Smlouva o zpracování osobních údajů

Verze: ltd-1 · Účinnost: ode dne převodu provozu služeb BlazeHost na BLAZEHOST LIMITED (čl. 15.1 VOP)

Závazné je české znění této smlouvy; anglické znění je překladem. V případě rozporu jazykových verzí má přednost české znění.

uzavřená podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 a čl. 28 UK GDPR (dále společně jen „GDPR“; odkazy na články GDPR se vztahují na oba předpisy v rozsahu, v jakém se na zpracování použijí) mezi

Zákazníkem služeb BlazeHost jako správcem (dále jen „Správce“)

a

BLAZEHOST LIMITED, Company number 17523509, England and Wales, se sídlem 27 Old Gloucester Street, London, WC1N 3AX, United Kingdom, jako zpracovatelem (dále jen „Zpracovatel“).

Kontakt Zpracovatele pro ochranu osobních údajů: [email protected]. Zástupce v EU podle čl. 27 GDPR zatím nebyl jmenován; ve všech záležitostech ochrany osobních údajů se lze obracet na [email protected].

1. Předmět a uzavření smlouvy

1.1. Tato smlouva upravuje zpracování osobních údajů, které Správce ukládá nebo jinak zpracovává v rámci služeb poskytovaných Zpracovatelem podle Všeobecných obchodních podmínek služeb BlazeHost (dále jen „VOP“), zejména na herních serverech, v Discord botech, na VPS, Cloud VPS, dedikovaných serverech a ve webhostingu (dále jen „Služby“).

1.2. Tato smlouva je součástí smlouvy o poskytování Služeb a je uzavřena současně s ní. Nezpracovává-li Správce v rámci Služeb osobní údaje, nebo je zpracovává výhradně pro osobní či domácí potřebu (čl. 2 odst. 2 písm. c) GDPR), použije se tato smlouva přiměřeně.

1.3. Zpracování údajů o samotném Zákazníkovi (zákaznický účet, platby, podpora) není předmětem této smlouvy; v tomto rozsahu je Zpracovatel samostatným správcem podle Zásad zpracování osobních údajů.

1.4. Smlouvy o zpracování osobních údajů uzavřené s dosavadním provozovatelem služeb BlazeHost, Jiřím Vitákem, IČO 21766177, přešly spolu se smlouvami o poskytování Služeb ke dni převodu provozu na Zpracovatele (čl. 15.1 VOP); ode dne převodu se řídí touto smlouvou. Zpracovatel o tom Správce informuje oznámením o převodu. Správce, který s převodem nesouhlasí, může smlouvu o poskytování Služeb ukončit postupem podle čl. 15.1 VOP.

2. Povaha, účel a doba zpracování

2.1. Povaha zpracování: uložení, hostování a zpřístupnění dat na infrastruktuře Zpracovatele, provoz virtualizace a síťové konektivity, automatické zálohy dat herních služeb (havarijní zálohy: 7 denních a 4 týdenní, viz Příloha 1), zálohy databází herních služeb (nejvýše 30 dní) a vytváření záloh na pokyn Správce (do počtu dle tarifu), filtrace síťového provozu v rámci ochrany proti DDoS útokům, zasílání provozních upozornění personálu Zpracovatele a výmaz dat po skončení Služby.

2.2. Účel zpracování: poskytování Služeb podle smlouvy o poskytování Služeb. Zpracovatel nezpracovává osobní údaje pro vlastní účely.

2.3. Kategorie osobních údajů: určuje výhradně Správce obsahem, který ve Službě ukládá; typicky identifikační a kontaktní údaje, přihlašovací údaje, herní přezdívky a identifikátory, IP adresy, komunikace a obsah vytvořený uživateli Správce. Zvláštní kategorie osobních údajů (čl. 9 GDPR) a údaje o rozsudcích v trestních věcech (čl. 10 GDPR) smí Správce ve Službách zpracovávat pouze na vlastní odpovědnost a tehdy, zajistí-li v rámci Služby odpovídající dodatečná opatření (zejména šifrování); Služby nejsou pro takové zpracování zvlášť určeny ani certifikovány.

2.4. Kategorie subjektů údajů: zejména hráči, uživatelé a návštěvníci webů a aplikací Správce, zákazníci, zaměstnanci a spolupracovníci Správce.

2.5. Doba zpracování: po dobu poskytování Služby a dále po dobu nezbytnou k výmazu dat podle čl. 9.

3. Pokyny Správce

3.1. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, a to i pokud jde o předání osobních údajů do třetí země nebo mezinárodní organizaci, ledaže mu zpracování ukládá právo EU, členského státu nebo Spojeného království, které se na Zpracovatele vztahuje; v takovém případě Správce o tomto požadavku informuje před zpracováním, ledaže to právní předpis zakazuje (čl. 28 odst. 3 písm. a) GDPR).

3.2. Doloženými pokyny jsou tato smlouva, smlouva o poskytování Služeb, nastavení a úkony, které Správce provede v Panelu nebo v administraci Služby, a pokyny zaslané e-mailem z adresy zákaznického účtu nebo tiketem.

3.3. Zpracovatel Správce neprodleně informuje, pokud podle jeho názoru určitý pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.

4. Mlčenlivost

4.1. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje (personál Zpracovatele) zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti (čl. 28 odst. 3 písm. b) GDPR). Personál přistupuje k datům Správce pouze v rozsahu nezbytném pro poskytování Služby, řešení závady nebo incidentu, nebo v případech podle Pravidel přijatelného užívání.

5. Zabezpečení

5.1. Zpracovatel přijme technická a organizační opatření podle čl. 32 GDPR uvedená v Příloze 1. Správce odpovídá za zabezpečení toho, co v rámci Služby sám spravuje (operační systém VPS a dedikovaného serveru, aplikace, hesla, přístupová práva, šifrování a zálohy vlastních dat).

5.2. Zpracovatel může opatření měnit, nesníží-li se tím celková úroveň zabezpečení.

6. Další zpracovatelé

6.1. Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Aktuální seznam je uveden v Příloze 2.

6.2. O zamýšlené změně (přidání nebo nahrazení dalšího zpracovatele) Zpracovatel Správce informuje e-mailem nebo v Panelu nejméně 30 dní předem. Správce může proti změně ze závažných důvodů týkajících se ochrany osobních údajů vznést námitku; nedojde-li k dohodě, je Správce oprávněn dotčenou Službu vypovědět ke dni účinnosti změny a Zpracovatel mu vrátí nevyčerpanou část předplacené ceny dotčené Služby ve formě kreditu, na žádost Spotřebitele v penězích.

6.3. Zpracovatel uloží dalšímu zpracovateli smluvně stejné povinnosti na ochranu osobních údajů, jaké stanoví tato smlouva, a odpovídá Správci za plnění povinností dalšího zpracovatele (čl. 28 odst. 4 GDPR).

7. Součinnost při výkonu práv subjektů údajů a dalších povinnostech

7.1. Zpracovatel Správci pomáhá vhodnými technickými a organizačními opatřeními plnit povinnost reagovat na žádosti o výkon práv subjektů údajů (čl. 28 odst. 3 písm. e) GDPR). Správce má k datům ve Službě přímý přístup (Panel, SFTP, administrace Služby) a žádosti zpravidla vyřizuje sám. Obdrží-li Zpracovatel žádost subjektu údajů přímo, předá ji bez zbytečného odkladu Správci a sám ji nevyřizuje.

7.2. Zpracovatel Správci pomáhá zajistit plnění povinností podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace), a to s ohledem na povahu zpracování a informace, které má k dispozici (čl. 28 odst. 3 písm. f) GDPR). Součinnost přesahující běžný rozsah (zejména rozsáhlé dohledávání v datech Služby nebo součinnost nevyvolaná porušením povinností Zpracovatele) může Zpracovatel účtovat podle ceny, kterou Správci předem sdělí a Správce ji odsouhlasí.

8. Porušení zabezpečení osobních údajů

8.1. Zjistí-li Zpracovatel porušení zabezpečení, které se týká dat Správce, ohlásí je Správci bez zbytečného odkladu, pokud možno do 48 hodin od zjištění, e-mailem na adresu zákaznického účtu (čl. 33 odst. 2 GDPR).

8.2. Ohlášení obsahuje v rozsahu, v jakém jsou informace k dispozici: popis povahy porušení, dotčené Služby, pravděpodobné důsledky, přijatá a navrhovaná opatření a kontaktní osobu. Informace, které nejsou k dispozici hned, Zpracovatel doplní postupně.

8.3. Ohlášení porušení dozorovému úřadu příslušnému pro Správce a subjektům údajů je povinností Správce; Zpracovatel mu k tomu poskytne potřebnou součinnost.

9. Ukončení zpracování, výmaz a vrácení údajů

9.1. Po skončení poskytování Služby Zpracovatel data Správce vymaže (čl. 28 odst. 3 písm. g) GDPR), v souladu s VOP:

• VPS, Cloud VPS, webhosting a dedikované servery: po skončení zaplaceného období nebo při nedostatku kreditu se Služba pozastaví a po uplynutí ochranné lhůty, která činí nejméně 7 dní, se data nevratně smažou;
• herní servery a Discord boti: pozastavená Služba se po uplynutí ochranné lhůty, která činí nejméně 14 dní, smaže. Zálohy vytvořené Správcem v Panelu se smažou spolu se Službou. Havarijní zálohy Zpracovatele (čl. 2.1) se uchovávají ještě nejvýše 30 dní po smazání Služby a poté se automaticky smažou; zálohy databází Služby se smažou nejpozději 14 dní po smazání databáze nebo Služby. Během této doby je Zpracovatel použije jen k obnově po havárii nebo na žádost Správce a nikomu je nezpřístupní.

Přesná ochranná lhůta je uvedena v objednávce a v potvrzení objednávky.

O pozastavení a v předstihu uvedeném v objednávce i před smazáním Zpracovatel Správce informuje e-mailem.

9.1a. Na žádost Správce Zpracovatel havarijní zálohy smazané Služby vymaže dříve.

9.2. Vrácení údajů zajišťuje Správce sám tím, že si data před skončením Služby stáhne prostřednictvím Panelu, SFTP nebo administrace Služby. Na žádost doručenou před smazáním Zpracovatel poskytne přiměřenou součinnost; delší uchování dat je možné jen po předchozí dohodě, zpravidla za úhradu ceny Služby za dobu prodloužení.

9.3. U dedikovaných serverů Zpracovatel před předáním hardwaru dalšímu zákazníkovi zajistí bezpečný výmaz datových nosičů (přepsáním dat nebo kryptografickým výmazem; nelze-li výmaz spolehlivě provést, nosič fyzicky zlikviduje).

9.4. Zpracovatel data nevymaže, ukládá-li mu jejich uchování právní předpis EU, členského státu nebo Spojeného království; o tom Správce informuje.

10. Informace a audity

10.1. Zpracovatel Správci na žádost poskytne informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audity včetně inspekcí prováděných Správcem nebo jím pověřeným auditorem vázaným mlčenlivostí (čl. 28 odst. 3 písm. h) GDPR).

10.2. Audit je třeba ohlásit nejméně 30 dní předem, lze jej provést nejvýše jednou za 12 měsíců (ledaže k němu vede porušení zabezpečení nebo pokyn dozorového úřadu), v běžné pracovní době a tak, aby nebyl narušen provoz ani nebyla ohrožena data jiných zákazníků. Náklady auditu nese Správce. Audit v prostorách datového centra se řídí pravidly jeho provozovatele a lze jej provést jen v rozsahu, který provozovatel datového centra umožní; jinak Zpracovatel poskytne dostupnou dokumentaci provozovatele.

11. Odpovědnost a závěrečná ustanovení

11.1. Odpovědnost stran za škodu vzniklou porušením této smlouvy se řídí čl. 82 GDPR a VOP.

11.2. Správce odpovídá za to, že pro zpracování osobních údajů, které ve Službách provádí, má platný právní základ a že subjekty údajů řádně informoval.

11.3. V otázkách neupravených touto smlouvou platí VOP. V případě rozporu mezi touto smlouvou a VOP v otázkách ochrany osobních údajů má přednost tato smlouva.

11.4. Tato smlouva se řídí právem Anglie a Walesu; tím nejsou dotčena kogentní ustanovení GDPR a ochrana, kterou Spotřebiteli poskytují kogentní předpisy státu jeho obvyklého pobytu (čl. 14 VOP). Zpracovatel ji může měnit postupem podle kapitoly 12 VOP.

Účinnost: ode dne převodu provozu služeb BlazeHost na BLAZEHOST LIMITED (verze ltd-1).

Příloha 1 – Technická a organizační opatření

• Fyzická bezpečnost: servery Zpracovatele jsou umístěny (kolokace) v datovém centru firstcolo FRA4 ve Frankfurtu nad Mohanem, Německo; fyzickou ochranu prostor, napájení a chlazení zajišťuje provozovatel datového centra podle svých pravidel. K hardwaru mají přístup pouze osoby pověřené Zpracovatelem.
• Oddělení zákazníků: každá Služba běží v odděleném prostředí (kontejner herního serveru, virtuální stroj, samostatný webhostingový účet); přístupové údaje jsou jedinečné pro každou Službu.
• Řízení přístupu: přístup personálu podle rolí a oprávnění, princip nejnižších oprávnění, povinné dvoufázové ověření pro personál, auditní záznam úkonů personálu v Panelu (uchováván 365 dní).
• Ochrana přístupových údajů: hesla uživatelů jsou ukládána jako hash; hesla ke Službám a přístupové klíče k infrastruktuře jsou v databázi šifrována.
• Šifrování přenosu: Panel a administrace Služeb jsou dostupné pouze přes HTTPS/TLS; přístup k souborům přes SFTP.
• Síťová bezpečnost: filtrace provozu a ochrana proti DDoS útokům na síťové vrstvě (L3/L4), firewall infrastruktury, správní přístup k infrastruktuře omezený na oprávněné osoby.
• Aktualizace: pravidelné bezpečnostní aktualizace hostitelských systémů a aplikací pro správu Služeb.
• Logování a detekce: aplikační logy uchovávané 14 dní, monitoring dostupnosti infrastruktury.
• Zálohy: u herních služeb havarijní záloha dat Služby (nejnovější záloha, 7 denních a 4 týdenní; po smazání Služby nejvýše 30 dní), zálohy databází herních služeb šifrované na straně Zpracovatele (7 plánovaných, nejvýše 30 dní; 3 ruční; po smazání databáze nebo Služby nejvýše 14 dní) a ruční zálohy v Panelu do počtu dle tarifu. Zálohy se ukládají na úložišti záloh, které Zpracovatel sám provozuje v datovém centru firstcolo FRA4, Frankfurt nad Mohanem (EU). U VPS, Cloud VPS a dedikovaných serverů zálohy (snapshoty) vytváří Správce sám. Uvedené hodnoty jsou výchozí nastavení; Zpracovatel je nezvýší bez změny této smlouvy.
• Řešení incidentů: postup pro zjištění, vyhodnocení a ohlášení porušení zabezpečení podle čl. 8 této smlouvy.
• Výmaz: automatický výmaz Služeb po uplynutí lhůt podle čl. 9.

Příloha 2 – Seznam dalších zpracovatelů

Data Služeb a jejich zálohy ukládá Zpracovatel na vlastní infrastruktuře v datovém centru firstcolo FRA4, Frankfurt nad Mohanem (EU); úložiště záloh provozuje Zpracovatel sám, bez dalšího zpracovatele. Zpracovatel je usazen ve Spojeném království, pro které Evropská komise přijala rozhodnutí o odpovídající ochraně (čl. 45 GDPR); o toto rozhodnutí se opírá přístup personálu Zpracovatele k datům uloženým v EU. Do dalších třetích zemí se dostávají pouze údaje zpracovávané společnostmi Resend, Inc., Cloudflare, Inc. a Discord Inc. (USA) v rozsahu uvedeném v tabulce; předání se opírá o rozhodnutí Evropské komise o odpovídající ochraně pro rámec EU-U.S. Data Privacy Framework (čl. 45 GDPR) u certifikovaných příjemců, jinak o standardní smluvní doložky (čl. 46 odst. 2 písm. c) GDPR) uzavřené v rámci smluvních podmínek těchto dodavatelů; pro předání ze Spojeného království se použijí odpovídající nástroje podle UK GDPR (UK Extension k EU-U.S. Data Privacy Framework nebo International Data Transfer Addendum). Software pro správu Služeb (Pterodactyl/Wings, Proxmox, Convoy, Enhance) provozuje Zpracovatel na vlastní infrastruktuře; jeho výrobci k datům Správce přístup nemají.