Smlouva o zpracování osobních údajů – Podnikej

Verze: 2026-10-29

Smluvní strany

Správce: uživatel služby, který smlouvu uzavřel souhlasem v okně Synchronizace. Identifikuje ho e-mail přihlášeného účtu. Prohlašuje, že jedná jako podnikatel a osobní údaje vkládá do služby pro svou podnikatelskou činnost.

Zpracovatel: Tomáš Záhorovský, IČO 87467283, Havlíčkova 614/37, 767 01 Kroměříž, fyzická osoba podnikající podle živnostenského zákona; e-mail: podpora@tozahapps.cz

uzavírají podle čl. 28 nařízení (EU) 2016/679 (GDPR) tuto smlouvu. Smlouva vzniká, když správce při zapnutí synchronizace ve službě potvrdí souhlas s jejím zněním. Zpracovatel uloží verzi smlouvy a čas souhlasu v účtu správce.

1. Předmět a doba

1. Zpracovatel poskytuje správci aplikaci Podnikej včetně volitelné synchronizace dat mezi zařízeními (dále „služba“). Při jejím poskytování zpracovává osobní údaje, které do služby vloží správce.

2. Smlouva platí po dobu, po kterou správce službu používá (jsou jeho údaje uložené na serveru). Končí smazáním účtu nebo dřívějším ukončením služby. Povinnosti, jejichž povaha to vyžaduje (mlčenlivost, smazání údajů), trvají i po skončení.

2. Povaha, účel, údaje a subjekty

Povaha a účel zpracování, druhy údajů a kategorie subjektů jsou v příloze 1.

3. Pokyny správce

1. Zpracovatel zpracovává údaje jen na základě zdokumentovaných pokynů správce. Pokyny jsou tato smlouva a úkony správce ve službě (zapnutí a vypnutí synchronizace, vložení, změna a smazání záznamů, smazání účtu).

2. Zpracovatel nepoužívá údaje k vlastním účelům a neposkytuje je třetím osobám mimo další zpracovatele podle oddílu 7 a mimo zákonnou povinnost.

3. Pokud zpracovatel zjistí, že pokyn porušuje GDPR nebo jiný předpis o ochraně údajů, bez zbytečného odkladu to správci oznámí.

4. Pokud zpracovateli ukládá zpracování právo EU nebo členského státu, oznámí to správci před zpracováním, pokud to zákon nezakazuje.

4. Mlčenlivost

Zpracovatel zajistí, že osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí nebo se na ně vztahuje zákonná povinnost mlčenlivosti. Přístup k údajům má kromě dalších zpracovatelů podle oddílu 7 jen zpracovatel osobně. Nahlíží do nich jen v nezbytných případech: při řešení závady, kterou správce nahlásil, nebo při plnění zákonné povinnosti.

5. Zabezpečení

Zpracovatel přijme a udržuje technická a organizační opatření podle čl. 32 GDPR. Jejich minimum je v příloze 2.

6. Pomoc správci

Zpracovatel s přihlédnutím k povaze zpracování a k dostupným informacím pomáhá správci:

1. Práva subjektů údajů. Správce má ve službě nástroje pro přístup, opravu, smazání a export dat. Pokud subjekt údajů požádá o výkon práva přímo zpracovatele, zpracovatel žádost bez zbytečného odkladu předá správci a sám ji nevyřizuje, pokud ho správce nepožádá.

2. Porušení zabezpečení. Zpracovatel oznámí správci porušení zabezpečení údajů bez zbytečného odkladu poté, co se o něm dozví, nejpozději do 48 hodin. Oznámení obsahuje dostupné informace: povahu porušení, dotčené údaje, pravděpodobné důsledky a přijatá opatření.

3. Posouzení vlivu a konzultace s úřadem (čl. 35 a 36 GDPR) poskytnutím informací o zpracování.

7. Další zpracovatelé

1. Správce souhlasí s dalšími zpracovateli uvedenými v příloze 3 a uděluje obecné povolení k dalším za podmínek odstavce 3.

2. Povinnosti dalších zpracovatelů určují jejich smlouvy o zpracování uvedené v příloze 3, které zajišťují srovnatelnou ochranu údajů. Za plnění jejich povinností odpovídá zpracovatel správci.

3. O záměru přidat nebo vyměnit dalšího zpracovatele informuje zpracovatel správce e-mailem nejméně 30 dnů předem. Správce může ve lhůtě 30 dnů vznést odůvodněnou námitku. Pokud se strany nedohodnou, může správce službu ukončit smazáním účtu bez sankce.

8. Předání do třetích zemí

Data služby jsou uložena v regionu EU (Frankfurt). Pokud další zpracovatel z přílohy 3 zpracovává údaje mimo EU, opírá se předání o standardní smluvní doložky Komise nebo jiný nástroj podle kapitoly V GDPR (viz příloha 3). Zpracovatel nepředává údaje do třetích zemí jinak.

9. Smazání po skončení a kontrola

1. Po skončení služby zpracovatel podle volby správce údaje vrátí (export) nebo smaže (účet, záznamy i soubory) a existující kopie smaže, pokud právo EU nebo členského státu nevyžaduje uložení. Pokud správce nevolí jinak, údaje se smažou. Smazání účtu provádí správce ve službě (Firma → Synchronizace → Smazat účet a data na serveru), případně na žádost zpracovatel. Údaje mohou přetrvat v denních zálohách poskytovatele nejvýše 7 dní, pak se přepíší. Data ve vlastním zařízení správce zůstávají správci.

2. Zpracovatel vrácení umožní tím, že správce si celá data stáhne zálohou ve službě (Firma → Zálohovat). Žádost o vrácení musí správce uplatnit před smazáním, protože smazání je výchozí.

3. Zpracovatel poskytne správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audity včetně inspekcí, které provede správce nebo jím pověřený auditor. Audit musí být oznámen nejméně 14 dnů předem, nesmí nepřiměřeně narušit provoz a auditor musí být vázán mlčenlivostí. Náklady auditu nese správce. Zpracovatel může nejprve doložit plnění dostupnými zprávami nebo certifikacemi svých poskytovatelů. Pokud pro správce nestačí, zůstává jeho právo na audit zachováno.

10. Odpovědnost správce

Správce odpovídá za to, že má pro údaje právní základ, že subjekty údajů informoval a že do služby vkládá jen údaje, které je oprávněn zpracovávat. Do služby nevkládá zvláštní kategorie údajů (čl. 9 GDPR) ani údaje o odsouzeních a trestných činech.

11. Závěrečná ustanovení

1. Smlouva se řídí právem České republiky.

2. Při rozporu mezi touto smlouvou a obchodními nebo jinými podmínkami služby má přednost tato smlouva v oblasti ochrany osobních údajů.

3. Změny jsou možné písemně včetně e-mailu. Přílohu 3 mění zpracovatel postupem podle oddílu 7. Přílohu 2 může zpracovatel změnit e-mailovým oznámením, jen pokud změna ochranu údajů nesníží. Ostatní změny příloh vyžadují dohodu stran.

---

Příloha 1: Popis zpracování

Příloha 2: Technická a organizační opatření

• šifrovaný přenos (HTTPS) mezi aplikací a serverem,
• šifrování dat při uložení u poskytovatele databáze,
• oddělení dat uživatelů: každý uživatel vidí jen své řádky (zásady přístupu na úrovni řádků v databázi), soubory jsou v oddělených složkách účtu,
• přihlášení bez hesla (jednorázový kód nebo odkaz v e-mailu),
• administrátorský klíč databáze se v aplikaci nenachází,
• přístup k datům má jen zpracovatel (a další zpracovatelé podle přílohy 3); účty poskytovatelů jsou chráněny silným heslem a dvoufázovým ověřením,
• denní zálohy databáze s uchováním nejvýše 7 dní; soubory se do záloh databáze neukládají,
• provozní záznamy (IP adresa, čas) vedou poskytovatelé; u databáze 7 dní,
• možnost PIN zámku aplikace v zařízení správce (chrání jen zařízení, ne data na serveru),
• data nejsou šifrována end-to-end, zpracovatel je technicky může přečíst; přístup viz oddíl 4.

Příloha 3: Další zpracovatelé

Aktuální seznam Supabase: https://supabase.com/legal/customer-resources/subprocessor-list

Netlify (hosting aplikace) a jsDelivr, cdnjs (Cloudflare) (doručení knihoven) neobdrží údaje služby. Při načtení stránky vidí jen IP adresu a čas požadavku zařízení. Tyto provozní záznamy vedou jako samostatní správci a nejsou předmětem této smlouvy.