Smlouva o zpracování dat

1. Úvod

Tato Smlouva o zpracování osobních údajů („DPA") tvoří součást a doplňuje Podmínky služby („Smlouva") mezi společností MageXo s.r.o. („MageXo", „Zpracovatel", „my", „nás") a subjektem nebo osobou přijímající tuto DPA („Zákazník", „Správce", „vy"). Tato DPA se použije, pokud MageXo zpracovává Osobní údaje jménem Zákazníka v souvislosti se službou PhotoneAI dostupnou na photoneai.com („Služba").

Tato DPA odráží závazek stran dodržovat Nařízení Evropského parlamentu a Rady (EU) 2016/679 („GDPR") a veškerou platnou vnitrostátní legislativu na ochranu osobních údajů, včetně, ale nikoliv výhradně, zákona č. 110/2019 Sb., o zpracování osobních údajů.

MageXo s.r.o. Prosecká 855/68, 190 00 Praha 9, Česká republika IČ: 24771406 Kontakt: info@photoneai.com, +420 739 698 038

---

2. Definice

Pro účely této DPA mají následující pojmy níže uvedené významy. Pokud zde nejsou definovány, mají pojmy význam, který jim přisuzuje GDPR (Článek 4) nebo Smlouva.

• „Správce" znamená fyzickou nebo právnickou osobu, která sama nebo společně s jinými určuje účely a prostředky Zpracování Osobních údajů. Podle této DPA je Správcem Zákazník.

• „Zpracovatel" znamená fyzickou nebo právnickou osobu, která zpracovává Osobní údaje jménem Správce. Podle této DPA je Zpracovatelem MageXo.

• „Subjekt údajů" znamená identifikovanou nebo identifikovatelnou fyzickou osobu, jejíž Osobní údaje jsou zpracovávány.

• „Osobní údaje" znamenají jakékoli informace týkající se identifikované nebo identifikovatelné fyzické osoby.

• „Zpracování" znamená jakoukoli operaci nebo soubor operací prováděných s Osobními údaji, ať již automatizovaně či nikoli, včetně shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení, pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření, seřazení, zkombinování, omezení, výmazu nebo zničení.

• „Dílčí zpracovatel" znamená jakéhokoli třetího zpracovatele, kterého MageXo pověří zpracováním Osobních údajů jménem Správce.

• „Dozorový úřad" znamená nezávislý veřejný orgán zřízený členským státem EU podle Článku 51 GDPR.

• „Údaje služby" znamenají veškerá data, která Správce nebo jeho oprávnění uživatelé předloží Službě nebo prostřednictvím Služby vytvoří, mimo jiné včetně: produktových obrázků, URL adres produktů, popisů produktů, snímků obrazovky webových stránek, dat z analýzy značky, vygenerovaných obrázků, konfigurací stylů, dat scén a výsledků analýz.

• „Porušení zabezpečení osobních údajů" znamená porušení zabezpečení vedoucí k náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému zpřístupnění nebo přístupu k Osobním údajům přenášeným, uloženým nebo jinak zpracovávaným.

---

3. Rozsah zpracování

MageXo zpracovává Údaje služby výhradně za účelem poskytování služby PhotoneAI, jak je popsáno ve Smlouvě. Rozsah Zpracování zahrnuje:

• Přijímání a ukládání produktových obrázků a URL adres předložených Správcem nebo jeho oprávněnými uživateli
• Generování obrázků pomocí umělé inteligence s využitím produktových dat a konfigurací stylů za účelem vytvoření lifestylových produktových fotografií
• Analýza značky a obchodu zahrnující web scraping e-commerce stránek určených Správcem za účelem extrakce atributů značky, informací o produktech a vizuálních prvků
• Vytváření a správa stylů zahrnující analýzu referenčních obrázků a URL adres pro odvození fotografických parametrů
• Ukládání a doručování obrázků vygenerovaných prostřednictvím zabezpečeného cloudového úložiště s časově omezenou dostupností
• E-mailová oznámení oprávněným uživatelům ohledně dokončení úloh, aktivity účtu a aktualizací služby
• Zpracování kreditů a fakturace včetně sledování spotřeby generací a zprostředkování plateb prostřednictvím třetích stran zajišťujících zpracování plateb

MageXo nebude zpracovávat Údaje služby pro žádný jiný účel než poskytování Služby, pokud to nevyžadují platné právní předpisy; v takovém případě MageXo o tomto právním požadavku informuje Správce před Zpracováním (pokud mu v tom zákon nebrání).

---

4. Úlohy a odpovědnosti

4.1 Povinnosti Správce

Správce:

• Určuje účely a prostředky Zpracování, včetně rozhodnutí o tom, které produkty fotografovat, které URL adresy analyzovat, které styly vytvořit a které uživatele autorizovat
• Je odpovědný za zajištění, že má zákonný základ pro Zpracování Osobních údajů a za poskytnutí veškerých požadovaných oznámení Subjektům údajů
• Je odpovědný za přesnost, kvalitu a zákonnost Osobních údajů a za prostředky, jimiž Osobní údaje získal
• Dodržuje své povinnosti podle platných právních předpisů o ochraně osobních údajů, včetně GDPR

4.2 Povinnosti Zpracovatele

MageXo jako Zpracovatel:

• Zpracovává Osobní údaje pouze na základě doložených pokynů Správce, včetně pokynů ohledně předávání Osobních údajů do třetí země nebo mezinárodní organizaci, pokud mu tak neukládá právo EU nebo členského státu, které se na MageXo vztahuje
• Zajišťuje, že osoby oprávněné zpracovávat Osobní údaje se zavázaly k mlčenlivosti nebo jsou vázány příslušnou zákonnou povinností mlčenlivosti
• Přijímá veškerá opatření požadovaná podle Článku 32 GDPR (zabezpečení Zpracování)
• Dodržuje podmínky pro zapojení Dílčích zpracovatelů stanovené v oddíle 9
• Pomáhá Správci vhodnými technickými a organizačními opatřeními, pokud je to možné, při plnění povinnosti Správce reagovat na žádosti Subjektů údajů
• Pomáhá Správci při zajišťování souladu s povinnostmi podle Článků 32 až 36 GDPR
• Podle volby Správce vymaže nebo vrátí veškeré Osobní údaje po ukončení poskytování služeb a vymaže existující kopie, pokud právo EU nebo členského státu nevyžaduje jejich uchovávání
• Zpřístupňuje Správci veškeré informace nezbytné k prokázání souladu s Článkem 28 GDPR a umožňuje a přispívá k auditům a kontrolám

4.3 Dodržování pokynů

Pokud se MageXo domnívá, že pokyn Správce porušuje GDPR nebo jiné platné předpisy o ochraně osobních údajů, neprodleně o tom Správce informuje. MageXo je oprávněn pozastavit příslušné Zpracování, dokud Správce pokyn nepotvrdí nebo nezmění.

---

5. Kategorie údajů a Subjekty údajů

5.1 Kategorie Osobních údajů

5.2 Kategorie Subjektů údajů

---

6. Pokyny pro zpracování

• MageXo zpracovává Údaje služby pouze v rozsahu nezbytném pro poskytování Služby a v souladu s doloženými pokyny Správce.
• Pokyny Správce jsou dokumentovány a omezeny na Smlouvu (Podmínky služby), tuto DPA a standardní funkčnost Služby, jak je popsána v dokumentaci na photoneai.com.
• Jakékoli dodatečné nebo změněné pokyny vyžadují předchozí vzájemnou písemnou dohodu obou stran. MageXo si vyhrazuje právo účtovat dodatečné poplatky, pokud takové pokyny vyžadují významné změny Služby nebo její infrastruktury.
• Správce bere na vědomí, že určité operace Zpracování jsou nedílnou součástí Služby (např. přenos produktových obrázků dílčím zpracovatelům AI za účelem generování) a představují doložené pokyny podle této DPA.

---

7. Důvěrnost

• MageXo zajišťuje, že všechny osoby oprávněné zpracovávat Osobní údaje jeho jménem jsou vázány příslušnými závazky důvěrnosti, ať už smluvními nebo zákonnými.
• Přístup k Údajům služby je omezen na pracovníky MageXo, kteří takový přístup potřebují k plnění svých povinností v souvislosti se Službou.
• MageXo udržuje řízení přístupu a autentizační mechanismy k prosazování zásady nejnižších oprávnění.
• Závazky důvěrnosti stanovené v tomto oddíle přetrvávají i po ukončení této DPA.

---

8. Bezpečnostní opatření (Článek 32)

MageXo zavádí a udržuje vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku Zpracování, mimo jiné:

• Šifrování při přenosu — Veškerá data přenášená mezi Správcem, Službou a Dílčími zpracovateli jsou šifrována pomocí TLS 1.2 nebo vyšší verze
• Šifrování v klidu — Údaje služby uložené v databázích a objektovém úložišti jsou šifrovány v klidu prostřednictvím šifrovacích mechanismů poskytovatele cloudových služeb
• Row-Level Security — Politiky PostgreSQL Row-Level Security (RLS) zajišťují izolaci dat jednotlivých nájemců na úrovni databáze a zabraňují přístupu k datům jiných nájemců
• Hashování hesel — Přihlašovací údaje uživatelů jsou hashovány pomocí bcrypt nebo Argon2 s odpovídajícími pracovními faktory
• Content Security Policy — Hlavičky CSP omezují spouštění skriptů a načítání prostředků na důvěryhodné zdroje
• Ochrana proti SSRF — Ochrana proti Server-Side Request Forgery blokuje požadavky na privátní rozsahy IP adres pro všechny URL adresy zadané uživateli
• Omezení četnosti požadavků — Všechny koncové body API podléhají omezení četnosti požadavků za účelem prevence zneužití a útoků typu odepření služby
• Řízení přístupu na základě rolí — Administrativní a uživatelské role s odlišnými úrovněmi oprávnění
• Vynucení HSTS — HTTP Strict Transport Security s hodnotou max-age 63 072 000 sekund (2 roky), včetně subdomén
• Bezpečnostní hlavičky — Hlavičky X-Frame-Options, X-Content-Type-Options, Referrer-Policy a Permissions-Policy konfigurované k omezení útočné plochy
• Pravidelné hodnocení zabezpečení — Periodická kontrola bezpečnostních opatření, závislostí a konfigurací

Úplné podrobnosti technických a organizačních opatření jsou uvedeny v Příloze II této DPA. MageXo po dobu platnosti této DPA podstatně nesníží celkovou úroveň zabezpečení Služby.

---

9. Dílčí zpracovatelé

9.1 Obecné oprávnění

Správce uděluje MageXo obecné písemné oprávnění zapojit Dílčí zpracovatele k provádění konkrétních činností Zpracování jménem Správce za podmínek stanovených v tomto oddíle.

9.2 Aktuální Dílčí zpracovatelé

Aktuální seznam Dílčích zpracovatelů je udržován a veřejně dostupný na /sub-processors. Správce bere na vědomí a schvaluje Dílčí zpracovatele uvedené ke dni uzavření této DPA.

9.3 Oznámení o změnách

MageXo oznámí Správci jakékoli zamýšlené přidání nebo nahrazení Dílčích zpracovatelů alespoň 30 dní před tím, než nový Dílčí zpracovatel začne zpracovávat Osobní údaje. Oznámení bude poskytnuto prostřednictvím e-mailové adresy přiřazené k účtu Správce.

9.4 Právo na námitku

Správce může vznést námitku proti novému Dílčímu zpracovateli písemným oznámením zaslaným MageXo do 14 dnů od obdržení oznámení. Námitka musí uvádět přiměřené důvody související s ochranou osobních údajů. Strany projednají námitku v dobré víře s cílem dosáhnout komerčně přiměřeného řešení. Pokud nebude řešení dosaženo do 30 dnů od námitky, může Správce bez sankce ukončit tu část Služby, která vyžaduje využití odmítnutého Dílčího zpracovatele.

9.5 Povinnosti Dílčích zpracovatelů

MageXo ukládá všem Dílčím zpracovatelům povinnosti v oblasti ochrany osobních údajů, které nejsou méně přísné než povinnosti stanovené v této DPA. MageXo zůstává plně odpovědný Správci za plnění povinností svých Dílčích zpracovatelů.

---

10. Mezinárodní předávání údajů

10.1 Sídlo MageXo

MageXo je usazen v Evropské unii (Česká republika). Zpracování v rámci EU/EHP nevyžaduje dodatečná ochranná opatření pro předávání.

10.2 Předávání do třetích zemí

Pokud se Dílčí zpracovatelé nacházejí mimo EU/EHP (včetně Spojených států amerických), MageXo zajišťuje zavedení příslušných mechanismů pro předávání:

• Rámec pro ochranu osobních údajů EU-USA — U Dílčích zpracovatelů certifikovaných v rámci Rámce pro ochranu osobních údajů EU-USA slouží tato certifikace jako přiměřený mechanismus předávání na základě rozhodnutí Evropské komise o přiměřenosti ze dne 10. července 2023
• Standardní smluvní doložky (SCC) — Pokud se Rámec pro ochranu osobních údajů neuplatní, předávání se řídí Standardními smluvními doložkami schválenými Evropskou komisí (Prováděcí rozhodnutí (EU) 2021/914), doplněnými o dodatečná ochranná opatření, pokud to vyžadují posouzení dopadů předávání
• Mezinárodní smlouva o předávání údajů UK / Dodatek UK — Pro předávání podléhající UK GDPR se uplatní Mezinárodní smlouva o předávání údajů UK nebo Dodatek UK ke Standardním smluvním doložkám EU (dle okolností)

10.3 Transparentnost

Správce může požádat o kopie příslušných mechanismů pro předávání, včetně uzavřených SCC (s redigovanými obchodními podmínkami, pokud je to nezbytné k ochraně důvěrnosti), na adrese info@photoneai.com.

---

11. Práva Subjektů údajů

11.1 Asistence při vyřizování žádostí

MageXo pomáhá Správci vhodnými technickými a organizačními opatřeními, pokud je to možné, při plnění povinnosti Správce reagovat na žádosti Subjektů údajů uplatňujících svá práva podle Kapitoly III GDPR, včetně práv na:

• Přístup (Článek 15)
• Opravu (Článek 16)
• Výmaz („právo být zapomenut") (Článek 17)
• Omezení Zpracování (Článek 18)
• Přenositelnost údajů (Článek 20)
• Námitku (Článek 21)

11.2 Přímé žádosti

Pokud MageXo obdrží žádost přímo od Subjektu údajů ve vztahu k Osobním údajům Správce, MageXo neprodleně informuje Správce a na žádost přímo neodpoví, pokud k tomu není Správcem zmocněn nebo to nevyžadují platné právní předpisy.

11.3 Náklady

Asistence se standardními žádostmi Subjektů údajů je zahrnuta ve Službě. MageXo si vyhrazuje právo účtovat přiměřené náklady za asistenci s žádostmi, které jsou nepřiměřené, opakované nebo zjevně neopodstatněné, nebo které vyžadují významné manuální úsilí nad rámec standardní funkčnosti Služby.

---

12. Oznámení o porušení zabezpečení osobních údajů

12.1 Lhůta pro oznámení

MageXo oznámí Správci bez zbytečného odkladu, a v každém případě do 72 hodin, poté, co se dozví o Porušení zabezpečení osobních údajů týkajícím se Osobních údajů Správce.

12.2 Obsah oznámení

Oznámení bude zahrnovat, pokud jsou dostupné:

• Popis povahy Porušení zabezpečení osobních údajů, včetně kategorií a přibližného počtu dotčených Subjektů údajů a kategorií a přibližného počtu dotčených záznamů Osobních údajů
• Jméno a kontaktní údaje kontaktní osoby MageXo pro další informace
• Popis pravděpodobných důsledků Porušení zabezpečení osobních údajů
• Popis přijatých nebo navrhovaných opatření k řešení Porušení zabezpečení osobních údajů, včetně opatření ke zmírnění jeho možných nepříznivých účinků

12.3 Součinnost

MageXo bude spolupracovat se Správcem při vyšetřování a nápravě Porušení zabezpečení osobních údajů a pomůže Správci při plnění jeho povinností podle Článků 33 a 34 GDPR, včetně oznámení Dozorovému úřadu a sdělení dotčeným Subjektům údajů, pokud je to vyžadováno.

12.4 Dokumentace

MageXo bude dokumentovat všechna Porušení zabezpečení osobních údajů, včetně skutečností týkajících se porušení, jeho účinků a přijatých nápravných opatření, a tuto dokumentaci zpřístupní Správci na vyžádání.

---

13. Posouzení vlivu na ochranu osobních údajů

• MageXo poskytne přiměřenou součinnost Správci při provádění Posouzení vlivu na ochranu osobních údajů („DPIA"), pokud je pravděpodobné, že užívání Služby Správcem bude mít za následek vysoké riziko pro práva a svobody fyzických osob, jak vyžaduje Článek 35 GDPR.
• MageXo pomůže Správci s předchozí konzultací s příslušným Dozorovým úřadem podle Článku 36 GDPR, pokud výsledek DPIA naznačí, že Zpracování by mělo za následek vysoké riziko v případě, že Správce nepřijme opatření ke zmírnění tohoto rizika.
• Taková součinnost bude zohledňovat povahu Zpracování a informace, které má MageXo k dispozici, a může zahrnovat poskytnutí dokumentace o bezpečnostních opatřeních, činnostech Zpracování a uspořádání Dílčích zpracovatelů.

---

14. Práva na audit

14.1 Právo na audit

Správce (nebo nezávislý auditor třetí strany jmenovaný Správcem) může auditovat soulad MageXo s touto DPA.

14.2 Oznámení a četnost

• Audity vyžadují alespoň 30 dní předchozího písemného oznámení společnosti MageXo.
• Audity jsou omezeny na jednou za kalendářní rok, pokud Dozorový úřad nevyžaduje častější audit nebo v návaznosti na potvrzené Porušení zabezpečení osobních údajů týkající se Osobních údajů Správce.

14.3 Součinnost

MageXo poskytne přiměřenou součinnost a přístup k příslušným záznamům, systémům a personálu během běžné pracovní doby. Auditor Správce musí dodržovat přiměřené bezpečnostní a důvěrnostní požadavky MageXo.

14.4 Náklady

Správce nese veškeré náklady spojené s audity, které iniciuje, ledaže audit odhalí podstatný nesoulad s touto DPA; v takovém případě ponese přiměřené náklady auditu MageXo.

14.5 Alternativní záruky

MageXo může dle svého uvážení splnit požadavky na audit tím, že Správci poskytne:

• Příslušné certifikace třetích stran nebo zprávy z auditů (např. SOC 2 Type II, ISO 27001)
• Výsledky penetračních testů provedených nezávislými bezpečnostními firmami
• Podrobné písemné odpovědi na dotazník Správce k auditu

Takové alternativní záruky jsou Správcem přijímány jako přiměřená náhrada za audity na místě, pokud dostatečně prokazují soulad.

---

15. Vrácení a výmaz údajů

15.1 Export údajů

Po ukončení nebo uplynutí platnosti Smlouvy o poskytování služeb může Správce exportovat své Údaje služby prostřednictvím standardní exportní funkčnosti Služby po dobu 30 dní od data účinnosti ukončení.

15.2 Výmaz

Po uplynutí 30denní lhůty pro vyzvednutí MageXo vymaže veškeré Údaje služby ve svém držení a v držení svých Dílčích zpracovatelů, s výjimkou případů, kdy uchování vyžadují platné právní předpisy.

15.3 Automatický výmaz

Během trvání služby i po jejím ukončení se uplatňují následující mechanismy automatického výmazu:

• Vygenerované obrázky jsou automaticky vymazány 30 dní po vytvoření
• Data hostovaných relací končí platnost po 30 dnech neaktivity

15.4 Zákonné uchovávání

Následující údaje jsou uchovávány i po skončení poskytování Služby, pokud to vyžaduje zákon:

• Záznamy o kreditových transakcích jsou uchovávány po dobu 7 let v souladu s českou účetní legislativou (zákon č. 563/1991 Sb., o účetnictví)
• Daňové fakturační záznamy jsou uchovávány v souladu s českými daňovými předpisy

15.5 Potvrzení

MageXo poskytne písemné potvrzení o výmazu na písemnou žádost Správce, osvědčující, že veškeré Údaje služby (s výjimkou zákonného uchovávání) byly bezpečně zničeny.

---

16. Doba trvání a ukončení

16.1 Datum účinnosti

Tato DPA nabývá účinnosti dnem, kdy Správce přijme Smlouvu (Podmínky služby) a tuto DPA.

16.2 Doba trvání

Tato DPA zůstává v platnosti po dobu trvání Smlouvy o poskytování služeb mezi stranami.

16.3 Ukončení

Tato DPA automaticky zaniká ukončením nebo uplynutím platnosti Smlouvy o poskytování služeb, s výhradou níže uvedených ustanovení o přetrvávání.

16.4 Přetrvávání

Následující ustanovení přetrvávají ukončení této DPA:

• Oddíl 7 (Důvěrnost)
• Oddíl 12 (Oznámení o porušení zabezpečení osobních údajů) — v rozsahu, v jakém je porušení zjištěno po ukončení
• Oddíl 15 (Vrácení a výmaz údajů) — dokud nebudou veškeré údaje vymazány nebo vráceny
• Oddíl 17 (Odpovědnost)
• Oddíl 18 (Rozhodné právo)

---

17. Odpovědnost

17.1 Omezení

Odpovědnost podle této DPA se řídí omezeními a výlukami stanovenými ve Smlouvě (Podmínky služby), s výjimkou případů, kdy taková omezení zakazují platné předpisy o ochraně osobních údajů.

17.2 Odpovědnost podle GDPR

Každá strana odpovídá za škodu způsobenou Zpracováním, které porušuje GDPR nebo tuto DPA, v souladu s Článkem 82 GDPR:

• Správce odpovídá za škodu způsobenou Zpracováním, které není v souladu s GDPR nebo povinnostmi Správce podle této DPA
• MageXo odpovídá za škodu způsobenou Zpracováním, při kterém nedodržel povinnosti GDPR specificky směřované ke Zpracovatelům, nebo při kterém jednal mimo rámec zákonných pokynů Správce nebo v rozporu s nimi

17.3 Odškodnění

Každá strana se zavazuje odškodnit druhou stranu za veškeré náklady, nároky, škody nebo výdaje (včetně přiměřených nákladů na právní zastoupení) vznikající z porušení této DPA nebo platných předpisů o ochraně osobních údajů ze strany odškodňující strany.

---

18. Rozhodné právo

18.1 Platné právo

Tato DPA se řídí a vykládá v souladu s právem České republiky, bez ohledu na jeho kolizní normy, a s výhradou kogentních ustanovení GDPR.

18.2 Soudní příslušnost

Jakékoli spory vyplývající z této DPA nebo v souvislosti s ní, které nelze vyřešit smírně, budou předloženy výlučné příslušnosti příslušných soudů v Praze, Česká republika.

18.3 Přednost regulace

Nic v této DPA neomezuje práva Dozorového úřadu nebo Subjektu údajů podle platných právních předpisů o ochraně osobních údajů.

---

Příloha I — Podrobnosti o zpracování

---

Příloha II — Technická a organizační bezpečnostní opatření

Následující opatření jsou zavedena společností MageXo k ochraně Osobních údajů zpracovávaných v souvislosti se Službou, v souladu s Článkem 32 GDPR.

1. Řízení přístupu

• Řízení přístupu na základě rolí (RBAC) s odlišnými rolemi správce a uživatele, prosazující zásadu nejnižších oprávnění
• Row-Level Security (RLS) v PostgreSQL zajišťující přísnou izolaci dat jednotlivých nájemců na úrovni databáze a zabraňující jakémukoli přístupu k datům jiných nájemců
• Klíče servisní role omezené pouze na operace na straně serveru; operace na straně klienta využívají anonymní klíče s vynucováním RLS
• Autentizace založená na relacích prostřednictvím Supabase Auth se zabezpečenou správou tokenů
• Ochrana tras vynucovaná middlewarem ověřující autentizaci a autorizaci při každém požadavku

2. Šifrování

• TLS 1.2+ pro veškerá data při přenosu mezi klienty, servery a Dílčími zpracovateli
• HTTP Strict Transport Security (HSTS) povoleno s hodnotou max-age 63 072 000 sekund (2 roky), včetně subdomén
• Šifrování dat v klidu prostřednictvím mechanismů poskytovatele cloudových služeb (Supabase/AWS AES-256)
• Hashování hesel pomocí bcrypt nebo Argon2 s doporučenými pracovními faktory
• Bezpečné atributy cookies (HttpOnly, Secure, SameSite) pro správu relací

3. Zabezpečení sítě

• Hlavičky Content Security Policy (CSP) omezující spouštění skriptů a načítání prostředků na explicitně důvěryhodné zdroje
• Ochrana proti SSRF blokující požadavky na privátní a vyhrazené rozsahy IP adres (RFC 1918, RFC 6598) pro všechny URL adresy zadané uživateli
• X-Frame-Options: DENY zabraňující útokům clickjacking
• X-Content-Type-Options: nosniff zabraňující sniffingu MIME typu
• Referrer-Policy: strict-origin-when-cross-origin omezující únik informací prostřednictvím referreru
• Permissions-Policy zakazující přístup k API kamery, mikrofonu a geolokace

4. Validace vstupů

• Validace a sanitizace URL adres před jakýmkoli Zpracováním, včetně ověření schématu a validace domény
• Validace typu souboru omezená na formáty JPEG, PNG a WebP s maximální velikostí souboru 10 MB
• HTML escaping ve veškerém obsahu e-mailů k prevenci útoků typu injection
• Omezení četnosti požadavků na všech koncových bodech API k prevenci zneužití, útoků hrubou silou a útoků odepření služby
• Detekce botů prostřednictvím integrace hCaptcha na koncových bodech ověřování

5. Monitorování a protokolování

• Strukturované JSON protokolování prostřednictvím structlog pro konzistentní a parsovatelné auditní záznamy
• Protokolování volání AI API se sledováním nákladů a monitorováním využití
• Minimalizace dat v protokolech — žádné PII nad rámec provozní nezbytnosti (ID úloh, zkrácené přehledy); úplná produktová data a osobní informace jsou z protokolů vyloučeny
• Monitorování chyb a upozornění pro rychlou detekci anomálií a reakci na ně

6. Minimalizace dat

• Automatický výmaz obrázků — vygenerované obrázky jsou trvale vymazány po 30 dnech
• Expirace hostovaných relací — data hostovaných relací jsou vymazána po 30 dnech neaktivity
• Komprese obrázků — produktové obrázky jsou komprimovány před Zpracováním pomocí AI (maximální rozměr: 2048 pixelů) za účelem snížení datové plochy
• Minimalizace promptů — AI prompty obsahují shrnuté atributy produktů namísto úplných dat zaslaných uživatelem
• Omezení účelu — Údaje služby jsou zpracovávány pouze pro stanovené účely a nejsou uchovávány nad rámec provozní nezbytnosti

7. Reakce na incidenty

• Závazek oznámení porušení do 72 hodin v souladu s Článkem 33 GDPR
• Monitorování chyb a upozornění s automatickým oznámením při kritických selháních
• Obnova zaseknutých úloh — automatická detekce a reset zablokovaných úloh Zpracování po 300 sekundách, zabraňující setrvání dat v neurčitém stavu
• Dokumentované postupy reakce na incidenty včetně eskalačních cest a komunikačních šablon

8. Správa Dílčích zpracovatelů

• Smluvní povinnosti ochrany osobních údajů uložené všem Dílčím zpracovatelům, přinejmenším stejně přísné jako povinnosti v této DPA
• Pravidelná kontrola souladu bezpečnostních postupů a certifikací Dílčích zpracovatelů
• Veřejný registr Dílčích zpracovatelů udržovaný na /sub-processors s podrobnostmi o Zpracování, kategoriích údajů a mechanismech předávání
• Oznámení Správcům 30 dní předem před zapojením nových Dílčích zpracovatelů