Zpracovatelská smlouva (DPA)

Tato Smlouva o zpracování osobních údajů (dále jen „DPA“) je uzavřena v souladu s článkem 28 nařízení Evropského parlamentu a Rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR“), a tvoří nedílnou součást Obchodních podmínek platformy Observa.

Účelem této DPA je stanovit podmínky, za kterých Zpracovatel zpracovává osobní údaje jménem Správce při poskytování služeb platformy Observa.

1. Definice a výklad pojmů

Pro účely této DPA mají následující pojmy tento význam:

• „GDPR“ znamená nařízení Evropského parlamentu a Rady (EU) 2016/679, ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů.
• „Osobní údaje“ znamenají veškeré informace o identifikované nebo identifikovatelné fyzické osobě zpracovávané Zpracovatelem v rámci poskytování Služby.
• „Zpracování“ znamená jakoukoliv operaci nebo soubor operací s osobními údaji ve smyslu čl. 4 odst. 2 GDPR.
• „Správce“ je zákazník (organizace), který určuje účely a prostředky zpracování osobních údajů a uzavřel Hlavní smlouvu.
• „Zpracovatel“ je Waldemar Kučera (IČO: 23496495), provozovatel platformy Observa, který zpracovává osobní údaje jménem Správce.
• „Sub-zpracovatel“ je třetí strana pověřená Zpracovatelem ke zpracování osobních údajů jménem Správce.
• „Služba“ nebo „Platforma“ je cloudová GRC platforma Observa provozovaná pod značkou CypherOn.
• „Modul Lidé a identity“ je část Služby pro evidenci osob, servisních účtů, týmů, pracovních rolí a školení Správce.
• „Osoba bez účtu“ je fyzická osoba, kterou Správce eviduje v Platformě, zejména v modulu Lidé a identity, a která nemá uživatelský účet a do Platformy se nepřihlašuje.
• „Trust Center“ je část Služby, ve které Správce sestaví a zveřejní stránku s informacemi o své bezpečnosti a souladu s předpisy a na které zpřístupňuje vybrané dokumenty.
• „Návštěvník Trust Center“ je fyzická osoba mimo organizaci Správce, která na stránce Trust Center ověří svou e-mailovou adresu nebo požádá o zpřístupnění dokumentu.
• „Hlavní smlouva“ je smlouva o poskytování služeb platformy Observa uzavřená mezi Správcem a Zpracovatelem (Obchodní podmínky).
• „Porušení zabezpečení“ je porušení zabezpečení osobních údajů ve smyslu čl. 4 odst. 12 GDPR.
• „Dozorový úřad“ je Úřad pro ochranu osobních údajů (ÚOOÚ), případně jiný příslušný dozorový úřad podle GDPR.

2. Předmět a doba zpracování

2.1. Předmětem této DPA je úprava vzájemných práv a povinností smluvních stran při zpracování osobních údajů Zpracovatelem jménem Správce v souvislosti s poskytováním Služby.

2.2. Zpracovatel zpracovává osobní údaje po celou dobu trvání Hlavní smlouvy. Po ukončení Hlavní smlouvy zpracovává Zpracovatel osobní údaje pouze v rozsahu nezbytném pro splnění zákonných povinností (zejména účetní a daňové povinnosti) a v souladu s článkem 11 této DPA.

2.3. Tato DPA nabývá účinnosti dnem účinnosti Hlavní smlouvy (okamžikem registrace Správce na Platformě) a zůstává v platnosti po celou dobu, po kterou Zpracovatel zpracovává osobní údaje jménem Správce.

2.4. Dobu uchování jednotlivých osobních údajů v Platformě po dobu trvání Hlavní smlouvy určuje Správce. Platforma záznamy o osobách automaticky nemaže ani neanonymizuje. Osobu, která ukončila vztah ke Správci, může Správce označit jako neaktivní k určitému datu, záznam pak zůstává zachován jako doklad o jejích dřívějších rolích, přístupech a školeních. Výmaz osoby provádí Správce ručně v Platformě, nebo o něj požádá Zpracovatele podle odstavce 6.6. S osobou se smažou i její členství v týmech, přiřazení rolí, splnění školení a výzvy k potvrzení. U přístupů a vazeb aktiv zůstane jen údaj bez jména.

2.5. Odstavec 2.4 se nepoužije na záznamy o Návštěvnících Trust Center. Záznamy o ověření e-mailové adresy, žádosti o dokumenty a záznamy o zobrazení a stažení dokumentů Platforma maže po 24 měsících od posledního přístupu Návštěvníka. Správce může tuto dobu zkrátit. Žádost, u které Návštěvník neověřil e-mailovou adresu, se maže po 24 hodinách, propadlé ověřovací odkazy a relace se mažou průběžně. Záznam o přijetí dohody o mlčenlivosti se touto lhůtou neřídí a zůstává uložen jako doklad pro Správce po dobu trvání Hlavní smlouvy. Stejně dlouho se s ním uchovává soubor dohody podepsané mimo Platformu, který Správce k žádosti nahrál.

2.6. Odstavec 2.4 se nepoužije ani na údaje o přihlášení k uživatelskému účtu. U účtu se ukládá IP adresa, čas a způsob posledního přihlášení, poslední známá IPv4 a IPv6 adresa s časem posledního výskytu, čas posledního ověření a posledního selhání dvoufázového ověření, čas posledního zadání špatného hesla a počet neúspěšných pokusů o přihlášení s časem posledního z nich a dobou uzamčení účtu. Údaje se ukládají po dobu existence účtu a novější hodnota přepíše starší. Smazáním účtu se odstraní. Lhůtám pro uchování záznamů auditního logu nepodléhají.

3. Povaha a účel zpracování

3.1. Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování Služby, tedy provozu cloudové GRC platformy Observa, která Správci umožňuje:

• správu aktiv a regulovaných služeb v kontextu kybernetické bezpečnosti, včetně přístupů osob a servisních účtů k aktivům, licencí přiřazených osobám, dokumentů k aktivům a plánů obnovy a kontinuity činností s krizovým týmem,
• evidenci osob s uživatelským účtem i bez něj, servisních účtů, týmů a pracovních rolí a jejich přiřazení k přístupům, aktivům a odpovědnostem (modul Lidé a identity),
• evidenci školení a jejich splnění a zasílání výzev k potvrzení školení nebo seznámení se směrnicemi e-mailem, a to i osobám bez účtu,
• hodnocení zralosti a analýzu nedostatků (GAP analýza),
• řízení rizik, úkolů a nápravných opatření,
• správu dodavatelů a jejich hodnocení,
• správu bezpečnostních politik a interních dokumentů,
• evidenci bezpečnostních incidentů,
• řízení změn (change management),
• provoz stránky Trust Center, tedy ověření e-mailové adresy Návštěvníka odkazem, příjem a vyřízení žádostí o zpřístupnění dokumentů, evidenci přijetí dohody o mlčenlivosti a záznam o zobrazení a stažení dokumentů ověřeným Návštěvníkem,
• audit log a přehledy (dashboard).

3.2. Povaha zpracování zahrnuje shromažďování, ukládání, třídění, používání, zpřístupnění oprávněným uživatelům Správce, zasílání e-mailových výzev a oznámení, přenos (v rozsahu podle článku 9), omezení zpracování a výmaz osobních údajů prostřednictvím automatizovaných prostředků (webová aplikace s databází).

3.3. Funkce, které na základě evidence automaticky vytvářejí rizika, úkoly nebo souhrny (například riziko u role, kterou zastává jediná osoba, úkol k rotaci tajemství servisního účtu nebo týdenní souhrn školení správcům), jsou ve výchozím stavu vypnuté a zapíná je Správce. Jejich výstupy slouží Správci jako podklad pro řízení kybernetické bezpečnosti.

3.4. Obsah stránky Trust Center určuje Správce. Zveřejňuje se jen verze, kterou Správce publikoval, a to v režimu viditelnosti, který zvolil. Zpracovatel obsah nevybírá ani neupravuje. Pokud Správce na stránce uvede osobní údaje, například kontaktní osobu pro bezpečnost, zveřejňuje je z vlastního rozhodnutí.

4. Typ osobních údajů

4.1. V rámci Služby jsou zpracovávány následující kategorie osobních údajů:

4.2. Zpracovatel nezpracovává zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR, pokud je Správce sám nevloží do systému. Správce je odpovědný za to, aby do Platformy nezadával citlivé osobní údaje, pokud k tomu nemá zákonný důvod a odpovídající opatření.

4.3. Údaje osob bez účtu zadává do Platformy Správce. Osoby bez účtu nemají do Platformy přístup. E-mailem dostávají jen výzvy, které Správce odešle, s odkazem k potvrzení. Výzva k potvrzení školení obsahuje jen název a popis školení, název organizace Správce a platnost odkazu.

4.4. Návštěvníci Trust Center nemají do Platformy přístup a uživatelský účet se jim nezakládá. Nad rámec odstavce 4.1 se o nich neukládá otisk prohlížeče ani jiné údaje a stránka Trust Center nepoužívá analytické nástroje třetích stran. Návštěvy bez ověřené e-mailové adresy se evidují jen jako denní počty bez identifikace osoby.

5. Kategorie subjektů údajů

5.1. Osobní údaje se vztahují k následujícím kategoriím subjektů údajů:

• Zaměstnanci a spolupracovníci Správce s uživatelským účtem, tedy uživatelé platformy Observa v organizaci Správce.
• Kontaktní osoby dodavatelů Správce, tedy osoby uvedené v modulu správy dodavatelů, příjemci dotazníků a notifikací.
• Zaměstnanci a spolupracovníci Správce bez uživatelského účtu, které Správce eviduje v modulu Lidé a identity (interní osoby), včetně osob, které Správce určí jako vlastníky, garanty, držitele bezpečnostních rolí nebo členy krizového týmu.
• Pracovníci dodavatelů a další externí osoby, které Správce eviduje v modulu Lidé a identity (externí osoby), včetně kontraktorů bez dodavatele.
• Vlastníci servisních účtů, tedy osoby odpovědné za technické účty evidované v modulu Lidé a identity.
• Účastníci školení a osoby potvrzující seznámení se směrnicemi, včetně osob bez účtu, které potvrzují odkazem z e-mailu.
• Návštěvníci Trust Center, tedy osoby mimo organizaci Správce, typicky zástupci jeho zákazníků a obchodních partnerů, které na stránce Trust Center ověří e-mailovou adresu nebo požádají o dokument.
• Osoby odpovědné za kybernetickou bezpečnost, tedy držitelé bezpečnostních rolí a jejich zástupci, garanti bezpečnostních opatření a vlastníci rizik.
• Další osoby, tedy fyzické osoby, jejichž údaje Správce vloží do Platformy v rámci evidence aktiv, incidentů, rizik, dokumentů nebo jiných modulů.

6. Povinnosti zpracovatele

6.1. Zpracování na základě pokynů

Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, včetně pokynů ohledně předání osobních údajů do třetí země nebo mezinárodní organizaci, pokud mu toto zpracování neukládá právo Unie nebo členského státu, které se na Zpracovatele vztahuje. V takovém případě Zpracovatel Správce o tomto právním požadavku informuje před zpracováním, ledaže by toto právo takové informování zakazovalo z důležitých důvodů veřejného zájmu.

6.2. Zajištění důvěrnosti

Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Tato povinnost trvá i po ukončení smluvního vztahu.

6.3. Technická a organizační opatření (čl. 32 GDPR)

Zpracovatel přijímá a udržuje vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající danému riziku, zejména:

• Šifrování dat při přenosu. Veškerá komunikace je šifrována pomocí TLS 1.2+.
• Šifrování dat v klidu. Databáze a zálohy jsou uloženy na šifrovaných discích (AES-256).
• Šifrování souborů podle organizace. Dokumenty k aktivům a dodavatelům a přílohy incidentů a změn se ukládají šifrovaně klíčem, který je jedinečný pro každou organizaci.
• Vícefaktorové ověření (MFA). Podpora TOTP pro všechny uživatelské účty.
• Audit log. Automatické zaznamenávání přístupů a změn v systému. Záznamy o změnách v modulu Lidé a identity uvádějí jen interní číslo osoby, ne její jméno.
• Izolace mezi organizacemi. Striktní oddělení dat jednotlivých organizací na aplikační úrovni s automatickými filtry v každém dotazu, ověřované desítkami automatických testů.
• Řízení přístupu. Rolový model (RBAC) s oprávněními podle modulů a principem nejmenších oprávnění. Osoby bez účtu nemají do Platformy přístup.
• Jednorázové odkazy k potvrzení. Odkaz k potvrzení školení platí 30 dní a použije se jednou. V databázi se ukládá jen otisk (hash) tokenu, ne samotný odkaz. Počet požadavků na odkazy je omezen.
• Tajemství servisních účtů se neukládají. Platforma eviduje jen odkaz na místo jejich uložení u Správce.
• Oddělení Trust Center. Veřejná stránka běží na samostatné adrese mimo přihlášenou část Platformy a čte jen publikovanou verzi. Dokumenty Trust Center se ukládají šifrovaně klíčem organizace a každé stažení znovu ověřuje oprávnění Návštěvníka. Z ověřovacích odkazů a relací Návštěvníků se v databázi ukládá jen otisk.
• Pravidelné zálohy. Automatické zálohy databáze s retencí podle typu plánu.
• Bezpečnostní hlavičky. Content Security Policy, HSTS, X-Frame-Options a další.
• Monitoring a detekce. Průběžný monitoring dostupnosti a bezpečnostních událostí.

Podrobný přehled opatření je uveden v Příloze 1 (TOM).

6.4. Zapojení dalšího zpracovatele

Zpracovatel nesmí zapojit dalšího zpracovatele (sub-zpracovatele) bez předchozího konkrétního nebo obecného písemného souhlasu Správce. V případě obecného písemného souhlasu Zpracovatel informuje Správce o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a poskytne tak Správci příležitost vyslovit vůči těmto změnám námitky. Aktuální seznam sub-zpracovatelů je uveden v Příloze 2.

Zpracovatel zajistí, aby na sub-zpracovatele byly smluvně uloženy stejné povinnosti na ochranu údajů, jaké jsou stanoveny v této DPA.

6.5. Pomoc správci

Zpracovatel je povinen, s přihlédnutím k povaze zpracování, pomáhat Správci prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, pro splnění povinnosti Správce reagovat na žádosti o výkon práv subjektu údajů podle kapitoly III GDPR (právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost, námitku).

Zpracovatel pomáhá Správci při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR (bezpečnost zpracování, oznamování porušení, posouzení vlivu na ochranu osobních údajů, tedy DPIA), a to s přihlédnutím k povaze zpracování a informacím, které má Zpracovatel k dispozici.

6.6. Vrácení nebo výmaz dat

Po ukončení poskytování Služby zůstávají data Správce v systému Zpracovatele v režimu deaktivovaného účtu po dobu sjednanou v Hlavní smlouvě (standardně pro umožnění reaktivace, auditu a exportu). Správce může kdykoli požádat o export dat ve strojově čitelném formátu (CSV, JSON) prostřednictvím zabezpečeného kanálu.

Zpracovatel provede výmaz dat na písemnou žádost Správce, zejména při výkonu práva na výmaz podle čl. 17 GDPR nebo při ukončení uchovávací lhůty podle Hlavní smlouvy, a to do 30 dnů od doručení žádosti. Výmaz se provádí ze všech produkčních systémů i záloh a je Správci potvrzen písemně. Zpracovatel si ponechá pouze údaje, jejichž uchování vyžaduje právní předpis (zejména účetní doklady).

6.7. Audit a kontrola

Zpracovatel poskytne Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti podle čl. 28 GDPR, a umožní audity, včetně inspekcí, prováděné Správcem nebo jiným auditorem, kterého Správce pověřil, a k těmto auditům přispěje.

Správce je povinen audit ohlásit minimálně 30 dnů předem. Audit se provádí v pracovních dnech a nesmí nepřiměřeně narušit provoz Zpracovatele. Náklady auditu nese Správce, pokud audit neodhalí podstatné porušení povinností Zpracovatele.

7. Povinnosti správce

7.1. Správce je odpovědný za zákonnost zpracování osobních údajů a za to, že má platný právní základ pro předání osobních údajů Zpracovateli.

7.2. Správce je povinen zajistit, aby osobní údaje zadávané do platformy Observa byly přesné, aktuální a relevantní pro účel zpracování.

7.3. Správce je povinen informovat subjekty údajů (své zaměstnance a spolupracovníky, včetně osob bez účtu a pracovníků dodavatelů, které v Platformě eviduje) o zpracování jejich osobních údajů v platformě Observa v souladu s čl. 13 a 14 GDPR.

7.4. Správce je odpovědný za přidělování uživatelských účtů, přidělování rolí a oprávnění, a za řádnou správu přístupových údajů svých uživatelů.

7.5. Správce je povinen neprodleně informovat Zpracovatele o jakýchkoliv změnách, které mohou ovlivnit plnění povinností Zpracovatele podle této DPA.

7.6. Správce nesmí do Platformy vkládat zvláštní kategorie osobních údajů (čl. 9 GDPR) bez předchozí písemné dohody se Zpracovatelem a bez zavedení odpovídajících ochranných opatření.

7.7. Správce je povinen informovat Návštěvníky Trust Center o zpracování jejich osobních údajů. Na formulářích Trust Center k tomu uvede odkaz na své zásady ochrany osobních údajů. Správce odpovídá za obsah, který na stránce Trust Center zveřejní, a za text dohody o mlčenlivosti, kterou Návštěvníkům předkládá.

8. Sub-zpracovatelé

8.1. Správce tímto uděluje Zpracovateli obecný souhlas se zapojením sub-zpracovatelů uvedených v Příloze 2 této DPA.

8.2. Zpracovatel informuje Správce e-mailem minimálně 30 dnů předem o každém zamýšleném přijetí nového sub-zpracovatele nebo nahrazení stávajícího. Správce má právo vznést námitku proti změně sub-zpracovatele do 14 dnů od oznámení.

8.3. Pokud Správce vznese odůvodněnou námitku a strany nedosáhnou řešení do 30 dnů, má Správce právo vypovědět Hlavní smlouvu bez sankce.

8.4. Aktuální sub-zpracovatelé ke dni účinnosti této DPA:

Zpracovatel zajistí, aby na každého sub-zpracovatele byly smluvně uloženy stejné povinnosti na ochranu údajů, jaké jsou stanoveny v této DPA.

9. Předávání údajů do třetích zemí

9.1. Veškerá aplikační data (databáze, soubory, zálohy) jsou uložena jen v rámci Evropské unie. Produkční prostředí běží v datových centrech Hetzner Online GmbH v Německu, zálohy jsou uloženy i v jiné lokalitě, vždy v EU.

9.2. Platby zpracovává Stripe Payments Europe, Ltd. (Irsko). Pokud Stripe některé údaje předává do USA, děje se to podle jeho smluv na základě EU-US Data Privacy Framework a standardních smluvních doložek (SCC).

9.3. Rozsah údajů předávaných Stripe je omezen na údaje nezbytné pro zpracování plateb: e-mail, jméno, fakturační adresa, IČO. Stripe nezpracovává provozní data platformy Observa (aktiva, rizika, politiky, evidenci osob a podobně).

9.4. Provoz Platformy prochází sítí Cloudflare, Inc. (sídlo: USA), která zajišťuje ochranu proti DDoS útokům, filtrování provozu (WAF) a doručení provozu. Šifrované spojení (TLS) končí na síti Cloudflare. Cloudflare data aplikace trvale neukládá. Předání údajů do USA probíhá na základě:

• rozhodnutí Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework), v jehož rámci je Cloudflare certifikován, a
• standardních smluvních doložek (SCC) podle rozhodnutí Komise (EU) 2021/914, které jsou součástí smlouvy o zpracování osobních údajů s Cloudflare.

9.5. Zpracovatel nesmí předat osobní údaje do třetí země nebo mezinárodní organizaci bez předchozího písemného souhlasu Správce, s výjimkou případů uvedených v odstavcích 9.2 a 9.4.

10. Oznamování porušení zabezpečení

10.1. Zpracovatel je povinen oznámit Správci jakékoliv porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, nejpozději však do 48 hodin od zjištění.

10.2. Oznámení musí obsahovat alespoň:

• popis povahy porušení, včetně kategorií a přibližného počtu dotčených subjektů údajů a záznamů,
• jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa,
• popis pravděpodobných důsledků porušení,
• popis opatření, která Zpracovatel přijal nebo navrhl přijmout s cílem vyřešit porušení, včetně případných opatření ke zmírnění jeho nepříznivých dopadů.

10.3. Zpracovatel aktivně spolupracuje se Správcem při šetření a nápravě porušení a poskytuje veškerou součinnost potřebnou pro splnění oznamovací povinnosti Správce vůči dozorovému úřadu (do 72 hodin podle čl. 33 GDPR) a subjektům údajů (čl. 34 GDPR).

10.4. Zpracovatel zdokumentuje veškerá porušení zabezpečení osobních údajů, včetně skutečností týkajících se porušení, jeho účinků a přijatých nápravných opatření.

11. Doba trvání a ukončení

11.1. Tato DPA je účinná po celou dobu trvání Hlavní smlouvy a automaticky zaniká ukončením Hlavní smlouvy, s výjimkou ustanovení, která podle své povahy přetrvávají (zejména povinnosti mlčenlivosti a výmazu nebo vrácení dat).

11.2. Po ukončení Hlavní smlouvy Zpracovatel:

• ponechá data v deaktivovaném režimu po dobu sjednanou v Hlavní smlouvě (k umožnění reaktivace, auditu a exportu),
• na žádost Správce exportuje veškerá data ve strojově čitelném formátu (CSV, JSON) a předá je Správci prostřednictvím zabezpečeného kanálu,
• na písemnou žádost Správce (zejména podle čl. 17 GDPR) provede do 30 dnů nevratný výmaz veškerých osobních údajů Správce ze všech systémů, včetně záloh,
• po provedení výmazu vystaví Správci písemné potvrzení.

11.3. Zpracovatel si ponechá pouze údaje, jejichž uchování vyžaduje právní předpis (například účetní doklady po dobu stanovenou zákonem o účetnictví), a to výhradně v nezbytném rozsahu.

Příloha 1: Technická a organizační opatření (TOM)

Zpracovatel implementuje a udržuje následující technická a organizační opatření podle čl. 32 GDPR:

A. Opatření k zajištění důvěrnosti

• Řízení přístupu. Rolový model RBAC s oprávněními podle modulů a principem nejmenších oprávnění. Přístup ke správě platformy je omezen na oprávněné osoby Zpracovatele. Osoby bez účtu do Platformy přístup nemají.
• Vícefaktorové ověření (MFA). Podpora TOTP pro všechny uživatelské účty s možností vynucení na úrovni organizace.
• Izolace mezi organizacemi. Striktní oddělení dat organizací na aplikační úrovni pomocí automatických filtrů v každém dotazu (organization_id, Global Eloquent Scope), ověřované desítkami automatických testů. Žádná organizace nemá přístup k datům jiné organizace.
• Povinnost mlčenlivosti. Všechny osoby s přístupem k osobním údajům jsou vázány povinností mlčenlivosti.
• Bezpečnost hesel. Hesla uživatelů jsou ukládána jako jednosměrný otisk Argon2id s náhodnou solí pro každé heslo, nikdy v otevřené podobě.
• Tajemství servisních účtů. Platforma hesla, klíče ani tokeny servisních účtů neukládá, eviduje jen odkaz na místo jejich uložení u Správce.
• Jednorázové odkazy k potvrzení. Odkaz k potvrzení školení platí 30 dní a použije se jednou, v databázi je uložen jen otisk tokenu (SHA-256). Stránky s odkazem mají omezený počet požadavků.
• Trust Center. Veřejná stránka je oddělená od přihlášené části Platformy. Ověřovací odkaz Návštěvníka platí 30 minut a použije se jednou, relace Návštěvníka platí nejdéle 7 dní a jen pro jedno Trust Center. V databázi je uložen jen otisk tokenu (SHA-256), počet požadavků je omezen. Přístup k dokumentu má omezenou platnost a Správce ho může kdykoli odvolat.

B. Opatření k zajištění integrity

• Audit log. Automatické zaznamenávání přístupů, změn a bezpečnostně relevantních událostí s časovou značkou, identifikací uživatele a IP adresou. U záznamů z modulu Lidé a identity se uvádí jen interní číslo osoby.
• Záznam o potvrzení. Potvrzení školení odkazem se ukládá s časem, IP adresou a identifikací prohlížeče jako doklad pro Správce. Historie splnění se nepřepisuje.
• CSRF ochrana. Tokenová ochrana veškerých formulářů.
• Input validace. Server-side validace všech vstupů, ochrana proti XSS a SQL injection.
• Content Security Policy. Restriktivní CSP hlavičky s nonce-based inline skripty.

C. Opatření k zajištění dostupnosti a odolnosti

• Hosting v EU. Serverová infrastruktura v datových centrech Hetzner Online GmbH v Německu, certifikace ISO 27001.
• Zálohy. Pravidelné automatické zálohy databáze a souborového systému.
• Monitoring. Průběžný monitoring dostupnosti a výkonu aplikace.
• Plán obnovy. Dokumentované postupy pro obnovu služby v případě výpadku.

D. Opatření k zajištění šifrování

• Šifrování při přenosu. TLS 1.2+ pro veškerou komunikaci mezi klientem a serverem (HTTPS).
• Šifrování v klidu. AES-256 šifrování disků na serverové infrastruktuře.
• Šifrování souborů podle organizace. Dokumenty k aktivům a dodavatelům a přílohy incidentů a změn se šifrují (AES-256 s ověřením integrity) klíčem jedinečným pro každou organizaci. Klíč organizace je uložen šifrovaně.
• HSTS. Strict-Transport-Security hlavička s dlouhou platností.

E. Postupy pravidelného posuzování

• Pravidelná revize bezpečnostních opatření a aktualizace softwaru.
• Penetrační testování a audit kódu.
• Revize přístupových oprávnění a uživatelských účtů.
• Hodnocení rizik zpracování osobních údajů.

Příloha 2: Seznam sub-zpracovatelů

Následující sub-zpracovatelé jsou ke dni účinnosti této DPA zapojeni do zpracování osobních údajů:

Zpracovatel průběžně aktualizuje tento seznam a informuje Správce o změnách podle článku 8 této DPA.

Přehled změn ve verzi 1.1

Verze 1.1 doplňuje zpracování osobních údajů v modulu Lidé a identity a v evidenci aktiv. Mezi sub-zpracovatele (článek 8 a Příloha 2) doplňuje Cloudflare, Inc. a Zoho Corporation B.V., u plateb uvádí smluvní stranu Stripe Payments Europe, Ltd. a podle toho upravuje popis předávání do třetích zemí (článek 9). Verze 1.1 doplňuje také zpracování osobních údajů návštěvníků Trust Center, které se uplatní u Správce, který Trust Center používá. Verze 1.1 upravuje také uchování údajů o přihlášení k uživatelskému účtu.

• Článek 1. Doplněny pojmy Platforma, Modul Lidé a identity a Osoba bez účtu.
• Odstavec 2.4. Nový. Dobu uchování určuje Správce, Platforma záznamy o osobách automaticky nemaže, osoby se označují jako neaktivní k datu a výmaz provádí Správce ručně.
• Odstavec 2.6. Nový. Údaje o přihlášení k uživatelskému účtu se ukládají u účtu po dobu jeho existence, novější hodnota přepíše starší a smazáním účtu se odstraní.
• Odstavce 3.1 až 3.3. Doplněny účely (evidence osob, servisních účtů, týmů a rolí, školení a potvrzení odkazem z e-mailu, přístupy, licence, dokumenty a plány obnovy u aktiv) a volitelné automatické funkce.
• Odstavec 4.1. Rozšířeny identifikační, kontaktní a přístupové údaje. Nové kategorie údaje o odpovědnostech, údaje o školení a potvrzeních (včetně IP adresy, identifikace prohlížeče a času potvrzení) a obsah dokumentů.
• Odstavec 4.3. Nový. Osoby bez účtu nemají přístup do Platformy a dostávají jen výzvy od Správce.
• Odstavec 5.1. Doplněny osoby bez účtu, pracovníci dodavatelů, vlastníci servisních účtů, účastníci školení a držitelé bezpečnostních rolí se zástupci.
• Odstavec 6.3 a Příloha 1. Doplněno šifrování souborů klíčem organizace, jednorázové odkazy s otiskem tokenu a omezenou platností, neukládání tajemství servisních účtů, audit bez jmen osob a záznam o potvrzení.
• Odstavec 7.3. Informační povinnost Správce výslovně zahrnuje osoby bez účtu a pracovníky dodavatelů.
• Odstavec 8.4 a Příloha 2. Doplněn sub-zpracovatel Cloudflare, Inc. pro ochranu proti DDoS útokům, filtrování provozu (WAF) a doručení provozu a sub-zpracovatel Zoho Corporation B.V. pro doručování e-mailů z aplikace. Jako smluvní strana pro platby je uvedena Stripe Payments Europe, Ltd. (Irsko). U Hetzner Online GmbH upřesněno, že zálohy jsou uloženy i v jiné lokalitě v EU.
• Odstavce 9.1, 9.2, 9.4 a 9.5. Upřesněno, že aplikační data a zálohy jsou uložena jen v EU. Odstavec 9.2 uvádí jako zpracovatele plateb Stripe Payments Europe, Ltd. a případné předání do USA podle smluv Stripe. Nový odstavec 9.4 popisuje průchod provozu sítí Cloudflare a záruky předání do USA. Dosavadní odstavec 9.4 je nyní odstavec 9.5.
• Trust Center, článek 1. Doplněny pojmy Trust Center a Návštěvník Trust Center.
• Trust Center, odstavec 2.5. Nový. Záznamy o Návštěvnících Trust Center se mažou po 24 měsících od posledního přístupu, neověřené žádosti po 24 hodinách. Záznam o přijetí dohody o mlčenlivosti zůstává, stejně jako nahraný soubor dohody podepsané mimo Platformu.
• Trust Center, odstavce 3.1 a 3.4. Doplněn účel provozu stránky Trust Center. Obsah stránky a režim viditelnosti určuje Správce.
• Trust Center, odstavce 4.1 a 4.4. Nová kategorie údaje návštěvníků Trust Center, včetně souboru dohody o mlčenlivosti podepsané mimo Platformu. O Návštěvnících se neukládá nic nad její rámec.
• Trust Center, odstavec 5.1. Doplněni Návštěvníci Trust Center.
• Trust Center, odstavec 6.3 a Příloha 1. Doplněno oddělení veřejné stránky, otisky ověřovacích odkazů a relací, šifrování dokumentů a omezená platnost přístupu.
• Trust Center, odstavec 7.7. Nový. Informační povinnost Správce vůči Návštěvníkům a odpovědnost za zveřejněný obsah a text dohody o mlčenlivosti.
• Celý text. Jazykové úpravy bez věcné změny.