice souhlas dítěte, které dosáhlo věku 15 let, podle § 7 zákona č. 110/2019 Sb.) a amerického zákona o ochraně soukromí dětí na internetu (COPPA), a nastaví Službu tak, aby shromažďovala co nejméně údajů (například Koncové uživatele neidentifikuje e-mailem ani jménem).

6.6 Zakázané údaje. Zákazník do Služby nevkládá, a to ani ve vlastních událostech, vlastnostech, atributech osob, údajích z formulářů v paywallech, obsahu push notifikací nebo v Obsahu zákazníka:

(a) zvláštní kategorie osobních údajů (článek 9 GDPR) ani osobní údaje týkající se rozsudků v trestních věcech a trestných činů (článek 10 GDPR), včetně údajů, z nichž lze tyto kategorie dovodit (například název události prozrazující zdravotní stav);

(b) čísla platebních karet, přístupové údaje k bankovním účtům, hesla, čísla průkazů totožnosti ani přesnou polohu;

ledaže s tím Poskytovatel výslovně písemně souhlasil.

6.7 Informace v obchodech s aplikacemi. Zákazník pravdivě a úplně vyplní informace o ochraně soukromí vyžadované obchody s aplikacemi (štítky ochrany soukromí a privacy manifest v App Store, formulář Data safety v Google Play) s ohledem na Přílohu I.

6.8 Zabezpečení účtu. Zákazník udržuje v tajnosti přístupové údaje ke svému účtu, klíče API a přístupové údaje Integrací zákazníka, přiměřeně přiděluje role svým uživatelům, v přiměřené míře aktualizuje SDK a zabezpečuje vlastní systémy a koncové body, které ze Služby přijímají data.

6.9 Zákazník bez zbytečného odkladu informuje Poskytovatele, zjistí-li, že zpracování Osobních údajů zákazníka porušuje Použitelné předpisy o ochraně osobních údajů nebo tuto Smlouvu o zpracování.

7. Mlčenlivost a pracovníci

7.1 Poskytovatel umožní přístup k Osobním údajům zákazníka pouze pracovníkům, kteří jej potřebují k poskytování Služby, a jen v nezbytném rozsahu. Tito pracovníci jsou vázáni smluvní nebo zákonnou povinností mlčenlivosti, která trvá i po skončení jejich spolupráce, a jsou poučeni o svých povinnostech v oblasti ochrany osobních údajů.

7.2 Pracovníci Poskytovatele přistupují k Osobním údajům zákazníka pouze (a) za účelem poskytování, údržby a zabezpečení Služby; (b) za účelem poskytnutí podpory na žádost Zákazníka; (c) za účelem vyšetření a odstranění incidentů; a (d) ke splnění právní povinnosti.

8. Zabezpečení zpracování

8.1 Poskytovatel zavedl a udržuje technická a organizační opatření popsaná v Příloze II, aby zajistil úroveň zabezpečení odpovídající danému riziku, s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k rizikům pro práva a svobody fyzických osob (článek 32 GDPR).

8.2 Poskytovatel může opatření podle Přílohy II upravovat v souladu s vývojem technologií a hrozeb, pokud tím nesníží celkovou úroveň zabezpečení.

8.3 Zákazník bere na vědomí, že pro údaje popsané v Příloze I a za předpokladu, že dodržuje odstavec 6.6, poskytují opatření podle Přílohy II odpovídající úroveň zabezpečení. Zákazník odpovídá za opatření, která má ve své moci (odstavec 6.8).

9. Další zpracovatelé

9.1 Obecné povolení. Zákazník Poskytovateli uděluje obecné písemné povolení zapojit Další zpracovatele. Další zpracovatelé zapojení ke dni účinnosti jsou uvedeni v Příloze III a na https://voidhash.com/legal/subprocessors (dále jen „Stránka dalších zpracovatelů“).

9.2 Přenesení povinností. Předtím, než Další zpracovatel začne zpracovávat Osobní údaje zákazníka, Poskytovatel (a) posoudí, zda Další zpracovatel poskytuje dostatečné záruky zavedení vhodných technických a organizačních opatření; a (b) uzavře s ním písemnou smlouvu, která mu ukládá v podstatě stejné povinnosti na ochranu osobních údajů jako tato Smlouva o zpracování, zejména pokud jde o zabezpečení, mlčenlivost, součinnost, výmaz, audit a předávání (čl. 28 odst. 4 GDPR).

9.3 Odpovědnost. Poskytovatel odpovídá Zákazníkovi v plném rozsahu za plnění povinností každého Dalšího zpracovatele.

9.4 Oznámení změn. Poskytovatel oznámí Zákazníkovi zamýšlené přidání nebo nahrazení Dalšího zpracovatele nejméně 30 dnů předtím, než nový Další zpracovatel začne zpracovávat Osobní údaje zákazníka. Oznámení se zasílá e-mailem vlastníkům účtu Zákazníka a všem, kdo se k odběru aktualizací přihlásili podle Stránky dalších zpracovatelů, a Stránka dalších zpracovatelů se současně aktualizuje. Oznámení uvádí název Dalšího zpracovatele, účel, dotčené údaje, místo zpracování a mechanismus předávání.

9.5 Námitka. Zákazník může proti novému Dalšímu zpracovateli vznést z rozumných důvodů týkajících se ochrany osobních údajů námitku zaslanou na legal@voidhash.com do 15 dnů od oznámení. Strany námitku v dobré víře projednají; Poskytovatel může navrhnout změnu Služby nebo nastavení Zákazníka, díky které nový Další zpracovatel Osobní údaje zákazníka zpracovávat nebude. Není-li námitka vyřešena do 30 dnů od jejího doručení, může Zákazník dotčenou část Služby (nebo, nelze-li ji rozumně oddělit, smluvní vztah podle Obchodních podmínek) ukončit s účinností předtím, než nový Další zpracovatel začne Osobní údaje zákazníka zpracovávat, a Poskytovatel mu vrátí předem uhrazenou úplatu za období po ukončení. Nevznese-li Zákazník námitku ve lhůtě, považuje se Další zpracovatel za schváleného.

9.6 Naléhavé nahrazení. Musí-li být Další zpracovatel naléhavě nahrazen z důvodů, které Poskytovatel nemůže rozumně ovlivnit (například bezpečnostní incident, úpadek nebo ukončení služby Dalším zpracovatelem), může Poskytovatel zapojit náhradního Dalšího zpracovatele okamžitě a oznámí to Zákazníkovi co nejdříve. Právo Zákazníka vznést námitku podle odstavce 9.5 běží od oznámení.

9.7 Další zpracovatelé pro konkrétní funkce. Další zpracovatelé, kteří jsou na Stránce dalších zpracovatelů uvedeni jako zapojení pro konkrétní funkce, zpracovávají Osobní údaje zákazníka pouze tehdy, když Zákazník danou funkci používá.

9.8 Kopie smluv. Na žádost Zákazníka Poskytovatel poskytne kopii ustanovení o ochraně osobních údajů ze své smlouvy s Dalším zpracovatelem; obchodní a důvěrné informace mohou být začerněny.

10. Součinnost při vyřizování žádostí subjektů údajů

10.1 Poskytovatel je Zákazníkovi s ohledem na povahu zpracování nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, při plnění jeho povinnosti reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR.

10.2 Samoobslužné nástroje. Služba poskytuje tyto nástroje, které Zákazník používá jako hlavní prostředek k vyřizování žádostí:

(a) Výmaz: Koncového uživatele lze vymazat ve Studiu nebo prostřednictvím API (POST /api/v1/persons/erasures). Výmazem se odstraní jméno, e-mail, atributy a všechny rozlišovací identifikátory Koncového uživatele, jeho události, zařízení pro push notifikace, členství v kohortách, nedokončené platby, cílení feature flagů, identifikátory v historii doručení webhooků, uložená data z obchodů s aplikacemi a obsah push notifikací. Záznamy o nákupech, předplatných a tržbách se zachovají, avšak jsou navázány pouze na anonymní identifikátor osoby, aby přehledy tržeb Zákazníka zůstaly správné. Služba odešle webhook person.deleted, aby Zákazník mohl Koncového uživatele vymazat i ve svých systémech;

(b) Přístup a přenositelnost: profily osob, události a nákupy lze získat prostřednictvím API ve strukturovaném, strojově čitelném formátu; údaje, pro něž samoobslužný export neexistuje, poskytne Poskytovatel na žádost bezplatně ve strukturovaném, strojově čitelném formátu (JSON);

(c) Oprava: vlastnosti osoby lze aktualizovat voláním identify v SDK nebo prostřednictvím API;

(d) Omezení zpracování a námitka: Zákazník může vypnout shromažďování údajů v zařízení Koncového uživatele pomocí ovládacích prvků popsaných na https://voidhash.com/legal/sdk-data, přestat o Koncovém uživateli odesílat údaje prostřednictvím API a Koncového uživatele vymazat.

10.3 Žádosti doručené Poskytovateli. Obdrží-li Poskytovatel žádost subjektu údajů týkající se Osobních údajů zákazníka (například na adrese legal@voidhash.com), sám na ni nereaguje (kromě potvrzení přijetí a odkázání subjektu údajů na Zákazníka) a do 5 Pracovních dnů ji předá Zákazníkovi, lze-li Zákazníka ze žádosti zjistit. V opačném případě Poskytovatel subjektu údajů doporučí obrátit se na provozovatele dotčené aplikace nebo webových stránek.

10.4 Další součinnost. Nepostačují-li nástroje, poskytne Poskytovatel na písemnou žádost další přiměřenou součinnost. Za součinnost, která podstatně přesahuje samoobslužné nástroje, může Poskytovatel účtovat přiměřené náklady, ledaže žádost vyvolalo porušení této Smlouvy o zpracování Poskytovatelem.

10.5 Za výmaz nebo opravu údajů ve vlastních systémech a v Integracích zákazníka odpovídá Zákazník.

11. Porušení zabezpečení

11.1 Poskytovatel ohlásí Zákazníkovi Porušení zabezpečení bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl.

11.2 Ohlášení obsahuje, v rozsahu, v jakém jsou informace v dané chvíli k dispozici:

(a) popis povahy Porušení zabezpečení, včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;

(b) kontaktní místo Poskytovatele pro záležitosti ochrany osobních údajů, které může poskytnout bližší informace (legal@voidhash.com);

(c) popis pravděpodobných důsledků Porušení zabezpečení; a

(d) popis opatření, která byla přijata nebo navržena k řešení Porušení zabezpečení, včetně případných opatření ke zmírnění jeho možných nepříznivých dopadů.

Není-li možné poskytnout všechny informace současně, poskytne je Poskytovatel postupně bez dalšího zbytečného odkladu (čl. 33 odst. 3 a 4 GDPR).

11.3 Ohlášení se zasílá e-mailem vlastníkům účtu Zákazníka a může být zobrazeno i v administraci.

11.4 Poskytovatel přijme přiměřená opatření k omezení, vyšetření a odstranění Porušení zabezpečení a ke zmírnění jeho následků, vede o něm záznam a je Zákazníkovi nápomocen při plnění jeho povinností podle článků 33 a 34 GDPR, s ohledem na povahu zpracování a informace, které má k dispozici.

11.5 O ohlášení dozorovému úřadu a oznámení subjektům údajů rozhoduje Zákazník. Poskytovatel je za Zákazníka neohlašuje, ledaže to vyžaduje právní předpis nebo to Zákazník pokynem určí.

11.6 Neúspěšné pokusy nebo činnosti, které neohrozí zabezpečení Osobních údajů zákazníka (například pingy, skenování portů, odražené útoky typu odepření služby nebo neúspěšné pokusy o přihlášení), nejsou Porušením zabezpečení. Ohlášení Porušení zabezpečení není uznáním zavinění ani odpovědnosti Poskytovatele.

12. Posouzení vlivu na ochranu osobních údajů a předchozí konzultace

12.1 Poskytovatel je Zákazníkovi s ohledem na povahu zpracování a informace, které má k dispozici, nápomocen při plnění povinností podle článků 32 až 36 GDPR, zejména při provádění posouzení vlivu na ochranu osobních údajů a při konzultaci s dozorovým úřadem.

12.2 Poskytovatel tuto součinnost poskytuje především zpřístupněním této Smlouvy o zpracování a jejích příloh, Stránky dalších zpracovatelů a popisu údajů SDK na https://voidhash.com/legal/sdk-data a zodpovídáním přiměřených dotazů. Další součinnost může být zpoplatněna v přiměřené výši.

13. Doložení souladu a audity

13.1 Informace. Poskytovatel Zákazníkovi zpřístupní všechny informace potřebné k doložení souladu s článkem 28 GDPR a touto Smlouvou o zpracování. Jde zejména o tuto Smlouvu o zpracování, Přílohu II, Stránku dalších zpracovatelů a jednou za 12 měsíců o odpovědi na přiměřený písemný bezpečnostní dotazník. Poskytovatel v současnosti nedisponuje certifikacemi, jako jsou ISO/IEC 27001 nebo SOC 2; disponují-li takovými certifikacemi jeho Další zpracovatelé, může Poskytovatel na ně odkázat nebo, je-li to dovoleno, poskytnout jejich zprávy.

13.2 Audity. Nepostačují-li informace podle odstavce 13.1 k doložení souladu, vyžaduje-li to dozorový úřad nebo po Porušení zabezpečení, umožní Poskytovatel audity, včetně inspekcí, prováděné Zákazníkem nebo nezávislým auditorem pověřeným Zákazníkem, a přispěje k nim, a to za těchto podmínek:

(a) Zákazník audit písemně oznámí na adrese legal@voidhash.com nejméně 30 dnů předem a strany se předem dohodnou na jeho rozsahu, termínu a délce;

(b) audit se koná nejvýše jednou za 12 měsíců, ledaže jej vyžaduje dozorový úřad nebo následuje po Porušení zabezpečení;

(c) auditor je vázán mlčenlivostí a není soutěžitelem Poskytovatele;

(d) audit probíhá v pracovní době a nenarušuje nepřiměřeně provoz Poskytovatele; nevztahuje se na data jiných zákazníků, na informace, jejichž zpřístupnění by ohrozilo bezpečnost, ani na prostory Dalších zpracovatelů (u nichž Poskytovatel vychází z jejich vlastních auditních zpráv a smluvních práv na audit); a

(e) Zákazník nese své náklady i náklady auditora.

13.3 Zákazník Poskytovateli předá kopii auditní zprávy. Zpráva je Důvěrnou informací Poskytovatele. Poskytovatel zjištěný nesoulad odstraní bez zbytečného odkladu.

13.4 Tímto článkem nejsou dotčeny pravomoci dozorového úřadu. Poskytovatel vede záznamy o činnostech zpracování prováděných pro správce (čl. 30 odst. 2 GDPR) a na žádost spolupracuje s dozorovými úřady.

14. Předávání do třetích zemí

14.1 Místo zpracování. Další zpracovatelé Poskytovatele ukládají a zpracovávají Osobní údaje zákazníka ve východní části Spojených států amerických a požadavky prochází globální sítí společnosti Cloudflare, jak je popsáno v Příloze III. Zákazník povoluje předávání do tam uvedených zemí, které je nezbytné pro poskytování Služby.

14.2 Další předávání Poskytovatelem. Poskytovatel předává Osobní údaje zákazníka mimo EHP pouze v souladu s kapitolou V GDPR, zejména:

(a) příjemcům v zemi, na kterou se vztahuje rozhodnutí o odpovídající ochraně, včetně příjemců v USA certifikovaných v rámci pro ochranu osobních údajů mezi EU a USA (EU–US Data Privacy Framework); nebo

(b) na základě Standardních smluvních doložek (modul 3, zpracovatel–zpracovatel) uzavřených mezi Poskytovatelem a Dalším zpracovatelem, spolu s vhodnými doplňujícími opatřeními.

Podrobnosti jsou uvedeny v Příloze IV.

14.3 Zákazníci mimo EHP. Sídlí-li Zákazník v zemi mimo EHP, na kterou se nevztahuje rozhodnutí o odpovídající ochraně, jsou Standardní smluvní doložky (modul 4, zpracovatel–správce) doplněné podle Přílohy IV začleněny do této Smlouvy o zpracování a vztahují se na předávání Osobních údajů zákazníka od Poskytovatele Zákazníkovi.

14.4 Spojené království a Švýcarsko. Na Omezená předání podle britských předpisů o ochraně údajů se použije Britský dodatek a na Omezená předání podle FADP Standardní smluvní doložky s úpravami, vše podle Přílohy IV.

14.5 Změna mechanismů předávání. Pokud mechanismus předávání, na který se podle tohoto článku spoléhá, pozbude platnosti nebo přestane postačovat, Poskytovatel bez zbytečného odkladu zavede náhradní mechanismus a informuje o tom Zákazníka. Není-li náhradní mechanismus v přiměřené době k dispozici, může kterákoli strana dotčené předávání pozastavit a Zákazník může dotčenou část Služby ukončit; v takovém případě mu Poskytovatel vrátí předem uhrazenou úplatu za období po ukončení.

15. Žádosti orgánů veřejné moci

15.1 Poskytovatel nezpřístupní Osobní údaje zákazníka orgánu veřejné moci, ledaže mu to ukládá závazný právní předpis. Obdrží-li Poskytovatel právně závaznou žádost:

(a) pokusí se orgán odkázat, aby si údaje vyžádal přímo od Zákazníka;

(b) bez odkladu o ní Zákazníka informuje a předá mu kopii žádosti, nezakazuje-li to právní předpis; je-li to zakázáno, vynaloží přiměřené úsilí k získání výjimky z tohoto zákazu;

(c) posoudí zákonnost žádosti a napadne ji, pokud po pečlivém posouzení dospěje k závěru, že existují rozumné důvody považovat ji za nezákonnou podle práva, které se na něj vztahuje, podle mezinárodních závazků nebo zásad mezinárodní zdvořilosti, včetně případu, kdy je žádost v rozporu s právem Unie (článek 48 GDPR);

(d) poskytne pouze minimální množství údajů přípustné při rozumném výkladu žádosti; a

(e) žádost a svou odpověď zdokumentuje a v rozsahu, v jakém je to dovoleno, tyto informace zpřístupní Zákazníkovi.

15.2 Poskytovatel dobrovolně nevytváří mechanismy, které by orgánům veřejné moci umožňovaly přístup k Osobním údajům zákazníka. Více informací o ochraně před nezákonným mezinárodním přístupem je k dispozici na https://voidhash.com/legal/international-access.

16. Vrácení a výmaz

16.1 Za trvání smluvního vztahu. Zákazník může Osobní údaje zákazníka kdykoli exportovat prostřednictvím API a vymazat je nástroji podle odstavce 10.2. Osobní údaje zákazníka se uchovávají podle Pokynů Zákazníka a Doby uchování vymezené v Obchodních podmínkách (článek 12.6), jak je popsáno v části E Přílohy I, která rovněž stanoví, kdy může Poskytovatel za trvání smluvního vztahu údaje vymazat nebo agregovat.

16.2 Po ukončení. Po ukončení smluvního vztahu podle Obchodních podmínek platí následující, v souladu s ustanoveními článku 18 Obchodních podmínek o přenositelnosti dat a změně poskytovatele (https://voidhash.com/legal/terms) a stránkou https://voidhash.com/legal/data-portability:

(a) Zákazník může Osobní údaje zákazníka exportovat během Lhůty pro vyzvednutí vymezené v odstavci 18.9 Obchodních podmínek (nejméně 30 dnů po skončení případného přechodného období pro změnu poskytovatele); na žádost mu je Poskytovatel poskytne ve strukturovaném, běžně používaném a strojově čitelném formátu, čímž splní svou povinnost údaje vrátit;

(b) po uplynutí Lhůty pro vyzvednutí Poskytovatel do 30 dnů vymaže všechny Osobní údaje zákazníka, včetně kopií u Dalších zpracovatelů, a na žádost výmaz písemně potvrdí; a

(c) kopie v zálohách se mažou v rámci jejich pravidelné rotace a neobnovují se, ledaže jde o obnovu po havárii; v takovém případě se již vymazané údaje znovu vymažou.

16.3 Poskytovatel může Osobní údaje zákazníka uchovat, ukládá-li to právo Unie nebo členského státu, pouze po dobu, po kterou je to vyžadováno, a nadále je chrání podle této Smlouvy o zpracování. Technické záznamy (logy), které mohou obsahovat identifikátory, se mažou v rámci běžné 30denní rotace.

16.4 Tímto článkem nejsou dotčena Anonymizovaná data.

17. Odpovědnost

17.1 Odpovědnost každé ze stran vzniklá z této Smlouvy o zpracování nebo v souvislosti s ní podléhá omezením a vyloučením odpovědnosti podle Obchodních podmínek. Odpovědnost podle této Smlouvy o zpracování a podle Obchodních podmínek se posuzuje souhrnně a nesčítá se.

17.2 Odstavec 17.1 neomezuje (a) odpovědnost, kterou nelze omezit podle použitelného práva, včetně odpovědnosti za újmu způsobenou úmyslně nebo z hrubé nedbalosti nebo za újmu na přirozených právech člověka (§ 2898 zákona č. 89/2012 Sb., občanský zákoník, dále jen „občanský zákoník“); (b) odpovědnost kterékoli strany vůči subjektům údajů podle článku 82 GDPR nebo podle Standardních smluvních doložek; ani (c) vlastní odpovědnost strany za správní pokuty uložené této straně.

17.3 Odpovídají-li obě strany subjektu údajů za tutéž škodu a jedna z nich zaplatila plnou náhradu, může po druhé straně požadovat tu část náhrady, která odpovídá podílu její odpovědnosti (čl. 82 odst. 5 GDPR).

18. Přednost ujednání

18.1 V případě rozporu platí toto pořadí: (a) Standardní smluvní doložky, včetně Britského dodatku a švýcarských úprav; (b) tato Smlouva o zpracování, včetně Přílohy V ve věcech upravených Předpisy států USA o ochraně soukromí; (c) Obchodní podmínky. Objednávka Enterprise nebo podepsaný dodatek, které tuto Smlouvu o zpracování výslovně mění, mají přednost před touto Smlouvou o zpracování, nikoli však před Standardními smluvními doložkami.

18.2 Nic v této Smlouvě o zpracování ani v Obchodních podmínkách nemá měnit Standardní smluvní doložky nebo jim odporovat ani se dotýkat základních práv nebo svobod subjektů údajů.

19. Doba trvání, změny a závěrečná ustanovení

19.1 Doba trvání. Smlouva o zpracování nabývá účinnosti přijetím Obchodních podmínek a trvá, dokud Poskytovatel zpracovává Osobní údaje zákazníka, tedy i po skončení smluvního vztahu podle Obchodních podmínek až do výmazu podle článku 16. Ustanovení, která mají vzhledem ke své povaze trvat i po skončení, trvají i nadále.

19.2 Změny. Poskytovatel může tuto Smlouvu o zpracování měnit postupem pro změny podle Obchodních podmínek, včetně oznámení nejméně 30 dnů předem a práva Zákazníka změnu odmítnout a před nabytím její účinnosti smluvní vztah bezplatně ukončit. Změny vyžadované právním předpisem, rozhodnutím nebo metodikou dozorového úřadu nebo novými standardními smluvními doložkami mohou v nezbytném případě nabýt účinnosti dříve. Poskytovatel změnou nesníží celkovou úroveň ochrany Osobních údajů zákazníka. Smlouvu o zpracování podepsanou podle odstavce 1.2 lze měnit pouze písemnou dohodou, s výjimkou změn vyžadovaných právním předpisem.

19.3 Rozhodné právo a soudy. Tato Smlouva o zpracování se řídí právem a příslušností soudů podle Obchodních podmínek (právo České republiky; soudy České republiky), ledaže Standardní smluvní doložky stanoví jinak.

19.4 Jazyk. Smlouva o zpracování se vyhotovuje v českém a anglickém jazyce. Pro Zákazníky se sídlem v České republice má přednost česká verze, pro ostatní Zákazníky verze anglická.

19.5 Oddělitelnost. Je-li některé ustanovení této Smlouvy o zpracování neplatné nebo nevymahatelné, zbývající ustanovení zůstávají v platnosti a neplatné ustanovení se nahradí platným ustanovením, které se jeho účelu nejvíce blíží.

19.6 Kontakty. Pověřence pro ochranu osobních údajů jsme nejmenovali. Ve všech záležitostech ochrany osobních údajů nás kontaktujte na legal@voidhash.com. Jedinou kontaktní adresou pro záležitosti této Smlouvy o zpracování, včetně žádostí subjektů údajů, Porušení zabezpečení, bezpečnostních záležitostí, žádostí o audit a námitek proti Dalším zpracovatelům, je legal@voidhash.com. Poskytovatel zasílá oznámení podle této Smlouvy o zpracování na e-mailové adresy vlastníků účtu Zákazníka.

Pro zákazníky Enterprise, kteří tuto Smlouvu o zpracování podepisují (nepovinné):

Příloha I — Popis zpracování

A. Smluvní strany

B. Předmět, povaha a účel zpracování

1. Předmět: poskytování hostované Služby podle Obchodních podmínek.
2. Povaha zpracování: shromažďování prostřednictvím SDK a API; ukládání; uspořádání a strukturování; obohacení požadavků o přibližnou polohu odvozenou z IP adresy; párování identit; ověřování nákupů u obchodů s aplikacemi a poskytovatelů plateb; výpočet oprávnění (entitlementů); agregace a analýza pro přehledy, kohorty, experimenty a feature flagy; doručování paywallů, flows, push notifikací a webhooků; nahlížení uživateli Zákazníka; výmaz.
3. Účely: umožnit Zákazníkovi (a) ověřovat nákupy v aplikacích a na webu a spravovat předplatná a oprávnění Koncových uživatelů; (b) navrhovat, doručovat a testovat paywally, flows a komponenty; (c) měřit používání produktu a tržby; (d) provádět experimenty a používat feature flagy; (e) odesílat push notifikace a webhooky; a (f) používat funkce umělé inteligence, pokud je Zákazník používá.
4. Četnost: průběžně, po dobu používání Služby Zákazníkem.

C. Kategorie subjektů údajů

1. Koncoví uživatelé aplikací, webových stránek a jiných produktů Zákazníka, v nichž se používají SDK nebo API, včetně anonymních (nepřihlášených) uživatelů a návštěvníků.
2. Koncoví uživatelé, kteří dostávají push notifikace nebo pracují s paywally.
3. Další fyzické osoby, jejichž osobní údaje se Zákazník rozhodne zahrnout do Dat zákazníka nebo Obsahu zákazníka (například osoby na obrázcích nebo v referencích v paywallech) — nepovinné, pod kontrolou Zákazníka.

D. Kategorie osobních údajů

Vysvětlivky ke sloupci „Shromažďování“: Automaticky — shromažďuje se vždy, když se používá příslušné SDK nebo funkce; Funkce — shromažďuje se, jen pokud Zákazník příslušnou funkci používá; Pod kontrolou Zákazníka — shromažďuje se, jen pokud jej Zákazník výslovně odešle; obsah určuje Zákazník.

IP adresy. Úplná IP adresa se přijímá s každým požadavkem SDK a API a ukládá se s událostmi. Používá se (a) k odvození přibližné polohy (země, region, město a časové pásmo); (b) k zajištění bezpečnosti a předcházení podvodům a zneužití; a (c) je-li tato funkce nabízena, k rozpoznání téhož Koncového uživatele napříč vlastními aplikacemi a webovými stránkami Zákazníka (rozpoznávání identity). Poskytovatel nikdy nepropojuje Koncové uživatele napříč různými zákazníky. Zákazník tato použití uvádí ve svých vlastních informacích o zpracování osobních údajů (odstavec 6.2).

Údaje, které SDK neshromažďují: IDFA, IDFV, Google Advertising ID, Android ID, kontakty, přesná (GPS) poloha, fotografie, data z mikrofonu nebo kamery. SDK ukládají identitu a data mezipaměti lokálně v zařízení (iOS: UserDefaults; Android: SharedPreferences; web: localStorage webových stránek Zákazníka).

Zvláštní kategorie údajů: nepředpokládají se; jsou zakázány podle odstavce 6.6.

E. Doba trvání a uchovávání

1. Osobní údaje zákazníka se zpracovávají po dobu trvání smluvního vztahu podle Obchodních podmínek a do jejich výmazu podle článku 16.
2. Doba uchování má význam podle Obchodních podmínek (článek 12.6): tarif Free 3 roky; tarif Grow 5 let; tarif Enterprise podle Objednávky. Zákazník s tarifem Enterprise může sjednat dobu kratší.
3. Analytická data na úrovni událostí (události, relace, zobrazení obrazovek, vlastní události a jejich vlastnosti) se uchovávají nejméně po Dobu uchování počítanou od okamžiku, kdy každá událost nastala. Poté je Poskytovatel může vymazat nebo nahradit souhrnnými statistikami, které již neidentifikují Koncové uživatele (článek 5); není povinen je uchovávat déle.
4. Souhrnné přehledy (grafy tržeb, MRR, konverzí, retence a kohort) zůstávají k dispozici po celou dobu existence účtu Zákazníka.
5. Nákupy, transakce, předplatná a oprávnění se uchovávají po celou dobu existence účtu Zákazníka, protože na nich závisí rozhodování o přístupu a historie tržeb, ledaže Zákazník Koncového uživatele vymaže nebo účet zruší.
6. Osoby, u nichž nedošlo k žádné aktivitě déle než po Dobu uchování, mohou být vymazány.
7. Poskytovatel Zákazníkovi oznámí nejméně 30 dnů předem, že poprvé vymaže data Projektu podle bodu 3 nebo 6, aby je Zákazník mohl exportovat. Při přechodu na nižší tarif se použije Doba uchování nového tarifu, se stejnou lhůtou pro oznámení.
8. Zákazník může Koncové uživatele kdykoli vymazat (odstavec 10.2).
9. Po skončení smluvního vztahu podle Obchodních podmínek se namísto bodů 2 až 7 použije článek 16.
10. Technické záznamy (logy) a trasování, které mohou obsahovat identifikátory: 30 dnů.
11. Zálohy: mažou se v rámci jejich pravidelné rotace.

F. Nástroje k omezení zpracování

Zákazník může zpracování Osobních údajů zákazníka omezit zejména tím, že:

1. nevolá identify s e-mailovou adresou nebo jménem a používá pseudonymní externí identifikátor uživatele;
2. neodesílá vlastní události, vlastnosti ani atributy, které nepotřebuje, a nepřidává do paywallů formulářová pole;
3. vypne analytiku používání nebo automatické události, například u Koncových uživatelů, kteří neudělili souhlas, pomocí ovládacích prvků popsaných na https://voidhash.com/legal/sdk-data;
4. nezapíná funkce, které nepotřebuje (push, webhooky, Stripe, funkce umělé inteligence);
5. vymaže jednotlivé Koncové uživatele ve Studiu nebo prostřednictvím API (odstavec 10.2).

G. Předávání a příslušný dozorový úřad

1. Předávání Dalším zpracovatelům: podle Přílohy III, na základě popsaném v Příloze IV.
2. Příslušný dozorový úřad: Úřad pro ochranu osobních údajů, Pplk. Sochora 727/27, 170 00 Praha 7, https://uoou.gov.cz.

Příloha II — Technická a organizační opatření

Níže uvedená opatření popisují stav ke dni účinnosti této Smlouvy o zpracování. Poskytovatel nedisponuje žádnou bezpečnostní certifikací (například ISO/IEC 27001 nebo SOC 2) a netvrdí, že takové standardy splňuje.

1. Pseudonymizace a šifrování (čl. 32 odst. 1 písm. a) GDPR)

1.1 Data jsou při přenosu mezi SDK, API, administrací a Službou šifrována.

1.2 Poskytovatelé hostingu, které Poskytovatel využívá, šifrují uložená data.

1.3 Přístupové údaje Integrací zákazníka (například klíče App Store a Google Play, klíče Stripe, přístupové údaje APNs a FCM) jsou navíc šifrovány na úrovni aplikace.

1.4 Identifikátor předávaný společnostem Apple a Google s nákupy je odvozený token, nikoli identifikátor uživatele Zákazníka; SDK ve výchozím nastavení používají náhodné anonymní identifikátory a nečtou reklamní identifikátory zařízení.

2. Důvěrnost, integrita, dostupnost a odolnost (čl. 32 odst. 1 písm. b) GDPR)

2.1 Oddělení zákazníků. Veškerá Data zákazníka jsou přiřazena k organizaci a projektu; každý požadavek na API a každý databázový dotaz je omezen na organizaci a projekt ověřeného klíče nebo uživatele.

2.2 Řízení přístupu uživatelů Zákazníka. Přihlašování zajišťuje poskytovatel autentizace (WorkOS), a to e-mailem a heslem nebo přihlášením přes GitHub, Google nebo Microsoft a pro zákazníky Enterprise přes SSO/SAML/SCIM. Přístup ve Službě se řídí oprávněními podle rolí v rámci každé organizace. Klíče API lze zneplatnit a zobrazují dobu posledního použití.

2.3 Řízení přístupu pracovníků Poskytovatele. Přístup k produkčním systémům mají pouze oprávnění pracovníci podle zásady nejnižších nezbytných oprávnění; přístup se odebírá, jakmile již není potřeba.

2.4 Auditní záznam. Změny nastavení ve Službě se zaznamenávají do auditního záznamu dostupného Zákazníkovi (kdo, jaká entita, jaká akce a jaké změny).

2.5 Ochrana perimetru. Provoz prochází sítí Cloudflare, která zajišťuje ukončení TLS a ochranu před útoky typu odepření služby; API vyžaduje ověření a uplatňuje limity používání.

2.6 Správa tajných údajů. Produkční tajné údaje se neukládají ve zdrojovém kódu a repozitáře se prověřují na uniklé tajné údaje.

2.7 Integrita. Nákupní data se ověřují podle podepsaných transakcí společnosti Apple a oficiálních API poskytovatelů; webhooky odesílané na koncové body Zákazníka jsou podepsány pomocí HMAC, aby Zákazník mohl ověřit jejich původ.

3. Obnova dostupnosti a přístupu (čl. 32 odst. 1 písm. c) GDPR)

3.1 Databáze zálohují poskytovatelé spravovaných databází; zálohy se uchovávají po omezenou dobu a mažou se v rámci jejich pravidelné rotace.

3.2 Poskytovatel na bezpečnostní incidenty reaguje jejich omezením, vyšetřením a odstraněním a informuje Zákazníky podle článku 11.

4. Pravidelné testování, posuzování a hodnocení (čl. 32 odst. 1 písm. d) GDPR)

4.1 Každá změna kódu prochází před nasazením revizí a automatickými testy a kontrolami v rámci průběžné integrace.

4.2 Závislosti se automaticky prověřují na známé zranitelnosti.

4.3 Velká část kódu Služby a všechna SDK jsou otevřeným softwarem a lze je veřejně přezkoumat.

4.4 Zranitelnosti lze hlásit na legal@voidhash.com; hlášení se třídí a opravují podle závažnosti.

5. Organizační opatření

5.1 Pracovníci jsou vázáni mlčenlivostí (článek 7).

5.2 Další zpracovatelé se vybírají po posouzení jejich bezpečnostních postupů a postupů ochrany osobních údajů a jsou vázáni smlouvami o zpracování (článek 9).

5.3 Technické záznamy (logy) a trasování se uchovávají 30 dnů.

5.4 Záměrná ochrana soukromí: SDK nečtou reklamní identifikátory; nepovinné údaje (e-mail, jméno, atributy, údaje z formulářů) se shromažďují jen tehdy, když je Zákazník odešle; Koncové uživatele lze vymazat samoobslužným nástrojem.

6. Opatření k zajištění součinnosti se Zákazníkem

Nástroje popsané v odstavci 10.2 a v části F Přílohy I.

Příloha III — Další zpracovatelé

Aktuální seznam Dalších zpracovatelů, včetně změn oznámených podle článku 9, je veden na https://voidhash.com/legal/subprocessors. Níže uvedený seznam odpovídá stavu ke dni účinnosti této Smlouvy o zpracování; je-li Stránka dalších zpracovatelů novější, má přednost.

Příloha IV — Mechanismy předávání do třetích zemí

1. Přehled

Poskytovatel se při pravidelném předávání nespoléhá na výjimky podle článku 49 GDPR.

2. Stav rámce Data Privacy Framework

Rámec EU–US Data Privacy Framework zůstává v platnosti. Tribunál zamítl žalobu proti němu ve věci T-553/23 Latombe v. Komise dne 3. září 2025; proti rozsudku bylo podáno odvolání (věc C-703/25 P), o kterém dosud nebylo rozhodnuto. Poskytovatel řízení sleduje a jako záložní mechanismus využívá Standardní smluvní doložky (odstavec 14.5).

3. Předávání Dalším zpracovatelům (modul 3)

Předávání Dalším zpracovatelům se řídí Standardními smluvními doložkami (modul 3) nebo podmínkami založenými na DPF ve smlouvách Poskytovatele s jednotlivými Dalšími zpracovateli. Poskytovatel u každého předání posuzuje právo a praxi země určení, s přihlédnutím k doplňujícím opatřením podle Přílohy II (šifrování při přenosu a šifrování uložených dat, šifrování přístupových údajů na úrovni aplikace, řízení přístupu, minimalizace údajů a postup podle článku 15), a příslušné informace Zákazníkovi poskytne na žádost.

4. Modul 4 (Poskytovatel → Zákazník mimo EHP)

Uplatní-li se odstavec 14.3, doplňují se Standardní smluvní doložky (modul 4) takto:

(a) Strany: Poskytovatel je vývozcem, Zákazník dovozcem; (b) Doložka 7 (přistoupení): použije se; (c) Doložka 11 písm. a): nepovinné znění se nepoužije; (d) Doložka 17: Standardní smluvní doložky se řídí právem České republiky; (e) Doložka 18: spory rozhodují soudy České republiky; (f) Příloha I.A a I.B: Příloha I této Smlouvy o zpracování; (g) Příloha II (je-li použitelná): Příloha II této Smlouvy o zpracování.

5. Britský dodatek

Na Omezená předání podle britských předpisů o ochraně údajů se Standardní smluvní doložky doplňují Britským dodatkem, vyplněným takto: tabulka 1 — strany a kontakty podle části A Přílohy I; tabulka 2 — výše zvolené moduly a varianty doložek; tabulka 3 — Přílohy I až III této Smlouvy o zpracování; tabulka 4 — Britský dodatek může ukončit dovozce i vývozce, jak umožňuje jeho oddíl 19.

6. Švýcarské úpravy

Na Omezená předání podle FADP platí, že: (a) příslušným dozorovým úřadem je švýcarský federální pověřenec pro ochranu údajů a informací (FDPIC), pokud se předání řídí FADP; (b) odkazy na GDPR se vykládají jako odkazy na FADP, pokud se předání řídí FADP; (c) pojem „členský stát“ v doložce 18 písm. c) nelze vykládat tak, aby subjekty údajů ve Švýcarsku nemohly uplatnit nároky v místě svého obvyklého pobytu; a (d) rozhodné právo a příslušnost soudů zůstávají podle výše uvedeného.

Příloha V — Dodatek pro předpisy států USA o ochraně soukromí

1. Působnost a definice

1.1 Tato příloha se použije v rozsahu, v jakém Poskytovatel zpracovává Osobní údaje zákazníka, na něž se vztahuje kalifornský zákon o ochraně soukromí spotřebitelů z roku 2018 ve znění kalifornského zákona o právech na soukromí z roku 2020 a jeho prováděcí předpisy (Cal. Civ. Code § 1798.100 a násl. a Cal. Code Regs. tit. 11, § 7000 a násl.) (dále jen „CCPA“), nebo jiné komplexní předpisy států USA o ochraně soukromí, včetně předpisů států Virginie, Colorado, Connecticut, Utah, Texas, Oregon a dalších států se srovnatelnou úpravou (dále společně jen „Předpisy států USA o ochraně soukromí“).

1.2 Pojmy „business“, „business purpose“, „commercial purpose“, „consumer“, „contractor“, „deidentified“, „personal information“, „sell“, „share“, „service provider“ a „processor“ mají význam podle příslušného Předpisu státu USA o ochraně soukromí. „Osobní údaje zákazníka“ zahrnují i osobní informace (personal information) zpracovávané podle této přílohy.

2. Postavení stran

2.1 Pro účely CCPA je Zákazník podnikem (business) a Poskytovatel poskytovatelem služeb (service provider) (Cal. Civ. Code § 1798.140(ag)). Pro účely ostatních Předpisů států USA o ochraně soukromí je Zákazník správcem (controller) a Poskytovatel zpracovatelem (processor).

2.2 Zákazník Poskytovateli zpřístupňuje Osobní údaje zákazníka pouze k omezeným a určeným obchodním účelům uvedeným v článku 3.

3. Určené obchodní účely

Poskytovatel zpracovává Osobní údaje zákazníka pouze k poskytování Služby Zákazníkovi podle Obchodních podmínek a části B Přílohy I, a to: ověřování nákupů a správa předplatných a oprávnění; doručování paywallů, flows a komponent; měření používání produktu a tržeb pro Zákazníka; provádění experimentů a feature flagů; odesílání push notifikací a webhooků; poskytování funkcí umělé inteligence na žádost Zákazníka; poskytování podpory; a k účelům, které Cal. Code Regs. tit. 11, § 7050(a) dovoluje poskytovatelům služeb, včetně zajištění bezpečnosti a předcházení podvodům, ladění a zlepšování Služby bez vytváření profilů pro poskytování služeb jinému podniku.

4. Povinnosti poskytovatele služeb (Cal. Civ. Code § 1798.100(d) a § 1798.140(ag); Cal. Code Regs. tit. 11, § 7051(a))

Poskytovatel:

(a) Osobní údaje zákazníka neprodává (sell) ani nesdílí (share);

(b) Osobní údaje zákazníka neuchovává, nepoužívá ani nezpřístupňuje k jiným účelům než k obchodním účelům určeným v článku 3, včetně jakýchkoli jiných obchodních (commercial) účelů, ledaže to CCPA jinak dovoluje;

(c) Osobní údaje zákazníka neuchovává, nepoužívá ani nezpřístupňuje mimo přímý obchodní vztah mezi Poskytovatelem a Zákazníkem;

(d) Osobní údaje zákazníka nekombinuje s osobními informacemi, které získá od jiné osoby nebo jejím jménem nebo které shromáždí z vlastní interakce se spotřebitelem, ledaže to CCPA a jeho prováděcí předpisy dovolují;

(e) plní povinnosti, které mu jako poskytovateli služeb ukládá CCPA, a poskytuje stejnou úroveň ochrany soukromí, jakou CCPA vyžaduje od podniků, mimo jiné zavedením přiměřených bezpečnostních opatření (Příloha II) a součinností se Zákazníkem při vyřizování žádostí spotřebitelů (článek 10);

(f) oznámí Zákazníkovi nejpozději do 5 Pracovních dnů, že dospěl k závěru, že již nemůže plnit své povinnosti podle CCPA;

(g) přiznává Zákazníkovi právo činit přiměřené a vhodné kroky k zajištění, aby Poskytovatel používal Osobní údaje zákazníka v souladu s povinnostmi Zákazníka podle CCPA, mimo jiné prostřednictvím informací a auditů podle článku 13; a

(h) přiznává Zákazníkovi právo po oznámení činit přiměřené a vhodné kroky k zastavení a nápravě neoprávněného použití Osobních údajů zákazníka.

5. Subdodavatelé

Poskytovatel zapojuje subdodavatele (Další zpracovatele) podle článku 9, oznamuje je Zákazníkovi a zavazuje je písemnými smlouvami, které jim ukládají povinnosti podle této přílohy.

6. Žádosti spotřebitelů

Poskytovatel umožňuje Zákazníkovi vyřizovat žádosti spotřebitelů nástroji podle odstavce 10.2 a informuje Zákazníka o žádostech, které obdrží, podle odstavce 10.3. Poskytovatel není povinen vymazat osobní informace, uplatní-li se výjimka podle Cal. Civ. Code § 1798.105(d); v takovém případě o tom Zákazníka informuje.

7. Deidentifikované informace

Vytváří-li Poskytovatel z Osobních údajů zákazníka deidentifikované informace (článek 5), (a) přijme přiměřená opatření, aby informace nebylo možné přiřadit ke spotřebiteli nebo domácnosti; (b) veřejně se zaváže, že informace bude uchovávat a používat pouze v deidentifikované podobě a nebude se je pokoušet opětovně identifikovat; a (c) smluvně zaváže každého příjemce ke stejným požadavkům (Cal. Civ. Code § 1798.140(m)).

8. Povinnosti zpracovatele podle ostatních Předpisů států USA o ochraně soukromí

V rozsahu, v jakém se použijí ostatní Předpisy států USA o ochraně soukromí (například Va. Code § 59.1-579, Colo. Rev. Stat. § 6-1-1305, Conn. Gen. Stat. § 42-521, Tex. Bus. & Com. Code § 541.104 a Utah Code § 13-61-301), Poskytovatel:

(a) zpracovává Osobní údaje zákazníka pouze na základě Pokynů Zákazníka, které stanoví povahu a účel zpracování, druh údajů, dobu trvání a práva a povinnosti obou stran (tato Smlouva o zpracování a Příloha I);

(b) zajistí, aby každá osoba zpracovávající Osobní údaje zákazníka byla vázána povinností mlčenlivosti;

(c) na pokyn Zákazníka Osobní údaje zákazníka po skončení poskytování služeb vymaže nebo vrátí, ledaže jejich uchování vyžaduje právní předpis (článek 16);

(d) zpřístupní veškeré informace, které má k dispozici a které jsou potřebné k doložení souladu, a umožní přiměřená posouzení prováděná Zákazníkem nebo jím určeným posuzovatelem a bude při nich spolupracovat, případně alternativně nejméně jednou ročně na své náklady zajistí posouzení svých opatření kvalifikovaným a nezávislým posuzovatelem a na žádost poskytne jeho zprávu (článek 13);

(e) zapojuje subdodavatele pouze na základě písemné smlouvy, která jim ukládá stejné povinnosti, a poté, co Zákazníkovi umožnil vznést námitku (článek 9);

(f) je Zákazníkovi s ohledem na povahu zpracování nápomocen při vyřizování žádostí spotřebitelů o výkon práv, při plnění povinností týkajících se zabezpečení a oznamování narušení bezpečnosti a při provádění posouzení ochrany údajů (data protection assessments) (články 10 až 12).

9. Prohlášení

Poskytovatel prohlašuje, že rozumí omezením podle této přílohy a bude je dodržovat.

10. Žádný prodej ani sdílení

Strany berou na vědomí, že zpřístupnění Osobních údajů zákazníka Poskytovateli ze strany Zákazníka není prodejem (sale) ani sdílením (sharing) osobních informací a že Zákazník za ně od Poskytovatele nedostává žádnou peněžitou ani jinou hodnotnou protihodnotu.