Zpracovatelská smlouva (GDPR čl. 28)

1. Proč tato smlouva existuje

Vaše organizace je správcem osobních údajů svých účastníků (dětí), jejich rodičů a trenérů — vy rozhodujete, koho přihlásíte, jaké dokumenty od rodičů vyžadujete, a odpovídáte jim za dodržení GDPR. Platforma VYS pro vás tato data pouze technicky zpracovává jako zpracovatel podle čl. 28 GDPR.

2. Předmět a doba zpracování

Zpracovatel zpracovává osobní údaje jménem Správce po celou dobu trvání předplatného platformy VYS a po přiměřenou dobu poté nezbytnou k výmazu nebo předání dat.

3. Povaha, účel a kategorie zpracování

Zpracování spočívá ve správě účastníků, docházky, plateb a komunikace v rámci kroužků, táborů a workshopů provozovaných Správcem. Zpracovávané kategorie subjektů údajů: účastníci (děti), jejich rodiče / zákonní zástupci a trenéři Správce. Zpracovávané kategorie údajů: identifikační a kontaktní údaje, údaje o docházce, platební údaje (výsledek platby, nikoli čísla karet), a — pokud je Správce sám vyplní — zdravotní poznámky a další dokumenty vyžádané od rodičů.

4. Povinnosti Zpracovatele

• zpracovává osobní údaje pouze na základě doložených pokynů Správce (tj. v rozsahu funkcí platformy, které Správce používá),
• zajišťuje důvěrnost — přístup k datům mají jen osoby, které je k tomu potřebují,
• přijímá přiměřená technická a organizační opatření (šifrovaný přenos, řízení přístupu na úrovni databáze, hashovaná hesla),
• nezapojuje dalšího sub-zpracovatele bez předchozího souhlasu Správce; aktuální seznam sub-zpracovatelů je uveden v čl. 6,
• pomáhá Správci reagovat na žádosti subjektů údajů (přístup, oprava, výmaz) a na dotazy Úřadu pro ochranu osobních údajů,
• hlásí Správci jakékoli porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 72 hodin od zjištění,
• po ukončení předplatného na žádost Správce data vymaže nebo je předá zpět, nevyžaduje-li právní předpis jejich další uchování,
• umožní Správci přiměřenou kontrolu plnění této smlouvy.

5. Povinnosti Správce (vaší organizace)

• zajišťuje právní základ zpracování vůči rodičům a účastníkům (informování, případné souhlasy),
• odpovídá za pravdivost a přiměřenost údajů, které do platformy zadává,
• u zvláštních kategorií údajů (zdravotní poznámky) si sám vyžádá výslovný souhlas zákonného zástupce dítěte.

6. Sub-zpracovatelé

Zpracovatel využívá tyto schválené sub-zpracovatele:

• Supabase — databáze, autentizace a úložiště souborů,
• Stripe — zpracování platebních transakcí,
• Vercel — hosting webové administrace a mobilní aplikace,
• Expo / Google (Firebase Cloud Messaging) — doručování push notifikací.

O plánovaném zapojení nového sub-zpracovatele bude Zpracovatel Správce informovat předem.

7. Přílohy

Nedílnou součástí této smlouvy jsou Zásady zpracování osobních údajů a Obchodní podmínky platformy VYS, dostupné na této webové stránce.