Smlouva o zpracování osobních údajů (DPA)

SMLOUVA O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ (DPA) podle čl. 28 Nařízení (EU) 2016/679 (GDPR) a slovenského zákona č. 18/2018 Z. z.

Správce (Zákazník): [obchodní jméno / jméno a příjmení], IČO [•], sídlo / místo podnikání [•], zapsaná v [rejstřík / neuvádí se] (dále „Správce")

Zpracovatel: Verteco digital services, s. r. o., IČO 53 412 834, DIČ 2121358349, IČ DPH SK2121358349, Daniela Dlabača 21, 010 01 Žilina, zapsaná v OR Okresního soudu Žilina, oddíl Sro, vložka č. 75936/L (dále „Poskytovatel")

Preambule: Poskytovatel poskytuje Správci službu certifikovaného Peppol Access Pointu a poskytovatele doručovací služby (PA SK ID EFSK000031) včetně portálu, API a souvisejících služeb (dále „Služba"). Při poskytování Služby zpracovává Poskytovatel jménem Správce osobní údaje; tato smlouva upravuje podmínky tohoto zpracování.

Uzavření smlouvy: Tato smlouva se mezi Správcem a Poskytovatelem uzavírá okamžikem vzniku smluvního vztahu o Službě, a to odkazem ve VOP (čl. 13 VOP), ve znění zveřejněném na peppol.verteco.digital/zmluvy/dpa ke dni vzniku vztahu. Identifikační pole [•] slouží jen k identifikaci při individuálním podpisu; jejich nevyplnění nemá vliv na platnost smlouvy uzavřené odkazem, strany jsou identifikovány údaji účtu a firmy ve Službě. Individuálně podepsané vyhotovení má při rozporu přednost.

Čl. 1: Předmět a doba zpracování 1.1 Poskytovatel zpracovává osobní údaje výlučně pro účely poskytování Služby, po dobu trvání smluvního vztahu založeného VOP, případně Obchodními podmínkami zprostředkování. 1.2 Po zániku smluvního vztahu Poskytovatel podle volby Správce osobní údaje vrátí (originální XML dokladů + CSV export v rozsahu, v jakém jimi Poskytovatel ke dni žádosti disponuje), vymaže, nebo obojí; potvrzení o výmazu vydá na požádání. Export je bezplatný a ve strojově čitelné podobě. Pokud Správce volbu neučiní do 90 dnů od zániku vztahu (čl. 16 VOP), Poskytovatel údaje vymaže. Pokud má Správce pro přijaté nebo vystavené doklady vypnutý Archiv dat (režim maximálního šifrování podle VOP čl. 11a, nastavovaný zvlášť pro každý směr), obsah takových dokladů se již během trvání vztahu průběžně a nenávratně maže podle nastavení Správce; povinnost vrácení se v takovém případě vztahuje jen na údaje, které nebyly takto vymazány. Povinnosti podle tohoto bodu neplatí v rozsahu, v jakém právo Unie nebo SR nebo závazný rámec Peppol vyžaduje od Poskytovatele další uchovávání (zejména daňová hlášení a záznamy podle zákona č. 385/2025 Z. z. a rámce Peppol, vlastní účetní doklady Poskytovatele podle zákona č. 431/2002 Z. z. a bezpečnostní záznamy podle čl. 5.1); na takto uchovávané údaje se až do výmazu vztahují povinnosti této smlouvy.

Čl. 2: Povaha, účel a kategorie zpracování 2.1 Povaha zpracování: přijímání, odesílání, validace, uchovávání a zpřístupňování elektronických faktur a souvisejících dokladů v síti Peppol; notifikace (e-mail, webhook); generování daňových hlášení pro Finanční správu SR (C5/TDD) v rozsahu právních povinností. 2.2 Kategorie subjektů údajů: statutární zástupci, zaměstnanci a kontaktní osoby Správce, jeho odběratelů a dodavatelů; uživatelé portálu. 2.3 Kategorie údajů: identifikační a kontaktní údaje (jméno, e-mail, telefon), fakturační údaje včetně obsahu dokladů (položky, částky, IBAN, identifikátory DIČ/IČO), přihlašovací údaje k účtu, technické logy (IP adresa, user agent). Zvláštní kategorie údajů (čl. 9 GDPR) nejsou předmětem Služby a Správce se zavazuje je do Služby nevkládat.

Čl. 3: Pokyny Správce 3.1 Poskytovatel zpracovává osobní údaje jen na základě zdokumentovaných pokynů Správce; za zdokumentovaný pokyn se považuje i použití Služby (portál, API, konfigurace notifikací), nastavení Archivu dat a zapnutí odkazů na doklady bez přihlášení podle VOP čl. 11b (včetně vydání každého takového odkazu) a tato smlouva. To neplatí, pokud zpracování vyžaduje právo Unie nebo SR; v takovém případě Poskytovatel Správce na tento požadavek upozorní před zpracováním, pokud dané právo takové upozornění nezakazuje. 3.2 Zdokumentované pokyny podle čl. 3.1 se vztahují i na předání osobních údajů do třetí země nebo mezinárodní organizaci (čl. 28 odst. 3 písm. a) GDPR). 3.3 Pokud Poskytovatel považuje pokyn za porušující GDPR, bezodkladně o tom Správce informuje. 3.4 Správce prohlašuje a odpovídá za to, že osobní údaje vkládané do Služby získává a poskytuje v souladu s GDPR (zejména že disponuje právním základem a splnil informační povinnosti vůči subjektům údajů) a že jeho pokyny jsou v souladu s právem. Pokud je Poskytovateli v důsledku porušení těchto povinností Správce nebo v důsledku protiprávního pokynu uložena sankce nebo mu vznikne škoda, Správce mu je nahradí; regresní nároky podle čl. 82 odst. 5 GDPR tím nejsou dotčeny.

Čl. 4: Důvěrnost Poskytovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

Čl. 5: Zabezpečení zpracování (čl. 32 GDPR) 5.1 Poskytovatel přijal a udržuje přiměřená technická a organizační opatření odpovídající riziku zpracování (čl. 32 GDPR), ke dni účinnosti tohoto znění zejména: šifrování přenosů (TLS), šifrování a podepisování zpráv v síti Peppol (AS4, PKI certifikáty OpenPeppol), řízení přístupů na principu nejmenších privilegií včetně pravidelného přezkoumávání administrátorských přístupů, oddělené produkční a testovací prostředí, bezpečnostní žurnál přístupů a událostí (retence 365 dnů), monitorování chyb a dostupnosti s veřejným stavem na /status, pravidelné zálohování spravované databáze a hardening aplikace (fail-closed autorizační brány). Opatření Poskytovatel průběžně rozvíjí (probíhá zavádění systému řízení informační bezpečnosti podle ISO/IEC 27001 s cílem certifikace v roce 2027); jejich aktuální přehled poskytne na požádání. Změna jednotlivého opatření není porušením této smlouvy, pokud celková úroveň zabezpečení neklesne. 5.2 Data Služby jsou hostována v EU (DigitalOcean, region Frankfurt). 5.3 Povinnosti podle čl. 4, čl. 5 a čl. 8.3 trvají, dokud Poskytovatel osobní údaje uchovává, a to i po zániku této smlouvy. 5.4 Odkazy na doklady bez přihlášení (VOP čl. 11b) jsou odchylkou od zásady nejmenších oprávnění, kterou Správce zapíná a využívá na vlastní pokyn. Poskytovatel u nich zajišťuje: náhodný klíč vázaný na jeden doklad, uložení jen jeho otisku, omezenou platnost, okamžité zrušení jednotlivě i hromadně, záznam každého přístupu (čas, IP adresa) a vyloučení ukládání do vyrovnávacích pamětí a indexování. Za zpřístupnění obsahu osobě, která odkaz získala mimo prostředí Poskytovatele, odpovídá Správce; oznamovací povinnost Poskytovatele podle čl. 33 odst. 2 GDPR při incidentu v jeho prostředí tím není dotčena.

Čl. 6: Subzpracovatelé 6.1 Správce uděluje obecné povolení k zapojení subzpracovatelů. Aktuální seznam ke dni podpisu: • DigitalOcean LLC: cloudová infrastruktura, region Frankfurt (EU) • Brevo (Sendinblue SAS), Francie: transakční e-maily • Sentry (Functional Software, Inc. / Sentry GmbH): monitorování chyb, datový region EU (Německo) • Anthropic PBC, USA: jazykový model pro AI funkce Služby (chatovací asistent a příprava návrhů odpovědí na dotazy a tikety podpory) • Websupport, s. r. o., Slovensko: infrastruktura odesílání e-mailů (SMTP server) • Cloudflare, Inc.: ochrana před boty a DDoS v technicky nezbytném rozsahu Při zpracování plateb kartou (dobíjení předplaceného kreditu, poplatek za zápis zprostředkovatele) jedná Stripe Payments Europe, Ltd. jako samostatný správce a není subzpracovatelem podle této smlouvy. 6.2 Zapojení nového nebo výměnu stávajícího subzpracovatele oznámí Poskytovatel nejméně 30 dnů předem, a to e-mailem na kontaktní adresu účtu a současně zveřejněním na /gdpr. Pokud Správce v této lhůtě vznese odůvodněnou námitku a nenajde se řešení, je oprávněn smlouvu o Službě ukončit bez sankce ke dni účinnosti změny. 6.3 Poskytovatel uloží každému subzpracovateli smluvně rovnocenné povinnosti ochrany údajů jako v této smlouvě a odpovídá za plnění jeho povinností.

Čl. 7: Předání do třetích zemí Zpracování probíhá primárně v EU/EHP. U subzpracovatelů se sídlem v USA (Anthropic; mateřské společnosti DigitalOcean, Cloudflare, Sentry) se případné předání uskutečňuje na základě rozhodnutí o odpovídající ochraně (EU-U.S. Data Privacy Framework), případně standardních smluvních doložek (SCC) s doplňujícími opatřeními.

Čl. 8: Součinnost 8.1 Poskytovatel s přihlédnutím k povaze zpracování poskytne Správci součinnost při plnění povinností vůči subjektům údajů (čl. 12 až 23 GDPR) vhodnými technickými prostředky (exporty, přístup k dokladům přes portál a API, vymazání účtu). 8.2 Poskytovatel poskytne součinnost při zajištění souladu s čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu) s přihlédnutím k informacím, které má k dispozici. Součinnost nad rámec běžného provozu Služby (zejména rozsáhlé výpisy a analýzy, účast na posouzení vlivu, součinnost při auditu podle čl. 9) poskytne za náhradu účelně vynaložených nákladů v obvyklé výši. 8.3 Porušení zabezpečení osobních údajů oznámí Poskytovatel Správci bez zbytečného odkladu poté, co se o něm dozvěděl, zpravidla do 72 hodin od tohoto okamžiku, s popisem povahy porušení, pravděpodobných následků a přijatých nebo navrhovaných opatření; informace může poskytovat postupně, jak jsou k dispozici.

Čl. 9: Audit 9.1 Poskytovatel zpřístupní Správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR a umožní audity včetně inspekcí prováděných Správcem nebo jím pověřeným auditorem. 9.2 Audit se provede po písemném oznámení nejméně 30 dnů předem, v pracovní době, maximálně jednou ročně (to neplatí po bezpečnostním incidentu nebo na pokyn dozorového úřadu), způsobem, který nepřiměřeně nenarušuje provoz, a s ochranou důvěrných informací Poskytovatele a třetích osob (auditor nesmí být konkurentem Poskytovatele a podepíše závazek mlčenlivosti). Náklady auditu včetně účelně vynaložených nákladů Poskytovatele na součinnost nese Správce. 9.3 Povinnost podle čl. 9.1 může Poskytovatel splnit i zpřístupněním aktuálních zpráv, certifikací nebo vyplněného bezpečnostního dotazníku, pokud přiměřeně dokládají plnění povinností; audit na místě se v takovém případě provede, jen pokud tyto podklady odůvodněně nepostačují.

Čl. 10: Závěrečná ustanovení 10.1 Tato smlouva je neoddělitelnou součástí smluvního vztahu o Službě; při rozporu má ve věcech ochrany osobních údajů přednost tato smlouva. Přísnější nebo pro Správce příznivější povinnosti Poskytovatele sjednané v Obchodních podmínkách zprostředkování nebo individuálně (zejména lhůta oznámení porušení zabezpečení osobních údajů do 48 hodin a lhůta oznamování subzpracovatelů 45 dnů předem) nejsou s touto smlouvou v rozporu a mají před jejím obecným zněním přednost. Odpovědnost Stran za škodu se řídí smlouvou o Službě včetně případně sjednané limitace náhrady škody; tím nejsou dotčena kogentní ustanovení GDPR o odpovědnosti vůči subjektům údajů. 10.2 Poskytovatel může znění této smlouvy pro smlouvy uzavírané odkazem měnit stejným režimem jako VOP: oznámením nejméně 30 dnů před účinností změny (e-mail + /zmluvy); pokud Správce se změnou nesouhlasí, může smluvní vztah o Službě ukončit ke dni účinnosti změny bez sankce. Předchozí verze znění Poskytovatel na požádání zpřístupní. 10.3 Smlouva se řídí právem SR. Zaniká zánikem smluvního vztahu o Službě; čl. 1.2, čl. 4, čl. 5 a čl. 8.3 trvají i po zániku v rozsahu podle čl. 5.3.

Čl. 11: Vztah zpracovatel a další zpracovatel (čl. 28 odst. 4 GDPR) 11.1 Pokud Zákazník využívá Službu jako zpracovatel pro své vlastní klienty (správce), zejména jako Zprostředkovatel podle Obchodních podmínek zprostředkování, jedná Poskytovatel v postavení dalšího zpracovatele podle čl. 28 odst. 4 GDPR (v obchodní praxi označovaného i jako subzpracovatel; subzpracovateli podle čl. 6 této smlouvy se rozumějí dodavatelé Poskytovatele). Řetězec zpracování je tedy následující: klient Zákazníka je správcem, Zákazník je zpracovatelem a Poskytovatel je dalším zpracovatelem. Tato smlouva se v takovém případě použije přiměřeně tak, že práva a povinnosti Správce podle této smlouvy vykonává Zákazník jako zpracovatel vlastním jménem, ve prospěch a na základě zdokumentovaných pokynů svých správců; zvláštní dokument se nevyžaduje, na žádost Zákazníka strany uzavřou i samostatné podepsané vyhotovení. 11.2 Zákazník v postavení zpracovatele prohlašuje a odpovídá za to, že pokyny, které Poskytovateli uděluje, jsou kryty pokyny a právním základem jeho správců a jeho smlouvami podle čl. 28 odst. 3 GDPR; čl. 3.4 se použije stejně. Poskytovatel plní povinnosti podle této smlouvy (včetně ohlašování porušení, oznamování subzpracovatelů, součinnosti a auditu) vůči Zákazníkovi; vůči správcům Zákazníka je Zákazník vykonává sám. 11.3 Lhůty sjednané v Obchodních podmínkách zprostředkování (oznámení porušení zabezpečení osobních údajů do 48 hodin od zjištění, oznámení zapojení nového subzpracovatele nejméně 45 dnů předem s právem námitky) platí pro tento vztah namísto obecných lhůt podle čl. 6.2 a čl. 8.3 této smlouvy. 11.4 U osobních údajů, které Poskytovatel zpracovává k plnění vlastních zákonných povinností nebo pro své vlastní oprávněné účely, jedná Poskytovatel jako samostatný správce. Jde výlučně o tyto účely: (a) daňová hlášení a s nimi související záznamy podle zákona č. 385/2025 Z. z. a závazného rámce Peppol včetně povinných hlášení Peppol autoritě a koordinační autoritě sítě Peppol; (b) bezpečnostní záznamy a záznamy o přístupech a událostech podle čl. 5.1; (c) fakturace služeb Poskytovatele a vedení jeho vlastních účetních a daňových dokladů podle zákona č. 431/2002 Z. z.; (d) uplatňování a obhajoba právních nároků Poskytovatele. Tento výčet je uzavřený; jeho rozšíření je změnou této smlouvy podle čl. 10.2. Za zpracování podle tohoto bodu odpovídá Poskytovatel jako správce a sankci, která mu za něj byla uložena, na Zákazníka nepřenáší; to neplatí v rozsahu, v jakém byla její příčinou porušení povinností Zákazníka, nepravdivost jím poskytnutých údajů, jeho protiprávní pokyn nebo obsah dokladů jeho klientů. Čl. 3.4, čl. 11.2 a regresní nároky podle čl. 82 odst. 5 GDPR tím nejsou dotčeny. 11.5 Postavení samostatného správce podle čl. 11.4 se nevztahuje na obsah přenášených dokladů: ve vztahu k němu jedná Poskytovatel vždy jen v postavení podle čl. 11.1 a za správnost, úplnost a zákonnost obsahu dokladů odpovídá klient Zákazníka jako správce. Zpracování podle čl. 11.4 nezakládá právo Poskytovatele použít osobní údaje zpracovávané pro Zákazníka k jiným účelům; Poskytovatel je nepoužívá pro vlastní marketingové účely, k profilování ani k trénování modelů strojového učení. 11.6 Rozdělení rolí podle tohoto článku je deklaratorní a uplatní se výlučně pro účely GDPR. Postavení stran se určuje podle skutečného vlivu na účely a prostředky zpracování; pokud z povahy konkrétního zpracování vyplyne jiné postavení, uplatní se GDPR a strany bez zbytečného odkladu upraví znění tak, aby mu odpovídalo. Rozdělení rolí nemá vliv na rozsah povinností a odpovědnosti stran podle Obchodních podmínek zprostředkování, zejména podle jejich čl. 4 a čl. 5, a nezakládá odpovědnost Poskytovatele za sankce, náklady ani nároky, jejichž příčinou je jednání Zákazníka, jeho zákazníků nebo obsah jejich dokladů. Na žádost Zákazníka mu Poskytovatel bezplatně poskytne písemné prohlášení o rozdělení rolí podle tohoto článku, aby ho mohl předložit svým správcům.

V ............................., dne ....................

Správce: ............................ Poskytovatel: ............................