Smlouva o zpracování osobních údajů (DPA)

1. Smluvní strany

Správce: pilotní firma — [DOPLNIT: název, IČO, sídlo].
Zpracovatel: provozovatel PipeLinkeru — [DOPLNIT: název, IČO, sídlo].

2. Předmět a doba zpracování

Zpracovatel zpracovává osobní údaje jménem správce výhradně za účelem poskytování služby PipeLinker po dobu trvání smluvního vztahu a následné řízené retence.

3. Pokyny správce

Zpracovatel jedná pouze podle doložených pokynů správce. Rozsah dat z Pipedrive odpovídá CRM nastavení a pokynu správce. Data se nepoužívají pro vlastní účely zpracovatele bez výslovného ujednání.

4. Kategorie subjektů a údajů

Klienti a kontaktní osoby (jméno, e-mail, telefon, vazby na projekty) a projektový obsah vložený správcem. Zvláštní kategorie údajů jsou vyloučené, pokud není písemně ujednáno jinak: [DOPLNIT].

5. Subzpracovatelé

Zpracovatel využívá tyto subzpracovatele:

• Vercel — hosting
• Supabase — databáze, přihlašování, úložiště
• Sentry — monitoring chyb
• Resend — transakční e-maily
• Cloudflare R2 — šifrované zálohy

Regiony zpracování, smluvní záruky a případné mezinárodní předávání: [DOPLNIT / ověřit dle aktuálních smluv]. Změny subzpracovatelů se oznamují dle ujednání.

6. Bezpečnostní opatření

• Tenantová izolace přes Row Level Security a serverovou autorizaci.
• Šifrování CRM tokenů a webhook credentials.
• Šifrované off-site zálohy s omezenou retencí a testem obnovy.
• Auditní log a filtrování citlivých údajů z monitoringu.

7. Součinnost

Zpracovatel je správci nápomocen při plnění práv subjektů, při ohlašování porušení zabezpečení a při posouzení vlivu. Postup žádostí o data je popsán v provozním runbooku.

8. Výmaz a vrácení dat

Po ukončení zpracovatel na pokyn správce data vrátí nebo vymaže, s výjimkou časově omezených šifrovaných záloh, na které se výmaz znovu aplikuje při obnově.

9. Audit a závěrečná ujednání

Kontrola plnění, forma a doba trvání smlouvy, odpovědnost a podpisy: [DOPLNIT dle právního posouzení].