Zpracovatelská smlouva
Verze a účinnost: 2026-10-01
Poskytovatelka: Mgr. Nikola Hošková, DiS., IČO 24437930, Palackého 933, 341 01 Horažďovice, info@hodnoceni-rizik.cz.
Strany, účel a doba
Tato zpracovatelská smlouva podle článku 28 GDPR se použije mezi poskytovatelkou a zákazníkem, pro kterého poskytovatelka zpracovává osobní údaje. Zákazník musí být jejich správcem nebo zpracovatelem s oprávněním pověřit dalšího zpracovatele. Poskytovatelka je jeho zpracovatelem, případně dalším zpracovatelem. Soukromá úhrada zaměstnancem sama nezakládá smlouvu se zaměstnavatelem ani neopravňuje ke vložení jeho osobních údajů. Pro takové zpracování je nutné oprávnění a smluvní vztah se skutečným správcem.
Předmětem je provoz hodnocení rizik: ukládání, uspořádání, zobrazování, úpravy, vyhledávání, tvorba PDF, export, předávání na pokyn a výmaz zákaznických osobních údajů. Zpracování trvá po dobu smlouvy a nezbytného vrácení nebo výmazu dat.
Smlouva se vztahuje na osobní i organizační pracovní prostor a na bezplatné i placené používání. Pro vlastní účely poskytovatelky, například fakturaci, se použijí zásady ochrany osobních údajů.
Údaje a dotčené osoby
Dotčenými osobami mohou být zákazníci, klienti, kontaktní osoby, zpracovatelé hodnocení a pracovníci zachycení v obsahu. Kategorie zahrnují jméno, profesní a kontaktní údaje, údaje o pracovišti a činnosti, text hodnocení, poznámky a obrázky vložené zákazníkem.
Rozsah a účel určuje zákazník. Zvláštní kategorie osobních údajů, zdravotnická dokumentace a údaje o trestních odsouzeních nejsou předmětem sjednané služby a zákazník je nemá vkládat.
Zákazník zajistí zákonnost svých pokynů, potřebné informace dotčeným osobám a oprávnění nakládat s údaji. Poskytovatelka mu oznámí, pokud podle jejího názoru pokyn porušuje GDPR nebo jiný předpis o ochraně údajů.
Pokyny a důvěrnost
Poskytovatelka zpracovává údaje pouze na doložené pokyny zákazníka, včetně pokynů k zahraničnímu předání. Pokyny tvoří smlouva, volby oprávněných uživatelů v aplikaci a ověřené požadavky podpory. Pokud zpracování vyžaduje právo EU nebo členského státu, informuje předem zákazníka, ledaže to právo zakazuje.
Přístup mají pouze osoby pověřené k potřebné činnosti a zavázané mlčenlivostí. Technický správce pověřený přímo poskytovatelkou jedná pod její pravomocí a nesmí údaje použít pro vlastní účely ani je zpřístupnit své firmě či kolegům.
Poskytovatelka nesmí zákaznický obsah prodávat, používat pro reklamu ani vlastní trénování modelů. Povinnost důvěrnosti trvá i po skončení přístupu a smlouvy.
Technická a organizační opatření
Poskytovatelka udržuje opatření přiměřená riziku podle článku 32 GDPR: oddělení zákaznických přístupů, autentizaci a řízení oprávnění, šifrovaný přenos, omezení administrátorských přístupů a ochranu přihlašovacích tajemství.
Součástí opatření jsou aktualizace, zálohování a ověřování obnovy, evidence bezpečnostních událostí, řešení zranitelností a postup pro incidenty a výmaz. Obnovením zálohy se neobnovuje oprávnění používat již vymazaná data; pokyny k výmazu se znovu uplatní.
Podrobnosti poskytne poskytovatelka zákazníkovi pro posouzení souladu tak, aby nezpřístupnila bezpečnostní tajemství nebo údaje jiných zákazníků. Opatření lze rozvíjet při zachování sjednané úrovně ochrany.
Další zpracovatelé a přenosy
Zákazník obecně povoluje zapojení dalších zpracovatelů potřebných pro službu. Základní dodavatelé jsou Vercel pro web a AI Gateway a Railway pro databázový hosting a tvorbu PDF. Brevo (Sendinblue SAS) zajišťuje odesílání zpráv, včetně obsahu a příloh zaslaných podpoře. Při zapnuté AI se zapojuje poskytovatel vybraného modelu; výchozí integrace používá model OpenAI. Konkrétní právní subjekty, místa zpracování a další zapojené dodavatele poskytovatelka sdělí před zahájením příslušného zpracování.
Přidání nebo nahrazení dalšího zpracovatele oznámí poskytovatelka e-mailem nejméně 30 dnů předem. Zákazník může v této době vznést odůvodněnou námitku z důvodů ochrany údajů. Strany hledají přiměřené řešení; nelze-li jej zajistit, lze dotčenou část služby ukončit před předáním údajů novému dodavateli a vrátit nevyčerpanou předplacenou cenu této části.
S dalším zpracovatelem poskytovatelka sjedná stejné relevantní povinnosti ochrany údajů a odpovídá zákazníkovi za jejich plnění. Přenos mimo EHP je možný jen při splnění kapitoly V GDPR; na žádost poskytne informace o mechanismu přenosu a příslušných zárukách. Externí aplikace samostatně zvolená zákazníkem je jeho příjemcem, nikoli automaticky dalším zpracovatelem poskytovatelky.
Součinnost, incidenty a kontrola
S ohledem na povahu zpracování poskytovatelka pomáhá s žádostmi dotčených osob, zabezpečením, posouzením vlivu a předchozí konzultací s úřadem. Žádost týkající se zákaznických dat předá zákazníkovi bez zbytečného odkladu; samostatně o ní nerozhoduje, nestanoví-li zákon jinak.
Porušení zabezpečení zákaznických osobních údajů oznámí zákazníkovi bez zbytečného odkladu po zjištění. Poskytne dostupné informace o povaze incidentu, dotčených údajích a osobách, pravděpodobných důsledcích, nápravných opatřeních a kontaktu; další informace doplní postupně.
Poskytovatelka poskytne informace potřebné k doložení souladu a umožní přiměřené audity včetně inspekcí zákazníkem nebo jeho pověřeným auditorem. Strany dohodnou organizaci a ochranu ostatních zákazníků; tato dohoda nesmí kontrolu znemožnit. Běžná součinnost je součástí služby; případné mimořádné náklady se dohodnou předem a nesmějí omezit povinnosti podle GDPR.
Vrácení a výmaz
Po skončení služby poskytovatelka podle volby zákazníka osobní údaje vrátí nebo vymaže, včetně kopií, ledaže uchování vyžaduje právo EU nebo členského státu. Při změně poskytovatele nejprve platí přechodné období a nejméně 30 dnů pro vyzvednutí podle obchodních podmínek.
Smazání účtu nebo organizace je výslovným pokynem k výmazu jejího pracovního obsahu. Vypnutí obnovování PRO tento pokyn nepředstavuje. Smazání hodnocení do koše ani odstranění odkazu na obrázek neznamená fyzický výmaz; konkrétní pokyn k výmazu lze zaslat podpoře.
Poskytovatelka na žádost doloží dokončení výmazu a sdělí termín zániku případných záložních kopií podle retenčního cyklu. Do té doby omezí jejich použití výhradně na obnovu při havárii a zajištění bezpečnosti, s opětovným provedením výmazu po obnově.