1. Strany a role
Tuto zpracovatelskou smlouvu („smlouva") uzavírají Organizátor (správce) a Jetlio, s.r.o., IČO 09967231, Voroněžská 2547/1, 616 00 Brno, zapsaná u Krajského soudu v Brně, oddíl C, vložka 121887 („Bookitive", zpracovatel). Smlouva je součástí obchodních podmínek a uzavírá se automaticky jejich přijetím (čl. 28 odst. 9 GDPR připouští elektronickou podobu). Podepsatelné PDF poskytneme na [email protected].
Výjimka – kdy jednáme jako správce: u údajů účtů organizátorů, fakturace a zabezpečení platformy a prevence podvodů (rizikové skóre, signály zneužití napříč akcemi, ochranné seznamy) vystupuje Bookitive jako samostatný správce, jak popisují zásady ochrany osobních údajů – toto zpracování stojí mimo rozsah této smlouvy.
2. Předmět, doba, povaha a účel
Bookitive zpracovává osobní údaje popsané v příloze 1 jménem Organizátora za účelem poskytování vstupenkové platformy (prodej vstupenek, párování plateb, doručování vstupenek, odbavení, e-maily k akcím a – používá-li je Organizátor – sponzorské kampaně), a to po dobu trvání obchodních podmínek.
3. Povinnosti Bookitive (čl. 28 odst. 3 GDPR)
Bookitive se zavazuje:
1. zpracovávat osobní údaje jen na základě doložených pokynů Organizátora, daných používáním a nastavením Platformy, a to i u předání do třetích zemí – ledaže zpracování ukládá právo EU nebo České republiky. V takovém případě Organizátora informujeme, nezakazuje-li to zákon. Aktivace integrace třetí strany v nastavení Platformy (například připojení vlastního účtu Mailchimp Organizátora) a zapnutí synchronizace dat je takovým doloženým pokynem (Platforma o aktivaci uchovává záznam: čas, jednající uživatel a zvolený rozsah synchronizace). Připojenou službu si Organizátor sjednává vlastní smlouvou. Role služby (zpravidla zpracovatel Organizátora) se řídí touto smlouvou a v žádném případě nejde o dalšího zpracovatele Bookitive, 2. zajistit, že osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí, která trvá i po skončení jejich působení, 3. přijmout technická a organizační opatření podle přílohy 2 (čl. 32 GDPR), 4. dodržovat podmínky zapojení subdodavatelů podle článku 4, 5. být Organizátorovi s ohledem na povahu zpracování nápomocna při vyřizování žádostí subjektů údajů – žádosti doručené přímo nám předáváme a součinnost poskytujeme do 14 dnů, 6. pomáhat Organizátorovi s povinnostmi podle čl. 32–36 GDPR včetně ohlašování incidentů: porušení zabezpečení oznamujeme Organizátorovi bez zbytečného odkladu, nejpozději do 48 hodin od jeho potvrzení, s informacemi potřebnými pro jeho vlastní 72hodinové ohlášení, 7. po skončení zpracování údaje smazat nebo vrátit podle článku 7, 8. zpřístupnit informace nezbytné k doložení souladu a umožnit audity podle článku 6 a 9. neprodleně Organizátora upozornit, má-li za to, že pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.
4. Subdodavatelé
Organizátor uděluje obecné povolení k zapojení subdodavatelů uvedených na stránce Subdodavatelé. Bookitive každému subdodavateli ukládá povinnosti ochrany údajů rovnocenné této smlouvě a za jejich plnění plně odpovídá.
Změny: nové nebo nahrazené subdodavatele oznamujeme na uvedené stránce a organizátorům nejméně 30 dnů předem. Organizátor může v této lhůtě vznést námitku z rozumných důvodů ochrany údajů. Strany hledají řešení v dobré víře, a nenajdou-li ho, může Organizátor ukončit dotčené služby s poměrným vrácením případných předplacených částek.
5. Předávání do třetích zemí
Zpracování probíhá primárně v EU (AWS eu-central-1, Frankfurt). Zpracovává-li subdodavatel osobní údaje mimo EHP, opírá se předání o rozhodnutí EU o odpovídající ochraně (včetně rámce EU–USA Data Privacy Framework u certifikovaných příjemců) a/nebo o standardní smluvní doložky EU (modul 3, zpracovatel–subdodavatel), které jsou začleněny odkazem a použijí se automaticky, pozbude-li rozhodnutí o odpovídající ochraně platnosti. Podrobnosti u jednotlivých poskytovatelů uvádí stránka subdodavatelů.
6. Audity
Soulad dokládáme především dokumentací: touto smlouvou, stránkou subdodavatelů, stránkou Zabezpečení a vyplněnými bezpečnostními dotazníky. Nestačí-li to, může Organizátor provést audit – i prostřednictvím nezávislého auditora vázaného mlčenlivostí – nejvýše jednou ročně, s oznámením 30 dnů předem, v pracovní době a na své náklady. Bylo-li zjištěno podstatné porušení, nese náklady auditu Bookitive.
7. Výmaz a vrácení
Při ukončení obchodních podmínek volí Organizátor mezi výmazem a vrácením osobních údajů (exportní nástroje jsou dostupné 30 dnů po ukončení). Bez pokynu Bookitive údaje smaže do 90 dnů od ukončení. Kopie v šifrovaných zálohách zanikají v rámci rotace záloh do 90 dnů a do té doby zůstávají chráněny touto smlouvou. Údaje, jejichž uchování vyžaduje zákon (účetnictví, daně), uchováváme jen po zákonnou dobu.
8. Odpovědnost, trvání, právo
Odpovědnost se řídí obchodními podmínkami včetně limitu a zákonných výjimek. Smlouva trvá po dobu zpracování jménem Organizátora a řídí se českým právem. Při rozporu mezi touto smlouvou a podmínkami ohledně osobních údajů má přednost tato smlouva.
Příloha 1 – Popis zpracování
Subjekty údajů: kupující vstupenek, hosté a účastníci akcí, zákazníci Organizátora, kontaktní osoby sponzorů (při využití sponzorských kampaní).
Kategorie osobních údajů: identifikační a kontaktní údaje (jméno, e-mail, telefon), údaje objednávek (vstupenky, místa, částky, stav platby, variabilní symbol, identifikace protiúčtu z párování plateb), jména účastníků, údaje o doručení vstupenek a vazbě na zařízení, záznamy o odbavení (čas, výsledek, vchod), záznamy o ověření telefonu, kontaktní údaje a korespondence sponzorů. Zvláštní kategorie údajů se zpracovávat nemají – Organizátor je nevkládá ani do volných textových polí.
Operace zpracování: sběr přes pokladnu a prodej na místě, ukládání, párování plateb s bankovními transakcemi, doručování e-mailů, generování PDF a wallet vstupenek, ověřování QR kódů a odbavení, exporty pro Organizátora, příprava sponzorských e-mailů pomocí AI (jen údaje sponzorů), výmaz.
Příloha 2 – Technická a organizační opatření
- Šifrování: TLS 1.2+ při přenosu. Uložené citlivé údaje (bankovní tokeny, hesla k SMTP, TOTP klíče vstupenek) šifrujeme pomocí AES-256-GCM. Hesla ukládáme jako bcrypt otisky (cost 12). Šifrovací klíče spravujeme v AWS KMS.
- Řízení přístupu: role a oprávnění na úrovni organizace i akce (role skenera vidí jen odbavení), autentizovaná API, oddělení dat organizací.
- Dohledatelnost: administrátorské akce v auditním logu (kdo, jaká akce, čeho se týkala, IP adresa, prohlížeč), uchování 365 dnů.
- Dostupnost: spravovaná cloudová infrastruktura v EU (AWS eu-central-1), zálohy s rotací do 90 dnů, odbavení funkční offline pro případ výpadku konektivity.
- Vývoj: revize kódu před nasazením, aktualizace závislostí, oddělená prostředí, žádné produkční přístupy v kódu.
- Organizační: mlčenlivost osob s přístupem, dokumentovaný proces reakce na incidenty, ochrana údajů už v návrhu funkcí.
Bookitive může opatření aktualizovat, nesníží-li se tím podstatně celková úroveň zabezpečení.
Příloha 3 – Subdodavatelé
Aktuální seznam je na bookitive.com/cs/subdodavatele/.
Účinnost od 1. září 2026