Smlouva o zpracování osobních údajů

uzavřená podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 (obecné nařízení o ochraně osobních údajů, „GDPR“) a zákona č. 110/2019 Sb., o zpracování osobních údajů, mezi zákazníkem služby Svěřeno jako správcem a David Čabanov, IČO 09581651, se sídlem Na sypkém 924/3, 180 00 Praha 8 – Libeň, fyzická osoba zapsaná v živnostenském rejstříku jako zpracovatelem.

1. Úvodní ustanovení

1.1 Tato smlouva je nedílnou součástí smlouvy o poskytování služby Svěřeno uzavřené podle obchodních podmínek („OP“). Uzavírá se současně s ní, přijetím OP při registraci nebo objednávce, a platí po celou dobu poskytování služby a dále do splnění povinností podle čl. 10.

1.2 V otázkách ochrany osobních údajů má tato smlouva přednost před OP. Pojmy mají význam podle GDPR.

2. Předmět, povaha a účel zpracování

2.1 Zpracovatel pro správce zpracovává osobní údaje výhradně za účelem poskytování služby Svěřeno – webové aplikace pro evidenci majetku, přístupů a dokumentů svěřených zaměstnancům správce.

2.2 Zpracování spočívá v uložení, uspořádání, vyhledávání, zobrazení, úpravě a výmazu údajů, ve vytváření dokumentů (předávací protokoly, potvrzení, inventurní soupisy, exporty), v odesílání e-mailů, které služba posílá z pokynu správce nebo jeho uživatelů, v zálohování a v technické podpoře na žádost správce. Pokud správce zapne propojení s Microsoft 365, zahrnuje zpracování i načítání údajů o uživatelích z jeho prostředí Microsoft 365 a přihlašování přes ně (čl. 8).

3. Kategorie subjektů údajů a osobních údajů

3.1 Zpracovávají se tyto kategorie subjektů a údajů:

• Zaměstnanci a další spolupracovníci správce: jméno a příjmení, osobní číslo, pracovní e-mail a telefon, funkce, oddělení, pracoviště, nadřízený, data nástupu a odchodu, příznak, že je zaměstnanec mladší 18 let, údaje ve vlastních polích, která si správce sám nastaví, poznámky.
• Údaje o svěřeném majetku a přístupech: které věci a přístupy do systémů má subjekt svěřené, předávací a další protokoly, jejich obsah, podpisy (obrázek vlastnoručního podpisu z dotykového zařízení), čas podpisu, IP adresa a údaje o prohlížeči při podpisu, otisky dokumentů, fotografie a přílohy, které správce nahraje.
• Uživatelé služby: jméno, e-mail, role a oprávnění, záznamy o přihlášení, historie provedených změn.

3.2 Obrázek podpisu se ukládá jen jako obrázek (PNG); údaje o dynamice podpisu (tlak, rychlost, průběh tahu) služba nesbírá, nejde proto o biometrické údaje.

3.3 Služba nevyžaduje zvláštní kategorie osobních údajů (čl. 9 GDPR) ani údaje o rozsudcích a trestných činech (čl. 10 GDPR). Správce je do služby, zejména do poznámek, vlastních polí a příloh, nevkládá.

4. Pokyny správce

4.1 Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů správce, a to i pokud jde o předání do třetí země, ledaže mu zpracování ukládá právo EU nebo České republiky; v takovém případě správce předem informuje, pokud mu to právo nezakazuje.

4.2 Doloženými pokyny jsou tato smlouva, OP, nastavení a úkony správce a jeho uživatelů ve službě a další pokyny zaslané e-mailem z adresy vlastníka účtu správce.

4.3 Pokud má zpracovatel za to, že pokyn porušuje GDPR nebo jiný předpis o ochraně osobních údajů, neprodleně na to správce upozorní a do vyjasnění může jeho provedení odložit.

5. Povinnosti zpracovatele

5.1 Zpracovatel

• zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti; povinnost trvá i po skončení smlouvy;
• přijme technická a organizační opatření podle čl. 32 GDPR popsaná v příloze 1 a bude je udržovat na úrovni odpovídající riziku; může je měnit, pokud se úroveň ochrany nesníží;
• dodržuje podmínky pro zapojení dalších zpracovatelů podle čl. 6;
• s ohledem na povahu zpracování je správci nápomocen při plnění povinnosti reagovat na žádosti subjektů údajů (čl. 12 až 22 GDPR); služba k tomu poskytuje funkce pro zobrazení, opravu, export a výmaz údajů. Pokud se subjekt údajů obrátí přímo na zpracovatele, zpracovatel žádost bez zbytečného odkladu předá správci a sám ji nevyřizuje;
• je správci nápomocen při plnění povinností podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu, předchozí konzultace), s ohledem na povahu zpracování a informace, které má k dispozici;
• po skončení poskytování služby postupuje podle čl. 10;
• poskytne správci všechny informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audity podle čl. 7.

6. Další zpracovatelé

6.1 Správce uděluje zpracovateli obecné písemné povolení zapojit další zpracovatele. Aktuální seznam je v příloze 2.

6.2 O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje zpracovatel správce e-mailem na adresu vlastníka účtu nejméně 30 dní předem. Správce může do 14 dní od oznámení vznést odůvodněnou námitku. Pokud strany nenajdou řešení, může správce smlouvu o poskytování služby vypovědět ke dni před zapojením nového zpracovatele bez jakékoli sankce.

6.3 Zpracovatel uloží dalšímu zpracovateli smluvně stejné povinnosti na ochranu osobních údajů, jaké má podle této smlouvy, zejména poskytnout dostatečné záruky zavedení vhodných technických a organizačních opatření. Za splnění povinností dalšího zpracovatele odpovídá zpracovatel správci, jako by je plnil sám.

7. Informace a audit

7.1 Zpracovatel na žádost správce do 30 dní poskytne informace a dokumentaci k zabezpečení a zpracování, zejména vyplní přiměřený bezpečnostní dotazník.

7.2 Pokud informace podle odst. 7.1 nestačí, může správce provést audit sám nebo prostřednictvím auditora vázaného mlčenlivostí, a to po oznámení nejméně 30 dní předem, v pracovní době, nejvýše jednou za 12 měsíců (s výjimkou auditu po porušení zabezpečení nebo na žádost dozorového úřadu) a tak, aby nebyla ohrožena data ostatních zákazníků. Náklady auditu nese správce.

8. Předávání mimo EU a propojení s Microsoft 365

8.1 Zpracovatel zpracovává osobní údaje v Evropském hospodářském prostoru a do třetích zemí je nepředává.

8.2 Propojení s Microsoft 365 zapíná správce sám. Služba pak z pokynu správce čte údaje o uživatelích z jeho prostředí Microsoft 365 a ověřuje přihlášení uživatelů přes Microsoft. Microsoft není dalším zpracovatelem zpracovatele: je poskytovatelem správce na základě smlouvy mezi správcem a Microsoftem, a podmínky zpracování u Microsoftu včetně případného předání mimo EHP se řídí smlouvou mezi správcem a společností Microsoft. Služba do Microsoft 365 nic nezapisuje.

9. Porušení zabezpečení

9.1 Zpracovatel ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, nejpozději do 48 hodin, a to e-mailem vlastníkovi účtu. Ohlášení obsahuje informace podle čl. 33 odst. 3 GDPR, které má zpracovatel k dispozici; další doplní postupně.

9.2 Zpracovatel přijme opatření ke zmírnění následků a k zamezení opakování a vede o porušeních záznam.

10. Ukončení zpracování, vrácení a výmaz údajů

10.1 Správce si může kdykoli během trvání smlouvy a ještě nejméně 30 dní po jejím skončení (a po případném přechodném období) stáhnout všechna data, jak uvádí čl. 6 OP. Poté zpracovatel osobní údaje správce vymaže do 30 dní, ledaže jejich uložení vyžaduje právo EU nebo České republiky.

10.2 Zálohy obsahující osobní údaje se nemění, ale vymažou se v jejich běžném cyklu, nejpozději do 30 dní od výmazu dat ve službě. Do té doby jsou chráněny stejně a nepoužívají se k jinému účelu než k obnově po havárii.

10.3 Na žádost správce zpracovatel osobní údaje vymaže i před uplynutím lhůt podle odst. 10.1, případně je správci vrátí exportem a poté vymaže; výmaz na žádost písemně potvrdí.

11. Povinnosti správce

11.1 Správce odpovídá za to, že má pro zpracování právní základ, že zaměstnance a další subjekty údajů informoval podle čl. 13 a 14 GDPR, že vkládá jen údaje přiměřené účelu a že přidělí uživatelům role a oprávnění odpovídající jejich práci.

12. Odpovědnost a závěrečná ustanovení

12.1 Vůči subjektům údajů a dozorovému úřadu odpovídají strany podle čl. 82 a 83 GDPR. Ve vzájemném vztahu se náhrada škody řídí OP; omezení výše náhrady podle OP se neuplatní na škodu způsobenou úmyslně nebo z hrubé nedbalosti.

12.2 Smlouva se řídí právem České republiky. Měnit ji lze stejným postupem jako OP; změna nesmí snížit úroveň ochrany osobních údajů.

12.3 Kontakt zpracovatele ve věcech ochrany osobních údajů: osobniudaje@svereno.cz. Zpracovatel nemá povinnost jmenovat pověřence pro ochranu osobních údajů.

Příloha 1: Technická a organizační opatření

• Oddělení zákazníků: data každého zákazníka odděluje přímo databáze pravidly na úrovni řádků (PostgreSQL row-level security). Aplikace se k databázi připojuje rolí, která tato pravidla nemůže obejít; migrace odmítne nasazení, pokud některá tabulka s daty zákazníků pravidla nemá. Oddělení ověřuje automatický test při každé změně.
• Šifrování přenosu: veškerá komunikace probíhá přes HTTPS (TLS) s vynuceným HTTPS (HSTS).
• Přihlašování: hesla jsou uložena jen jako otisk (scrypt s náhodnou solí), přihlašovací relace a jednorázové odkazy jako otisk SHA-256. Opakované neúspěšné pokusy o přihlášení se blokují. Volitelně přihlášení přes Microsoft 365 správce.
• Řízení přístupu: role a oprávnění nastavuje správce, včetně omezení na lokality a systémy; zaměstnanci vidí jen svůj majetek.
• Záznamy: služba vede historii změn s uvedením uživatele a času; k podpisům ukládá čas, IP adresu, prohlížeč a otisk dokumentu.
• Provoz serveru: virtuální server v České republice, správa jen přes SSH s klíčem (přihlášení heslem vypnuté), automatické bezpečnostní aktualizace, přístup jen pro pověřené osoby zpracovatele vázané mlčenlivostí.
• Zálohy: databáze a soubory se zálohují denně, zálohy se uchovávají 30 dní, obnova ze zálohy je ověřená.
• Vývoj: každá změna projde před nasazením automatickými testy; nasazuje se jen otestovaná verze, před nasazením se vždy vytvoří záloha.
• Minimalizace: služba neobsahuje reklamní ani analytické nástroje třetích stran.

Příloha 2: Další zpracovatelé

• CHOST.cz, Ivo Hlaváček, IČO 01887475, Hluboká 83/5, 639 00 Brno – virtuální server (aplikace, databáze, soubory, zálohy) a poštovní server pro odesílání e-mailů ze služby. Místo zpracování: server v České republice, poštovní služby v EHP.

Verze 2026-10-29.