Smlouva o zpracování osobních údajů

Smluvní strany

1. Předmět smlouvy

Tato Smlouva upravuje práva a povinnosti Smluvních stran při zpracování osobních údajů Zpracovatelem jménem Správce v rámci poskytování služeb platformy Zettl.

Zpracovatel zpracovává osobní údaje výhradně na základě doložených pokynů Správce, a to i s ohledem na předávání údajů do třetích zemí (čl. 6).

2. Předmět a doba zpracování

• Předmět zpracování: poskytování SaaS služeb fakturace, správy účtenek, bankovní synchronizace, rozpočtování, AI zpracování dokladů, správy klientů a týmového přístupu.
• Doba zpracování: po dobu trvání smlouvy o poskytování Služby a dále po dobu uchování dat podle čl. 10 Obchodních podmínek (12 měsíců v režimu pouze pro čtení po skončení předplatného; po smazání účtu nejvýše 30 dnů, ze záloh do dalších 30 dnů). Soubory, které již nejsou přiřazeny k žádnému záznamu, Zpracovatel odstraní do 30 dnů na žádost Správce zaslanou na info@idex-corp.com.
• Povaha zpracování: automatizované i manuální zpracování, ukládání, šifrování, zálohování, mazání.

3. Kategorie subjektů údajů a osobních údajů

3.1 Kategorie subjektů údajů

• Uživatelé Platformy (zaměstnanci, OSVČ, členové organizace Správce)
• Klienti Správce (kontaktní osoby firem vedených v databázi klientů)

3.2 Kategorie osobních údajů

• Identifikační údaje (jméno, e-mail, název firmy, IČO, DIČ)
• Kontaktní údaje (adresa, telefon)
• Finanční údaje (transakce, faktury, účtenky, rozpočty)
• Technické údaje (IP adresy, user agent)
• Přístupové údaje k externím službám (šifrované tokeny)

4. Povinnosti zpracovatele

Zpracovatel se zavazuje:

• Zpracovávat osobní údaje pouze na základě doložených pokynů Správce
• Zajistit, aby osoby oprávněné zpracovávat osobní údaje byly vázány povinností mlčenlivosti
• Přijmout veškerá technická a organizační opatření dle čl. 32 GDPR:
  • šifrování AES-GCM na úrovni polí (PBKDF2 derivace klíčů)
  • HTTPS/TLS pro přenos
  • PostgreSQL Row Level Security
  • CAPTCHA na přihlášení a omezení počtu požadavků (rate limiting)
  • denní šifrované zálohy uchovávané 30 dní
  • kompletní auditní záznamy
• Nezapojit dalšího zpracovatele bez předchozího písemného souhlasu Správce (obecný souhlas je udělen pro sub-zpracovatele uvedené v čl. 5)
• Pomáhat Správci při plnění jeho povinností vůči subjektům údajů (práva dle čl. 15–22 GDPR)
• Po ukončení zpracování smazat osobní údaje v databázi a soubory dokladů a log, které Služba u Správce eviduje, nebo je vrátit Správci (dle volby Správce); soubory, které již nejsou přiřazeny k žádnému záznamu (například u dříve smazaných dokladů), odstranit do 30 dnů na žádost Správce zaslanou na info@idex-corp.com
• Poskytnout Správci veškeré informace potřebné k doložení souladu s čl. 28 GDPR a umožnit audit

5. Sub-zpracovatelé

Správce uděluje obecný souhlas se zapojením následujících sub-zpracovatelů:

O zamýšlené změně sub-zpracovatelů bude Správce informován e-mailem nejméně 14 dní předem. Správce může proti změně vznést námitku do 14 dnů od oznámení.

6. Předávání údajů mimo EU

Databáze a nahrané soubory jsou uloženy v EU (Irsko), chybová hlášení v EU (Německo). U sub-zpracovatelů označených „EU/USA“ nebo „USA“ v čl. 5, a u sub-zpracovatelů se sídlem v USA i tehdy, když jsou data uložena v EU, však může docházet k předávání osobních údajů do třetích zemí mimo Evropský hospodářský prostor. Správce Zpracovateli k tomuto předávání uděluje pokyn.

Zpracovatel předávání zajišťuje na základě rozhodnutí Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework) u certifikovaných příjemců, jinak na základě standardních smluvních doložek (čl. 46 GDPR).

7. Oznámení o porušení zabezpečení

Zpracovatel oznámí Správci jakékoli porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění.

Oznámení bude obsahovat:

• Popis povahy porušení
• Kategorie a přibližný počet dotčených subjektů
• Pravděpodobné důsledky a přijatá opatření

8. Audit

Zpracovatel poskytne Správci na vyžádání veškeré informace potřebné k prokázání souladu s povinnostmi dle čl. 28 GDPR.

Správce nebo jím pověřený auditor je oprávněn provést audit za předpokladu, že o něm informuje Zpracovatele nejméně 30 dní předem a audit nebude nepřiměřeně narušovat provoz Zpracovatele.

9. Doba trvání a ukončení

Tato Smlouva je účinná po dobu, po kterou Zpracovatel pro Správce zpracovává osobní údaje, tj. po dobu trvání smlouvy o poskytování Služby a uchování dat podle čl. 10 Obchodních podmínek.

Po skončení zpracování Zpracovatel osobní údaje smaže ve lhůtách podle čl. 10 Obchodních podmínek, ledaže právní předpisy vyžadují delší uchování. Správce si je předtím může kdykoli exportovat.

10. Rozhodné právo

Tato Smlouva se řídí právním řádem České republiky a GDPR. Spory budou řešeny příslušnými soudy v Praze.

11. Závěrečná ustanovení

Tato Smlouva je nedílnou součástí Obchodních podmínek služby Zettl.

V případě rozporu mezi touto Smlouvou a Obchodními podmínkami má v otázkách ochrany osobních údajů přednost tato Smlouva. Toto znění se na smlouvy uzavřené po jeho zveřejnění dne 23. října 2026 vztahuje ode dne jejich uzavření, na dříve uzavřené smlouvy ode dne 15. listopadu 2026; do té doby se na ně vztahuje Smlouva o zpracování osobních údajů účinná od 21. března 2026.