Smlouva o zpracování osobních údajů

1. Strany a účel smlouvy

1.1 Tuto smlouvu o zpracování osobních údajů („Smlouva o zpracování“) uzavírá Podnik jako správce osobních údajů („Správce“) a Caeli Creative, s.r.o., IČO 07606591, se sídlem Podjavorinské 1596/2, Chodov, 149 00 Praha 4, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 303605 („Kioban“), jako zpracovatel. Smlouva o zpracování je součástí smlouvy o poskytování Služby uzavřené podle Obchodních podmínek Kioban Partner („Podmínky“); pojmy s velkým písmenem mají význam podle Podmínek.

1.2 Smlouva o zpracování naplňuje požadavky čl. 28 odst. 3 nařízení (EU) 2016/679 („GDPR“) pro zpracování osobních údajů, které Kioban provádí pro Správce při poskytování Služby.

1.3 Při rozporu mezi Smlouvou o zpracování a Podmínkami má ve věcech zpracování osobních údajů přednost Smlouva o zpracování.

2. Předmět, povaha a účel zpracování

2.1 Kioban zpracovává pro Správce osobní údaje Zákazníků zapojených do Programu Správce a osobní údaje Uživatelů Správce v rozsahu, který Správce do Služby vloží nebo který při užívání Služby vznikne. Předmět, doba, povaha a účel zpracování, typy osobních údajů a kategorie subjektů údajů jsou v příloze 1.

2.2 Zpracování probíhá po dobu trvání Smlouvy a po jejím ukončení po dobu nutnou k vrácení a výmazu údajů podle čl. 11.

2.3 Kioban pro Správce nezpracovává zvláštní kategorie osobních údajů. Správce je do Služby nevkládá, zejména ne do novinek, názvů odměn a důvodů oprav.

3. Pokyny Správce

3.1 Kioban zpracovává osobní údaje pouze na základě doložených pokynů Správce. Pokyny jsou tato Smlouva o zpracování, Podmínky, nastavení Programu, Účtu a propojení, které Správce v administraci provede, úkony Uživatelů Správce ve Službě, například připsání, export nebo smazání, a případné další písemné pokyny zaslané na privacy@kioban.app.

3.2 Služba je standardizovaná. Rozsah sbíraných údajů, podobu formuláře, doby uchování, zabezpečení a poskytovatele určuje Kioban jako technické prostředky zpracování a popisuje je v této Smlouvě o zpracování; Správce je volbou Služby a jejím nastavením přijímá jako své pokyny. Požaduje-li Správce odchylku, kterou Služba neumožňuje, Kioban pokyn splnit nemůže a Správce může Smlouvu ukončit.

3.3 Má-li Kioban za to, že pokyn porušuje GDPR nebo jiný právní předpis, Správce na to bez odkladu upozorní a může pokyn pozastavit, dokud ho Správce nepotvrdí nebo nezmění.

3.4 Kioban zpracovává údaje jen pro poskytování Služby Správci. Údaje Zákazníků pro vlastní účely nepoužívá, s výjimkou souhrnných anonymizovaných statistik o užívání Služby, ze kterých nelze Zákazníka určit, zajištění bezpečnosti a ochrany proti zneužití a plnění povinností, které mu ukládá právo Unie nebo české právo; o takovém zpracování Správce předem informuje, pokud to právo nezakazuje.

4. Povinnosti Kiobanu

4.1 Kioban:

• a) zpracovává osobní údaje pouze podle pokynů Správce, včetně předání do třetí země podle čl. 6;
• b) zajistí, že osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí smluvně nebo ze zákona a jsou poučeny o ochraně údajů;
• c) přijme technická a organizační opatření podle čl. 32 GDPR popsaná v příloze 2 a udržuje je na úrovni odpovídající riziku; může je měnit, pokud se celková úroveň zabezpečení nesníží;
• d) dodržuje podmínky pro zapojení dalších zpracovatelů podle čl. 5;
• e) pomáhá Správci vhodnými technickými a organizačními opatřeními plnit povinnost reagovat na žádosti subjektů údajů podle čl. 8;
• f) pomáhá Správci plnit povinnosti podle čl. 32 až 36 GDPR, zejména při ohlašování porušení zabezpečení podle čl. 7 a při případném posouzení vlivu, s přihlédnutím k povaze zpracování a k informacím, které má k dispozici;
• g) po ukončení Smlouvy údaje vrátí a vymaže podle čl. 11;
• h) poskytne Správci informace nutné k doložení plnění povinností podle čl. 28 GDPR a umožní audity podle čl. 9;
• i) vede záznamy o činnostech zpracování prováděných pro Správce podle čl. 30 odst. 2 GDPR;
• j) neověřuje věk ani totožnost Zákazníků, nepoužívá jejich údaje k profilování ani automatizovanému rozhodování a nespojuje údaje Zákazníků různých Správců.

4.2 Správce a Kioban si vzájemně poskytují součinnost potřebnou k plnění této Smlouvy o zpracování. Součinnost nad rámec funkcí Služby, například ruční výpis údajů nebo podklady k auditu, poskytuje Kioban v přiměřené lhůtě; přesahuje-li 4 hodiny práce za kalendářní rok, může za ni účtovat přiměřenou náhradu nákladů, kterou Správci předem oznámí.

5. Další zpracovatelé

5.1 Správce uděluje Kiobanu obecné povolení zapojit do zpracování další zpracovatele. Jejich aktuální seznam s účelem, rozsahem údajů a místem zpracování je v příloze 3 a na partner.kioban.app/legal/subprocessors.

5.2 Zamýšlené přidání nebo nahrazení dalšího zpracovatele oznámí Kioban Správci e-mailem na adresu majitele Účtu nejméně 30 dní před zapojením. Správce může do 14 dnů od oznámení vznést odůvodněnou námitku na privacy@kioban.app. Strany se pokusí najít řešení; nenajdou-li ho do účinnosti změny, může Správce Smlouvu vypovědět ke dni zapojení nového zpracovatele bez sankce a s právem na vrácení poměrné části předplacené ceny. Nevznese-li Správce námitku, platí změna za schválenou.

5.3 Je-li nutné nahradit dalšího zpracovatele naléhavě z bezpečnostních nebo provozních důvodů, může Kioban zapojit náhradního zpracovatele dříve; Správce o tom informuje bez odkladu a právo námitky podle čl. 5.2 zůstává.

5.4 Kioban uloží každému dalšímu zpracovateli smlouvou povinnosti ochrany údajů přinejmenším rovnocenné této Smlouvě o zpracování, zejména dostatečné záruky zabezpečení. Neplní-li další zpracovatel své povinnosti, odpovídá Správci za jejich plnění Kioban.

5.5 Propojené služby, které Správce zapne sám, například pokladní systém, nejsou dalšími zpracovateli Kiobanu. Jde o zpracovatele nebo správce na straně Správce a Kioban jim údaje předává na pokyn Správce daný zapnutím propojení, v rozsahu popsaném u propojení.

6. Předávání do třetích zemí

6.1 Kioban ukládá údaje v databázi a úložišti v Evropské unii (Frankfurt nad Mohanem). Někteří další zpracovatelé jsou společnosti ze Spojených států nebo jejich evropské pobočky, které mohou k údajům přistupovat ze Spojených států, zejména kvůli podpoře a provozu.

6.2 Předávání do Spojených států probíhá na základě rozhodnutí Komise o odpovídající ochraně (EU-US Data Privacy Framework), je-li příjemce certifikován, jinak na základě standardních smluvních doložek podle čl. 46 odst. 2 písm. c) GDPR obsažených ve smlouvě s dalším zpracovatelem, doplněných o posouzení a případná doplňková opatření. Mechanismus u každého dalšího zpracovatele je uveden v příloze 3.

6.3 Mimo EU se předávají jen údaje nutné pro úlohu příslušného dalšího zpracovatele, zejména pro doručení Kartičky do Peněženky Apple a Google Wallet a pro ochranu formuláře proti robotům. Obsah databáze Správce se mimo EU neukládá.

6.4 Do jiných třetích zemí Kioban údaje nepředává bez předchozího souhlasu Správce, ledaže to vyžaduje právo Unie nebo členského státu.

7. Porušení zabezpečení

7.1 Zjistí-li Kioban porušení zabezpečení osobních údajů zpracovávaných pro Správce, oznámí je Správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl, e-mailem na adresu majitele Účtu a případně oznámením v administraci.

7.2 Oznámení obsahuje, pokud jsou informace známé, popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů a záznamů, pravděpodobné důsledky, přijatá nebo navrhovaná opatření a kontakt pro další informace. Informace, které nejsou k dispozici hned, Kioban doplňuje postupně.

7.3 Kioban poskytne Správci součinnost při ohlášení porušení Úřadu pro ochranu osobních údajů, které Správce provádí do 72 hodin od zjištění, a při oznámení subjektům údajů. Je-li to účelné a Správce o to požádá, zobrazí Kioban oznámení dotčeným Zákazníkům na Kartičce nebo jim pošle e-mail.

7.4 Správce oznámí Kiobanu bez odkladu na privacy@kioban.app každé porušení zabezpečení na své straně, které se může dotknout Služby, zejména ztrátu zařízení s přihlášenou aplikací pro obsluhu nebo únik exportovaných údajů.

8. Práva subjektů údajů

8.1 Žádosti Zákazníků a Uživatelů o výkon práv podle čl. 15 až 22 GDPR vyřizuje Správce. Kioban mu pomáhá takto:

• výmaz: Zákazník může Kartičku smazat sám na stránce Kartičky a Správce může údaje na Kartičce smazat v administraci; obojí vymaže jméno, e-mail, otisk telefonu, údaje o souhlasu a registrace peněženek a Kartičku zneplatní;
• odvolání souhlasu s novinkami: Zákazník sám na stránce Kartičky, Správce v administraci;
• přístup, oprava, přenositelnost, omezení a námitka: Správce požádá na privacy@kioban.app a Kioban mu do 5 pracovních dnů poskytne výpis údajů ke Kartičce ve strojově čitelném formátu, provede opravu nebo zpracování omezí.

8.2 Obdrží-li žádost Kioban, předá ji Správci do 3 pracovních dnů a žadateli sdělí, že žádost vyřizuje Správce. Sám ji vyřídí jen u práv, která Služba vyřizuje samoobslužně, tedy výmaz a odvolání souhlasu, nebo na pokyn Správce.

8.3 Totožnost žadatele ověřuje Správce. Doporučený postup: žádost z e-mailu uvedeného u Kartičky, nebo předložení kódu Kartičky a názvu Programu; u Kartičky bez e-mailu kód, Program a přibližné datum založení. Při pochybnostech lze vyžádat další ověření přiměřené povaze údajů.

9. Audit

9.1 Kioban poskytne Správci na žádost informace a dokumenty prokazující plnění této Smlouvy o zpracování, zejména popis opatření podle přílohy 2, seznam dalších zpracovatelů a shrnutí auditů nebo certifikací svých poskytovatelů.

9.2 Nestačí-li informace, může Správce nebo jím pověřený auditor vázaný mlčenlivostí provést audit nejvýše jednou za 12 měsíců, po písemném oznámení nejméně 30 dní předem, v pracovní době a tak, aby nenarušil provoz Služby ani bezpečnost údajů jiných Správců. Audit u dalších zpracovatelů se nahrazuje jejich zprávami a certifikacemi. Náklady auditu nese Správce, nezjistí-li audit podstatné porušení na straně Kiobanu.

9.3 Audit vyžadovaný dozorovým úřadem umožní Kioban kdykoli v rozsahu, který vyžaduje zákon.

10. Povinnosti Správce

10.1 Správce odpovídá za zákonnost zpracování, zejména za to, že má pro zpracování údajů Zákazníků a Uživatelů právní základ, že subjekty údajů informuje a že jeho pokyny jsou v souladu s právem.

10.2 Správce zejména:

• a) před vydáním první Kartičky vyplní v Účtu pravdivé identifikační údaje (obchodní firma nebo jméno, IČO, sídlo, kontaktní e-mail), aby je Služba zobrazila Zákazníkům v informaci o zpracování údajů a v Podmínkách programu, a udržuje je aktuální;
• b) používá údaje Zákazníků jen pro svůj Program a komunikaci s ním spojenou;
• c) posílá obchodní sdělení jen Zákazníkům se souhlasem, podle čl. 7.4 Podmínek, a odhlášení promítá do Služby;
• d) informuje své Uživatele, tedy zaměstnance a spolupracovníky, o zpracování jejich údajů ve Službě včetně ukládání autorství úkonů a přihlášení PINem, například vzorem z přílohy 4;
• e) spravuje přístupy Uživatelů, odebírá je odcházejícím osobám a chrání zařízení s přihlášenou aplikací pro obsluhu;
• f) nakládá s exporty jako s osobními údaji: ukládá je zabezpečeně, nepředává je mimo své zpracovatele a maže je podle čl. 7.4 Podmínek;
• g) vyřizuje žádosti subjektů údajů a ohlašuje porušení zabezpečení dozorovému úřadu, je-li to třeba;
• h) vede vlastní záznam o činnostech zpracování; vzor pro Program je v příloze 4;
• i) nevkládá do Služby údaje, které nepotřebuje, zejména ne zvláštní kategorie údajů ani údaje jiných osob než Zákazníků a Uživatelů.

10.3 Nastavení Programu, zejména pravidla a odměny, je rozhodnutím Správce a Kioban za ně neodpovídá.

11. Trvání, ukončení a výmaz

11.1 Smlouva o zpracování trvá po dobu trvání Smlouvy, nelze ji ukončit samostatně a zaniká spolu s ní.

11.2 Po ukončení Smlouvy má Správce 30 dní na export údajů Zákazníků, tedy seznamu Zákazníků ve formátu CSV, v administraci. Po uplynutí 30 dnů Kioban Kartičky zneplatní a nejpozději do 90 dnů od ukončení Smlouvy vymaže všechny osobní údaje zpracovávané pro Správce včetně kopií, s výjimkou údajů, které musí uchovat ze zákona, zejména účetních dokladů, anonymizovaných záznamů, ze kterých nelze subjekt údajů určit, a záznamů v zálohách, které dožijí do 7 dnů od výmazu. Na žádost Správce výmaz písemně potvrdí.

11.3 Během trvání Smlouvy Kioban maže a anonymizuje údaje podle dob uchování v příloze 1; Správce je uzavřením Smlouvy o zpracování přijímá jako svůj pokyn.

12. Odpovědnost

12.1 Každá strana odpovídá za újmu, kterou způsobí subjektům údajů porušením GDPR, podle čl. 82 GDPR. Ve vztahu mezi stranami platí omezení odpovědnosti podle čl. 12 Podmínek i pro nároky z této Smlouvy o zpracování; nevztahuje se na náhradu, kterou jedna strana zaplatila subjektu údajů, nebo na pokutu za porušení, které zavinila výhradně druhá strana.

12.2 Správce nahradí Kiobanu újmu a náklady způsobené pokyny v rozporu s právem, nepravdivými identifikačními údaji, chybějícím právním základem nebo rozesílkami bez souhlasu.

13. Závěrečná ustanovení

13.1 Smlouva o zpracování se uzavírá elektronicky zaškrtnutím políčka při registraci Účtu společně s Podmínkami; čl. 2.1 Podmínek o záznamu přijetí platí i pro ni. Tím je splněn požadavek písemné formy podle čl. 28 odst. 9 GDPR.

13.2 Změny Smlouvy o zpracování se řídí čl. 14 Podmínek. Změna rozsahu zpracování nebo omezení povinností Kiobanu je podstatnou změnou vyžadující nové přijetí. Aktualizace přílohy 3 se řídí čl. 5.

13.3 Smlouva o zpracování se řídí právem České republiky. Je v češtině a angličtině; při rozporu rozhoduje české znění.

13.4 Kontakt pro ochranu osobních údajů je privacy@kioban.app. Pověřence pro ochranu osobních údajů Kioban nejmenoval.

13.5 Tato Smlouva o zpracování (verze dpa-v1) je účinná od 16. 10. 2026 a nahrazuje verzi dpa-v0.

Příloha 1: Popis zpracování

Předmět a povaha zpracování. Provoz věrnostního Programu Správce ve Službě: vydávání Kartiček, evidence razítek, bodů nebo kreditu a odměn, zobrazení novinek, doručení Kartiček do Peněženky Apple a Google Wallet, e-maily Zákazníkům s odkazem na Kartičku a s potvrzením smazání, seznam Zákazníků a jeho export, správa Uživatelů Správce. Jde o automatizované zpracování v cloudové databázi.

Účel zpracování. Plnění Programu Správce vůči Zákazníkům; komunikace novinek a nabídek Zákazníkům, kteří k tomu dali souhlas; správa týmu Správce a dohledatelnost úkonů u pultu.

Doba zpracování. Po dobu trvání Smlouvy a dále podle čl. 11.

Kategorie subjektů údajů. Zákazníci Správce, tedy držitelé Kartiček, a Uživatelé Správce v rolích majitel, admin, vedoucí a obsluha.

Typy osobních údajů Zákazníků:

• kód Kartičky (12 znaků, také jako QR);
• jméno, které Zákazník uvedl;
• e-mail, neověřený;
• telefon pouze jako jednosměrný otisk s tajným klíčem a poslední tři číslice; v čitelné podobě se neukládá;
• stav Kartičky a historie pohybů: typ, počet, čas, pobočka, člen obsluhy, případně částka nákupu a důvod opravy;
• souhlas s novinkami: ano nebo ne, čas, verze textu, případně čas odvolání;
• pobočka a čas přidání Kartičky a verze textů, kterou Zákazník při přidání viděl;
• Peněženka Apple: identifikátor zařízení a push token; Google Wallet: identifikátor Kartičky u Googlu a stav uložení;
• počet zobrazení webové Kartičky;
• záznamy o odeslaných e-mailech: adresát, obsah, stav doručení.

Typy osobních údajů Uživatelů Správce: e-mail, zobrazované jméno, role, stav účtu, otisk hesla, otisk PINu s počtem chybných pokusů a zámkem, pozvánky (e-mail, role, platnost), autorství úkonů na Kartičkách, auditní záznamy (přihlášení PINem, nastavení PINu, export, oprava stavu, smazání údajů).

Doby uchování, které Správce přijímá jako svůj pokyn:

• Kartička s kontaktními údaji: do smazání Zákazníkem nebo Správcem, jinak anonymizace po 24 měsících bez aktivity; aktivitou je připsání, uplatnění, oprava, opětovné přidání nebo uložení do peněženky. Anonymizací se maže jméno, e-mail, otisk telefonu, údaje o souhlasu a registrace peněženek a Kartička se zneplatní; kód, stav a historie pohybů zůstávají bez vazby na osobu.
• Registrace zařízení Apple: do 7 dní po smazání Kartičky nebo po oznámení Apple, že Kartička ze zařízení zmizela.
• Auditní záznam: 3 roky od záznamu.
• Dokončené úlohy ve frontě: 30 dní.
• Záznamy o odeslaných e-mailech u poskytovatele: nejvýše 30 dní.
• Účty Uživatelů: po dobu členství v týmu, po odebrání výmaz do 30 dní; zobrazované jméno u pohybů zůstává s historií Kartičky. Pozvánky: výmaz 30 dní po vypršení.
• Zálohy databáze: 7 dní.
• Vše ostatní: po dobu Smlouvy a podle čl. 11.

Co Kioban pro Správce nezpracovává: zvláštní kategorie údajů, datum narození, adresu bydliště, platební údaje Zákazníků, obsah nákupu, polohu Zákazníka (polohy poboček vyhodnocuje telefon Zákazníka, Kioban polohu nedostává), reklamní identifikátory ani telefon v čitelné podobě.

Příloha 2: Technická a organizační opatření

• Šifrování přenosu (HTTPS/TLS) a šifrování databáze a souborů v klidu u poskytovatele.
• Oddělení dat jednotlivých Správců přímo v databázi: Uživatel se dostane jen k záznamům svého Podniku, práva jsou nastavena na nejmenší nutný rozsah a pohyby na Kartičkách zapisuje jen server.
• Hesla a PINy uloženy pouze jako otisky; telefon jako otisk s tajným klíčem; PIN se po pěti chybných pokusech na 10 minut zamkne.
• Kód Kartičky je náhodný, 12 znaků z abecedy o 32 znacích; webová Kartička není indexována vyhledávači.
• Omezení počtu požadavků na veřejných adresách, ochrana formuláře proti robotům, limit hledání Kartiček u pultu (30 za minutu a 600 za den na člena obsluhy) a částečné zakrytí e-mailu ve výsledcích hledání.
• Jméno, e-mail, telefon ani přístupové tokeny se neobjevují v adresách stránek, provozních záznamech ani hlášeních chyb; kódy Kartiček se před odesláním hlášení chyb odstraňují.
• Auditní záznam citlivých akcí: export Zákazníků, oprava stavu, smazání údajů, přihlášení PINem.
• Role Uživatelů s odstupňovaným přístupem: obsluha nevidí seznam Zákazníků ani administraci, vedoucí neexportuje a nemaže, telefon nevidí nikdo.
• Přístup k produkčním datům a k účtům poskytovatelů má jen jednatel Kiobanu, s osobními účty a dvoufázovým ověřením; přístupy se revidují nejméně jednou ročně.
• Denní šifrované zálohy databáze uchovávané 7 dní.
• Postup při porušení zabezpečení: zjištění, posouzení rozsahu, omezení dopadů, oznámení Správci do 48 hodin, záznam o incidentu a náprava.
• Hosting a databáze v EU; další zpracovatelé vázáni smlouvami o zpracování.
• Osoby s přístupem k údajům jsou vázány mlčenlivostí a poučeny o ochraně údajů.
• Minimalizace: povinné je jen jméno a e-mail, telefon je nepovinný a ukládá se jako otisk, Kartička nenese jméno ani e-mail, neaktivní Kartičky se po 24 měsících anonymizují.

Příloha 3: Další zpracovatelé

Stav k 15. 10. 2026. Aktuální seznam je na partner.kioban.app/legal/subprocessors. U každého je uveden účel, údaje, které dostává, místo zpracování a záruka pro předávání mimo EU. Apple a Google jsou uvedeni pro úplnost: vůči držiteli Kartičky vystupují jako provozovatelé peněženky podle vlastních podmínek a pro Kioban zpracovávají jen identifikátory potřebné k doručení a aktualizaci Kartičky.

• Supabase, Inc. (USA): databáze, přihlášení Uživatelů a úložiště souborů (loga, fotografie stojánků). Všechny údaje uložené ve Službě. Zpracování v EU, Frankfurt nad Mohanem, včetně denních záloh. Záruka: standardní smluvní doložky.
• Vercel Inc. (USA): běh aplikace a webu. Vše, co aplikací prochází, a provozní záznamy. Výpočet v EU, Frankfurt nad Mohanem; síť pro doručování obsahu je celosvětová. Záruka: EU-US Data Privacy Framework.
• Resend (USA): odesílání e-mailů s odkazem na Kartičku, potvrzení smazání, pozvánek do týmu, potvrzení účtu a obnovy hesla. E-mail adresáta a obsah zprávy. Odesílací region EU. Záruka: EU-US Data Privacy Framework.
• Cloudflare, Inc. (USA): ochrana formuláře proti robotům (Turnstile). IP adresa a údaje o prohlížeči návštěvníka. Celosvětová síť. Záruka: EU-US Data Privacy Framework.
• Apple Inc. (USA): doručení a aktualizace Kartičky v Peněžence Apple. Push token zařízení a obsah Kartičky (bez jména a e-mailu). Služby Apple, celosvětově. Záruka: standardní smluvní doložky.
• Google LLC a Google Ireland Ltd.: Google Wallet (kód, stav a texty Kartičky, bez jména a e-mailu) a Google Workspace pro naše e-mailové schránky (e-maily, které nám někdo pošle). Služby Google, celosvětově. Záruka: EU-US Data Privacy Framework.
• Functional Software, Inc. (Sentry, USA): hlášení technických chyb. Očištěné technické údaje o chybě bez kódů Kartiček, e-mailů, telefonů, tokenů a IP adres. Zpracování v EU, Frankfurt nad Mohanem. Záruka: EU-US Data Privacy Framework.
• PostHog, Inc. (USA): souhrnná statistika užívání po Podnicích. Počty událostí bez údajů o Zákaznících; identifikátorem je Podnik. Zpracování v EU. Záruka: EU-US Data Privacy Framework.

Nejsou dalšími zpracovateli: Seznam.cz, a.s. (Mapy.cz) dostává při zadávání pobočky jen text hledané adresy; ARES je veřejný rejstřík, ze kterého Služba načítá údaje o Podniku podle IČO.

Plánované změny, které oznámíme podle čl. 5: Stripe (platby Podniků; údaje Uživatelů, ne Zákazníků) a Twilio (SMS kódy pro zákaznický účet Kioban ve fázi 2). Pokladní systém Dotykačka bude propojením podle čl. 5.5, které zapíná Správce.

Příloha 4: Vzory pro Správce

A. Informace pro členy týmu o zpracování údajů v aplikaci Kioban (vzor; Správce doplní své údaje a předá každému členu týmu před prvním přihlášením):

„[Obchodní firma, IČO, sídlo] jako váš zaměstnavatel nebo objednatel používá pro věrnostní program aplikaci Kioban, kterou provozuje Caeli Creative, s.r.o. Abyste v ní mohli pracovat, zpracováváme váš e-mail, zobrazované jméno a roli. V aplikaci pro obsluhu se podepisujete osobním PINem; PIN se ukládá jen jako otisk. U každého razítka, bodu, odměny nebo storna se ukládá, kdo ho provedl, kdy a na které pobočce; přihlášení PINem, exporty, opravy a mazání se zapisují do bezpečnostního záznamu. Účelem je provedení vaší práce, dohledání chyb a ochrana zákazníků před zneužitím; právním základem je plnění smlouvy s vámi a náš oprávněný zájem na bezpečném provozu programu. Záznamy vidí majitel, admin a vedoucí našeho účtu a Caeli Creative jako náš zpracovatel. Účet vám zrušíme do 30 dnů po skončení spolupráce; vaše jméno u provedených úkonů zůstává v historii kartiček, bezpečnostní záznam se maže po 3 letech. Máte právo na přístup ke svým údajům, opravu, výmaz, omezení, námitku a stížnost u Úřadu pro ochranu osobních údajů (uoou.gov.cz). Dotazy: [e-mail Správce]. Jak Caeli Creative nakládá s vašimi přihlašovacími údaji, popisují zásady na kioban.app/legal/privacy.“

B. Záznam o činnosti zpracování pro věrnostní program (vzor pro Správce podle čl. 30 odst. 1 GDPR; Správce doplní své údaje):

• Správce: [obchodní firma, IČO, sídlo, kontaktní e-mail]. Pověřenec: nejmenován.
• Účel: provoz věrnostního programu pro zákazníky (vydávání kartiček, evidence razítek, bodů nebo kreditu a odměn); zasílání novinek a nabídek zákazníkům se souhlasem; správa přístupů členů týmu a dohledatelnost úkonů.
• Kategorie subjektů: zákazníci zapojení do programu; členové týmu.
• Kategorie údajů: zákazníci: jméno, e-mail, otisk telefonu, kód a stav kartičky, historie pohybů, souhlas s novinkami; členové týmu: e-mail, jméno, role, autorství úkonů.
• Právní základ: plnění smlouvy o účasti v programu (čl. 6 odst. 1 písm. b GDPR); souhlas pro novinky a nabídky (čl. 6 odst. 1 písm. a); oprávněný zájem na bezpečnosti a dohledatelnosti (čl. 6 odst. 1 písm. f).
• Příjemci: Caeli Creative, s.r.o. jako zpracovatel a jeho další zpracovatelé podle přílohy 3 smlouvy o zpracování; Apple a Google pro kartičky v peněženkách; [nástroj pro rozesílání, pokud ho Správce používá].
• Předávání do třetích zemí: USA u některých dalších zpracovatelů, na základě EU-US Data Privacy Framework nebo standardních smluvních doložek.
• Doby uchování: do smazání kartičky, jinak anonymizace po 24 měsících bez aktivity; exporty nejvýše 30 dní; údaje členů týmu po dobu spolupráce a 30 dní poté.
• Zabezpečení: opatření zpracovatele podle přílohy 2 smlouvy o zpracování; na straně Správce osobní přístupy a PINy, odebírání přístupů, zabezpečení zařízení u pultu, ochrana exportů.