SMLOUVA O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ

uzavřená podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (obecné nařízení o ochraně osobních údajů, dále jen „GDPR“)

Verze 1.4 ze dne 26. října 2026 (nahrazuje verzi 1.2 ze dne 30. září 2026 a verzi 1.3 ze dne 22. října 2026). Datum účinnosti je uvedeno při zveřejnění na https://reporting.finance/legal/ a v oznámení podle článku 17.2.

Smluvní strany

— doplní se při přijetí —
IČO: — doplní se při přijetí —, se sídlem — doplní se při přijetí —,
— doplní se při přijetí —,
za niž jedná — doplní se při přijetí —
(dále jen „Správce“)

a

Hospitality CEE, s.r.o.
IČO: 19489617, se sídlem Kaprova 42/14, Staré Město, 110 00 Praha 1,
zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 387413,
jednající Annou Dempsey, jednatelkou
(dále jen „Zpracovatel“)

(Správce a Zpracovatel společně dále jen „Smluvní strany“, jednotlivě „Smluvní strana“.)

Úvodní ustanovení

A. Zpracovatel provozuje webovou platformu pro manažerský reporting dostupnou pod doménou reporting.finance a pod obchodním označením „CFO Panorama“ (dále jen „Služba“).

B. Správce Službu využívá nebo hodlá využívat na základě Hlavní smlouvy. Při poskytování Služby Zpracovatel pro Správce zpracovává osobní údaje obsažené zejména v účetních datech Správce a v uživatelských účtech.

C. Účelem této smlouvy je upravit práva a povinnosti Smluvních stran při tomto zpracování v souladu s čl. 28 GDPR.

Článek 1 – Definice a výklad

1.1 Pojmy „osobní údaje“, „zpracování“, „správce“, „zpracovatel“, „subjekt údajů“, „porušení zabezpečení osobních údajů“, „zvláštní kategorie osobních údajů“ a „dozorový úřad“ mají význam, který jim přiřazuje GDPR (zejména čl. 4 a 9).

1.2 „Hlavní smlouva“ je smlouva, na jejímž základě Zpracovatel poskytuje Správci Službu. Během bezúplatné beta fáze jde o smlouvu podle Podmínek beta testování služby CFO Panorama („Podmínky beta testování“). Jiná, zejména placená smlouva se použije jen tehdy, pokud ji Smluvní strany řádně uzavřely; tyto podmínky samy nezavádějí placenou službu.

1.3 „Osobní údaje Správce“ jsou osobní údaje, které Zpracovatel zpracovává pro Správce při poskytování Služby a které jsou popsány v Příloze A.

1.4 „Uživatel“ je fyzická osoba, jejíž přístup ke Službě pro Správce byl řádně schválen, ať již na základě pozvánky nebo schválené samostatné registrace. Registrace ani role administrátora samy nezakládají oprávnění uzavřít smlouvu za Správce.

1.5 „Další zpracovatel“ je subdodavatel, kterého Zpracovatel zapojí do zpracování Osobních údajů Správce (čl. 28 odst. 2 a 4 GDPR).

1.6 „Pracovní den“ je den, který není sobotou, nedělí ani svátkem v České republice.

1.7 Přílohy A (Popis zpracování), B (Technická a organizační opatření), C (Další zpracovatelé) a, použije-li se, D (Doplňková opatření pro zdravotní a obdobné údaje) jsou nedílnou součástí této smlouvy. Nadpisy slouží pouze pro orientaci.

Článek 2 – Předmět smlouvy a role Smluvních stran

2.1 Zpracovatel se zavazuje zpracovávat Osobní údaje Správce jménem Správce v rozsahu, za účelem a po dobu stanovené v této smlouvě a v Příloze A. Správce se zavazuje poskytovat Zpracovateli součinnost podle této smlouvy.

2.2 Každá přímo smluvní společnost a její role jsou určeny v záznamu o přijetí nebo podepsané dohodě a v Příloze A, části 2. Nahrává-li Správce údaje dalších společností, zajistí buď jejich platné přistoupení prostřednictvím oprávněných zástupců, nebo doloží, že je zpracovává jako zpracovatel a že příslušný správce povolil zapojení Zpracovatele jako dalšího zpracovatele podle čl. 28 GDPR. Před umožněním nahrávání údajů dané společnosti musí být příslušné oprávnění a smluvní zapojení doloženo. Jedna osoba může přijmout smlouvu za více společností pouze v rozsahu oprávnění za každou z nich. Společné kontaktní místo uděluje pokyny a přijímá oznámení jen v rozsahu příslušného pověření; samotná příslušnost ke skupině toto pověření nenahrazuje.

2.3 Zpracovatel jedná jako samostatný správce pouze pro vlastní, samostatně určené účely: správu smluvního vztahu a kontaktů, plnění vlastních účetních a daňových povinností, nezbytné zabezpečení Služby a prokazování právních nároků. Pro tyto účely zpracovává jen nezbytné údaje podle zásad ochrany osobních údajů na https://reporting.finance/legal/user-privacy-notice. Účetní obsah a uživatelské a provozní záznamy vedené pro reporting Správce zpracovává jako zpracovatel; toto postavení se posuzuje podle účelu, nikoli pouze podle názvu databázové tabulky. Stejný údaj může sloužit různým účelům, ale samostatné správcovství neopravňuje k plošnému ponechání klientských dat po výmazu. Osoby přímo podřízené Zpracovateli jednají podle jeho pokynů v souladu s pokyny Správce; u samostatných dodavatelů se podle skutečné činnosti posoudí režim Dalšího zpracovatele.

2.4 Pokud by Zpracovatel v rozporu s touto smlouvou sám určil účely a prostředky zpracování, považuje se ve vztahu k takovému zpracování za správce (čl. 28 odst. 10 GDPR).

Článek 3 – Pokyny Správce

3.1 Zpracovatel zpracovává Osobní údaje Správce pouze na základě doložených pokynů Správce, a to i pokud jde o předání do třetí země nebo mezinárodní organizaci, ledaže mu zpracování ukládá právo Evropské unie nebo členského státu, které se na Zpracovatele vztahuje. V takovém případě Zpracovatel Správce informuje o tomto právním požadavku před zahájením zpracování, ledaže toto právo takové informování zakazuje z důležitých důvodů veřejného zájmu (čl. 28 odst. 3 písm. a) GDPR).

3.2 Doloženými pokyny jsou tato smlouva a Hlavní smlouva, úkony a nastavení oprávněných Uživatelů a další písemné, včetně elektronických, pokyny oprávněných kontaktů podle Přílohy A. Uzavřením smlouvy Správce dává trvalý pokyn k nezbytnému přístupu a zpracování pro onboarding, nastavení a provoz reportingu, import, kontrolu a mapování dat, diagnostiku a řešení problémů, podporu, údržbu, obnovu a zabezpečení Služby. Tento pokyn zahrnuje technické opravy a úpravy dat potřebné k provedení sjednaného reportingu; obchodní rozhodnutí, věcné účetní volby a přidělení nových uživatelských oprávnění musí odpovídat pověření Správce. V tomto rozsahu není nutný samostatný souhlas ani tiket pro každý přístup pracovníka. Činnosti nad tento rozsah vyžadují další doložený pokyn.

3.3 Zpracovatel Správce neprodleně informuje, pokud má za to, že pokyn porušuje GDPR nebo jiné použitelné předpisy o ochraně osobních údajů, a může jeho provedení pozastavit do vyjasnění. Pokyn, o němž zjistí, že je protiprávní, neprovede ani po jeho potvrzení Správcem.

3.4 Pokyny, které přesahují funkčnost Služby popsanou v Hlavní smlouvě, je Zpracovatel oprávněn odmítnout nebo provést za úplatu sjednanou předem. Tím nejsou dotčeny povinnosti Zpracovatele podle GDPR a této smlouvy.

3.5 Zpracovatel nepoužije Osobní údaje Správce ani jiná data Správce k vlastním účelům; zejména z nich nevytváří souhrnné ani anonymizované statistiky či srovnávací přehledy (benchmarky) a nepoužívá je k trénování modelů umělé inteligence. Tím není dotčen článek 2.3.

Článek 4 – Povinnosti Správce

4.1 Správce odpovídá za to, že má ke zpracování Osobních údajů Správce právní titul, že subjekty údajů byly o zpracování řádně informovány a že jeho pokyny jsou v souladu s právními předpisy.

4.2 Správce nahrává jen údaje potřebné pro manažerský reporting. Bez předchozí písemné dohody se Zpracovatelem o konkrétním rozsahu a opatřeních nebude záměrně nahrávat zvláštní kategorie osobních údajů podle čl. 9 GDPR, údaje podle čl. 10 GDPR ani rodná čísla. Výjimka se zaznamená v Příloze A, části 2; použije se Příloha D a případná další sjednaná opatření. Samotné jednostranné vyplnění Přílohy A nepostačuje. Správce zajistí příslušný právní základ a další podmínky podle práva; DPA je nenahrazuje. Podrobné mzdy, texty dokladů a fakturace pacientům či zdravotním pojišťovnám mohou citlivé údaje obsahovat; Správce přednostně používá souhrnné nebo očištěné exporty. Zpracovatel přijme přiměřená opatření k omezení nechtěného importu; automatické upozornění nenahrazuje kontrolu Správce ani nezaručuje odhalení všech takových údajů.

4.3 Správce spravuje Uživatele a jejich role, zajistí, aby přístup ke Službě měly jen osoby, které jej potřebují, a bez zbytečného odkladu zruší přístup osobám, které jej již nepotřebují. Správce odpovídá za jednání svých Uživatelů a zajistí, aby nesdíleli své přihlašovací údaje ani prostředky dvoufázového ověření.

4.4 Správce oznámí Zpracovateli bez zbytečného odkladu každé zjištěné nebo podezřelé porušení zabezpečení týkající se Služby nebo přístupových údajů svých Uživatelů.

Článek 5 – Mlčenlivost

5.1 Zpracovatel zajistí, aby se osoby oprávněné zpracovávat Osobní údaje Správce (zaměstnanci, členové orgánů a externí spolupracovníci) zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti (čl. 28 odst. 3 písm. b) GDPR), a aby tyto osoby zpracovávaly Osobní údaje Správce pouze na pokyn Zpracovatele v souladu s touto smlouvou (čl. 29 a čl. 32 odst. 4 GDPR).

5.2 Pověření pracovníci Zpracovatele mohou mít plný administrátorský přístup ke kterékoli klientské skupině v rozsahu nezbytném k provádění pokynů podle článku 3.2. Mohou zejména nahrávat, kontrolovat a mapovat data, provádět technické opravy, pořizovat nebo měnit zápisy ve Službě podle sjednaného reportingu, připravovat výstupy a spravovat uživatele v rozsahu pověření Správce. Přístup není omezen na čtení a nemusí být podmíněn samostatným požadavkem podpory. Oprávnění samo neopravňuje k nesouvisejícímu použití údajů. Přístup je omezen na pracovníky, kteří jej potřebují, podléhá mlčenlivosti, dvoufázovému ověření a přiměřenému záznamu bezpečnostně významných činností podle Přílohy B.

5.3 Povinnost mlčenlivosti trvá i po skončení této smlouvy a po skončení pracovního či jiného vztahu dotčených osob se Zpracovatelem.

Článek 6 – Zabezpečení zpracování

6.1 Zpracovatel přijme a udržuje technická a organizační opatření podle čl. 32 GDPR popsaná v Příloze B, s ohledem na stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování i na různě pravděpodobná a různě závažná rizika pro práva a svobody fyzických osob.

6.2 Zpracovatel je oprávněn opatření podle Přílohy B měnit v souvislosti s technickým vývojem, pokud tím nesníží celkovou úroveň zabezpečení. Podstatné změny oznámí Správci zveřejněním aktualizované Přílohy B ve Službě.

6.3 Správce potvrzuje, že se s opatřeními podle Přílohy B seznámil a že je s ohledem na povahu Osobních údajů Správce považuje za přiměřená. Toto potvrzení nezbavuje Zpracovatele jeho zákonných povinností.

Článek 7 – Další zpracovatelé

7.1 Správce uděluje Zpracovateli obecné písemné povolení k zapojení Dalších zpracovatelů (čl. 28 odst. 2 GDPR). Další zpracovatelé ke dni uzavření této smlouvy jsou uvedeni v Příloze C; Správce jejich zapojení tímto schvaluje.

7.2 Zpracovatel oznámí Správci zamýšlené přidání nebo nahrazení Dalšího zpracovatele nejméně 30 dní předem, a to e-mailem administrátorům Správce ve Službě a zveřejněním aktualizovaného seznamu na <https://reporting.finance/legal/sub-processors>. Oznámení uvede název a sídlo Dalšího zpracovatele, jeho činnost, zpracovávané kategorie údajů, místo zpracování a záruky pro případné předání do třetí země. Oznamuje-li Další zpracovatel změny svých subdodavatelů v kratší lhůtě, předá Zpracovatel oznámení Správci bez zbytečného odkladu po jeho obdržení, a umožňuje-li to lhůta Dalšího zpracovatele, nejméně 14 dní předem; jinak se použije článek 7.4 obdobně.

7.3 Správce může proti změně z oprávněných důvodů týkajících se ochrany osobních údajů vznést písemnou námitku do 14 dní od oznámení. Smluvní strany v dobré víře projednají řešení (např. nevyužití dotčené funkce pro Správce). Nedojde-li k dohodě do dne účinnosti změny, je Správce oprávněn Hlavní smlouvu v rozsahu dotčené Služby vypovědět s účinností nejpozději ke dni účinnosti změny, bez sankce; Zpracovatel mu vrátí poměrnou část předem uhrazené ceny za nevyčerpané období. Nevznese-li Správce námitku ve lhůtě, platí, že se změnou souhlasí.

7.4 Je-li změna nezbytná naléhavě z bezpečnostních důvodů nebo pro ukončení služby Dalšího zpracovatele, oznámí Zpracovatel důvod a ochranná opatření co nejdříve, pokud možno předem. Zachová podmínky povolení podle čl. 28 odst. 2 GDPR a skutečnou možnost vznést námitku; lhůta k námitce je 14 dní od oznámení. Nelze-li zapojení zákonně provést v rámci stávajícího povolení, získá před předáním konkrétní povolení nebo dotčené zpracování pozastaví. Článek 7.3 se použije obdobně.

7.5 Funkce vyžadující nového Dalšího zpracovatele nebo novou činnost u stávajícího Dalšího zpracovatele se zavádějí postupem podle článků 7.2 až 7.4. Funkce umělé inteligence nejsou aktuálně aktivní; pro Správce budou spuštěny pouze po oznámení konkrétního rozsahu, dodavatelů, umístění, uchování a předání údajů a po výslovné aktivaci oprávněným administrátorem. Aktivace je doloženým pokynem klienta, nikoli náhradou právního základu subjektů údajů. Zpracovatel předem ověří podmínky konkrétního modelu; zpracování pro tyto funkce bude probíhat v EU a údaje Správce nebudou použity k trénování modelů.

7.6 Zpracovatel uloží každému Dalšímu zpracovateli smlouvou stejné povinnosti týkající se ochrany údajů, jaké má Zpracovatel podle této smlouvy, zejména povinnost poskytnout dostatečné záruky zavedení vhodných technických a organizačních opatření (čl. 28 odst. 4 GDPR). U Dalších zpracovatelů poskytujících standardizované cloudové služby může Zpracovatel využít jejich standardní smluvní podmínky o zpracování osobních údajů, pokud splňují požadavky čl. 28 GDPR. Podstatné odchylky od lhůt a práv v této smlouvě (zejména pokud jde o ohlašování incidentů, výmaz, audity a změny subdodavatelů) jsou uvedeny v Příloze C. Zpracovatel odpovídá Správci za plnění povinností Dalšího zpracovatele v plném rozsahu. Uvedení odchylek v Příloze C nezhojuje nesoulad s GDPR. Zpracovatel zajistí odpovídající smluvní krytí a zpřístupní informace potřebné k identifikaci relevantních Dalších zpracovatelů a ověření jejich záruk.

Článek 8 – Předávání do třetích zemí

8.1 Zpracovatel ukládá Osobní údaje Správce v Evropském hospodářském prostoru, zejména v datovém centru Google Cloud v regionu europe-west3 (Frankfurt nad Mohanem, Německo); další místa zpracování uvádí Příloha C. Předání do třetí země nebo mezinárodní organizaci je přípustné pouze za podmínek kapitoly V GDPR (čl. 44 až 49).

8.2 Správce bere na vědomí a povoluje předání uvedená v Příloze C, která se opírají o: (a) rozhodnutí Komise o odpovídající ochraně podle čl. 45 GDPR, zejména prováděcí rozhodnutí Komise (EU) 2023/1795 ze dne 10. července 2023 o rámci EU-USA pro ochranu osobních údajů (EU-U.S. Data Privacy Framework), jde-li o příjemce certifikovaného podle tohoto rámce; nebo (b) standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914 ze dne 4. června 2021 (čl. 46 odst. 2 písm. c) GDPR), případně s doplňkovými opatřeními.

8.3 Zpracovatel ověří použitelný mechanismus a rozsah předání včetně relevantních navazujících předání. Pozbude-li mechanismus účinnosti, zajistí před pokračováním dotčeného předávání jiný platný mechanismus, jinak je pozastaví nebo ukončí, a Správce informuje. Samotné umístění úložiště nebo koncového bodu v EU nepotvrzuje všechny lokality zpracování. Informace o použitých zárukách jsou Správci dostupné na žádost.

8.4 Vyžaduje-li to předání podle Přílohy C, je Zpracovatel oprávněn uzavřít s Dalším zpracovatelem standardní smluvní doložky (modul 3 – předání mezi zpracovateli) vlastním jménem.

Článek 9 – Práva subjektů údajů

9.1 Zpracovatel Správci s ohledem na povahu zpracování pomáhá prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, plnit povinnost Správce reagovat na žádosti o výkon práv subjektů údajů stanovených v kapitole III GDPR (čl. 28 odst. 3 písm. e) GDPR).

9.2 Tuto pomoc Zpracovatel poskytuje především prostřednictvím funkcí Služby (zobrazení a export dat, výmaz importních dávek, správa Uživatelů), a nejsou-li k dispozici, na žádost Správce zaslanou podpoře Zpracovatele. Správce bere na vědomí, že Osobní údaje Správce ve Službě jsou kopiemi účetních záznamů vedených v jeho účetním softwaru; opravu je proto zpravidla třeba provést ve zdrojovém systému a data do Služby nahrát znovu. Součinnost poskytne bez zbytečného odkladu tak, aby Správce mohl splnit příslušné zákonné lhůty; její rozsah zohlední povahu údajů a žádosti.

9.3 Obdrží-li Zpracovatel žádost subjektu údajů přímo, postoupí ji bez zbytečného odkladu Správci a sám na ni věcně neodpoví, ledaže jej k tomu Správce pověří.

Článek 10 – Další součinnost

10.1 Zpracovatel Správci s ohledem na povahu zpracování a informace, které má k dispozici, poskytne přiměřenou součinnost při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR, zejména při posouzení vlivu na ochranu osobních údajů a při předchozí konzultaci s dozorovým úřadem (čl. 28 odst. 3 písm. f) GDPR).

10.2 Součinnost spočívající v poskytnutí existující dokumentace (tato smlouva, její přílohy, dokumentace Dalších zpracovatelů) poskytuje Zpracovatel bezúplatně. Rozsáhlejší součinnost může Zpracovatel účtovat podle předem sdělené sazby; to neplatí, byla-li potřeba součinnosti vyvolána porušením povinností Zpracovatele. Spor o odměnu nesmí zdržet součinnost nezbytnou k dodržení zákonné lhůty.

Článek 11 – Porušení zabezpečení osobních údajů

11.1 Zpracovatel ohlásí Správci porušení zabezpečení Osobních údajů Správce bez zbytečného odkladu poté, co se o něm dozví (čl. 33 odst. 2 GDPR), nejpozději však do 48 hodin od okamžiku, kdy se o porušení dozví Zpracovatel. Za okamžik uvědomění se považuje i okamžik, kdy Zpracovatel obdrží oznámení od Dalšího zpracovatele. Ohlášení zašle na e-mailovou adresu pro bezpečnostní oznámení uvedenou v Příloze A, části 2, a administrátorům Správce ve Službě; hrozí-li vysoké riziko pro práva a svobody fyzických osob, pokusí se Zpracovatel Správce kontaktovat i telefonicky. Lhůta 48 hodin je nejzazší lhůtou, nikoli oprávněním oznámení odkládat. Zpracovatel předá dostupné informace bez zbytečného odkladu a doplní je podle článku 11.2; nečeká na úplné vyšetření. Odlišné podmínky Dalšího zpracovatele neomezují zákonné povinnosti Zpracovatele ani článek 7.6.

11.2 Ohlášení obsahuje, pokud je to možné, informace uvedené v čl. 33 odst. 3 GDPR, zejména popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů údajů a záznamů, kontaktní osobu, pravděpodobné důsledky a přijatá nebo navrhovaná opatření. Nelze-li informace poskytnout současně, poskytne je Zpracovatel postupně bez dalšího zbytečného odkladu (čl. 33 odst. 4 GDPR).

11.3 Zpracovatel neprodleně přijme přiměřená opatření k zastavení porušení a ke zmírnění jeho možných nepříznivých dopadů, dokumentuje je a poskytne Správci součinnost při ohlášení porušení dozorovému úřadu a jeho oznámení subjektům údajů (čl. 33 a 34 GDPR). O ohlášení a oznámení rozhoduje Správce.

11.4 Bez předchozího souhlasu Správce Zpracovatel o porušení týkajícím se Osobních údajů Správce neinformuje třetí osoby, s výjimkou svých odborných poradců, dotčených Dalších zpracovatelů a orgánů veřejné moci, vyžaduje-li to právní předpis.

11.5 Ohlášení porušení zabezpečení Zpracovatelem není samo o sobě uznáním jeho zavinění ani odpovědnosti.

Článek 12 – Informace a audity

12.1 Zpracovatel zpřístupní Správci všechny informace potřebné k doložení splnění povinností stanovených v čl. 28 GDPR a umožní audity, včetně inspekcí, prováděné Správcem nebo jiným auditorem, kterého Správce pověřil, a k těmto auditům přispěje (čl. 28 odst. 3 písm. h) GDPR), a to za podmínek tohoto článku.

12.2 Správce nejprve využije: (a) tuto smlouvu a její přílohy; (b) písemné odpovědi Zpracovatele na přiměřený bezpečnostní dotazník, nejvýše jednou za 12 měsíců; a (c) certifikace a auditní zprávy Dalších zpracovatelů (např. ISO/IEC 27001 a SOC 2 u Google Cloud), pokud je Zpracovatel smí Správci zpřístupnit.

12.3 Nepostačují-li informace podle článku 12.2 k prokázání souladu, může Správce provést audit nebo kontrolu za těchto podmínek: (a) nejvýše jednou za 12 měsíců, ledaže audit nařídí dozorový úřad nebo navazuje na porušení zabezpečení Osobních údajů Správce; (b) na základě písemného oznámení doručeného nejméně 30 dní předem, které obsahuje navržený rozsah; (c) v Pracovní dny v obvyklé pracovní době, přednostně na dálku a bez narušení Služby; (d) auditor je vázán mlčenlivostí a není konkurentem Zpracovatele; (e) audit se nevztahuje na data jiných zákazníků ani na datová centra Dalších zpracovatelů; u nich se použijí jejich auditní zprávy (článek 12.2 písm. c)). Toto ujednání neomezuje oprávnění dozorového úřadu. Uvedená omezení se nepoužijí v rozsahu, v němž by bránila nezbytnému ověření podle čl. 28 GDPR, zejména při důvodném podezření na porušení nebo ověřování nápravy. Strany zachovají přiměřenou ochranu důvěrnosti, bezpečnosti a provozu; audity Dalších zpracovatelů se přednostně řeší dostupnými nezávislými zprávami a navazující součinností.

12.4 Náklady auditu nese Správce. Přesáhne-li součinnost Zpracovatele při auditu jeden člověkoden, může Zpracovatel účtovat odměnu podle přiměřené sazby oznámené předem. Odhalí-li audit podstatné porušení této smlouvy Zpracovatelem, nese Zpracovatel své náklady i přiměřené náklady auditu a porušení bez zbytečného odkladu odstraní. Náklady nese Zpracovatel také tehdy, byl-li audit vyvolán porušením zabezpečení, které Zpracovatel způsobil. Účtované náklady nesmějí nepřiměřeně bránit výkonu zákonného práva na audit.

12.5 Zpracovatel vede záznamy o kategoriích činností zpracování prováděných pro Správce (čl. 30 odst. 2 GDPR) a na požádání spolupracuje s dozorovým úřadem (čl. 31 GDPR).

Článek 13 – Doba trvání

13.1 Tato smlouva nabývá účinnosti řádným uzavřením podle článku 16 a trvá po dobu Hlavní smlouvy a následného zpracování nezbytného podle článku 14. Nahrávání údajů Správce se umožní až po platném smluvním zapojení; zpětné ujednání samo nezhojuje dřívější nesoulad s GDPR.

13.2 Poruší-li Zpracovatel tuto smlouvu podstatným způsobem a nezjedná nápravu ani do 30 dní od písemné výzvy Správce, je Správce oprávněn tuto smlouvu i Hlavní smlouvu vypovědět s okamžitou účinností.

13.3 Ustanovení, která mají svou povahou trvat i po skončení této smlouvy (zejména články 5, 6, 8, 11, 14, 15 a 18), trvají do vrácení nebo výmazu všech Osobních údajů Správce, případně po dobu nezbytnou k uplatnění nároků; článek 5.3 tím není dotčen.

Článek 14 – Vrácení a výmaz osobních údajů

14.1 Za trvání této smlouvy může Správce kdykoli ze Služby exportovat reporty (zejména ve formátu Excel) a stáhnout nahrané zdrojové soubory, mapovací tabulky a účtový rozvrh ve strojově čitelném formátu (XLSX nebo CSV).

14.2 Po skončení Hlavní smlouvy má Správce po dobu 30 dní přístup pouze pro čtení za účelem exportu („Období pro export“), pokud prostřednictvím oprávněné osoby nepožádá o dřívější výmaz. Správce rozhodne, zda budou údaje vráceny a následně vymazány, nebo přímo vymazány. Na žádost během Období pro export Zpracovatel jednou bezúplatně předá do 10 Pracovních dnů export Osobních údajů Správce v běžně používaném strojově čitelném formátu, včetně dostupných zdrojových souborů, mapování, účtového rozvrhu, zápisů a dalších klientských údajů; není povinen vytvářet záznamy, které již byly oprávněně vymazány.

14.3 Po skončení Období pro export Zpracovatel bez zbytečného odkladu vymaže Osobní údaje Správce z aktivních systémů a zajistí výmaz příslušných kopií, včetně exportů a kopií u Dalších zpracovatelů. Výmaz není pouhým skrytím dat v rozhraní. Automatické zálohy Cloud SQL zanikají v sedmidenním cyklu; zbytkové kopie v infrastruktuře Google mohou být fyzicky odstraněny až v jeho standardním cyklu, podle použitelných podmínek až do 180 dní od zahájení příslušného výmazu u Google. Tyto kopie se nevyužívají k běžnému poskytování Služby a zůstávají chráněny. Při nezbytné obnově zálohy se již provedené výmazy znovu uplatní před běžným použitím. Anonymizace namísto výmazu se provede jen na doložený pokyn Správce; pseudonymizace není výmaz.

14.4 Správce může kdykoli prostřednictvím oprávněné osoby požádat ve Službě nebo písemně o trvalý výmaz vymezených nebo všech svých údajů. Zpracovatel přiměřeně ověří oprávnění a rozsah; požadavek na výmaz uživatelského účtu sám neopravňuje k výmazu dat celé společnosti. Platný pokyn k dřívějšímu výmazu ukončuje v příslušném rozsahu Období pro export a Zpracovatel provede výmaz bez zbytečného odkladu podle článku 14.3, bez povinné další čekací doby. Správce předem zajistí potřebné kopie. Zpracovatel potvrdí dokončení výmazu z aktivních systémů a uvede případné zbývající kategorie záložních kopií a dobu jejich zániku.

14.5 Výmaz se nevztahuje na údaje, jejichž uchování vyžaduje právo EU nebo členského státu, ani na minimální údaje zákonně zpracovávané Zpracovatelem jako samostatným správcem podle článku 2.3. Běžné bezpečnostní a diagnostické záznamy se uchovávají nejdéle 90 dní od události. Provozní historie reportingu Správce (importy, změny mapování, zápisy, změny uživatelů a oprávnění, včetně úkonů pracovníků Zpracovatele podle článku 3.2) je součástí dat Správce, uchovává se s nimi a při výmazu klientských dat se odstraní, není-li doložen samostatný zákonný důvod. Minimální důkazy o smlouvě, oprávnění, pokynech a provedení výmazu lze uchovat po dobu nezbytnou k ochraně právních nároků, zpravidla nejdéle 3 roky po skončení smlouvy; konkrétní spor, zákonná povinnost nebo doložená delší použitelná lhůta může odůvodnit pouze nezbytné delší uchování. Záznamy o konkrétním incidentu se oddělí a uchovají jen po dobu potřebnou k jeho vyřešení a souvisejícím povinnostem či nárokům. Tato výjimka neopravňuje k plošnému uchování účetních dat. Přístup a další použití zbylých údajů se omezí na příslušný účel.

Článek 15 – Odpovědnost

15.1 Odpovědnost Smluvních stran za újmu způsobenou porušením této smlouvy se řídí ustanoveními Hlavní smlouvy o odpovědnosti a jejím omezení; pro tyto účely se tato smlouva považuje za součást Hlavní smlouvy.

15.2 Celková odpovědnost Zpracovatele vůči Správci ze všech nároků podle této smlouvy a Hlavní smlouvy je omezena částkou rovnající se vyšší z těchto hodnot: (a) cena, kterou Správce uhradil za Službu za 12 měsíců předcházejících události, jež nárok založila; a (b) 10 000 EUR. Při bezúplatném užívání Služby, včetně užívání podle Podmínek beta testování, je odpovědnost omezena částkou 25 000 Kč. Při beta testování se použije shodný limit podle článku 7.2 Podmínek beta testování; nejde o dva oddělené limity. Správní pokuty uložené Zpracovateli a náhrady, které Zpracovatel zaplatil subjektům údajů podle čl. 82 GDPR z důvodů výlučně na své straně, se do limitu podle tohoto článku nezapočítávají.

15.3 Omezení odpovědnosti se nepoužije na újmu způsobenou úmyslně nebo z hrubé nedbalosti, na újmu na přirozených právech člověka ani v dalších případech, kdy je omezení vyloučeno právními předpisy (§ 2898 zákona č. 89/2012 Sb., občanský zákoník). Toto ujednání se nedotýká odpovědnosti Smluvních stran vůči subjektům údajů podle čl. 82 GDPR. To zahrnuje ochranu slabší strany podle § 2898 občanského zákoníku a kogentní právo na vypořádání podle čl. 82 odst. 5 GDPR; částky plněné z těchto neomezitelných titulů nesnižují limit pro ostatní nároky.

15.4 Uhradí-li jedna Smluvní strana subjektu údajů plnou náhradu újmy, za kterou odpovídá i druhá Smluvní strana, má vůči ní právo na úhradu části náhrady odpovídající podílu odpovědnosti druhé Smluvní strany (čl. 82 odst. 5 GDPR). Správní pokutu nese Smluvní strana, které byla uložena.

Článek 16 – Uzavření smlouvy elektronicky

16.1 Tuto smlouvu lze uzavřít: (a) elektronickým přijetím ve Službě podle článku 16.2; nebo (b) podpisem obou Smluvních stran, a to vlastnoručním nebo elektronickým podpisem podle nařízení Evropského parlamentu a Rady (EU) č. 910/2014 (eIDAS), ve znění pozdějších předpisů.

16.2 Zpřístupněním této smlouvy ve Službě činí Zpracovatel návrh na uzavření smlouvy. Správce návrh přijme, když osoba oprávněná za něj jednat: (a) je přihlášena ke svému uživatelskému účtu ve Službě s rolí administrátora a účet má aktivní dvoufázové ověření (TOTP); (b) uvede nebo potvrdí své jméno a příjmení, funkci a identifikační údaje Správce a zvolí právní základ svého oprávnění (člen statutárního orgánu, prokurista, zmocněnec); (c) potvrdí, že je oprávněna za Správce tuto smlouvu uzavřít; (d) potvrdí, že se se smlouvou včetně příloh seznámila a přijímá ji jménem Správce, a že si je vědoma ujednání, podle nichž se změny považují za přijaté, nejsou-li odmítnuty (články 7.3 a 17.3), a ujednání o skupinových společnostech (článek 2.2); a (e) klikne na tlačítko „Přijímám jménem Správce“. Je-li zvolen základ „zmocněnec“, Zpracovatel může žádat nahrání plné moci. Přijímající osoby výslovně potvrdí také ujednání o odpovědnosti v článku 15 a v Hlavní smlouvě. Pro každou společnost je přijetí dokončeno zaznamenáním všech projevů vůle potřebných k jejímu zastoupení; při společném jednání zůstává první přijetí neúplné, dokud další potřebné osoby nepřijmou totožné znění a seznam společností.

16.3 Služba o přijetí vytvoří záznam, který obsahuje zejména identifikační údaje Správce, jméno, funkci a e-mailovou adresu přijímající osoby, identifikátor jejího uživatelského účtu, datum a čas přijetí (UTC), IP adresu, identifikaci prohlížeče, označení verze smlouvy a kontrolní součet (hash) jejího textu. Záznam je uchováván systematicky, v časové posloupnosti a chráněn proti změnám.

16.4 Smluvní strany souhlasí s tím, že smlouva uzavřená podle článku 16.2 je uzavřena v písemné formě ve smyslu § 562 odst. 1 zákona č. 89/2012 Sb., občanský zákoník, a čl. 28 odst. 9 GDPR, neboť tento způsob umožňuje zachycení obsahu právního jednání a určení jednající osoby, a že záznam podle článku 16.3 je spolehlivým záznamem ve smyslu § 562 odst. 2 občanského zákoníku.

16.5 Bez zbytečného odkladu, nejpozději do 24 hodin od přijetí, zašle Služba přijímající osobě, administrátorům Správce a Zpracovateli e-mail s potvrzením uzavření smlouvy a s kopií smlouvy ve formátu PDF, jejíž součástí jsou údaje ze záznamu podle článku 16.3. Znění smlouvy platné pro Správce a záznam o přijetí jsou dostupné ve Službě po dobu jeho přístupu; následně lze kopii vyžádat po dobu oprávněného uchování podle článku 14.5.

16.6 Přijímající osoba uvede a na žádost doloží oprávnění za každou společnost; Zpracovatel může požadovat plnou moc nebo podpis podle článku 16.1 písm. b). Plná moc musí být udělena příslušnou společností zastoupenou předepsaným způsobem a pokrývat dotčené jednání. Při zjištění nedostatku oprávnění Zpracovatel omezí zpracování na nezbytné zabezpečení a vyřešení situace. Dodatečné schválení podle § 440 občanského zákoníku musí být učiněno bez zbytečného odkladu osobou nebo osobami oprávněnými společnost zastoupit a určit schvalované jednání a znění. Mlčení není schválením. Ratifikace se odlišuje od dokončení společného přijetí podle článku 16.2. Není-li oprávnění doloženo ani jednání řádně schváleno, Zpracovatel neumožní další provozní zpracování a zajistí zákonné vrácení nebo výmaz již předaných údajů.

Článek 17 – Změny smlouvy

17.1 Zpracovatel uzavírá tuto smlouvu v běžném obchodním styku s větším počtem zákazníků a již při jejím uzavření je zřejmá rozumná potřeba jejích pozdějších změn, zejména v důsledku změn právních předpisů, rozhodnutí orgánů veřejné moci, technického vývoje Služby nebo změn Dalších zpracovatelů. Zpracovatel je proto oprávněn tuto smlouvu v přiměřeném rozsahu měnit (§ 1752 občanského zákoníku).

17.2 Změnu Zpracovatel oznámí nejméně 30 dní před její účinností e-mailem administrátorům Správce a oznámením ve Službě; oznámení obsahuje nové znění smlouvy a přehled změn. Zpracovatel může Správce požádat i o přijetí nového znění postupem podle článku 16.

17.3 Správce má právo změnu odmítnout a z tohoto důvodu Hlavní smlouvu i tuto smlouvu vypovědět ve výpovědní době tří měsíců, během níž se použije dosavadní znění; Zpracovatel vrátí Správci poměrnou část předem uhrazené ceny za období po skončení smlouvy. Nový účel nebo podstatné rozšíření pokynů vyžaduje předchozí výslovný doložený pokyn Správce; samotné mlčení nepostačuje. Změny Dalších zpracovatelů a předání se řídí také články 7 a 8. Neodmítne-li Správce změnu písemně před její účinností a nevyžaduje-li se nové přijetí, platí, že ji přijal. Přechodné období nelze zkrátit výpovědí Hlavní smlouvy pouze z důvodu odmítnutí změny; právo Správce ukončit bezúplatnou beta službu dříve zůstává zachováno.

17.4 Změny vyvolané změnou právních předpisů nebo rozhodnutím dozorového úřadu mohou nabýt účinnosti dříve, vyžaduje-li to právní předpis nebo rozhodnutí. Změny Přílohy C se řídí článkem 7. Údaje v Příloze A, části 2, aktualizuje administrátor Správce ve Službě nebo je Správce oznámí Zpracovateli písemně. Jiné změny této smlouvy vyžadují písemnou dohodu Smluvních stran, a to i v elektronické formě.

Článek 18 – Rozhodné právo a řešení sporů

18.1 Tato smlouva se řídí právem České republiky s vyloučením jeho kolizních norem, zejména zákonem č. 89/2012 Sb., občanský zákoník, GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

18.2 Spory z této smlouvy rozhodují soudy České republiky. Smluvní strany se v souladu s § 89a zákona č. 99/1963 Sb., občanský soudní řád, dohodly, že místně příslušným soudem prvního stupně je soud příslušný podle sídla Zpracovatele. Má-li Správce sídlo mimo Českou republiku, jde zároveň o dohodu o příslušnosti podle čl. 25 nařízení Evropského parlamentu a Rady (EU) č. 1215/2012, je-li použitelné.

Článek 19 – Závěrečná ustanovení

19.1 V případě rozporu mezi touto smlouvou a Hlavní smlouvou má ve věcech ochrany osobních údajů přednost tato smlouva. Uplatní-li se mezi Smluvními stranami standardní smluvní doložky, mají v případě rozporu přednost před touto smlouvou.

19.2 Tato smlouva je vyhotovena v českém a anglickém jazyce. V případě rozporu mezi jazykovými verzemi má přednost česká verze.

19.3 Je-li nebo stane-li se některé ustanovení této smlouvy neplatným nebo neúčinným, nedotýká se to ostatních ustanovení. Smluvní strany jej nahradí ustanovením, které se jeho účelu nejvíce blíží.

19.4 Oznámení podle této smlouvy se činí písemně, včetně e-mailu, na e-mail kontaktní osoby pro ochranu osobních údajů uvedený v Příloze A, části 2, a na adresu Zpracovatele <privacy@reporting.finance>.

19.5 Tato smlouva nahrazuje veškerá předchozí ujednání Smluvních stran o zpracování Osobních údajů Správce.

Podpisy (pouze při uzavření podle článku 16.1 písm. b); při elektronickém přijetí se nevyplňuje)

Za Správce / For the Controller
V — doplní se při přijetí — dne — doplní se při přijetí — / In — doplní se při přijetí — on — doplní se při přijetí —

______________________________
— doplní se při přijetí —, — doplní se při přijetí —

Za Zpracovatele: Hospitality CEE, s.r.o.
V Praze dne __________
______________________________
Anna Dempsey, jednatelka

Příloha A – Popis zpracování

Část 1 – Obecný popis (platí pro všechny zákazníky)

Předmět zpracování: Poskytování Služby: webová platforma pro manažerský reporting nad účetními daty Správce (POHODA, Money S3 a další podporované účetní systémy).

Povaha zpracování: Přijetí nahraných souborů (případně načtení z propojeného zdroje dat Správce, pokud je sjednáno), uložení, strukturování, převod do jednotného účtového rozvrhu (mapování), agregace, konsolidace, výpočet ukazatelů, zobrazení Uživatelům, export (Excel), zálohování, zasílání transakčních e-mailů (pozvánky, obnovení hesla), výmaz. Zahrnuje také nastavení klientského reportingu, kontrolu a opravu importů a mapování, zadávání reportovacích zápisů a správu uživatelů v rozsahu pokynů podle článku 3.2.

Účel zpracování: Sestavování manažerských reportů Správce (výkaz zisku a ztráty, rozvaha, cash flow, konsolidace, KPI); nezbytné zavedení, provoz, údržba a zabezpečení Služby, diagnostika importů a technických obtíží, podpora a správa přístupů v rozsahu článku 3.2.

Nahrávaná data: Účetní deník, účtový rozvrh, střediska, činnosti, zakázky a další číselníky z účetního systému; volitelně provozní statistiky hotelu z rezervačního systému (PMS); rozpočty.

Kategorie subjektů údajů: (a) dodavatelé a odběratelé Správce, kteří jsou fyzickými osobami, včetně podnikajících fyzických osob, a kontaktní osoby obchodních partnerů uvedené v textech dokladů; (b) zaměstnanci a členové orgánů Správce, jsou-li mzdy či odměny zaúčtovány jednotlivě; (c) hosté a jiní zákazníci uvedení jménem na dokladech; (d) Uživatelé Služby.

Kategorie osobních údajů: (a)–(c): jméno a příjmení, IČO a DIČ, adresa, čísla dokladů, data, částky, texty účetních zápisů a dokladů, účty a střediska; u (b) též výše mezd a odměn, jsou-li takto zaúčtovány. (d): jméno, e-mail, role, jazyk, časy a výsledky přihlášení, IP adresa a identifikace prohlížeče, nastavení dvoufázového ověření (TOTP), auditní záznamy o importech, změnách mapování a rolí. Nezbytné bezpečnostní a diagnostické záznamy se zpracovávají a uchovávají podle článků 2.3 a 14.5 a Přílohy B; tyto kategorie nezakládají povinnost vést dlouhodobou historii každé aktivity.

Zvláštní kategorie údajů: Nejsou zamýšleny. Případné výjimky, údaje podle čl. 10 GDPR a rodná čísla vyžadují předchozí písemnou dohodu podle článku 4.2, popis v části 2 a použitelná doplňková opatření; pouhé vyplnění formuláře výjimku nepovoluje.

Četnost a doba zpracování: Průběžně po dobu trvání Hlavní smlouvy a Období pro export; výmaz podle článku 14.

Místo zpracování: EHP – Google Cloud, region europe-west3 (Frankfurt, Německo); předání mimo EHP pouze podle Přílohy C.

Část 2 – Údaje Správce (vyplní Správce ve Službě nebo v této listině)

• Klientská skupina ve Službě: — doplní se při přijetí —
• Společnosti, jejichž data se nahrávají (pro každou: obchodní firma, IČO, sídlo, role správce / zpracovatele, přímá smluvní strana / zastoupení podle článku 2.2):

— doplní se při přijetí —

• Oprávnění pro každou společnost: přijímající osoba či osoby, funkce, způsob jednání, případná plná moc; při řetězci zpracovatelů potvrzení pověření od příslušného správce (článek 2.2):

— doplní se při přijetí —

• Zdrojové systémy (POHODA / Money S3 / jiný) a případný propojený zdroj dat: — doplní se při přijetí —
• Data od (období): — doplní se při přijetí —
• Mzdy zaúčtované jednotlivě? (ano / ne): — doplní se při přijetí —
• Provozní statistiky z PMS? (ano / ne): — doplní se při přijetí —
• Mohou data obsahovat zvláštní kategorie, údaje podle čl. 10 GDPR nebo rodná čísla? (ne / ano – přesný rozsah, právní titul, dohodnutá opatření a předchozí písemné schválení podle článku 4.2): — doplní se při přijetí —
• Poskytovatel zdravotních služeb, zdravotní pojišťovna nebo obdobný subjekt? (ne / ano – použije se Příloha D): — doplní se při přijetí —
• Kontaktní osoba pro ochranu osobních údajů (jméno, e-mail, telefon): — doplní se při přijetí —
• Pověřenec pro ochranu osobních údajů, je-li jmenován: — doplní se při přijetí —
• E-mail pro bezpečnostní oznámení (článek 11): — doplní se při přijetí —
• Osoba oprávněná udílet provozní pokyny a jejich rozsah podle článku 3.2: — doplní se při přijetí —

Příloha B – Technická a organizační opatření (čl. 32 GDPR)

1. Oddělení dat klientů

Data každé klientské skupiny jsou v databázi oddělena na úrovni řádků (PostgreSQL row-level security); aplikace i dávkové úlohy pracují vždy v kontextu jedné klientské skupiny a tento požadavek je ověřován automatickými testy.
Vývoj probíhá na fiktivních nebo demonstračních datech. Testovací (staging) prostředí je provozováno ve stejném regionu se stejnými opatřeními; data Správce do něj lze umístit jen s jeho předchozím písemným souhlasem (např. při akceptačním testování) a po skončení testu se vymažou.

2. Řízení přístupu a autentizace

Přístup na základě rolí (administrátor, editor, prohlížející); Uživatele zve a jejich role spravuje administrátor Správce nebo pracovník Zpracovatele v mezích pokynů podle článku 3.2.
Povinné dvoufázové ověření (TOTP, ověřovací aplikace s QR kódem při nastavení) pro administrátory, editory a pracovníky Zpracovatele; pro prohlížející je dvoufázové ověření dostupné, nikoli povinné. Tajné klíče TOTP jsou v databázi uloženy šifrovaně.
Omezení počtu pokusů o přihlášení (rate limiting); hesla se ukládají pouze jako solené hashe standardním algoritmem použitého frameworku.
Administrativní rozhraní je chráněno stejným dvoufázovým ověřením. Přijetí této smlouvy ve Službě vyžaduje aktivní TOTP administrátora.
Při importu Služba upozorní, pokud záhlaví sloupce naznačuje rodné číslo nebo diagnózu; Služba nemá pole pro rodné číslo ani diagnózu.

3. Přístup pracovníků Zpracovatele

Pověření pracovníci Zpracovatele, vázaní mlčenlivostí, mohou v nezbytném rozsahu přistupovat k datům a provádět úkony podle stálých a dalších doložených pokynů v článku 3.2, včetně zavedení, diagnostiky importů, podpory a provozu reportingu. Zvláštní požadavek podpory ani samostatný souhlas ke každému vstupu se nevyžaduje.
Superuživatel Zpracovatele může vstoupit do každé klientské skupiny s plnými právy administrátora, včetně nahrávání, mapování, reportovacích zápisů a pozvání uživatelů. Tato technická možnost nerozšiřuje účel ani rozsah pokynů; obchodní a účetní rozhodnutí zůstávají Správci. Tento režim vyžaduje opětovné ověření druhým faktorem nejméně každých 12 hodin. Nezbytné záznamy přístupů a úkonů jsou dostupné Správci v Nastavení → Protokol přístupu platformy po dobu jejich uchování podle oddílu 5 a článku 14.5.
Přístup k infrastruktuře je omezen na nezbytné osoby a servisní účty s přiměřenými oprávněními; nasazení využívá Workload Identity Federation bez dlouhodobých klíčů. Dočasné pracovní kopie se vytvářejí jen v nezbytném rozsahu na zařízeních se šifrovaným diskem, zámkem obrazovky a aktualizovaným softwarem a mažou se po odpadnutí potřeby.
Data Správce se nevkládají do obecných nástrojů umělé inteligence ani do neschválených služeb. Obecné nástroje AI pracovníci používají pouze s fiktivními nebo demonstračními daty. Budoucí klientská funkce AI podléhá článku 7.5.

4. Šifrování a přenos

Veškerá komunikace se Službou probíhá šifrovaně (HTTPS/TLS); aplikační služby jsou dostupné pouze přes load balancer.
Data jsou v úložištích Google Cloud (databáze, souborové úložiště, zálohy) šifrována i v uloženém stavu (at rest).
Přístupové údaje a klíče jsou uloženy ve službě Secret Manager, s pevně určenými verzemi a řízeným přístupem.

5. Integrita a auditní stopa

Nahrané soubory se ukládají s kontrolním součtem SHA-256. Přiměřené bezpečnostní a diagnostické záznamy zachycují přihlášení, vstupy pracovníků Zpracovatele do klientských skupin, omezení pokusů a chyby potřebné k zabezpečení a diagnostice. Nevedeme samostatnou dlouhodobou historii běžných zobrazení stránek. Tyto záznamy obsahují jen nezbytné identifikátory, čas, druh úkonu a výsledek, nikoli běžně celý obsah dokladů; uchovávají se nejdéle 90 dní od události, s úzce vymezenými výjimkami podle článku 14.5. Provozní historie reportingu (importy, změny mapování, zápisy, změny rolí a oprávnění, včetně úkonů pracovníků Zpracovatele) není bezpečnostním záznamem: je součástí dat Správce, je mu dostupná ve Službě a uchovává se a maže s jeho daty podle článku 14.
Uživatelský účet lze vymazat i při předchozí aktivitě. Případné zbývající záznamy používají omezený interní identifikátor, například „smazaný uživatel #id“; jde o pseudonymizaci, nikoli automaticky anonymizaci. Záznamy se dále mažou podle příslušné lhůty nebo platného pokynu, není-li doložen samostatný důvod uchování. Důkazy o přijetí smlouvy se řídí článkem 14.5 a netvoří obecnou historii užívání.
Změny kódu procházejí revizí, automatickými testy a testovacím prostředím.

6. Dostupnost a obnova

Spravovaná infrastruktura Google Cloud v regionu europe-west3; automatické zálohy databáze (Cloud SQL) uchovávané 7 dní, s možností obnovy k určitému okamžiku.
Postup obnovy ze zálohy je dokumentován a alespoň jednou ročně ověřován.
Výmaz na pokyn Správce se řídí článkem 14; při obnově se již provedené výmazy znovu uplatní před běžným použitím. Zbytkové kopie v infrastruktuře dodavatele podléhají cyklu uvedenému v článku 14.3.

7. Umístění dat

Databáze, soubory a zálohy Služby jsou uloženy v EHP (europe-west3, Frankfurt). Globální síť, diagnostika a podpora dodavatelů mohou zahrnovat zpracování nebo vzdálený přístup mimo EHP; použijí se článek 8 a Příloha C. Uložení v EU samo nevylučuje předání.

8. Organizační opatření

Postup řešení bezpečnostních incidentů včetně ohlášení Správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění (článek 11).
Závazky mlčenlivosti všech osob s přístupem k datům; poučení o ochraně osobních údajů.
Výběr a kontrola Dalších zpracovatelů (Příloha C), přednostně s úložištěm v EHP a s certifikací ISO/IEC 27001 nebo SOC 2.
Záznamy o činnostech zpracování (čl. 30 odst. 2 GDPR) a postup výmazu po skončení smlouvy (článek 14).
Zdrojový kód je uložen v soukromém repozitáři a neobsahuje data zákazníků.

Příloha C – Další zpracovatelé

Verze seznamu 1.1 ze dne 26. října 2026; účinnost ode dne uvedeného při zveřejnění na https://reporting.finance/legal/sub-processors a v oznámení podle článku 7.2. Tento seznam tvoří Přílohu C použitelného DPA. Aktuální seznam: https://reporting.finance/legal/sub-processors.

Další zpracovatel	Činnost	Údaje	Místo zpracování	Záruky pro předání
Google Cloud EMEA Limited, Dublin, Irsko (a její přidružené společnosti včetně Google LLC, USA)	Cloudová infrastruktura: Cloud Run, Cloud SQL (PostgreSQL), Cloud Storage, Secret Manager, load balancing, logování	Veškeré Osobní údaje Správce	EHP – europe-west3 (Frankfurt); přístup podpory Google a síťový okraj mohou být mimo EHP	Google Cloud Data Processing Addendum; DPF pouze při platné certifikaci příslušného příjemce pokrývající předání; jinak použitelné sjednané SCC a potřebná doplňková opatření podle článku 8.
Plus Five Five, Inc. (Resend), San Francisco, USA	Odesílání transakčních e-mailů (pozvánky, obnovení hesla, potvrzení o přijetí smlouvy)	Jméno a e-mail příjemce, obsah e-mailu, záznamy o doručení; neobsahuje účetní data	Odesílání z regionu EU (je-li nastaveno); správa účtu a záznamy v USA	Resend DPA; DPF pouze při platné certifikaci příslušného příjemce pokrývající předání; jinak použitelné sjednané SCC a potřebná doplňková opatření podle článku 8.
Microsoft Ireland Operations Limited, Dublin, Irsko	E-mailová schránka podpory (Microsoft 365 / Exchange Online)	Obsah e-mailů, které Správce nebo Uživatelé zašlou podpoře (včetně případných příloh)	EHP (EU Data Boundary); omezené výjimky podle podmínek Microsoft	Microsoft Products and Services DPA; DPF pouze při platné certifikaci příslušného příjemce pokrývající předání; jinak použitelné sjednané SCC a potřebná doplňková opatření podle článku 8.

Nejsou Dalšími zpracovateli (nezpracovávají Osobní údaje Správce): GitHub (zdrojový kód), registrátor domén.

Žádná klientská funkce umělé inteligence nyní není aktivní. Případná budoucí funkce může využívat modely včetně Anthropic Claude prostřednictvím Google Vertex AI s koncovým bodem v EU. Před jejím zapnutím Zpracovatel oznámí konkrétní poskytovatele, tok a rozsah dat, místo zpracování, dobu uchování a záruky předání a získá výslovný doložený pokyn Správce podle článku 7.5. Samotný koncový bod v EU nezaručuje zpracování výhradně v EU. Data Správce nebudou použita k trénování modelů. Obecné AI nástroje pracovníci používají jen s fiktivními nebo demonstračními daty.

Zpracovatel doporučuje posílat účetní data výhradně nahráním do Služby, nikoli e-mailem.

Použitelné podmínky a omezení dodavatelů: Google Cloud oznamuje incidenty bez zbytečného odkladu a audit dokládá přednostně zprávami; Zpracovatel tím není zbaven povinností podle článků 11 a 12. Automatické zálohy databáze Služby se uchovávají 7 dní. Zbytkové kopie Google mohou být fyzicky odstraněny ve standardním cyklu až do 180 dní od zahájení příslušného výmazu u Google. Resend zpracovává údaje také v USA; region odesílání EU musí být skutečně nastaven. Microsoft EU Data Boundary obsahuje výjimky včetně určitých přístupů podpory a bezpečnostního zpracování. Resend oznamuje porušení zabezpečení bez zbytečného odkladu (čl. 8.6 DPA Resend); jeho čl. 8.8 vylučuje oznámení u porušení způsobených jednáním nebo opomenutím zákazníka, standardní smluvní doložky však mají podle čl. 10.1 DPA Resend přednost a Zpracovatel tím není zbaven povinností podle článku 11. Resend oznamuje změny svých subdodavatelů 14 dní předem; vůči Správci platí lhůty článku 7.
Konkrétní doby uchování: Resend – obsah zpráv a záznamy o doručení po dobu nastavenou v účtu Zpracovatele u Resend (omezený počet dní), nejpozději však výmaz do 90 dnů od ukončení účtu (DPA Resend, příloha A); Microsoft 365 – odstraněné zprávy lze obnovit 14 dní, poté je Microsoft odstraní ve svém cyklu (nejdéle 30 dní); schránky podpory nejsou v režimu zadržení (hold) ani archivace. Aktivní pracovní kopie podpory se mažou, jakmile nejsou potřebné; minimální korespondence k uzavřenému požadavku nejdéle do 90 dní, s výjimkami článku 14.5.
DPF lze použít jen při platné certifikaci příslušného příjemce pokrývající předání; jinak musí být před předáním sjednány použitelné standardní smluvní doložky a provedeno potřebné posouzení a doplňková opatření podle článku 8. Zpracovatel ověřuje použitelný mechanismus. Uvedení odlišností nezhojuje nesoulad dodavatelské smlouvy s článkem 28 GDPR a neomezuje odpovědnost podle článku 7.6. Změny se řídí článkem 7, nikoli automaticky kratší lhůtou dodavatele.

Příloha D – Doplňková opatření pro zdravotní a obdobné údaje

Použije se jen na zpracování předem písemně dohodnuté podle článku 4.2 a popsané v Příloze A, části 2; sama nepovoluje další kategorie nebo účely.

D.1 Předmět a použití. Tato příloha se použije, jestliže Správce v Příloze A, části 2, uvede, že nahrávaná data mohou obsahovat zvláštní kategorie osobních údajů nebo rodná čísla, nebo že jde o poskytovatele zdravotních služeb, zdravotní pojišťovnu či osobu zpracovávající údaje o pacientech, nebo jestliže Smluvní strany tuto přílohu výslovně připojí. Není-li v této příloze stanoveno jinak, platí tato smlouva. Použití vždy podléhá předchozí písemné dohodě podle článku 4.2.

D.2 Účel a co Služba není. Účelem zpracování zůstává manažerský reporting (výnosy, náklady, střediska, konsolidace, KPI). Služba není zdravotnickou dokumentací, klinickým informačním systémem ani nástrojem pro poskytování zdravotní péče. Zpracovatel neurčuje, které pacientské nebo pojistné údaje Správce smí nahrát.

D.3 Pokyny Správce. Správce nahrává přednostně agregované údaje (obrat za středisko, počet výkonů bez jména pacienta, mzdové náklady v součtu). Záměrně nenahrává: zdravotnickou dokumentaci, diagnózy, kódy výkonů spojené se jménem pacienta, rodná čísla, výsledky vyšetření, fotografie pacientů. Připouští se, že text faktury zdravotní pojišťovně nebo jmenovitě označenému pacientovi může zdravotní údaj odhalit; takový údaj se zpracovává jen jako součást účetního záznamu pro reporting a jen je-li to uvedeno v Příloze A, části 2.

D.4 Role a právní tituly. Správce odpovídá za použitelný právní základ podle článku 6 GDPR a výjimku podle článku 9 odst. 2 GDPR, za případné podmínky článku 10 GDPR a českého práva a za informační povinnost. Příslušný titul musí pokrývat zamýšlený reporting; samotné poskytování zdravotní péče jej pro každé další použití nezakládá. Zpracovatel neposkytuje právní posouzení titulů Správce, ale splní povinnost upozornit na protiprávní pokyn podle článku 3.3. Je-li Správce sám zpracovatelem, zajistí odpovídající pověření a řetězec smluv podle článku 2.2.

D.5 Doplňková technická a organizační opatření. K Příloze B se přidává: (a) ve Službě nejsou pole pro rodné číslo, diagnózu ani kód MKN; (b) import zobrazí varování, pokud záhlaví sloupce odpovídá rodnému číslu nebo slovu „diagnóza“; varování není kontrolou veškerého obsahu; (c) nezbytný přístup pověřených pracovníků, včetně administrátorských úkonů při zavedení, diagnostice a provozu, se řídí stálými pokyny podle článku 3.2 a Přílohou B oddílem 3; samostatný tiket pro každý vstup není nutný, přístupy a významné úkony se zaznamenávají v rozsahu a po dobu podle Přílohy B oddílu 5; (d) data se neukládají trvale na přenosná zařízení a nezbytné dočasné kopie na šifrovaném disku se mažou po odpadnutí potřeby; (e) staging jen s předchozím písemným souhlasem a následným výmazem; (f) AI funkce zůstávají vypnuté do samostatného doloženého pokynu podle článku 7.5 a dokončení posouzení vlivu, je-li podle článku 35 GDPR povinné.

D.6 Posouzení vlivu a součinnost. Správce provede posouzení vlivu, pokud je podle čl. 35 GDPR vyžadováno, zejména při pravděpodobném vysokém riziku; pouhá existence této přílohy je nenahrazuje. Zpracovatel poskytne součinnost podle článku 10, včetně popisu toků dat a použitelných opatření. Samotné posouzení a případnou předchozí konzultaci zajišťuje Správce.

D.7 Porušení a výmaz. Ohlášení podle článku 11 této smlouvy u tohoto Správce vždy obsahuje informaci, zda se porušení mohlo týkat zdravotních nebo obdobných údajů. Správce může požádat o předčasný výmaz konkrétní importní dávky; Zpracovatel ji vymaže bez zbytečného odkladu, nejpozději do 15 dní, s výhradou záloh podle článku 14.3 této smlouvy.

D.8 Skupinové společnosti. Každá právnická osoba, jejíž data se nahrávají, musí být uvedena v Příloze A, části 2. Oprávnění a případný řetězec zpracovatelů musí být doloženy podle článku 2.2 před zahájením nahrávání a zpracování. Prohlášení jedné společnosti samo nenahrazuje oprávnění nebo pokyn ostatních.

D.9 Oddělitelnost. Je-li některé ustanovení této přílohy neplatné nebo neúčinné, nejsou tím dotčena ostatní ustanovení této přílohy a této smlouvy. V případě rozporu mezi touto přílohou a smlouvou má u zdravotních a obdobných údajů přednost tato příloha.