Smlouva o zpracování osobních údajů

Tato smlouva o zpracování osobních údajů (dále jen „DPA“) je nedílnou součástí Obchodních podmínek a uzavírá se mezi vámi jako Správcem a Pavel Zeroník, IČO 23928476, se sídlem Andělčina 503/3, Liberec IV-Perštýn, 460 01 Liberec jako Zpracovatelem.

1. Předmět a povaha zpracování

Zpracovatel zpracovává osobní údaje, které Správce (nebo členové jeho organizace) ukládá do služby Brainie, výhradně za účelem poskytování služby — tedy bezpečného uložení, synchronizace a zpřístupnění obsahu firemního mozku.

Režimy šifrování: ve výchozím režimu („šifrováno v klidu“) je obsah v databázi zašifrovaný (AES-256-GCM) s klíčem spravovaným odděleně od databáze; Zpracovatel obsah zpracovává v čitelné podobě pouze přechodně, po dobu vyřízení dotazu z napojeného AI nástroje (např. ChatGPT/Claude), a do databáze ukládá jen šifru. Ve volitelném režimu „end-to-end“ je obsah šifrovaný klíčem, který má pouze Správce, a Zpracovatel k němu nemá přístup v čitelné podobě (zero-knowledge).

2. Kategorie subjektů a údajů

Určuje je Správce tím, co do mozku uloží. Typicky mohou jít o kontaktní a obchodní údaje klientů, zaměstnanců či partnerů Správce. Zpracovatel jejich rozsah neovlivňuje ani nezná.

3. Povinnosti Zpracovatele

• Zpracovávat údaje pouze na doložené pokyny Správce (užíváním služby).
• Zajistit mlčenlivost osob oprávněných ke zpracování.
• Přijmout vhodná technická a organizační opatření (šifrování, řízení přístupu, audit).
• Být Správci nápomocen při plnění žádostí subjektů údajů a při zabezpečení.
• Po skončení služby údaje vymazat nebo vrátit (export), nestanoví-li zákon jinak.
• Umožnit Správci audit souladu a poskytnout potřebné informace.

4. Další zpracovatelé

Správce uděluje obecné povolení k zapojení dalších zpracovatelů. Aktuálně jsou to poskytovatelé uvedení v Zásadách ochrany osobních údajů (Supabase, Vercel, Stripe). O zamýšlené změně Zpracovatel Správce informuje a ten může vznést námitku.

5. Bezpečnost a ohlašování

Zpracovatel uplatňuje opatření přiměřená riziku, zejména šifrování obsahu v klidu (AES-256-GCM) s klíčem spravovaným odděleně od databáze, resp. end-to-end šifrování ve volitelném režimu. Únik samotné databáze proto obsah neodhalí (chybí hlavní klíč, který je mimo databázi). Porušení zabezpečení, které se Zpracovatele týká, ohlásí Správci bez zbytečného odkladu po jeho zjištění.

6. Předávání mimo EU

Primární infrastruktura je v EU. Případné předání mimo EU (např. platební brána) je kryto standardními smluvními doložkami (SCC) Evropské komise.

7. Doba a ukončení

DPA trvá po dobu poskytování služby. Po jejím ukončení Zpracovatel údaje vymaže ve lhůtách uvedených v Obchodních podmínkách, s výjimkou zákonných povinností uchování.

8. Odpovědnost

Správce odpovídá za zákonnost zpracování a za zajištění právního základu pro uložení osobních údajů třetích osob do mozku. Odpovědnost Zpracovatele se řídí Obchodními podmínkami a GDPR.