Smlouva o zpracování osobních údajů (DPA)
Příloha 1 k podmínkám nisd2.eu. Smlouva podle čl. 28 GDPR mezi vámi jako správcem a námi jako zpracovatelem.
Znění ze dne 5. října 2026
Toto je překlad pro informaci. Závazné je anglické znění.
Tato smlouva platí mezi zákazníkem jako správcem a společností Kardashev Catalyst UG (haftungsbeschränkt) jako zpracovatelem (příloha I) pro každé zpracování osobních údajů, které zpracovatel provádí jménem zákazníka při užívání hostované platformy nisd2.eu.
Strany sjednávají standardní smluvní doložky mezi správci a zpracovateli uvedené v příloze prováděcího rozhodnutí Komise (EU) 2021/915 ze dne 4. června 2021 (Úř. věst. L 199, 7.6.2021, s. 18). Tímto odkazem se stávají součástí této smlouvy v úředním znění. Níže uvedené přílohy I až IV jsou jejich přílohami.
V doložce 1 se volí možnost 1 (čl. 28 odst. 3 a 4 GDPR) a v doložce 7.7 možnost 2 (obecné písemné povolení) se lhůtou 30 dnů. Nepovinná doložka 5 (doložka o přistoupení) se nesjednává.
Podle doložky 4 mají standardní smluvní doložky přednost před podmínkami a před každou jinou dohodou mezi stranami.
Smlouva je uzavřena přijetím podmínek, jejichž je přílohou 1. Při objednávce roční licence ji zákazník potvrzuje u tlačítka objednávky; ukládá se verze, čas a osoba. Čl. 28 odst. 9 GDPR připouští elektronickou formu.
Zákazníci bez roční licence uzavírají smlouvu e-mailem na contact@nisd2.eu, v němž ji přijmou. Na požádání obdrží každý zákazník smlouvu také jako podepsané PDF.
Zákazník uděluje obecné povolení pro dílčí zpracovatele uvedené v příloze IV. Pokud zpracovatel zamýšlí přidat nebo nahradit dílčího zpracovatele, informuje osobu, která drží účet zákazníka, e-mailem nejméně 30 dnů předem.
Zákazník může v této lhůtě vznést námitku. Pokud se zpracovatel nemůže změny pro tohoto zákazníka zdržet, může zákazník roční licenci vypovědět ke dni změny; zpracovatel poměrně vrátí předem zaplacené poplatky za dobu po tomto dni.
Zákazník dává pokyny užíváním platformy a v textové formě na contact@nisd2.eu.
Smlouva platí, dokud zpracovatel pro zákazníka zpracovává údaje. Když roční licence skončí, účet a jeho údaje zůstávají (podmínky B10), a s nimi i tato smlouva.
Po ukončení si zákazník podle doložky 10 písm. d) zvolí mezi výmazem a vrácením, a to e-mailem na contact@nisd2.eu. Vrácením se rozumí kopie údajů v běžném, strojově čitelném formátu. Zpracovatel výmaz potvrdí v textové formě. Platforma zatím pro ani jedno nenabízí samoobsluhu; zpracovatel provede obojí na požádání.
Odpovědnost se řídí bodem A7 podmínek. Čl. 82 GDPR zůstává nedotčen.
Přílohy ke standardním smluvním doložkám
Správce: zákazník, s názvem společnosti, adresou a DIČ z jeho objednávky. Kontaktní osobou je osoba, která drží účet. Uložené přijetí (verze, čas, osoba), které zákazník vidí v sekci Fakturace, nahrazuje podpis a datum.
Zpracovatel: Kardashev Catalyst UG (haftungsbeschränkt), Trierer Str. 6, 50676 Köln, Německo, zastoupená jednatelem Simonem Orzelem. Kontakt pro ochranu osobních údajů: contact@nisd2.eu. Podpis a datum: zpřístupněním této smlouvy ve znění uvedeném výše.
Kategorie subjektů údajů: uživatelé účtu (zaměstnanci a zástupci zákazníka). Osoby, které zákazník uvede v platformě: zaměstnanci, členové vedení, kontaktní osoby pro informační bezpečnost, ochranu osobních údajů a hlášení, účastníci školení a cvičení, vlastníci rizik, aktiv a opatření. Kontaktní osoby u dodavatelů a poskytovatelů služeb, včetně osob, které odpovídají přes portál pro dodavatele.
Kategorie osobních údajů: údaje účtu (jméno, e-mail, telefon, pracovní pozice, role, jazyk, heslo pouze jako bcrypt hash, časy přihlášení a ověření). Údaje obsahu (jména, pracovní pozice a kontaktní údaje ve formulářích, odpovědnosti, schválení se jménem, rolí a časem, záznamy o školení a certifikáty, volný text a popisy incidentů, nahrané dokumenty s důkazy). Údaje protokolů (auditní protokol s uživatelem, akcí, časem, IP adresou, user agentem a odeslanými hodnotami).
Citlivé údaje: platforma není určena pro zvláštní kategorie osobních údajů podle čl. 9 GDPR a nežádá je. Pokud zákazník takové údaje zadá do volného textu nebo dokumentů, vztahují se na ně opatření z přílohy III.
Povaha zpracování: ukládání, zobrazování, změna, export, zasílání e-mailem a výmaz při provozu platformy.
Účel: poskytování platformy, s jejíž pomocí zákazník organizuje a dokumentuje své povinnosti podle NIS 2; zasílání oznámení.
Doba trvání: po dobu, kdy zákazník platformu užívá, do výmazu nebo vrácení podle bodu 4.
Zpracování dílčími zpracovateli: předmět, povaha a doba trvání jsou uvedeny v příloze IV; doba trvání odpovídá době trvání této smlouvy.
Opatření podle čl. 32 GDPR jsou popsána na stránce TOMs, ve znění platném v době přijetí. Uvádí jen to, co je zavedeno v kódu a v provozu. Hlavní body:
Šifrování: TLS pro každé spojení s platformou. Nahrané soubory a archivované faktury jsou uloženy v AWS S3 se šifrováním na straně serveru (AES256), nastaveným u každého nahrání. Aplikace databázi dodatečně nešifruje.
Přístup a oprávnění: přihlášení e-mailem a heslem (bcrypt, cost factor 12, adresa potvrzená jednorázovým kódem) nebo přes Google. Pro přihlášení heslem neexistuje druhý faktor. Relace končí po osmi hodinách. Čtyři role (Administrátor, Revizor, Právní revizor, Člen). Zákazníci jsou oddělení v aplikaci: každý dotaz filtruje podle ID společnosti z relace.
Kontrola vstupů: každá změna provedená přes platformu se zaznamenává s uživatelem, akcí, časem, IP adresou, user agentem a zadanými hodnotami; jen u vybraných operací se ukládá i předchozí hodnota. Schválení tvoří řetězec kontrolních součtů SHA-256.
Pomoc (doložky 8 a 9): zákazník může údaje v platformě sám zobrazit, změnit a smazat. Zpracovatel zákazníkovi bez zbytečného odkladu oznamuje žádosti subjektů údajů a porušení zabezpečení osobních údajů, a to osobě, která drží účet.
Hetzner Online GmbH, Německo: provoz aplikačních serverů a databáze, a tím všech údajů z přílohy II.
Amazon Web Services EMEA SARL, Lucembursko: úložiště souborů v AWS S3 v regionu EU (dokumenty s důkazy, certifikáty ze školení, certifikáty z portálu pro dodavatele).
Resend, Inc., USA: odesílání e-mailů platformy (příjemce, předmět, obsah, přílohy). Předávání do USA na základě standardních smluvních doložek EU podle čl. 46 GDPR.
Google Ireland Limited, Irsko: přihlášení přes Google, jen pro uživatele, kteří zvolí tuto cestu.
Qonto (fakturace) a ověření DIČ v EU (VIES) nejsou dílčími zpracovateli: zpracovávají jen fakturační údaje, za které odpovídá zpracovatel sám. To upravují zásady ochrany osobních údajů.