Zpracování osobních údajů (DPA)

1. Smluvní strany

Správce — uživatel Služby FakturačníProgram.cz, který do aplikace vkládá osobní údaje třetích osob (zejména údaje svých odběratelů, kontaktů a zaměstnanců).

Zpracovatel — Space Floral Tech s.r.o., IČO 24938343, Korunní 2569/108, 101 00 Praha 10, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze pod spis. zn. C 445521.

2. Předmět a doba zpracování

2.1. Zpracovatel pro Správce zpracovává osobní údaje výhradně za účelem poskytování Služby dle obchodních podmínek FakturačníProgram.cz.

2.2. Zpracování trvá po dobu trvání hlavní smlouvy (předplatného Služby), prodlouženo o zákonné archivační lhůty u daňových dokladů (10 let dle § 35 zákona č. 235/2004 Sb., o DPH).

3. Povaha a účel zpracování

Zpracovatel jménem Správce provádí zejména tyto operace:

• Uložení a hosting fakturačních a kontaktních dat;
• Generování dokumentů (faktury, dobropisy, hlášení DPH);
• Odesílání transakčních e-mailů odběratelům Správce;
• Vytěžování dat z dokladů pomocí AI (pouze na výslovný pokyn Správce);
• Auto-párování bankovních transakcí (pokud Správce nahraje FIO token);
• Zpracování online plateb přes Stripe Connect;
• Pořizování záloh a obnova dat.

4. Druh osobních údajů a kategorie subjektů

4.1. Druh údajů: identifikační údaje (jméno, IČO, DIČ, adresa), kontaktní údaje (e-mail, telefon), platební údaje (číslo bankovního účtu, variabilní symbol, částka), obsah faktur a dokladů, případně další údaje, které Správce do aplikace vloží.

4.2. Kategorie subjektů údajů: odběratelé Správce, zaměstnanci Správce s přístupem do aplikace, kontakty z adresáře Správce, autoři dokladů zpracovaných AI vytěžováním.

Zpracovatel nezpracovává zvláštní kategorie osobních údajů dle čl. 9 GDPR (citlivé údaje).

5. Povinnosti Zpracovatele

Zpracovatel se zavazuje:

• Zpracovávat osobní údaje výhradně na základě doložených pokynů Správce (těmito pokyny se rozumí samotné užívání aplikace);
• Zajistit, aby osoby oprávněné zpracovávat osobní údaje byly vázány mlčenlivostí;
• Přijmout odpovídající technická a organizační opatření dle čl. 32 GDPR (šifrování, izolace tenantů, audit log, zálohy, MFA pro provozní přístup);
• Zapojit další zpracovatele (subzpracovatele) pouze v rozsahu čl. 7 této smlouvy;
• Být Správci nápomocen při plnění jeho povinností vůči subjektům údajů a dozorovému úřadu;
• Po skončení smlouvy data buď vrátit, nebo smazat (volba Správce), s výjimkou údajů, jejichž uchování ukládá zákon;
• Poskytnout Správci veškeré informace nutné k prokázání plnění povinností a umožnit audity.

6. Práva a povinnosti Správce

Správce odpovídá zejména za:

• Zákonnost zpracování a existenci právního základu pro vložení dat do aplikace;
• Plnění informační povinnosti vůči subjektům údajů;
• Vyřizování žádostí subjektů údajů (Zpracovatel poskytuje technické nástroje pro export, opravu a výmaz);
• Kontrolu, kdo z jeho zaměstnanců má přístup do aplikace a v jaké roli.

7. Subzpracovatelé

Správce dává obecné svolení k zapojení dalších zpracovatelů uvedených níže. Zpracovatel je oprávněn tento seznam měnit — o zamýšlené změně bude Správce informován s předstihem nejméně 30 dnů a může vznést námitku. Pokud námitka znemožní poskytování Služby, je obě strany oprávněny smlouvu vypovědět.

Se všemi subzpracovateli má Zpracovatel uzavřenou smlouvu o zpracování osobních údajů s povinnostmi minimálně na úrovni této smlouvy.

8. Pomoc při výkonu práv subjektů údajů

Zpracovatel poskytuje Správci v aplikaci nástroje pro:

• Vyhledání všech údajů konkrétního subjektu;
• Export dat ve strukturovaných formátech (JSON, CSV, XML, PDF);
• Opravu nebo doplnění údajů;
• Výmaz údajů (s respektováním zákonných archivačních lhůt);
• Omezení dalšího zpracování konkrétního záznamu.

Pokud bude subjekt údajů kontaktovat přímo Zpracovatele, předáme jeho žádost Správci bez zbytečného odkladu.

9. Hlášení porušení zabezpečení

V případě porušení zabezpečení osobních údajů Zpracovatel informuje Správce bez zbytečného odkladu, nejpozději do 72 hodin od chvíle, kdy se o porušení dozvěděl. Oznámení bude obsahovat popis povahy incidentu, kategorie a přibližný počet dotčených subjektů, předpokládané důsledky a navržená opatření.

10. Audit a kontrola

Správce má právo provést audit u Zpracovatele za účelem prokázání plnění této smlouvy, a to maximálně jednou ročně s předstihem alespoň 30 dnů a v pracovní době Zpracovatele. Audit nesmí narušovat provoz Služby ani porušovat povinnost mlčenlivosti vůči ostatním zákazníkům. Náklady auditu hradí Správce.

Standardně se Správci prokazujeme aktualizovanou dokumentací bezpečnostních opatření, jejíž shrnutí najdete na stránce Bezpečnost.

11. Vrácení nebo smazání dat po skončení

Po skončení hlavní smlouvy Zpracovatel:

• Po dobu 30 dnů umožní Správci export všech jeho dat;
• Následně data anonymizuje nebo bezpečně smaže;
• Daňové doklady zachová v souladu s § 35 zákona o DPH po dobu 10 let — Správce má k nim po tuto dobu přístup pro účely kontroly či reklamace;
• Smazání ze záloh proběhne v rámci běžné rotace záloh, nejpozději do 60 dnů.

12. Odměna

Plnění závazků z této smlouvy je zahrnuto v ceně placeného Tarifu. Pouze rozsáhlé ad-hoc audity nebo nestandardní žádosti o spolupráci mohou být zpoplatněny dle ceníku Zpracovatele, po předchozím schválení Správcem.

13. Závěrečná ustanovení

Tato smlouva tvoří přílohu obchodních podmínek a vstupuje v účinnost společně s nimi. Řídí se právním řádem České republiky a nařízením (EU) 2016/679 (GDPR). V případě rozporu mezi obchodními podmínkami a touto smlouvou má přednost tato smlouva v otázkách zpracování osobních údajů.