Informace pro finanční subjekty — DORA¶
Postavení MazeVault podle nařízení (EU) 2022/2554 (DORA) a podklady pro plnění povinností finančního subjektu vůči poskytovateli ICT služeb
Verze: 1.0.0
Klasifikace: Důvěrné
Vlastník: Jednatel MAZEVAULT s.r.o.
Poslední aktualizace: 2026-05-01
Cyklus revize: Roční a při změně smluvní dokumentace nebo právní úpravy
Model poskytování služby a rozdělení odpovědnosti
MazeVault se poskytuje jako licencovaný software provozovaný u Zákazníka (on-premises nebo ve vlastním cloudovém tenantu Zákazníka), nikoli jako hostovaná služba.
- Poskytovatel (MAZEVAULT s.r.o.) vyvíjí Produkt, vydává aktualizace a bezpečnostní záplaty a poskytuje upstream produktovou podporu Partnerovi. Neprovozuje infrastrukturu finančního subjektu, nehostuje Produkt ani data a standardně nemá přístup k prostředí ani datům Zákazníka (Licenční podmínky čl. VII; DPA čl. 2.3).
- Partner je nevýhradní reseller a jediný smluvní kontakt Zákazníka pro technickou podporu; SLA i DPA se uzavírají s Partnerem (SLA čl. 1.2, 3.1).
- Zákazník provozuje Produkt ve vlastní infrastruktuře, spravuje přístupy, šifrovací klíče, zálohy a obnovu (Licenční podmínky čl. IV, VII).
Poskytovatel negarantuje dostupnost Aplikace jako celku, dostupnost infrastruktury, RTO, RPO ani obnovu dat (SLA čl. 1.3; Licenční podmínky čl. IX). Takový závazek může vůči Zákazníkovi převzít pouze provozovatel infrastruktury samostatnou smlouvou.
| Oblast | Poskytovatel | Partner | Zákazník |
|---|---|---|---|
| Hosting a infrastruktura | Ne | Je-li provozovatelem | Ano |
| Dostupnost, RTO/RPO, zálohy, DR | Negarantuje | Dle vlastní smlouvy se Zákazníkem | Ano |
| Přístup k datům Zákazníka | Žádný standardní; jen diagnostika na doložený pokyn (DPA 2.3) | Dle rozsahu podpory/provozu | Plná kontrola |
| Aktualizace a záplaty | Vydává | Asistuje s nasazením | Nasazuje ve lhůtách dle Licenčních podmínek čl. V |
| Oznámení incidentu / zranitelnosti | → Partnerovi; přímo Zákazníkovi jen dle DPA 2.3 | → Zákazníkovi | → příslušnému orgánu |
1. Postavení MazeVault podle DORA¶
| Otázka | Odpověď |
|---|---|
| Je MazeVault finančním subjektem? | Ne. |
| Je MazeVault poskytovatelem ICT služeb třetí strany (čl. 3 bod 19)? | Ano — poskytuje finančnímu subjektu software a jeho průběžnou údržbu (aktualizace, bezpečnostní záplaty, upstream podpora). |
| Typ ICT služby pro registr informací | Licencování softwaru (bez SaaS) — software je nasazen a provozován v prostředí Zákazníka. Doplňkově údržba/upstream podpora Produktu. Přesné zařazení dle taxonomie prováděcího nařízení k registru informací provede finanční subjekt. |
| Je MazeVault určen jako kritický poskytovatel (CTPP, čl. 31)? | Ne. |
| Podporuje služba kritickou nebo důležitou funkci (čl. 3 bod 22)? | Posuzuje výhradně finanční subjekt. Vzhledem k povaze Produktu (správa klíčů, certifikátů a tajemství) je pravděpodobné, že ano — viz oddíl 4. |
| Kde jsou zpracovávána a uložena data finančního subjektu? | Výhradně v infrastruktuře provozované Zákazníkem (on-premise nebo vlastní cloudový tenant), v lokalitě dle volby Zákazníka. Poskytovatel data nehostuje. |
| Jaká data zpracovává Poskytovatel? | Pouze technická metadata licenčního serveru (identifikátor instalace, licenční stav, verze, časová razítka, kontaktní e-mail správce licence) a případně diagnostické údaje zpřístupněné při upstream eskalaci (DPA čl. 2.3–2.4). Podrobně: Ochrana osobních údajů. |
2. Údaje pro registr informací (čl. 28 odst. 3)¶
Finanční subjekt vede registr informací o všech smluvních ujednáních s poskytovateli ICT služeb. Poskytovatel k tomu dodává tyto údaje:
| Položka | Údaj |
|---|---|
| Název poskytovatele | MAZEVAULT s.r.o. |
| Identifikátor | IČO 24517194; zapsána u Městského soudu v Praze, sp. zn. C 441375; EUID / LEI na vyžádání |
| Sídlo / země | Kubelíkova 1258/43, Žižkov, 130 00 Praha 3, Česká republika |
| Typ poskytovatele | Nezávislý dodavatel softwaru (není součástí skupiny finančního subjektu) |
| Smluvní protistrana finančního subjektu | Licence: přímo Poskytovatel (akceptací Licenčních podmínek). Objednávka, SLA, DPA: Partner. |
| Druh ICT služby | Licencování softwaru (bez SaaS); údržba a bezpečnostní záplaty; upstream podpora Partnerovi |
| Země poskytování služby | Česká republika (vývoj, vydávání aktualizací, upstream podpora) |
| Země zpracování / uložení dat finančního subjektu | Dle infrastruktury Zákazníka — Poskytovatel data neukládá |
| Subdodavatelé podporující službu | Viz Seznam zpracovatelů a dodavatelů: hosting licenčního serveru (EU), platforma pro správu zdrojového kódu a sestavení, externí vývojoví dodavatelé Poskytovatele vázaní smlouvou a mlčenlivostí |
| Závislost provozu Produktu na Poskytovateli | Produkt ověřuje licenci vůči licenčnímu serveru Poskytovatele (denně). Při nedostupnosti licenčního serveru Produkt pokračuje v provozu na posledním ověřeném stavu licence. Po uplynutí předplatného platí 14denní ochranná lhůta. |
| Doba trvání a výpověď | Dle Objednávky a Licenčních podmínek čl. X (předplatné s automatickým prodloužením; neprodloužení oznámením 30 dnů před koncem období; ukončení pro podstatné porušení po marné 30denní lhůtě k nápravě) |
| Nahraditelnost | Posuzuje finanční subjekt. Data (certifikáty, klíče, tajemství, auditní logy) jsou v infrastruktuře Zákazníka a jsou exportovatelná ve standardních formátech (PEM, PKCS#12, JSON). |
3. Smluvní ustanovení dle čl. 30 odst. 2 — kde jsou upravena¶
| Požadavek čl. 30 odst. 2 | Smluvní dokument |
|---|---|
| (a) Jasný a úplný popis funkcí a služeb | Licenční podmínky čl. I–II; Seznam nezbytných programů (součásti Aplikace, podporované konfigurace); Objednávka (licenční varianta) |
| (b) Místa poskytování služby a zpracování dat | Služba poskytována z ČR; data v infrastruktuře Zákazníka (Licenční podmínky čl. IV, VII); podzpracovatelé v DPA Příloha C a Seznam zpracovatelů |
| (c) Dostupnost, autentičnost, integrita a důvěrnost dat | Licenční podmínky čl. VII (kontrola klíčů Zákazníkem, zálohování), čl. VIII (mlčenlivost); DPA Příloha B (technická a organizační opatření); dostupnost infrastruktury zajišťuje provozovatel (SLA čl. 1.3) |
| (d) Přístup k datům, jejich obnova a vrácení při ukončení | Data jsou trvale v dispozici Zákazníka (Licenční podmínky čl. VII); postup při ukončení čl. X; výmaz údajů zpracovaných Partnerem/Poskytovatelem DPA čl. 11 |
| (e) Popis úrovní služeb | SLA (Příloha 1a): úrovně podpory dle licenční varianty, klasifikace P1–P4, reakční doby Partnera a Poskytovatele, cílové lhůty vydání záplat. Dostupnost ani servisní kredity nejsou sjednány (SLA čl. 1.3, 12.3). |
| (f) Pomoc při ICT incidentu bez dodatečných nákladů | Upstream podpora a bezpečnostní proces Poskytovatele jsou součástí Licence (SLA čl. 8, 10); práce mimo vadu Produktu mohou být zpoplatněny (SLA čl. 8.3) |
| (g) Spolupráce s příslušnými orgány | Není výslovně upraveno — viz oddíl 4 (dodatek) |
| (h) Práva na ukončení a minimální výpovědní lhůty | Licenční podmínky čl. X; DPA čl. 8.2 (ukončení dotčené služby při námitce proti podzpracovateli) |
| (i) Účast v programech bezpečnostního povědomí a školení | Není sjednáno — Poskytovatel nemá přístup k prostředí Zákazníka; lze sjednat dodatkem |
4. Kritické nebo důležité funkce — čl. 30 odst. 3¶
Dojde-li finanční subjekt k závěru, že Produkt podporuje kritickou nebo důležitou funkci, musí smlouva obsahovat i ustanovení čl. 30 odst. 3. Stav ve standardní smluvní dokumentaci:
| Požadavek čl. 30 odst. 3 | Stav |
|---|---|
| (a) Úplný popis úrovní služeb s kvantitativními a kvalitativními cíli | Částečně — SLA stanoví reakční doby a cílové lhůty záplat; dostupnost infrastruktury není předmětem (provozuje Zákazník) |
| (b) Výpovědní lhůty a oznamovací povinnosti vůči finančnímu subjektu | Ano — změny Licenčních podmínek 30 dnů předem (čl. XII); konec podpory verze 3 měsíce předem (Licenční podmínky čl. V); změny podzpracovatelů 30 dnů předem (DPA čl. 8) |
| (c) Zavedení a testování pohotovostních plánů a bezpečnostních opatření | Ano, v rozsahu role — Poskytovatel udržuje opatření pro vývoj, vydávání a licenční server; opatření v prostředí Zákazníka zajišťuje provozovatel |
| (d) Účast a plná spolupráce při TLPT finančního subjektu | Není výslovně sjednáno. Licenční podmínky čl. III dovolují testy v prostředí Zákazníka; spolupráci Poskytovatele je třeba sjednat dodatkem |
| (e) Neomezená práva přístupu, kontroly a auditu finančním subjektem a příslušným orgánem | Částečně — DPA čl. 10 sjednává audit nejvýše 1× ročně s 20denním oznámením, bez přístupu ke zdrojovému kódu a datům jiných zákazníků; výjimka při důvodném podezření nebo na pokyn dozorového orgánu. Pro kritické funkce je třeba rozsah rozšířit dodatkem |
| (f) Strategie ukončení s přiměřeným přechodným obdobím | Částečně — Licenční podmínky čl. X; data v dispozici Zákazníka. Přechodné období nad rámec předplatného je třeba sjednat dodatkem |
Dodatek pro kritické a důležité funkce
Poskytovatel a Partner mají připraven vzor dodatku dle čl. 30 odst. 3 DORA (spolupráce s příslušnými orgány, součinnost při TLPT, rozšířená auditní práva, přechodné období při ukončení, oznamování subdodávek). Dodatek se uzavírá k Objednávce na žádost finančního subjektu. Vyžádejte si jej u Partnera nebo na info@mazevault.com.
5. Incidenty související s ICT (čl. 17–19)¶
Poskytovatel nemá přístup k prostředí Zákazníka a incidenty v něm nedetekuje. Podporuje hlášení finančního subjektu takto:
| Situace | Postup | Smluvní základ |
|---|---|---|
| Zákazník zjistí incident nebo zranitelnost Produktu | Hlásí Partnerovi a na info@mazevault.com nejpozději do 72 hodin; nezveřejňuje do nápravy | Licenční podmínky čl. XI |
| Poskytovatel se dozví o zranitelnosti Produktu | Zahájí bezpečnostní proces; u aktivně zneužívané zranitelnosti do 4 hodin poskytne Partnerovi předběžné varování a zmírňující opatření; cílové vydání záplaty: kritická do 48 h, vysoká do 7 dnů, ostatní do 90 dnů | SLA čl. 8.2, 10.2 a tabulka záplat |
| Porušení zabezpečení osobních údajů | Partner oznámí Zákazníkovi do 24 hodin; Poskytovatel oznámí Partnerovi a Zákazníkovi ve stejné lhůtě, týká-li se údajů zpřístupněných mu dle DPA čl. 2.3 | DPA čl. 7 |
| Podklady pro hlášení orgánu dohledu | Poskytovatel poskytne Partnerovi dostupné informace o příčině, dopadu na Produkt a nápravě; Produkt poskytuje auditní log s ochranou integrity (export JSON/SIEM) | SLA čl. 8; Auditní logování |
Hlášení závažných incidentů příslušnému orgánu podle čl. 19 je povinností finančního subjektu. Podrobně: Řešení bezpečnostních incidentů a zranitelností.
6. Subdodávky (čl. 29, čl. 30 odst. 2 písm. a))¶
Poskytovatel nevyužívá subdodavatele s přístupem k datům finančního subjektu. Dodavatelé Poskytovatele relevantní pro poskytování služby (hosting licenčního serveru, platforma pro zdrojový kód a sestavení, externí vývojoví dodavatelé) jsou uvedeni v Seznamu zpracovatelů a dodavatelů. Změny podzpracovatelů osobních údajů se oznamují 30 dnů předem s právem námitky (DPA čl. 8).
7. Ukončení a exit (čl. 28 odst. 7–8)¶
- Produkt a veškerá data (certifikáty, klíče, tajemství, konfigurace, auditní logy) jsou po celou dobu v infrastruktuře Zákazníka; žádné „vrácení dat" od Poskytovatele není technicky potřeba.
- Export je k dispozici kdykoli během trvání Licence ve standardních formátech (PEM, DER, PKCS#12, JSON, YAML) přes uživatelské rozhraní a API.
- Po skončení předplatného následuje 14denní ochranná lhůta, poté Zákazník Produkt odstraní (Licenční podmínky čl. X).
- Partner a Poskytovatel vymažou osobní údaje získané při podpoře dle DPA čl. 11.
- Podpora přechodu nad rámec standardní podpory se sjednává s Partnerem jako odborná služba (SLA čl. 8.3).
8. Co Poskytovatel nezajišťuje¶
Pro vyloučení pochybností při posuzování rizik:
- provoz, monitoring, zálohování a obnovu prostředí Zákazníka,
- garanci dostupnosti, RTO, RPO ani servisní kredity,
- přímou technickou podporu Zákazníkovi (zajišťuje Partner),
- poradenství o regulatorním souladu Zákazníka (Licenční podmínky čl. IX),
- kvalifikované služby vytvářející důvěru dle eIDAS (interní CA Produktu není QTSP; Licenční podmínky čl. VI).
9. Kontakty¶
| Účel | Kontakt |
|---|---|
| Bezpečnostní oznámení, zranitelnosti, GDPR, právní záležitosti | info@mazevault.com (Poskytovatel) |
| Technická podpora, incidenty, eskalace | Partner — kanál dle Objednávky |