Právní informace

Smlouva o zpracování osobních údajů

Datum účinnosti

9. července 2026

1. Smluvní strany a úvodní ustanovení

Tato Smlouva o zpracování osobních údajů („Zpracovatelská smlouva“) se uzavírá mezi společností Notakey Latvia, SIA, jednotné registrační číslo 40103993632, se sídlem Ganu iela 3 – 12, Rīga, LV-1010, Lotyšsko („Notakey“ nebo „Zpracovatel“) a zákazníkem uvedeným v příslušném Objednávkovém formuláři nebo předplatném („Zákazník“ nebo „Správce“). Je součástí Podmínek poskytování služeb Notakey („Smlouva“) a je do nich začleněna.

Tato Zpracovatelská smlouva se použije v případech, kdy Notakey zpracovává osobní údaje jménem Zákazníka v rámci poskytování Služeb, ve smyslu nařízení (EU) 2016/679 („GDPR“, obecné nařízení o ochraně osobních údajů). Pojmy jako „osobní údaje“, „zpracování“, „správce“, „zpracovatel“ a „subjekt údajů“ mají význam stanovený v GDPR.

2. Předmět, doba trvání, povaha a účel

Předmět: poskytování Služeb Notakey pro autentizaci a podepisování transakcí (notakey.cloud nebo zařízení Notakey Appliance, společně s mobilní aplikací Notakey) Zákazníkovi.

Doba trvání: doba trvání Smlouvy a dále období do výmazu nebo vrácení všech Osobních údajů Zákazníka podle článku 10.

Povaha a účel: hostování, přenos a zpracování autentizačních údajů a údajů o schvalování transakcí tak, aby oprávnění uživatelé Zákazníka mohli registrovat zařízení, přijímat požadavky na schválení a schvalovat či zamítat autentizační a podpisové operace.

Kategorie subjektů údajů: zaměstnanci, dodavatelé, zákazníci, členové nebo jiní koncoví uživatelé Zákazníka, které Zákazník do Služeb registruje.

Typy osobních údajů: identifikátory uživatele (jako uživatelské jméno, e-mailová adresa nebo telefonní číslo); údaje pro ověření registrace (jako jednorázové kódy doručované prostřednictvím SMS nebo WhatsApp, potvrzení z adresářové služby nebo OpenID Connect, či ruční schválení správcem); údaje o zařízení (model zařízení, verze operačního systému, token pro push notifikace, veřejný klíč a certifikát zařízení); a aktivita autentizace/schvalování (metadata požadavků, výsledky schválení/zamítnutí, časová razítka, podpisy). Soukromé klíče jsou generovány a uloženy v zařízeních koncových uživatelů a nikdy nejsou přenášeny společnosti Notakey ani jí uchovávány. Zpracování žádných zvláštních kategorií osobních údajů (článek 9 GDPR) není zamýšleno; biometrické ověření, je-li použito, probíhá výhradně v zařízení koncového uživatele a Notakey je nepřijímá.

3. Role a pokyny

Zákazník je správcem a Notakey zpracovatelem Osobních údajů Zákazníka. Notakey bude zpracovávat Osobní údaje Zákazníka pouze na základě doložených pokynů Zákazníka, včetně pokynů obsažených ve Smlouvě, této Zpracovatelské smlouvě a v konfiguraci Služeb provedené Zákazníkem, ledaže mu zpracování ukládá právo EU nebo členského státu, které se na Notakey vztahuje — v takovém případě Notakey informuje Zákazníka o tomto právním požadavku před zpracováním, pokud to dané právo nezakazuje. Notakey informuje Zákazníka, pokud podle jeho názoru určitý pokyn porušuje GDPR.

4. Důvěrnost

Notakey zajišťuje, aby osoby oprávněné zpracovávat Osobní údaje Zákazníka byly vázány smluvní nebo zákonnou povinností mlčenlivosti.

5. Zabezpečení

Notakey zavádí a udržuje vhodná technická a organizační opatření k ochraně Osobních údajů Zákazníka, s přihlédnutím ke stavu techniky, nákladům na provedení a k povaze, rozsahu, kontextu a účelům zpracování, jak vyžaduje článek 32 GDPR. Aktuální opatření jsou popsána v Příloze 2. Notakey je může čas od času aktualizovat za předpokladu, že se celková úroveň ochrany nesníží.

6. Další zpracovatelé

Zákazník uděluje společnosti Notakey obecné povolení k zapojení dalších zpracovatelů uvedených v Příloze 3. Notakey oznámí Zákazníkovi přidání nebo nahrazení dalšího zpracovatele nejméně 30 dnů předem; Zákazník může v této lhůtě vznést námitku z důvodných obav týkajících se ochrany osobních údajů, přičemž v takovém případě budou smluvní strany v dobré víře hledat řešení, a nebude-li nalezeno, může Zákazník dotčené Služby vypovědět. Notakey ukládá každému dalšímu zpracovateli povinnosti v oblasti ochrany osobních údajů rovnocenné povinnostem podle této Zpracovatelské smlouvy a nadále odpovídá za jejich plnění.

7. Součinnost poskytovaná Zákazníkovi

S přihlédnutím k povaze zpracování bude Notakey Zákazníkovi v míře, v jaké je to možné, nápomocen prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti Zákazníka reagovat na žádosti subjektů údajů (kapitola III GDPR) a při plnění povinností Zákazníka podle článků 32–36 GDPR (zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace), v každém případě na základě důvodné žádosti Zákazníka. Pokud se subjekt údajů obrátí přímo na Notakey ve věci užívání Služeb Zákazníkem, Notakey žádost bez zbytečného odkladu postoupí Zákazníkovi.

8. Ohlašování porušení zabezpečení osobních údajů

Notakey informuje Zákazníka bez zbytečného odkladu poté, co se dozví o porušení zabezpečení osobních údajů týkajícím se Osobních údajů Zákazníka, a poskytne informace, které má Notakey přiměřeně k dispozici, aby Zákazníkovi pomohl splnit jeho vlastní ohlašovací povinnosti podle článků 33 a 34 GDPR, přičemž oznámení bude doplňovat podle toho, jak budou k dispozici další informace.

9. Mezinárodní předávání

Notakey zpracovává Osobní údaje Zákazníka v Evropském hospodářském prostoru. Služba notakey.cloud je hostována na Oracle Cloud Infrastructure. Pokud další zpracovatel zpracovává osobní údaje mimo EHP (viz Příloha 3), Notakey zajistí, aby byla zavedena vhodná záruka pro předání, jako jsou standardní smluvní doložky Evropské komise nebo rozhodnutí o odpovídající ochraně (včetně rámce EU–USA pro ochranu údajů, je-li příjemce certifikován).

10. Výmaz a vrácení údajů

Po ukončení nebo uplynutí doby poskytování Služeb Notakey podle volby Zákazníka vymaže nebo vrátí všechny Osobní údaje Zákazníka a bez zbytečného odkladu vymaže existující kopie, ledaže právo EU nebo členského státu vyžaduje jejich další uložení.

11. Audity

Notakey zpřístupní Zákazníkovi informace přiměřeně nezbytné k prokázání souladu s touto Zpracovatelskou smlouvou a umožní audity, včetně inspekcí, prováděné Zákazníkem nebo auditorem pověřeným Zákazníkem a přispěje k nim, a to za podmínky přiměřeného předchozího oznámení, nejvýše jednou v jakémkoli období 12 měsíců, nevyžaduje-li porušení zabezpečení osobních údajů nebo dozorový úřad jinak, v běžné pracovní době a při dodržení povinnosti mlčenlivosti. Notakey může žádosti o audit nejprve vyhovět poskytnutím existujících auditních zpráv nebo certifikací, pokud přiměřeně pokrývají rozsah žádosti.

12. Odpovědnost a pořadí přednosti

Odpovědnost každé smluvní strany podle této Zpracovatelské smlouvy podléhá omezením odpovědnosti sjednaným ve Smlouvě. V případě rozporu mezi touto Zpracovatelskou smlouvou a Smlouvou ohledně zpracování osobních údajů má přednost tato Zpracovatelská smlouva.

Příloha 1 — Podrobnosti o zpracování

Jak je uvedeno v článku 2 této Zpracovatelské smlouvy (předmět, doba trvání, povaha a účel, kategorie subjektů údajů a typy osobních údajů).

Příloha 2 — Technická a organizační opatření

  • Soukromé klíče koncových uživatelů jsou generovány a uloženy v hardwarově zabezpečeném úložišti zařízení a nikdy nejsou přenášeny společnosti Notakey ani jí uchovávány; každé schválení je kryptograficky podepsáno v zařízení.
  • Data při přenosu jsou šifrována pomocí TLS.
  • Obsah požadavků na schválení je do zařízení doručen až poté, co uživatel přijme push notifikaci; poskytovatelé push notifikací (APNs/FCM) přijímají tokeny, nikoli obsah požadavků.
  • Další podrobnosti o technických a organizačních opatřeních Notakey jsou Zákazníkovi k dispozici na vyžádání na adrese info@notakey.com.

Příloha 3 — Schválení další zpracovatelé

  • Oracle Cloud Infrastructure — hosting služby notakey.cloud.
  • Apple Inc. (Apple Push Notification service) — doručování push notifikací do zařízení se systémem iOS.
  • Google LLC (Firebase Cloud Messaging) — doručování push notifikací do zařízení se systémem Android.
  • Functional Software, Inc. (Sentry) — diagnostika chyb a pádů aplikací.

Pokud konfigurace registrace uživatelů u Zákazníka využívá doručování jednorázových kódů prostřednictvím SMS nebo WhatsApp, obdrží poskytovatel doručování zpráv telefonní číslo koncového uživatele pro účely doručení. Aktuální seznam dalších zpracovatelů je k dispozici na vyžádání na adrese info@notakey.com.