Účinnost: 20. června 2026 — Sparkle5, LLC — Verze 1.0

Smlouva o zpracování osobních údajů (DPA)

Tato smlouva o zpracování osobních údajů (dále jen „DPA“) je součástí Podmínek služby uzavřených mezi společností Sparkle5, LLC (dále jen „Luvu“ nebo „my“) a Vámi (dále jen „Zákazník“ nebo „Vy“) a použije se vždy, když Sparkle5, LLC zpracovává osobní údaje Vaším jménem v souvislosti se službou Luvu. Je koncipována tak, aby byla v souladu s čl. 28 GDPR, britským zákonem o ochraně údajů z roku 2018 (UK Data Protection Act 2018) a rovnocennými právními předpisy.

1. Definice

Osobní údaje, zpracování, správce, zpracovatel, subjekt údajů — ve smyslu definic GDPR.
Další zpracovatel — jakákoli třetí strana, kterou Luvu zapojí do zpracování osobních údajů naším jménem v souvislosti se službou.
Standardní smluvní doložky (SCC) — doložky Evropské komise podle modulu 2 (správce → zpracovatel) a modulu 3 (zpracovatel → další zpracovatel) (prováděcí rozhodnutí Komise (EU) 2021/914).

2. Role a rozsah

U osobních údajů týkajících se koncových uživatelů Luvu (produkt seznamovací aplikace) je Sparkle5, LLC správcem. U jakýchkoli osobních údajů, jejichž zpracování nám Vy (Zákazník) uložíte provádět Vaším jménem mimo rámec našeho standardního produktu (např. smlouvy o podnikové integraci, nasazení v režimu white-label), jedná Sparkle5, LLC jako zpracovatel a toto zpracování se řídí touto DPA.

3. Předmět, doba trvání, povaha a účel

Předmět: Poskytování služby Luvu — vyhledávání vhodných partnerů (párování), zasílání zpráv, ověřování totožnosti, fakturace a podpůrná infrastruktura.
Doba trvání: Zpracování probíhá po dobu platnosti Podmínek služby a po jejich ukončení jsou údaje uchovávány podle harmonogramu uchovávání uvedeného v našich Zásadách ochrany osobních údajů § 7.
Povaha a účel: Ukládání, strukturování, vyhledávání, přenos a výmaz osobních údajů v rozsahu nezbytném k poskytování, provozování, zabezpečení a zlepšování služby.
Typy osobních údajů: Identifikační údaje, kontaktní údaje, profilové údaje, zvláštní kategorie osobních údajů podle čl. 9 (sexuální orientace a preference, na základě výslovného souhlasu podle Zásad ochrany osobních údajů § 1), lokalizační údaje, identifikátory zařízení, metadata plateb, obsah (zprávy, fotografie, hlasové nahrávky), údaje o používání a záznamy (logy).
Kategorie subjektů údajů: Registrovaní uživatelé Luvu.

4. Povinnosti zpracovatele

Pokud jednáme jako zpracovatel, zavazujeme se:

Zpracovávat osobní údaje pouze na základě doložených pokynů správce, ledaže nám zpracování ukládá právo Unie nebo členského státu.
Zajistit, aby osoby oprávněné zpracovávat osobní údaje byly vázány povinností mlčenlivosti.
Zavést technická a organizační opatření popsaná v příloze II.
Zapojovat další zpracovatele pouze na základě předchozího obecného písemného povolení a při uložení navazujících smluvních povinností (back-to-back), které neposkytují nižší úroveň ochrany než tato DPA — viz § 5 a příloha I.
S ohledem na povahu zpracování být správci nápomocni prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, při plnění povinnosti správce reagovat na žádosti subjektů údajů (kapitola III GDPR).
Poskytovat součinnost při plnění povinností týkajících se zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů (DPIA) a předchozí konzultace podle čl. 32–36 GDPR.
Po ukončení vymazat nebo vrátit veškeré osobní údaje — svá data si také můžete kdykoli sami exportovat v Nastavení → Soukromí → Export dat.
Poskytnout veškeré informace potřebné k doložení souladu s povinnostmi a umožnit audity, včetně inspekcí, prováděné správcem nebo jiným auditorem, kterého správce pověřil, a k těmto auditům přispívat. Audity jsou omezeny na jeden za každé 12měsíční období, s výjimkou období po bezpečnostním incidentu.

5. Další zpracovatelé

Tímto udělujete Luvu obecné písemné povolení k zapojení dalších zpracovatelů uvedených v příloze I. O jakémkoli zamýšleném přidání nebo nahrazení dalších zpracovatelů Vás budeme informovat prostřednictvím banneru v aplikaci a e-mailem na Vámi evidovanou adresu, přičemž Vám poskytneme přiměřenou lhůtu (nejméně 30 dní) ke vznesení námitky z opodstatněných důvodů předtím, než nový další zpracovatel zahájí zpracování. Seznam v příloze I vždy odpovídá tabulce dalších zpracovatelů v Zásadách ochrany osobních údajů § 5.

6. Mezinárodní předávání údajů

Pokud se další zpracovatel nachází mimo EU/EHP, je předání kryto buď (i) rozhodnutím Evropské komise o odpovídající ochraně, nebo (ii) standardními smluvními doložkami modulu 3, ve vhodných případech doplněnými o dodatečné záruky (posouzení dopadu předání, technické šifrování, smluvní omezení zpřístupnění údajů orgánům veřejné moci). Aktuální seznam přeshraničních předání a záruk uplatněných u každého z nich je uveden v příloze I.

7. Zabezpečení — shrnutí přílohy II

Uplatňujeme následující technická a organizační opatření (TOM):

Šifrování při přenosu: TLS 1.3 se silnými šiframi; HSTS preload.
Šifrování v klidovém stavu: AES-256 pro databáze, objektové úložiště a zálohy.
Řízení přístupu: Přístup založený na rolích podle principu nejnižších oprávnění, časově omezené administrátorské relace, povinné vícefaktorové ověřování (MFA) pro všechny role s přístupem k produkčnímu prostředí.
Izolace sítě: Produkční servery za VPN WireGuard; veřejně jsou přístupné pouze koncové body TLS.
Protokolování a monitoring: Centralizované strukturované logy, sledování chyb, upozornění na anomálie; nezpracované IP adresy jsou před uložením hashovány algoritmem SHA-256, pokud jsou používány pro analytiku nebo omezování počtu požadavků (rate limiting).
Zálohy: Šifrované noční zálohy databáze uchovávané po dobu 30 dní mimo provozní lokalitu (EU).
Správa zranitelností: Závislosti jsou kontrolovány při každém sestavení CI; skenování tajných údajů blokuje commity obsahující přístupové údaje.
Obsah fotografií a hlasových nahrávek: Soukromé S3 ACL s krátkodobě platnými podepsanými URL adresami (TTL 2 hodiny); žádné přímé veřejné URL adresy.
Záruky při smazání účtu: Měkké smazání (soft-delete) s 30denní ochrannou lhůtou, poté nevratné trvalé smazání (hard-delete); finanční záznamy jsou uchovávány, pokud to vyžaduje zákon (10 let).

8. Ohlašování porušení zabezpečení

Dojde-li ke skutečnému nebo důvodně podezřelému porušení zabezpečení osobních údajů, které se týká Vašich údajů, budeme Vás informovat bez zbytečného odkladu, v každém případě však do 48 hodin, přičemž poskytneme informace vyžadované čl. 33 odst. 3 GDPR v rozsahu, v jakém jsou k dispozici, a budeme s Vámi v dobré víře spolupracovat na reakci na incident a na navazujících oznámeních.

9. Odpovědnost a doba trvání

Odpovědnost každé ze smluvních stran podle této DPA podléhá omezením a vyloučením stanoveným v základních Podmínkách služby. Tato DPA nabývá účinnosti dnem účinnosti uvedeným výše a zaniká spolu se základními Podmínkami.

Příloha I — Povolení další zpracovatelé

Tento seznam je totožný s tabulkou dalších zpracovatelů v Zásadách ochrany osobních údajů § 5 a je aktualizován pokaždé, když je některý další zpracovatel přidán, odebrán nebo změněn. Aktuální stav ke dni účinnosti uvedenému výše je uveden níže. Rozhodujícím aktuálním seznamem je vždy verze zveřejněná na adrese /pages/privacy.

Přeshraniční předávání do USA a Izraele je kryto standardními smluvními doložkami (SCC) modulu 3, pokud se nepoužije rozhodnutí o odpovídající ochraně; u zpracovatelů se sídlem v EU nejsou SCC vyžadovány.

Google LLC — přihlášení a identita (SSO) — USA — SCC.
Google LLC — Firebase Cloud Messaging (push oznámení) — USA — SCC.
Google LLC — Google Play Billing a Developer API (ověřování nákupů v systému Android) — USA — SCC.
Google LLC — Maps Static API a Geocoder (zprávy s polohou) — USA — SCC.
Apple Inc. — SSO, nákupy v aplikaci (In-App Purchase), APNs — USA — SCC.
Stripe, Inc. — zpracování webových plateb — USA — SCC.
Singular Labs, Inc. — atribuce instalací a událostí v aplikaci — USA / Izrael — SCC.
Hetzner Online GmbH — objektové úložiště (fotografie, hlasové zprávy, obrázky z chatu) — Německo (EU) — SCC nejsou vyžadovány.
Mailgun Technologies (Sinch) — transakční e-maily — servery v EU — SCC nejsou vyžadovány.
SMTP2GO Pty Ltd — transakční e-maily (záložní služba) — servery v EU — SCC nejsou vyžadovány.
Giphy Inc. — vyhledávání obsahu GIF ve zprávách — USA — SCC.

Příloha II — Technická a organizační opatření

Shrnutí viz § 7 výše. Úplná dokumentace TOM je k dispozici podnikovým zákazníkům na základě dohody o mlčenlivosti (NDA) na žádost zaslanou na adresu privacy@luvu.plus.

Kontakt

Sparkle5, LLC — kontakt pro ochranu osobních údajů: privacy@luvu.plus.