Tato smlouva o zpracování osobních údajů (dále jen „DPA“) se uzavírá podle čl. 28 GDPR mezi zákazníkem služby Doruna jako správcem a společností Rosen Tower s.r.o., IČO 23407778, jako zpracovatelem.

DPA je nedílnou součástí Obchodních podmínek. Přijetím Obchodních podmínek zákazník uzavírá i tuto DPA.

1. Předmět a postavení stran

Zpracovatel zpracovává osobní údaje jménem Správce výhradně za účelem poskytování Služby. Správce odpovídá za zákonnost zpracování a existenci právního základu. Bližší popis zpracování je v Příloze 1.

Správce souhlasí s tím, aby Zpracovatel v rámci Služby využíval nástroje umělé inteligence (např. pro analýzu dokumentů, návrhy párování plateb, souhrny datových zpráv). Správce je povinen o tomto využití řádně informovat subjekty údajů, jejichž osobní údaje jsou ke zpracování pomocí AI využívány.

Analytické nástroje uvedené v Seznamu zpracovatelů dostávají jen údaje o užívání aplikace, a to pouze se souhlasem uživatele; obsah dokladů ani jiná data vložená Správcem jim Zpracovatel nepředává.

2. Pokyny Správce

Zpracovatel zpracovává osobní údaje pouze na základě doložitelných pokynů Správce (tato DPA, Obchodní podmínky a nastavení ve Službě). Zpracovatel informuje Správce, má-li za to, že pokyn porušuje GDPR.

3. Povinnosti Zpracovatele

Zpracovávat údaje pouze v souladu s pokyny Správce
Zavázat oprávněné osoby k mlčenlivosti
Přijmout vhodná technická a organizační opatření (čl. 32 GDPR)
Dodržovat podmínky pro zapojení dalších zpracovatelů
Napomáhat Správci při plnění povinností vůči subjektům údajů
Ohlašovat porušení zabezpečení bez zbytečného odkladu
Po skončení Služby vrátit nebo vymazat data
Umožnit audit dle čl. 7

4. Další zpracovatelé

Správce uděluje obecné povolení k zapojení dalších zpracovatelů uvedených v Seznamu zpracovatelů (skupina A). O zamýšlené změně nebo přidání nového zpracovatele informujeme předem; Správce má právo vznést námitku do 5 pracovních dnů od doručení oznámení. Po uplynutí lhůty bez námitky se změna považuje za odsouhlasenou.

5. Součinnost při právech subjektů

Obrátí-li se subjekt údajů na Zpracovatele, odkážeme jej na Správce a poskytneme přiměřenou technickou součinnost.

6. Ohlašování porušení bezpečnosti

Zjistíme-li porušení bezpečení osobních údajů, ohlásíme jej Správci bez zbytečného odkladu s informacemi nezbytnými pro splnění jeho povinností vůči ÚOOÚ a subjektům údajů.

7. Audit

Na vyžádání poskytujeme dokumenty a osvědčení prokazující soulad. Fyzický audit je možný na základě přiměřeného předchozího oznámení (zpravidla 30 dnů), v pracovní době, nejvýše jednou ročně (mimo incidenty). Veškeré účelně vynaložené náklady Zpracovatele spojené s auditem hradí Správce. Auditoři jsou vázáni mlčenlivostí. Veškeré dokumenty zpřístupněné při auditu jsou důvěrnými informacemi Zpracovatele a nesmí být sděleny třetím osobám s výjimkou dozorového úřadu.

8. Výmaz po ukončení

Po zrušení účtu nebo smazání firmy Zpracovatel data uchová ještě 30 dnů; v této lhůtě Správci na žádost připraví jejich export podle čl. 5 Obchodních podmínek. Poté data vymaže; ze záloh se odstraní nejpozději do dalších 30 dnů. Další lhůty jsou uvedeny v Zásadách ochrany osobních údajů.

9. Předání mimo EU/EHP

Předání dalším zpracovatelům mimo EU/EHP probíhá pouze na základě rozhodnutí Komise o odpovídající ochraně (EU-U.S. DPF u certifikovaných příjemců) nebo standardních smluvních doložek podle Přílohy 3 (viz Seznam zpracovatelů).

10. Odpovědnost

Odpovědnost stran se řídí čl. 82 GDPR a omezením uvedeným v čl. 12 Obchodních podmínek. Správce odpovídá za zákonnost zpracování a pokyny.

Příloha 1 — Popis zpracování

Předmět	Poskytování účetní a CRM služby Doruna
Účel	Ukládání, zpřístupnění a analýza dat vložených Správcem
Doba	Po dobu smlouvy; po zrušení účtu nebo smazání firmy ještě 30 dnů (čl. 8)
Kategorie subjektů	Zaměstnanci a jejich rodinní příslušníci, obchodní partneři, dodavatelé a koncoví zákazníci Správce; OSVČ, jejich děti a manžel nebo manželka (daňová podání); osoby, kterým Správce zpřístupní doklady v klientském portálu
Kategorie údajů	Identifikační, kontaktní, bankovní, mzdové a personální údaje, údaje OSVČ pro daňová podání (rodné číslo, číslo pojištěnce, údaje pro slevy na dani), obsah dokladů a datových zpráv
Zvláštní kategorie	Výjimečně v mzdové agendě (zdravotní pojišťovna, ZTP, pracovní neschopnost) a u OSVČ (stupeň invalidity a průkaz ZTP/P pro slevy na dani, invalidní důchod jako důvod vedlejší činnosti) — pouze na pokyn Správce

Příloha 2 — Další zpracovatelé

Viz Seznam zpracovatelů, skupina A.

Příloha 3 — Standardní smluvní doložky

Pro předání osobních údajů zpracovávaných pro Správce dalším zpracovatelům mimo EU/EHP, kteří nejsou certifikováni v rámci EU-U.S. DPF, se použijí standardní smluvní doložky schválené Evropskou komisí — Modul 3 (zpracovatel → zpracovatel) ve znění prováděcího rozhodnutí Komise (EU) 2021/914. Mezi Správcem usazeným v EU/EHP a Zpracovatelem se doložky nepoužijí.

Příloha 4 — Technická a organizační opatření

Šifrovaný přenos (HTTPS/TLS, HSTS), hashování hesel (bcrypt), šifrování vybraných citlivých polí v databázi (AES-256; výčet uvádí čl. 10 Zásad ochrany osobních údajů), šifrování záloh databáze (AES-256), řízení přístupu dle rolí (RBAC), dvoufázové ověření (2FA), ochrana proti CSRF, auditní záznamy, provoz aplikace a databáze v EU.

Smlouva o zpracování osobních údajů (DPA)