Strany a role

Provozovatel e-shopu, který objedná doplněk nebo službu Korzaro, je správcem. Shingen s.r.o., IČO 192 48 334, se sídlem Na Hřebenkách 3340/122, Smíchov, 150 00 Praha 5, je zpracovatelem. Kontakt zpracovatele je [email protected], telefon +420 603 402 154.

Tyto podmínky jsou součástí smlouvy o používání Korzara. Elektronické přijetí podmínek nebo potvrzená objednávka je písemným ujednáním mezi správcem a zpracovatelem. Podmínky platí po dobu, kdy zpracovatel poskytuje správci službu a má jeho osobní údaje.

Předmět, účel a povaha zpracování

Zpracovatel na pokyn správce čte a ukládá vybraná data e-shopu a připojených služeb, normalizuje je, počítá přehledy a připravuje upozornění a doporučení. Operace zahrnují získání, uložení, uspořádání, porovnání, agregaci, zobrazení, zálohování a výmaz. Korzaro v současném rozsahu do Shoptetu ani jiných připojených služeb nezapisuje.

Kategorie osob a údajů

Dotčenými osobami mohou být zákazníci a návštěvníci e-shopu, příjemci obchodních sdělení, kontaktní osoby dodavatelů a uživatelé účtů e-shopu. Podle zapojených funkcí může zpracování zahrnovat zejména:

• identifikátory objednávek, zákazníků a účtů, jméno a e-mail zákazníka,
• obsah a stav objednávky, zakoupené položky, ceny, slevy, dopravu a platbu,
• registrace, zákaznické skupiny a agregovanou nákupní historii,
• návštěvnost, marketingové události a pseudonymní identifikátory,
• technické a auditní údaje nutné k bezpečnému provozu.

Přesný rozsah určuje správce tím, které zdroje připojí a jaká oprávnění schválí. Zpracovatel nepoužívá údaje pro vlastní reklamu ani k rozhodování o dotčených osobách.

Pokyny správce

Za doložené pokyny se považuje instalace doplňku, nastavení připojených zdrojů, volby v Korzaru a následné písemné požadavky správce. Zpracovatel zpracovává údaje, včetně případného předání mimo EHP, pouze podle těchto pokynů. Pokud mu zpracování ukládá právo Evropské unie nebo České republiky, oznámí to správci předem, ledaže to zákon z důležitého veřejného zájmu zakazuje. Pokud má za to, že pokyn porušuje právní předpis o ochraně údajů, správce na to neprodleně upozorní a provedení může pozastavit.

Povinnosti a práva správce

Správce určuje účely a prostředky zpracování, zajišťuje pro ně platný právní základ a informační povinnost vůči dotčeným osobám a uděluje jen pokyny, které jsou v souladu s právem. Odpovídá také za to, že má oprávnění připojit e-shop a další zdroje a předat jejich údaje Korzaru. Bez předchozí písemné dohody nebude službu používat pro zvláštní kategorie údajů podle článku 9 GDPR ani pro údaje o trestních věcech podle článku 10.

Správce může pokyny měnit, žádat součinnost, informace a audit podle těchto podmínek, namítat změnu dalšího zpracovatele a po ukončení zvolit vrácení nebo výmaz osobních údajů.

Povinnosti zpracovatele

• připustit k údajům jen osoby vázané mlčenlivostí a jen v nezbytném rozsahu,
• udržovat přiměřená technická a organizační opatření popsaná v bezpečnostní příloze,
• pomoci správci přiměřeně povaze zpracování s žádostmi dotčených osob, posouzením rizik a povinnostmi podle článků 32 až 36 GDPR,
• oznámit správci porušení zabezpečení bez zbytečného odkladu po zjištění a postupně dodat známé informace o povaze, rozsahu, dopadu a nápravě,
• vést potřebnou evidenci a poskytnout správci informace nutné k doložení souladu,
• nepoužívat osobní údaje správce pro vlastní účely a po skončení služby je podle volby správce vrátit nebo vymazat.

Další zpracovatelé

Správce dává obecné písemné povolení využívat další zpracovatele potřebné k poskytování služby. Zpracovatel je smluvně zaváže nejméně stejnými povinnostmi a zůstává vůči správci odpovědný za jejich plnění. O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje správce předem; správce může z doloženého důvodu týkajícího se ochrany osobních údajů vznést námitku.

• Hetzner Online GmbH – provoz serveru a databáze v Evropské unii,
• Cloudflare, Inc. – ochrana síťového provozu a předem šifrované zálohy v evropské jurisdikci,
• Functional Software, Inc. (Sentry) – chybová diagnostika bez výchozího sběru osobních údajů, těl požadavků a lokálních proměnných,
• Resend, Inc. – doručování servisních e-mailů příjemcům určeným správcem,
• PostHog, Inc. – produktová analytika v evropském cloudu; Korzaro odesílá jen povolené názvy obrazovek, milníky a technická data, bez názvu e-shopu, adresy nebo obsahu,
• Anthropic, PBC – syntéza a formulace výstupů z podkladů, které prošly kontrolou osobních údajů; použití komerčního API se řídí jeho zpracovatelskými podmínkami.

Korzaro u PostHogu vypíná automatický sběr, nahrávání relací a cookies a respektuje Global Privacy Control a Do Not Track. Podklady pro jazykový model procházejí deterministickou kontrolou, která odmítne zákaznické jméno, e-mail, telefon, adresu a další rozpoznané osobní údaje. Tato omezení snižují rozsah předávaných údajů, nenahrazují však smluvní ochranu s uvedenými poskytovateli.

Předání mimo Evropský hospodářský prostor

Primární provoz je v Evropské unii a zálohy se před odesláním šifrují. Někteří další zpracovatelé jsou usazeni v USA nebo mohou údaje zpracovat i mimo EHP. V takovém případě zpracovatel použije platný mechanismus podle kapitoly V GDPR, zejména rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky, a na žádost sdělí, jak získat jejich kopii.

Žádosti dotčených osob

Zpracovatel žádost týkající se dat e-shopu předá správci a bez jeho pokynu na ni věcně neodpovídá, pokud mu to neukládá zákon. Správci poskytne dostupné nástroje a přiměřenou součinnost k vyhledání, opravě, exportu, omezení nebo výmazu.

Ukončení, vrácení a výmaz

Po skončení služby zpracovatel podle volby správce osobní údaje vrátí ve strukturovaném, běžně používaném formátu nebo je vymaže a odstraní existující kopie, pokud jejich uchování nevyžaduje zákon. Provozní data se po potvrzeném pokynu odstraní bez zbytečného odkladu. Starší kopie mohou zůstat pouze v předem šifrovaných zálohách, které jsou uzamčené proti změně a automaticky zaniknou nejpozději do 90 dní; do obnovy se vracejí jen při havárii a výmaz se po obnově znovu uplatní.

Kontrola

Zpracovatel na přiměřenou žádost poskytne informace a existující důkazy o opatřeních. Audit se domluví předem, nesmí ohrozit data jiných klientů, bezpečnost ani běžný provoz a správce jej provede s povinností mlčenlivosti. Pokud kontrola odhalí porušení, zpracovatel je bez zbytečného odkladu napraví.

Přednost a kontakt

Při rozporu mají tyto podmínky v otázkách zpracování osobních údajů přednost před obecnými podmínkami služby. Dotazy a pokyny posílejte na [email protected].