Zpracovatelská smlouva

Zpracovatelemje POSPISILOVE s.r.o., IČO: 23170450, DIČ: CZ23170450 (identifikovaná osoba, nikoli plátce DPH), se sídlem Příčná 1892/4, 110 00 Praha 1 – Nové Město, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 421885, ID datové schránky 5692gay, provozovatel služby Deratik (dále jen „Deratik“).

Správcemjste vy — podnikatel nebo obchodní společnost, která má v Deratiku zřízený účet a vkládá do něj údaje svých odběratelů, provozoven a techniků (dále jen „Firma“).

Smlouva je součástí obchodních podmínek a uzavíráte ji zřízením účtu. Podepisovat nic nemusíte.

Potřebujete-li podepsaný dokument — typicky do auditní složky nebo pro pověřence svého zákazníka — napište si o něj na info@deratik.cz a pošleme vám ho.

Účel je jediný: provozovat pro vás Deratik. Nic víc s vašimi daty neděláme.

Povaha zpracování — ukládání, zobrazování, úprava, třídění, výpočty nad daty (termíny kontrol, trendy výskytu, upozornění), sazba PDF protokolů a faktur, odesílání e-mailů a záloha.

Co neděláme:vaše data neprodáváme, nepůjčujeme ani nepředáváme nikomu kromě subdodavatelů uvedených v článku 8. Nepoužíváme je k reklamě. Netrénujeme na nich modely umělé inteligence. Nespojujeme data různých firem dohromady — ani do anonymních statistik, které bychom zveřejnili.

Provozní čísla o používání aplikace (kolik zásahů se v systému udělalo, jestli je účet aktivní) sledujeme na úrovni účtu, ne jednotlivých osob, a slouží jen k provozu a podpoře.

Zpracováváme po celou dobu, co máte u nás účet, a pak ještě 30 dnů na to, abyste si data odvezli. Podrobnosti jsou v článku 11.

Smlouva končí spolu s výmazem dat. Povinnost mlčenlivosti podle článku 6 trvá i po jejím skončení.

Rozsah určujete vy tím, co do aplikace vložíte. Tohle jsou kategorie, se kterými Deratik počítá:

Zvláštní kategorie údajů do Deratiku nepatří. Aplikace na ně nemá pole a nepočítá s nimi. Nepište proto do poznámek údaje o zdraví, náboženském vyznání ani jiné údaje podle čl. 9 GDPR a nefoťte je.

S vašimi daty děláme jen to, co si vyžádáte. Pokynem je běžné používání aplikace — když v Deratiku uložíte zásah, pokynem je uložit ho. Zvláštní pokyn nad rámec funkcí aplikace nám pošlete e-mailem z adresy majitele účtu.

Když nás k něčemu zaváže zákon, uděláme to i bez vašeho pokynu — ale předem vás na to upozorníme, ledaže by nám to ten zákon zakazoval.

Když nám přijde pokyn, který podle nás porušuje GDPR nebo české předpisy, řekneme vám to a počkáme, jak rozhodnete. Provedení takového pokynu můžeme odmítnout.

K vašim datům se dostane jen ten, kdo je potřebuje k práci na provozu Deratiku nebo k vyřízení vašeho požadavku na podporu. Každý takový člověk je vázán mlčenlivostí, a to i po skončení spolupráce s námi.

Deratik dnes provozuje jeden člověk. Kdyby přibyli další, mlčenlivost je pro ně podmínka přístupu, ne formalita na papíře.

Do vašeho účtu se podíváme jen tehdy, když nás o to požádáte, nebo když jinak nelze vyřešit provozní poruchu. Takový vstup se zaznamenává.

Tohle jsou opatření, která podle čl. 32 GDPR skutečně máme zapnutá. Nejde o seznam záměrů.

Dvě věci, o kterých je lepší vědět předem. Odkaz do portálu odběratele, do auditní složky a na veřejnou fakturu funguje bez přihlášení — je neuhodnutelný, ale kdo ho dostane, ten se dovnitř podívá. Zacházejte s ním jako s klíčem. A soubory v úložišti (fotky, podpisy, razítka) mají rovněž neuhodnutelnou adresu, nikoli přihlášení.

Opatření průběžně přehodnocujeme. Změnit je smíme jen tak, aby úroveň ochrany zůstala stejná nebo se zvýšila.

Zřízením účtu nám dáváte obecné svolení zapojit do zpracování subdodavatele uvedené níže. U prvních tří nás jejich zpracovatelská smlouva váže povinnostmi, které nejsou slabší než ty v této smlouvě — odkaz na znění je u každého přímo v tabulce. U Seznamu je situace jiná a rozepisujeme ji pod tabulkou.

Když budeme chtít přidat dalšího nebo některého vyměnit, oznámíme to e-mailem 30 dnů předem. Do té doby můžete vznést námitku. Když se nedohodneme, můžete smlouvu bez sankce vypovědět a data si odvézt.

Jedno předání mimo EU: odchozí pošta. Resend je americká společnost a podle své dokumentace ukládá data účtu — metadata zpráv, provozní záznamy i obsah — v USA bez ohledu na to, z jakého regionu se pošta odesílá. Do e-mailu přitom jde adresát, předmět, text i příloha, tedy celý protokol o zásahu nebo faktura. Předání kryjí standardní smluvní doložky schválené Evropskou komisí, které jsou součástí zpracovatelské smlouvy Resendu.

Odeslání protokolu nebo faktury odběrateli je vaše volba: PDF si můžete stáhnout v aplikaci a předat ho sami, a pak se z toho zásahu do USA nedostane nic. Pozvánky techniků a připomínky termínů ale chodí přes Resend vždycky.

Subdodavatelé, kteří vaše data opravdu drží — Supabase a Vercel — je drží v EU. Kdyby přibylo jakékoli další předání mimo EU, půjde to jen se standardními smluvními doložkami a oznámíme to předem stejnou lhůtou jako změnu subdodavatele.

Sídlo firmy a místo, kde leží data, není totéž. Pod jménem každého subdodavatele je uvedená společnost a stát, kde sídlí; sloupec „Kde“ naproti tomu říká, kde data opravdu jsou. Supabase tak sídlí v Singapuru, ale vaše databáze běží v Irsku.

Proč je v tabulce Seznam, když se k vašim datům nedostane. Aby bylo vidět, že jsme na něj nezapomněli. Mapy.cz kreslí dlaždice ve veřejném katalogu firem, kam se nedostanou ani vaši odběratelé, ani vaše provozovny. Seznam navíc zpracovatelskou smlouvu podle čl. 28 GDPR nezveřejňuje — jeho podmínky užití API mají jen vlastní článek o ochraně osobních údajů. Právě proto do Mapy.cz nic z vašeho účtu neposíláme; kdybychom to chtěli změnit, museli bychom nejdřív mít smlouvu, ne opačně.

Připravené, vypnuté. Aplikace umí posílat SMS připomínky přes SMSbrana.cz a má nachystané napojení na službu pro sběr chybových hlášení (Sentry). Ani jedno není zapnuté, takže tam žádná data neputují — chybová hlášení zatím končí v provozním záznamu u Vercelu. Až některou z těch funkcí zapneme, oznámíme to stejně jako každého jiného subdodavatele.

Kde nejsme zpracovatel, ale správce. Platební brána, vystavení daňového dokladu a analytika návštěvnosti webu se týkají vašich údajů jako našeho zákazníka, ne údajů vašich odběratelů. Platby vyřizuje Stripe (pro zákazníky z EU Stripe Payments Europe, Limited, Irsko). Tam všude vystupujeme jako správce a popisují to zásady ochrany osobních údajů.

Žádost o přístup, opravu, výmaz, omezení nebo přenositelnost vyřizujete vy — jste správce a jen vy víte, proč jsou údaje v systému a co s nimi souvisí. My vám k tomu dáme nástroje a pomoc.

Většinu si zvládnete sami: údaje odběratele i kontaktní osoby v aplikaci upravíte — tedy i přepíšete —, záznam archivujete a kompletní export stáhnete v Nastavení. Úplné odstranění záznamu z databáze aplikace zatím neumí; napište nám a provedeme ho za vás. Stejně tak když si nebudete vědět rady nebo bude potřeba zásah, který aplikace neumí: info@deratik.cz a ozveme se do 5 pracovních dnů. Lhůta je nastavená tak, aby vám zbyl čas na vaši vlastní měsíční lhůtu podle čl. 12 odst. 3 GDPR.

Když se subjekt údajů obrátí přímo na nás, sami mu odpovídat nebudeme — nemáme na to titul. Odkážeme ho na vás a dáme vám vědět.

Pomůžeme vám i s posouzením vlivu na ochranu osobních údajů a s předchozí konzultací s úřadem, pokud je budete potřebovat (čl. 35 a 36 GDPR). Poskytneme k tomu popis zpracování na naší straně.

Ohlásíme vám ho bez zbytečného odkladu, nejpozději do 24 hodin od chvíle, kdy se o něm dozvíme. Krátká lhůta je schválně: vy pak máte 72 hodin na ohlášení úřadu podle čl. 33 GDPR a ty se počítají od okamžiku, kdy se to dozvíte vy.

Ve zprávě dostanete:

• co se stalo a kdy jsme to zjistili;
• kterých údajů a přibližně kolika osob se to týká, pokud to víme;
• jaké to má pravděpodobné následky;
• co jsme udělali a co ještě uděláme;
• kontakt, kde se doptáte.

Když v tu chvíli ještě všechno nebudeme vědět, pošleme zprávu s tím, co víme, a zbytek doplníme — čekání na úplný obrázek by vám sebralo čas, který potřebujete.

Úřadu ani subjektům údajů porušení nehlásíme sami. To je vaše role jako správce.

Tohle je nejdůležitější článek celé smlouvy, protože se v něm potkávají dva požadavky, které jdou proti sobě.

Vaše protokoly nesou evidenci použitých přípravků — druh, množství, dobu, místo a účel použití. Tu musíte podle § 61 odst. 1 písm. a) zákona č. 258/2000 Sb. ukládat 5 let. Kdybychom vám data smazali hned, přijdete o zákonnou evidenci. Kdybychom si je nechali navždy, zpracováváme je bez pokynu a bez titulu. Ani jedno nejde.

Řešení: data jsou vaše, archiv si držíte vy, my vám je předáme. Deratik není archiv. Pětiletá povinnost je vaše, ne naše — a naše práce je dát vám data v použitelné podobě dřív, než je smažeme.

Jak výmaz vyvoláte: napište nám na info@deratik.cz. Tlačítko v aplikaci na to schválně není — smazat pětiletou evidenci jedním klepnutím je věc, kterou byste udělali dřív, než byste si ji rozmysleli. Žádost si zapíšeme a od toho dne běží lhůta níž.

Postup je pevný a proběhne stejně pokaždé:

• Den ukončení. Data zůstávají kompletní: protokoly, faktury, fotky i podpisy. Přístup k účtu vám zachováme, abyste si je mohli odvézt, a e-mailem vám to připomeneme.
• Následujících 30 dnů. Stahujete, co potřebujete — export ZIP se soubory CSV i jednotlivá PDF protokolů a faktur. Sedm dnů před koncem lhůty pošleme druhé upozornění.
• Po 30 dnech. Provozní data i soubory smažeme.
• Zálohy. Protáčejí se samy. Soubor smazaný při výmazu odejde z noční zálohy do 35 dnů, databázové zálohy nejpozději do 90 dnů. Po té době už vaše data v žádné z nich nejsou.

Zkontrolujte si export dřív, než lhůta doběhne. Export obsahuje data z aplikace v souborech CSV, protokoly a faktury v PDF i fotky, podpisy a razítka jako skutečné soubory. Stahuje se po částech, protože celý balík se do jedné odpovědi nevejde — obrazovka to projde za vás. V každé části je soubor CHYBI.txt: když se něco nepodařilo přiložit, stojí to tam. Po výmazu už dokumenty nevyrobíme.

Potřebujete-li víc času (typicky převod dat do jiného systému), napište nám před koncem lhůty a domluvíme se. Odklad potvrdíme písemně.

Chcete-li místo výmazu předat data někomu jinému, řekněte nám komu a v jakém formátu. Pokud to půjde, uděláme to.

Výmaz vám na požádání písemně potvrdíme. Kdyby nám nějakou část dat ukládal uchovat zákon, napíšeme vám kterou, proč a na jak dlouho.

Máte právo si ověřit, že plníme, co je tady napsané (čl. 28 odst. 3 písm. h) GDPR).

Nejrychlejší cesta: napište na info@deratik.cz a do 30 dnů dostanete písemné odpovědi na své otázky, doklady o opatřeních z článku 7 a aktuální seznam subdodavatelů. Většině pověřenců tohle stačí.

Kontrola na místě nebo vlastním auditorem je možná jednou za rok, po dohodě termínu nejméně 30 dnů předem a v pracovní době. Auditor musí být vázán mlčenlivostí a nesmí to být náš konkurent. Náklady na svého auditora nesete vy; zjistí-li kontrola vážné pochybení na naší straně, neseme je my.

Mimořádnou kontrolu můžete provést i mimo tenhle režim, když došlo k porušení zabezpečení nebo když si to vyžádá dozorový úřad.

Jako správce odpovídáte za to, že údaje, které do Deratiku vložíte, tam vložit smíte. Konkrétně:

• máte pro zpracování právní základ podle čl. 6 GDPR (u DDD zakázky to bývá plnění smlouvy s odběratelem nebo oprávněný zájem);
• splnili jste informační povinnost vůči lidem, jejichž údaje vkládáte — včetně toho, že jejich údaje zpracovává i software;
• vkládáte jen údaje, které k práci potřebujete, a udržujete je aktuální;
• hlídáte, kdo z vašich lidí má do účtu přístup, a odebíráte ho, když někdo odejde;
• zacházíte opatrně s odkazy, které fungují bez přihlášení (portál odběratele, auditní složka, veřejná faktura);
• po skončení spolupráce si data odvezete a dál plníte svou vlastní archivační povinnost.

Deratik je nástroj pro administrativu. Za odbornou správnost zásahů, protokolů a dodržení termínů odpovídáte vy — to popisují obchodní podmínky.

Změnu této smlouvy oznámíme e-mailem nejméně 30 dnů předem. Nesouhlasíte-li, můžete do data účinnosti smlouvu vypovědět a data si odvézt postupem podle článku 11. Změnu, kterou si vynutí nový právní předpis nebo rozhodnutí úřadu, můžeme provést i dřív; i tak vás o ní vyrozumíme.

Smlouva se řídí právem České republiky a nařízením (EU) 2016/679 (GDPR). Když se některé ustanovení ukáže jako neplatné, ostatní platí dál.

Odporují-li si tato smlouva a obchodní podmínky v otázce zpracování osobních údajů, přednost má tato smlouva.

Stížnost můžete kdykoli podat u Úřadu pro ochranu osobních údajů (www.uoou.cz), Pplk. Sochora 27, 170 00 Praha 7.