Smlouva o zpracování osobních údajů

Smluvní strany#

Tato smlouva o zpracování osobních údajů se uzavírá mezi zákazníkem jako správcem a společností ProductTickler B.V., vystupující pod obchodním názvem Sellgrip, Meerwijkselaan 5, 6571 CM Berg en Dal, Nizozemsko, KvK 98314696, jako zpracovatelem („my“).

Je součástí smlouvy o užívání Sellgripu podle všeobecných obchodních podmínek (VOP). Uzavírá se tím, že ji zákazník přijme při registraci. Upravuje povinnosti podle čl. 28 GDPR.

1. Předmět a doba trvání#

Pro zákazníka zpracováváme údaje z jeho prodejního účtu na Kauflandu. Patří k nim údaje o objednávkách, vratkách a tiketech a v případě faktur také jméno a adresa kupujících.
Tato smlouva platí po dobu trvání smlouvy o užívání a poté až do výmazu údajů podle čl. 9.

2. Povaha a účel zpracování#

Účel: Zákazník v Sellgripu vyřizuje své objednávky, vratky, tikety a faktury a vyhodnocuje zisk, náklady, výplaty a ukazatele svého prodeje na Kauflandu.
Povaha: načítání přes Kaufland Seller API, ukládání, vyhodnocování, zobrazování, export a výmaz. Na pokyn uživatele (kliknutím) předáváme Kauflandu jednotlivé úkony: nahlášení odeslání a čísla zásilky, storno, vrácení peněz, rozhodnutí o vratce, odpověď na tiket nebo jeho uzavření, nahrání faktury, placený nákup přepravního štítku přes Kaufland, zaslání chybějících údajů o produktu, změnu ceny, minimální ceny, skladové zásoby, doby zpracování nebo stavu nabídky.
Faktury: Vystaví-li zákazník fakturu, načteme u Kauflandu pro tuto jednu objednávku fakturační adresu kupujícího, vytvoříme z ní fakturu ve formátu PDF, uchováme PDF jako kopii zákazníka a nahrajeme je do Kauflandu.
Tikety: Zprávy v tiketech načítáme od Kauflandu jen pro zobrazení. Jejich text neukládáme.

3. Kategorie údajů a subjekty údajů#

Kategorie údajů:

Údaje o objednávkách: čísla objednávek a položek, zboží (název, EAN, SKU), ceny, poplatky, DPH, stav, země Kauflandu, časové údaje, údaje o doručení, čísla zásilek, důvody storna. Jméno, adresu, e-mailovou adresu a telefonní číslo kupujících přitom nepřebíráme; seznam povolených polí na rozhraní ke Kauflandu propouští pouze potřebná pole.
Fakturační údaje: jméno nebo název firmy a fakturační adresa (ulice, číslo domu, PSČ, obec, země) kupujícího, pouze pokud zákazník k jeho objednávce vystaví fakturu, a pouze ve faktuře ve formátu PDF.
Údaje o vratkách: položky vratky, zboží, stav, důvod a časové údaje.
Údaje o tiketech: číslo tiketu, dotčené položky objednávky, stav, důvod, téma a čas poslední zprávy kupujícího a prodejce. Text zpráv se pouze zobrazuje, neukládá se.
Údaje o produktech, nabídkách, zaúčtováních a výplatách zákazníka.
Protokol akcí: který uživatel zákazníka kdy spustil jakou akci a s jakým výsledkem, bez textu zpráv.

Subjekty údajů:

kupující zákazníka na marketplace Kaufland
uživatelé zákazníka v Sellgripu (vlastník, zaměstnanec, účetnictví)
sám zákazník, je-li fyzickou osobou

Údaje o účtech uživatelů (jméno, e-mailová adresa, hash hesla) a vyúčtování zpracováváme jako samostatný správce. Popisují to zásady ochrany osobních údajů.

4. Pokyny#

Údaje zpracováváme pouze na základě doložených pokynů zákazníka. Pokyny jsou uvedeny v této smlouvě a ve VOP. Každá akce, kterou uživatel v Sellgripu spustí, je samostatným pokynem.
Další pokyny udílí zákazník v textové podobě na adresu privacy@sellgrip.com.
Domníváme-li se, že pokyn je protiprávní, neprodleně to zákazníkovi sdělíme. Do vyjasnění jsme oprávněni jeho provedení pozastavit.
Údaje nepoužíváme pro vlastní účely a nepředáváme je třetím osobám, s výjimkou případů podle této smlouvy nebo pokud nám to ukládá zákon.
Vyhodnocení napříč více zákazníky, ani v anonymizované podobě, neprovádíme. Pokud by se takové vyhodnocení později plánovalo, bude možné jen po změně této smlouvy.

5. Mlčenlivost#

Všechny osoby, které mají k údajům přístup, písemně zavazujeme k mlčenlivosti, pokud jim povinnost mlčenlivosti již neukládá zákon. Tento závazek trvá i po skončení jejich činnosti. Přístup mají pouze osoby, které jej potřebují pro provoz Sellgripu.

6. Zabezpečení#

Přijímáme technická a organizační opatření podle čl. 32 GDPR uvedená v příloze 1. Přizpůsobujeme je aktuálnímu stavu techniky. Opatření lze nahradit rovnocenným opatřením; úroveň ochrany se přitom nesmí snížit.

7. Další zpracovatelé#

Zákazník schvaluje další zpracovatele uvedené v příloze 2.
Chceme-li zapojit nového dalšího zpracovatele nebo stávajícího nahradit, oznámíme to zákazníkovi e-mailem nejméně 30 dnů předem. Zákazník může do 14 dnů vznést námitku z důležitého důvodu týkajícího se ochrany osobních údajů. Pokud se nedohodneme, může každá strana vypovědět smlouvu o užívání k okamžiku, kdy by změna nabyla účinnosti.
Každého dalšího zpracovatele smluvně zavazujeme ke stejným povinnostem v oblasti ochrany osobních údajů, jaké stanoví tato smlouva.
Do země mimo Evropský hospodářský prostor se údaje předávají pouze tehdy, jsou-li splněny podmínky čl. 44 až 49 GDPR.

8. Součinnost se zákazníkem#

Práva subjektů údajů: Poskytujeme zákazníkovi součinnost při vyřizování žádostí podle čl. 12 až 22 GDPR. Export (JSON) a výmaz má zákazník přímo k dispozici v nastavení. Obrátí-li se na nás subjekt údajů, předáme jeho žádost zákazníkovi.
Povinnosti podle čl. 32 až 36 GDPR: Poskytujeme zákazníkovi součinnost v rozsahu, který umožňuje povaha zpracování a informace, jež máme k dispozici, například při posouzení vlivu na ochranu osobních údajů.
Porušení zabezpečení: Porušení zabezpečení osobních údajů ohlásíme zákazníkovi bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozvíme, a to e-mailem vlastníkovi účtu. Ohlášení obsahuje údaje podle čl. 33 odst. 3 GDPR, pokud jsou známy; chybějící údaje doplníme, jakmile je budeme mít. Zákazník tak může dodržet svou vlastní lhůtu 72 hodin pro ohlášení. Neprodleně přijmeme opatření nutná k zabezpečení údajů a ke zmírnění možných následků.

9. Výmaz a vrácení#

Po dobu trvání smlouvy může zákazník kdykoli exportovat svá data ve formátu JSON a smazat svůj účet se všemi daty. Smazání účtu se považuje za pokyn k výmazu všech údajů zpracovávaných pro zákazníka. Provedeme jej ihned a v jednom kroku.
Skončí-li smlouva o užívání jiným způsobem, může zákazník svá data exportovat ještě po dobu 30 dnů. Poté je vymažeme, pokud nám zákon neukládá povinnost je uchovávat.
Zálohy se po 30 dnech automaticky mažou. Nezávisle na tom může Cloudflare databáze vrátit k libovolnému okamžiku za posledních 30 dnů; smazané údaje v nich zůstávají nejvýše po tuto dobu. Je-li obnovena záloha, provedeme automaticky znovu všechny výmazy od okamžiku jejího pořízení.
Automatický výmaz jednotlivých údajů o objednávkách po uplynutí pevné lhůty není nastaven. Údaje zůstávají uloženy, dokud nenastane případ podle odst. 1 nebo 2. Pokud takovou lhůtu zavedeme, předem to zákazníkovi oznámíme.
Faktury, které zákazník vystavil přes Sellgrip, se smažou spolu s účtem. Zákazník si je předtím stáhne, aby splnil své vlastní povinnosti k archivaci.

10. Doklady a kontroly#

Na vyžádání poskytneme zákazníkovi informace, které potřebuje k prokázání plnění povinností podle čl. 28 GDPR, zejména opatření podle přílohy 1 a seznam podle přílohy 2.
Zákazník může jednou ročně, s přiměřeným předchozím oznámením a v obvyklé pracovní době, provést kontrolu sám nebo ji nechat provést auditorem vázaným mlčenlivostí. Můžeme požadovat, aby byly nejprve přezkoumány podklady a informace. Při konkrétním podnětu, například po porušení zabezpečení, je kontrola možná i častěji.

11. Odpovědnost a závěrečná ustanovení#

Pro odpovědnost platí čl. 12 VOP. Čl. 82 GDPR zůstává nedotčen.
Jsou-li tato smlouva a VOP v otázkách ochrany osobních údajů v rozporu, má přednost tato smlouva.
Jinak platí VOP, a to i pro rozhodné právo a soudní příslušnost. Závazné je německé znění.

Příloha 1: Technická a organizační opatření#

Fyzický přístup k serverům#

Údaje se ukládají pouze v datových centrech v Evropské unii: Cloudflare Durable Objects, D1 a R2 s místem uložení v EU. Provozovatel (příloha 2) uplatňuje kontrolu vstupu a je certifikován podle ISO/IEC 27001.
Administrátorský přístup k účtu Cloudflare má pouze vedení společnosti, s dvoufázovým přihlášením. Správcovské funkce aplikace jsou dostupné pouze za Cloudflare Access a navíc s tajným klíčem. Vlastní server s přístupem přes SSH neexistuje.

Přihlášení do Sellgripu#

Hesla o délce nejméně 12 znaků, ukládaná pouze jako hash scrypt s vlastní solí pro každého uživatele.
Relace přes soubor cookie, který skripty nemohou číst (HttpOnly, SameSite=Lax, Secure). Ukládá se pouze hash klíče relace.
Relace se při používání prodlužují o 14 dnů a končí nejpozději po 90 dnech. Odhlášení a změna hesla je ukončí ihned; všechny relace lze ukončit najednou.
Odkazy pro obnovení hesla platí jednu hodinu a lze je použít pouze jednou.
Omezení počtu pokusů při přihlášení, registraci, obnovení hesla a pozvánkách, podle IP adresy i podle účtu.

Přístup k údajům#

Striktní oddělení zákazníků: kterého účtu se požadavek týká, vyplývá pouze z relace. Přístup k údajům jiného zákazníka je odmítnut. Automatizované testy to ověřují u každého rozhraní.
Tři role vynucované na serveru: vlastník (vše, včetně přístupových údajů, týmu, vyúčtování, exportu a výmazu), zaměstnanec (objednávky, vratky, tikety, faktury, náklady) a účetnictví (pouze čtení).
Testovací a ukázkové účty se nikdy nepropojují s Kauflandem.

Šifrování#

Přenos pouze přes TLS, s HSTS.
Klíče Kaufland API jsou šifrovány pomocí AES-256-GCM. Šifrovací klíč se odvozuje z tajného klíče uloženého mimo databázi. Výměna klíčů je umožněna.
Požadavky na Kaufland probíhají přes HTTPS a jsou podepsány pomocí HMAC-SHA256.

Minimalizace údajů#

Seznam povolených polí na rozhraní ke Kauflandu: jméno, adresa, e-mailová adresa a telefonní číslo kupujících se z objednávek a tiketů nepřebírají.
Fakturační adresa kupujícího se načítá pouze při vystavení faktury a ukládá se pouze ve faktuře.
Protokoly neobsahují přístupové údaje, klíče relací ani údaje kupujících; z protokolovaných adres se odstraňují jednorázové klíče.
Statistika používání neukládá IP adresu ani údaje o prohlížeči.

Dohledatelnost#

Protokol akcí pro každou akci vůči Kauflandu (uživatel, akce, čas, výsledek) a pro každou změnu v týmu (pozvánka, role, odebrání).
Oznámení od Stripe se přijímají pouze s platným podpisem.

Dostupnost a obnova#

Denní konzistentní záloha databází, šifrovaná pomocí AES-256-GCM. Uchovávají se zálohy za posledních 30 dnů. Zálohy jsou uloženy u Cloudflare (příloha 2) v úložišti R2 s místem uložení v Evropské unii. Navíc může Cloudflare databáze vrátit k libovolnému okamžiku za posledních 30 dnů.
Popsaný postup obnovy. Automatizovaný test jej při každé změně projde, včetně opětovného provedení výmazů.

Bezpečnost aplikace#

Content Security Policy s novým nonce pro každý požadavek, žádné skripty třetích stran.
Ochrana proti vložení do cizích stránek (X-Frame-Options DENY), nosniff, restriktivní Referrer Policy a Permissions Policy.
Automatizovaná typová kontrola a testy při každé změně.

Příloha 2: Další zpracovatelé#

Cloudflare, Inc., USA. Služba: provoz aplikace, databází a záloh (Cloudflare Workers, Durable Objects, D1 a R2), DNS a proxy. Místo uložení: Evropská unie. Cloudflare přijímá požadavky v datových centrech své celosvětové sítě a vidí přitom IP adresy a údaje o požadavcích, včetně obsahu, který Sellgrip do prohlížeče doručuje. Cloudflare také přijímá e-maily zaslané na naše adresy (info@, support@, privacy@sellgrip.com) a přeposílá je (Cloudflare Email Routing). Předávání do USA na základě rámce EU-US Data Privacy Framework (čl. 45 GDPR) a standardních smluvních doložek (čl. 46 odst. 2 písm. c) GDPR).
Sendinblue SAS (Brevo), 9-17 rue Salneuve, 75017 Paris, Francie. Služba: odesílání e-mailů zákazníkovi a jeho uživatelům (adresa příjemce, předmět, text). Místo zpracování: Evropská unie.

S každým dalším zpracovatelem je uzavřena smlouva podle čl. 28 odst. 4 GDPR.

Dalšími zpracovateli nejsou:

Stripe: Stripe zpracovává platby zákazníka nám a dostává k tomu pouze údaje samotného zákazníka, žádné údaje z prodejního účtu na Kauflandu a žádné údaje kupujících.
Kaufland: Kaufland je zdrojem údajů a dostává úkony, které zákazník sám spustí. Zákazník má s Kauflandem vlastní smlouvu.
Google: Google Analytics běží pouze na webových stránkách; aplikace Sellgrip jej nenačítá. Se souhlasem aplikace hlásí službě Google Analytics pouze registraci, začátek zkušební doby a první zaplacenou fakturu. Jde o údaje o účtu a vyúčtování, které zpracováváme jako samostatný správce (oddíl 3). Google nedostává žádné údaje zpracovávané pro zákazníka.

Plánováno, zatím nepoužíváno: překladová služba (DeepL nebo Anthropic) pro odpovědi v jazyce kupujícího. Zpracovávala by zprávy z tiketů. Před nasazením ji podle čl. 7 zařadíme do tohoto seznamu.