Zpracovatelská smlouva

1. Strany a role

Tato zpracovatelská smlouva je součástí smlouvy o používání Fakturéé. Zákazníkem je podnikající fyzická osoba nebo právnická osoba identifikovaná IČO při registraci. Zákazník je ve vztahu k osobním údajům, které do služby vloží, správcem. NEXTEE.CZ s.r.o., IČO 19835647, Příčná 1892/4, Nové Město, 110 00 Praha 1, je zpracovatelem.

Zákazník odpovídá za zákonnost svých pokynů, informační povinnosti vůči subjektům údajů a existenci právního důvodu pro vložení a používání údajů.

2. Předmět, trvání, povaha a účel

Předmětem je zpracování nezbytné pro hosting, ukládání, zobrazování, třídění, export, zálohování, zabezpečení a zákazníkem vyžádané doručení dokladů. Zpracování trvá po dobu poskytování služby, následné lhůty uvedené v článku 7 podle způsobu ukončení a dobu nutnou k odstranění záloh, nejvýše dalších 90 dní po odstranění aktivních dat.

Kategorie subjektů údajů

Klienti a dodavatelé zákazníka, jejich zaměstnanci a kontaktní osoby, příjemci dokladů, uživatelé organizace a další osoby uvedené zákazníkem v dokumentech.

Typy údajů

Identifikační, kontaktní, fakturační, daňové a bankovní údaje, údaje o platbách, položky dokladů, komunikace, přílohy, metadata souborů, role a auditní záznamy. Služba není určena k cílenému ukládání zvláštních kategorií osobních údajů podle článku 9 GDPR.

3. Pokyny a povinnosti zpracovatele

• Zpracovatel zpracovává údaje pouze na doložené pokyny zákazníka, zejména podle jeho používání funkcí aplikace, těchto podmínek a závazného práva.
• Osoby s přístupem k údajům jsou vázány mlčenlivostí a přístup získají jen v nezbytném rozsahu.
• Zpracovatel pomůže zákazníkovi přiměřeně reagovat na žádosti subjektů údajů a plnit povinnosti v oblasti zabezpečení, incidentů, posouzení vlivu a konzultací s dozorovým úřadem.
• Pokud je pokyn podle názoru zpracovatele v rozporu s právními předpisy, upozorní zákazníka a může jeho provedení pozastavit.
• Zpracovatel zpřístupní informace potřebné k doložení souladu a umožní přiměřený audit za podmínek chránících bezpečnost ostatních zákazníků a důvěrné informace.

4. Technická a organizační opatření

Zpracovatel udržuje opatření odpovídající riziku, zejména oddělení organizací, řízení rolí a přístupů, serverové ověření citlivých operací, soukromé úložiště dokumentů, šifrovaný přenos, auditní záznamy, ochranu tajemství, zálohování, řízení změn a postup pro řešení incidentů.

Provozní logy dodavatelů se nekopírují do samostatného dlouhodobého archivu. Zpracovatel volí nejkratší technicky dostupnou retenční dobu, která je slučitelná s bezpečným provozem Služby.

Produkční databáze Supabase je umístěná v Německu a má denní databázové zálohy. Tyto zálohy neobsahují samotné soubory příloh uložené v objektovém úložišti. Odstranění databázových záznamů a odstranění příloh proto vyžaduje samostatný postup. Při případné obnově Provozovatel před zpřístupněním obnovených dat znovu provede evidované výmazy. Zálohy neslouží k běžnému používání údajů po ukončení služby.

5. Další zpracovatelé

Zákazník uděluje obecné písemné oprávnění zapojit další zpracovatele uvedené níže. Zpracovatel jim uloží povinnosti ochrany údajů odpovídající této smlouvě a zůstává odpovědný za splnění svých povinností.

Stripe zajišťuje platby za službu a jeho role při zpracování fakturačních údajů Provozovatele se řídí příslušnými platebními podmínkami. Google Analytics se nepoužívá pro obsah zákaznické aplikace a řídí se samostatným souhlasem návštěvníka veřejného webu. O zamýšlené změně seznamu, která se týká zákaznických dat, bude zákazník informován předem a může z oprávněných důvodů souvisejících s ochranou osobních údajů vznést námitku.

6. Incidenty, žádosti a předávání

Zpracovatel oznámí zákazníkovi porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, a poskytne dostupné informace potřebné pro posouzení a případné oznámení. Žádost subjektu údajů týkající se zákaznických dat předá zákazníkovi, pokud ji nemůže vyřídit podle jeho doloženého pokynu.

Předávání mimo EHP se uskuteční pouze s odpovídající zárukou podle GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo standardních smluvních doložek začleněných do podmínek příslušného dodavatele.

7. Vrácení a odstranění údajů

Po dobrovolném skončení zaplaceného období bude daná firma 30 dní dostupná pouze pro čtení a export. Při neuhrazené platbě bude po sedmidenní ochranné lhůtě nejvýše 30 dní dostupné pouze prohlížení existujících údajů bez změn, stahování a exportu. Úhrada během této doby obnoví běžné funkce.

Po uplynutí příslušné 30denní lhůty zpracovatel odstraní aktivní zákaznická data, pokud jejich další uchování nevyžaduje právo. Kopie v zálohách budou vyřazeny v běžném cyklu, nejpozději do dalších 90 dní.

Zákazník může dát doložený pokyn k vrácení nebo odstranění zpracovávaných osobních údajů podle článku 28 odst. 3 písm. g) GDPR; zákonné povinnosti tím nejsou dotčeny. Běžný export aplikace se řídí režimem předplatného, ale jeho omezení nebrání vyřízení zákonných práv a povinností. Při dobrovolném ukončení poskytne podpora na včasnou žádost dostupný export ve formátech nabízených aplikací. Zákonem povinné záznamy Provozovatele nejsou součástí zákaznického exportu a uchovávají se odděleně.

8. Platnost

Smlouva nabývá účinnosti společně s účinnými obchodními podmínkami a přijetím její konkrétní verze zákazníkem. Evidence přijetí musí obsahovat uživatele, organizaci, verzi a čas.