Ochrana osobních údajů¶
Role podle GDPR, rozsah zpracování Poskytovatelem a práva subjektů údajů
Verze: 1.0.0
Klasifikace: Důvěrné
Vlastník: Jednatel MAZEVAULT s.r.o.
Poslední aktualizace: 2026-05-01
Cyklus revize: Roční a při změně smluvní dokumentace nebo právní úpravy
1. Role smluvních stran¶
Zpracování osobních údajů v souvislosti s Produktem upravuje třístranná Smlouva o zpracování osobních údajů (DPA, Příloha 2), kterou Zákazník uzavírá s Partnerem a Poskytovatelem.
| Strana | Role dle GDPR | Rozsah |
|---|---|---|
| Zákazník | Správce | Určuje účely a prostředky zpracování v Produktu; odpovídá za právní titul vložených údajů, retenci, zálohy a přístupy ve svém prostředí (DPA čl. 2.1, 5) |
| Partner | Zpracovatel | Pouze pokud při implementaci, podpoře nebo provozu přistupuje k prostředí či diagnostickým datům Zákazníka (DPA čl. 2.2) |
| Poskytovatel (MAZEVAULT s.r.o.) | Podmíněný podzpracovatel | Bez standardního přístupu k prostředí ani datům. Zpracovává pouze osobní údaje, které mu Partner na doložený pokyn Zákazníka zpřístupní při upstream eskalaci, výhradně k diagnostice vady nebo bezpečnostního problému (DPA čl. 2.3) |
| Poskytovatel | Samostatný správce | Technická metadata licenčního serveru nezbytná ke správě Licence (DPA čl. 2.4; Licenční podmínky čl. VII) — viz oddíl 2 |
Žádné ustanovení neopravňuje Poskytovatele ani Partnera vyžadovat privátní klíče, hesla, tokeny nebo nešifrovaný obsah Bezpečnostních aktiv (DPA čl. 2.5).
2. Co Poskytovatel zpracovává¶
2.1 Jako samostatný správce — licenční server¶
| Parametr | Údaj |
|---|---|
| Údaje | Identifikátor instalace/organizace, název organizace, licenční klíč a stav, verze Produktu, časová razítka aktivace a ověření licence, metriky využití licence, kontaktní e-mail správce licence |
| Účel | Uzavření a správa Licence, licenční kontrola, zabezpečení licenčního serveru, fakturace přes Partnera, ochrana práv Poskytovatele |
| Právní základ | Čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy) a písm. f) (oprávněný zájem na ochraně licence a bezpečnosti) |
| Příjemci / zpracovatel | Poskytovatel hostingu licenčního serveru v EU — viz Seznam zpracovatelů a dodavatelů |
| Předávání mimo EU/EHP | Ne |
| Doba uchování | Po dobu trvání Licence a následně po dobu nezbytnou k ochraně práv Poskytovatele (promlčecí doba) |
| Co se nezpracovává | Zákaznická data ani Bezpečnostní aktiva (certifikáty, klíče, tajemství, hesla) — ta licenční server neopouštějí prostředí Zákazníka |
Tato metadata nejsou Zákaznickými daty ani Bezpečnostními aktivy a nepoužijí se k marketingu bez samostatného právního titulu (DPA čl. 2.4).
2.2 Jako podmíněný podzpracovatel — diagnostika při upstream eskalaci¶
| Parametr | Údaj |
|---|---|
| Kdy | Pouze pokud Partner na doložený pokyn Zákazníka předá Poskytovateli diagnostické podklady, nebo Zákazník výslovně schválí dočasný diagnostický přístup |
| Údaje | Dle DPA Příloha A: identifikační a kontaktní údaje uživatelů, autentizační a přístupové údaje (nikoli hesla ani MFA tajemství), auditní a provozní záznamy, údaje v certifikátech (CN, SAN) |
| Účel | Diagnostika vady, bezpečnostního problému nebo poskytnutí produktové podpory |
| Doba uchování | Diagnostické kopie nejdéle 30 dnů po uzavření tiketu, není-li delší doba nutná kvůli incidentu nebo právní povinnosti (DPA Příloha A) |
| Opatření | DPA Příloha B; Zákazník před předáním podklady redukuje, je-li to možné (DPA čl. 5.1) |
3. Co zpracovává Produkt v prostředí Zákazníka¶
Produkt zpracovává osobní údaje výhradně v infrastruktuře Zákazníka a pod jeho kontrolou. Typické kategorie: účty uživatelů a administrátorů (jméno, pracovní e-mail, role, stav MFA), auditní záznamy (kdo, kdy, co), údaje v předmětu a SAN certifikátů. Zvláštní kategorie údajů (čl. 9 GDPR) nejsou zamýšleným předmětem zpracování.
Funkce Produktu podporující povinnosti správce (popis implementace v sekci Bezpečnost):
- šifrování dat v klidu a při přenosu, šifrovací klíče pod kontrolou Zákazníka (Šifrování),
- řízení přístupu na základě rolí a MFA (RBAC, Autentizace),
- auditní log s ochranou integrity a exportem do SIEM (Auditní logování),
- konfigurovatelná retence auditních záznamů a export/výmaz dat administrátorem Zákazníka.
4. Práva subjektů údajů¶
Žádosti subjektů údajů týkající se údajů zpracovávaných v Produktu vyřizuje Zákazník jako správce. Obdrží-li žádost Poskytovatel nebo Partner, předá ji bez zbytečného odkladu Zákazníkovi a bez jeho pokynu na ni věcně neodpovídá (DPA čl. 6.1).
Žádosti týkající se licenčních metadat (oddíl 2.1) vyřizuje Poskytovatel na adrese info@mazevault.com. Subjekt údajů má právo podat stížnost u Úřadu pro ochranu osobních údajů.
Poskytovatel nemá jmenovaného pověřence pro ochranu osobních údajů (povinnost dle čl. 37 GDPR se na něj nevztahuje); kontaktním místem pro ochranu osobních údajů je info@mazevault.com.
5. Porušení zabezpečení osobních údajů¶
| Kdo → komu | Lhůta | Základ |
|---|---|---|
| Partner → Zákazník | Bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy se o porušení dozví | DPA čl. 7.1 |
| Poskytovatel → Partner a současně Zákazník | Stejně, týká-li se údajů zpřístupněných Poskytovateli dle DPA čl. 2.3 | DPA čl. 7.1 |
| Poskytovatel → subjekty údajů / ÚOOÚ | U licenčních metadat jako samostatný správce dle čl. 33–34 GDPR | GDPR |
Ohlašovací povinnosti správce vůči ÚOOÚ a subjektům údajů za zpracování v Produktu zůstávají Zákazníkovi (DPA čl. 7.3).
6. Podzpracovatelé a předávání¶
- Partner uzavírá s dalšími podzpracovateli písemné smlouvy s rovnocennými povinnostmi (DPA čl. 8.3); změny oznamuje 30 dnů předem, Zákazník může do 15 pracovních dnů vznést námitku (DPA čl. 8.1–8.2).
- Osobní údaje se zpracovávají v EU/EHP; předání mimo EU/EHP pouze na doložený pokyn Zákazníka a s mechanismem dle kapitoly V GDPR (DPA čl. 9).
- Aktuální přehled: Seznam zpracovatelů a dodavatelů.
7. Audit a výmaz¶
- Podklady k doložení souladu a součinnost nezávislému auditorovi dle DPA čl. 10.
- Po skončení služby Partner a Poskytovatel vrátí nebo vymažou osobní údaje získané pro Zákazníka; vlastní export z provozovaného prostředí provede Zákazník (DPA čl. 11).