Smlouva o zpracování osobních údajů

Toto je český překlad, který má pouze informativní povahu. Právně závazné je výhradně slovenské znění této smlouvy.

Stručně a srozumitelně

Tento přehled slouží jen k rychlé orientaci. Právně závazné je úplné znění níže.

• Když si do frega ukládáte údaje o svých klientech, kontaktech nebo spolupracovnících, jste jejich správcem vy. My je zpracováváme jen na váš pokyn, jako zpracovatel podle čl. 28 GDPR.
• Tuto smlouvu uzavíráte automaticky přijetím Obchodních podmínek. Nic nemusíte podepisovat.
• Údaje používáme jen k poskytování Služby, nikdy pro vlastní účely, a chráníme je přiměřenými opatřeními. Trezor je šifrovaný end-to-end a jeho obsah nevidíme.
• S některými úkoly nám pomáhají další zpracovatelé (seznam je v Příloze 1). O jejich změně vás předem informujeme.
• Při porušení zabezpečení údajů vás bez zbytečného odkladu upozorníme a pomůžeme vám s vyřízením žádostí subjektů údajů.
• Po zrušení účtu se údaje trvale vymažou po 30 dnech.

Článek 1 – Smluvní strany a uzavření smlouvy

1.1 Tato smlouva o zpracování osobních údajů (dále jen „Smlouva o zpracování“) se uzavírá mezi:

a) Uživatelem Služby frego, který je ve vztahu k osobním údajům podle článku 3 správcem ve smyslu nařízení (EU) 2016/679 (dále jen „GDPR“), a

b) společností WCR Technologies s. r. o., Karpatské námestie 7770/10A, 831 06 Bratislava – Rača, Slovenská republika, IČO: 57261733, zapsanou v obchodním rejstříku Městského soudu Bratislava III, oddíl Sro, vložka č. 192642/B, e-mail: studio@wcr.sk, která je ve vztahu k těmto údajům zpracovatelem (dále jen „Zpracovatel“).

1.2 Smlouva o zpracování je součástí smlouvy o poskytování Služby uzavřené podle Všeobecných obchodních podmínek (dále jen „VOP“). Uživatel ji přijímá spolu s VOP při registraci; samostatný podpis se nevyžaduje. Pojmy s velkým počátečním písmenem, které nejsou definovány v této Smlouvě o zpracování, mají význam podle VOP. Pojmy „osobní údaje“, „zpracování“, „subjekt údajů“, „porušení zabezpečení osobních údajů“ a další mají význam podle GDPR.

1.3 Tato Smlouva o zpracování se nevztahuje na osobní údaje, které Zpracovatel zpracovává jako správce (zejména údaje o účtu Uživatele, platební údaje, komunikaci s podporou a bezpečnostní záznamy); ty upravují Zásady ochrany osobních údajů.

Článek 2 – Předmět, povaha, účel a doba zpracování

2.1 Předmětem je zpracování osobních údajů, které Uživatel, Členové jeho Projektů nebo jím pozvané osoby vloží do Služby, a to výhradně za účelem poskytování Služby Uživateli podle VOP.

2.2 Povaha zpracování zahrnuje zejména uchovávání, uspořádání, zobrazování, vyhledávání, zpřístupňování Členům projektu podle nastavení Uživatele, zálohování, zasílání notifikací, generování dokumentů (například faktur a výkazů práce), synchronizaci se službami, které Uživatel propojí, zpracování prostřednictvím AI funkcí, které Uživatel spustí, a výmaz.

2.3 Doba zpracování odpovídá době trvání smlouvy o poskytování Služby a lhůtě pro výmaz údajů podle článku 10.

Článek 3 – Kategorie subjektů údajů a osobních údajů

3.1 Kategorie subjektů údajů: klienti Uživatele a jejich zástupci a kontaktní osoby, Členové projektu a další osoby pozvané do Projektů, dodavatelé a odběratelé uvedení na fakturách a další osoby, o nichž Uživatel ve Službě vede záznamy.

3.2 Kategorie osobních údajů: identifikační a kontaktní údaje (jméno, e-mail, telefon, adresa, IČO, DIČ, IČ DPH), údaje na fakturách a o platbách, obsah úkolů, komentářů, poznámek, specifikací, nápadů a myšlenkových map, záznamy o odpracovaném čase, soubory a jejich obsah, hlasové nahrávky, údaje o událostech v kalendáři a položky Trezoru.

3.3 Položky Trezoru se šifrují v prohlížeči end-to-end a Zpracovatel je uchovává pouze v zašifrované podobě bez možnosti přístupu k jejich obsahu.

3.4 Služba není určena ke zpracování zvláštních kategorií osobních údajů (čl. 9 GDPR) ani údajů týkajících se trestných činů (čl. 10 GDPR). Pokud je Uživatel do Služby přesto vloží, odpovídá za to, že má k jejich zpracování právní základ a že přijatá opatření jsou pro ně dostatečná.

Článek 4 – Pokyny Uživatele

4.1 Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů Uživatele. Za takové pokyny se považují tato Smlouva o zpracování, VOP a úkony, které Uživatel nebo jím oprávněné osoby provedou ve Službě (například vložení, úprava, sdílení nebo smazání údajů, pozvání Člena projektu, zapnutí integrace či spuštění AI funkce). Další pokyny může Uživatel dát e-mailem na studio@wcr.sk, pokud jsou technicky proveditelné a v souladu se Službou.

4.2 Zpracovatel nezpracovává osobní údaje pro vlastní účely, neprodává je a nepoužívá je k reklamě ani k trénování modelů umělé inteligence.

4.3 Pokud je Zpracovatel povinen zpracovávat osobní údaje na základě práva Unie nebo členského státu, informuje o tom Uživatele před zpracováním, pokud mu to dané právo nezakazuje.

4.4 Pokud se Zpracovatel domnívá, že pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů, neprodleně o tom Uživatele informuje a není povinen takový pokyn provést.

Článek 5 – Povinnosti Zpracovatele

5.1 Zpracovatel:

a) zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby podléhaly zákonné povinnosti mlčenlivosti, b) přijme a udržuje technická a organizační opatření podle čl. 32 GDPR, jejichž souhrn je uveden v Příloze 2; opatření může měnit, pokud se tím úroveň ochrany nesníží, c) dodržuje podmínky zapojení dalších zpracovatelů podle článku 6, d) poskytuje Uživateli součinnost podle článku 8, e) oznamuje porušení zabezpečení osobních údajů podle článku 9, f) po skončení poskytování Služby postupuje podle článku 10, g) poskytuje Uživateli informace a umožňuje audity podle článku 11.

Článek 6 – Další zpracovatelé

6.1 Uživatel uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Další zpracovatelé zapojení ke dni účinnosti této Smlouvy o zpracování jsou uvedeni v Příloze 1.

6.2 Zpracovatel informuje Uživatele o zamýšleném přidání nebo nahrazení dalšího zpracovatele e-mailem nebo ve Službě nejméně 14 dní předem a aktualizuje Přílohu 1. Uživatel může proti změně z odůvodněných důvodů týkajících se ochrany osobních údajů vznést námitku na studio@wcr.sk. Pokud se strany nedohodnou na řešení, Uživatel může Smlouvu ukončit zrušením účtu před účinností změny, přičemž má nárok na vrácení poměrné části zaplacené ceny za období po ukončení Smlouvy.

6.3 Zpracovatel uloží každému dalšímu zpracovateli smluvně stejné povinnosti ochrany osobních údajů, jaké jsou uvedeny v této Smlouvě o zpracování, zejména povinnost poskytnout dostatečné záruky přiměřených technických a organizačních opatření. Za splnění povinností dalšího zpracovatele odpovídá Zpracovatel Uživateli podle čl. 28 odst. 4 GDPR.

Článek 7 – Předávání do třetích zemí

7.1 Zpracovatel ukládá osobní údaje v Evropské unii. Někteří další zpracovatelé uvedení v Příloze 1 mohou údaje zpracovávat i v USA. Takové předání probíhá jen na základě rozhodnutí o odpovídající ochraně (EU–US Data Privacy Framework) nebo standardních smluvních doložek a v souladu s kapitolou V GDPR.

7.2 Údaje se poskytovatelům AI funkcí předávají jen tehdy, když Uživatel nebo Člen projektu AI funkci sám spustí, a jen v rozsahu nezbytném k provedení dané akce.

Článek 8 – Součinnost

8.1 Zpracovatel s ohledem na povahu zpracování pomáhá Uživateli prostřednictvím vhodných technických a organizačních opatření plnit povinnost reagovat na žádosti subjektů údajů o výkon jejich práv. Většinu žádostí (přístup, oprava, výmaz) může Uživatel vyřídit přímo ve Službě; v ostatních případech mu Zpracovatel na požádání poskytne součinnost, například export údajů.

8.2 Pokud se subjekt údajů obrátí se žádostí přímo na Zpracovatele, Zpracovatel ji bez zbytečného odkladu postoupí Uživateli, pokud jej dokáže určit, a sám na ni věcně neodpoví, pokud jej k tomu Uživatel nepověří.

8.3 Zpracovatel s ohledem na povahu zpracování a dostupné informace pomáhá Uživateli při plnění povinností podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace).

Článek 9 – Porušení zabezpečení osobních údajů

9.1 Zpracovatel oznámí Uživateli porušení zabezpečení osobních údajů, které se týká jeho údajů, bez zbytečného odkladu poté, co se o něm dozví, e-mailem na adresu účtu.

9.2 Oznámení obsahuje, v rozsahu, v jakém jsou informace dostupné, popis povahy porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky a přijatá nebo navrhovaná opatření, jakož i kontakt pro získání dalších informací. Informace, které nejsou dostupné hned, Zpracovatel poskytne postupně.

9.3 Zpracovatel neprodleně přijme přiměřená opatření ke zmírnění následků porušení. Ohlášení porušení dozorovému úřadu a oznámení subjektům údajů zajišťuje Uživatel jako správce; Zpracovatel mu při tom poskytne součinnost.

Článek 10 – Výmaz a vrácení údajů

10.1 Po dobu trvání účtu může Uživatel osobní údaje kdykoli ve Službě upravit, stáhnout (například soubory a faktury) nebo smazat. Na žádost zaslanou na studio@wcr.sk mu Zpracovatel poskytne údaje ve strukturovaném, běžně používaném a strojově čitelném formátu.

10.2 Po zrušení účtu se účet okamžitě zablokuje a po uplynutí 30 dní se všechny osobní údaje zpracovávané podle této Smlouvy o zpracování trvale vymažou, včetně souborů, Projektů a faktur. Pokud Uživatel při zrušení účtu předá Projekty některému z jejich Členů, přecházejí údaje v těchto Projektech na nového Vlastníka projektu. Údaje Uživatele v Projektech jiných Vlastníků se anonymizují podle bodu 10.5 VOP.

10.3 Zálohy se vytvářejí denně a uchovávají 7 dní; smazané údaje se proto ze záloh odstraní nejpozději do 7 dnů. Zálohy jsou uloženy v rámci infrastruktury v EU a do jejich odstranění se nepoužívají k jinému účelu než k obnově Služby.

10.4 Povinnost výmazu se neuplatní, pokud právo Unie nebo členského státu vyžaduje uchování osobních údajů.

Článek 11 – Informace a audit

11.1 Zpracovatel poskytne Uživateli na požádání informace potřebné k doložení splnění povinností podle čl. 28 GDPR, zejména písemný popis přijatých opatření a aktuální seznam dalších zpracovatelů.

11.2 Pokud tyto informace nepostačují, Uživatel nebo jím pověřený auditor vázaný mlčenlivostí může provést audit včetně kontroly, a to po předchozím oznámení nejméně 30 dní předem, v přiměřeném rozsahu, v pracovní době, bez narušení provozu Služby a bez přístupu k údajům jiných Uživatelů. Audit lze provést nejvýše jednou za 12 měsíců, s výjimkou případu porušení zabezpečení osobních údajů nebo požadavku dozorového úřadu. Náklady auditu nese Uživatel.

11.3 Audit u dalších zpracovatelů se provádí předložením jejich certifikací, zpráv o auditu nebo jiných dokumentů, které tito poskytovatelé zpřístupňují.

Článek 12 – Povinnosti Uživatele

12.1 Uživatel odpovídá za to, že osobní údaje do Služby vkládá a zpracovává v ní zákonně, zejména že má ke zpracování právní základ, že subjekty údajů řádně informoval a že je oprávněn údaje zpřístupnit osobám, které pozve do Projektů.

12.2 Uživatel odpovídá za výběr rolí Členů projektu, za nastavení sdílení (například veřejných odkazů na soubory) a za to, jaké údaje předá AI funkcím.

12.3 Uživatel je povinen chránit své přihlašovací údaje, hlavní heslo a recovery klíč k Trezoru a bez zbytečného odkladu oznámit Zpracovateli jakékoli podezření na neoprávněný přístup ke svému účtu.

Článek 13 – Odpovědnost

13.1 Odpovědnost stran za škodu způsobenou porušením této Smlouvy o zpracování se řídí čl. 82 GDPR a článkem 15 VOP. Omezení odpovědnosti podle VOP se neuplatní v rozsahu, v jakém je nepřipouštějí kogentní ustanovení právních předpisů.

Článek 14 – Závěrečná ustanovení

14.1 Smlouva o zpracování se uzavírá na dobu trvání smlouvy o poskytování Služby. Povinnosti, které mají svou povahou trvat i po jejím skončení (zejména mlčenlivost a výmaz údajů), trvají až do jejich splnění.

14.2 V otázkách ochrany osobních údajů má tato Smlouva o zpracování přednost před VOP.

14.3 Změny této Smlouvy o zpracování se řídí článkem 21 VOP. Aktualizaci Přílohy 1 podle článku 6 a úpravu Přílohy 2, kterou se nesnižuje úroveň ochrany, nelze považovat za podstatnou nepříznivou změnu.

14.4 Smlouva o zpracování se řídí právem Slovenské republiky. Uzavírá se ve slovenském jazyce; překlady mají pouze informativní povahu.

14.5 Tato Smlouva o zpracování nabývá účinnosti dne 9. 10. 2026.

Příloha 1 – Seznam dalších zpracovatelů

Aktualizace v reálném čase (websockety) provozuje Zpracovatel na vlastních serverech; procházejí přes síť Cloudflare, bez zapojení jiných dalších zpracovatelů. Společnost Stripe zpracovává jen platební a fakturační údaje Uživatele jako zákazníka Zpracovatele (nikoli údaje podle článku 3), a proto není dalším zpracovatelem podle této Smlouvy o zpracování.

Příloha 2 – Technická a organizační opatření

1. Šifrování přenosu: veškerá komunikace mezi prohlížečem, aplikací a serverem probíhá šifrovaně protokolem TLS (HTTPS). Provoz prochází přes síť Cloudflare, která Službu chrání před útoky; spojení mezi sítí Cloudflare a serverem je rovněž šifrované a certifikát serveru se ověřuje.
2. Hesla: hesla k účtům se ukládají jen ve formě bezpečného jednosměrného hashe.
3. Trezor: obsah Trezoru se šifruje end-to-end přímo v prohlížeči Uživatele; Zpracovatel uchovává pouze zašifrovaný obsah a nemá přístup k hlavnímu heslu ani recovery klíči.
4. Šifrované tokeny: přístupové tokeny OAuth ke službám Google se ukládají šifrovaně.
5. Řízení přístupu: údaje jsou dostupné jen Vlastníkovi projektu a Členům projektu podle jejich rolí; přístup k infrastruktuře a produkčním údajům mají jen pověřené osoby Zpracovatele, a to jen v rozsahu nezbytném pro provoz a podporu. Přístup do administrace Služby je chráněn dvoufaktorovým ověřením, zásahy do účtů Uživatelů se zaznamenávají a uchovávají 2 roky a obsah Projektů se v administraci nezobrazuje.
6. Soubory: soubory v cloudu Projektu jsou uloženy v soukromém úložišti a zpřístupňují se přes dočasné podepsané odkazy; profilové fotografie a přílohy úkolů a komentářů jsou uloženy pod náhodnými, neuhodnutelnými adresami; veřejný odkaz na soubor vznikne jen tehdy, když jej Uživatel vytvoří.
7. Hosting v EU: aplikace, databáze, soubory a zálohy jsou umístěny v datovém centru DigitalOcean v Amsterdamu (AMS3).
8. Zálohování a obnova: údaje se denně zálohují v rámci infrastruktury v EU; zálohy se uchovávají 7 dní.
9. Minimalizace a mazání: zrušené účty se trvale vymažou po 30 dnech; historie změn se maže po 365 dnech, záznamy o AI požadavcích po 12 měsících, ověřovací kódy po 7 dnech, přečtené notifikace po 12 měsících, aplikační záznamy po 14 dnech a relace po vypršení platnosti.
10. Monitorování: chyby aplikace se sledují prostřednictvím nástroje Sentry s odesíláním osobních údajů ve výchozím stavu vypnutým; bezpečnostní upozornění od společnosti Google k propojeným účtům se automaticky zpracovávají.
11. Bez sledování: Služba nepoužívá analytické, marketingové ani reklamní nástroje třetích stran a písma načítá z vlastního serveru.