Smlouva o zpracování osobních údajů.

Tato smlouva (dále jen „Smlouva") je nedílnou součástí Všeobecných obchodních podmínek platformy MATODOM a uzavírá se podle čl. 28 odst. 3 Nařízení (EU) 2016/679 (GDPR) a § 34 slovenského zákona č. 18/2018 Z. z. mezi Zákazníkem jako správcem osobních údajů (dále jen „Správce") a společností Syki Group s. r. o., Veľkomoravská 2162/16B, 911 05 Trenčín, Slovensko, IČO: 57146870, zapsanou v OR OS Trenčín, oddíl Sro, vložka č. 56317/R, jako zpracovatelem (dále jen „Zpracovatel"). Zákazník ji přijímá objednávkou platformy MATODOM. Na požádání ji Zpracovatel vyhotoví i v listinné podepsané podobě s identifikací obou stran.

1. Předmět a účel

1.1 Zpracovatel poskytuje Správci platformu MATODOM (dále jen „Platforma") na přidělené subdoméně pro evidenci zákazníků, zařízení, zakázek, protokolů, fakturaci a související komunikaci. Přitom nezbytně zpracovává osobní údaje, které do Platformy vkládá Správce a jeho uživatelé.

1.2 Správce pověřuje Zpracovatele zpracováním osobních údajů v rozsahu a pro účely uvedené v Příloze č. 1. Zpracovatel zpracovává osobní údaje výhradně za účelem řádného poskytování Platformy Správci, nikoli pro vlastní účely.

2. Pokyny Správce

2.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce. Za pokyny se považují tato Smlouva, Všeobecné obchodní podmínky a nastavení, která Správce nebo jeho uživatelé provedou v Platformě (např. aktivace modulů, automatizace, odesílání e-mailů a SMS zákazníkům).

2.2 Pokud Zpracovatel považuje pokyn za rozporný s právními předpisy, neprodleně na to Správce upozorní a do vyjasnění může jeho provedení pozastavit.

2.3 Za zákonnost získání osobních údajů, právní základ zpracování a informování subjektů údajů (zejména vlastních zákazníků) odpovídá Správce.

3. Mlčenlivost a důvěrné informace

3.1 Zpracovatel zachovává mlčenlivost o všech osobních údajích, ke kterým má přístup, a zajistí, že všechny osoby pověřené zpracováním jsou zavázány mlčenlivostí a poučeny o povinnostech při ochraně osobních údajů.

3.2 Mlčenlivost se rovněž vztahuje na obchodní a provozní informace Správce, se kterými se Zpracovatel seznámí při poskytování Platformy – zejména údaje o zákaznících, zakázkách, cenách, maržích, dodavatelích a fakturaci. Zpracovatel je nepoužije k jinému účelu než k poskytování Platformy a nezpřístupní je třetí osobě bez písemného souhlasu Správce, s výjimkou dalších zpracovatelů podle čl. 5 v nezbytném rozsahu.

3.3 Zpracovatel údaje Správce, ani agregované nebo anonymizované, neprodává, nepronajímá ani jinak komerčně nevyužívá. Při vývoji Platformy používá výhradně vlastní testovací data.

3.4 Mlčenlivost trvá i po skončení Smlouvy bez časového omezení. Nevztahuje se na veřejně dostupné informace a na případy, kdy zpřístupnění vyžaduje zákon nebo orgán veřejné moci; o takovém zpřístupnění Zpracovatel Správce informuje, pokud to zákon nezakazuje.

4. Zabezpečení zpracování

4.1 Zpracovatel přijal a udržuje přiměřená technická a organizační opatření podle čl. 32 GDPR; jejich popis tvoří Přílohu č. 3.

4.2 Údaje Správce jsou uloženy v samostatné, logicky oddělené databázi určené výhradně pro Správce. Žádný jiný zákazník Zpracovatele k ní nemá přístup.

4.3 Platforma je provozována na serverech Hetzner Online GmbH v datových centrech na území Spolkové republiky Německo. Osobní údaje se zpracovávají výhradně na území EU/EHP.

4.4 Přístup personálu Zpracovatele k údajům Správce je omezen na osoby, které jej potřebují pro technickou podporu, údržbu, migraci dat nebo řešení incidentu, a pouze v nezbytném rozsahu.

4.5 Zpracovatel může opatření průběžně aktualizovat; změny nesmí snížit celkovou úroveň zabezpečení.

5. Další zpracovatelé

5.1 Správce uděluje obecný souhlas se zapojením dalších zpracovatelů uvedených v Příloze č. 2.

5.2 O přidání nebo nahrazení dalšího zpracovatele Zpracovatel informuje e-mailem nejméně 14 dnů předem. Správce může v této lhůtě vznést odůvodněné námitky; pokud se strany nedohodnou, může smlouvu o poskytování Platformy vypovědět bez sankce.

5.3 Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti ochrany osobních údajů, jaké vyplývají z této Smlouvy, a odpovídá za jejich plnění jako za vlastní.

6. Součinnost

6.1 Práva subjektů údajů. Zpracovatel poskytne součinnost při vyřizování žádostí subjektů údajů (přístup, oprava, výmaz, omezení, přenositelnost, námitka). Většinu úkonů může Správce provést v Platformě sám. Žádost doručenou přímo Zpracovateli postoupí Správci do 3 pracovních dnů a sám ji nevyřizuje.

6.2 Porušení zabezpečení osobních údajů. Zpracovatel ohlásí Správci každé porušení zabezpečení osobních údajů týkající se jeho údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, na kontaktní e-mail Správce. Ohlášení obsahuje povahu porušení, pravděpodobné kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky a přijatá nebo navrhovaná opatření; informace lze poskytovat postupně.

6.3 Posouzení vlivu a konzultace. Zpracovatel poskytne informace potřebné pro posouzení vlivu (čl. 35 GDPR) a předchozí konzultaci (čl. 36 GDPR), pokud se týkají zpracování v Platformě.

6.4 Doložení souladu a audit. Zpracovatel poskytne informace potřebné k doložení plnění čl. 28 GDPR. Správce může nejvýše jednou za 12 měsíců, nebo při důvodném podezření na porušení Smlouvy, provést audit formou písemných dotazů a přezkoumání dokumentace; audit na místě se provede pouze tehdy, pokud písemná forma nepostačuje, po oznámení nejméně 15 pracovních dnů předem, v pracovní době, na náklady Správce a bez dotčení údajů jiných zákazníků.

7. Předávání do třetích zemí

Zpracovatel nepředává osobní údaje Správce mimo EU/EHP. Předání je přípustné pouze na písemný pokyn Správce při splnění podmínek kapitoly V GDPR (rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky).

8. Trvání, vrácení a výmaz údajů

8.1 Smlouva trvá po dobu trvání smlouvy o poskytování Platformy a zaniká s ní. Mlčenlivost a povinnost výmazu trvají i po zániku.

8.2 Po zániku Zpracovatel na žádost doručenou do 30 dnů poskytne export údajů ve strojově čitelném formátu (CSV nebo XML) a vystavených dokladů v PDF.

8.3 Po uplynutí 30 dnů od zániku, případně po předání exportu, Zpracovatel databázi Správce vymaže; údaje ze záloh jsou odstraněny v rámci jejich rotace nejpozději do 60 dnů. Na žádost výmaz písemně potvrdí. Údaje, jejichž uchování vyžaduje zákon (např. účetní doklady Zpracovatele vůči Správci), se uchovávají pouze v nezbytném rozsahu a po zákonnou dobu.

9. Odpovědnost

9.1 Odpovědnost stran se řídí čl. 82 GDPR. Zpracovatel odpovídá za škodu způsobenou zpracováním pouze tehdy, pokud nesplnil povinnosti uložené GDPR výslovně zpracovatelům nebo jednal nad rámec či v rozporu s pokyny Správce.

9.2 Nejde-li o úmysl nebo hrubou nedbalost, celková odpovědnost Zpracovatele vůči Správci z této Smlouvy je omezena na úplatu uhrazenou za Platformu za 12 měsíců před vznikem škody. Omezení se nevztahuje na nároky subjektů údajů podle čl. 82 GDPR.

10. Závěrečná ustanovení

10.1 V otázkách ochrany osobních údajů má tato Smlouva přednost před Všeobecnými obchodními podmínkami.

10.2 Smlouva se řídí právem Slovenské republiky. Změny oznamuje Zpracovatel e-mailem nejméně 30 dnů předem; aktuální znění je vždy na této stránce. Pokud Správce se změnou nesouhlasí, může smlouvu o poskytování Platformy do dne účinnosti změny vypovědět.

10.3 Přílohy č. 1 až 3 jsou nedílnou součástí Smlouvy.

Příloha č. 1 — Specifikace zpracování

Předmět	Poskytování platformy MATODOM (SaaS) na přidělené subdoméně včetně mobilního rozhraní, technické podpory, údržby, zálohování a jednorázové migrace historických dat Správce (např. faktur a zákazníků z předchozího systému).
Účel	Evidence zákazníků a zařízení, plánování a evidence zakázek a servisů, vyhotovování a podepisování protokolů včetně fotodokumentace, vystavování a evidence faktur a dokladů, odesílání e-mailových a SMS notifikací zákazníkům jménem Správce, evidence jízd a docházky, pokud jsou moduly aktivovány.
Povaha zpracování	Shromažďování, zaznamenávání, uspořádání, uchovávání, vyhledávání, nahlížení, použití k vytvoření dokladů, zpřístupnění přenosem (e-mail, SMS, odkaz k podpisu), zálohování, omezení, výmaz – automatizovaně podle úkonů uživatelů Správce.
Subjekty údajů	(a) zákazníci Správce a kontaktní osoby jeho zákazníků; (b) uživatelé Platformy na straně Správce – jednatelé, zaměstnanci, technici; (c) kontaktní osoby dodavatelů a partnerů Správce; (d) osoby zachycené na fotodokumentaci z místa realizace.
Kategorie údajů	Identifikační a kontaktní údaje (jméno, adresa, telefon, e-mail, IČO/DIČ); adresa místa realizace a údaje o zařízeních; obsah protokolů včetně elektronického podpisu a fotodokumentace; fakturační a platební údaje (čísla dokladů, částky, variabilní symboly, stav úhrady, IBAN na dokladech, transakční údaje při aktivovaném bankovním propojení); přihlašovací údaje uživatelů (e-mail, hash hesla) a záznamy o činnosti; u modulu docházky čas příchodu a odchodu, u knihy jízd údaje o jízdách a poloze vozidla. Zvláštní kategorie údajů (čl. 9 GDPR) se v Platformě nezpracovávají a Správce je do ní nevkládá.
Doba	Po dobu trvání smlouvy o poskytování Platformy a následně do výmazu podle čl. 8.
Místo	Datová centra Hetzner Online GmbH, Německo (EU). Vzdálený přístup personálu Zpracovatele ze Slovenské republiky.

Příloha č. 2 — Další zpracovatelé

Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Německo (EU) — serverová infrastruktura a datové centrum, na kterém je Platforma provozována a zálohována.
WebSupport, s. r. o.	Karadžičova 12, 821 08 Bratislava, Slovensko (EU) — e-mailová infrastruktura domény matodom.com (doručování e-mailů z Platformy a komunikace podpory).
Poskytovatel SMS brány	Slovenská republika (EU) — odesílání SMS notifikací zákazníkům Správce (telefonní číslo a text zprávy). Zapojuje se až aktivací modulu SMS; konkrétního poskytovatele Zpracovatel oznámí před aktivací.
Poskytovatel bankovního propojení	GoCardless (EU / Spojené království – rozhodnutí o odpovídající ochraně) — čtení bankovních transakcí pro párování úhrad. Zapojuje se až aktivací modulu Banka, kterým Správce uděluje souhlas přímo své bance.
Poskytovatel jazykového modelu	Pouze při aktivaci modulu AI manažer — zpracování dotazů uživatele a s nimi souvisejících údajů z Platformy za účelem odpovědi. Konkrétního poskytovatele, místo zpracování a záruky Zpracovatel oznámí před aktivací modulu.

Příloha č. 3 — Technická a organizační opatření

• Oddělení údajů: každý zákazník má vlastní databázi a subdoménu; aplikační vrstva neumožňuje přístup k údajům jiného zákazníka.
• Šifrování přenosu: veškerá komunikace s Platformou (web, mobil, odkazy k podpisu) výhradně přes HTTPS/TLS.
• Řízení přístupu: pouze autentizovaní uživatelé vytvoření Správcem, oprávnění podle rolí, hesla uložena výhradně jako kryptografický hash, pole typu „heslo" se do dokladů netisknou.
• Přístup personálu: pouze určené osoby vázané mlčenlivostí, pouze pro podporu, údržbu, migraci a incidenty; přístup k serverům přes zabezpečené kanály (SSH s klíči).
• Zálohování: pravidelné automatizované zálohy databáze a souborů v infrastruktuře v EU; schopnost obnovy při poruše.
• Logování: záznamy o přihlášeních, odeslaných e-mailech a SMS a o zásadních úkonech v Platformě.
• Integrita dokladů: podepsaný protokol se po podpisu nemění; úprava šablony neovlivní již vystavené doklady.
• Infrastruktura: pravidelné aktualizace systému a komponent; datová centra Hetzner s fyzickým zabezpečením a certifikací ISO 27001.
• Organizační opatření: poučení osob, zásada minimálního přístupu, postup hlášení a řešení incidentů podle čl. 6.2.

Kontakt ve věcech ochrany osobních údajů: info@matodom.com. Související dokumenty: Všeobecné obchodní podmínky · Ochrana údajů (web).