Tyto Všeobecné obchodní podmínky upravují v souladu s ustanovením § 1751 odst. 1 zákona č. 89/2012 Sb., občanský zákoník, v platném znění (dále jen „OZ“), vzájemná práva a povinnosti při poskytování auditních, analytických, konzultačních a inženýrských služeb v oblasti kybernetické bezpečnosti (Divize Cybersecurity) a souvisejících cloudových služeb provozovaných společností Datan Consulting a.s.
1.1. Poskytovatel: Společnost Datan Consulting a.s., se sídlem Rybná 716/24, Staré Město, 110 00 Praha 1, IČO: 288 03 221, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze pod sp. zn. B 18207, jednající prostřednictvím své odborné Divize Cybersecurity (dále jen „Poskytovatel“ nebo „Auditor“).
1.2. Objednatel (Klient): Fyzická nebo právnická osoba (zejména obchodní korporace, územní samosprávný celek – obec či město, příspěvková organizace, škola, společenství vlastníků jednotek nebo podnikající fyzická osoba), která využívá online nástroje Poskytovatele nebo si u Poskytovatele objedná auditní, konzultační či inženýrské služby (dále jen „Objednatel“).
1.3. Právní rámec kybernetické bezpečnosti: Služby Divize Cybersecurity jsou navrženy tak, aby statutárním orgánům (jednatelům, představenstvům, starostům a ředitelům organizací) poskytly nezávislý odborný podklad a technickou součinnost pro plnění povinnosti péče řádného hospodáře dle § 159 OZ, povinností při správě majetku obce dle § 38 zákona č. 128/2000 Sb., o obcích, povinnosti zabezpečení zpracování osobních údajů dle čl. 32 Nařízení (EU) 2016/679 (GDPR) a požadavků směrnice (EU) 2022/2555 (NIS2) a zákona o kybernetické bezpečnosti.
1.4. Harmonická součinnost se stávajícím IT: Poskytovatel působí jako specializovaný nezávislý auditor a architekt doménové a perimetrové bezpečnosti. Služby Poskytovatele nenahrazují a nenarušují smluvní vztah Objednatele s jeho stávajícím interním či externím správcem IT, nýbrž mu poskytují nezávislou kontrolu a hotové konfigurační předpisy či součinnost na klíč.
2.1. Způsoby objednání: Smluvní vztah mezi Poskytovatelem a Objednatelem vzniká na základě:
www.datan.cz/cybersecurity a následného potvrzení rozsahu prací ze strany Poskytovatele,cybersecurity@datan.cz nebo info@datan.cz, případně prostřednictvím datové schránky 9b6e6dc,2.2. Odchylná ujednání: Individuální písemná ujednání v potvrzené objednávce, smlouvě o dílo nebo smlouvě o servisním dohledu (SLA) mají přednost před ustanoveními těchto VOP.
3.1. Definice pasivní prověrky: Kontrola Úrovně L0 (Samoobslužný online skener domény – Manažerský Teaser) a Úrovně L1 (Audit vnějšího perimetru, pošty a subdomén) spočívá výhradně v neinvazivním čtení veřejně publikovaných a serverem dobrovolně vysílaných síťových údajů v otevřeném internetu.
3.2. Rozsah pasivního měření: V rámci Úrovně L0/L1 jsou ověřovány:
SPF, DMARC, DKIM, MX, CAA a kryptografický podpis DNSSEC),SSL/TLS a veřejné záznamy v Certificate Transparency (CT) logách (včetně mapování veřejných subdomén v perimetru),Strict-Transport-Security / HSTS, Content-Security-Policy / CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy).
3.3. Pravidla využití veřejného skeneru (Anti-Abuse): Uživatel online skeneru na portálu www.datan.cz/cybersecurity je oprávněn spouštět pasivní prověrku pro domény, k nimž má oprávněný vztah (např. jako statutární orgán, zaměstnanec, správce IT, člen samosprávy či smluvní partner). Veřejný skener je chráněn automatickým vícestupňovým limitem (Rate-Limit dle IP adresy) a ochrannými mechanismy proti automatizovaným skriptům.
4.1. Podmínka výslovné autorizace (Informed Consent dle § 230 TZ): Hloubkový bezpečnostní a penetrační audit Úrovně L2 (včetně testů odolnosti proti útokům hrubou silou – Brute-Force, aktivní kontroly aplikačních rozhraní a statické analýzy zdrojového kódu – White-Box Audit) provádí Poskytovatel výhradně na základě předchozí objednávky nebo souhlasu (autorizace) Objednatele.
4.2. Rozsah hloubkového auditu Úrovně L2: Dle povahy prověřovaného systému zahrnuje audit L2 zejména:
xmlrpc.php, REST API (enumerace uživatelů) a veřejně přístupných konfiguračních či záložních souborů (např. .env, .git, wp-config.php.bak, .sql, .zip),4.3. Šetrnost testování: Veškeré testy Úrovně L2 jsou kalibrovány v šetrném diagnostickém režimu (Safe-Diagnostic Mode) tak, aby prokázaly existenci či nepřítomnost zranitelnosti bez vyvolání výpadku služby (DoS) a bez modifikace produkčních dat Objednatele.
5.1. Dva režimy realizace nápravy: Odstranění zjištěných bezpečnostních nedostatků a uvedení domény na plné skóre 100/100 (Hodnocení Třída A) probíhá dle volby Objednatele v jednom ze dvou režimů:
5.2. Server-Side Virtual Patching (Úroveň L3 – Zero-Downtime): U starších (legacy) nebo zakázkových webových systémů, kde by přepis aplikačního kódu byl neúměrně nákladný, realizuje Poskytovatel inženýrské odstínění zranitelností přímo na vrstvě webového serveru / reverzní proxy (bez zásahu do aplikačního kódu). Součástí služby je architektonická pojistka okamžitého návratu do původního stavu (Rollback) v případě jakékoliv nekompatibility.
5.3. Výstupní kontrolní protokol a Osvědčení 100/100 (Třída A): Po úspěšném nasazení opatření a ověření všech kontrolovaných pilířů vystaví Poskytovatel Objednateli oficiální Výstupní kontrolní protokol a Osvědčení o kybernetickém zabezpečení domény (Skóre 100/100 – Třída A). Tento dokument slouží statutárnímu orgánu jako průkazný doklad o vynaložení odborné péče řádného hospodáře (§ 159 OZ, čl. 32 GDPR, NIS2) k datu a času provedeného контроlního měření.
5.4. Pravidelný SLA dohled auditora: Sjedná-li si Objednatel pravidelný dohled (SLA), Poskytovatel v dohodnutých intervalech monitoruje stav certifikátů, DNS záznamů, subdomén a bezpečnostních hlaviček domény a upozorňuje Objednatele na případné odchylky způsobené např. aktualizací webu třetí stranou.
6.1. Rozsah důvěrných informací: Za důvěrné informace a obchodní tajemství Objednatele se považují veškeré detailní výstupy bezpečnostních auditů (zejména konkrétní zranitelné URL cesty, verze neaktualizovaných komponent, výsledky testů Brute-Force a zdrojové kódy předané k White-Box auditu).
6.2. Zákaz zpřístupnění třetím osobám: Poskytovatel nesmí detailní auditní zjištění poskytnout žádné třetí osobě s výjimkou osob výslovně určených Objednatelem (např. internímu či externímu správci IT Objednatele za účelem součinnosti při nápravě) nebo případů, kdy povinnost zpřístupnění ukládá zákon.
6.3. Bezpečná likvidace zdrojových kódů po White-Box auditu: Pokud Objednatel předal Poskytovateli k analýze kopii zdrojových kódů své aplikace, Poskytovatel tyto soubory uchovává výhradně v šifrovaném izolovaném prostředí po dobu provádění auditu a verifikace oprav; po ukončení zakázky (nebo kdykoli na pokyn Objednatele) provede jejich bezpečné a nevratné smazání.
6.4. Trvání závazku mlčenlivosti: Závazek mlčenlivosti dle tohoto článku trvá po celou dobu smluvního vztahu a dále po dobu 5 let od předání výstupního protokolu nebo ukončení spolupráce. Na žádost Objednatele uzavře Poskytovatel kdykoli též samostatnou bilaterální smlouvu NDA.
7.1. Odborná péče (De Lege Artis) a povaha kybernetické bezpečnosti: Poskytovatel se zavazuje provádět veškeré auditní a inženýrské práce s maximální odbornou péčí a v souladu s uznávanými mezinárodními standardy kybernetické bezpečnosti (OWASP, RFC standardy pro DNS/SPF/DMARC/TLS). Objednatel bere na vědomí, že oblast kybernetické bezpečnosti se neustále vyvíjí a že žádný audit ani zabezpečení na světě nemůže představovat absolutní 100% imunitu vůči budoucím, v době auditu dosud neznámým zranitelnostem (tzv. Zero-Day exploits), útokům typu DDoS na úrovni telekomunikačních operátorů nebo kompromitaci způsobené selháním lidského faktoru na straně Objednatele (např. vyzrazení přihlašovacích údajů uživatelem při phishingu).
7.2. Garance při uvedení na 100/100 (Třída A): V případě objednání služby nápravy na klíč Poskytovatel garantuje, že sledované parametry perimetru a domény dosáhnou při výstupním kontrolním měření plného hodnocení 100/100 (Třída A), aniž by došlo k omezení řádného doručování legitimní elektronické pošty nebo funkčnosti webové prezentace Objednatele.
7.3. Uplatnění reklamace (Reklamační řád): Případné vady poskytnuté služby nebo výstupního protokolu je Objednatel oprávněn reklamovat písemně na e-mailu cybersecurity@datan.cz nebo prostřednictvím datové schránky 9b6e6dc bez zbytečného odkladu po jejich zjištění. Poskytovatel zahájí řešení reklamace zpravidla do 24 hodin v pracovní dny (u kritických stavů s dopadem na provoz bezodkladně pomocí procedury Rollback) a vyřídí ji nejpozději do 15 pracovních dnů.
7.4. Limitace náhrady škody v obchodních vztazích (§ 2898 OZ): V obchodních vztazích mezi podnikateli a právnickými osobami (B2B / B2G) platí, že Poskytovatel neodpovídá za ušlý zisk, nepřímé či následné škody ani za škody vzniklé v důsledku zásahu třetí strany (hostingu, registrátora domény či správce IT Objednatele) po předání díla. Celková souhrnná výše případné náhrady předvídatelné škody ze strany Poskytovatele je smluvně omezena do výše 100 % ceny bez DPH skutečně uhrazené Objednatelem za příslušnou auditní či inženýrskou službu, u níž ke škodní události došlo (toto omezení se nevztahuje na případy uvedené v § 2898 OZ).
8.1. Stanovení ceny: Samoobslužná pasivní prověrka domény v online skeneru na portálu www.datan.cz/cybersecurity (Úroveň L0 – Manažerský Teaser) je poskytována bezplatně. Ceny navazujících auditních a inženýrských služeb (Úroveň L1, Úroveň L2, Úroveň L3 Virtual Patching a SLA dohled) jsou vždy předem sjednány individuálně podle rozsahu infrastruktury Objednatele a odsouhlaseny před zahájením zpoplatněných prací.
8.2. Fakturace a splatnost: Vyúčtování probíhá na základě daňového dokladu (faktury) vystaveného Poskytovatelem v elektronické podobě (PDF / ISDOC zaslané e-mailem nebo do datové schránky). Standardní doba splatnosti faktury činí 14 dnů od jejího vystavení; u územních samosprávných celků (obcí, měst), škol a příspěvkových organizací lze na vyžádání sjednat splatnost až 30 dnů a uvést na dokladu číslo objednávky či schváleného rozpočtového závazku.
9.1. Správce osobních údajů: Správcem osobních údajů ve smyslu čl. 4 bodu 7 Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb., o zpracování osobních údajů, je společnost Datan Consulting a.s., IČO: 288 03 221, se sídlem Rybná 716/24, Staré Město, 110 00 Praha 1 (kontaktní e-mail pro uplatnění práv: cybersecurity@datan.cz nebo info@datan.cz).
9.2. Účely a právní tituly zpracování osobních údajů:
9.3. Doba uchování a zabezpečení dat: Osobní údaje jsou uchovávány po dobu trvání smluvního vztahu a následně po dobu trvání zákonných archivačních a promlčecích lhůt (zpravidla 3 až 10 let dle povahy dokumentu). Veškerá data jsou uložena na zabezpečených serverech v rámci Evropské unie s šifrovaným přenosem (TLS) a přísným řízením přístupů.
9.4. Práva subjektů údajů: Subjekt údajů má právo požadovat od Správce přístup ke svým osobním údajům (čl. 15 GDPR), jejich opravu (čl. 16 GDPR), výmaz (čl. 17 GDPR), omezení zpracování (čl. 18 GDPR), přenositelnost údajů (čl. 20 GDPR) a právo vznést námitku proti zpracování na základě oprávněného zájmu (čl. 21 GDPR). Dozorovým orgánem v České republice je Úřad pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7 (www.uoou.cz).
10.1. Cloudové a poptávkové portály Poskytovatele (JasnéZakázky.cz / .eu): Provozuje-li Poskytovatel vedle Divize Cybersecurity též specializované cloudové portály (zejména portál JasnéZakázky.cz a JasnéZakázky.eu pro zadávání a správu zakázek SVJ, obcí a ověřených dodavatelů), uplatní se na tyto služby přiměřeně ustanovení těchto VOP o uzavírání smluv, fakturaci, reklamacích a ochraně osobních údajů (GDPR), přičemž Poskytovatel v rámci poptávkového portálu vystupuje jako provozovatel technologické platformy a nenese odpovědnost za vlastní stavební či řemeslné provedení zakázky mezi zadavatelem a vybraným dodavatelem.
10.2. Informace pro spotřebitele (§ 1820 OZ a ADR): Služby Divize Cybersecurity jsou primárně určeny podnikatelům, právnickým osobám a orgánům veřejné správy (B2B / B2G). Vstoupí-li do smluvního vztahu s Poskytovatelem výjimečně fyzická osoba – spotřebitel (§ 419 OZ), náleží jí veškerá zákonná práva spotřebitele dle § 1810 a násl. OZ, včetně práva na mimosoudní řešení spotřebitelského sporu u České obchodní inspekce (www.coi.cz) a práva odstoupit od distanční smlouvy do 14 dnů od jejího uzavření, pokud již na její výslovnou žádost nebylo plnění (audit domény) před uplynutím této lhůty kompletně dokončeno (§ 1837 písm. a) OZ).
10.3. Rozhodné právo a příslušnost soudů: Tyto VOP a veškeré smluvní vztahy z nich vyplývající se řídí právním řádem České republiky, zejména zákonem č. 89/2012 Sb., občanský zákoník. Případné spory budou řešeny přednostně smírnou cestou; nedojde-li k dohodě, jsou k projednání sporů příslušné obecné soudy České republiky.
10.4. Platnost a účinnost: Tyto Všeobecné obchodní podmínky nabývají platnosti a účinnosti dne 1. 1. 2026 (aktualizované znění verze 2026.2 ze dne 27. 10. 2026) a jsou trvale veřejně dostupné na adrese https://www.datan.cz/cybersecurity/vop.html a https://www.datan.cz/vop.html.