GDPR a zpracovatelský rámec

Účelem tohoto dokumentu je popsat, jak Diriqo přistupuje ke zpracování osobních údajů při poskytování SaaS služby zákazníkům. Dokument má sloužit jako praktický rámec pro B2B klienty, bezpečnostní dotazníky, procurement a budoucí zpracovatelské smlouvy.

Tento dokument nenahrazuje individuální smlouvu, pokud je se zákazníkem uzavřena samostatná DPA, rámcová smlouva nebo enterprise dodatek. V takovém případě má konkrétní smluvní ujednání přednost.

Zákazník je zpravidla správcem osobních údajů, které do Diriqo vkládá za účelem řízení svého provozu. Určuje účel zpracování, rozsah dat, oprávnění uživatelů a právní základ vůči svým pracovníkům, zákazníkům nebo dalším subjektům údajů.

Diriqo je v tomto vztahu zpravidla zpracovatelem, protože osobní údaje zpracovává podle pokynů zákazníka a za účelem poskytování služby. V některých oblastech však Diriqo vystupuje jako samostatný správce.

Jako zpracovatel Diriqo zpracovává osobní údaje pouze pro účely poskytování, zabezpečení, podpory a provozu služby, případně podle doložených pokynů zákazníka. Diriqo nepoužívá data zákazníka pro vlastní samostatné obchodní účely mimo rámec služby, pokud k tomu nemá odpovídající právní důvod.

Zpracování může zahrnovat ukládání, zobrazení, přenos, zálohování, logování, technickou podporu, řešení incidentů a další operace nezbytné pro fungování SaaS platformy.

Diriqo vystupuje jako správce například při správě vlastních zákaznických účtů, fakturaci, komunikaci se zákazníky, vedení obchodních záznamů, provozu veřejného webu, bezpečnosti služby, interním reportingu, marketingové komunikaci nebo plnění právních povinností.

V těchto případech Diriqo určuje účely a prostředky zpracování samo a postupuje podle zásad uvedených v dokumentu Ochrana osobních údajů.

Kategorie údajů závisí na způsobu používání služby zákazníkem. Diriqo může zpracovávat zejména kontaktní a identifikační údaje, údaje o pracovních rolích, směnách, docházce, zakázkách, zákaznících, adresách, nabídkách, fakturách, fotografiích, komunikaci, interních poznámkách, auditních záznamech a technických metadatech.

Zákazník by neměl do služby vkládat zvláštní kategorie osobních údajů nebo vysoce citlivá data, pokud to není nezbytné pro jeho vlastní zákonný účel a pokud k tomu nemá odpovídající právní základ a interní pravidla.

Podle nastavení zákazníka mohou být ve službě zpracovávány osobní údaje těchto kategorií subjektů údajů:

• pracovníci, zaměstnanci, spolupracovníci, technici nebo členové provozních týmů zákazníka,
• zákazníci zákazníka, kontaktní osoby, objednatelé, zástupci firem a příjemci nabídek,
• dodavatelé, externí partneři nebo osoby zapojené do realizace zakázek,
• uživatelé aplikace, administrátoři, vlastníci účtů a osoby komunikující s podporou Diriqo.

Hlavním účelem zpracování je umožnit zákazníkovi používat Diriqo pro řízení zakázek, lidí, docházky, fotografií, komunikace, nabídek, fakturace a provozních přehledů.

Dalšími účely jsou technický provoz služby, správa přístupů, bezpečnost, audit, prevence zneužití, zákaznická podpora, zálohování, obnova po incidentu, plnění právních povinností a přiměřené zlepšování služby.

Diriqo používá přiměřená technická a organizační opatření odpovídající povaze služby a rizikům zpracování. Patří sem zejména řízení přístupů, role a oprávnění, šifrovaná komunikace, oddělení prostředí, logování, monitoring, zálohování, princip minimálního přístupu a procesy pro řešení bezpečnostních událostí.

Bezpečnostní opatření se mohou měnit podle vývoje služby, používané infrastruktury a aktuálních rizik. Diriqo vynakládá přiměřené úsilí, aby opatření odpovídala modernímu SaaS provozu.

Diriqo může využívat další zpracovatele pro hosting, databáze, autentizaci, platby, e-mailové doručování, monitoring, podporu nebo bezpečnost. Mezi používané nebo připravované poskytovatele mohou patřit Supabase, Vercel, Stripe, Mailgun, Resend a další infrastruktura.

Diriqo se snaží používat poskytovatele, kteří poskytují přiměřené smluvní, bezpečnostní a organizační záruky. Zákazník bere na vědomí, že konkrétní seznam subzpracovatelů se může vyvíjet spolu se službou.

Pokud Diriqo zjistí bezpečnostní incident, který se týká osobních údajů zpracovávaných pro zákazníka, vyhodnotí jeho povahu, rozsah a pravděpodobné dopady. Pokud incident představuje porušení zabezpečení osobních údajů ve smyslu GDPR, Diriqo bude zákazníka informovat bez zbytečného odkladu v rozsahu potřebném pro splnění jeho povinností.

Oznámení může obsahovat dostupný popis incidentu, dotčené kategorie údajů, pravděpodobné dopady, přijatá nebo navrhovaná opatření a kontaktní místo pro další komunikaci, pokud jsou tyto informace v dané fázi známé.

Zákazník může podle dostupných funkcí služby exportovat vybraná data. Diriqo může poskytovat exporty v rozsahu a formátu odpovídajícím technickým možnostem, tarifu a povaze dat.

Po ukončení služby mohou být data zákazníka smazána, anonymizována nebo ponechána po přiměřenou retenční dobu v zálohách, technických záznamech nebo účetních a bezpečnostních záznamech. Uchování je omezeno na účely, pro které je nezbytné nebo právně vyžadované.

Někteří poskytovatelé nebo jejich subdodavatelé mohou zpracovávat osobní údaje mimo EU nebo EHP. Pokud k takovému přenosu dochází, Diriqo používá dostupné právní mechanismy, například rozhodnutí o odpovídající ochraně, standardní smluvní doložky nebo jiná vhodná opatření.

Při výběru infrastruktury se Diriqo snaží zohledňovat bezpečnost, stabilitu, dostupnost, datovou ochranu a potřeby B2B zákazníků.

Zákazník odpovídá za zákonnost dat, která do Diriqo vkládá, za informování dotčených osob, za určení právních základů zpracování a za nastavení interních pravidel pro používání služby.

Zákazník by měl do služby vkládat pouze data, která jsou potřebná pro jeho provozní účely, udržovat je aktuální, nastavovat přístupy podle rolí a zajistit, aby službu používaly pouze oprávněné osoby.

Zákazník odpovídá za správu uživatelských účtů, hesel, rolí a oprávnění ve své organizaci. Přístupy by měly odpovídat principu nejnižších potřebných oprávnění a měly by být pravidelně kontrolovány.

Při odchodu pracovníka, změně role nebo podezření na zneužití účtu by měl zákazník přístup bez zbytečného odkladu odebrat nebo upravit. Bezpečnost služby je sdílená odpovědnost Diriqo a zákazníka.

Dotazy k GDPR, bezpečnosti nebo budoucímu DPA workflow posílejte na support@diriqo.com. Provozovatel: JSPD Holding s.r.o., IČO 23415738, Riegrova 17, 779 00 Olomouc.