Smlouva o zpracování osobních údajů

Verze 1.2 - poslední aktualizace 24. října 2026

Tato Smlouva o zpracování osobních údajů („DPA“) je součástí Podmínek služby mezi společností KUZUB LTD, soukromou společností s ručením omezeným registrovanou ve Skotsku pod číslem společnosti SC890997, jejíž sídlo je na adrese Suite 2/3, 48 West George Street, Glasgow, G2 1BP, United Kingdom („KUZUB“, „my“ a „nás“), a Zákazníkem. Použije se vždy, když zpracováváme Osobní údaje zákazníka, a nabývá účinnosti, jakmile Zákazník přijme Podmínky služby.

1. Definice, role a přednost

1.1 Výrazy začínající velkým písmenem, které nejsou definovány v této DPA, mají význam uvedený v Podmínkách služby. V této DPA:

• Osobní údaje zákazníka znamenají osobní údaje obsažené v Obsahu zákazníka, které zpracováváme jménem Zákazníka.
• Právní předpisy o ochraně údajů znamenají UK GDPR a Data Protection Act 2018; Regulation (EU) 2016/679 („EU GDPR“) v rozsahu, v jakém se vztahuje na zpracování; Law of Ukraine „On Personal Data Protection“ v rozsahu, v jakém se vztahuje na zpracování; a jakýkoli jiný právní předpis o ochraně osobních údajů, který se na zpracování vztahuje.
• Standardní smluvní doložky znamenají standardní smluvní doložky připojené k prováděcímu rozhodnutí Komise (EU) 2021/914.
• Další zpracovatel znamená zpracovatele, kterého pověříme zpracováním Osobních údajů zákazníka.
• správce, zpracovatel, subjekt údajů, osobní údaje, porušení zabezpečení osobních údajů, zpracování a dozorový úřad mají význam uvedený v UK GDPR nebo, pokud se použije EU GDPR, v EU GDPR.

1.2 Zákazník je správcem Osobních údajů zákazníka a my jsme jejich zpracovatelem. Pokud Zákazník zpracovává Osobní údaje zákazníka jako zpracovatel jménem jiného správce, jsme dalším zpracovatelem Zákazníka a Zákazník potvrzuje, že správce pověřil naše zapojení za podmínek této DPA.

1.3 Pokud jsou tato DPA a zbývající část Podmínek služby v otázce ochrany údajů v rozporu, má přednost tato DPA.

1.4 Příloha 1 popisuje zpracování, Příloha 2 technická a organizační opatření a Příloha 3 Další zpracovatele. Přílohy tvoří součást této DPA.

2. Pokyny

2.1 Osobní údaje zákazníka zpracováváme pouze na základě doložených pokynů Zákazníka, včetně pokynů týkajících se předávání do třetí země, ledaže právní předpis Spojeného království nebo Evropské unie či členského státu, kterému podléháme, vyžaduje, abychom je zpracovávali. V takovém případě Zákazníka o tomto právním požadavku informujeme před zpracováním, pokud nám to tento právní předpis nezakazuje z důležitých důvodů veřejného zájmu.

2.2 Doložené pokyny Zákazníka jsou: (a) Podmínky služby včetně této DPA; (b) používání Služby Zákazníkem, včetně nahrávání, ukládání, sdílení odkazů na, exportu a mazání Obsahu zákazníka, zasílání Souboru podpoře a poskytování Souboru Technické knihovně; a (c) jakýkoli jiný pokyn, který Zákazník poskytne písemně a který písemně přijmeme.

2.3 Zákazník nám zejména dává pokyn, abychom:

• mazali Soubory a náhledy, Výstupy a odkazy z nich odvozené, jak stanoví článek 8.4 Podmínek služby;
• kontrolovali každý Soubor, zda obsahuje označení popsaná v článku 7.6 Podmínek služby; pokud je zjištěno označení státní nebo obranné bezpečnostní klasifikace, okamžitě zastavili zpracování a Soubor ihned smazali, a pokud je zjištěno označení obchodního tajemství, Soubor běžně zpracovali, ale vyloučili jej z podpory a z Technické knihovny;
• z Obsahu zákazníka odvozovali pouze Technické statistiky uvedené v článku 8.6 Podmínek služby, výhradně za účelem zachování a zlepšování spolehlivosti, kompatibility a zabezpečení Služby; bez předchozího písemného pokynu Zákazníka z Obsahu zákazníka neodvozujeme žádné jiné informace;
• u každého Souboru, který Zákazník poskytne podle článku 10 Podmínek služby, před uložením Souboru do Technické knihovny odstranili údaje uvedené v článku 10.3 Podmínek služby; a
• u každého Souboru, který Zákazník zašle podpoře podle článku 9 Podmínek služby, jej zpracovali pouze za účelem zodpovězení požadavku a opravy chyby a smazali jej, jak stanoví článek 9.4.

2.4 Pokud se podle našeho názoru pokynem porušují Právní předpisy o ochraně údajů, neprodleně o tom Zákazníka informujeme.

2.5 Zákazník odpovídá za to, že pro zpracování, ke kterému nám dává pokyn, má zákonný titul, že subjektům údajů poskytne informace vyžadované Právními předpisy o ochraně údajů, včetně osob uvedených na výkresech a Objednatelů uvedených v Cenových nabídkách, a že jeho pokyny jsou v souladu s Právními předpisy o ochraně údajů. Zákazník nesmí nahrávat zvláštní kategorie osobních údajů ani osobní údaje týkající se odsouzení za trestné činy a trestných činů.

3. Důvěrnost

Zajišťujeme, aby každá osoba, kterou pověříme zpracováním Osobních údajů zákazníka, byla vázána povinností mlčenlivosti, ať už smluvní, nebo zákonnou. Naši pracovníci přistupují k Obsahu zákazníka pouze v případech uvedených v článku 8.2 Podmínek služby a každý takový přístup zaznamenáváme.

4. Zabezpečení

4.1 Provádíme technická a organizační opatření popsaná v Příloze 2, abychom zajistili úroveň zabezpečení odpovídající riziku, jak vyžaduje článek 32 UK GDPR a EU GDPR.

4.2 Opatření v Příloze 2 můžeme aktualizovat za předpokladu, že se úroveň ochrany Osobních údajů zákazníka nesníží.

5. Další zpracovatelé

5.1 Zákazník nám uděluje obecné písemné oprávnění pověřovat Další zpracovatele. Další zpracovatelé pověření ke dni této DPA jsou uvedeni v Příloze 3.

5.2 Zákazníka informujeme e-mailem nejméně 30 dnů předtím, než nový nebo nahrazující Další zpracovatel začne zpracovávat Osobní údaje zákazníka, a téhož dne aktualizujeme Přílohu 3. Zákazník může do konce této lhůty vznést námitku e-mailem na adresu legal@cutmeter.com. Pokud námitce nemůžeme vyhovět změnou způsobu poskytování Služby tomuto Zákazníkovi, může Zákazník před zahájením zpracování novým Dalším zpracovatelem smazat svůj Účet nebo zrušit Pro; cena zaplacená za nevyužitou část Období předplatného se poté vrátí, přičemž se vypočítá za celé dny.

5.3 Každému Dalšímu zpracovateli ukládáme písemnou smlouvou povinnosti v oblasti ochrany údajů, které jsou věcně stejné jako povinnosti podle této DPA a poskytují dostatečné záruky k provedení vhodných technických a organizačních opatření. Zákazníkovi nadále odpovídáme za plnění povinností každého Dalšího zpracovatele.

6. Předávání

6.1 Zákazník povoluje předávání potřebná k poskytování Služby, jak je popsáno v oddílu 6 Zásad ochrany soukromí a v Příloze 3: ukládání Souborů a naší databáze v Evropské unii, zpracování v datovém centru Cloudflare nejbližším uživateli a přístup Dalších zpracovatelů ze třetích zemí na základě záruk uvedených v Příloze 3.

6.2 Předávání Osobních údajů zákazníka z Evropského hospodářského prostoru nám vychází z rozhodnutí Evropské komise o odpovídající úrovni ochrany pro Spojené království. Pokud se toto rozhodnutí na takové předávání přestane vztahovat, začlení se do této DPA od tohoto data Standardní smluvní doložky, a to takto, přičemž čísla článků odkazují na Standardní smluvní doložky: Modul dva se použije, pokud je Zákazník správcem, a Modul tři, pokud je Zákazník zpracovatelem; Zákazník je vývozcem údajů a KUZUB dovozcem údajů; článek 7 se nepoužije; použije se možnost 2 článku 9 písm. a), s výpovědní lhůtou uvedenou v oddílu 5.2; volitelné znění v článku 11 se nepoužije; v článku 17 se použije možnost 2 a právem zvoleným pro případ v něm popsaný je právo Irska; v článku 18 písm. b) jsou příslušné soudy členského státu, v němž je Zákazník usazen; a Přílohy 1, 2 a 3 této DPA doplňují Přílohy I, II a III Standardních smluvních doložek. Pokud jsou Standardní smluvní doložky v rozporu s touto DPA, mají přednost.

7. Pomoc a porušení zabezpečení osobních údajů

7.1 Služba umožňuje Zákazníkovi, aby sám přistupoval k Obsahu zákazníka, opravoval jej, exportoval a mazal, což je hlavní způsob, jakým Zákazníkovi pomáháme reagovat na žádosti subjektů údajů. Pokud obdržíme žádost subjektu údajů týkající se Osobních údajů zákazníka, předáme ji Zákazníkovi do 5 Pracovních dnů a sami na ni neodpovídáme, s výjimkou sdělení subjektu údajů, že jsme ji předali. Na požádání poskytneme Zákazníkovi veškeré další informace, které máme a které potřebuje k zodpovězení žádosti.

7.2 Poskytneme Zákazníkovi informace o Službě, které máme a které potřebuje ke splnění svých povinností týkajících se zabezpečení zpracování, oznamování porušení zabezpečení osobních údajů, posouzení vlivu na ochranu osobních údajů a předchozí konzultace s dozorovými úřady.

7.3 Zákazníka informujeme o porušení zabezpečení osobních údajů, které se týká Osobních údajů zákazníka, bez zbytečného odkladu a nejpozději do 48 hodin poté, co se o něm dozvíme, e-mailem na adresu Zákazníkova Účtu. Oznámení v rozsahu tehdy známém popíše povahu porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky a přijatá nebo navržená opatření; pokud všechny tyto informace nejsou k dispozici najednou, poskytneme je postupně, jakmile budou k dispozici. Přijmeme opatření potřebná k omezení porušení a zmírnění jeho účinků.

7.4 Pokud nás soud nebo orgán požádá o zpřístupnění Osobních údajů zákazníka, sdělíme to Zákazníkovi před zpřístupněním, pokud nám to právní předpis nezakazuje, a zpřístupníme pouze to, co jsme ze zákona povinni zpřístupnit.

8. Vymazání a vrácení

8.1 Osobní údaje zákazníka se mažou, jak stanoví článek 8.4 Podmínek služby. Po smazání Účtu Zákazníka smažeme Osobní údaje zákazníka v něm do 30 dnů a kopie v našich šifrovaných zálohách se přepíší během dalších 30 dnů, ledaže právní předpis Spojeného království nebo Evropské unie či členského státu vyžaduje, abychom je uchovali.

8.2 Před smazáním svého Účtu může Zákazník získat kopii Obsahu zákazníka pomocí exportních funkcí popsaných v článku 16 Podmínek služby. Export před smazáním je způsob, kterým Zákazník volí vrácení Osobních údajů zákazníka; smazáním Účtu bez exportu volí jejich vymazání.

8.3 Technické statistiky a deidentifikovaná geometrie v Technické knihovně neobsahují osobní údaje a nejsou Osobními údaji zákazníka. Pokud naše kontroly zjistí, že v Technické knihovně zůstaly osobní údaje, smažeme je.

9. Záznamy, informace a audity

9.1 Vedeme záznam o zpracování, které provádíme jménem Zákazníka, jak vyžadují Právní předpisy o ochraně údajů od zpracovatelů.

9.2 Zákazníkovi zpřístupňujeme informace nezbytné k prokázání souladu s článkem 28 UK GDPR a EU GDPR. Patří sem tato DPA a její přílohy a naše písemné odpovědi na písemné dotazy Zákazníka poskytnuté do 30 dnů; Zákazník může zaslat jednu sadu dotazů v kterýchkoli 12 měsících a další sady po porušení zabezpečení osobních údajů, které se jej týká, nebo pokud to vyžaduje dozorový úřad.

9.3 Pokud informace podle oddílu 9.2 nepostačují k prokázání souladu, pokud to vyžaduje dozorový úřad nebo po porušení zabezpečení osobních údajů týkajícím se Osobních údajů zákazníka umožníme audit a budeme se na něm podílet, včetně kontroly, provedený Zákazníkem nebo nezávislým auditorem, kterého Zákazník jmenuje a který je vázán mlčenlivostí a není naším konkurentem. Zákazník nám poskytne písemné oznámení nejméně 30 dnů předem; audit se koná v Pracovní dny, týká se pouze našich vlastních prostor a systémů a, s výjimkou případu porušení nebo požadavku dozorového úřadu, se koná nejvýše jednou v kterýchkoli 12 měsících. Pokud jde o prostory a systémy Dalších zpracovatelů, poskytneme auditní zprávy a certifikace, které nám Další zpracovatelé zpřístupní. Každá strana nese vlastní náklady auditu.

10. Doba trvání, odpovědnost a právo

10.1 Tato DPA se použije po dobu, po kterou zpracováváme Osobní údaje zákazníka, včetně doby po skončení Podmínek služby.

10.2 Odpovědnost každé strany podle této DPA nebo v souvislosti s ní podléhá omezením v článku 17 Podmínek služby v rozsahu povoleném Právními předpisy o ochraně údajů. Nic v této DPA neomezuje práva subjektů údajů podle Právních předpisů o ochraně údajů.

10.3 Tato DPA se řídí právem Skotska a vztahuje se na ni článek 23 Podmínek služby, s výjimkou případů, kdy se podle oddílu 6.2 začlení Standardní smluvní doložky, které se řídí právem a podléhají soudům uvedeným v tomto oddílu.

Příloha 1 - Podrobnosti o zpracování

• Předmět: poskytování Služby Zákazníkovi podle Podmínek služby.
• Doba trvání: po dobu, po kterou Zákazník Službu používá, a do vymazání podle oddílu 8.
• Povaha: ukládání; analýza výkresů (čtení, měření a kontrola geometrie); oprava geometrie; výpočet Cenových nabídek; zobrazování; sdílení prostřednictvím odkazů, které Zákazník vytváří; export; blokování a mazání Souborů s označením státní nebo obranné bezpečnostní klasifikace; vyloučení Souborů s označením obchodního tajemství z podpory a z Technické knihovny; odvozování Technických statistik; odstraňování údajů z Poskytnutých souborů; získávání údajů o zakázce z textu zpráv, které Zákazník vkládá do volitelné funkce Pro pro příjem zakázek; a vyřizování Souborů zaslaných podpoře.
• Účely: poskytovat Zákazníkovi Službu, jak ji popisují Podmínky služby, udržovat její zabezpečení a provádět pokyny v oddílu 2.3.
• Typy osobních údajů: jména, iniciály, podpisy (jako obrázky nebo jako nakreslené čáry), pracovní zařazení, e-mailové adresy, telefonní čísla a další identifikační údaje, které se objevují v titulních blocích, textu, atributech, vlastnostech souborů nebo názvech vrstev Souborů; jména a kontaktní údaje Objednatelů zadaných v Cenových nabídkách a zakázkách; jména a další údaje Objednatelů a jejich pracovníků obsažené ve zprávách vložených do funkce pro příjem zakázek; a jména obsluhy strojů ve strojních zprávách.
• Kategorie subjektů údajů: pracovníci Zákazníka; Objednatelé Zákazníka a jejich pracovníci; projektanti, inženýři, kresliči a schvalovatelé uvedení na výkresech; a obsluha strojů.
• Zvláštní kategorie osobních údajů: žádné. Zákazník je nesmí nahrávat.
• Četnost: nepřetržitě po dobu, po kterou Zákazník Službu používá.

Příloha 2 - Technická a organizační opatření

• Šifrování: všechna připojení ke Službě používají šifrované HTTPS; Soubory a naše databáze jsou u našich poskytovatelů šifrovány v klidovém stavu.
• Oddělení Účtů: pravidla přístupu k databázi zajišťují, že každý Účet může číst a měnit pouze svá vlastní data a uložené Soubory jsou uchovávány pod klíči, které nejsou mezi Účty sdíleny.
• Samostatný výpočetní engine: výpočetní engine běží jako samostatná služba bez vlastních uložených dat a jeho kód se neodesílá do prohlížečů.
• Minimalizace a uchovávání: platnost Souborů automaticky skončí 24 hodin po nahrání, pokud nejsou uloženy; protokoly nikdy neobsahují obsah Souborů, názvy souborů ani názvy vrstev nebo bloků, pouze velikost souboru, verzi enginu, čas a chybové kódy; Technické statistiky jsou omezeny na pole uvedená v článku 8.6 Podmínek služby a nejsou propojeny s Účty; před odesláním zprávy vložené do funkce pro příjem zakázek jazykovému modelu se z ní odstraní e-mailové adresy a telefonní čísla a neuchovává se ani zpráva, ani odpověď modelu.
• Kontrola přístupu: přístup k produkčním systémům je omezen na jmenovitě určené pracovníky, kteří jej potřebují, a je chráněn vícefaktorovým ověřováním; pracovníci otevírají Obsah zákazníka pouze v případech uvedených v článku 8.2 Podmínek služby a každý přístup je zaznamenán s datem, osobou a důvodem; Soubory zaslané podpoře mohou otevírat pouze pracovníci podpory.
• Označení: Soubory, u nichž Služba zjistí označení státní nebo obranné bezpečnostní klasifikace, se okamžitě mažou a nikdy se neukládají; Soubory s označením obchodního tajemství nelze zaslat podpoře ani poskytnout Technické knihovně.
• Poskytnuté soubory: údaje uvedené v článku 10.3 Podmínek služby se před uložením odstraní a vzorky Technické knihovny se kontrolují, zda v nich nezůstaly osobní údaje.
• Žádný skutečný Obsah zákazníka ve vývoji: Službu vyvíjíme a testujeme se syntetickými soubory; skutečný Obsah zákazníka se k tomuto účelu používá pouze tehdy, jde-li o Poskytnutý soubor, Soubor zaslaný podpoře kvůli jeho chybě nebo Obsah zákazníka poskytnutý podle samostatné písemné dohody s jeho Zákazníkem.
• Zabezpečení aplikace: každý požadavek na Službu se ověřuje; oznámení o platbách se přijímají pouze s platným podpisem; softwarové závislosti se udržují aktuální; a každé hlavní vydání před uvedením do provozu prochází kontrolou zabezpečení.
• Odolnost: Služba běží na síti Cloudflare, která chrání před útoky typu denial-of-service; naše databáze se denně zálohuje v šifrované podobě, zálohy se uchovávají nejdéle 30 dnů a obnovu ze zálohy testujeme nejméně jednou ročně.
• Incidenty: řídíme se písemným postupem pro incidenty, včetně oznamování podle oddílu 7.3.
• Pracovníci: každý, kdo má přístup k Osobním údajům zákazníka, je vázán mlčenlivostí a před udělením přístupu obdrží pokyny k ochraně údajů.

Příloha 3 - Další zpracovatelé

• Cloudflare, Inc. (United States of America): hosting a provádění Služby, ukládání Souborů a zabezpečení sítě. Soubory se ukládají v Evropské unii; zpracování probíhá v datovém centru Cloudflare nejbližším uživateli. Záruky pro přístup ze třetích zemí: podmínky zpracování údajů společnosti Cloudflare zahrnující Standardní smluvní doložky a United Kingdom's International Data Transfer Addendum a certifikace společnosti Cloudflare podle EU-US Data Privacy Framework a jeho UK Extension.
• Supabase, Inc. (United States of America): databáze a systém přihlašování, ukládání Uložených zakázek, Sazebníků, Cenových nabídek a dalšího Obsahu zákazníka v Evropské unii. Záruky pro přístup ze třetích zemí: podmínky zpracování údajů společnosti Supabase zahrnující Standardní smluvní doložky a United Kingdom's International Data Transfer Addendum.
• Plus Five Five, Inc. (Resend) (Spojené státy americké): doručování e-mailů zasílaných Službou Zákazníkovi, jako jsou přihlašovací odkazy a oznámení o žádostech o zakázku, které mohou obsahovat jména a kontaktní údaje. Ochranná opatření pro přenosy: podmínky zpracování údajů společnosti Resend zahrnující Standardní smluvní doložky a dodatek Spojeného království k mezinárodnímu předávání údajů.
• Anthropic, PBC (Spojené státy americké): jazykový model, na kterém je založena volitelná funkce Pro pro příjem zakázek a který dostává text zprávy vložené Zákazníkem, bez e-mailových adres a telefonních čísel, za účelem získání údajů o zakázce. Anthropic tento text nepoužívá k trénování svých modelů a vymaže jej do 30 dnů, ledaže jej musí uchovávat déle na základě právních předpisů nebo k vymáhání svých zásad používání. Ochranná opatření pro přenosy: podmínky zpracování údajů společnosti Anthropic zahrnující Standardní smluvní doložky a dodatek Spojeného království k mezinárodnímu předávání údajů.

Paddle není Dalším zpracovatelem: nepřijímá žádný Obsah zákazníka a zpracovává platební údaje jako samostatný správce.