Zpracovatelský dodatek

1. Strany a předmět

Zpracovatelem je Ing. Jiří Psota, IČO 76072266, se sídlem Zborovská 1200/6, 150 00 Praha 5 – Smíchov („zpracovatel“). Správcem je organizace, která službu Linguiqo používá na základě Obchodních podmínek („zákazník“).

Dodatek upravuje zpracování osobních údajů, které zákazník do služby vloží, podle čl. 28 nařízení (EU) 2016/679 (GDPR).

Dodatek je nedílnou součástí Obchodních podmínek a zákazník jej přijímá jejich přijetím; vlastnoruční podpis se nevyžaduje (čl. 28 odst. 9 GDPR). V otázkách ochrany osobních údajů má přednost před Obchodními podmínkami.

2. Rozsah

Předmět, povaha a účel zpracování, kategorie údajů a subjektů údajů jsou v Příloze 1. Zpracování trvá po dobu užívání služby a do výmazu podle čl. 9.

3. Pokyny

Zpracovatel zpracovává osobní údaje jen podle doložených pokynů zákazníka. Těmi jsou Obchodní podmínky, tento dodatek a nastavení a používání služby zákazníkem. Jinak jen tehdy, ukládá-li to právo EU nebo České republiky; o tom zákazníka předem informuje, nebrání-li tomu zákon.

Považuje-li zpracovatel pokyn za protiprávní, neprodleně na to zákazníka upozorní.

4. Mlčenlivost

Osoby s přístupem k osobním údajům jsou vázány mlčenlivostí smluvně nebo ze zákona, i po skončení spolupráce.

5. Zabezpečení

Zpracovatel přijímá opatření podle čl. 32 GDPR uvedená v Příloze 2. Může je měnit, pokud se úroveň ochrany nesníží.

6. Subzpracovatelé

Zákazník uděluje obecné povolení k zapojení subzpracovatelů uvedených na https://www.linguiqo.com/subprocessors.

Přidání nebo výměnu subzpracovatele zpracovatel zveřejní na téže stránce nejméně 30 dní předem. Zákazník může v této lhůtě vznést z oprávněných důvodů námitku. Nevyřeší-li ji strany, může zákazník službu bez sankce ukončit a získá zpět poměrnou část předplaceného poplatku.

Zpracovatel uloží subzpracovatelům stejné povinnosti ochrany údajů a odpovídá za jejich plnění.

Subzpracovateli nejsou poskytovatelé, které si zákazník ve službě připojí sám: strojový překlad (např. OpenAI nebo DeepL) přes vlastní API klíč zákazníka, git hosting (např. GitHub, GitLab nebo Azure DevOps) přes token zákazníka, adresy, na které zákazník nechá posílat webhooky, a Google nebo Microsoft, pokud se jejich účtem uživatel přihlašuje. Údaje se jim předávají jen na pokyn zákazníka a řídí se smlouvou zákazníka s daným poskytovatelem.

7. Předání mimo EHP

Osobní údaje jsou uloženy v EU (Google Cloud europe-west1, Belgie). Mimo EHP se předávají jen v rozsahu uvedeném v seznamu subzpracovatelů a jen se zárukou podle kapitoly V GDPR (rozhodnutí o odpovídající ochraně včetně EU-US Data Privacy Framework, nebo standardní smluvní doložky).

8. Součinnost

Zpracovatel zákazníkovi pomáhá:

• a) vyřizovat žádosti subjektů údajů, především funkcemi služby pro export, opravu a výmaz; žádost doručenou přímo zpracovateli předá zákazníkovi;
• b) plnit povinnosti podle čl. 32 až 36 GDPR.

Porušení zabezpečení osobních údajů ohlásí zákazníkovi bez zbytečného odkladu po zjištění. Uvede povahu porušení, dotčené údaje, pravděpodobné důsledky a přijatá opatření.

9. Ukončení, vrácení a výmaz

Do ukončení služby si zákazník může data exportovat: každý jazyk jako soubor, hromadně přes API nebo CLI.

Zpracovatel osobní údaje vymaže do 30 dní od zrušení týmu nebo ukončení smlouvy; totéž platí pro projekt, který zákazník smaže. Ze záloh zmizí jejich rotací nejpozději do 35 dní poté.

Uchovat smí jen údaje, jejichž uchování ukládá právo (např. účetní doklady).

10. Informace a audit

Zpracovatel poskytne na vyžádání informace potřebné k doložení plnění tohoto dodatku.

Zákazník může nejvýše jednou ročně, nebo po porušení zabezpečení, provést audit sám nebo přes auditora vázaného mlčenlivostí, s oznámením 30 dní předem a na vlastní náklady. U subzpracovatelů audit nahrazují jejich veřejné certifikace a zprávy.

11. Závěrečná ustanovení

Odpovědnost se řídí čl. 82 GDPR a Obchodními podmínkami. Dodatek se řídí právem České republiky.

Změny dodatku zpracovatel oznámí nejméně 30 dní předem zveřejněním na https://www.linguiqo.com/dpa. Změnu snižující ochranu údajů nelze provést bez souhlasu zákazníka.

Kontakt pro ochranu osobních údajů: hello@linguiqo.com.

Příloha 1 – Popis zpracování

Příloha 2 – Technická a organizační opatření

• Umístění: aplikace, databáze, soubory i zálohy databáze jsou v Google Cloudu v regionu europe-west1 (Belgie).
• Šifrování přenosu: veškerá komunikace přes HTTPS (TLS) s vynuceným HSTS.
• Řízení přístupu podle rolí v týmu: vlastník, administrátor, člen a externí překladatel, který vidí jen přidělené projekty a jazyky. Každý požadavek se ověřuje proti roli a týmu.
• Auditní log: kdo co změnil, kdy a z jaké IP adresy. Vidí ho administrátoři týmu.
• Přihlášení: hesla jen jako hash (scrypt), přístupový token platí 15 minut a relace 7 dní, změna hesla odhlásí všechna zařízení, počet pokusů o přihlášení je omezený.
• Svěřené přístupové údaje: tokeny ke git repozitářům, API klíče ke strojovému překladu a tajemství webhooků jsou šifrované klíčem uloženým mimo databázi (Google Secret Manager) a po uložení se už nezobrazují. API klíče služby se ukládají jen jako hash.
• Soubory: snímky obrazovky nejsou veřejné, vydávají se jen přes API po ověření oprávnění.
• Provoz: přístup k produkčním systémům má jen zpracovatel, servisní účty mají jen nezbytná oprávnění.
• Bez sledování: služba nepoužívá analytiku ani reklamní nebo sledovací skripty.
• Umělá inteligence: zpracovatel obsah zákazníka nepoužívá k trénování modelů. Strojový překlad běží jen přes klíč zákazníka a jen na pokyn uživatele.
• Doba uchování: ukázkové prostředí se maže po 2 hodinách, historie synchronizací po 30 dnech, data zrušeného týmu nebo smazaného projektu do 30 dní a ze záloh jejich rotací do 35 dní poté.