Smlouva o zpracování osobních údajů (DPA) - DiffMon

1. Definice

"Osobní údaje", "zpracování", "správce", "zpracovatel" a "dozorový úřad" mají význam podle GDPR.

"Customer Content" znamená konfiguraci monitoringu, monitorované cíle, snapshoty, diffy a odvozená metadata.

2. Role

Správce určuje účely a prostředky zpracování osobních údajů v rámci Customer Content a správy účtu.

Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně předávání do třetích zemí, ledaže mu takové zpracování ukládá použitelné právo. (GDPR čl. 28 odst. 3 písm. a))

3. Předmět, doba, povaha a účel

Předmět: poskytování monitoringu změn webu/API, ukládání snapshotů a diffů, doručování alertů a provozní podpora.

Doba trvání: po dobu poskytování Služby a po dobu retenčních období definovaných plánem a právními povinnostmi.

Povaha zpracování: shromažďování, ukládání, organizace, vyhledávání, přenos (notifikace), výmaz.

Účel: poskytování Služby, zajištění bezpečnosti, prevence zneužití, doručování notifikací a zákaznická podpora.

4. Kategorie údajů a subjektů údajů

Subjekty údajů: autorizovaní uživatelé správce a osoby, jejichž údaje se mohou objevit v monitorovaném obsahu (podle toho, co správce monitoruje).

Kategorie osobních údajů:

Zvláštní kategorie údajů (čl. 9): nejsou zamýšlené. Správce nebude Službu používat ke zpracování zvláštních kategorií údajů, pokud to není výslovně písemně dohodnuto.

• Údaje o účtu (e-mail, jméno, pokud je uvedeno, členství)
• Technické údaje (IP adresa, request ID, logy)
• Customer Content, který může obsahovat osobní údaje (HTML/JSON snapshoty, diffy, URL a webhook endpointy)

5. Povinnosti zpracovatele

Zpracovatel je povinen:

• (a) zpracovávat osobní údaje pouze podle doložených pokynů správce.
• (b) zajistit, aby osoby oprávněné zpracovávat osobní údaje byly vázány mlčenlivostí.
• (c) zavést přiměřená technická a organizační opatření (TOMs) podle části 7.
• (d) dodržovat podmínky pro zapojení subzpracovatelů podle části 12.
• (e) poskytovat správci součinnost při žádostech subjektů údajů, DPIA a konzultacích s úřady, pokud je to použitelné.
• (f) po skončení zpracování osobní údaje vymazat nebo vrátit podle části 10.
• (g) zpřístupnit informace potřebné k doložení souladu a umožnit audity podle části 11.

6. Povinnosti správce

Správce je povinen:

• (a) zajistit právní titul pro zpracování i pro monitoring konfigurovaných cílů.
• (b) poskytovat doložené pokyny a zajistit, že konfigurace neporušují zákony ani práva třetích stran.
• (c) udržovat bezpečný přístup k účtům a odpovědně spravovat členy workspace.

7. Bezpečnostní opatření (TOMs)

Zpracovatel zavádí opatření přiměřená riziku, zejména:

• logickou tenant izolaci (org/workspace-scoped access controls)
• šifrování při přenosu (TLS)
• bezpečné zacházení se secrets: API tokeny uložené jako hashe, nikoli v plaintextu
• bezpečné zacházení se secrets: webhook secrets uložené šifrovaně nebo hashovaně podle použitého mechanismu
• SSRF a safe-request ochrany pro odchozí požadavky (fetch monitorů i doručování webhooků)
• striktní redakci Authorization a dalších citlivých hlaviček v logách
• řízení přístupu do produkčních systémů podle principu nejmenších oprávnění
• postupy záloh a obnovy včetně omezení přístupu tam, kde to infrastruktura podporuje
• postupy reakce na incidenty a bezpečnostní monitoring

8. Součinnost při právech subjektů údajů

Zpracovatel poskytne přiměřenou součinnost, aby správce mohl reagovat na žádosti o přístup, výmaz, opravu, omezení zpracování nebo export osobních údajů, pokud je správce nemůže vyřídit samoobslužně ve Službě.

9. DPIA a předchozí konzultace

Zpracovatel poskytne informace přiměřeně potřebné k tomu, aby správce mohl provést DPIA nebo konzultaci s dozorovým úřadem, a to v rozsahu Služby a s ohledem na mlčenlivost.

10. Výmaz / vrácení

Po ukončení nebo na písemnou žádost správce zpracovatel osobní údaje v přiměřené lhůtě vymaže nebo vrátí, s výhradou následujícího:

• retence podle plánu (snapshoty, diffy, payloady)
• právní povinnosti, například účetní a fakturační záznamy
• zálohy, které mohou po omezenou dobu přetrvávat a jsou chráněné řízením přístupu

11. Audity

Zpracovatel zpřístupní informace potřebné k doložení souladu s touto DPA. Audity lze provést nejvýše [1] krát ročně s přiměřeným předstihem, v pracovní době a při zachování mlčenlivosti a bezpečnostních omezení.

12. Mezinárodní předávání

Pokud dochází k předávání mimo EU/EHP, zpracovatel se opře o přiměřené záruky, jako jsou rozhodnutí o odpovídající ochraně, EU-US Data Privacy Framework, je-li použitelný, a/nebo standardní smluvní doložky.

13. Oznámení porušení zabezpečení

Zpracovatel bez zbytečného odkladu oznámí správci, že se dozvěděl o porušení zabezpečení osobních údajů, které se týká osobních údajů správce, a poskytne dostupné informace potřebné ke splnění povinností správce.

14. Pořadí přednosti

V případě rozporu má tato DPA přednost před Podmínkami služby v rozsahu povinností týkajících se zpracování osobních údajů.

PŘÍLOHA A - PODROBNOSTI ZPRACOVÁNÍ

• Služba: DiffMon – monitoring změn webu a API
• Operace zpracování: fetch/collect → normalize → snapshot/diff → store → notify → audit/logging
• Umístění dat: EU (Frankfurt, Německo) – hosting aplikace a primární databáze. Úložiště objektů a doručování e-mailů může využívat regiony EU nebo US v závislosti na konfiguraci poskytovatele.
• Retence: Free plán – 3 dny (snapshoty, diffy, payloady). Hobby plán – 30 dnů. Pro plán – 180 dnů. Business/Enterprise – individuální. Po vypršení se payloady smažou; metadata mohou být uchována pro provozní integritu. Audit logy se uchovávají dlouhodobě.

PŘÍLOHA B - SUBZPRACOVATELÉ

• Render – hosting aplikace a background workery (EU Frankfurt)
• Poskytovatel PostgreSQL (např. Neon / Railway) – primární databáze (EU)
• Poskytovatel Redis – správa sessions, cache, rate limiting, fronta úloh (EU)
• AWS S3 nebo S3 kompatibilní úložiště – úložiště payloadů snapshotů (EU, konfigurovatelné)
• Resend / SendGrid – doručování transakčních e-mailů (US/EU)
• Stripe – fakturace a zpracování plateb (US/EU)
• Google Analytics – webová analytika (US, na základě souhlasu)

PŘÍLOHA C - TECHNICKÁ A ORGANIZAČNÍ OPATŘENÍ

• Logická tenant izolace: veškerý přístup k datům je omezen na ID organizace/workspace
• Šifrování při přenosu: TLS pro všechna spojení (aplikace, databáze, API, webhooky)
• Zabezpečení API tokenů: tokeny uloženy jako nevratné hashe (SHA-256), nikdy v plaintextu
• Zabezpečení webhook secrets: podepisovací secrets uloženy šifrovaně nebo hashovaně
• SSRF a safe-request ochrana: odchozí požadavky (fetch monitorů a doručování webhooků) jsou validovány proti interním/privátním IP rozsahům
• Redakce logů: Authorization hlavičky, Bearer tokeny, API klíče a citlivé hodnoty jsou automaticky redakovány v logách aplikace
• Řízení přístupu: produkční systémy dodržují princip nejmenších oprávnění
• Rate limiting: API a autentizační endpointy jsou omezeny proti zneužití
• Správa sessions: sessions jsou časově omezené se zabezpečeným hashováním tokenů
• Zálohování a obnova: zálohy databáze s omezením přístupu dle možností poskytovatele infrastruktury
• Reakce na incidenty: bezpečnostní monitoring a postupy reakce na incidenty