Smlouva o zpracování osobních údajů

Poslední aktualizace: 14. října 2026

Tato smlouva upravuje, jak baseray zpracovává osobní údaje pro své firemní zákazníky, jak to vyžaduje článek 28 GDPR. Je součástí našich obchodních podmínek a vztahuje se automaticky na každého firemního zákazníka od chvíle, kdy službu začne používat. Podpis není potřeba. Pokud potřebujete vyhotovení podepsané oběma stranami, napište na [email protected].

1. Definice

• Zákazník, vy: firma, která přijala naše obchodní podmínky.
• baseray, my: poskytovatel služby baseray.
• Osobní údaje zákazníka: osobní údaje, které vy nebo vaši členové vložíte do služby a které pro vás zpracováváme. Popisuje je příloha 1.
• GDPR: nařízení (EU) 2016/679. Ostatní pojmy, například správce, zpracovatel, porušení zabezpečení osobních údajů a dozorový úřad, mají význam podle GDPR.
• Další zpracovatel: firma, kterou zapojíme do zpracování osobních údajů zákazníka.

2. Kdo je správcem jakých údajů

• Správcem osobních údajů zákazníka jste vy: koho pozvete do pracovního prostoru a s jakou rolí, seznamy potenciálních zákazníků a uložené budovy, které vytvoří vaši členové, a jakékoli osobní údaje, které vaši členové do služby zapíší. Zpracováváme je jako váš zpracovatel.
• Správcem údajů, které sestavujeme a zveřejňujeme, jsme my: údajů o budovách a zapsaných podnikatelích v aplikaci, v API, v exportech a na veřejných stránkách. Když tyto údaje obdržíte, stáváte se samostatným správcem pro jejich vlastní použití, například při oslovení firmy. Tato smlouva se na ně nevztahuje; platí pro ně naše obchodní podmínky, zásady přípustného užívání a zákon.
• Jsme také správcem účtu každé osoby: přihlášení, zabezpečení, relací, fakturace, analytiky používání a záznamů, jak popisují zásady ochrany osobních údajů.

3. Vaše pokyny

Osobní údaje zákazníka zpracováváme pouze na základě vašich doložených pokynů. Těmi jsou naše obchodní podmínky, tato smlouva a způsob, jakým vy a vaši členové službu používáte, například když někoho pozvete, vytvoříte seznam nebo připojíte AI asistenta. Pokud se domníváme, že pokyn porušuje GDPR nebo jiný předpis o ochraně osobních údajů, upozorníme vás.

Mimo vaše pokyny zpracováváme osobní údaje zákazníka jen tehdy, když nám to ukládá právo EU nebo členského státu. V takovém případě vás o tom předem informujeme, pokud to tento právní předpis nezakazuje.

4. Vaše povinnosti

• Pro osobní údaje, které do služby vkládáte, máte právní základ a dotčeným osobám poskytujete informace, které vyžaduje zákon.
• Do služby nevkládáte zvláštní kategorie osobních údajů (článek 9 GDPR) ani údaje o odsouzeních za trestné činy.
• Vaše pokyny jsou v souladu se zákonem.

5. Mlčenlivost

Každý v baseray, kdo má přístup k osobním údajům zákazníka, je vázán mlčenlivostí a používá je pouze k poskytování služby.

6. Zabezpečení

Osobní údaje zákazníka chráníme technickými a organizačními opatřeními přiměřenými riziku (článek 32 GDPR). Shrnuje je příloha 2 a podrobněji je popisuje naše stránka o zabezpečení. Tato opatření můžeme zlepšovat, celkovou úroveň ochrany však nesnížíme.

7. Další zpracovatelé

• Udělujete nám obecné povolení zapojit další zpracovatele. Aktuální seznam je na stránce dalších zpracovatelů, kde jsou uvedeni ti, kdo zpracovávají osobní údaje zákazníka.
• Každý další zpracovatel je vázán písemnou smlouvou s povinnostmi v oblasti ochrany osobních údajů, které poskytují stejnou úroveň ochrany jako tato smlouva. Za jeho činnost vám nadále odpovídáme.
• Nového dalšího zpracovatele osobních údajů zákazníka oznámíme na této stránce nejméně 30 dní předtím, než začne. Chcete-li tato oznámení dostávat e-mailem, napište na [email protected].
• Proti novému dalšímu zpracovateli můžete z oprávněných důvodů ochrany osobních údajů vznést námitku během těchto 30 dní. Pak spolu budeme hledat řešení. Pokud žádné nebude, můžete dotčené předplatné ukončit dříve, než změna nabude účinnosti, a předplacené poplatky za období po jeho ukončení vám vrátíme.

8. Předávání mimo EU

Osobní údaje zákazníka ukládáme v EU, v regionu Poland Central služby Microsoft Azure. Někteří další zpracovatelé je zpracovávají mimo Evropský hospodářský prostor: Cloudflare přenáší provoz svou celosvětovou sítí a americká společnost Resend odesílá e-maily s pozvánkami do pracovního prostoru. U každého takového předání se opíráme o rámec ochrany osobních údajů mezi EU a USA, je-li příjemce certifikován, nebo o standardní smluvní doložky schválené Evropskou komisí (rozhodnutí (EU) 2021/914). S tímto předáváním souhlasíte.

9. Pomoc při plnění vašich povinností

• Žádosti subjektů údajů. Většinu žádostí vyřídíte ve službě sami: vlastník a administrátoři pracovního prostoru mohou odebírat členy a rušit pozvánky a členové mohou mazat seznamy a uložené budovy. Pokud potřebujete víc, pomůžeme vám vhodnými technickými a organizačními opatřeními. Pokud nás někdo kontaktuje ohledně osobních údajů zákazníka, odkážeme ho na vás a za vás neodpovídáme, ledaže nás o to požádáte.
• Posouzení a úřady. Poskytneme vám informace, které rozumně potřebujete k posouzení vlivu na ochranu osobních údajů, k předchozí konzultaci s dozorovým úřadem nebo k vyřízení žádosti úřadu.

10. Porušení zabezpečení osobních údajů

Bez zbytečného odkladu, a pokud možno do 48 hodin, poté co se dozvíme o porušení zabezpečení osobních údajů, které se týká osobních údajů zákazníka, vás informujeme. Píšeme na e-mailovou adresu vlastníka pracovního prostoru. Oznámení popisuje, v rozsahu, v jakém to v danou chvíli víme, co se stalo, kategorie a přibližný počet dotčených osob a záznamů, pravděpodobné důsledky a přijatá nebo navržená opatření. Informace doplňujeme, jakmile je zjistíme, pomáháme vám splnit vaše vlastní oznamovací povinnosti a přijímáme přiměřená opatření ke zmírnění škod.

11. Výmaz a vrácení

• Osobní údaje zákazníka můžete kdykoli smazat: smazat seznamy a uložené budovy, zrušit pozvánky, odebrat členy nebo smazat celý pracovní prostor. Smazáním pracovního prostoru se jeho údaje okamžitě odstraní z naší databáze a nelze je obnovit.
• Při ukončení smlouvy si zvolíte, zda vám osobní údaje zákazníka vrátíme, nebo je smažeme. Napište na [email protected]: pokud chcete, pošleme vám kopii v běžném strojově čitelném formátu (CSV nebo JSON) a poté údaje z naší databáze smažeme nejpozději do 30 dní od vaší žádosti.
• Údaje v zálohách naší databáze se smažou automaticky spolu s nimi, nejpozději 7 měsíců po výmazu.
• Kopii uchováme jen tehdy, když to vyžaduje právo EU nebo členského státu. Tato smlouva takovou kopii chrání i nadále.

12. Informace a audity

• Zpřístupníme vám informace potřebné k doložení, že plníme článek 28 GDPR: tuto smlouvu, stránku o zabezpečení a jednou ročně odpovědi na přiměřený bezpečnostní dotazník.
• Pokud to nestačí, můžete provést audit našeho souladu sami nebo prostřednictvím nezávislého auditora vázaného mlčenlivostí. Oznamte nám ho písemně nejméně 30 dní předem, dodržte naši pracovní dobu a omezte narušení provozu na minimum. Audit lze provést nejvýše jednou za 12 měsíců, ledaže to vyžaduje dozorový úřad nebo došlo k porušení zabezpečení osobních údajů. Každá strana nese své vlastní náklady.

13. Odpovědnost a doba trvání

• Odpovědnost každé strany podle této smlouvy podléhá omezení odpovědnosti v našich obchodních podmínkách (oddíl 16), v rozsahu, v jakém to zákon dovoluje.
• Tato smlouva platí po celou dobu, kdy pro vás zpracováváme osobní údaje zákazníka.

14. Přednost

Pro zpracování osobních údajů zákazníka má tato smlouva přednost před našimi obchodními podmínkami. Tam, kde se uplatní standardní smluvní doložky, mají přednost před touto smlouvou. Smlouva se řídí stejným právem a spadá pod stejné soudy jako naše obchodní podmínky (oddíl 20). Je k dispozici v angličtině, rumunštině a češtině; pokud se znění liší, má přednost anglické znění.

Příloha 1: Podrobnosti zpracování

Příloha 2: Bezpečnostní opatření

• Šifrování při přenosu: každé spojení s baseray.ai, app.baseray.ai a api.baseray.ai používá HTTPS.
• Šifrování uložených dat: disky s našimi databázemi šifruje Microsoft Azure.
• Zálohy: databáze se každý den kopíruje do odděleného úložiště redundantního mezi zónami ve stejném regionu, kde je uložena šifrovaně, a kopie se uchovávají nejdéle 7 měsíců. Obnova z těchto kopií byla vyzkoušena.
• Hosting v EU, v regionu Poland Central služby Microsoft Azure.
• Hesla ukládáme jako otisky bcrypt, API klíče a tokeny OAuth jako otisky SHA-256. Zpětně je přečíst nelze.
• Dvoufázové ověření pomocí ověřovací aplikace je k dispozici pro každý účet.
• Počet pokusů o přihlášení je omezen. Relace končí po 120 minutách nečinnosti, pokud nezvolíte, že chcete zůstat přihlášeni.
• Každý požadavek se ověřuje podle členů pracovního prostoru a jejich rolí. Členy a fakturaci mohou spravovat jen vlastník a administrátoři.
• AI asistenti se připojují přes OAuth 2.1 s PKCE; přístupové tokeny vyprší po jedné hodině a obnovovací tokeny se mění při každém použití.
• Údaje o kartě se zadávají přímo u Stripe a na naše servery se nikdy nedostanou.
• Přístup k internímu administračnímu panelu má jen krátký seznam jmenovitých účtů zaměstnanců.
• Konfigurační tajemství uchováváme ve správci tajemství, ne v kódu.