Smlouva o zpracování údajů QR Code AI

SMLOUVA O ZPRACOVÁNÍ ÚDAJŮ (DPA)

Poslední aktualizace: 2. března 2026

Tato smlouva o zpracování údajů („DPA“) tvoří součást Obchodních podmínek („Smlouva“) mezi společností Supernovae, registrovanou ve Francii na adrese 27 Rue Wurtz, Juvisy-sur-Orge 91260, s identifikačním číslem pro DPH FR67948452891 („Zpracovatel“, „my“, „nás“), a subjektem, který tuto DPA přijímá („Správce“, „vy“), společně označovanými jako „Strany“.

Tato DPA se použije, pokud vaším jménem zpracováváme osobní údaje v souvislosti s našimi službami QR Code AI, včetně služeb poskytovaných prostřednictvím API.

1. DEFINICE

• „Osobní údaje“ znamenají veškeré informace o identifikované nebo identifikovatelné fyzické osobě ve smyslu čl. 4 bodu 1 GDPR.
• „Zpracování“ znamená jakoukoli operaci nebo soubor operací prováděných s Osobními údaji ve smyslu čl. 4 bodu 2 GDPR.
• „Subjekt údajů“ znamená identifikovanou nebo identifikovatelnou fyzickou osobu, které se Osobní údaje týkají.
• „Další zpracovatel“ znamená jakoukoli třetí stranu, kterou Zpracovatel pověří zpracováním Osobních údajů jménem Správce.
• „GDPR“ znamená nařízení Evropského parlamentu a Rady (EU) 2016/679.
• „UK GDPR“ znamená obecné nařízení o ochraně osobních údajů Spojeného království, jak se uplatňuje v právu Spojeného království a vykládá společně se zákonem Data Protection Act 2018.
• „SCC“ znamenají standardní smluvní doložky schválené Evropskou komisí pro předávání Osobních údajů do třetích zemí.
• „Porušení zabezpečení údajů“ znamená porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému zpřístupnění Osobních údajů nebo neoprávněnému přístupu k nim.

2. ROZSAH A ROLE

2.1 Správce a Zpracovatel

Pro účely této DPA:

• Vy (Správce): Určujete účely a prostředky zpracování Osobních údajů při používání našich Služeb, zejména pokud prostřednictvím našeho API generujete QR kódy pro vlastní zákazníky nebo integrujete naše Služby do svých produktů.
• My (Zpracovatel): Zpracováváme Osobní údaje vaším jménem podle vašich pokynů, jak je popsáno v této DPA a ve Smlouvě.

2.2 Kdy se tato DPA použije

Tato DPA se použije, pokud:

• Používáte API QR Code AI ke generování QR kódů, při němž se zpracovávají údaje vašich koncových uživatelů (např. URL obsahující osobní informace, údaje vCard nebo kontaktní údaje zakódované v QR kódech).
• Používáte funkce sledování a analytiky QR Code AI, které shromažďují údaje o skenování od vašich koncových uživatelů.
• Nastane jakákoli jiná situace, kdy vaším jménem zpracováváme Osobní údaje jako zpracovatel.

Pokud QR Code AI používáte jako individuální uživatel pro vlastní účely, vystupujeme jako samostatný správce osobních údajů a zpracování údajů se řídí našimi Zásadami ochrany osobních údajů.

3. PODROBNOSTI ZPRACOVÁNÍ ÚDAJŮ

3.1 Předmět a doba trvání

Osobní údaje zpracováváme po dobu trvání Smlouvy za účelem poskytování služeb QR Code AI, včetně generování QR kódů, sledování, analytiky a souvisejících funkcí.

3.2 Povaha a účel zpracování

• Generování QR kódů na základě vstupních údajů poskytnutých Správcem
• Sledování skenování QR kódů a shromažďování analytických údajů
• Ukládání konfigurací QR kódů a souvisejících metadat
• Zpracování požadavků na umělecké QR kódy generované AI
• Poskytování přehledů a analytických panelů

3.3 Druhy Osobních údajů

Zpracovávané Osobní údaje mohou zahrnovat:

• Kontaktní údaje (jména, e-mailové adresy, telefonní čísla) zakódované v QR kódech
• URL a webové adresy
• Údaje o poloze při skenování QR kódů
• Informace o zařízeních a IP adresy při skenování QR kódů
• Textová zadání a obrázky poskytnuté pro generování QR kódů pomocí AI
• Jakékoli další údaje, které se Správce rozhodne zakódovat do QR kódů

3.4 Kategorie Subjektů údajů

• Koncoví uživatelé, kteří skenují QR kódy vytvořené Správcem
• Osoby, jejichž kontaktní údaje jsou zakódovány v QR kódech
• Uživatelé produktů nebo služeb Správce, kteří pracují s QR kódy

4. POVINNOSTI ZPRACOVATELE

4.1 Pokyny ke zpracování

Osobní údaje budeme zpracovávat pouze na základě vašich doložených pokynů, ledaže nám zpracování ukládá právo EU nebo členského státu, které se na nás vztahuje. V takovém případě vás o tomto právním požadavku informujeme před zahájením zpracování, pokud takové informování příslušný právní předpis nezakazuje z důležitých důvodů veřejného zájmu.

Neprodleně vás informujeme, pokud se podle našeho názoru některý pokyn dostane do rozporu s GDPR nebo jinými příslušnými ustanoveními práva EU či členského státu o ochraně osobních údajů.

4.2 Důvěrnost

Zajišťujeme, aby se osoby oprávněné zpracovávat Osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala odpovídající zákonná povinnost mlčenlivosti.

4.3 Bezpečnostní opatření

Zavádíme vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku, včetně:

• Šifrování Osobních údajů při přenosu (TLS/HTTPS) a šifrování citlivých uložených informací
• Řízení přístupu a ověřování na základě rolí pro interní systémy
• Pravidelného hodnocení bezpečnosti a skenování zranitelností
• Infrastruktury hostované u společností Scaleway a DigitalOcean, s opatřeními v oblasti bezpečnosti a souladu s předpisy, která závisejí na poskytovateli a hostingové službě
• Ochrany proti DDoS a firewallu webových aplikací (Cloudflare)
• Pravidelných záloh v šifrovaném úložišti
• Zaznamenávání a sledování přístupu k Osobním údajům

4.4 Další zpracovatelé

Využíváme další zpracovatele uvedené na naší stránce Další zpracovatelé. Zašleme vám písemné oznámení o každém zamýšleném přidání nebo nahrazení dalšího zpracovatele a poskytneme vám 30 dnů od tohoto oznámení k podání námitky před tím, než změna nabude účinnosti. Námitku můžete podat na [email protected] v této lhůtě. Pokud vznesete námitku a my jí nemůžeme přiměřeně vyhovět, může kterákoli strana ukončit poskytování dotčené části Služeb.

Dalšího zpracovatele pověříme zpracováním Osobních údajů vaším jménem pouze na základě písemné smlouvy, včetně příslušných elektronických podmínek, která mu ukládá povinnosti v oblasti ochrany údajů vyžadované čl. 28 odst. 4 GDPR. Za naše další zpracovatele nadále odpovídáme v rozsahu stanoveném tímto článkem.

4.5 Práva Subjektů údajů

Pomůžeme vám vyřizovat žádosti Subjektů údajů, které uplatňují svá práva podle příslušných právních předpisů o ochraně osobních údajů (přístup, oprava, výmaz, omezení, přenositelnost, námitka). Pokud žádost obdržíme přímo od Subjektu údajů, bez prodlení jej odkážeme na vás, pokud nedostaneme jiný pokyn.

4.6 Pomoc při plnění právních povinností

S přihlédnutím k povaze zpracování a informacím, které máme k dispozici, vám pomůžeme zajistit plnění vašich povinností podle článků 32 až 36 GDPR.

5. OZNÁMENÍ PORUŠENÍ ZABEZPEČENÍ ÚDAJŮ

5.1 Lhůta pro oznámení

Porušení zabezpečení údajů vám oznámíme bez zbytečného odkladu, v každém případě nejpozději do 72 hodin od okamžiku, kdy se o něm dozvíme. Oznámení zašleme na e-mailovou adresu spojenou s vaším účtem.

5.2 Obsah oznámení

Oznámení bude v rozsahu dostupných informací obsahovat:

• Popis povahy Porušení zabezpečení údajů, včetně kategorií a přibližného počtu dotčených Subjektů údajů a záznamů.
• Jméno a kontaktní údaje naší kontaktní osoby pro ochranu údajů.
• Popis pravděpodobných důsledků Porušení zabezpečení údajů.
• Popis přijatých nebo navrhovaných opatření k řešení Porušení zabezpečení údajů, včetně opatření ke zmírnění jeho možných nepříznivých dopadů.

5.3 Průběžná spolupráce

Budeme s vámi spolupracovat a poskytovat vám přiměřenou pomoc při vyšetřování, zmírňování dopadů a nápravě jakéhokoli Porušení zabezpečení údajů a při plnění vašich oznamovacích povinností vůči dozorovým úřadům nebo Subjektům údajů.

6. MEZINÁRODNÍ PŘEDÁVÁNÍ ÚDAJŮ

6.1 Umístění údajů

Osobní údaje jsou ukládány a zpracovávány převážně v Evropské unii:

• Francie (EU) prostřednictvím Scaleway
• Nizozemsko (EU) prostřednictvím DigitalOcean

6.2 Předávání mimo EU/EHP

Někteří z našich dalších zpracovatelů sídlí mimo EU/EHP, především ve Spojených státech. U těchto předání využíváme:

• Rámec EU–USA pro ochranu osobních údajů (EU-US Data Privacy Framework): V příslušných případech pro předávání poskytovatelům se sídlem v USA, kteří jsou v rámci tohoto systému certifikováni.
• Standardní smluvní doložky (SCC): Do smluv s dalšími zpracovateli se sídlem mimo EU/EHP zahrnujeme standardní smluvní doložky schválené Evropskou komisí (prováděcí rozhodnutí Komise (EU) 2021/914), pokud se nepoužije rámec Data Privacy Framework.

6.3 Posouzení dopadů předávání údajů

U předávání do třetích zemí provádíme posouzení dopadů a v případě potřeby zavádíme doplňková opatření k zajištění odpovídající úrovně ochrany údajů.

7. AUDITY A KONTROLY

7.1 Právo na audit

Máte právo ověřit auditem, zda dodržujeme tuto DPA. Zpřístupníme vám veškeré informace potřebné k prokázání souladu a umožníme audity včetně kontrol, které provádíte vy nebo vámi pověřený auditor, a poskytneme při nich součinnost.

7.2 Průběh auditu

Následující podmínky se na audity vztahují pouze v rozsahu, v němž neomezují práva nebo povinnosti podle příslušných právních předpisů o ochraně osobních údajů:

• Každý audit musíte písemně oznámit alespoň 30 dnů předem.
• Audity lze provádět nejvýše jednou ročně, ledaže je vyžaduje dozorový úřad nebo následují po Porušení zabezpečení údajů.
• Audity musí probíhat v běžné pracovní době a nesmějí nepřiměřeně narušovat náš provoz.
• Náklady auditu nesete vy, pokud audit neodhalí podstatné porušení této DPA.
• Při auditu nesmějí být zpřístupněny důvěrné informace našich ostatních zákazníků.

8. UCHOVÁVÁNÍ A VÝMAZ ÚDAJŮ

8.1 Po dobu trvání Smlouvy

Osobní údaje uchováváme po dobu trvání Smlouvy v rozsahu nezbytném pro poskytování Služeb.

8.2 Po ukončení

Po ukončení Smlouvy nebo na vaši písemnou žádost:

• Podle vaší volby Osobní údaje vymažeme, nebo vám je vrátíme a zbývající kopie vymažeme z našich aktivních systémů do 30 dnů.
• Osobní údaje v záložních archivech budou vymazány do 6 měsíců; do té doby zůstanou chráněny a nebudou používány k jiným účelům, pokud příslušné právní předpisy nevyžadují jinak.
• Osobní údaje můžeme uchovávat v rozsahu vyžadovaném příslušnými právními předpisy (např. daňové či účetní povinnosti); v takovém případě je oddělíme a ochráníme a jejich další zpracování omezíme na to, co vyžaduje zákon.

8.3 Potvrzení

Na vaši žádost poskytneme písemné potvrzení, že Osobní údaje byly vymazány v souladu s tímto článkem.

9. ODPOVĚDNOST

Odpovědnost každé ze stran podle této DPA podléhá omezením odpovědnosti uvedeným ve Smlouvě. Žádné ustanovení této DPA neomezuje odpovědnost kterékoli strany vůči Subjektům údajů nebo dozorovým úřadům podle příslušných právních předpisů o ochraně osobních údajů.

10. ROZHODNÉ PRÁVO

Tato DPA se řídí právem Francie. GDPR a UK GDPR se použijí v rozsahu, v němž zpracování spadá do jejich příslušné právní působnosti. Veškeré spory vyplývající z této DPA se řeší v souladu s ustanoveními Smlouvy o řešení sporů.

11. JAK UZAVŘÍT TUTO DPA

Tato DPA je začleněna do Obchodních podmínek a tvoří jejich součást. Používáním Služeb QR Code AI s touto DPA souhlasíte.

Pokud pro svou evidenci potřebujete samostatně podepsané vyhotovení této DPA, kontaktujte nás na [email protected] a poskytneme vám je do 10 pracovních dnů.

12. KONTAKT

S dotazy k této DPA nebo k našim postupům při zpracování údajů se obraťte na:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Francie [email protected]