1. Strany a role
Tato zpracovatelská smlouva je součástí smlouvy o používání Fakturéé. Zákazníkem je podnikající fyzická osoba nebo právnická osoba identifikovaná IČO při registraci. Zákazník je ve vztahu k osobním údajům, které do služby vloží, správcem. NEXTEE.CZ s.r.o., IČO 19835647, Příčná 1892/4, Nové Město, 110 00 Praha 1, je zpracovatelem.
Zákazník odpovídá za zákonnost svých pokynů, informační povinnosti vůči subjektům údajů a existenci právního důvodu pro vložení a používání údajů.
2. Předmět, trvání, povaha a účel
Předmětem je zpracování nezbytné pro hosting, ukládání, zobrazování, třídění, export, zálohování, zabezpečení a zákazníkem vyžádané doručení dokladů. Zpracování trvá po dobu poskytování služby, následných 30 dní režimu pouze pro čtení a export a dobu nutnou k bezpečnému odstranění záloh.
Kategorie subjektů údajů
Klienti a dodavatelé zákazníka, jejich zaměstnanci a kontaktní osoby, příjemci dokladů, uživatelé organizace a další osoby uvedené zákazníkem v dokumentech.
Typy údajů
Identifikační, kontaktní, fakturační, daňové a bankovní údaje, údaje o platbách, položky dokladů, komunikace, přílohy, metadata souborů, role a auditní záznamy. Služba není určena k cílenému ukládání zvláštních kategorií osobních údajů podle článku 9 GDPR.
3. Pokyny a povinnosti zpracovatele
- Zpracovatel zpracovává údaje pouze na doložené pokyny zákazníka, zejména podle jeho používání funkcí aplikace, těchto podmínek a závazného práva.
- Osoby s přístupem k údajům jsou vázány mlčenlivostí a přístup získají jen v nezbytném rozsahu.
- Zpracovatel pomůže zákazníkovi přiměřeně reagovat na žádosti subjektů údajů a plnit povinnosti v oblasti zabezpečení, incidentů, posouzení vlivu a konzultací s dozorovým úřadem.
- Pokud je pokyn podle názoru zpracovatele v rozporu s právními předpisy, upozorní zákazníka a může jeho provedení pozastavit.
- Zpracovatel zpřístupní informace potřebné k doložení souladu a umožní přiměřený audit za podmínek chránících bezpečnost ostatních zákazníků a důvěrné informace.
4. Technická a organizační opatření
Zpracovatel udržuje opatření odpovídající riziku, zejména oddělení organizací, řízení rolí a přístupů, serverové ověření citlivých operací, soukromé úložiště dokumentů, šifrovaný přenos, auditní záznamy, ochranu tajemství, zálohování, řízení změn a postup pro řešení incidentů.
Provozní logy dodavatelů se nekopírují do samostatného dlouhodobého archivu. Zpracovatel volí nejkratší technicky dostupnou retenční dobu, která je slučitelná s bezpečným provozem Služby.
Konkrétní produkční nastavení, pravidla záloh a ověření obnovy musí být dokončeny před účinností smlouvy.
5. Další zpracovatelé
Zákazník uděluje obecné písemné oprávnění zapojit další zpracovatele uvedené níže. Zpracovatel jim uloží povinnosti ochrany údajů odpovídající této smlouvě a zůstává odpovědný za splnění svých povinností.
| Dodavatel | Služba | Údaje |
|---|---|---|
| Netlify, Inc. | Hosting a serverové funkce | Technické požadavky a data zpracovaná funkcemi |
| Supabase, Inc. | Databáze, autentizace a úložiště | Účty, aplikační data a soubory |
| Stripe | Předplatné a platby | Kontaktní, fakturační a transakční údaje |
| Resend | Doručování e-mailů | Příjemce, zpráva, příloha a události doručení |
Google Analytics se nepoužívá pro obsah zákaznické aplikace a řídí se samostatným souhlasem návštěvníka veřejného webu. O zamýšlené změně seznamu, která se týká zákaznických dat, bude zákazník informován předem a může z oprávněných důvodů souvisejících s ochranou osobních údajů vznést námitku.
6. Incidenty, žádosti a předávání
Zpracovatel oznámí zákazníkovi porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, a poskytne dostupné informace potřebné pro posouzení a případné oznámení. Žádost subjektu údajů týkající se zákaznických dat předá zákazníkovi, pokud ji nemůže vyřídit podle jeho doloženého pokynu.
Předávání mimo EHP se uskuteční pouze s odpovídající zárukou podle GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo standardních smluvních doložek začleněných do podmínek příslušného dodavatele.
7. Vrácení a odstranění údajů
Po dobrovolném skončení zaplaceného období bude daná firma 30 dní dostupná pouze pro čtení a export. Při neuhrazené platbě bude po sedmidenní ochranné lhůtě nejvýše 30 dní dostupné pouze prohlížení existujících údajů bez změn, stahování a exportu. Úhrada během této doby obnoví běžné funkce.
Po uplynutí příslušné 30denní lhůty zpracovatel odstraní aktivní zákaznická data, pokud jejich další uchování nevyžaduje právo. Kopie v zálohách budou vyřazeny v běžném cyklu, nejpozději do dalších 90 dní.
Na žádost zákazníka poskytne zpracovatel před odstraněním dostupný export ve formátech nabízených aplikací. Zákonem povinné záznamy Provozovatele nejsou součástí zákaznického exportu a uchovávají se odděleně.
8. Platnost
Smlouva nabývá účinnosti společně s účinnými obchodními podmínkami a přijetím její konkrétní verze zákazníkem. Evidence přijetí musí obsahovat uživatele, organizaci, verzi a čas.