Smlouva o zpracování osobních údajů

1. Smluvní strany

• Správce: Zákazník podle Obchodních podmínek (podnik).
• Zpracovatel: upIT s. r. o., se sídlem Pribinova 17954/10, 811 09 Bratislava, Slovensko, IČO 35 947 713, DIČ 2022045432, IČ DPH SK2022045432, zapsaná v obchodním rejstříku Městského soudu Bratislava III, oddíl Sro, vložka č. 36984/B.

2. Předmět, účel a doba zpracování

• Účel: analýzy z dat pokladny a nákladů, statistiky QR menu, QR kampaně se soukromou zpětnou vazbou a digitální věrnostní karty — výhradně k poskytování objednané služby správci.
• Doba: po dobu trvání smlouvy o službě a do vymazání nebo vrácení údajů po jejím skončení.

3. Kategorie subjektů údajů a údajů

• Zaměstnanci správce: jméno nebo označení obsluhy v exportu z pokladny, tržby, storna a slevy podle obsluhy, směny; pokud je správce poskytne, i mzdy.
• Hosté — věrnostní karty: jméno, e-mail, volitelně telefon a den a měsíc narození, souhlasy, historie návštěv.
• Hosté — QR kampaně: text zpětné vazby, hodnocení a dobrovolně zadaný kontakt.
• Hosté — QR menu: denní pseudonymní identifikátor (vzniká z IP adresy a údajů o prohlížeči, které se neukládají), jazyk, zdroj a číslo stolu z QR kódu, čas zaokrouhlený na minutu; jen do nočního sloučení do denních součtů bez identifikátoru.
• Zvláštní kategorie údajů (například o zdraví) nezpracováváme; správce nám je neposkytne.

4. Povinnosti zpracovatele

• Údaje zpracováváme jen podle zdokumentovaných pokynů správce; těmi jsou Obchodní podmínky, objednávka a nastavení v aplikaci. Pokud považujeme pokyn za nezákonný, upozorníme na to.
• Osoby, které mají k údajům přístup, jsou vázány mlčenlivostí.
• Přijímáme přiměřená technická a organizační opatření: šifrované spojení, hesla uložená jako hash, přístup podle rolí, záznamy přístupů, hosting v EU, denní zálohy; jména hostů neposíláme AI službám a poskytovatel AI nesmí údaje použít k trénování modelů.
• Na žádost správce nahradíme jména zaměstnanců ve Výstupech kódy.
• Pomůžeme správci vyřídit žádosti subjektů údajů a splnit povinnosti podle čl. 32 až 36 GDPR.
• Porušení zabezpečení osobních údajů oznámíme správci bez zbytečného odkladu poté, co se o něm dozvíme, aby ho správce stihl ohlásit úřadu v zákonné lhůtě 72 hodin.
• Správci poskytneme informace potřebné k prokázání plnění této smlouvy a umožníme audit po předchozím oznámení, nejvýše jednou ročně.

5. Další zpracovatelé

Správce uděluje obecný souhlas s těmito dalšími zpracovateli: Railway (hosting a databáze, EU), Resend (e-maily hostům, např. „Vaše karta“) a Anthropic (Claude v komerčním plánu podle obchodních podmínek společnosti Anthropic, ve kterém analyzujeme data z pokladny a exporty z pokladny ukládáme v projektu; USA, předání na základě standardních smluvních doložek nebo rámce EU–USA pro ochranu údajů, údaje nepoužije k trénování). Změnu seznamu oznámíme e-mailem nejméně 30 dní předem; správce proti ní může vznést námitku a při nesouhlasu smlouvu vypovědět.

6. Povinnosti správce

• Má k poskytnutí údajů právní základ a subjekty údajů (zaměstnance, hosty) o zpracování informoval.
• Poskytuje jen údaje potřebné pro službu.

7. Skončení a výmaz údajů

Po skončení služby údaje podle volby správce vrátíme nebo vymažeme, nejpozději do 90 dní, pokud právní předpis nevyžaduje jejich další uchování. V zálohách se vymažou uplynutím lhůty záloh (89 dní). Údaje hostů z věrnostních karet, zpětné vazby a QR menu se kromě toho mažou průběžně podle lhůt v Ochraně osobních údajů.