Dodatek o zpracování údajů

1. Role a rozsah

Tento dodatek je součástí Podmínek služby. Klient je správcem a THEFOCUS LTD zpracovatelem osobních údajů zpracovávaných v klientském pracovním prostoru, v reklamních účtech, správcích tagů a analytických nástrojích Klienta a v exportech z CRM, které nám jsou předány („Osobní údaje Klienta“). Příloha 1 popisuje zpracování. Je-li Klient sám zpracovatelem pro jiného správce, jednáme za stejných podmínek jako jeho další zpracovatel.

Tento dodatek splňuje článek 28 UK GDPR a tam, kde se uplatní, článek 28 GDPR EU a ustanovení o zpracovatelích dalších zákonů o ochraně údajů na trzích, kde působíme.

2. Naše povinnosti jako zpracovatele

• Osobní údaje Klienta zpracovávat pouze na základě doložených pokynů Klienta, včetně smlouvy a používání aplikace Klientem, nestanoví-li zákon jinak. V takovém případě Klienta před zpracováním informujeme, pokud to zákon nezakazuje. Klientovi oznámíme, pokud se domníváme, že určitý pokyn porušuje právní předpisy o ochraně údajů.
• Zajistit, aby každý, kdo je oprávněn je zpracovávat, byl vázán mlčenlivostí.
• Uplatňovat technická a organizační opatření uvedená v příloze 2.
• Využívat další zpracovatele pouze podle oddílu 3.
• S ohledem na povahu zpracování být Klientovi nápomocni při vyřizování žádostí subjektů údajů a při plnění jeho povinností v oblasti zabezpečení, ohlašování porušení, posouzení vlivu a předchozí konzultace s dozorovými úřady.
• Bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozvíme, oznámit Klientovi porušení zabezpečení osobních údajů týkající se Osobních údajů Klienta, s informacemi, které Klient potřebuje ke splnění svých vlastních ohlašovacích povinností.
• Po skončení poskytování služeb do 30 dnů podle volby Klienta Osobní údaje Klienta vymazat nebo vrátit a vymazat existující kopie, pokud nám zákon neukládá je uchovávat.
• Zpřístupnit informace potřebné k doložení souladu a umožnit audity prováděné Klientem nebo auditorem, kterého Klient pověří, s výpovědní lhůtou 30 dnů, za podmínek mlčenlivosti a nejvýše jednou ročně, pokud porušení nebo dozorový úřad nevyžaduje jinak.

3. Další zpracovatelé

Klient uděluje obecné oprávnění k zapojení dalších zpracovatelů popsaných na naší stránce Další zpracovatelé; aktuální jmenný seznam je k dispozici v klientském přehledu a na vyžádání. O novém dalším zpracovateli informujeme v aplikaci nejméně 30 dní předem. Klient může vznést námitku z oprávněných důvodů ochrany údajů; pokud námitku nedokážeme vyřešit, může Klient dotčenou službu bez sankce ukončit. Každému dalšímu zpracovateli ukládáme podmínky ochrany údajů, které neposkytují nižší ochranu než tento dodatek, a za jeho plnění odpovídáme.

4. Mezinárodní předávání

Osobní údaje Klienta předáváme mimo Spojené království pouze na základě britských předpisů o odpovídající ochraně, britského rozšíření rámce EU-US Data Privacy Framework, dohody ICO o mezinárodním předávání údajů (International Data Transfer Agreement) nebo britského dodatku ke standardním smluvním doložkám EU.

Pokud se Klient nachází v EHP, opírá se předávání nám o rozhodnutí Evropské komise o odpovídající ochraně pro Spojené království; pokud toto rozhodnutí přestane platit, začleňují se odkazem standardní smluvní doložky EU (modul dva, případně modul tři, je-li Klient zpracovatelem), přičemž rozhodným právem a místem řešení sporů pouze pro tyto doložky je Irsko. Pokud se Klient nachází ve Švýcarsku, platí tytéž doložky se švýcarskými úpravami. Pro ostatní trhy na vyžádání podepíšeme podmínky předávání, které vyžaduje právo Klienta, například standardní smlouvy podle turecké KVKK nebo čínského PIPL.

5. Zvláštní kategorie údajů a citlivé cílení

Klient nesmí do aplikace nahrávat zvláštní kategorie údajů (například údaje o zdraví), údaje o trestných činech ani údaje dětí a nesmí dávat pokyny k cílení založenému na citlivých charakteristikách.

6. Odpovědnost a doba trvání

Odpovědnost podle tohoto dodatku podléhá omezením uvedeným v Podmínkách služby. Tento dodatek trvá po dobu, po kterou zpracováváme Osobní údaje Klienta.

Příloha 1: Popis zpracování

• Předmět a doba trvání: poskytování služeb po dobu trvání smlouvy a 30denní období ukončení.
• Povaha a účel: plánování a provoz kampaní, optimalizační signály v reálném čase do kampaní Klienta, konfigurace měření a sledování, reporting a podpora.
• Subjekty údajů: zaměstnanci Klienta jako uživatelé a jeho potenciální zákazníci a zákazníci, jak jsou zastoupeni v reklamních, analytických a CRM datech.
• Kategorie údajů: jména a firemní kontaktní údaje uživatelů Klienta; online identifikátory, hashované kontaktní údaje používané k párování konverzí na platformách, agregované metriky kampaní a fáze leadů v CRM.
• Doba uchovávání: podle Zásad ochrany osobních údajů a oddílu 2.

Příloha 2: Technická a organizační opatření

• Povinné vícefaktorové ověření pro všechny účty, s jednorázovými obnovovacími kódy uloženými pouze jako hash.
• Přístup zaměstnanců založený na rolích a principu nejnižších oprávnění, přezkoumávaný při změně rolí.
• Oddělení klientských pracovních prostorů vynucované v aplikaci i na úrovni databáze.
• Šifrování při přenosu pomocí aktuálního TLS a šifrování v klidu pro databáze, soubory a zálohy.
• Distribuované, šifrované poskytování služeb ve více než 125 zemích.
• Auditní záznamy bezpečnostně relevantních akcí, do kterých lze pouze přidávat (append-only).
• Žádné ukládání hesel k reklamním účtům; přístup pouze prostřednictvím uživatelských nebo partnerských oprávnění platformy.
• Podepsané webhooky a příjem dat chráněné proti opakovanému přehrání.
• Automatizované skenování tajných údajů a testy před každým vydáním.
• Postup reakce na incidenty s definovanou eskalací a oznamováním klientům.