Zpracovatelská smlouva

Tato smlouva je přílohou a nedílnou součástí Obchodních podmínek ChytrýDoklad.cz a upravuje zpracování osobních údajů, které nám jako správce svěřuješ v souvislosti s používáním aplikace, tedy osobní údaje tvých zákazníků, dodavatelů a zaměstnanců, které jsou obsažené v dokladech, které do aplikace nahraješ. Registrací a používáním aplikace se tato smlouva považuje za uzavřenou mezi tebou jako správcem a MLVenture s.r.o. jako zpracovatelem, ve smyslu čl. 28 GDPR.

1. Předmět, doba, povaha a účel zpracování

Zpracovatel zpracovává osobní údaje jménem správce po dobu trvání smlouvy o užívání aplikace, a to automatizovaně i manuálně, za účelem poskytování jejích funkcí, a to vedení fakturační a účetní evidence, AI extrakce dat z nahraných dokladů, párování plateb, generování dokumentů a exportů.

2. Kategorie osobních údajů a subjektů údajů

Předmětem zpracování jsou osobní údaje obsažené v datech, které správce do aplikace nahraje nebo zadá, zejména:

• identifikační a kontaktní údaje zákazníků a dodavatelů správce (jméno, adresa, IČO, DIČ, e-mail, telefon) uvedené na fakturách a nabídkách,
• bankovní údaje (čísla účtů, platební tituly) z bankovních výpisů,
• mzdové údaje zaměstnanců správce (jméno, výše mzdy) při použití modulu Mzdy,
• obsah e-mailových notifikací banky přeposílaných za účelem párování plateb.

Zvláštní kategorie osobních údajů (čl. 9 GDPR) nejsou předmětem zpracování; správce se zavazuje takové údaje do aplikace nenahrávat.

3. Pokyny správce

Zpracovatel zpracovává osobní údaje výhradně na základě doložených pokynů správce, kterými jsou tyto podmínky a nastavení a použití aplikace správcem. Pokud by podle zpracovatele nějaký pokyn odporoval GDPR, neprodleně na to správce upozorní.

4. Mlčenlivost

Zpracovatel zajistí, že se k osobním údajům zaváže mlčenlivostí každý, kdo k nim má v rámci plnění této smlouvy přístup.

5. Zabezpečení

Zpracovatel uplatňuje přiměřená technická a organizační opatření, zejména: šifrovaný přenos dat (HTTPS/TLS), šifrování dat v klidu (standardní součást infrastruktury Supabase), hashovaná hesla, řízení přístupu na úrovni databáze (row-level security) omezující přístup k datům jen na příslušného uživatele, a denní zálohy databáze s uchováním po dobu 7 dní.

6. Podzpracovatelé

Správce uděluje zpracovateli obecné svolení k zapojení podzpracovatelů v tomto rozsahu:

• Supabase, databáze, přihlašování, úložiště souborů; EU (Stockholm).
• Vercel, hosting aplikace; USA (standardní smluvní doložky).
• Anthropic, AI extrakce dat z nahraných dokladů; USA (standardní smluvní doložky).
• Cloudflare, zpracování přeposílaných e-mailových notifikací banky, jen pokud tuto funkci používáš.

O plánovaném přidání či výměně podzpracovatele bude zpracovatel správce informovat s předstihem alespoň 15 dní (e-mailem na kontaktní adresu účtu); správce má v této lhůtě právo vznést odůvodněnou námitku založenou na skutečném porušení GDPR. V naléhavých bezpečnostních případech může zpracovatel podzpracovatele změnit i bez předchozího oznámení, o změně ale správce neprodleně informuje dodatečně. Zpracovatel zaváže každého podzpracovatele stejnými povinnostmi na ochranu osobních údajů, jaké má sám podle této smlouvy.

7. Součinnost

Zpracovatel poskytne správci součinnost při vyřizování žádostí subjektů údajů (přístup, oprava, výmaz apod.) a při plnění povinností podle čl. 32–36 GDPR, zejména prostřednictvím funkcí aplikace (export, mazání dat) a podpory na podpora@chytrydoklad.cz.

8. Narušení zabezpečení osobních údajů

Zjistí-li zpracovatel narušení zabezpečení osobních údajů týkající se dat správce, oznámí mu to bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, spolu s dostupnými informacemi o povaze incidentu a přijatých opatřeních.

9. Audit

Zpracovatel poskytne správci na vyžádání informace nezbytné k doložení souladu s touto smlouvou a čl. 28 GDPR a umožní přiměřenou kontrolu, včetně auditu prováděného správcem nebo jím pověřenou osobou, po předchozí přiměřené domluvě.

10. Ukončení zpracování

Po ukončení poskytování aplikace (zrušení účtu) zpracovatel bez zbytečného odkladu vymaže veškeré osobní údaje zpracovávané na základě této smlouvy, včetně kopií, pokud právo EU nebo ČR neukládá jejich další uchování. Před zrušením účtu má správce možnost si svá data exportovat.

11. Odpovědnost a závěrečná ustanovení

Zpracovatel odpovídá správci za škodu způsobenou porušením povinností podle GDPR a této smlouvy, a to i tehdy, způsobí-li ji podzpracovatel. Tato smlouva se řídí právním řádem České republiky a trvá po dobu trvání Obchodních podmínek.