Dodatek o zpracování osobních údajů Menelier (DPA)

Účinnost od: 1. září 2026
Verze: 2026-09-01-professional-legal-review

Tento dodatek o zpracování dat (dále jen „DPA“) tvoří součást smluvních podmínek společnosti Menelier nebo jiné smlouvy (dále jen „smlouva“) mezi zákazníkem uvedeným ve smlouvě (dále jen „zákazník“) a Martin Mayer, provozovatel Menelier ("Menelier").

1. Rozsah a role

Tento DPA se použije, pokud Menelier při poskytování Služby zpracovává osobní údaje pro Zákazníka jeho jménem.

Zákazník je správcem a Menelier je zpracovatelem tam, kde Zákazník nahrává, vytváří, importuje, zveřejňuje nebo jinak předává osobní údaje týkající se jeho zaměstnanců, dodavatelů, hostů nebo jiných fyzických osob (dále jen „Osobní údaje zákazníka“).

Menelier zůstává nezávislým správcem údajů, které zpracovává pro své vlastní účely, včetně správy účtů, přímé fakturace, daňových záznamů, zabezpečení, předcházení podvodům, servisní komunikace a vlastní právní shody. Na tyto činnosti se vztahují Zásadách ochrany osobních údajů Menelier a jsou mimo tento DPA.

2. Pokyny zákazníka

Menelier bude zpracovávat pouze osobní údaje zákazníka:

• k poskytování, zabezpečení, údržbě a podpoře služby podle Smlouvy;
• podle zdokumentovaného používání a konfigurace služby Zákazníkem;
• na dalších zdokumentovaných pokynech dohodnutých stranami; nebo
• tam, kde je zpracování vyžadováno platnými zákony, v takovém případě bude Menelier informovat zákazníka před zpracováním, pokud zákon nezakazuje oznámení.

Smlouva, tento DPA, používání služby zákazníkem a požadavky na podporu představují zdokumentované pokyny.

Zákazník odpovídá za to, že jeho pokyny a osobní údaje zákazníka jsou v souladu s platnými právními předpisy, že má zákonný základ pro zpracování a že poskytuje požadované informace subjektům údajů.

3. Podrobnosti zpracování

Předmět, povaha, účel a délka zpracování spolu s kategoriemi údajů a subjekty údajů jsou popsány v příloze 1.

4. Důvěrnost

Menelier zajistí, aby osoby oprávněné zpracovávat osobní údaje zákazníků byly vázány povinností mlčenlivosti a měly přístup pouze v rozsahu nezbytném pro jejich práci.

5. Bezpečnost

S přihlédnutím ke stavu techniky, nákladům na implementaci, kontextu zpracování a rizikům bude Menelier udržovat vhodná technická a organizační opatření určená k ochraně osobních údajů zákazníka před náhodným nebo nezákonným zničením, ztrátou, změnou, neoprávněným zveřejněním nebo přístupem.

Současná opatření jsou popsána v příloze 2. Menelier je může aktualizovat za předpokladu, že nedojde k podstatnému snížení celkové úrovně ochrany.

6. Další zpracovatelé

Zákazník uděluje společnosti Menelier obecné písemné oprávnění k zapojení dílčích zpracovatelů nezbytných k poskytování služby. Další zpracovatelé oprávnění k datu účinnosti jsou uvedeni v příloze 3. Menelier písemně oznámí Zákazníkovi alespoň 30 dnů před přidáním nebo nahrazením dílčího zpracovatele, čímž dá Zákazníkovi příležitost vznést námitku z přiměřených důvodů ochrany údajů.

Menelier bude:

• požadovat, aby každý další zpracovatel na základě písemné dohody převzal stejné povinnosti v oblasti ochrany údajů, které společnosti Menelier ukládá tento DPA, v rozsahu použitelném pro zpracování dílčím zpracovatelem, včetně požadavků článku 28(4) GDPR;
• zůstává odpovědný za plnění povinností subdodavatele v oblasti ochrany údajů v rozsahu požadovaném platnými právními předpisy; a
• v přiměřeném předstihu upozornit na nového dílčího zpracovatele prostřednictvím zveřejněného seznamu, e-mailu nebo služby.

Zákazník může vznést námitky proti novému subdodavateli z přiměřených důvodů ochrany údajů v rámci 15 dny po upozornění. Strany budou v dobré víře pracovat na rozumném řešení. Pokud není k dispozici žádné řešení, kterákoli ze stran může dotčenou službu ukončit; jakékoli vrácení peněz se řídí Smlouvou a příslušnými zákony.

7. Součinnost se zákazníkem

S ohledem na povahu zpracování a informace, které má Menelier k dispozici, bude Menelier zákazníkovi přiměřeně pomáhat s:

• odpovídání na žádosti subjektů údajů;
• povinnosti v oblasti bezpečnosti a porušení osobních údajů;
• posouzení dopadu na ochranu údajů; a
• předchozí konzultace s dozorovým úřadem, je-li požadována.

Pokud Menelier obdrží přímo od subjektu údajů žádost týkající se osobních údajů zákazníka, Menelier přesměruje žadatele na zákazníka, kde je to rozumně možné, a nebude žádost nezávisle plnit, pokud jí to zákazník nedá pokyn nebo to nevyžaduje zákon.

Zákazník uhradí přiměřené náklady za neobvykle rozsáhlou pomoc, která nebyla způsobena porušením povinnosti ze strany Menelier, bude-li to předem dohodnuto.

8. Porušení zabezpečení osobních údajů

Menelier uvědomí zákazníka bez zbytečného odkladu poté, co se dozví o porušení ochrany osobních údajů ovlivňující osobní údaje zákazníka. Oznámení bude obsahovat dostupné informace přiměřeně potřebné pro plnění zákonných povinností zákazníka, které mohou být poskytovány ve fázích podle vývoje vyšetřování.

Oznámení společnosti Menelier není přiznáním viny nebo odpovědnosti.

Kontakt pro zabezpečení: info@menelier.com

9. Smazání a vrácení

Během období služby může zákazník používat dostupné funkce exportu a mazání.

Po ukončení nebo uplynutí doby trvání služby Menelier na základě volby zákazníka osobní údaje zákazníka vymaže nebo mu je vrátí, ledaže právo Unie nebo členského státu vyžaduje jejich další uchování. Údaje v chráněných zálohách se vymažou v rámci běžného cyklu záloh a po dobu jejich uchování se na ně nadále vztahuje toto DPA.

Období provozního smazání: Samoobslužné odstranění uživatele zahrnuje 14denní lhůtu pro zrušení požadavku. Ověřené pokyny k odstranění celého účtu zpracujeme bez zbytečného odkladu, zpravidla do 30 dnů, s ohledem na ověření oprávnění k účtu, zákonné povinnosti uchování a technické závislosti.
Období uchování zálohy: 35 days

Menelier může uchovávat údaje správce, jako jsou faktury, záznamy o zabezpečení účtu a doklady o právním přijetí, v souladu se zásadami ochrany osobních údajů a příslušnými zákony.

10. Audity a informace

Menelier zpřístupní informace přiměřeně nezbytné k prokázání souladu s článkem 28 GDPR. Zákazník si může vyžádat příslušnou bezpečnostní dokumentaci nebo nezávislé zprávy, jsou-li k dispozici.

Pokud jsou tyto informace nedostatečné, může zákazník provést audit maximálně jednou za rok, s výjimkou případu závažného incidentu nebo případů, kdy dozorový orgán požaduje jinak. Audity musí:

• bude sjednáno s přiměřeným předstihem;
• se vyskytují během běžné pracovní doby;
• zabránit narušení a přístupu k datům jiných zákazníků;
• provádět zákazník nebo jím pověřený kvalifikovaný nezávislý auditor, v obou případech při dodržení odpovídající povinnosti mlčenlivosti; a
• respektujte přiměřené bezpečnostní požadavky společnosti Menelier.

Zákazník nese své náklady na audit, pokud audit nezjistí závažné porušení ze strany Menelier.

11. Mezinárodní předávání údajů

Menelier nepřevede osobní údaje zákazníků mimo Evropský hospodářský prostor nebo jiný region původu v rozporu s platnými pravidly pro přenos.

V případě potřeby budou strany spoléhat na rozhodnutí o přiměřenosti, standardní smluvní doložky Evropské komise, EU-U.S. Rámec ochrany osobních údajů pro oprávněného příjemce nebo jiné platné zabezpečení. Použitelné přenosové moduly a doplňková opatření budou začleněny formou odkazu nebo poskytnuty na vyžádání.

Primární hostitelský region: Česká republika
Podrobnosti o mechanismu předávání: Primární hosting a šifrované zálohy jsou umístěny v Evropské unii. Volitelné zpracování pomocí AI může zahrnovat předání údajů společnosti OpenAI a jejím dalším zpracovatelům. Pokud předání mimo EHP vyžaduje vhodnou záruku, Menelier se opírá o mechanismy uvedené v příslušných podmínkách zpracování osobních údajů OpenAI, zejména standardní smluvní doložky nebo použitelný mechanismus založený na rozhodnutí o odpovídající ochraně.

12. Pokyny v rozporu s právními předpisy

Menelier bude neprodleně informovat zákazníka, pokud podle svého odůvodněného názoru pokyn porušuje platné zákony na ochranu dat. Menelier může dotčené zpracování pozastavit, dokud strany problém nevyřeší.

13. Odpovědnost a pořadí přednosti

Odpovědnost podle této DPA podléhá ustanovením o odpovědnosti ve smlouvě, pokud příslušné zákony nestanoví jinak.

Pokud je tento DPA v rozporu se Smlouvou o zpracování osobních údajů zákazníka, řídí se tento DPA. Pokud jsou příslušné standardní smluvní doložky v rozporu s tímto DPA, platí pro příslušný převod tato ustanovení.

14. Doba trvání

Tento DPA zůstává v platnosti, zatímco Menelier zpracovává osobní údaje zákazníka jménem zákazníka.

Příloha 1 – Popis zpracování

Příloha 2 – Technická a organizační opatření

• transportní šifrování pomocí HTTPS/TLS;
• bezpečné hashování hesel pomocí aktuálních mechanismů PHP;
• oddělení přístupů podle rolí a zákaznických pracovních prostorů;
• omezený superadmin a produkční přístup;
• ochrana CSRF, bezpečné zpracování relací a ověřování e-mailů;
• ověřování podpisů webhooků Stripe a platebních událostí;
• omezování sazeb, prevence zneužití a audit/bezpečnostní logování;
• soukromé úložiště pro neveřejná nahrávání a kontrolované veřejné publikace;
• omezení přístupu k databázi, souborům a zálohám;
• proces údržby zranitelnosti a závislosti: Veřejně oznámené zranitelnosti komponent používaných Menelierem posuzujeme podle závažnosti a relevance. Bezpečnostní opravy a aktualizace závislostí provádíme v rámci průběžné údržby; závažné bezpečnostní problémy mají prioritu.;
• zálohovací frekvence a testování obnovy: Menelier vytváří denní šifrovanou aplikační zálohu databáze a neveřejných nahraných souborů, uchovává vzdálenou šifrovanou kopii na WEDOS Disku, sleduje aktuálnost záloh a uchovává aplikační zálohy 35 dnů. Postup ověření obnovy úspěšně dešifroval a zkontroloval produkční záložní archiv; pravidelný úplný test obnovy po havárii v současnosti není garantován.;
• reakce na incident a eskalace: Bezpečnostní incidenty řeší Provozovatel individuálně podle jejich povahy, včetně omezení dopadu, vyhodnocení, nápravy a dokumentace. Dotčené zákazníky a příslušné orgány informuje, pokud to vyžaduje právní předpis nebo smlouva.;
• řízení přístupů zaměstnanců a dodavatelů včetně jejich odebrání po ukončení spolupráce: Administrativní přístup je omezen na Provozovatele a konkrétně pověřené dodavatele v rozsahu nezbytném pro jejich činnost. Přístupová oprávnění se přezkoumávají při změně role či spolupráce a bez zbytečného odkladu se ruší, jakmile již nejsou potřebná.;
• řízení výmazu a uchovávání údajů: Osobní údaje zákazníka jsou po platném požadavku na výmaz nebo po ukončení Služby vymazány nebo anonymizovány, pokud jejich další uchování nevyžaduje právní předpis nebo není nezbytné pro určení, výkon nebo obhajobu právních nároků. Samoobslužné odstranění uživatele zahrnuje 14denní lhůtu pro zrušení požadavku. Vymazané údaje mohou zůstat v šifrovaných zálohách až 35 dnů.;
• kontinuita provozu a cíle obnovy: Obnova Služby využívá hosting WEDOS, denní šifrované aplikační zálohy a samostatnou šifrovanou kopii na WEDOS Disku. Menelier v současnosti negarantuje konkrétní RTO ani RPO; obnova probíhá s vynaložením přiměřeného úsilí.

Příloha 3 – Výchozí seznam dalších zpracovatelů

Příloha 4 – Strany

Zákazník / správce

Zákazník uvedený ve smlouvě nebo účtu Menelier.

Menelier / zpracovatel

• Právní název: Martin Mayer
• Adresa: Holubice 366, 68351 Holubice
• IČO: 73507351
• DIČ: CZ8003301680
• Kontakt: info@menelier.com
• Telefon: +420 724 548 554