Smlouva o zpracování osobních údajů

Smlouva o zpracování osobních údajů

Příloha č. 1 Všeobecných obchodních podmínek · uzavřená podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR) · verze 1.2 · účinná od 9. 10. 2026

Smluvní strany

Zpracovatel: Zdeněk Dybal, Přátelství 283/12b, Životice, 736 01 Havířov, IČO 21133221, e-mail info@tenants.cz (dále jen „poskytovatel")

Správce: zákazník podle údajů vedených u jeho účtu (dále jen „zákazník")

Tato smlouva je uzavřena okamžikem, kdy zákazník potvrdí Všeobecné obchodní podmínky. Odklik se u účtu zaznamenává i s datem a verzí znění.

Článek 1 — Účel a rozsah

1.1 Účelem této smlouvy je splnit požadavky čl. 28 odst. 3 a 4 GDPR na zpracování osobních údajů, které poskytovatel provádí jménem zákazníka při poskytování služby Tenants (dále jen „služba").

1.2 Předmětem zpracování jsou osobní údaje popsané v Příloze I. Přílohy I, II a III tvoří nedílnou součást této smlouvy.

1.3 Touto smlouvou nejsou dotčeny povinnosti, které zákazníkovi vyplývají z GDPR jako správci.

1.4 Tato smlouva se nevztahuje na zpracování, při kterém je správcem poskytovatel — tedy na zpracování údajů o zákazníkovi samotném (identifikační, kontaktní a fakturační údaje, provozní a bezpečnostní záznamy, komunikace s podporou). Toto zpracování popisují Zásady zpracování osobních údajů na /zasady-osobnich-udaju.php.

1.5 Pro vyloučení pochybností: identifikační a kontaktní údaje zákazníka vedené u jeho účtu, zejména adresa, telefon a identifikační číslo osoby, se v aplikaci evidují v čitelné podobě a jsou uvedeny v Zásadách zpracování osobních údajů.

Článek 2 — Vztah k ostatním ujednáním

2.1 V případě rozporu mezi touto smlouvou a Všeobecnými obchodními podmínkami má v otázkách ochrany osobních údajů přednost tato smlouva.

2.2 Strany se zavazují neměnit obsah této smlouvy jinak než doplněním nebo aktualizací příloh, popřípadě sjednáním dalších záruk, které neodporují této smlouvě ani neomezují práva subjektů údajů.

Článek 3 — Výklad pojmů

3.1 Pojmy, které vymezuje GDPR, mají význam podle GDPR.

3.2 Pro účely této smlouvy se rozumí:

Článek 4 — Role stran

4.1 Zákazník je správcem osobních údajů obsažených v evidenci. Určuje účel a prostředky zpracování, rozhoduje o rozsahu vkládaných údajů a odpovídá za právní titul zpracování.

4.2 Poskytovatel je zpracovatelem. Osobní údaje z evidence zpracovává výhradně jménem zákazníka a na jeho pokyn.

4.3 Zákazník zejména:

4.4 Poskytovatel neodpovídá za obsah, který zákazník do evidence vloží, ani za právní titul jeho zpracování.

Článek 5 — Pokyny zákazníka

5.1 Poskytovatel zpracovává osobní údaje pouze na základě doložených pokynů zákazníka, ledaže mu zpracování ukládá právo Unie nebo České republiky. V takovém případě poskytovatel zákazníka o tomto právním požadavku informuje před zpracováním, ledaže je to zakázáno z důvodu důležitého veřejného zájmu.

5.2 Doloženým pokynem se rozumí tato smlouva a Všeobecné obchodní podmínky, používání funkcí služby zákazníkem nebo osobou, které zákazník zřídil přístup, písemný pokyn zaslaný na kontaktní adresu poskytovatele a udělení dočasného přístupu podpoře podle článku 17.

5.3 Poskytovatel neprodleně informuje zákazníka, má-li za to, že jeho pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů. Do vyjasnění je oprávněn provedení takového pokynu odložit.

Článek 6 — Účelové omezení

6.1 Poskytovatel zpracovává osobní údaje výhradně za účelem poskytování služby, jak je popsán v Příloze I.

6.2 Poskytovatel osobní údaje z evidence nepoužívá pro vlastní účely — zejména je nevyhodnocuje, neprofiluje, nepředává třetím stranám k marketingu ani je nepoužívá k trénování nebo vyhodnocování systémů umělé inteligence. Služba žádný systém umělé inteligence neobsahuje a data do jazykových modelů neodesílá.

Článek 7 — Doba zpracování

7.1 Poskytovatel zpracovává osobní údaje po dobu trvání smlouvy o poskytování služby a dále po dobu uvedenou v článku 18.

Článek 8 — Zabezpečení zpracování

8.1 Poskytovatel zavedl technická a organizační opatření podle čl. 32 GDPR, která jsou popsána v Příloze II.

8.2 Poskytovatel je oprávněn opatření měnit, nesmí však snížit celkovou úroveň zabezpečení. Podstatné změny oznámí zákazníkovi předem způsobem podle článku 12.

8.3 Poskytovatel zajistí, aby přístup k osobním údajům měly pouze osoby, které jej potřebují k plnění povinností z této smlouvy.

Článek 9 — Zvláštní kategorie osobních údajů

9.1 Služba není určena ke zpracování osobních údajů podle čl. 9 a 10 GDPR a nemá pro ně určená pole.

9.2 Vloží-li zákazník takové údaje do volných textových polí, činí tak na vlastní odpovědnost a odpovídá za splnění podmínek čl. 9 odst. 2 GDPR.

Článek 10 — Dokumentace, kontrola a audit

10.1 Poskytovatel vede záznamy o kategoriích činností zpracování prováděných pro zákazníka podle čl. 30 odst. 2 GDPR.

10.2 Poskytovatel poskytne zákazníkovi na jeho žádost informace nezbytné k doložení souladu s čl. 28 GDPR.

10.3 Zákazník je oprávněn provést kontrolu, a to nejvýše jednou za dvanáct měsíců, po předchozím oznámení nejméně 30 dnů předem, v pracovní době a způsobem, který nenaruší provoz služby ani nezasáhne do údajů jiných zákazníků. Kontrolu lze provést i prostřednictvím nezávislého auditora vázaného mlčenlivostí; poskytovatel může auditora z důvodu střetu zájmů odmítnout.

10.4 Poskytovatel je oprávněn splnit povinnost podle odstavce 10.2 předložením aktuálního bezpečnostního přehledu a dokumentace opatření. Vyžádá-li si zákazník kontrolu nad rámec tohoto rozsahu, hradí její náklady.

10.5 Kontrola nesmí zahrnovat přístup k údajům jiných zákazníků a k částem infrastruktury, které poskytovatel neprovozuje.

Článek 11 — Mlčenlivost

11.1 Poskytovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

11.2 Povinnost mlčenlivosti trvá i po skončení této smlouvy a po skončení právního vztahu takové osoby k poskytovateli.

Článek 12 — Další zpracovatelé

12.1 Zákazník uděluje poskytovateli obecné povolení zapojit další zpracovatele. Aktuální seznam je uveden v Příloze III.

12.2 Poskytovatel oznámí zamýšlenou změnu seznamu nejméně 30 dnů předem, a to e-mailem na adresu účtu a oznámením v aplikaci.

12.3 Zákazník může proti změně ve lhůtě 30 dnů od oznámení vznést odůvodněnou námitku týkající se ochrany osobních údajů. Nedohodnou-li se strany do 30 dnů od doručení námitky, je zákazník oprávněn smlouvu o poskytování služby vypovědět bez sankce ke dni, kdy má změna nabýt účinnosti.

12.4 Poskytovatel uloží dalšímu zpracovateli písemnou smlouvou tytéž povinnosti ochrany údajů, jaké má sám podle této smlouvy.

12.5 Poskytovatel odpovídá zákazníkovi za plnění povinností dalšího zpracovatele stejně, jako by je plnil sám.

Článek 13 — Předávání do třetích zemí

13.1 Osobní údaje jsou zpracovávány výhradně na území Evropské unie; infrastruktura se nachází v Česká republika.

13.2 Poskytovatel nepředává osobní údaje do třetích zemí ani mezinárodním organizacím, ledaže zákazník zapne funkci, která takové předání zahrnuje (v takovém případě je na předání upozorněn před zapnutím funkce), nebo mu to ukládá právo Unie nebo České republiky (v takovém případě zákazníka předem informuje, není-li to zakázáno).

13.3 Funkce s předáním mimo EU. Zapne-li zákazník odběr kalendáře do služby provozované mimo EU (například Google nebo Microsoft), předává se obsah událostí provozovateli této služby. Do událostí se nepřenášejí jména nájemníků; přenášejí se názvy nemovitostí a druh termínu. Právní titul a informování dotčených osob je věcí zákazníka.

13.4 Dojde-li k předání podle odstavce 13.2, uplatní se standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914 nebo jiná záruka podle kapitoly V GDPR.

Článek 14 — Pomoc při výkonu práv subjektů údajů

14.1 Žádost nájemníka o výkon práv podle čl. 15 až 22 GDPR vyřizuje zákazník jako správce. Obdrží-li takovou žádost poskytovatel, neprodleně ji zákazníkovi předá a sám na ni věcně neodpovídá.

14.2 Poskytovatel poskytuje zákazníkovi součinnost prostřednictvím funkcí služby:

14.3 Nestačí-li funkce služby, poskytne poskytovatel přiměřenou dodatečnou součinnost. Vyžaduje-li si to nepřiměřené úsilí, může ji podmínit úhradou účelně vynaložených nákladů, o čemž zákazníka předem informuje.

Článek 15 — Pomoc podle článků 32 až 36 GDPR

15.1 Poskytovatel poskytne zákazníkovi součinnost při plnění povinností podle čl. 32 GDPR (zabezpečení), čl. 35 (posouzení vlivu) a čl. 36 (předchozí konzultace), a to v rozsahu informací, které má k dispozici.

15.2 Součinnost podle odstavce 15.1 se poskytuje předložením bezpečnostního přehledu a dokumentace opatření podle Přílohy II.

Článek 16 — Porušení zabezpečení osobních údajů

16.1 Zjistí-li poskytovatel porušení zabezpečení osobních údajů zpracovávaných pro zákazníka, oznámí to zákazníkovi bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl.

16.2 Oznámení obsahuje, pokud je to možné, popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů údajů a záznamů, kontaktní údaj pro další informace, popis pravděpodobných důsledků a popis přijatých nebo navržených opatření.

16.3 Nelze-li poskytnout všechny informace najednou, poskytnou se postupně bez dalšího zbytečného odkladu.

16.4 Ohlášení dozorovému úřadu podle čl. 33 GDPR a oznámení subjektům údajů podle čl. 34 GDPR provádí zákazník jako správce; poskytovatel mu k tomu poskytne součinnost.

16.5 Poskytovatel zajistí, aby byly záznamy vztahující se k porušení uchovány i po uplynutí běžné doby uchování logů, je-li to pro objasnění potřebné.

Článek 17 — Dočasný přístup podpory

17.1 Poskytovatel k evidenci zákazníka standardně nemá přístup. Účet správce aplikace není mezi vlastníky portfolia a aplikace jej odmítne stejně jako kohokoli jiného.

17.2 Funkce dočasného přístupu podpory je v této instalaci vypnutá. Poskytovatel se do evidence zákazníka nedostane žádnou cestou z rozhraní aplikace.

17.3 Zapne-li poskytovatel tuto funkci, uděluje přístup výhradně zákazník ze svého účtu, přístup je časově omezený, po celou dobu je zakázán jakýkoli zápis a každý vstup se zaznamenává do auditu. Udělení je pokynem správce podle čl. 28 odst. 3 písm. a) GDPR, nikoli souhlasem podle čl. 6 odst. 1 písm. a) GDPR.

Článek 18 — Naložení s údaji po skončení smlouvy

18.1 Po skončení smlouvy o poskytování služby poskytovatel podle volby zákazníka osobní údaje vymaže, nebo je zpřístupní k převzetí postupem podle Všeobecných obchodních podmínek a poté vymaže.

18.2 Neprovede-li zákazník volbu, poskytovatel údaje zpřístupní k převzetí po dobu 30 dnů od skončení smlouvy a poté je vymaže.

18.3 Zálohy. Poskytovatel pořizuje zálohy databáze jako ochranu proti ztrátě dat. Údaje vymazané z provozní databáze mohou být obsaženy v zálohách po dobu jejich retence, a to nejdéle 60 dnů od pořízení zálohy; posledních čtrnáct záloh se drží vždy, i kdyby byly starší. Výmaz je tím dokončen nejpozději uplynutím této doby. Se zálohami se dále nepracuje a použijí se výhradně k obnově po havárii; obnovená data se neprodleně uvedou do souladu s provedenými výmazy.

18.4 Poskytovatel je oprávněn ponechat si osobní údaje, které mu ukládá uchovat právo Unie nebo České republiky, a to výhradně za tímto účelem.

18.5 Na žádost zákazníka poskytovatel provedení výmazu písemně potvrdí.

Článek 19 — Odpovědnost

19.1 Odpovědnost stran za újmu způsobenou zpracováním se řídí čl. 82 GDPR.

19.2 Ustanovení Všeobecných obchodních podmínek o omezení náhrady újmy se nepoužijí na nároky subjektů údajů podle čl. 82 GDPR ani na pokuty uložené dozorovým úřadem.

Článek 20 — Trvání a ukončení

20.1 Tato smlouva trvá po dobu trvání smlouvy o poskytování služby a dále do splnění povinností podle článku 18.

20.2 Poruší-li poskytovatel podstatným způsobem povinnosti z této smlouvy, může zákazník smlouvu o poskytování služby vypovědět s okamžitým účinkem.

Článek 21 — Závěrečná ustanovení

21.1 Tato smlouva se řídí právním řádem České republiky.

21.2 Dozorovým úřadem je Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7. Subjekt údajů má právo podat u něj stížnost.

21.3 Poskytovatel je oprávněn tuto smlouvu změnit postupem podle Všeobecných obchodních podmínek pro změnu podmínek. Nesouhlasí-li zákazník se změnou, může smlouvu vypovědět bez sankce.

Příloha I — Popis zpracování

A. Strany

B. Popis zpracování

Předmět: poskytování webové aplikace pro evidenci nájemních nemovitostí.

Povaha a účel: ukládání, zobrazování, výpočet, generování dokumentů, tisk, export a odesílání zpráv, a to výhradně v rozsahu funkcí, které zákazník použije. Poskytovatel k údajům při běžném provozu nepřistupuje.

Doba: po dobu trvání smlouvy a dále podle článku 18.

Kategorie subjektů údajů:

Kategorie osobních údajů:

Zvláštní kategorie údajů: nezpracovávají se; služba pro ně nemá pole.

Četnost: průběžně, podle používání služby zákazníkem.

Příjemci: další zpracovatelé podle Přílohy III.

Příloha II — Technická a organizační opatření

1. Oddělení dat mezi zákazníky

2. Šifrování

3. Řízení přístupu

4. Odolnost aplikace

5. Ochrana proti ztrátě dat

6. Záznamy a jejich uchování

7. Testování a kontrola

8. Organizační opatření

9. Vědomá omezení

Příloha III — Seznam dalších zpracovatelů

Volitelné funkce s předáním údajů mimo službu (zapíná zákazník, nejsou dalšími zpracovateli poskytovatele):