Smlouva o zpracování osobních údajů
Jak zpracováváme osobní údaje vašich odběratelů, dodavatelů a dalších osob, které do Fakturobotu vložíte – podle čl. 28 GDPR.
1. Smluvní strany a předmět
Tato smlouva je součástí smlouvy o službě Fakturobot podle obchodních podmínek a uzavírá se v elektronické formě mezi zákazníkem identifikovaným při uzavření smlouvy a společností Online Factory s.r.o., IČO 24273635, se sídlem Rumunská 1798/1, 120 00 Praha 2, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 199638 (dále „poskytovatel“).
Zákazník pověřuje poskytovatele zpracováním osobních údajů za účelem poskytování zvolených funkcí Fakturobotu. Je zpravidla správcem; pokud je sám zpracovatelem, zajišťuje pokyny a povolení svého správce a poskytovatel jedná jako další zpracovatel. Zákazník určuje oprávněné účely a rozsah vložených údajů. Tato smlouva neupravuje vlastní správcovské účely poskytovatele popsané v Zásadách ochrany osobních údajů.
2. Rozsah zpracování
| Náležitost | Vymezení |
|---|---|
| Předmět a účel | Ukládání, správa a zpracování dokladů a kontaktů, automatizace, podpora, exporty a integrace na pokyn zákazníka |
| Povaha operací | Získávání vložených dat, uspořádání, ukládání, čtení, aktualizace, vyhledávání, výpočty, odeslání zvoleným příjemcům, zálohování, obnova, export a výmaz |
| Doba | Po dobu smlouvy a do dokončení vrácení či výmazu podle ní; povinnosti ochrany trvají, dokud zůstávají kopie |
| Subjekty údajů | Odběratelé, dodavatelé, OSVČ, kontaktní osoby, zaměstnanci a spolupracovníci zákazníka, uživatelé, účetní a osoby uvedené na dokladech |
| Druhy údajů | Jméno, adresa, pracovní a fakturační identifikátory, kontakty, bankovní spojení, údaje transakcí a dokladů, položky, splatnosti, přílohy, související poznámky a provozní metadata |
| Omezení | Služba není určena pro ukládání zvláštních kategorií údajů podle čl. 9 GDPR ani údajů podle čl. 10; jejich záměrné vkládání vyžaduje předchozí zvláštní dohodu a odpovídající opatření |
Zákazník minimalizuje osobní údaje v poznámkách a přílohách; například popis zdravotního výkonu může odhalovat citlivé údaje, i když je vložen na běžnou fakturu. Omezení služby nezbavuje poskytovatele povinnosti chránit údaje, které se do ní přesto dostaly.
3. Pokyny a mlčenlivost
Poskytovatel zpracovává údaje jen na doložené pokyny zákazníka, včetně pokynů k předání do třetích zemí, ledaže mu zpracování ukládá právo EU nebo členského státu. V takovém případě o povinnosti předem informuje, pokud to zákon nezakazuje. Pokyny tvoří tato smlouva, nastavení funkcí a oprávněné požadavky zákazníka. Pokyn, který podle poskytovatele porušuje předpisy o ochraně údajů, bezodkladně oznámí zákazníkovi.
Osoby s přístupem k údajům jsou vázány mlčenlivostí nebo příslušnou zákonnou povinností. Jejich oprávnění jsou omezena podle pracovních potřeb a při jejich zániku odebrána.
4. Zabezpečení
Poskytovatel přijme a bude udržovat technická a organizační opatření odpovídající rizikům podle čl. 32 GDPR, zejména pro důvěrnost, integritu, dostupnost, obnovitelnost a ověřování účinnosti zabezpečení. Zavedená opatření uvádí příloha A. Změny nesmí bez odpovídající náhrady snížit sjednanou úroveň ochrany. Srozumitelný popis najdete také na stránce Bezpečnost vašich dat.
| Oblast | Opatření |
|---|---|
| Přenos dat | Web, aplikace a API jen přes HTTPS (nešifrované spojení přesměrujeme, prohlížeči posíláme HSTS). |
| Přihlášení | Hesla ukládáme jen jako otisk algoritmem Argon2id. Dvoufázové ověření (aplikace s kódy TOTP a jednorázové záložní kódy) si může zapnout každý uživatel; pro správce je povinné. Počet pokusů o přihlášení, obnovu hesla a ověření kódu je omezený. Odkazy pro obnovu hesla a pozvánky jsou jednorázové s omezenou platností. |
| Relace | Uživatel vidí svá přihlášená zařízení a může je odhlásit; změna hesla ukončí ostatní přihlášení. O přihlášení z nového zařízení pošleme e-mail. |
| Oddělení zákazníků | Každý požadavek na data se ověřuje proti firmě přihlášeného uživatele; oddělení dat firem prověřují automatizované testy. Oprávnění uživatelů ve firmě určují role. |
| Uložená tajemství | Přístupové tokeny k bankám, tajné klíče dvoufázového ověření a podpisové klíče e-mailů ukládáme šifrovaně. Klíče API a jednorázové odkazy ukládáme jen jako otisk. |
| Soubory | Nahrané soubory kontrolujeme podle skutečného typu a velikosti; přílohy dokladů a exporty ukládáme mimo veřejně dostupnou část serveru a vydáváme jen po ověření oprávnění. |
| Aplikace | Prohlížeči posíláme bezpečnostní hlavičky včetně vynucených zásad zabezpečení obsahu (CSP). Závislosti aplikace kontrolujeme na známé zranitelnosti při každém sestavení. |
| Záznamy a monitoring | Změny v účtech a firmách zaznamenáváme do auditního záznamu (bez hesel a obsahu formulářů) a uchováváme 2 roky. Hlášení chyb neobsahuje IP adresy, cookies ani obsah formulářů. |
| Správa systému | Správcovský přístup vyžaduje dvoufázové ověření; servisní zásahy do dat se zaznamenávají. |
| Výmaz | Smazání uživatelského účtu po 30denní lhůtě anonymizuje jméno, e-mail a heslo. Zrušení firmy po 30denní lhůtě zablokuje přístup k jejím datům. |
5. Další zpracovatelé
Zákazník uděluje obecné písemné povolení zapojit další zpracovatele uvedené v aktuálním seznamu na stránce Zpracovatelé a dodavatelé. Seznam obsahuje činnost, kategorie dat, místa zpracování a záruky předávání mimo EHP.
O zamýšleném přidání nebo nahrazení dalšího zpracovatele poskytovatel zákazníka předem informuje a dá mu možnost vznést proti změně námitku. Strany pak hledají vhodnou alternativu.
Poskytovatel uloží dalším zpracovatelům stejné povinnosti ochrany údajů v odpovídajícím rozsahu a vůči zákazníkovi odpovídá za plnění jejich povinností podle čl. 28 GDPR. Naléhavost sama o sobě nenahrazuje potřebné povolení nového zpracovatele.
6. Součinnost a žádosti
S přihlédnutím k povaze zpracování poskytovatel zákazníkovi pomáhá při žádostech subjektů údajů a při plnění povinností podle čl. 32 až 36 GDPR, včetně posouzení dopadů a předchozí konzultace. Žádost týkající se zákaznické agendy předá bez zbytečného odkladu zákazníkovi a sám ji věcně nevyřídí bez jeho pokynu, není-li povinen zákonem.
Poskytovatel zpřístupní informace potřebné k doložení plnění této smlouvy a umožní audity včetně kontrol zákazníkem nebo jím pověřeným auditorem. Rozsah a bezpečný postup se přiměřeně koordinují, aby nebyla zpřístupněna data ostatních zákazníků. Koordinace nesmí fakticky znemožnit zákonné právo auditu ani naléhavou kontrolu při incidentu.
7. Bezpečnostní incidenty
Porušení zabezpečení osobních údajů oznámí poskytovatel zákazníkovi bez zbytečného odkladu poté, co se o něm dozví. Nečeká na dokončení celého vyšetřování. Oznámení podle dostupnosti zahrnuje povahu události, dotčené kategorie a přibližné počty osob a záznamů, kontaktní místo, pravděpodobné důsledky a přijatá či navržená opatření. Další zjištění doplňuje postupně.
Zákazník jako správce posuzuje povinnost ohlášení dozorovému úřadu a dotčeným osobám; poskytovatel mu poskytne potřebnou součinnost. Zákonná lhůta správce, pokud je ohlašovací povinnost dána, zpravidla činí nejvýše 72 hodin od zjištění; nejde o dovolenou čekací dobu zpracovatele na první oznámení zákazníkovi.
8. Vrácení, výmaz a předávání
Zákazník si data může kdykoli vyexportovat (data firmy v CSV s nahranými přílohami, doklady v PDF). Po skončení zpracování poskytovatel podle volby zákazníka údaje vrátí nebo vymaže a vymaže existující kopie, pokud jejich uchování nevyžaduje právo EU nebo členského státu. Na žádost potvrdí provedení výmazu.
Zbylé záložní kopie zůstávají do výmazu chráněné a mimo běžné používání. Pokud je nutné obnovit systém ze zálohy, znovu se uplatní evidované pokyny k výmazu. Vlastní zákonné uchovávání faktur za předplatné neopravňuje poskytovatele ponechat celý obsah zákaznické agendy.
Předávání mimo EHP se uskuteční jen podle doloženého pokynu a při splnění kapitoly V GDPR. Místo, příjemce a mechanismus uvádí seznam zpracovatelů.