Zpracovatelská smlouva

Správcem je zákazník, který službu užívá, v rozsahu údajů, které do ní vložil nebo ke kterým udělil pokyn.

Zpracovatelem je Nxtrum s.r.o., se sídlem K Pasekám 2984/45, 760 01 Zlín, IČO 29533783, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, oddíl C, vložka 151755.

Není-li v této smlouvě stanoveno jinak, platí pojmy a ustanovení smluvních podmínek, zejména článek o mlčenlivosti a o odpovědnosti za újmu.

Předmětem je zpracování osobních údajů obsažených v aktivech, která správce do služby zadal, v jejich označení a zařazení a ve výsledcích kontrol těchto aktiv, a to v rozsahu, v jakém o jejich zpracování rozhoduje správce.

Povahou zpracování je uložení v databázi služby, automatizované měření veřejně dostupné konfigurace zadaných aktiv, vyhodnocení výsledku proti katalogu pravidel, zobrazení v aplikaci a odeslání upozornění na adresy, které správce určil.

Účelem je poskytování služby podle smluvních podmínek, tedy průběžná kontrola vnější konfigurace aktiv správce a informování o zjištěném stavu. K jinému účelu zpracovatel údaje nepoužije.

Kategorie subjektů: kontaktní osoby a uživatelé na straně správce; klienti správce, jejichž domény správce do služby zadal; osoby, jejichž osobní údaj je součástí veřejně publikované konfigurace kontrolované domény.

Kategorie údajů: jméno a pracovní e-mail, název domény a hostname, označení a popisky aktiv a jejich zařazení ke klientovi, IP adresy a technické záznamy naměřené u aktiva, obsah zjištění včetně důkazu. Zvláštní kategorie údajů podle čl. 9 GDPR se nezpracovávají; správce je do služby nesmí vkládat.

Zpracování trvá po dobu trvání smlouvy o poskytování služby a dále 30 dní po jejím ukončení, nejde-li o údaje, u kterých je delší doba uvedena v článku 9.

Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce. Pokynem je uzavření smlouvy, nastavení provedená správcem v aplikaci a jeho další písemné instrukce.

Zpracovatel neplní pokyn, který je v rozporu s GDPR nebo jiným právním předpisem o ochraně osobních údajů, a na takový rozpor správce bez zbytečného odkladu upozorní.

Je-li zpracovatel povinen zpracovat údaje nad rámec pokynů podle právního předpisu, informuje o tom správce před zpracováním, nezakazuje-li to tento předpis z důvodu důležitého veřejného zájmu.

Zpracovatel zajistí, aby osoby, které mají k údajům přístup, byly vázány mlčenlivostí a zpracovávaly je jen v rozsahu nutném pro plnění svých úkolů.

Ke dni účinnosti této verze mají k produkčním datům přístup pouze jednatelé zpracovatele. Další osobě přístup zpracovatel udělí až po jejím písemném zavázání mlčenlivostí, které trvá i po ukončení spolupráce.

Zpracovatel přijal s ohledem na povahu zpracování tato opatření podle čl. 32 GDPR:

• Hesla uložená jako scrypt hash s parametry v hashi; politika hesel podle NIST SP 800-63B.
• Sezení na neprůhledném 256bitovém tokenu, v databázi jen jeho HMAC; nové sezení až po úspěšném ověření.
• Oddělení dat zákazníků row-level security v databázi; aktivní organizace se drží na řádku sezení, nikdy se nebere z adresy ani z formuláře.
• Role a oprávnění vyhodnocované na serveru; chybějící a cizí záznam dávají identický výsledek.
• Limity počtu pokusů u přihlášení, registrace, obnovy hesla, ověření domény a kontaktního formuláře.
• Auditní záznam o každé změně stavu, needitovatelný z aplikace, s redakcí hodnot u klíčů obsahujících heslo, token, tajemství, cookie, autorizaci nebo hash.
• Bezpečnostní hlavičky HTTP včetně CSP, HSTS a zákazu vkládání do rámce; validace všech vstupů na serveru; parametrizované databázové dotazy.
• Skener odesílá požadavky jen na ověřená aktiva, na porty 80 a 443, s klasifikací všech rozlišených adres proti registru IANA; neukládá těla odpovědí.
• Žádná data se neposílají poskytovatelům jazykových modelů ani jiných služeb umělé inteligence.

Zpracovatel nemá certifikaci ISO/IEC 27001 ani SOC 2 a nebude ji tvrdit, dokud ji nebude mít doloženou nezávislým dokladem.

Ke dni účinnosti této verze nejsou zavedené: vícefaktorové přihlášení, ověřené obnovení ze zálohy databáze, šifrování na úrovni aplikace a nezávislý penetrační test služby. Úplný a aktuální seznam toho, co zavedené není, vede zpracovatel ve své bezpečnostní dokumentaci a poskytne jej správci na žádost.

Správce bere tento stav na vědomí při rozhodování, jaké údaje do služby vloží.

Správce dává zpracovateli obecné povolení zapojit další zpracovatele uvedené na stránce Seznam subdodavatelů. U každého z nich je uveden účel, umístění dat a stav zapojení.

Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti, jaké má podle této smlouvy, a odpovídá správci za plnění jejich povinností.

Změnu nebo zapojení nového dalšího zpracovatele oznámí zpracovatel nejméně 30 dní předem e-mailem správcům organizace a aktualizací stránky subdodavatelů. Vznese-li správce v této lhůtě odůvodněnou námitku, může smlouvu o poskytování služby vypovědět ke dni, kdy má změna nabýt účinnosti, bez sankce a s vrácením nevyužité části uhrazené ceny.

Zpracovatel je správci nápomocen při plnění žádostí subjektů údajů: žádost, která mu dojde a týká se údajů správce, předá správci bez zbytečného odkladu a sám na ni nereaguje, nejde-li o údaje, u nichž je správcem on. Na pokyn správce údaje zpřístupní, opraví, vymaže nebo omezí jejich zpracování.

O narušení bezpečnosti osobních údajů informuje zpracovatel správce bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, a poskytne mu podklady pro posouzení rozsahu — zejména auditní záznamy a záznamy o bězích kontrol — aby správce mohl splnit povinnost podle čl. 33 GDPR.

Zpracovatel je správci nápomocen při posouzení vlivu na ochranu osobních údajů a při předchozí konzultaci s dozorovým úřadem, pokud se týkají zpracování podle této smlouvy, a to poskytnutím informací, které má k dispozici.

Po ukončení smlouvy o poskytování služby zpracovatel do 30 dní osobní údaje vymaže, nebo je na žádost správce podanou v této lhůtě nejprve vydá ve strojově čitelném formátu a poté vymaže. Výmaz zahrnuje záložní kopie v nejbližším cyklu jejich obnovy.

Výjimkou jsou záznamy o potvrzení oprávnění k monitorování a auditní záznamy, které zpracovatel uchovává 36 měsíců od jejich vzniku jako doklad o zákonnosti provedených kontrol. Zpracovává je v této době jako správce na základě svého oprávněného zájmu a k jinému účelu je nepoužívá.

O provedeném výmazu vydá zpracovatel na žádost písemné potvrzení.

Zpracovatel poskytne správci na žádost informace potřebné k prokázání plnění povinností podle čl. 28 GDPR, zejména svou bezpečnostní dokumentaci a mapu zpracování.

Správce je oprávněn provést kontrolu na místě nebo prostřednictvím jím určeného auditora vázaného mlčenlivostí, a to jednou za 12 měsíců, na základě písemné žádosti podané nejméně 30 dní předem, v pracovní době a tak, aby nenarušila provoz služby. Kontrola nesmí zpřístupnit data jiných zákazníků zpracovatele.

Náklady kontroly nese správce, nezjistí-li kontrola podstatné porušení povinností zpracovatele. Mimořádnou kontrolu lze provést po narušení bezpečnosti osobních údajů i mimo uvedený interval.