Smluvní zpracování osobních údajů a bezpečnostní politika TablePlay Včetně seznamu subzpracovatelů, technických a organizačních opatření, responsible disclosure a prohlášení o přístupnosti

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Verze 1.0 Poslední aktualizace: 10. července 2026

Poznámka k právní kontrole Tento dokument byl vypracován pro obchodní použití společností TablePlay. Zajistěte pravidelnou právní kontrolu konečného zveřejnění, mezinárodního uplatnění, aktuálních dodavatelů, technického uspořádání a specifických vnitrostátních pravidel.

Přehled obsahu Část A - Smlouva o zpracování osobních údajů Příloha 1 - Subzpracovatelé Příloha 2 - Technická a organizační opatření Část B - Bezpečnost a Coordinated Vulnerability Disclosure Část C - Prohlášení o přístupnosti

Smluvní zpracování osobních údajů a bezpečnostní politika TablePlay

Strana 2 z 10

Část A - Smlouva o zpracování osobních údajů Článek 1 - Smluvní strany Tato smlouva o zpracování osobních údajů platí mezi obchodním klientem společnosti TablePlay jako Správcem a společností Jimani B.V., podnikající pod názvem TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, jako Zpracovatelem. Strany jsou společně označovány jako Strany.

Článek 2 - Použitelnost a vznik Tato smlouva platí v rozsahu, v jakém TablePlay zpracovává osobní údaje na základě pověření a ve prospěch Klienta, a tvoří nedílnou součást hlavní smlouvy. Vzniká elektronickým přijetím, podpisem nebo faktickým užíváním Služby. Pro zpracování, u kterého TablePlay samostatně určuje účely a prostředky, je TablePlay správcem osobních údajů a platí Prohlášení o ochraně osobních údajů. V případě rozporu ohledně zpracování jménem Klienta má tato Smlouva o zpracování osobních údajů přednost před Všeobecnými obchodními podmínkami.

Článek 3 - Předmět, doba trvání a povaha TablePlay zpracovává osobní údaje pro herní, stolní, QR, výsledkové, žebříčkové, dashboardové a podpůrné funkce vázané na restauraci. Zpracování trvá po dobu platnosti hlavní smlouvy a po ní ještě po omezenou dobu za účelem odstranění, vrácení, rotace záložních kopií, splnění zákonných povinností a právní ochrany. Zpracování může zahrnovat shromažďování, zaznamenávání, uspořádávání, strukturování, uchovávání, nahlížení, výpočet, kombinování v rámci kontextu restaurace, zobrazování, odesílání, omezování, výmaz a anonymizaci.

Článek 4 - Účely • Propojení QR kódů s restaurací a stolem. • Zahájení a provádění herních sezení. • Zpracování dočasných přezdívek, herních voleb, odpovědí, výsledků a skóre. • Umožnění her mezi stoly a dočasných žebříčků. • Zobrazování statistik vázaných na restauraci. • Prevence duplicitních, podvodných nebo technicky neplatných sezení. • Technická podpora, bezpečnost, kontinuita a obnova. • Výmaz nebo anonymizace po uplynutí lhůt uchovávání.

Článek 5 - Kategorie subjektů údajů • Hosté a hráči Klienta. • Kontaktní osoby, uživatelé, zaměstnanci a pomocné osoby Klienta. • Osoby uvedené v hlášení podpory.

Článek 6 - Kategorie osobních údajů • Dočasná přezdívka, číslo stolu nebo jedinečné ID stolu a ID restaurace či lokace. • ID herního sezení, vybraná hra, herní režim, odpovědi, úkony, skóre, výsledek a pořadí. • Datum, čas a dočasné nastavení jazyka. • Technické údaje o relaci, IP adrese, prohlížeči a zařízení, pokud jsou přítomny v bezpečnostních protokolech.

Smluvní zpracování osobních údajů a bezpečnostní politika TablePlay

Strana 3 z 10 • Jméno a firemní e-mailová adresa kontaktní osoby a obsah dotazů podpory. • Další údaje zadávané v rámci sjednané funkčnosti. TablePlay není určen pro zvláštní kategorie osobních údajů, trestněprávní, zdravotní ani biometrické údaje, ani pro rozsáhlé přímo identifikovatelné profily hostů. Klient nesmí takové zpracování nařídit bez předchozí písemné dohody.

Článek 7 - Zdokumentované instrukce Za instrukce se považují hlavní smlouva, tato Smlouva o zpracování osobních údajů, nastavení klientského portálu a oprávněné žádosti podpory. TablePlay nezpracovává údaje pro jiné účely, s výjimkou zákonných povinností, vlastních bezpečnostních a právně-ochranných účelů nebo zpracování po dostatečné anonymizaci. V případě podezření na protiprávní instrukci TablePlay informuje Klienta, pokud to není zákonem zakázáno, a může výkon instrukce pozastavit. Dodatečné rozsáhlé instrukce mohou být fakturovány samostatně.

Článek 8 - Povinnosti Klienta Klient odpovídá za zákonnost, platný právní základ, informování Hostů, oprávněné instrukce, minimalizaci údajů, interní zabezpečení a ochranu přihlašovacích údajů. Klient je odpovědný za přesnost a kvalitu, nepožaduje od Hostů skutečná jména a nepoužívá Herní údaje pro individuální marketing nebo profilování bez samostatného právního základu. Bezpečnostní incidenty a protiprávní instrukce se neprodleně oznamují.

Článek 9 - Mlčenlivost Osoby podléhající pravomoci TablePlay získávají přístup pouze v rozsahu nezbytném, jsou vázány mlčenlivostí a zpracovávají údaje pouze podle instrukcí. Tato povinnost trvá i po skončení smlouvy. Poskytnutí třetím stranám se uskutečňuje výhradně na základě této smlouvy, hlavní smlouvy nebo zákona.

Článek 10 - Zabezpečení TablePlay přijímá vhodná technická a organizační opatření s ohledem na stav techniky, náklady, povahu, rozsah, kontext, účel a rizika. Opatření jsou uvedena v Příloze 2 a mohou být upravena, pokud se obecná úroveň ochrany podstatně nesníží. Žádný systém nemůže zaručit absolutní bezpečnost.

Článek 11 - Úniky dat TablePlay informuje Klienta bez zbytečného odkladu poté, co se dozví o porušení zabezpečení osobních údajů, které jsou zpracovávány jménem Klienta. Kde je to možné, jsou poskytnuty informace o povaze, systémech, kategoriích údajů a subjektů údajů, důsledcích, opatřeních a kontaktních údajích. Informace mohou být poskytnuty postupně. TablePlay vyšetřuje, omezuje, uchovává relevantní důkazy a provádí nápravu. Klient posuzuje zákonnou oznamovací povinnost a TablePlay poskytuje přiměřenou podporu. Oznámení nepředstavuje uznání odpovědnosti. Práce vyplývající z okolností, za které odpovídá Klient, mohou být provedeny za přiměřenou úhradu.

Článek 12 - Žádosti subjektů údajů Přímé žádosti týkající se role Klienta se v zásadě přeposílají. TablePlay reaguje samostatně pouze na základě instrukce, ve své vlastní roli nebo při zákonné povinnosti. TablePlay přiměřeně podporuje při přístupu, opravě, výmazu, omezení, přenositelnosti a námitce.

Protože Hosté nemají Účet, může být identifikace omezená. Restaurace, stůl, datum, čas, přezdívka a herní kontext mohou být nezbytné. Údaje nejsou poskytnuty, pokud není dostatečně prokázáno, že se vztahují k žadateli.

Článek 13 - Podpora při dodržování předpisů TablePlay poskytuje přiměřenou podporu při zabezpečení, posuzování úniků dat, posouzeních vlivu na ochranu osobních údajů, předchozích konzultacích a nezbytné dokumentaci. Rozsáhlá podpora nad rámec standardní služby může být vyúčtována, pokud nevyplývá z pochybení TablePlay.

Článek 14 - Subzpracovatelé Klient uděluje obecný souhlas se subzpracovateli uvedenými v Příloze 1. TablePlay je může přidávat, nahrazovat nebo odstraňovat a vede aktuální elektronický seznam. V případě nového podstatného subzpracovatele TablePlay v zásadě informuje třicet dní předem. Klient může v této lhůtě odůvodněně vznést námitku na základě konkrétních důvodů ochrany osobních údajů. Strany hledají doplňkové záruky, omezení nebo technickou alternativu. Pokud neexistuje přiměřené řešení, může Klient ukončit přímo dotčenou část před nasazením. TablePlay ukládá podstatně rovnocenné povinnosti a zůstává odpovědná v rozsahu stanoveném GDPR.

Článek 15 - Mezinárodní přenos Osobní údaje jsou, kde je to možné, zpracovávány v evropském regionu. Subzpracovatelé nebo skupinové společnosti mohou sídlit mimo EHP nebo k údajům přistupovat odtud. Kde je to vyžadováno, TablePlay používá rozhodnutí o odpovídající ochraně, standardní smluvní doložky, doplňková opatření nebo jiné platné mechanismy. Na přiměřenou žádost jsou poskytnuty informace s ohledem na důvěrnost.

Článek 16 - Žádosti orgánů veřejné moci TablePlay poskytuje údaje výhradně příslušným orgánům veřejné moci na základě zákonné povinnosti. Kde je to přípustné, je Klient předem informován. TablePlay posuzuje pravomoc, rozsah a právní platnost a poskytnutí údajů co nejvíce omezuje.

Článek 17 - Audity a informace TablePlay poskytuje přiměřené informace, včetně bezpečnostní dokumentace, auditů, certifikací, dotazníků nebo prohlášení o ujištění. Pokud to není dostatečné, může Klient nejvýše jednou za kalendářní rok požadovat audit s třicetidenním oznámením, během pracovní doby, prostřednictvím nezávislého odborníka vázaného mlčenlivostí, a to bez narušení bezpečnosti, důvěrnosti nebo jiných klientů. Náklady nese Klient, ledaže je zjištěno podstatné přičitatelné porušení. TablePlay může znepřístupnit zdrojový kód, jiné údaje klientů, podrobnosti o zranitelnostech a komerčně citlivé informace, pokud existuje dostatečná alternativa.

Článek 18 - Vrácení a odstranění Po ukončení TablePlay podle volby Klienta a v rozsahu, v jakém je to technicky a právně možné, odstraní nebo vrátí údaje, které jsou zpracovávány výhradně jménem Klienta. Volba se sdělí nejpozději do třiceti dnů. Při absenci volby může TablePlay provést odstranění nebo anonymizaci podle standardní politiky. Zálohy mohou obsahovat údaje maximálně po dobu jednoho měsíce a používají se výhradně pro účely obnovy.

Zpracovatelská smlouva a bezpečnostní politika TablePlay

Strana 5 z 10

Zákonem povinné, pro právní ochranu nezbytné a anonymizované údaje není třeba odstraňovat.

Článek 19 - Odpovědnost Ustanovení o odpovědnosti ze Všeobecných obchodních podmínek platí rovněž. Každá strana odpovídá za vlastní povinnosti v oblasti ochrany osobních údajů. Klient odškodní TablePlay za nároky vyplývající z protiprávních pokynů, chybějícího právního základu, nedostatečných informací, protiprávního použití Herních údajů nebo vložení zakázaných citlivých údajů, v rozsahu povoleném zákonem.

Článek 20 - Doba trvání a ukončení Tato Zpracovatelská smlouva zaniká, jakmile TablePlay přestane jménem Klienta zpracovávat osobní údaje. Ustanovení o mlčenlivosti, bezpečnosti, odstranění, odpovědnosti a auditech zůstávají v platnosti v rozsahu, v jakém to vyžaduje jejich povaha.

Článek 21 - Právo a spory Tato Zpracovatelská smlouva se řídí nizozemským právem. Spory se řeší podle Všeobecných obchodních podmínek.

Příloha 1 - Zpracovatelé (subdodavatelé) Dodavatel

Služba

Možné údaje

Region / role

Supabase

Databáze, autentizace, úložiště a backend Účty, údaje o stolech, přezdívky, relace, skóre Primárně a logy region EU, pokud je nastaven; klíčový subzpracovatel

Vercel

Hosting, runtime, content delivery a IP adresa, logování údaje o požadavcích, prohlížeči, zařízení a aplikaci EHP a případně USA; hostingový subzpracovatel

Twilio SendGrid

Transakční a provozní e-mail Jméno, e-mailová adresa, informace o účtu, obsah a Mezinárodně; stav doručenísubzpracovatel e-mailu

OpenAI / jiný poskytovatel AI Pouze při aktivovaných funkcích AI

Omezené údaje nezbytné pro danou funkci V závislosti na konfiguraci; potenciální subzpracovatel

Stripe

Obchodní údaje, faktury, transakce a stav plateb Mezinárodně; role se liší podle zpracování

Platby, fakturace a podvody

Google / Meta / LinkedIn Analytika a marketing po udělení souhlasu Údaje o webu, zařízení, reklamě a konverzích Mezinárodně; obvykle není subzpracovatelem pro re

Aktuální seznam je zpřístupněn prostřednictvím webových stránek nebo klientského portálu. Při podstatné nové subzpracovatelské smlouvě platí postup oznámení a námitek podle článku 14. TablePlay neposkytuje identifikovatelné údaje hostů poskytovateli AI pro obecné trénování modelů, pokud to není později výslovně, zákonně a transparentně upraveno jinak.

Příloha 2 - Technická a organizační opatření 1. Zabezpečení přístupu • Jedinečné uživatelské účty a zabezpečená autentizace. • Hashovaná hesla a omezení administrátorských práv. • Přístup na základě role a nezbytnosti. • Odebrání přístupu, jakmile již není potřebný. • Doplňková autentizační opatření, kde je to vhodné.

2. Logické oddělení údajů • Oddělení mezi firemními účty a autorizací vázanou na nájemce (tenant).

Zpracovatelská smlouva a bezpečnostní politika TablePlay

Strana 6 z 10 • Supabase Row Level Security, kde je to technicky proveditelné. • Omezení přístupu k údajům jiných Klientů. • Jedinečné identifikátory stolů.

3. Přenos a úložiště • Zabezpečená připojení HTTPS a TLS. • Zabezpečená komunikace mezi prohlížečem, aplikací, backendem a API. • Úložiště u vybraných poskytovatelů cloudových služeb. • Omezený přístup zaměstnanců a smluvní mlčenlivost. • Žádné ukládání hesel v přímo čitelné podobě.

4. Dostupnost, logování a obnova • Zálohy a prostředky pro obnovu, kde je to vhodné. • Monitorování technických chyb a relevantních pokusů o přihlášení. • Detekce a šetření odchylného použití. • Zálohy zásadně po dobu maximálně jednoho měsíce. • Logy zásadně po dobu maximálně jednoho roku, ledaže je delší doba nutná pro incident nebo spor.

5. Zabezpečený vývoj a řízení dodavatelů • Správa verzí, revize kódu a řízené nasazení, kde je to vhodné. • Omezení tajných údajů a klíčů ve zdrojovém kódu. • Včasné aktualizace relevantních komponent. • Posouzení a náprava nahlášených zranitelností. • Výběr profesionálních dodavatelů, smluvní ujednání a mechanismy předávání údajů.

6. Minimalizace údajů a řízení incidentů • Žádná povinná skutečná jména, e-mail ani telefonní číslo pro Hosty. • Dočasné přezdívky a omezená viditelnost žebříčku. • Odstranění nebo anonymizace po uplynutí lhůt. • Interní eskalační proces, šetření, evidence, posouzení oznamovací povinnosti a nápravná opatření.

Část B - Bezpečnost a koordinované zveřejňování zranitelností (Coordinated Vulnerability Disclosure) 1. Účel a kontaktní adresa pro nahlašování TablePlay přikládá důležitost zabezpečení webových stránek, Platformy, infrastruktury a údajů. Případné technické zranitelnosti lze důvěrně nahlásit na adrese support@tableplay.online s předmětem Bezpečnostní oznámení - důvěrné.

2. Obsah oznámení • Jasný popis zranitelnosti. • Dotčená doména, koncový bod, obrazovka nebo systém.

Strana 7 z 10 • Reprodukovatelné kroky a možný dopad. • Omezené snímky obrazovky nebo technické důkazní údaje. • Použitý prohlížeč, zařízení nebo prostředí. • Kontaktní údaje a případně návrh na zabezpečenou komunikaci.

3. Povolené úkony • Pouze úkony nezbytné ke zjištění existence zranitelnosti. • Udržet dopad a přístup k údajům co nejvíce omezený. • Neupravovat, neodstraňovat ani nestahovat údaje třetích stran. • Neovlivňovat dostupnost a zastavit činnost, jakmile existuje dostatečný důkaz. • Zkoumat výhradně systémy, které prokazatelně spadají pod správu společnosti TablePlay.

4. Nepovolené úkony • Sociální inženýrství, phishing, fyzické útoky, brute force a credential stuffing. • Převzetí účtů, denial-of-service, malware nebo trvalý přístup. • Úprava, mazání, kopírování nebo zveřejňování údajů. • Skutečná manipulace s platbami, fakturami, kupony nebo skóre. • Zkoumání externích dodavatelů bez jejich souhlasu. • Zatěžující automatizované skenování. • Zveřejnění dříve, než byla poskytnuta přiměřená doba na šetření a nápravu. • Vydírání nebo vynucování platby prostřednictvím hrozby.

5. Reakce a zveřejnění TablePlay usiluje o potvrzení přijetí do pěti pracovních dnů, posouzení oznámení, případné kladení dotazů, informování oznamovatele v hlavních rysech a co nejrychlejší omezení ověřené zranitelnosti, jak je to rozumně možné. Doba nápravy závisí na závažnosti, složitosti, dodavatelích a nezbytných testech. TablePlay nezaručuje pevnou lhůtu. Podrobnosti nebudou zveřejněny dříve, než s tím TablePlay souhlasí, než bude dohodnuto přiměřené datum, nebo než uplyne alespoň devadesát dní bez přiměřené věcné reakce či pokusu o nápravu. Osobní údaje, autentizační údaje a exploit kód nebudou zveřejněny.

6. Žádný obecný bugbounty program a právní přístup TablePlay nemá žádný obecný bugbounty program a oznámení nezakládá nárok na platbu, zakázku ani publicitu. TablePlay může dle vlastního uvážení poskytnout ocenění. TablePlay v zásadě nepodnikne právní kroky proti výzkumníkovi, který jedná v dobré víře, v rámci těchto zásad, bez způsobení škody, důvěrně a bez vydírání. Tento příslib neplatí v případě zjevně trestných, škodlivých, podvodných nebo nepřiměřených úkonů a nezavazuje třetí strany ani orgány veřejné moci.

Strana 8 z 10

7. security.txt TablePlay může na adrese /.well-known/security.txt zveřejnit technický soubor s kontaktní adresou pro nahlašování, odkazem na zásady, jazyky, datem platnosti a případně šifrovacím klíčem. Tento soubor musí být pravidelně kontrolován a aktualizován.

Část C - Prohlášení o přístupnosti 1. Ambice a referenční rámec TablePlay usiluje o to, aby webové stránky, registrace, zákaznický portál a hostitelské hry byly použitelné pro širokou skupinu uživatelů, včetně osob se zrakovým, sluchovým, motorickým nebo kognitivním postižením. Pokud je to rozumně možné, jsou jako technický a obsahový referenční rámec použity zásady WCAG 2.2 úroveň AA. To nepředstavuje záruku, že každá součást je za všech okolností plně v souladu.

2. Aktuální stav Celé prostředí zatím nebylo nezávisle a komplexně auditováno. TablePlay proto v tuto chvíli nenárokuje úplnou formální shodu s WCAG 2.2 AA. Případná omezení se týkají prvků hry v reálném čase, časového tlaku, funkce drag-and-drop, animací, externích platebních nebo autentizačních stránek, překladů, starších způsobů zobrazení barev a funkcí zaměřených na dotykové ovládání.

3. Opatření • Sémantický HTML kód a použitelné popisky, kde je to vhodné. • Ovládání klávesnicí u zásadních funkcí a viditelné zaměření (focus). • Dostatečný kontrast a škálovatelný text. • Alternativní texty pro informativní obrázky. • Žádné zásadní informace pouze prostřednictvím barvy. • Srozumitelná chybová hlášení a konzistentní navigace. • Jasná tlačítka a odkazy. • Podpora běžných prohlížečů a velikostí obrazovek. • Omezení zbytečné animace. • Srozumitelný jazyk v prostředí hosta. • Automatizované a ruční testy tam, kde je to možné.

4. Hry a časový tlak Některé hry jsou svou povahou časově omezené. Kde je to technicky a herně možné, může TablePlay nabídnout alternativní herní režimy, rozšířené časové limity, méně pohybu, vizuální alternativy ke zvuku a text nebo symboly vedle barvy. Ne každý herní režim je pro každého uživatele stejně vhodný. Restaurace jsou vybízeny, aby nabízely více typů her.

Zpracovatelská smlouva a bezpečnostní politika TablePlay

Strana 9 z 10

5. Odpovědnost obchodního zákazníka Zákazník zůstává odpovědný za fyzickou a provozní přístupnost Lokace, včetně umístění QR kódů, čitelnosti tiskovin, alternativní pomoci, přístupnosti obrazovek, podpory ze strany personálu a vlastního obsahu. QR kódy jsou umístěny dostupně a viditelně a tam, kde je to rozumně možné, je poskytnuta alternativa Hostům, kteří nejsou schopni samostatně skenovat.

6. Nahlášení a alternativní přístup Problémy s přístupností lze nahlásit prostřednictvím support@tableplay.online s uvedením stránky nebo hry, zařízení, prohlížeče, asistivní technologie, popisu a požadovaného řešení. TablePlay usiluje o potvrzení přijetí do pěti pracovních dnů a věcnou reakci v přiměřené lhůtě. Kde je to možné, může být poskytnuta informace e-mailem, podpora, alternativní instrukce, ruční zpracování nebo jiná herní možnost.

7. Nepřiměřená zátěž a zlepšení Úprava může být odložena, pokud není technicky proveditelná, podstatně narušuje bezpečnost, mění základní povahu hry, je závislá na externím dodavateli nebo představuje nepřiměřenou organizační nebo finanční zátěž. TablePlay v takovém případě posoudí alternativu. TablePlay může zohlednit přístupnost při návrhu, testování, stanovování priorit, zpětné vazbě uživatelů a externích auditech a tuto zprávu aktualizovat.

8. Kontakt TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Nizozemsko - KvK 91644453 - DIČ NL865722729B01 - support@tableplay.online.

Zpracovatelská smlouva a bezpečnostní politika TablePlay

Strana 10 z 10

Doplňkový seznam subzpracovatelů Tento seznam subzpracovatelů je součástí Zpracovatelské smlouvy a bezpečnostní politiky společnosti TablePlay. Aktuální seznam se může měnit, pokud dojde ke změně dodavatelů, regionů nebo funkcí.

Dodavatel: Supabase Služba: databáze, autentizace, úložiště a backend. Možné údaje: účty, údaje o stolech, přezdívky, relace, skóre a protokoly. Region / role: primárně EU region, pokud je nastaven; klíčový subzpracovatel.

Dodavatel: Vercel Služba: hosting, runtime, doručování obsahu a protokolování. Možné údaje: IP adresa, údaje o požadavcích, prohlížeči, zařízení a aplikaci. Region / role: EHP a případně USA; hostingový subzpracovatel.

Dodavatel: Twilio SendGrid Služba: transakční a provozní e-mail. Možné údaje: jméno, e-mailová adresa, informace o účtu, obsah a stav doručení. Region / role: mezinárodní; e-mailový subzpracovatel.

Dodavatel: OpenAI / jiný poskytovatel AI Služba: pouze při aktivovaných funkcích AI. Možné údaje: omezené údaje nezbytné pro danou funkci. Region / role: v závislosti na konfiguraci; potenciální subzpracovatel. TablePlay neposkytuje identifikovatelné údaje hostů žádnému poskytovateli AI pro obecné trénování modelů, pokud toto nebude později výslovně, zákonně a transparentně upraveno jinak.

Dodavatel: Stripe Služba: platby, fakturace a prevence podvodů. Možné údaje: obchodní údaje, faktury, transakce a stav platby. Region / role: mezinárodní; role se liší podle druhu zpracování.

Dodavatel: Google / Meta / LinkedIn Služba: analytika a marketing po udělení souhlasu. Možné údaje: údaje o webové stránce, zařízení, reklamě a konverzi. Region / role: mezinárodní; obvykle není subzpracovatelem pro herní data restaurací.