GDPR · čl. 28

Smlouva o zpracování osobních údajů

Platná od 15. 10. 2026. Je nedílnou součástí obchodních podmínek a uzavírá se spolu s nimi při registraci.

1. Smluvní strany a jejich role

Správcem je zákazník – podnikatel nebo firma, která v aplikaci Směnovník plánuje směny svých lidí. Zákazník rozhoduje, čí údaje do aplikace vloží a k čemu je použije.

Zpracovatelem je provozovatel aplikace Jan Opěla, IČO 23049120, se sídlem č.p. 586, 739 49 Metylovice. Kontakt:opela.jan.jan@gmail.com. Zpracovatel s údaji pracuje jen pro zákazníka a podle jeho pokynů.

Pojmy jako „osobní údaj“, „zpracování“ nebo „porušení zabezpečení“ mají stejný význam jako v obecném nařízení o ochraně osobních údajů (nařízení EU 2016/679, „GDPR“).

2. Předmět a doba trvání

Předmětem je zpracování osobních údajů, ke kterému dochází při poskytování aplikace podle obchodních podmínek. Smlouva platí po celou dobu používání aplikace (včetně zkušební verze) a dál až do smazání dat podle bodu 9.

3. Čí údaje zpracováváme

• Brigádníci a zaměstnanci zákazníka (DPP, DPČ, HPP), kterým zákazník v aplikaci plánuje směny.
• Další uživatelé zákazníka – lidé, kterým zákazník v aplikaci zřídí přístup nebo je v ní eviduje (např. vedoucí směny).

4. Jaké údaje

• Jméno a příjmení, telefon (nepovinný).
• Typ pracovního vztahu (DPP, DPČ, HPP), hodinová sazba, pozice, informace, zda je člověk mladší 18 let.
• Počet odpracovaných hodin v daném roce.
• Směny, dostupnost, žádosti o výměnu směn (burza směn).
• Údaje, které z toho aplikace spočítá: odpracované hodiny, náklady, upozornění na limity DPP a další pravidla.
• Technické údaje: osobní tajný odkaz brigádníka a krátkodobé technické záznamy o přístupech (např. IP adresa, čas).

Zvláštní kategorie osobních údajů (např. o zdraví) aplikace nepotřebuje. Zákazník je do ní nevkládá, ani do textových poznámek.

5. Účel zpracování

Údaje zpracováváme jen proto, aby aplikace fungovala: plánování směn, sběr dostupnosti, burza směn, evidence a výpočet hodin a nákladů, upozornění na limity, exporty a podpora zákazníka. K jiným účelům (např. marketingu) je nepoužíváme a nikomu je neprodáváme.

6. Povinnosti zákazníka (správce)

• Má pro zpracování údajů svých lidí právní základ (typicky plnění pracovní smlouvy či dohody a povinnosti zaměstnavatele).
• Informuje své lidi, že jejich údaje v aplikaci vede, a vkládá jen údaje, které pro plánování směn potřebuje.
• Posílá osobní odkazy jen konkrétním lidem a chrání přístup ke svému účtu.
• Vyřizuje žádosti svých lidí o přístup, opravu nebo výmaz údajů; aplikace mu k tomu dává nástroje (úpravy, mazání, export).

7. Povinnosti zpracovatele

Pokyny. Údaje zpracováváme jen podle doložených pokynů zákazníka. Pokyny jsou tato smlouva, obchodní podmínky a to, co zákazník v aplikaci nastaví a udělá. Pokud bychom měli za to, že pokyn porušuje právo, upozorníme na to. Údaje nepředáváme mimo EU jinak, než jak uvádí bod 8, ledaže to ukládá zákon.

Mlčenlivost. K údajům mají přístup jen osoby, které je nezbytně potřebují (dnes jen provozovatel), a jsou vázány mlčenlivostí i po skončení smlouvy. Do dat konkrétního zákazníka nahlížíme jen kvůli podpoře nebo řešení chyby, a to v nezbytném rozsahu.

Zabezpečení. Přijímáme technická a organizační opatření podle čl. 32 GDPR, zejména:

• šifrovaný přenos (HTTPS/TLS) a šifrování uložených dat u poskytovatele databáze,
• oddělení dat jednotlivých zákazníků na úrovni databáze (řízení přístupu po řádcích),
• přihlášení heslem pro zákazníka a dlouhé náhodné osobní odkazy pro brigádníky,
• přístup do administrace infrastruktury jen pro provozovatele, chráněný dvoufázovým ověřením,
• pravidelné zálohy a ukládání dat v EU.

Součinnost. Pomůžeme zákazníkovi vyřídit žádosti lidí, kterých se údaje týkají, a plnit povinnosti podle čl. 32 až 36 GDPR (zabezpečení, hlášení incidentů, posouzení vlivu), pokud k tomu potřebuje informace od nás.

Porušení zabezpečení. Pokud zjistíme porušení zabezpečení osobních údajů zákazníka, oznámíme mu ho e-mailem bez zbytečného odkladu, nejpozději do 48 hodin od zjištění. Uvedeme, co se stalo, kterých údajů a lidí se to týká, jaké jsou pravděpodobné důsledky a co jsme udělali. Informace, které ještě nemáme, doplníme průběžně.

Kontrola a audit. Na požádání dáme zákazníkovi informace potřebné k doložení, že tuto smlouvu plníme. Zákazník nebo auditor, kterého pověří a který je vázán mlčenlivostí, může provést audit; termín domluvíme alespoň 30 dní předem, nejvýše jednou ročně (kromě situace po porušení zabezpečení) a na náklady zákazníka.

8. Další zpracovatelé (subdodavatelé)

Zákazník souhlasí s tím, že využíváme tyto další zpracovatele:

Zákazník nám dává obecné povolení zapojit další zpracovatele nebo stávající nahradit. Každou takovou změnu oznámíme e-mailem nejméně 14 dní předem. Zákazník může v této lhůtě vznést odůvodněnou námitku; pokud se nedohodneme, může smlouvu vypovědět a vrátíme mu nevyčerpanou část zaplaceného předplatného.

Další zpracovatele smluvně zavazujeme ke stejné ochraně údajů, jakou slibujeme v této smlouvě, a za jejich plnění zákazníkovi odpovídáme. Předání mimo EU se děje jen při splnění podmínek kapitoly V GDPR (např. standardní smluvní doložky).

9. Konec zpracování: vrácení a výmaz

Zákazník si může data kdykoli stáhnout v aplikaci (export JSON) a kdykoli smazat firmu se všemi daty. Po skončení zkušební verze nebo předplatného data uchováme 60 dní, aby se zákazník mohl vrátit nebo požádat o export. Potom je nevratně smažeme; ze záloh zmizí v rámci jejich běžné rotace. Déle data uchováme jen tehdy, když nám to ukládá zákon.

10. Odpovědnost a závěrečná ustanovení

Odpovědnost stran se řídí obchodními podmínkami, pokud GDPR nestanoví jinak. Smlouva se řídí českým právem. Změny této smlouvy oznamujeme stejně jako změny obchodních podmínek – e-mailem nejméně 30 dní předem. Pokud by se tato smlouva a obchodní podmínky v otázce ochrany osobních údajů rozcházely, má přednost tato smlouva.

Smlouva je účinná od 15. 10. 2026.