KONCEPT – ke kontrole právníkem
Tento dokument je pracovní návrh. Nebyl zkontrolován advokátem, není platný a nesmí být zveřejněn ani použit vůči zákazníkům, dokud nebude zkontrolován a nebudou doplněny údaje v hranatých závorkách.
KONCEPT – ke kontrole právníkem
Smlouva o zpracování osobních údajů
podle čl. 28 nařízení (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb. · služba FakturyMax
Smluvní strany
Správce: zákazník služby FakturyMax identifikovaný údaji uvedenými při registraci (dále jen „správce“).
Zpracovatel:
[obchodní firma provozovatele], IČO [doplnit], se sídlem [adresa sídla – doplnit], zapsaná v obchodním rejstříku vedeném [soud, oddíl a vložka – doplnit], e-mail [kontaktní e-mail – doplnit]
Tato smlouva je nedílnou součástí obchodních podmínek služby a vzniká spolu se smlouvou o poskytování služby. [ověřit formu uzavření – akceptace při registraci]
1. Předmět a doba zpracování
- Zpracovatel zpracovává pro správce osobní údaje, které správce nebo jeho uživatelé vloží do služby, výhradně za účelem poskytování služby (vystavování a evidence dokladů, pohledávek a úhrad, adresář, zakázky a pojistné události, odesílání dokladů e-mailem).
- Zpracování trvá po dobu trvání smlouvy o poskytování služby a po dobu uvedenou v čl. 8.
2. Povaha zpracování, kategorie údajů a subjektů
| Kategorie subjektů | odběratelé a dodavatelé správce (fyzické osoby a kontaktní osoby právnických osob), zákazníci správce a jejich vozidla (modul Autoservis), poškození a viníci pojistných událostí, uživatelé služby na straně správce |
| Kategorie údajů | identifikační a kontaktní údaje (jméno, adresa, IČO, DIČ, e-mail, telefon), údaje na dokladech a o platbách (čísla účtů, částky, variabilní symboly), údaje o vozidlech (RZ, VIN), čísla pojistných událostí a související údaje |
| Zvláštní kategorie | nezpracovávají se; správce je do služby nebude vkládat |
| Operace | uložení, uspořádání, vyhledávání, zobrazení, vytvoření dokladů (PDF, ISDOC), odeslání e-mailem na pokyn správce, export, výmaz |
3. Povinnosti zpracovatele
- Zpracovává osobní údaje pouze na základě doložených pokynů správce; za pokyny se považuje i nastavení a užívání služby správcem.
- Zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány k mlčenlivosti.
- Přijme technická a organizační opatření podle čl. 32 GDPR (příloha 1).
- Bude správci nápomocen při plnění povinností vůči subjektům údajů (čl. 12–23 GDPR) a povinností podle čl. 32–36 GDPR.
- Ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do [48] hodin od jeho zjištění.
- Poskytne správci informace potřebné k doložení souladu s čl. 28 GDPR a umožní audit v přiměřeném rozsahu. [podmínky a náklady auditu – doplnit]
- Do dat správce nenahlíží, s výjimkou řešení požadavku správce (podpora) nebo povinnosti stanovené zákonem.
4. Další zpracovatelé (subzpracovatelé)
Správce uděluje obecný souhlas se zapojením dalších zpracovatelů. Ke dni účinnosti jsou to:
| Subzpracovatel | Účel | Umístění dat |
|---|---|---|
| Supabase Inc. | databáze, přihlašování uživatelů, ukládání souborů (PDF dokladů, loga) | EU – Frankfurt (AWS eu-central-1); [ověřit přenosy mimo EU a SCC] |
| Vercel Inc. | provoz webové aplikace (hosting, výpočetní funkce) | funkce v regionu EU – Frankfurt (fra1); [ověřit CDN a logy, SCC / DPF] |
| Stripe Payments Europe, Ltd. | platby předplatného (jen fakturační údaje zákazníka, ne data v aplikaci) | [ověřit] |
| [poskytovatel SMTP – doplnit] | odesílání e-mailů (doklady, upomínky, pozvánky) | [doplnit] |
Zpracovatel informuje správce o zamýšlené změně dalších zpracovatelů nejméně [30] dní předem; správce může vznést námitku a smlouvu vypovědět. Zpracovatel uloží dalším zpracovatelům stejné povinnosti, jaké má sám.
5. Předávání do třetích zemí
Data služby jsou uložena v EU. Předání do třetí země je možné jen se zárukami podle kapitoly V GDPR (standardní smluvní doložky, rámec EU–USA). [ověřit]
6. Povinnosti správce
Správce odpovídá za zákonnost zpracování osobních údajů, které do služby vkládá, za splnění informační povinnosti vůči subjektům údajů a za to, že do služby nebude vkládat údaje, k jejichž zpracování nemá právní titul.
7. Odpovědnost
Odpovědnost stran se řídí čl. 82 GDPR a obchodními podmínkami služby. [omezení odpovědnosti – sladit s obchodními podmínkami]
8. Ukončení zpracování
Po skončení poskytování služby umožní zpracovatel správci export dat po dobu [doplnit] a poté osobní údaje vymaže včetně kopií, nestanoví-li právní předpis jinak. Zálohy se vymažou v rámci běžného cyklu záloh [délka cyklu – doplnit].
Příloha 1 – Technická a organizační opatření
- oddělení dat zákazníků na úrovni databáze (Row Level Security), přístup uživatelů podle rolí a firem,
- šifrovaný přenos (HTTPS/TLS), šifrování dat v klidu u poskytovatele databáze [ověřit],
- dvoufázové ověření uživatelů (TOTP), hesla ukládána jen jako hash,
- auditní log změn dokladů, firem, kontaktů, úhrad a oprávnění,
- vystavené doklady nelze měnit ani mazat (jen opravný doklad nebo storno),
- přístupové klíče k produkčnímu prostředí jen u oprávněných osob provozovatele, tajné údaje mimo zdrojový kód,
- zálohování databáze [četnost a uchování – doplnit].