CSEN
Zpracovatelská smlouva
Zpracovatelská smlouva (DPA)
Strany a rozsah
Správcem je zákazník uvedený v přijaté smlouvě o UNI-PAD. Zpracovatelem je PDR QCS s.r.o., IČO 04913469, Křižovnická 86/6, 110 00 Praha 1 – Staré Město, kontakt info@uni-pad.com. DPA je součástí smlouvy o službě.
Předmětem je ukládání, zobrazování, úprava, vyhledávání, předávání na pokyn, OCR, zálohování a výmaz údajů pro provoz zákaznické firmy. Zpracování trvá po dobu služby a jejího ukončovacího režimu níže. Zahrnuje zákazníky, kontaktní osoby, zaměstnance a dodavatele správce; jejich identifikační a kontaktní údaje, údaje vozidel, zakázek, dokladů, plateb, podpisů a příloh. Zvláštní kategorie údajů nejsou předmětem běžně sjednaného zpracování.
Pokyny, ochrana a součinnost
Správce určuje účely, rozsah a oprávněnost zpracování i přístupy uživatelů. Zpracovatel postupuje pouze podle doložených pokynů správce, včetně přenosů do třetích zemí. Zákonnou povinnost odchýlit se oznámí předem, dovoluje-li to zákon. Na protiprávní pokyn správce neprodleně upozorní.
Zpracovatel zaváže oprávněné osoby mlčenlivostí a zajistí opatření přiměřená riziku podle čl. 32 GDPR. Smluvní minimum zahrnuje oddělení firem, řízení přístupů, ochranu přenosu, zálohy a postup obnovy; konkrétní rozsah opatření stanoví následující smluvní minimum: přístup pouze pro oprávněné osoby podle jejich role, oddělení zákaznických dat, šifrovaný přenos, ochrana přístupových údajů, omezení přístupu k zálohám a postup obnovy s opakováním výmazů. Zpracovatel opatření průběžně posuzuje podle rizik; tato smlouva neslibuje certifikaci ani úplné zaznamenávání všech uživatelských akcí.
Zpracovatel pomůže správci vyřizovat práva osob, bezpečnostní incidenty, posouzení dopadů a konzultace s úřadem. Porušení zabezpečení osobních údajů oznámí správci bez zbytečného odkladu po zjištění a poskytne dostupné informace i následná doplnění. Na tuto povinnost se nevztahuje běžná dvoudenní reakce podpory. Poskytne doklady o plnění povinností a umožní kontroly včetně auditů správcem nebo jeho pověřeným auditorem při ochraně údajů ostatních zákazníků.
Tyto smluvní povinnosti vycházejí z oficiálních ustanovení Komise pro vztah správce a zpracovatele; tento text není převzetím standardních doložek ani samostatnou zárukou přenosu.
Další zpracovatelé
Správce povoluje následující další zpracovatele v uvedeném rozsahu. Tento přehled je součástí DPA:
| Další zpracovatel | Účel a rozsah | Místo a podmínky |
|---|---|---|
| WEDOS a.s., IČO 28115694, Masarykova 1230, 373 41 Hluboká nad Vltavou | Hosting aplikace a databáze, hostingové zálohy a obnova; systémový e-mail na hostingu | Smlouva poskytovatele uvádí zpracování zejména v EU. Nejde o záruku výhradního zpracování v EU. Uchování hostingových záloh upravuje část Vrácení a výmaz. |
| Anthropic Ireland, Limited | OCR prostřednictvím API; celý obrázek nebo PDF vybraný uživatelem a výsledek zpracování | Zpracování může probíhat mimo EU/EHP. Použije se zpracovatelský dodatek Anthropic a příslušné standardní smluvní doložky. Standardní retence API a její výjimky jsou popsány v zásadách osobních údajů. |
Vlastní Synology provozovatele v České republice není samostatným externím zpracovatelem. Informace o dalších zpracovatelích zapojených uvedenými poskytovateli a kopie relevantních záruk přenosu jsou dostupné na žádost na info@uni-pad.com. Zákazníkem samostatně sjednaná poštovní služba pro jeho vlastní odesílání není tímto přehledem automaticky schválena jako služba smluvně zajišťovaná provozovatelem UNI-PAD.
Další zapojení nebo nahrazení zpracovatele vyžaduje předchozí písemné povolení správce. Zpracovatel zajistí odpovídající smluvní povinnosti dalšího zpracovatele a vůči správci odpovídá za jejich plnění. Údaje do třetích zemí předá jen při splnění příslušných podmínek GDPR a doložených pokynů správce.
Vrácení a výmaz
Od definitivního ukončení smlouvy má správce 30 kalendářních dnů pro předání dohodnutých dat a příloh. Podle jeho volby zpracovatel údaje vrátí a vymaže kopie, nebo je vymaže bez vrácení. Dřívější výmaz provede na ověřenou žádost správce. Po této lhůtě údaje vymaže, pokud jejich uchování neukládá zákon. Výmaz se musí vztahovat i na kopie u dalších zpracovatelů.
Pro obnovu po havárii pořizujeme denní šifrované zálohy na vlastním úložišti v České republice. Každou zálohu uchováváme nejvýše 30 kalendářních dnů od jejího vytvoření. Po výmazu z provozní aplikace mohou údaje zůstat pouze v oddělených záložních kopiích nejvýše dalších 30 kalendářních dnů; poté se odstraní i z těchto kopií včetně souvisejících snímků úložiště. V tomto mezidobí nejsou dostupné pro běžné používání. Při havarijní obnově se před zpřístupněním obnovené aplikace znovu uplatní již provedené výmazy, aby se odstraněné údaje nevrátily do používání.
Záložní kopie hostingového poskytovatele mají samostatný režim. Podle jeho smlouvy se odstraňují periodicky, nejpozději do 180 kalendářních dnů od vytvoření příslušné zálohy. Nejde o prodloužení doby běžného používání dat ani lhůty našich vlastních záloh. Z již vytvořených hostingových záloh se jednotlivé údaje neodstraňují samostatně. Při obnově se znovu uplatní již provedené výmazy; tento postup zahrnuje také obnovu provedenou hostingem. Smluvní maximum samo neznamená, že každá hostingová záloha existuje po celých 180 dní.
Pouhé nezaplacení samo nespouští výmaz. Vlastní zákonné účetní doklady zpracovatele se uchovávají odděleně a nezakládají důvod držet celou databázi správce. Povinnosti ochrany přetrvají, dokud zpracovatel údaje uchovává.
Účinnost od 1. října 2026.