Smlouva o zpracování osobních údajů

U osobních údajů obsažených v dokumentech, které nahráváte, a u údajů, které zadáváte o svých příjemcích, podepisujících, klientech a členech („Zákaznická data“), jste správcem vy a my jsme zpracovatelem. Podrobnosti zpracování stanoví Příloha I (článek 11).

Jsme samostatným správcem údajů o účtu, fakturaci, bezpečnosti a auditu, jak popisují naše Zásady ochrany osobních údajů. Na toto zpracování se tato Smlouva nevztahuje.

Zákaznická data zpracováváme pouze na základě vašich doložených pokynů, včetně předání do třetí země, ledaže nám to ukládá právo Unie nebo České republiky; v takovém případě vás o tomto právním požadavku informujeme před zpracováním, pokud to právo nezakazuje. Vašimi pokyny jsou Obchodní podmínky, tato Smlouva a úkony, které vy a vaši členové ve službě činíte (například nahrání dokumentu, odeslání k podpisu, zapnutí automatického podpisu organizace, nastavení webhooku nebo naplánování smazání).

Bez odkladu vás informujeme, pokud podle našeho názoru pokyn porušuje GDPR nebo jiný právní předpis o ochraně osobních údajů, a jeho provedení můžeme pozastavit, dokud jej nepotvrdíte nebo neupravíte.

Každá osoba oprávněná zpracovávat Zákaznická data naším jménem je vázána smluvní nebo zákonnou povinností mlčenlivosti a zpracovává Zákaznická data pouze v rozsahu nutném k poskytování a podpoře služby.

Zavádíme technická a organizační opatření uvedená v Příloze II (článek 12) a průběžně je přezkoumáváme s ohledem na stav techniky, náklady na provedení a rizika zpracování. Opatření můžeme aktualizovat, pokud se úroveň ochrany nesníží.

Udělujete obecné povolení k zapojení dalších zpracovatelů uvedených na stránce Sub‑procesoři. Před přidáním nebo nahrazením dalšího zpracovatele vás informujeme alespoň 30 dnů předem e‑mailem vlastníkovi účtu a aktualizací této stránky. V této lhůtě můžete z rozumných důvodů týkajících se ochrany osobních údajů vznést námitku. Nemůžeme‑li nabídnout rozumnou alternativu, můžete dotčenou službu ukončit; vrátíme vám platby za zbytek zaplaceného období.

Každému dalšímu zpracovateli ukládáme písemnou smlouvou povinnosti ochrany osobních údajů zajišťující stejnou úroveň ochrany jako tato Smlouva a za plnění jejich povinností vám plně odpovídáme.

Zákaznická data zpracováváme v Evropské unii. Je‑li další zpracovatel propojen se subjektem mimo Evropský hospodářský prostor a přístup ze třetí země nelze vyloučit, uskutečňuje se předání na základě standardních smluvních doložek Evropské komise (rozhodnutí (EU) 2021/914), modul tři (zpracovatel–zpracovatel), případně modul dva, které jsou začleněny do našich smluv s těmito dalšími zpracovateli, spolu s doplňkovými opatřeními. Posouzení dopadů předání poskytneme na vyžádání.

S přihlédnutím k povaze zpracování vám vhodnými technickými a organizačními opatřeními pomáháme plnit povinnost reagovat na žádosti subjektů údajů. Služba vám umožňuje k Zákaznickým datům přistupovat, exportovat je, opravovat a mazat sami; nelze‑li žádost vyřídit ve službě, poskytneme součinnost na vyžádání. Obrátí‑li se na nás subjekt údajů přímo ohledně Zákaznických dat, odkážeme jej na vás a informujeme vás.

Pomáháme vám při plnění povinností podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace) s přihlédnutím k informacím, které máme k dispozici.

Porušení zabezpečení Zákaznických dat vám oznámíme bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozvíme. Oznámení popisuje povahu porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky, přijatá nebo navrhovaná opatření a kontaktní místo a doplňujeme je, jakmile jsou k dispozici další informace.

Zákaznická data můžete kdykoli během trvání Smlouvy a během 30denní ochranné lhůty po naplánování smazání exportovat z nastavení jako archiv ZIP. Po skončení smlouvy probíhá výmaz podle harmonogramu v našich Zásadách ochrany osobních údajů, k němuž nám tímto dáváte pokyn: 30denní ochranná lhůta, poté výmaz všech souborů dokumentů, nepodepsaných dokumentů, šablon, záznamů klientů a brandingu, poté uchování důkazů o podpisu podepsaných dokumentů (jméno, e‑mailová adresa, IP adresa, identifikátor prohlížeče, čas a otisk dokumentu podepisujícího a jméno a e‑mailová adresa příjemce) spolu s auditním záznamem odolným proti manipulaci po dobu 7 let, po jejímž uplynutí jsou vymazány. Toto uchování slouží vašemu a našemu oprávněnému zájmu na možnosti doložit uzavřený podpis. Písemné potvrzení o výmazu poskytneme na vyžádání.

Poskytujeme vám informace nezbytné k doložení souladu s čl. 28 GDPR a umožňujeme audity včetně inspekcí prováděné vámi nebo auditorem, kterého pověříte a proti němuž nemáme důvodné námitky, s písemným oznámením 30 dnů předem, v pracovní době a nejvýše jednou ročně, ledaže porušení zabezpečení nebo dozorový úřad vyžadují jinak. Žádost o audit můžeme uspokojit aktuálním písemným popisem našich opatření nebo zprávou třetí strany, je‑li k dispozici. Náklady auditu nesete vy, neodhalí‑li audit podstatné porušení této Smlouvy.

Každá strana odpovídá druhé podle čl. 82 GDPR a Obchodních podmínek; omezení odpovědnosti v Obchodních podmínkách se vztahuje i na tuto Smlouvu, s výjimkou odpovědnosti, kterou podle GDPR nebo českého práva omezit nelze.

Tato Smlouva trvá, dokud pro vás zpracováváme Zákaznická data. Řídí se právem České republiky. Je zveřejněna v češtině a v angličtině; přednost má česká verze.

• Předmět: poskytování bezpečného sdílení dokumentů, sběru elektronických podpisů, vyplňování formulářů, klientských prostorů, šablon, přístupu přes API a auditního záznamu.
• Doba trvání: doba předplatného a dále harmonogram výmazu a doby uchování podle článku 9.
• Povaha a účel: ukládání, přenos, zobrazování, doručování jednorázových kódů, e‑mailová oznámení, vkládání podpisů a hodnot polí, generování podepsaných PDF a certifikátů, doručování událostí webhooků na adresy, které nastavíte, a auditní záznam odolný proti manipulaci, výhradně za účelem poskytování služby vám.
• Typy osobních údajů: jména, e‑mailové adresy, IP adresy, identifikátory prohlížečů, obrázky podpisů a napsané podpisy, hodnoty zadané do polí dokumentů, jazyková předvolba a jakékoli osobní údaje, které zahrnete do nahraných dokumentů nebo záznamů klientů (mohou zahrnovat zvláštní kategorie údajů, rozhodnete‑li se je nahrát; za právní základ odpovídáte vy).
• Kategorie subjektů údajů: vaši členové a pracovníci, vaši klienti a jejich pracovníci a příjemci a podepisující, které zvete.
• Další zpracovatelé: podle stránky Sub‑procesoři.

• Důvěrnost (čl. 32 odst. 1 písm. a) a b)): šifrování TLS při přenosu; šifrování v klidu u poskytovatele hostingu; přísná izolace tenantů — každý databázový dotaz je omezen na organizaci podle relace ověřené na serveru; řízení přístupu podle rolí (vlastník, administrátor, člen) vynucované na serveru; tokeny sdílení, jednorázové kódy, tokeny relací a API klíče ukládané pouze jako otisky; externí přístup k souborům výhradně přes řízený přístup, nikdy přímými odkazy do úložiště; přísná politika Content Security Policy; databázové role s nejnižšími oprávněními pro aplikaci a pro údržbu.
• Integrita (čl. 32 odst. 1 písm. b)): auditní záznam pouze pro připisování vynucený databází a hashově řetězený po organizacích; otisk SHA‑256 každé verze dokumentu se při sdílení zafixuje a před podpisem ověří; podepsané dokumenty se ukládají jako neměnné samostatné objekty a jejich stav se nemůže vrátit zpět; podepisování je transakční a chráněné proti souběžnému odeslání.
• Dostupnost a odolnost (čl. 32 odst. 1 písm. b) a c)): spravovaná PostgreSQL a objektové úložiště v regionech EU s redundancí na úrovni poskytovatele; procesy výmazu ověřují odstranění z úložiště před smazáním záznamů; omezení počtu požadavků u přihlašování, jednorázových kódů a API.
• Pravidelné testování (čl. 32 odst. 1 písm. d)): automatizované sady testů izolace tenantů, podepisování, retence a fakturační logiky spouštěné před každým nasazením; bezpečnostní revize každé změny; aktualizace závislostí.
• Organizační: přístup do produkce mají pouze osoby provozující službu, s individuálními přihlašovacími údaji a tajnými klíči drženými výhradně na serveru; další zpracovatelé vázáni písemnými podmínkami zpracování; žádosti týkající se ochrany osobních údajů vyřizované v zákonných lhůtách.