Zpracovatelská smlouva

Verze 1.0 · Účinné od 1. října 2026

Příloha obchodních podmínek podle článku 28 GDPR. Upravuje, jak nakládáme s osobními údaji, které do Pulse vkládá kapela.

1. Kdo s kým a proč

Tato smlouva se uzavírá mezi:

• správcem – kapelou (nebo jiným souborem), kterou v Pulse založil některý z uživatelů a kterou zastupují její správci, a
• zpracovatelem – společností DxO Systems s.r.o., Gallandova 1232/1, 163 00 Praha 6, IČO 22438505.

Uzavírá se automaticky v okamžiku založení kapely a je nedílnou přílohou obchodních podmínek. Trvá po celou dobu, kdy kapela Pulse používá.

Je potřeba pro případy, kdy kapela vkládá do Pulse osobní údaje svých členů a dalších osob. Rozhoduje o tom kapela; my ty údaje jen zpracováváme podle jejích pokynů.

2. Co zpracováváme a za jakým účelem

Kategorie subjektů údajů: členové kapely, výpomoci (depové), hosté, externí crew a kontaktní osoby, které kapela do Pulse vloží.

Kategorie údajů: identifikační a kontaktní údaje, profilové údaje a fotografie, dostupnost a docházka, členství a oprávnění, finanční údaje (odměny, výplaty, výdaje, bankovní spojení pro QR platbu), obsah zpráv a nahrané soubory. Pokud je členové vyplní, také údaje zvláštní kategorie – zdravotní poznámky a alergie.

3. Naše povinnosti

Zavazujeme se:

• zpracovávat osobní údaje pouze podle doložených pokynů správce; pokynem je i samotné používání služby a nastavení, které v ní správce zvolí. Pokud by nám zákon ukládal zpracovat údaje jinak, dáme předem vědět, ledaže to tentýž zákon zakazuje;
• zavázat mlčenlivostí každého, kdo se k údajům dostane, a omezit přístup na ty, kdo ho ke své práci potřebují;
• přijmout a udržovat technická a organizační opatření podle článku 4 této smlouvy;
• nezapojit dalšího zpracovatele bez splnění podmínek v článku 5;
• být správci nápomocni při vyřizování žádostí subjektů údajů a při plnění povinností podle článků 32 až 36 GDPR, a to v rozsahu, který odpovídá povaze zpracování a informacím, které máme;
• po skončení služby údaje smazat podle článku 7;
• poskytnout správci informace potřebné k doložení plnění těchto povinností a umožnit kontrolu podle článku 8.

4. Zabezpečení

Zavedli jsme zejména tato opatření:

• Šifrování přenosu – veškerá komunikace probíhá přes HTTPS.
• Přihlašování bez hesel – odkazem, jednorázovým kódem nebo passkey. Hesla nepoužíváme, takže je nelze uhodnout ani ukrást z databáze.
• Řízení přístupu v databázi – oprávnění, která nastaví správci kapely, se vynucují přímo na úrovni databáze, ne jen v aplikaci. Člen jedné kapely se tak nedostane k údajům jiné.
• Zvlášť chráněné údaje – zdravotní poznámky, kontakt pro případ nouze a bankovní spojení vidí jen daná osoba a členové s výslovným oprávněním.
• Zálohy – šifrované, ukládané v Evropské unii.
• Záznamy – o přihlášení a o zásazích našich pracovníků v administraci vedeme auditní záznam, který nelze zpětně měnit.
• Oddělení prostředí – provoz je oddělený od vývoje a testování; k ostrým datům se při vývoji nepřistupuje.

Opatření můžeme v čase měnit, nikdy však tak, aby se úroveň zabezpečení snížila.

5. Další zpracovatelé

Správce nám tímto uděluje obecné povolení zapojit další zpracovatele. Ke dni účinnosti této smlouvy jsou to:

Každému dalšímu zpracovateli uložíme stejné povinnosti, jaké máme my podle této smlouvy, a odpovídáme za jeho činnost jako za vlastní.

O změně v seznamu dáme vědět nejméně 30 dní předem e-mailem správcům kapely nebo oznámením v aplikaci. Správce může proti změně v této lhůtě vznést námitku; pokud na ní trvá a nedohodneme se, může kapelu bez sankce zrušit a služba se doúčtuje poměrně.

6. Předávání mimo EU

Údaje zpracováváme v Evropské unii. K předání do třetí země dochází pouze u plateb přes Stripe, a to na základě standardních smluvních doložek Evropské komise a doplňujících opatření. Jiné předání mimo EU neprovádíme.

7. Co se stane s údaji na konci

Po smazání kapely se údaje 30 dní uchovávají, aby šla kapela obnovit; poté je trvale smažeme, včetně kopií v zálohách, nejpozději do 90 dní (déle trvá jen rotace šifrovaných záloh). Správce si může kdykoli před tím stáhnout export přímo v aplikaci.

Výjimkou jsou údaje, které musíme uchovat podle zákona – typicky účetní doklady. Ty uchováváme odděleně a jen po zákonem stanovenou dobu.

8. Kontrola

Na žádost správce poskytneme informace potřebné k doložení plnění této smlouvy. Správce má právo na audit, a to nejvýše jednou ročně, po oznámení nejméně 30 dní předem, v pracovní době a tak, aby nebyl narušen provoz služby ani soukromí ostatních kapel. Náklady na audit nese správce, ledaže se při něm zjistí podstatné porušení této smlouvy.

9. Porušení zabezpečení

Zjistíme-li porušení zabezpečení osobních údajů, oznámíme to správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvíme. Oznámení bude obsahovat popis toho, co se stalo, jakých údajů a kolika osob se to týká, jaké jsou pravděpodobné následky a co jsme udělali nebo navrhujeme udělat. Ohlášení dozorovému úřadu a vyrozumění subjektů údajů je povinností správce; pomůžeme mu s podklady.

10. Odpovědnost

Odpovědnost se řídí článkem 82 GDPR a obchodními podmínkami. Omezení náhrady škody sjednaná v obchodních podmínkách se neuplatní na nároky subjektů údajů ani na pokuty uložené dozorovým úřadem.

11. Závěrem

Tato smlouva se řídí právem České republiky. Je-li některé ustanovení v rozporu s GDPR, použije se GDPR. Při rozporu mezi touto smlouvou a obchodními podmínkami má v otázkách zpracování osobních údajů přednost tato smlouva.

Kontakt: support@bandpulse.cloud