Soulad s GDPR¶

Rámec ochrany osobních údajů MazeVault podle nařízení (EU) 2016/679

ID dokumentu: MV-LEG-022
Verze: 1.0.0
Klasifikace: Interní
Vlastník: Pověřenec pro ochranu osobních údajů (DPO)
Poslední aktualizace: 2026-05-01
Cyklus revize: Roční
Schválil: Generální ředitel / Představenstvo

1. Účel a rozsah¶

Tento dokument definuje rámec souladu MazeVault s obecným nařízením o ochraně osobních údajů (EU) 2016/679 („nařízení GDPR"). Stanovuje zásady ochrany osobních údajů, technická opatření a organizační kontroly implementované v rámci platformy MazeVault k zajištění zákonného zpracování osobních údajů.

1.1 Role MazeVault jako zpracovatele¶

MazeVault vystupuje jako zpracovatel ve smyslu článku 28 nařízení GDPR. Zákazník nasazující MazeVault je správce a ponechává si plnou pravomoc nad účely a prostředky zpracování osobních údajů v rámci platformy.

MazeVault zpracovává osobní údaje výhradně jménem a na základě doložených pokynů správce. MazeVault neurčuje účely ani prostředky zpracování, nepoužívá údaje zákazníka pro vlastní účely a nesdílí údaje zákazníka s třetími stranami s výjimkou případů, kdy to správce nařídí nebo kdy to vyžaduje platná legislativa.

1.2 Rozsah působnosti¶

Tento rámec se vztahuje na:

Veškeré osobní údaje zpracovávané komponentami platformy MazeVault
Veškerý personál MazeVault s přístupem k systémům zpracovávajícím osobní údaje
Všechna prostředí (produkční, testovací, vývojové), kde mohou být přítomny osobní údaje
Všechny modely nasazení (cloudové, on-premise, hybridní)

1.3 Právní základ¶

Nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů)
Zákon č. 110/2019 Sb., o zpracování osobních údajů (Česká republika)
Příslušné národní implementace nařízení GDPR v jurisdikcích zákazníků

2. Role při zpracování údajů¶

2.1 Rozsah zpracování¶

MazeVault zpracovává osobní údaje VÝHRADNĚ dle pokynů zákazníka (správce). Zpracovatel nezávisle neurčuje, jaké osobní údaje jsou shromažďovány, jak dlouho jsou uchovávány ani komu jsou zpřístupněny. Všechna taková rozhodnutí zůstávají na správci.

2.2 Kategorie zpracovávaných osobních údajů¶

V rámci platformy MazeVault jsou zpracovávány následující kategorie osobních údajů:

Údaje o uživatelských účtech¶

Datový prvek	Účel	Místo uložení
Uživatelské jméno	Autentizace, identifikace	Databáze uživatelů
E-mailová adresa	Autentizace, notifikace	Databáze uživatelů
Hash hesla (bcrypt/Argon2id)	Autentizace	Databáze uživatelů
Seed MFA (TOTP)	Vícefaktorová autentizace	Šifrovaně v databázi uživatelů

Přístupové protokoly¶

Datový prvek	Účel	Místo uložení
IP adresa	Bezpečnostní monitoring, řízení přístupu	Databáze auditních protokolů
Řetězec user agent	Bezpečnostní monitoring, detekce anomálií	Databáze auditních protokolů
Identifikátory relací	Správa relací	Úložiště relací

Auditní stopa¶

Datový prvek	Účel	Místo uložení
Akce uživatele (operace CRUD)	Soulad, odpovědnost	Databáze auditních protokolů
Časová razítka	Časová korelace	Databáze auditních protokolů
Identifikátory zdrojů	Kontext akce	Databáze auditních protokolů

Tajné údaje zákazníka¶

Tajné údaje zákazníka MOHOU obsahovat osobní údaje (např. připojovací řetězce s uživatelskými jmény, API klíče přiřazené fyzickým osobám). MazeVault však nemůže přistupovat k prostému textu uložených tajných údajů z důvodu:

Šifrování v klidu: Všechny tajné údaje šifrovány pomocí AES-256-GCM před uložením
Režim Zero-Knowledge (V2): Serverové komponenty nikdy nevlastní dešifrovací klíče
Režim Orchestrator: Hodnoty tajných údajů uloženy v externím KV úložišti zákazníka, nikoli v rámci MazeVault

Správce je odpovědný za určení, zda tajné údaje obsahují osobní údaje, a za zajištění odpovídajícího právního základu pro takové zpracování.

2.3 Pokyny ke zpracování¶

Pokyny správce ke zpracování jsou zdokumentovány v:

Smlouvě o zpracování osobních údajů (MV-LEG-031)
Hlavní servisní smlouvě (MSA)
Jakýchkoli dalších písemných pokynech poskytnutých správcem

MazeVault neprodleně informuje správce, pokud je podle jeho názoru pokyn v rozporu s nařízením GDPR nebo jinými předpisy Unie či členského státu na ochranu osobních údajů (čl. 28 odst. 3).

3. Záznamy o činnostech zpracování (RoPA)¶

Na základě článku 30 odst. 2 nařízení GDPR vede MazeVault následující záznamy o činnostech zpracování prováděných jménem správců:

3.1 Registr činností zpracování¶

Činnost zpracování	Kategorie údajů	Subjekty údajů	Účel	Právní základ	Doba uchovávání	Příjemci
Autentizace uživatelů	Uživatelské jméno, e-mail, hash hesla, IP adresa, MFA seed	Zaměstnanci a dodavatelé zákazníka	Řízení přístupu k platformě a ověření identity	Plnění smlouvy (čl. 6 odst. 1 písm. b))	Doba existence účtu (do žádosti správce o výmaz)	Žádní (pouze interní zpracování)
Auditní protokolování	user_id, IP adresa, user_agent, provedené akce, časová razítka	Zaměstnanci a dodavatelé zákazníka	Bezpečnostní monitoring, prokazování souladu, odpovědnost	Oprávněný zájem (čl. 6 odst. 1 písm. f)) — zabezpečení zpracování	365 dní (konfigurovatelné dle pokynů správce)	SIEM zákazníka (pokud je nakonfigurován správcem)
Úložiště tajných údajů	encrypted_value (nečitelné pro MazeVault), metadata (název klíče, projekt, štítky)	Může zahrnovat osobní údaje subjektů údajů (určuje správce)	Správa tajných údajů dle pokynů správce	Plnění smlouvy (čl. 6 odst. 1 písm. b))	Určeno zákazníkem (do smazání správcem)	Žádní (šifrováno, nepřístupné zpracovateli)
Správa certifikátů	Common Name (CN), Subject Alternative Names (SAN) — mohou obsahovat osobní jména nebo e-mailové adresy	Subjekty certifikátů (zaměstnanci, služby, zařízení)	Správa PKI, operace životního cyklu certifikátů	Plnění smlouvy (čl. 6 odst. 1 písm. b))	Doba platnosti certifikátu + 1 rok (pro ověření odvolání)	Poskytovatelé CA (odeslání CSR dle pokynů správce)
Správa licencí	Název organizace, e-mail administrátora	Administrátor zákazníka	Aktivace licence a ověření souladu	Plnění smlouvy (čl. 6 odst. 1 písm. b))	Doba platnosti licence	Licenční server (interní služba maze-admin)

3.2 Údržba záznamů¶

Záznamy jsou vedeny v elektronické formě a jsou k dispozici dozorovým orgánům na vyžádání
Záznamy jsou přezkoumávány a aktualizovány minimálně jednou ročně nebo při významných změnách zpracování
Za přesnost a úplnost záznamů odpovídá DPO

4. Posouzení vlivu na ochranu osobních údajů (DPIA)¶

Na základě článku 35 nařízení GDPR provedl MazeVault posouzení vlivu na ochranu osobních údajů pro své činnosti zpracování. Následuje shrnutí zjištění DPIA:

4.1 Povaha zpracování¶

Ukládání a správa šifrovaných tajných údajů a přihlašovacích údajů jménem správců
Správa životního cyklu certifikátů včetně vydávání, obnovy a odvolání
Autentizace a autorizace uživatelů pro přístup k platformě
Auditní protokolování všech akcí uživatelů pro účely souladu a bezpečnosti

4.2 Rozsah zpracování¶

Omezeno pouze na údaje určené zákazníkem
Veškerá citlivá data šifrována v klidu (AES-256-GCM)
Zpracování omezeno na zdokumentované pokyny správce
Žádné rozsáhlé zpracování zvláštních kategorií údajů (čl. 9)
Žádné systematické monitorování veřejně přístupných prostor

4.3 Kontext zpracování¶

Podniková správa tajných údajů pro regulované subjekty (finanční, zdravotnické, vládní)
Vysoce zabezpečené prostředí s architekturou vícevrstvé obrany
Zákazníci v regulovaných odvětvích vyžadující přísné kontroly ochrany údajů
Zpracování probíhá v infrastruktuře řízené zákazníkem (on-premise) nebo ve stanovených cloudových regionech

4.4 Hodnocení rizik¶

Riziko	Pravděpodobnost	Dopad	Zmírnění	Zbytkové riziko
Narušení bezpečnosti údajů (neoprávněný přístup k tajným údajům)	Nízká	Kritický	Šifrování AES-256-GCM, RBAC, MFA, auditní protokolování, podpora HSM	Velmi nízké
Neoprávněné zpřístupnění osobních údajů v protokolech	Nízká	Vysoký	Pseudonymizace (user_id), řízení přístupu k protokolům, limity uchovávání	Nízké
Ztráta dostupnosti (výpadek služby)	Střední	Střední	Multi-DC architektura, automatické přepnutí při selhání, záloha/obnova	Nízké
Interní hrozba	Nízká	Vysoký	Nejmenší oprávnění (RBAC), auditní protokolování, oddělení povinností, personální bezpečnost (organizační HR politika)	Nízké
Kompromitace dodavatelského řetězce	Nízká	Vysoký	SBOM, skenování závislostí, integrita CI/CD pipeline, hodnocení dodavatelů	Nízké

4.5 Nezbytnost a přiměřenost¶

Minimalizace údajů: Ukládána pouze nezbytná data; žádné shromažďování nad rámec nutného pro poskytování služby
Účelové omezení: Údaje zpracovávány pouze pro zdokumentované účely (správa tajných údajů, PKI, autentizace)
Omezení uložení: Doby uchovávání definovány a vynucovány; automatický výmaz tam, kde je nakonfigurován
Přesnost: Profilové údaje uživatele upravitelné správcem; automatické sledování vypršení certifikátů

4.6 Opatření k řešení rizik¶

Opatření	Odkaz na GDPR	Implementace
Šifrování v klidu	Čl. 32 odst. 1 písm. a)	AES-256-GCM pro veškerá citlivá data
Šifrování při přenosu	Čl. 32 odst. 1 písm. a)	TLS 1.2+ (preferováno TLS 1.3)
Řízení přístupu	Čl. 32 odst. 1 písm. b)	RBAC s principem nejmenších oprávnění, MFA, SSO
Auditní protokolování	Čl. 5 odst. 2	Řetězově hashovaná neměnná auditní stopa
Reakce na incidenty	Čl. 33, 34	Formální plán reakce na incidenty s notifikací do 24 hodin
Správa klíčů	Čl. 32 odst. 1 písm. a)	Podpora HSM, automatická rotace
Pravidelné testování	Čl. 32 odst. 1 písm. d)	Penetrační testování, skenování zranitelností, testy DR
Ochrana soukromí od návrhu	Čl. 25	Architektura zero-knowledge, minimalizace údajů

4.7 Závěr DPIA¶

Posouzení dospělo k závěru, že s implementovanými technickými a organizačními opatřeními je zbytkové riziko pro práva a svobody subjektů údajů přijatelné. Předchozí konzultace s dozorovým úřadem (čl. 36) není vyžadována.

5. Práva subjektů údajů¶

MazeVault jako zpracovatel pomáhá správci při plnění žádostí o uplatnění práv subjektů údajů podle článku 28 odst. 3 písm. e). Následující text popisuje technické možnosti dostupné na podporu každého práva:

5.1 Právo na přístup (článek 15)¶

Povinnost správce: Poskytnout subjektům údajů kopii jejich osobních údajů a informace o zpracování.

Podpora MazeVault:

Vyhledávání v auditních protokolech podle identifikátoru uživatele (vrací všechny zaznamenané akce pro daný subjekt údajů)
Export údajů uživatele (informace o účtu, přiřazené role, oprávnění)
Získání přístupových protokolů (IP adresy, historie přihlášení, data relací)
API endpoint: GET /api/v1/users/{id}/export

5.2 Právo na opravu (článek 16)¶

Povinnost správce: Opravit nepřesné osobní údaje bez zbytečného odkladu.

Podpora MazeVault:

Úprava uživatelského profilu (uživatelské jméno, e-mail, zobrazované jméno)
Úprava subjektu certifikátu (opětovné vydání s opravenými údaji)
Admin API pro hromadné opravy
API endpoint: PUT /api/v1/users/{id}

5.3 Právo na výmaz (článek 17)¶

Povinnost správce: Vymazat osobní údaje, pokud jsou splněny podmínky (souhlas odvolán, údaje již nejsou potřebné atd.).

Podpora MazeVault:

Smazání účtu (odstraní záznam uživatele, deaktivuje relace)
Smazání tajného údaje (odstraní šifrované hodnoty a metadata)
Odvolání a odstranění certifikátu
Zvážení auditních protokolů: protokoly obsahující user_id mohou být uchovávány z oprávněného bezpečnostního zájmu (čl. 17 odst. 3 písm. b)) — dobu uchovávání určuje správce
API endpoint: DELETE /api/v1/users/{id}

Uchovávání auditních protokolů

Auditní protokoly slouží oprávněnému zájmu v oblasti bezpečnosti a souladu. Výmaz auditních záznamů může být v rozporu s regulatorními povinnostmi. Správce musí vyvážit žádosti o výmaz s požadavky na bezpečnost a soulad.

5.4 Právo na omezení zpracování (článek 18)¶

Povinnost správce: Omezit zpracování za stanovených okolností (přesnost zpochybněna, protiprávní zpracování atd.).

Podpora MazeVault:

Pozastavení účtu (uživatel se nemůže autentizovat, údaje zachovány)
Odebrání role (přístup odebrán, účet zachován)
Omezení přístupu na úrovni projektu
API endpoint: POST /api/v1/users/{id}/suspend

5.5 Právo na přenositelnost údajů (článek 20)¶

Povinnost správce: Poskytnout osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu.

Podpora MazeVault:

Export údajů uživatele ve formátu JSON
Export tajných údajů ve formátu JSON (šifrovaně nebo v prostém textu dle autorizace správce)
Export certifikátů ve standardních formátech: PEM, DER, PKCS#12
Hromadný export prostřednictvím API nebo nástrojů CLI
API endpoint: GET /api/v1/export

5.6 Právo vznést námitku (článek 21)¶

Nepoužitelné: MazeVault neprovádí profilování, přímý marketing ani zpracování založené na oprávněném zájmu pro vlastní účely. Veškeré zpracování je prováděno jménem a dle pokynů správce.

5.7 Postup vyřízení¶

Správce obdrží žádost subjektu údajů
Správce ověří totožnost subjektu údajů
Správce zadá pokyn MazeVault prostřednictvím kanálu podpory nebo API
MazeVault provede technická opatření do 5 pracovních dnů
MazeVault potvrdí dokončení správci
Správce odpoví subjektu údajů v zákonné lhůtě (1 měsíc)

6. Oznámení narušení bezpečnosti osobních údajů (články 33 a 34)¶

6.1 Oznámení zpracovatele správci¶

MazeVault oznámí správci narušení bezpečnosti osobních údajů bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy se o narušení dozví.

Oznámení bude obsahovat:

Informace	Popis
Povaha narušení	Typ (důvěrnost, integrita, dostupnost), vektor útoku
Kategorie dotčených údajů	Uživatelské účty, auditní protokoly, tajné údaje, certifikáty
Přibližný počet dotčených subjektů údajů	Počet nebo odhad
Přibližný počet dotčených záznamů	Počet nebo odhad
Pravděpodobné důsledky	Hodnocení rizik pro subjekty údajů
Přijatá nebo navrhovaná opatření	Okamžitá reakce, náprava, prevence
Kontaktní místo	DPO nebo určený bezpečnostní kontakt

6.2 Povinnosti správce¶

Správce je odpovědný za:

Oznámení příslušnému dozorovému úřadu (ÚOOÚ) do 72 hodin od okamžiku, kdy se o narušení dozví (čl. 33 odst. 1)
Posouzení, zda je pravděpodobné, že narušení bude mít za následek vysoké riziko pro subjekty údajů
Oznámení dotčeným subjektům údajů bez zbytečného odkladu v případě vysokého rizika (čl. 34 odst. 1)
Zdokumentování narušení bez ohledu na to, zda je vyžadováno oznámení dozorovému úřadu (čl. 33 odst. 5)

6.3 Spolupráce¶

MazeVault:

Plně spolupracuje s vyšetřováním správce
Uchovává veškeré relevantní důkazy (minimálně 3 roky)
Poskytuje dodatečné informace, jakmile budou k dispozici
Pomáhá správci při komunikaci s dozorovým úřadem (ÚOOÚ)
Implementuje okamžitá opatření k zadržení
Provede analýzu kořenové příčiny a poskytne zprávu do 14 dnů

6.4 Klasifikace narušení¶

Klasifikace	Kritéria	Vyžadováno oznámení
Potvrzené narušení	Osobní údaje potvrzeně zpřístupněny/vyzrazeny/ztraceny	Ano — do 24 hodin
Podezření na narušení	Indikátory kompromitace, probíhá vyšetřování	Ano — předběžné oznámení do 24 hodin, potvrzení do 72 hodin
Téměř-incident	Pokus o narušení, žádné údaje kompromitovány	Oznámení nevyžadováno; zdokumentováno interně

7. Technická a organizační opatření (TOM)¶

Na základě článku 32 nařízení GDPR implementuje MazeVault následující technická a organizační opatření k zajištění úrovně bezpečnosti odpovídající danému riziku:

7.1 Pseudonymizace (čl. 32 odst. 1 písm. a))¶

Interní protokoly odkazují na user_id (UUID) namísto osobních identifikátorů (jméno, e-mail)
Korelace mezi user_id a osobními údaji omezena na databázi uživatelů s řízeným přístupem
Auditní protokoly lze poskytnout bez odhalení osobní identity (pseudonymizovaný export)
Sériová čísla certifikátů používána namísto jmen subjektů v provozních protokolech

7.2 Šifrování (čl. 32 odst. 1 písm. a))¶

Vrstva	Metoda	Standard
Data v klidu (tajné údaje)	AES-256-GCM	NIST SP 800-38D
Data v klidu (databáze)	AES-256 (transparentní šifrování)	Specifické dle poskytovatele
Data při přenosu (externí)	TLS 1.2+ (preferováno TLS 1.3)	RFC 8446
Data při přenosu (interní)	mTLS mezi službami	Certifikáty X.509
Klíče pro šifrování klíčů	RSA-4096 nebo AES-256-KW	NIST SP 800-56B
Šifrování záloh	AES-256-GCM	NIST SP 800-38D

7.3 Důvěrnost (čl. 32 odst. 1 písm. b))¶

Řízení přístupu na základě rolí (RBAC) s principem nejmenších oprávnění
Izolace projektů (uživatelé nemají přístup k projektům, ke kterým nejsou přiřazeni)
Oddělení domén (vynuceny organizační hranice)
Vícefaktorová autentizace (MFA založená na TOTP)
Integrace jednotného přihlášení (OIDC, SAML 2.0, LDAP/AD)
Automatický timeout relací a opětovná autentizace
Personální bezpečnost dle organizační HR politiky MazeVault s.r.o.

7.4 Integrita (čl. 32 odst. 1 písm. b))¶

Řetězově hashované auditní protokoly (SHA-256) — detekce manipulace
Integritní omezení databáze (cizí klíče, omezení jedinečnosti, kontrolní omezení)
Validace vstupů na všech API endpointech
Digitální podpisy na certifikátech a artefaktech
Kontrolní součty záložních souborů
Správa verzí všech konfiguračních změn

7.5 Dostupnost (čl. 32 odst. 1 písm. b))¶

Nasazení ve více datových centrech s geografickou redundancí
Automatizované postupy zálohování a obnovy
Obnova po havárii s dokumentovanými postupy přepnutí
Rozložení zátěže a horizontální škálování
Replikace databáze (synchronní pro kritická data)
Redundantní síťové cesty

7.6 Odolnost (čl. 32 odst. 1 písm. b))¶

Jističe zabraňující kaskádovým selháním
Monitorování stavu s automatickým upozorňováním
Automatický restart selhavších služeb (Kubernetes liveness/readiness probes)
Elegantní degradace při zatížení
Omezení frekvence požadavků k prevenci vyčerpání zdrojů
Zpracování na základě front pro asynchronní operace

7.7 Pravidelné testování (čl. 32 odst. 1 písm. d))¶

Typ testu	Frekvence	Rozsah
Penetrační testování	Ročně (minimálně)	Celá aplikace a infrastruktura
Skenování zranitelností	Při každém buildu (CI/CD)	Závislosti aplikace a kontejnery
Testování DR	Čtvrtletně	Kompletní přepnutí a obnova
Obnova ze zálohy	Čtvrtletně	Databáze a konfigurace
Bezpečnostní povědomí (organizační)	Průběžně	Personál MazeVault s.r.o.
Stolní cvičení	Pololetně	Scénáře reakce na incidenty

7.8 Schopnost obnovy (čl. 32 odst. 1 písm. c))¶

Automatizované denní zálohy (konfigurovatelná frekvence)
Šifrování záloh (AES-256-GCM)
Mimoprodukční úložiště záloh (geograficky oddělené)
Dokumentované postupy obnovy s definovaným RTO/RPO
Pravidelné testování obnovy (čtvrtletní ověření)
Schopnost obnovy k určitému bodu v čase (WAL databáze)

8. Další zpracovatelé (článek 28 odst. 2 a odst. 4)¶

8.1 Obecné pověření¶

MazeVault zapojuje další zpracovatele pouze s předchozím písemným souhlasem správce, jak je uvedeno ve Smlouvě o zpracování osobních údajů (MV-LEG-031).

8.2 Seznam dalších zpracovatelů¶

Aktuální seznam autorizovaných dalších zpracovatelů je veden v dokumentu Seznam dalších zpracovatelů (MV-LEG-033). Tento seznam obsahuje:

Název a kontakt dalšího zpracovatele
Prováděné činnosti zpracování
Místo zpracování
Kategorie zpracovávaných údajů
Implementovaná bezpečnostní opatření

8.3 Zapojení nového dalšího zpracovatele¶

Pokud MazeVault zamýšlí zapojit nového dalšího zpracovatele:

Oznámení správci 30 dní předem (e-mailem na určený kontakt)
Oznámení obsahuje: identifikaci dalšího zpracovatele, popis zpracování, místo, bezpečnostní opatření
Správce má 15 pracovních dní na vznesení námitky
Pokud správce vznese námitku s odůvodněnými důvody, MazeVault nezapojí dalšího zpracovatele pro údaje daného správce
Pokud není námitka obdržena do 15 pracovních dnů, pověření se považuje za udělené

8.4 Povinnosti dalšího zpracovatele¶

Každý další zpracovatel je vázán písemnou smlouvou ukládající:

Stejné povinnosti ochrany údajů jako ve smlouvě mezi správcem a zpracovatelem
Odpovídající technická a organizační opatření (čl. 32)
Součinnost při uplatňování práv subjektů údajů
Oznamování narušení bezpečnosti
Práva na audit

8.5 Odpovědnost zpracovatele¶

MazeVault zůstává plně odpovědný vůči správci za plnění povinností dalšího zpracovatele. V případě, že další zpracovatel nesplní své povinnosti v oblasti ochrany údajů, nese MazeVault odpovědnost vůči správci za plnění dalšího zpracovatele.

9. Mezinárodní předávání údajů¶

9.1 Výchozí místo zpracování¶

Standardně veškeré osobní údaje zpracovávané MazeVault zůstávají v rámci:

Nasazení on-premise: Vlastní infrastruktura zákazníka v jím zvolené jurisdikci
Cloudové nasazení: Zákazníkem určený region Azure (dostupné regiony v EU: West Europe, North Europe, Germany West Central)

9.2 Mechanismy předávání¶

V případech, kdy je mezinárodní předávání údajů nezbytné:

Cílová destinace	Typ údajů	Mechanismus předávání	Záruky
EU/EHP	Veškeré	Mechanismus předávání není vyžadován	Přiměřená ochrana dle nařízení GDPR
GitHub (USA)	Pouze zdrojový kód	Standardní smluvní doložky (Modul 3)	Nepředávají se osobní údaje zákazníků
Regiony určené zákazníkem	Dle pokynů správce	Odpovědnost správce	Přiměřenost určuje správce

9.3 Omezení¶

Žádné předávání do zemí bez rozhodnutí o přiměřenosti (čl. 45), pokud nejsou zavedeny vhodné záruky (čl. 46)
Standardní smluvní doložky (SCC) přijaté prováděcím rozhodnutím Komise (EU) 2021/914 použity tam, kde je to vyžadováno
Posouzení dopadu předávání provedeno pro jurisdikce bez přiměřené ochrany
Údaje zákazníka nejsou nikdy předávány pro vlastní účely MazeVault

9.4 Kontrola zákazníka¶

Správce si zachovává plnou kontrolu nad umístěním údajů:

Volba modelu nasazení (on-premise eliminuje jakékoli předávání)
Volba cloudového regionu
Konfigurace cílů replikace
Vyžadován souhlas pro jakoukoli změnu místa zpracování

10. Uchovávání a výmaz údajů¶

10.1 Doby uchovávání¶

Kategorie údajů	Doba uchovávání	Základ	Metoda výmazu
Auditní protokoly	365 dní (výchozí, konfigurovatelné)	Oprávněný zájem (bezpečnost)	Automatická archivace/výmaz
Uživatelské účty	Do žádosti správce o výmaz	Smlouva	Ruční výmaz prostřednictvím API
Tajné údaje	Do smazání správcem	Smlouva (pokyn správce)	Žádný automatický výmaz
Certifikáty	Doba platnosti certifikátu + 1 rok	Smlouva (ověření odvolání)	Automatický po uplynutí doby uchovávání
Data relací	24 hodin po vypršení	Technická nezbytnost	Automatické vyčištění
Záložní data	90 dní (výchozí, konfigurovatelné)	Smlouva (obnova)	Automatická rotace

10.2 Ukončení smlouvy¶

Po ukončení servisní smlouvy:

Vrácení údajů: Správce může exportovat veškerá data ve standardních formátech (JSON, PEM, PKCS#12, CSV) do 30 dnů od ukončení
Bezpečný výmaz: Veškeré osobní údaje bezpečně vymazány do 90 dnů od ukončení (nebo na pokyn správce, podle toho, co nastane dříve)
Metoda výmazu: Kryptografický výmaz (zničení klíčů) a/nebo vícenásobné přepsání dle NIST SP 800-88
Potvrzení: Písemné potvrzení o výmazu poskytnuto správci, podepsané DPO
Výjimky: Údaje mohou být uchovávány tam, kde to vyžaduje platná legislativa (např. daňové záznamy, právní pozastavení) — správce informován o takovém uchovávání

10.3 Ověření výmazu¶

Operace výmazu jsou zaznamenány v auditní stopě
Roční přezkoumání uchovávaných údajů oproti plánu uchovávání
Automatická upozornění pro údaje blížící se limitům uchovávání
Čtvrtletní ověření správného fungování procesů výmazu

11. Ochrana soukromí od návrhu a ve výchozím nastavení (článek 25)¶

11.1 Principy ochrany soukromí od návrhu¶

MazeVault začleňuje principy ochrany údajů do návrhu platformy od jejího počátku:

Princip	Implementace
Proaktivní, ne reaktivní	Bezpečnost a ochrana soukromí zabudována do architektury, ne přidána dodatečně
Ochrana soukromí jako výchozí nastavení	Žádný přístup bez explicitního přiřazení role; šifrování ve výchozím nastavení
Ochrana soukromí zabudovaná do návrhu	Architektura zero-knowledge; minimalizace údajů v návrhu schématu
Plná funkčnost	Bezpečnost bez obětování použitelnosti
Zabezpečení od začátku do konce	Ochrana v průběhu celého životního cyklu údajů
Viditelnost a transparentnost	Komplexní auditní protokolování; otevřená dokumentace
Respekt k soukromí uživatele	Minimalizace údajů; účelové omezení; kontrola uživatele

11.2 Architektura Zero-Knowledge (V2)¶

V režimu Zero-Knowledge:

Server nikdy nevlastní dešifrovací klíče pro tajné údaje zákazníka
Šifrování/dešifrování probíhá na straně klienta (v agentovi nebo CLI)
Server ukládá pouze šifrovaný text a metadata
Ani kompletní kompromitace serveru nevystaví tajné údaje v prostém textu
MazeVault nemůže vyhovět požadavkům na vydání prostého textu (technická nemožnost)

11.3 Režim Orchestrator¶

V režimu Orchestrator:

Hodnoty tajných údajů jsou uloženy v externím Key-Value úložišti zákazníka (HashiCorp Vault, Azure Key Vault, AWS Secrets Manager)
MazeVault ukládá pouze reference (ukazatele) na externí hodnoty
Žádné osobní údaje obsažené v tajných údajích nejsou uloženy v infrastruktuře MazeVault
Zákazník si zachovává přímou kontrolu nad úložištěm a životním cyklem tajných údajů

11.4 Minimalizace údajů¶

Ukládána pouze nezbytná metadata (název klíče, projekt, doména, časová razítka)
Žádné shromažďování osobních údajů nad rámec toho, co je nezbytně nutné
Uživatelské profily omezeny na pole vyžadovaná pro autentizaci
Protokoly obsahují pseudonymizované identifikátory (user_id, nikoli jména)
Žádné sledování chování, analytika ani profilování

11.5 Šifrování ve výchozím nastavení¶

Veškeré tajné údaje šifrovány před uložením (bez možnosti vypnutí)
Veškerá síťová komunikace šifrována (TLS vynuceno)
Šifrování záloh povinné
Šifrování databáze v klidu zapnuto ve výchozím nastavení

11.6 Přístup ve výchozím nastavení¶

Žádný uživatel nemá přístup k žádnému prostředku bez explicitního přiřazení role
Noví uživatelé nemají žádná oprávnění, dokud nejsou přiřazena administrátorem
Projekty jsou ve výchozím nastavení izolované (žádná viditelnost napříč projekty)
Princip nejmenších oprávnění vynucen na všech úrovních

12. Mapování souladu¶

Následující tabulka mapuje články nařízení GDPR na implementaci MazeVault:

Článek GDPR	Požadavek	Implementace MazeVault	Důkaz
Čl. 5 odst. 1 písm. a)	Zákonnost, korektnost, transparentnost	Zpracování pouze dle pokynů správce; transparentní dokumentace	DPA, tento dokument
Čl. 5 odst. 1 písm. b)	Účelové omezení	Údaje použity pouze pro zdokumentované účely	RoPA (oddíl 3)
Čl. 5 odst. 1 písm. c)	Minimalizace údajů	Shromažďována pouze nezbytná data	Návrh schématu, oddíl 11.4
Čl. 5 odst. 1 písm. d)	Přesnost	Úprava uživatelského profilu; správa životního cyklu certifikátů	Dokumentace API
Čl. 5 odst. 1 písm. e)	Omezení uložení	Definované doby uchovávání; automatický výmaz	Oddíl 10
Čl. 5 odst. 1 písm. f)	Integrita a důvěrnost	Šifrování, řízení přístupu, auditní protokolování	TOM (oddíl 7)
Čl. 5 odst. 2	Odpovědnost	Komplexní auditní stopa; dokumentace	Auditní protokoly, tento dokument
Čl. 6	Zákonný základ	Určuje správce; zpracování MazeVault založeno na smlouvě	DPA (MV-LEG-031)
Čl. 12–22	Práva subjektů údajů	Technická podpora pro všechna příslušná práva	Oddíl 5
Čl. 24	Odpovědnost správce	Dokumentace s pokyny pro správce; jasnost DPA	DPA, MSA
Čl. 25	Ochrana soukromí od návrhu/ve výchozím nastavení	Zero-knowledge, šifrování ve výchozím nastavení, minimalizace	Oddíl 11
Čl. 28	Povinnosti zpracovatele	DPA, zdokumentované pokyny, spolupráce	MV-LEG-031
Čl. 30	Záznamy o zpracování	RoPA vedeno a aktualizováno	Oddíl 3
Čl. 32	Zabezpečení zpracování	TOM implementována a testována	Oddíl 7
Čl. 33	Oznámení narušení dozorovému úřadu	Oznámení správci do 24 hodin	Oddíl 6
Čl. 34	Oznámení narušení subjektům údajů	Součinnost se správcem	Oddíl 6
Čl. 35	DPIA	DPIA provedena a zdokumentována	Oddíl 4
Čl. 44–49	Mezinárodní předávání	Výchozí EU; SCC tam, kde je vyžadováno	Oddíl 9

13. Související dokumenty¶

ID dokumentu	Název	Relevance
MV-LEG-001	Politika informační bezpečnosti	Zastřešující rámec bezpečnosti
MV-LEG-003	Politika řízení přístupu	Podrobnosti implementace RBAC
MV-LEG-004	Kryptografická politika	Standardy šifrování a správa klíčů
MV-LEG-005	Politika klasifikace a uchovávání dat	Pravidla nakládání s daty a uchovávání
MV-LEG-007	Plán reakce na incidenty	Postupy reakce na narušení
MV-LEG-008	Kontinuita podnikání a obnova po havárii	Dostupnost a odolnost
MV-LEG-030	Šablona bezpečnostní přílohy	Smluvní bezpečnostní opatření
MV-LEG-031	Smlouva o zpracování osobních údajů	Šablona DPA dle čl. 28
MV-LEG-032	Rámec SLA/OLA	Závazky dostupnosti služby
MV-LEG-033	Seznam dalších zpracovatelů	Autorizovaní další zpracovatelé

Řízení dokumentu¶

Verze	Datum	Autor	Změny
1.0.0	2026-05-01	DPO	Prvotní vydání

Tento dokument je přezkoumáván ročně nebo při významných změnách v činnostech zpracování, regulatorních požadavcích či organizační struktuře. Za údržbu tohoto dokumentu a zajištění jeho přesnosti odpovídá DPO.