1. Smluvní strany

Správce: podnik, který využívá službu CardMeUp a jehož vedoucí (supervisor) tuto smlouvu přijal v konzoli CardMeUp („správce“).

Zpracovatel: , IČO , e-mail („zpracovatel“).

Smlouva je uzavřena elektronicky okamžikem přijetí v konzoli; zpracovatel uchovává záznam o tom, kdo a kdy ji za správce přijal a v jaké verzi. Smlouva je součástí Podmínek používání (část B).

2. Předmět, povaha a účel zpracování

Zpracovatel pro správce provozuje digitální věrnostní program: registraci držitelů karet, vydávání a aktualizaci karet v Apple Wallet a Google Wallet, evidenci připsání a čerpání, oznámení o kartě, zprávy s novinkami a nabídkami držitelům, kteří udělili souhlas, portál „Moje karty“, analytiku programu a nástroje pro výkon práv subjektů údajů. Zpracování zahrnuje shromažďování, ukládání, uspořádání, úpravu, vyhledávání, používání, zpřístupnění uživatelům správce a příjemcům podle přílohy 3, anonymizaci a výmaz.

3. Doba trvání

Smlouva platí po dobu, po kterou zpracovatel správci poskytuje službu, a dále do splnění povinností podle bodu 9.

4. Kategorie subjektů a osobních údajů

Subjekty údajů: držitelé věrnostních karet správce (zákazníci).

Osobní údaje: viz příloha 1. Zvláštní kategorie osobních údajů (čl. 9 GDPR) se nezpracovávají a správce je do služby nevkládá (ani do textů zpráv).

5. Povinnosti správce

• Správce odpovídá za zákonnost zpracování, za pravidla svého programu a za obsah zpráv, které držitelům posílá.
• Správce zpřístupňuje údaje jen svým oprávněným pracovníkům a odpovídá za jejich přístupy.
• Pokyny správce jsou dány touto smlouvou, nastavením a použitím služby (např. odeslání zprávy, smazání klienta); jiné pokyny dává písemně (e-mailem).

6. Povinnosti zpracovatele

1. Zpracovává osobní údaje jen na základě doložených pokynů správce, včetně předání do třetích zemí; pokud mu zpracování ukládá právo EU nebo členského státu, informuje správce předem, nezakazuje-li to právo. Pokud by pokyn podle jeho názoru porušoval GDPR, neprodleně na to upozorní.
2. Zajistí, aby osoby oprávněné zpracovávat údaje byly zavázány k mlčenlivosti.
3. Přijme technická a organizační opatření podle čl. 32 GDPR (příloha 2).
4. Dodržuje podmínky pro zapojení dalších zpracovatelů (bod 7).
5. Pomáhá správci plnit povinnost reagovat na žádosti o výkon práv subjektů údajů — služba umožňuje údaje zobrazit, opravit, smazat (okamžitá anonymizace), spravovat souhlasy; držitelé mohou mnohá práva uplatnit sami v „Moje karty“. Žádost, kterou zpracovatel obdrží přímo, předá správci bez zbytečného odkladu, nejpozději do 5 pracovních dnů, a vyřídí ji podle jeho pokynu; přenositelné údaje (export) poskytne na žádost.
6. Pomáhá správci plnit povinnosti podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace) s ohledem na povahu zpracování a dostupné informace.
7. Porušení zabezpečení osobních údajů oznámí správci bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, s informacemi podle čl. 33 odst. 3 GDPR, které má k dispozici.
8. Po skončení poskytování služby údaje vymaže nebo vrátí podle bodu 9.
9. Poskytne správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audity, včetně kontrol, prováděné správcem nebo pověřeným auditorem, po předchozím oznámení alespoň 30 dní předem a v míře, která neohrozí údaje jiných správců.

7. Další zpracovatelé

Správce uděluje obecné povolení k zapojení dalších zpracovatelů. Aktuální seznam je v příloze 3. O zamýšleném přidání nebo nahrazení dalšího zpracovatele zpracovatel informuje správce e-mailem nebo v konzoli nejméně 14 dní předem; správce může ze závažných důvodů vznést námitku a, není-li vyhověno, smlouvu vypovědět. Zpracovatel zaváže další zpracovatele stejnými povinnostmi ochrany údajů a odpovídá za jejich plnění.

8. Předání do třetích zemí

Údaje se zpracovávají v EU. Apple a Google mohou údaje zpracovávat ve Spojených státech na základě rozhodnutí o odpovídající ochraně (EU–U.S. Data Privacy Framework), u nichž jsou certifikovány, a jejich standardních smluvních doložek.

9. Ukončení a výmaz

Po skončení poskytování služby zpracovatel deaktivuje karty programu a do 30 dnů vymaže nebo nevratně anonymizuje osobní údaje držitelů karet. Požádá-li o to správce před skončením, zpracovatel mu předtím předá údaje ve strojově čitelném formátu (CSV nebo JSON). Anonymizovaná historie transakcí již není osobním údajem. Údaje může zpracovatel uchovat jen tehdy, ukládá-li mu to právo EU nebo členského státu.

10. Odpovědnost a rozhodné právo

Odpovědnost stran se řídí čl. 82 GDPR a Podmínkami používání. Smlouva se řídí právem České republiky. Nová verze smlouvy se zveřejňuje na této stránce a správce ji přijímá v konzoli. Smlouva je vydána v češtině a angličtině. Rozhodující je české znění.

Příloha 1 — Kategorie osobních údajů

• Identifikační a kontaktní údaje: jméno, příjmení, telefon, e-mail; volitelně datum narození a pohlaví; jazyk.
• Údaje o kartě: číslo karty, identifikátor QR kódu, program, stav, zůstatek, historie připsání a čerpání (datum, částka, u slev částka nákupu, pracovník, který operaci provedl).
• Souhlasy: přijetí podmínek (čas, verze), souhlas s novinkami a nabídkami (stav, čas, zdroj změny), záznam o registraci (IP adresa, prohlížeč, čas).
• Údaje Wallet: identifikátor zařízení Apple Wallet, push token, čas poslední aktualizace; objekt karty v Google Wallet (jméno, číslo karty, zůstatek, zprávy).
• Zprávy: texty novinek a nabídek správce a záznamy o jejich doručení na karty.

Příloha 2 — Technická a organizační opatření

• Šifrovaný přenos (HTTPS/TLS) pro web, konzoli, API a aktualizace karet; e-maily přes poštovní server s TLS.
• Oddělení správců: každý uživatel vidí jen údaje svého podniku; role vedoucí/pokladní s rozdílnými oprávněními.
• Hesla uložená jen jako hash (bcrypt), zámek účtu po opakovaných neúspěšných přihlášeních, povinná změna dočasného hesla, přihlašovací tokeny s omezenou platností; jednorázové kódy pro „Moje karty“ s platností 10 minut a omezeným počtem pokusů.
• Karty v Apple Wallet chráněny individuálním autentizačním tokenem každé karty; odkazy ke stažení karet podepsané a časově omezené.
• Server chráněný firewallem a ochranou proti útokům hrubou silou (fail2ban), pravidelné bezpečnostní aktualizace.
• Technické záznamy uchovávány 14 dní; okamžitá anonymizace údajů na žádost.

Příloha 3 — Další zpracovatelé

• — hosting serveru a databáze; .
• Google LLC / Google Ireland Ltd. — Google Wallet: uložení a aktualizace karet držitelů, kteří používají Google Wallet; EU/USA (DPF).
• Apple Inc. / Apple Distribution International Ltd. — Apple Push Notification service: doručení signálu o změně karty na zařízení s Apple Wallet (push token); EU/USA (DPF).

E-maily odesílá vlastní poštovní server zpracovatele na stejném hostingu.

1. Parties

Controller: the business that uses the CardMeUp service and whose manager (supervisor) accepted this agreement in the CardMeUp console (the “Controller”).

Processor: , ID No. (IČO) , e-mail (the “Processor”).

The agreement is concluded electronically upon acceptance in the console; the Processor keeps a record of who accepted it for the Controller, when, and which version. The agreement forms part of the Terms of Use (Part B).

2. Subject matter, nature and purpose

The Processor runs a digital loyalty program for the Controller: registration of cardholders, issuing and updating cards in Apple Wallet and Google Wallet, recording accruals and redemptions, card notifications, news and offers to cardholders who consented, the “My Cards” portal, program analytics and tools for exercising data subject rights. Processing includes collection, storage, organisation, alteration, retrieval, use, disclosure to the Controller’s users and to the recipients in Annex 3, anonymisation and erasure.

3. Duration

The agreement applies for as long as the Processor provides the service to the Controller and thereafter until the obligations under section 9 are fulfilled.

4. Categories of data subjects and personal data

Data subjects: holders of the Controller’s loyalty cards (customers).

Personal data: see Annex 1. Special categories of personal data (Art. 9 GDPR) are not processed and the Controller does not enter them into the service (including message texts).

5. Obligations of the Controller

• The Controller is responsible for the lawfulness of processing, for the rules of its program and for the content of messages it sends to cardholders.
• The Controller gives access to data only to its authorised staff and is responsible for their access.
• The Controller’s instructions are given by this agreement and by the settings and use of the service (e.g. sending a message, deleting a client); other instructions are given in writing (e-mail).

6. Obligations of the Processor

1. Processes personal data only on documented instructions from the Controller, including with regard to transfers to third countries; where EU or Member State law requires processing, it informs the Controller in advance unless that law prohibits it. If an instruction in its opinion infringes the GDPR, it informs the Controller immediately.
2. Ensures that persons authorised to process the data are bound by confidentiality.
3. Takes the technical and organisational measures required by Art. 32 GDPR (Annex 2).
4. Respects the conditions for engaging sub-processors (section 7).
5. Assists the Controller in responding to requests from data subjects — the service allows data to be viewed, corrected, deleted (immediate anonymisation) and consents to be managed; cardholders can exercise many rights themselves in “My Cards”. Requests received directly are forwarded to the Controller without undue delay, at the latest within 5 working days, and handled according to its instructions; portable data (export) is provided on request.
6. Assists the Controller with obligations under Art. 32–36 GDPR (security, breach notification, impact assessment, prior consultation), taking into account the nature of processing and the information available.
7. Notifies the Controller of a personal data breach without undue delay, at the latest within 48 hours of becoming aware of it, with the information under Art. 33(3) GDPR available to it.
8. Deletes or returns the data at the end of the service under section 9.
9. Makes available to the Controller the information necessary to demonstrate compliance with Art. 28 GDPR and allows for audits, including inspections, by the Controller or an auditor mandated by it, with at least 30 days’ prior notice and in a way that does not endanger other controllers’ data.

7. Sub-processors

The Controller gives general authorisation to engage sub-processors. The current list is in Annex 3. The Processor informs the Controller by e-mail or in the console at least 14 days before adding or replacing a sub-processor; the Controller may object on reasonable grounds and, if the objection is not accommodated, terminate the agreement. The Processor imposes the same data protection obligations on sub-processors and remains liable for their performance.

8. Transfers to third countries

Data is processed in the EU. Apple and Google may process data in the United States on the basis of the adequacy decision (EU–U.S. Data Privacy Framework) under which they are certified, and of their standard contractual clauses.

9. End of processing and deletion

When the service ends, the Processor deactivates the program’s cards and within 30 days deletes or irreversibly anonymises cardholders’ personal data. If the Controller asks before the end, the Processor first hands the data over in a machine-readable format (CSV or JSON). The anonymised transaction history is no longer personal data. The Processor may keep data only where EU or Member State law requires it.

10. Liability and governing law

The parties’ liability is governed by Art. 82 GDPR and the Terms of Use. This agreement is governed by the law of the Czech Republic. New versions are published on this page and accepted by the Controller in the console. This agreement is published in Czech and English; in case of any discrepancy, the Czech version prevails (Rozhodující je české znění).

Annex 1 — Categories of personal data

• Identification and contact data: first and last name, phone, e-mail; optionally date of birth and gender; language.
• Card data: card number, QR code identifier, program, status, balance, history of accruals and redemptions (date, amount, for discounts the purchase amount, staff member who performed the operation).
• Consents: acceptance of terms (time, version), consent to news and offers (status, time, source of change), registration record (IP address, browser, time).
• Wallet data: Apple Wallet device identifier, push token, time of last update; Google Wallet card object (name, card number, balance, messages).
• Messages: texts of the Controller’s news and offers and records of their delivery to cards.

Annex 2 — Technical and organisational measures

• Encrypted transmission (HTTPS/TLS) for the website, console, API and card updates; e-mail via a mail server with TLS.
• Separation of controllers: each user sees only their own business’s data; manager/cashier roles with different permissions.
• Passwords stored only as hashes (bcrypt), account lock after repeated failed sign-ins, mandatory change of temporary passwords, time-limited sign-in tokens; one-time codes for “My Cards” valid 10 minutes with a limited number of attempts.
• Apple Wallet cards protected by an individual authentication token per card; card download links signed and time-limited.
• Server protected by a firewall and brute-force protection (fail2ban), regular security updates.
• Technical logs kept for 14 days; immediate anonymisation on request.

Annex 3 — Sub-processors

• — hosting of the server and database; .
• Google LLC / Google Ireland Ltd. — Google Wallet: storing and updating the cards of cardholders who use Google Wallet; EU/USA (DPF).
• Apple Inc. / Apple Distribution International Ltd. — Apple Push Notification service: delivering the card-change signal to devices with Apple Wallet (push token); EU/USA (DPF).

E-mails are sent by the Processor’s own mail server on the same hosting.