Smlouva o zpracování osobních údajů
Příloha č. 1 obchodních podmínek, uzavřená podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR). Znění účinné od 4. 8. 2026. Uzavírá se současně se smlouvou o poskytnutí služby a použije se jen tehdy, obsahují-li vaše podklady osobní údaje.
Kdo je kdo
Správcem jste vy jako klient. Zpracovatelem je Pravano MG s.r.o., IČO 29860148, se sídlem Lešenská 168, Kostelec, 763 14 Zlín, zapsaná v obchodním rejstříku, C 153218 vedená u Krajského soudu v Brně.
Tato příloha se týká výhradně osobních údajů obsažených v podkladech, které nám předáte k provedení prověrky. Údaje, které sbíráme sami (vaše kontaktní a fakturační údaje, komunikace), zpracováváme jako správce – ty upravují Zásady ochrany osobních údajů.
Doporučení na úvod: podklady předávejte pokud možno bez osobních údajů (anonymizované nebo pseudonymizované). K posouzení souladu s regulací jsou konkrétní jména zpravidla zbytečná a nejlepší ochrana údajů je ta, kterou vůbec nemusíme zpracovávat.
1. Předmět, doba, povaha a účel zpracování
Předmět a účel: provedení objednané prověrky připravenosti na evropskou regulaci a vyhotovení souvisejících výstupů. Povaha zpracování: shromáždění, uspořádání, nahlédnutí, použití, uložení a výmaz. Doba: po dobu poskytování služby a dále po dobu uvedenou v čl. 8.
Kategorie subjektů údajů: zpravidla zaměstnanci a spolupracovníci správce, kontaktní osoby jeho dodavatelů a odběratelů, případně další osoby uvedené v podkladech.
Typ osobních údajů: identifikační a kontaktní údaje (jméno, funkce, pracovní e-mail, telefon), údaje o pracovním zařazení a odpovědnosti, údaje obsažené v předaných dokumentech. Zvláštní kategorie údajů podle čl. 9 GDPR nezpracováváme a žádáme vás, abyste je nepředávali; pokud je přesto zjistíme, upozorníme vás a vyžádáme si pokyn.
2. Zpracování pouze podle vašich pokynů
Osobní údaje zpracováváme výhradně na základě vašich doložených pokynů, včetně předání do třetí země. Objednávka služby a tato příloha se považují za váš pokyn v rozsahu nezbytném k poskytnutí služby. Uloží-li nám zpracování právo Unie nebo České republiky, informujeme vás o tom před zpracováním, ledaže to dané právo zakazuje.
Máme povinnost vás upozornit, pokud podle našeho názoru váš pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů.
3. Mlčenlivost
Osoby, které se u nás na zpracování podílejí, jsou zavázány k mlčenlivosti, která trvá i po skončení spolupráce. Přístup k vašim podkladům má pouze jednatel jako jediná oprávněná osoba.
4. Zabezpečení (čl. 32 GDPR)
- šifrovaný přenos (TLS) a šifrované úložiště u poskytovatelů uvedených v čl. 5;
- řízení přístupu – administrační rozhraní chráněné tokenem, přístup jen oprávněné osoby;
- protokolování zásahů v administraci a evidence odeslaných zpráv;
- zásada minimalizace – do výstupů a do AI zpracování vstupuje jen to, co je nezbytné;
- pravidelné zálohování a obnovitelnost dat;
- oddělení provozních databází (obsah / provoz / obchodní data).
5. Další zpracovatelé (čl. 28 odst. 2 a 4)
Udělujete nám obecné povolení zapojit tyto další zpracovatele:
- Cloudflare – hosting aplikace a databází, ochrana provozu;
- Resend – odesílání transakčních e-mailů;
- Anthropic – AI asistence při přípravě výstupů (viz čl. 3 Zásad; předáváme jen nezbytné údaje a výstup vždy kontroluje člověk);
- Google Workspace – provoz e-mailových schránek;
- poskytovatelé fakturace a účetnictví.
Každému dalšímu zpracovateli ukládáme smluvně stejné povinnosti, jaké máme vůči vám. O zamýšlené změně nebo doplnění vás vyrozumíme e-mailem nejméně 15 dnů předem; můžete proti ní vznést odůvodněnou námitku a nedojde-li k dohodě, můžete smlouvu vypovědět bez sankce. Za plnění povinností dalších zpracovatelů vám odpovídáme v plném rozsahu.
Předání mimo EU probíhá na základě rozhodnutí o odpovídající ochraně nebo standardních smluvních doložek schválených Evropskou komisí.
6. Součinnost při výkonu práv subjektů údajů
Obrátí-li se na nás přímo subjekt údajů, jehož údaje zpracováváme pro vás, sami mu neodpovíme a bez zbytečného odkladu vás o žádosti vyrozumíme. S vyřízením žádosti (přístup, oprava, výmaz, omezení, přenositelnost, námitka) vám poskytneme veškerou přiměřenou technickou a organizační součinnost.
7. Součinnost při porušení zabezpečení a při posouzení vlivu (čl. 32–36)
Porušení zabezpečení vám ohlásíme bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy se o něm dozvíme, a to na e-mail uvedený ve smlouvě. Sdělíme povahu porušení, dotčené kategorie a přibližný počet subjektů a záznamů, pravděpodobné důsledky a přijatá opatření. Ohlášení dozorovému úřadu činíte vy jako správce.
Poskytneme vám součinnost i při posouzení vlivu na ochranu osobních údajů a při předchozí konzultaci s dozorovým úřadem.
8. Osud údajů po skončení
Po ukončení poskytování služby podklady obsahující osobní údaje na váš pokyn vymažeme, nebo vám je vrátíme, a smažeme existující kopie – ledaže nám jejich uchování ukládá právo Unie nebo České republiky. Neudělíte-li pokyn jinak, podklady vymažeme do 12 měsíců od dodání výstupů. Výstupy samotné a smluvní dokumentaci uchováváme podle čl. 5 Zásad pro obhajobu právních nároků.
9. Doložení a audit
Na vaši žádost vám poskytneme veškeré informace potřebné k doložení, že plníme povinnosti podle tohoto článku, a umožníme audit včetně inspekce, provedené vámi nebo auditorem, kterého pověříte. Audit se koná v pracovní době, po dohodě nejméně 14 dnů předem, nejvýše jednou ročně (nedošlo-li k porušení zabezpečení) a při zachování mlčenlivosti o našich obchodních tajemstvích.
10. Závěrem
Tato příloha je nedílnou součástí obchodních podmínek a řídí se českým právem. Je-li mezi touto přílohou a VOP rozpor ve věcech ochrany osobních údajů, použije se tato příloha. Potřebujete-li ji podepsanou jako samostatný dokument, napište na info@pravano.cz – pošleme vám ji obratem.