Zpracovatelská smlouva

Účinné od 9. 11. 2026 · Vytisknout nebo uložit jako PDF

Smlouva o zpracování osobních údajů podle čl. 28 nařízení (EU) 2016/679 (GDPR).

1. Účel smlouvy

1. Data klientů Správce jsou uložena v účtech, které Správce vlastní. Zpracovatel je zpracovává jen tehdy a jen v rozsahu, v jakém je to potřeba k nasazení systému, převodu klientů, aktualizaci, opravě chyby nebo podpoře na žádost Správce.
2. Předmět, povaha a účel zpracování, typ údajů a kategorie subjektů jsou uvedeny v příloze 1.
3. Smlouva trvá po dobu, kdy Zpracovatel poskytuje Správci služby nebo má uložený přístup k jeho účtům.

2. Přístup k účtům Správce

1. Pro nasazení a pozdější aktualizace uchovává Zpracovatel přístup k účtům Správce a technické přístupové údaje aplikace. Jsou uloženy zašifrovaně.
2. Zpracovatel tento přístup používá jen k nasazení, aktualizaci, opravě a kontrole provozu. Do záznamů klientů nenahlíží, pokud o to Správce nepožádá nebo pokud to není nezbytné k odstranění konkrétní chyby.
3. Hlášení „Něco nefunguje“ z administrace předává Zpracovateli stav aplikace, počty a nastavení, nikoli osobní údaje klientů.
4. Správce může přístup Zpracovatele kdykoli odvolat. Od té chvíle Zpracovatel nemůže provádět aktualizace ani opravy.

3. Povinnosti Zpracovatele

1. Zpracovává osobní údaje pouze na základě doložených pokynů Správce. Pokyny jsou tato smlouva, objednávka a požadavky Správce zaslané e-mailem. Pokud by pokyn podle názoru Zpracovatele porušoval právní předpisy, Správce na to bez odkladu upozorní.
2. Zajistí, aby osoby oprávněné ke zpracování byly vázány mlčenlivostí.
3. Přijímá technická a organizační opatření podle čl. 32 GDPR uvedená v příloze 2.
4. Napomáhá Správci při vyřizování žádostí subjektů údajů, zejména o přístup, opravu a výmaz. Žádost, kterou dostane přímo, bez odkladu předá Správci.
5. Napomáhá Správci s plněním povinností podle čl. 32 až 36 GDPR s ohledem na povahu zpracování a informace, které má k dispozici.
6. Soubory s údaji klientů předané k převodu smaže nejpozději do 7 dnů po dokončení převodu.
7. Poskytne informace potřebné k doložení plnění této smlouvy a umožní audit prováděný Správcem nebo jím pověřeným auditorem, po předchozím oznámení v přiměřené lhůtě.

4. Porušení zabezpečení

Zjistí-li Zpracovatel porušení zabezpečení osobních údajů, oznámí to Správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění. Uvede, co se stalo, kterých údajů se to týká a jaká opatření přijal.

5. Další zpracovatelé

1. Poskytovatelé, u kterých má Správce vlastní účet, jsou zpracovateli přímo Správce na základě jeho smluv s nimi. Nejsou dalšími zpracovateli Zpracovatele.
2. Správce uděluje obecné povolení k zapojení dalších zpracovatelů podle přílohy 3. Zamýšlené změny oznámí Zpracovatel Správci nejméně 14 dnů předem a Správce proti nim může vznést námitku.
3. Další zpracovatele Zpracovatel smluvně zaváže ke stejným povinnostem na ochranu údajů a odpovídá za jejich plnění.
4. Předání osobních údajů mimo EHP je možné jen na základě rozhodnutí Evropské komise o odpovídající ochraně nebo jiných vhodných záruk podle kapitoly V GDPR.

6. Povinnosti Správce

1. Správce určuje účel a prostředky zpracování a odpovídá za právní základ, za informování klientů a za správnost údajů.
2. Do poznámek v systému zapisuje údaje o zdravotním stavu jen tehdy, když k tomu má právní důvod podle čl. 9 GDPR.

7. Ukončení

1. Po skončení spolupráce zůstávají data klientů v účtech Správce a Správce s nimi nadále disponuje.
2. Zpracovatel nejpozději do 30 dnů od ukončení nebo od žádosti Správce smaže uložené přístupy k účtům Správce a všechny kopie osobních údajů klientů, které má, pokud mu právní předpis neukládá jejich uchování.
3. Odpovědnost stran za škodu se řídí čl. 82 GDPR.

Příloha 1: Rozsah zpracování

Příloha 2: Technická a organizační opatření

• Přenos dat v aplikaci a mezi službami je šifrovaný (HTTPS).
• Přístupy k účtům Správce jsou uložené šifrované algoritmem AES-GCM. Klíč je oddělený od databáze.
• Hesla klientských účtů se ukládají jen v hashované podobě.
• Každý salon má vlastní oddělenou instalaci a databázi.
• Přístup k přístupovým údajům mají jen oprávněné osoby Zpracovatele, chráněný heslem.
• Export všech dat je Správci kdykoli k dispozici v administraci.

Příloha 3: Další zpracovatelé Zpracovatele

Přesnou identifikaci poskytovatelů sdělíme Správci na vyžádání.

Podpis (nepovinné)

Správce: název salonu, IČO, sídlo

Datum: doplnit