Smlouva o zpracování osobních údajů

Verze v5-2026-10 · Účinnost od: 27. 10. 2026 · Dokument k podpisu

uzavřená podle článku 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR“)

Smluvní strany

Správce

dále jen „správce“

Zpracovatel

dále jen „zpracovatel“. Zpracovatel je fyzickou osobou podnikající, není zapsán v obchodním rejstříku a jeho sídlo je zároveň adresou jeho bydliště.

1. Úvodní ustanovení

1. Strany uzavřely smlouvu o poskytování služby Evikom — provozního systému pro evidenci zásob, odpisů spotřeby a objednávek, vedení firemních financí včetně výplatní listiny, evidenci bankovních pohybů a odesílání firemní pošty (dále jen „hlavní smlouva“ a „služba“). Rozsah zapnutých částí u konkrétního správce určuje objednávka.
2. Při plnění hlavní smlouvy zpracovatel zpracovává osobní údaje, jejichž správcem je správce. Tato smlouva upravuje podmínky takového zpracování a je nedílnou součástí hlavní smlouvy.
3. Je-li tato smlouva v rozporu s hlavní smlouvou ve věcech ochrany osobních údajů, má přednost tato smlouva.
4. Správce odpovídá za to, že má pro zpracování právní důvod a že splnil svou informační povinnost vůči subjektům údajů. Zpracovatel právní důvod neurčuje a neposuzuje.

2. Předmět, povaha a účel zpracování

1. Předmětem zpracování je provoz služby pro správce — tedy uchovávání a zpřístupňování údajů, které správce a jeho lidé do služby vloží, a jejich zobrazování v přehledech. Je-li podle článku 10 hlavní smlouvy objednán hosting webové prezentace nebo e-shopu správce, je předmětem i provoz tohoto webu — tedy příjem a uchování údajů, které do něj zadají jeho návštěvníci a zákazníci, zejména objednávek, doručovacích adres a zpráv odeslaných z formulářů. Je-li podle článku 10 hlavní smlouvy objednána AI automatizace, je předmětem i zpracování údajů v této automatizaci — tedy čtení a zpracování dokladů, zpráv a dalších podkladů, které správce do automatizace pustí, a jejich předání dalšímu zpracovateli podle přílohy 3.
2. Povahou zpracování je zejména shromažďování, ukládání, uspořádání, nahlížení, oprava, výmaz a zálohování údajů, prováděné automatizovaně na serverech zpracovatele.
3. Účelem zpracování je výhradně poskytování služby podle hlavní smlouvy — evidence zásob a jejich pohybů, sestavování objednávek, řízení přístupu jednotlivých osob, vedení záznamu o činnosti v systému, vedení příjmů a výdajů firmy včetně evidence lidí na výplatní listině a vyplacených mezd, evidence a párování pohybů na bankovním účtu správce a příprava a odesílání pošty jménem správce; je-li objednán hosting webu nebo e-shopu správce, také provoz tohoto webu včetně příjmu objednávek a jejich zpřístupnění správci; je-li objednána AI automatizace, také zpracování údajů v ní (například přečtení faktury z e-mailu, příprava odpovědi nebo přehledu) a to jen v rozsahu, který správce do automatizace pustí.
4. Zpracovatel nesmí údaje zpracovávat k žádnému vlastnímu účelu, zejména je nesmí využívat pro vlastní analýzy, statistiky, srovnávání napříč zákazníky, marketing ani k trénování modelů strojového učení.
5. Je-li objednána AI automatizace, zpracovatel ji při sestavení nastaví tak, aby lidé, kteří komunikují přímo s umělou inteligencí, byli na začátku informováni, že komunikují s umělou inteligencí (čl. 50 odst. 1 nařízení (EU) 2024/1689). Správce toto sdělení neodstraňuje ani nepotlačuje.
6. Podrobný popis zpracování je v příloze 1.

3. Doba zpracování

Zpracovatel zpracovává osobní údaje po dobu trvání hlavní smlouvy a dále po dobu nutnou ke splnění povinností podle článku 13 této smlouvy. Tato smlouva zaniká současně s hlavní smlouvou; ustanovení o mlčenlivosti a o naložení s údaji po ukončení trvají i poté.

4. Kategorie subjektů údajů a osobních údajů

Vymezení je v příloze 1. Správce bere na vědomí, že rozsah údajů z části určuje sám tím, jaké účty zřídí a co jeho lidé do volných textových polí napíší.

5. Pokyny správce

1. Zpracovatel zpracovává osobní údaje pouze na doložené pokyny správce. Za doložený pokyn se považuje také uzavření hlavní smlouvy a této smlouvy, zadání rozsahu nastavení služby a pokyn zaslaný e-mailem z kontaktní adresy správce.
2. Zpracovatel neprodleně informuje správce, má-li za to, že pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů. Do vyjasnění může provedení takového pokynu odložit.
3. Ukládá-li zpracovateli zpracování právo Evropské unie nebo členského státu, informuje o tom správce před zpracováním, ledaže to dané právo zakazuje z důvodu veřejného zájmu.

6. Povinnosti zpracovatele

Zpracovatel se zavazuje:

• zpracovávat údaje jen v rozsahu a k účelu podle této smlouvy;
• zajistit, aby osoby oprávněné zpracovávat údaje byly zavázány mlčenlivostí (článek 7);
• přijmout a udržovat opatření podle článku 32 GDPR (článek 8 a příloha 2);
• zapojovat další zpracovatele jen za podmínek podle článku 9;
• být správci nápomocen při vyřizování žádostí subjektů údajů (článek 10);
• být správci nápomocen při plnění povinností podle článků 32 až 36 GDPR (článek 11);
• naložit s údaji po ukončení podle pokynu správce (článek 13);
• poskytnout správci informace potřebné k doložení plnění těchto povinností a umožnit audit (článek 14);
• vést záznamy o kategoriích činností zpracování podle článku 30 odst. 2 GDPR;
• neprodleně informovat správce, obdrží-li od orgánu veřejné moci žádost o zpřístupnění údajů správce, ledaže to právo zakazuje.

7. Mlčenlivost

1. Zpracovatel zaváže mlčenlivostí všechny osoby, které se k údajům dostanou, a to i po skončení jejich spolupráce se zpracovatelem.
2. Přístup k datům správce mají jen osoby, které ho potřebují k nastavení služby, podpoře nebo údržbě, a jen v nezbytném rozsahu.
3. Zpracovatel nezpřístupní údaje třetí osobě s výjimkou dalších zpracovatelů podle článku 9 a případů, kdy to ukládá právní předpis.

8. Zabezpečení zpracování

Zpracovatel přijal technická a organizační opatření uvedená v příloze 2. Opatření odpovídají povaze, rozsahu a účelu zpracování a rizikům pro práva subjektů údajů.

Zpracovatel může opatření měnit, pokud tím nesníží dosaženou úroveň zabezpečení. O podstatné změně informuje správce.

9. Další zpracovatelé

1. Správce uděluje zpracovateli obecné písemné povolení zapojit další zpracovatele. Aktuální seznam je v příloze 3 a v podobě, která se průběžně aktualizuje, na adrese seznam dalších zpracovatelů.
2. Zamýšlenou změnu nebo přidání dalšího zpracovatele oznámí zpracovatel správci e-mailem nejméně 30 dnů předem.
3. Správce může proti změně v této lhůtě vznést odůvodněnou námitku. Nepodaří-li se námitku vyřešit do 30 dnů, může správce hlavní smlouvu vypovědět s účinností ke dni, kdy má změna nabýt účinnosti; jiné sankce z toho nevznikají.
4. Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti, jaké má sám podle této smlouvy. Za plnění povinností dalšího zpracovatele odpovídá zpracovatel správci v plném rozsahu.

10. Součinnost při právech subjektů údajů

1. Obrátí-li se subjekt údajů se žádostí přímo na zpracovatele, zpracovatel ji sám nevyřídí — bez zbytečného odkladu, nejpozději do 5 pracovních dnů, ji předá správci a subjektu sdělí, že tak učinil.
2. Zpracovatel je správci nápomocen vhodnými technickými a organizačními opatřeními při vyřizování žádostí o přístup, opravu, výmaz, omezení zpracování, přenositelnost a při námitkách. Součinnost poskytne do 10 pracovních dnů od doručení pokynu správce, nedohodnou-li se strany jinak.
3. Součinnost v běžném rozsahu je bezplatná. Vyžaduje-li žádost mimořádnou práci nad rámec běžného provozu, dohodnou se strany na úhradě předem.

11. Součinnost podle článků 32 až 36 GDPR

Zpracovatel poskytne správci součinnost při zajišťování zabezpečení zpracování, při ohlašování a oznamování případů porušení a při posouzení vlivu na ochranu osobních údajů, a to s ohledem na povahu zpracování a informace, které má k dispozici. Zejména poskytne popis technických a organizačních opatření a informace o umístění a toku dat.

12. Porušení zabezpečení osobních údajů

1. Zjistí-li zpracovatel porušení zabezpečení osobních údajů správce, ohlásí je správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl. Ohlášení zasílá e-mailem na kontaktní adresu správce.
2. Ohlášení obsahuje, pokud je to v daném okamžiku známo: popis povahy porušení, přibližný počet dotčených subjektů a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontakt pro další informace. Chybějící informace doplní zpracovatel postupně, jakmile je zjistí.
3. Ohlášení dozorovému úřadu a oznámení subjektům údajů činí správce, ne zpracovatel. Zpracovatel mu k tomu poskytne veškerou potřebnou součinnost.
4. Zpracovatel vede vlastní evidenci případů porušení a na žádost ji správci zpřístupní v rozsahu, který se ho týká.

13. Naložení s údaji po ukončení

1. Po skončení poskytování služby zpracovatel podle volby správce údaje vrátí, nebo vymaže, včetně existujících kopií, ledaže mu jejich uchování ukládá právní předpis.
2. Volbu sdělí správce nejpozději do 30 dnů od skončení hlavní smlouvy. Nesdělí-li ji, zpracovatel údaje vymaže.
3. Vrácením se rozumí předání ve strojově čitelném formátu (CSV, případně jiný běžný formát) do 15 dnů od pokynu.
4. Výmaz z provozní databáze provede zpracovatel do 30 dnů od skončení hlavní smlouvy, nebo do 15 dnů od předání údajů podle odstavce 3, podle toho, co nastane později (stejně jako v článku 17 hlavní smlouvy); na výslovný pokyn správce k dřívějšímu výmazu provede výmaz do 30 dnů od pokynu.
5. Ze záloh údaje mizí postupně, jak se zálohy přepisují, nejpozději do 30 dnů po výmazu z provozní databáze. Po tuto dobu jsou zálohy nepřístupné pro běžný provoz a používají se výhradně k obnově po havárii.
6. Na žádost správce potvrdí zpracovatel provedení výmazu písemně.

14. Doložení a audit

1. Zpracovatel poskytne správci na jeho žádost informace potřebné k doložení plnění povinností podle článku 28 GDPR, zpravidla v písemné podobě (popis opatření, odpovědi na dotazník).
2. Nepostačí-li to, umožní zpracovatel audit nebo inspekci provedenou správcem nebo auditorem, kterého správce pověří a proti kterému zpracovatel nemá odůvodněnou námitku.
3. Audit lze provést nejvýše jednou za 12 měsíců, po oznámení nejméně 30 dnů předem, v pracovní době a tak, aby nenarušil provoz. Mimo tuto četnost jen tehdy, došlo-li k porušení zabezpečení nebo ukládá-li audit dozorový úřad.
4. Audit nesmí ohrozit údaje jiných zákazníků. Služba běží na sdílené infrastruktuře; zpracovatel proto zpřístupní jen prostředí a záznamy týkající se správce a může odepřít přístup jen tam, kde by hrozilo zpřístupnění údajů jiných zákazníků. Ochranu svého obchodního tajemství zajišťuje zpracovatel mlčenlivostí osob provádějících audit podle odstavce 6, nikoli odepřením přístupu.
5. Náklady auditu nese správce; náklady na vlastní součinnost do rozsahu jednoho pracovního dne ročně nese zpracovatel.
6. Osoby provádějící audit musí být vázány mlčenlivostí.

15. Předávání do třetích zemí

Zpracovatel zpracovává údaje na území Evropské unie a nepředává je do třetích zemí ani mezinárodním organizacím, s výjimkou dvou případů. První: poskytovatel odchozí e-mailové služby uvedený v příloze 3 (Google Ireland Limited, Google Workspace) může údaje obsažené v odesílané poště přenášet mimo Evropský hospodářský prostor, zejména do USA. Předání je zajištěno rozhodnutím Evropské komise o odpovídající ochraně v rámci EU–US Data Privacy Framework (prováděcí rozhodnutí Komise (EU) 2023/1795 ze dne 10. 7. 2023) a standardními smluvními doložkami (prováděcí rozhodnutí Komise (EU) 2021/914 ze dne 4. 6. 2021). Pokud by se rozsah předávání měl změnit, postupuje se jako u změny dalšího zpracovatele podle článku 9 a předání musí být zajištěno některým z nástrojů podle kapitoly V GDPR. Další výjimky jsou uvedeny v příloze 3.

Druhý případ je AI automatizace. Objednal-li ji správce, zpracovává údaje, které do ní pustí, poskytovatel modelu umělé inteligence uvedený v příloze 3 (Anthropic, PBC), a to zpravidla ve Spojených státech. Předání je zajištěno standardními smluvními doložkami (prováděcí rozhodnutí Komise (EU) 2021/914) obsaženými ve zpracovatelském dodatku poskytovatele a dalšími opatřeními podle kapitoly V GDPR. Správcům, kteří si AI automatizaci neobjednali, se nic takového nepředává.

Správce tímto uděluje doložený pokyn k předáním popsaným v tomto článku (článek 28 odst. 3 písm. a) GDPR); jiná předání zpracovatel neprovádí, ledaže mu je uloží právo Evropské unie nebo členského státu (článek 5 odst. 3).

16. Odpovědnost

Odpovědnost stran se řídí GDPR a právem České republiky. Na nároky z této smlouvy — včetně nároku na náhradu újmy způsobené porušením GDPR a nároku na náhradu správní pokuty uložené správci za porušení povinnosti, která podle této smlouvy tíží zpracovatele — se vztahuje omezení náhrady škody podle článku 16 hlavní smlouvy, avšak ve dvojnásobné výši.

Omezení se neuplatní tam, kde to právní předpis nedovoluje — zejména na újmu způsobenou úmyslně nebo z hrubé nedbalosti, na újmu na přirozených právech člověka a na odpovědnost zpracovatele vůči subjektům údajů podle článku 82 GDPR. Správní pokutu uloženou dozorovým úřadem přímo zpracovateli nese zpracovatel sám; tímto omezením dotčena není.

17. Závěrečná ustanovení

1. Tato smlouva se řídí právem České republiky. Uzavírá se stejným způsobem jako hlavní smlouva — podpisem objednávky, jejíž je nedílnou součástí; postačí potvrzení objednávky e-mailem z kontaktní adresy správce. Účinnosti nabývá dnem účinnosti hlavní smlouvy. Samostatný podpis této smlouvy se pro vyloučení pochybností pořizuje, není však podmínkou její účinnosti.
2. Změny vyžadují písemnou formu; za písemnou formu se považuje i e-mail z kontaktních adres stran, jde-li o změnu příloh.
3. Nedílnou součástí smlouvy jsou přílohy 1, 2 a 3.
4. Je-li některé ustanovení neplatné, zbytek smlouvy tím není dotčen.

Příloha 1 — Popis zpracování

Kategorie subjektů údajů

• Zaměstnanci a spolupracovníci správce, kterým správce zřídil přístup — majitel, vedoucí, obsluha, účetní a další role podle nastavení.
• Zaměstnanci a spolupracovníci správce vedení na výplatní listině — i ti, kteří do systému vůbec nechodí. Je-li zapnutý modul Finance, eviduje se u nich pracovní pozice, druh úvazku, mzda a data nástupu a ukončení.
• Protistrany plateb — fyzické osoby, které správci zaplatily nebo kterým správce zaplatil, pokud se jejich pohyb objeví v importovaném bankovním výpisu (jméno protistrany, číslo protiúčtu, zpráva pro příjemce).
• Adresáti a odesílatelé pošty — osoby, kterým správce ze systému píše, a osoby, jejichž zprávu správce do systému zaeviduje.
• Kontaktní osoby dodavatelů a obchodních partnerů správce, pokud správce jejich údaje do evidence vloží. Je-li partnerem podnikající fyzická osoba, jsou její identifikační i kontaktní údaje osobními údaji.
• Zákazníci a návštěvníci webu nebo e-shopu správce — jen je-li objednán jeho hosting. Jsou to osoby, které na webu správce odešlou objednávku nebo formulář; rozsah vyplňovaných polí určuje web správce.
• Další fyzické osoby, které správce nebo jeho lidé uvedou v poznámkách u zápisů, objednávek, dokladů a zpráv. Rozsah určuje výhradně správce.
• Osoby v podkladech AI automatizace — jen je-li objednána: osoby uvedené v dokladech, e-mailech a zprávách, které správce do automatizace pustí, včetně zákazníků správce.

Kategorie osobních údajů

Kromě poslední IP adresy spárovaného zařízení uvedené v tabulce výš se IP adresy objevují už jen v provozních záznamech webového serveru, které se uchovávají po dobu 14 dní a slouží jen k provozu a bezpečnosti.

Platební brána e-shopu, je-li u hostovaného e-shopu zapojena, je dalším zpracovatelem podle článku 9 a doplní se do přílohy 3 postupem podle téhož článku. Údaje o platebních kartách zpracovatel neuchovává.

Účel a doba uchování

• Účet a oprávnění — umožnit a omezit přístup. Po dobu, po kterou účet existuje; ruší se na pokyn správce.
• Autorství zápisů a záznam o činnosti — dohledatelnost pohybů zásob a změn v nastavení. Po dobu trvání hlavní smlouvy.
• Údaje o přihlášení — zabezpečení přístupu, ochrana proti hádání hesel. Relace zaniká odhlášením nebo nejpozději po 14 dnech nečinnosti.
• Mzdové a pracovněprávní údaje — vedení výplatní listiny a rozpad mzdových nákladů na jednotlivé lidi. Po dobu trvání hlavní smlouvy; výmaz konkrétní osoby provede zpracovatel na pokyn správce.
• Údaje z bankovních výpisů — párování plateb s doklady a přehled o pohybech na účtu správce. Po dobu trvání hlavní smlouvy.
• Obsah odeslané pošty — doložení, co a komu bylo jménem správce odesláno. Po dobu trvání hlavní smlouvy.
• AI automatizace (jen je-li objednána) — zpracování podkladů podle pokynu správce. Po dobu provozu automatizace, nejdéle po dobu trvání hlavní smlouvy; u poskytovatele modelu umělé inteligence podle přílohy 3.
• Údaje z webu nebo e-shopu správce — provoz webu a předání objednávek a zpráv správci. Po dobu, po kterou je hosting objednán; poté se s nimi naloží podle článku 13.

Zaměstnanci správce a záznam o jejich činnosti

Příloha 2 — Technická a organizační opatření

Následující opatření jsou skutečným stavem systému, ne seznamem záměrů.

Řízení přístupu

• Hesla a PINy se ukládají výhradně jako otisk vytvořený funkcí scrypt s náhodnou solí pro každý záznam. Počáteční heslo nebo PIN při založení účtu nastavuje správce systému na straně zpracovatele a předává je správci; zpracovatel je v čitelné podobě neukládá ani po předání neuchovává a z uloženého otisku je nelze zpětně získat. Změnu nebo reset hesla či PINu provede zpracovatel na žádost správce.
• Přihlašovací token se v databázi ukládá jen jako otisk SHA-256 a porovnává se způsobem odolným proti měření času odpovědi.
• Přihlašovací cookie je označena HttpOnly a SameSite=Lax; při provozu přes HTTPS se přidává příznak Secure.
• Relace zaniká odhlášením nebo po 14 dnech nečinnosti; relace tabletu je platná kratší dobu.
• Opakované chybné přihlášení účet dočasně zamkne; doba zámku se s dalšími pokusy prodlužuje.
• Tablet se do provozu zapojí jednorázovým párovacím kódem; ten po použití zaniká a dál se přihlašuje PINem nad spárovaným zařízením.
• Oprávnění se vyhodnocují na serveru podle role účtu, ne podle toho, co pošle prohlížeč. Rozsah provozů se odvozuje z účtu, nikdy z parametru požadavku.

Oddělení dat jednotlivých zákazníků

• Data všech zákazníků jsou v jedné databázi, oddělená pravidly row level security vynucenými databází, ne aplikací.
• Pravidla jsou zapnuta v režimu, který platí i pro vlastníka tabulek. Databázová role aplikace není správcovská a nemá oprávnění pravidla obcházet.
• Chybí-li v dotazu určení firmy, nevrátí databáze žádný řádek — chyba se projeví prázdným výsledkem, nikdy zpřístupněním cizích dat.
• Druhá vrstva pravidel omezuje přístup podle provozovny, takže barový tablet nevidí data jiné provozovny.
• Toto chování ověřuje automatický test, který se pouští před nasazením.

Přenos a uložení

• Provoz mezi prohlížečem a serverem je šifrovaný (HTTPS).
• Databáze není dostupná z internetu.
• Servery jsou umístěny v datovém centru v Evropské unii; fyzickou bezpečnost zajišťuje jeho provozovatel (příloha 3).
• Od zahájení provozu služby pro správce zpracovatel zálohuje databázi denně, ukládá zálohy šifrovaně mimo provozní server a uchovává je 30 dnů; slouží výhradně k obnově provozu po havárii. Jde o závazek zpracovatele od zahájení provozu, ne o popis stavu před tímto okamžikem.

Organizační opatření

• Přístup k datům správce má jen úzký okruh osob na straně zpracovatele, vázaných mlčenlivostí, a jen v rozsahu nutném pro nastavení, podporu a údržbu.
• Změny v nastavení prováděné zpracovatelem se zaznamenávají.
• Zpracovatel vede záznamy o kategoriích činností zpracování podle článku 30 odst. 2 GDPR. Záznam je veden písemně, udržuje se aktuální a zpracovatel jej správci nebo dozorovému úřadu poskytne na vyžádání.

Co zavedeno není

Aby byl výčet poctivý: dvoufázové ověření přihlášení a šifrování jednotlivých položek uvnitř databáze zavedeny nejsou. Data jsou chráněna řízením přístupu a oddělením na úrovni databáze, nikoli šifrováním obsahu jednotlivých sloupců. O zavedení dalších opatření bude zpracovatel správce informovat.

Příloha 3 — Další zpracovatelé

Aktuální seznam včetně data poslední změny je na adrese seznam dalších zpracovatelů. Ke dni účinnosti této smlouvy jsou zapojeni:

Cloudflare, Inc. (USA) obstarává překlad doménových jmen v režimu pouze DNS — provoz jde napřímo na server, Cloudflare obsah nevidí a není zpracovatelem osobních údajů.

Anthropic, PBC: podle zpracovatelského dodatku poskytovatele se data zpracovávají pro poskytnutí služby a po skončení smlouvy s poskytovatelem se do 30 dnů vymažou; data z API poskytovatel nepoužívá k trénování svých modelů. Změny jeho dalších zpracovatelů sledujeme a oznámíme je správci bez zbytečného odkladu.

Podpisy

Strany prohlašují, že si smlouvu přečetly, že vyjadřuje jejich pravou vůli, a na důkaz toho připojují podpisy.