Smlouva o zpracování osobních údajů / Data Processing Agreement
Poslední aktualizace / Last updated: 2026-10-02
1. Předmět smlouvy / Subject
Tato Smlouva o zpracování osobních údajů (DPA) upravuje vztah mezi uživatelem služby Xeronio (dále jen „správce") a provozovatelem platformy Xeronio (dále jen „zpracovatel") při zpracování osobních údajů prostřednictvím platformy.
2. Definice / Definitions
- Správce: uživatel platformy Xeronio, který určuje účel a prostředky zpracování osobních údajů svých klientů.
- Zpracovatel: Xeronio jako provozovatel platformy, který zpracovává osobní údaje jménem správce.
- Subjekt údajů: fyzická osoba, jejíž údaje jsou zpracovávány (klienti uživatele).
3. Rozsah zpracování / Scope of Processing
Zpracovatel zpracovává jménem správce následující kategorie údajů:
- Kategorie subjektů: klienti, zaměstnanci a kontakty uživatele.
- Typy údajů: jména, e-mailové adresy, telefonní čísla, adresy, záznamy o rezervacích, historie objednávek, fakturační údaje.
- Účel: poskytování služeb platformy — správa rezervací, fakturace, komunikace s klienty, e-shop, webové stránky.
- Doba zpracování: po dobu trvání smlouvy o poskytování služby + 30 dnů po ukončení (pro export dat).
4. Povinnosti zpracovatele / Processor Obligations
- Zpracovávat osobní údaje pouze na základě doložených pokynů správce.
- Zajistit, aby osoby oprávněné zpracovávat osobní údaje byly vázány povinností mlčenlivosti.
- Přijmout veškerá opatření požadovaná podle článku 32 GDPR (bezpečnost zpracování).
- Dodržovat podmínky uvedené v článcích 28 odst. 2 a 4 GDPR pro zapojení dalšího zpracovatele.
- Pomáhat správci při plnění povinností reagovat na žádosti o výkon práv subjektů údajů.
- Po ukončení poskytování služby smazat nebo vrátit všechny osobní údaje dle volby správce.
- Poskytnout správci veškeré informace potřebné k prokázání souladu s povinnostmi stanovenými v článku 28 GDPR.
5. Dílčí zpracovatelé / Sub-processors
Zpracovatel využívá následující dílčí zpracovatele:
| Poskytovatel |
Účel |
Umístění |
| Hetzner |
Hosting serverů |
Německo (EU) |
| Supabase |
Databáze, autentizace, úložiště |
EU |
| Stripe |
Zpracování plateb |
EU/USA (SCC) |
| Sentry |
Monitoring chyb |
EU/USA (SCC) |
| Cloudflare |
CDN, DNS |
Globální (SCC) |
Správce souhlasí se zapojením výše uvedených dílčích zpracovatelů. O změnách bude zpracovatel správce informovat alespoň 30 dní předem.
6. Bezpečnostní opatření / Security Measures
- Šifrování při přenosu (TLS 1.2+) a v klidu.
- Řízení přístupu (Row Level Security) — každý tenant vidí pouze svá data.
- Hashování hesel prostřednictvím Supabase Auth.
- Pravidelné zálohy s šifrováním.
- Monitoring a protokolování přístupu.
- Izolace dat mezi tenanty na úrovni databáze.
7. Porušení zabezpečení / Data Breach
V případě porušení zabezpečení osobních údajů zpracovatel:
- Informuje správce bez zbytečného odkladu, nejpozději do 48 hodin od zjištění.
- Poskytne správci veškeré informace potřebné k plnění oznamovací povinnosti dle článku 33 GDPR.
- Přijme opatření k minimalizaci dopadu a prevenci opakování.
8. Práva subjektů údajů / Data Subject Rights
Zpracovatel pomůže správci odpovědět na žádosti subjektů údajů (přístup, oprava, výmaz, přenositelnost, omezení, námitka) v rámci technických možností platformy. Funkce exportu dat a správy klientů jsou k dispozici přímo v platformě.
9. Doba trvání a ukončení / Duration and Termination
Tato DPA je platná po celou dobu používání služby Xeronio. Po ukončení služby zpracovatel:
- Umožní export dat po dobu 30 dnů.
- Smaže veškerá data správce do 30 dnů po uplynutí lhůty pro export, s výjimkou údajů, které je povinen uchovávat na základě zákona.
10. Kontakt / Contact
Pro záležitosti týkající se zpracování osobních údajů:
Email: support@xeronio.com