Smlouva o zpracování osobních údajů

English

Šablona k vytištění: doplň své údaje, podepiš a založ ke smlouvám — víc k tomu na stránce GDPR.

uzavřená podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR). Struktura i formulace vycházejí ze standardních smluvních doložek mezi správcem a zpracovatelem podle prováděcího rozhodnutí Komise (EU) 2021/915.

Smluvní strany

Správkyně: ……………………………………………… (jméno / název), IČO ………………, sídlo ………………………………………………, e-mail ……………………………………………… (dále jen „správkyně“ — tricholožka nebo kadeřnice užívající aplikaci Tricho.app)

Zpracovatel: Ing. Jan Beránek, IČO 88869709, sídlo Brozany 194, 533 52 Staré Hradiště, e-mail [email protected] (dále jen „zpracovatel“ — provozovatel aplikace Tricho.app)

1. Účel a rozsah

Tato smlouva upravuje zpracování osobních údajů, které zpracovatel provádí pro správkyni při poskytování aplikace Tricho.app. Uplatní se vedle obchodních podmínek; v rozporu má přednost tato smlouva. Přílohy jsou její nedílnou součástí.

2. Předmět, doba, povaha a účel zpracování

• Předmět: ukládání a přenos dat aplikace Tricho.app mezi zařízeními správkyně a jejich zálohování.
• Povaha zpracování: uložení, replikace, zálohování a výmaz — vždy výhradně v zašifrované podobě. Zpracovatel nedisponuje šifrovacím klíčem a k obsahu nemá přístup; nemůže tedy provádět žádnou operaci, která by četla obsah údajů.
• Účel: synchronizace dat mezi zařízeními správkyně a poskytování šifrovaných záloh v rozsahu jejího plánu.
• Objednávání (všechny plány): přijetí obálky objednávky od klientky správkyně, její doručení do aplikace správkyně, provedení jejích příkazů (potvrdit, odmítnout, přesunout, zrušit), zasílání zpráv klientce a výmaz podle přílohy A. Obsah obálky je zašifrovaný na klíč správkyně a zpracovatel jej neotevře. Objednávka termínu je smlouvou uzavřenou na dálku mezi správkyní a klientkou, proto zpracovatel také zveřejní identifikaci správkyně jako prodávající, pošle klientce potvrzení s podmínkami objednání, poučením o odstoupení a formulářem a provozuje formulář „Odstoupit od smlouvy“: prohlášení o odstoupení zapečetěné v prohlížeči na klíč správkyně doručí do její aplikace a jméno, číslo objednávky a e-mail, které do formuláře napíše osoba, jež odstupuje, použije jen přechodně, aby jí poslal potvrzení o přijetí podle § 1830a odst. 5 občanského zákoníku. Zda odstoupení platí a co se s termínem stane, rozhoduje aplikace správkyně, ne zpracovatel.
• Akce (plán Max) a zálohy v Objednávání (plány Pro a Max): zveřejnění akce, kterou připraví správkyně, a držení míst; přijetí obálky přihlášky od účastnice a její doručení do aplikace správkyně; zasílání zpráv účastnicím (potvrzení, výzva k platbě, připomínky, informace spoluúčastnicím podle čl. 14 GDPR, nabídky z čekací listiny, storno, přesun, náhradnice) a klientkám se zálohou; otisky plateb a jejich párování; příjem upozornění z banky přes Cloudflare a jejich zapečetění na klíč správkyně (volitelné); založení platby kartou na Stripe účtu správkyně a vratka kartou na její pokyn (volitelné, článek 4b); doručení dokladů e-mailem; výmaz podle přílohy A. Obsah přihlášky je zapečetěný na klíč správkyně a zpracovatel jej neotevře. Nastavení akce (pravidla storna, lhůty, připomínky, čekací listina, slevové kódy) je pokynem správkyně podle čl. 28 odst. 3 písm. a) GDPR.
• Peníze: zpracovatel peníze účastnic ani klientek nepřijímá, nedrží a sám nevrací. Platby jdou přímo na účet správkyně (bankovní, nebo její Stripe účet). Každá vratka je úkol pro správkyni a proběhne až po potvrzení z jejího zařízení.
• Doba: po dobu trvání účtu správkyně; skončí zrušením účtu nebo ukončením smlouvy podle obchodních podmínek.

3. Kategorie subjektů údajů a osobních údajů

• Subjekty údajů: klientky správkyně a osoby, které odešlou prohlášení o odstoupení formulářem „Odstoupit od smlouvy“ (i když u správkyně žádný termín nemají). U akcí, záloh a plateb navíc účastnice akcí a jejich spoluúčastnice, zájemkyně na čekací listině, klientky se zálohou v Objednávání, plátci v upozorněních z banky (i plátci, kteří s Tricho.app nesouvisí) a kontaktní osoby odběratelů faktur.
• Osobní údaje: identifikační a kontaktní údaje klientek, záznamy o návštěvách a poznámky správkyně. U odstoupení jméno, číslo objednávky nebo označení služby a termínu, e-mail pro potvrzení a čas odeslání. U akcí, záloh a plateb identifikační a kontaktní údaje, fakturační údaje včetně IČO a DIČ, údaje o přihlášce, platbě a docházce a platební údaje (částka, variabilní symbol, účet plátce, zpráva pro příjemce a u některých bank zůstatek účtu správkyně).
• Zvláštní kategorie údajů (čl. 9): anamnéza, alergeny, údaje o stavu vlasové pokožky a její fotografie. U akcí, záloh a plateb se zvláštní kategorie údajů nezpracovávají; poznámka v přihlášce nese nápovědu, ať do ní účastnice nepíše údaje o zdraví.
• Údaje klientek se zpracovateli předávají a u něj se uchovávají výhradně v zašifrované podobě. U akcí, záloh a plateb jsou údaje zapečetěné na klíč správkyně, nebo zašifrované klíčem zpracovatele. Co z toho všeho má zpracovatel v čitelné podobě, popisuje příloha B.

4. Pokyny správkyně

Zpracovatel zpracovává osobní údaje pouze na doložené pokyny správkyně. Pokyny správkyně uděluje užíváním aplikace (uložení, úprava, synchronizace, výmaz) a dále písemně na e-mail zpracovatele. Zpracovatel správkyni neprodleně informuje, má-li za to, že je pokyn v rozporu s GDPR nebo s jiným předpisem o ochraně údajů, a takový pokyn nemusí provést.

Zpracovatel nezpracovává údaje pro vlastní účely, nepředává je třetím osobám mimo přílohu C a nepoužívá je k trénování jakýchkoli modelů, k reklamě ani k analytice.

4a. Služby, které si připojíš sama

Správkyně může ke svému účtu připojit vlastní účet Google (kalendář a úkoly). Zařízení správkyně pak čte a zapisuje události a úkoly přímo u Googlu; zpracovatel do Googlu obsah nezapisuje a obsah těchto zápisů nevidí. Pokud správkyně zapne zrcadlení termínů v režimu „I s klientkou“, předává jméno klientky do svého vlastního účtu Google správkyně jako správkyně údajů, ze svého zařízení a na vlastní rozhodnutí. Google tím není dalším zpracovatelem zpracovatele a zpracovatel tyto údaje neobdrží. Služby, poznámky, alergeny ani anamnéza do Googlu nejdou. Zpracovatel u připojení drží jen údaje popsané v zásadách zpracování osobních údajů (zašifrovaný přístupový klíč, e-mail připojeného účtu, identifikátory blokujících kalendářů a sloučené úseky „obsazeno“ jen se začátkem a koncem); jde o údaje samotné správkyně, ne o údaje jejích klientek.

4b. Stripe účet, který si připojíš sama

Správkyně s plánem Max může ke svému účtu připojit vlastní účet Stripe (stávající účet přes přihlášení u Stripe, nový přes průvodce Stripe), aby u akcí a záloh přijímala platby kartou. Smlouvu se Stripe uzavírá správkyně; peníze jdou na její Stripe účet a Tricho.app z nich nic neinkasuje (aplikační poplatek 0 %). Pro platby jejích účastnic a klientek je Stripe zpracovatelem správkyně podle její smlouvy se Stripe a v rozsahu vlastních povinností (prevence podvodů a praní špinavých peněz, regulace plateb) samostatným správcem. Dalším zpracovatelem zpracovatele Stripe není; v příloze C stojí jen pro úplnost.

Zpracovatel jedná na Stripe účtu správkyně omezeným klíčem platformy a jen v tomto rozsahu: založí platbu (Checkout Session) s minimem údajů (identifikátor přihlášky nebo žádosti a veřejná položka), čte stav účtu a plateb a vratku kartou provede jen na pokyn ze zařízení správkyně. Sám od sebe peníze nevrací nikdy. Oznámení Stripe s údaji plátkyně (e-mail, jméno, případně adresa a telefon) projde serverem jen tranzitně, hned se zúží na nutná pole a neuloží se ani nezaloguje, ani při chybě; oznámení o platbách, které s Tricho.app nesouvisí, zpracovatel po ověření podpisu zahodí. Uchovává jen identifikátor připojeného účtu, jeho stav a identifikátory plateb (příloha A); částku neukládá, umí ji ale přes Stripe kdykoli přečíst.

Řečeno poctivě: omezený klíč platformy technicky umí na připojeném účtu číst a zapisovat i jiné objekty. Zpracovatel ho k tomu nepoužívá a drží ho jen v šifrovaném úložišti tajemství serveru; jeho únik je scénářem článku 10. Platba kartou se do aplikace správkyně dostává přes server, spoléhá tedy na jeho integritu. Připojení správkyně zruší kdykoli v aplikaci nebo ve Stripe.

5. Mlčenlivost

Zpracovatel zaváže mlčenlivostí každou osobu, která se podílí na provozu služby a mohla by se dostat k údajům nebo k technickým údajům o nich. Závazek trvá i po skončení spolupráce.

6. Zabezpečení zpracování (čl. 32)

Zpracovatel zavedl a udržuje zejména tato opatření:

• Šifrování v zařízení správkyně. Obsah se šifruje algoritmem AES-256-GCM klíčem odvozeným z tajemství, které zná jen správkyně. Klíč zařízení neopouští a zpracovatel ho nemá — nemůže ho vydat ani na příkaz.
• Vazba šifrovaného obsahu. Každý zašifrovaný záznam je kryptograficky vázán na identifikátor trezoru a na identifikátor záznamu; nelze ho tedy nepozorovaně přenést do jiného účtu nebo nahradit jiným.
• Šifrovaný přenos. Veškerá komunikace probíhá výhradně přes TLS (HTTPS).
• Řízení přístupu. Přístup k serveru má pouze zpracovatel, na základě klíče; každý zásah na serveru se provádí skriptem uloženým ve verzovaném repozitáři.
• Oddělení účtů. Každá správkyně má vlastní databázi; přístup se ověřuje podepsaným tokenem a kontroluje se při každém požadavku.
• Zálohování a obnova. Denní zálohy serveru s pravidelnou zkouškou obnovy; retence 30 denních, 12 měsíčních a 2 ročních snapshotů.
• Provozní záznamy bez autorizačních hlaviček a bez cookies, v krátké rotaci.

Zpracovatel neručí za zabezpečení zařízení správkyně a za nakládání s jejím náhradním klíčem — to je opatření na straně správkyně.

7. Další zpracovatelé

Správkyně uděluje zpracovateli obecné povolení k zapojení dalších zpracovatelů uvedených v příloze C. Zpracovatel:

• uzavře s každým dalším zpracovatelem smlouvu, která mu ukládá povinnosti v rozsahu odpovídajícím této smlouvě;
• informuje správkyni o záměru zapojit nového dalšího zpracovatele nebo nahradit stávajícího nejméně 30 dní předem, e-mailem a oznámením v aplikaci;
• umožní správkyni ve stejné lhůtě vznést námitku; trvá-li námitka a nedohodnou-li se strany, může správkyně smlouvu bezplatně ukončit a zpracovatel jí vrátí poměrnou část předplatného;
• odpovídá správkyni za plnění povinností dalších zpracovatelů stejně, jako by je plnil sám;
• poskytne správkyni na vyžádání kopii ujednání s dalším zpracovatelem; obchodní podmínky, které se ochrany údajů netýkají, může začernit.

Další zpracovatel jen pro volitelnou funkci. Cloudflare Email Routing a Workers (příjem upozornění z banky, příloha C) zpracovatel oznamuje postupem podle tohoto článku a zapojí je nejdříve 30 dní po oznámení, a to jen u správkyně, která si funkci sama zapne. Námitka správkyně proti dalšímu zpracovateli, kterého potřebuje jen volitelná funkce, vede k tomu, že se funkce u ní nezapne, případně se vypne; změnu pro ostatní správkyně nezablokuje. Párování plateb z výpisu v zařízení jí zůstává. Právo smlouvu bezplatně ukončit podle předchozího odstavce tím není dotčeno.

8. Předání mimo EU/EHP

Šifrovaný obsah je uložen na serveru v datovém centru Frankfurt nad Mohanem, Německo (Oracle Cloud, region eu-frankfurt-1), tedy uvnitř EU/EHP; obsah trezorů se mimo EU/EHP nepředává. Někteří další zpracovatelé podle přílohy C mohou údaje zpracovávat i mimo EU/EHP; předání se v takovém případě opírá o rozhodnutí o odpovídající ochraně nebo o standardní smluvní doložky Evropské komise. Zpracovatel na vyžádání doloží, o který nástroj se u kterého příjemce jedná.

Upozornění z banky. U Cloudflare Email Routing a Workers (příloha C) je zpráva banky po dobu zpracování čitelná v paměti Workeru, který může běžet kdekoli v síti Cloudflare, i v USA; Cloudflare navíc uchová odesílatele, adresu příjemce a předmět každé zprávy 31 dní. Předání se tu opírá primárně o rozhodnutí Komise o odpovídající ochraně (EU–US Data Privacy Framework), v němž je Cloudflare, Inc. certifikovaná, a podpůrně o standardní smluvní doložky 2021/914, modul 3 (zpracovatel → zpracovatel). Doplňková opatření: funkce je volitelná a výchozí cestou zůstává import výpisu v zařízení; Worker nic neloguje a obsah nikde neukládá, celou zprávu hned zapečetí na klíč správkyně; tajnou adresu lze kdykoli vyměnit. Kdyby Soudní dvůr EU rozhodnutí o DPF zrušil, zpracovatel do 7 dní přestane zakládat nové adresy a do 30 dní přesune příjem na vlastní server v EU, nebo funkci vypne; správkyně se to dozví e-mailem a v aplikaci.

9. Součinnost správkyni

Zpracovatel s ohledem na povahu zpracování pomáhá správkyni:

• s žádostmi subjektů údajů (čl. 12–22). Protože obsah nedokáže přečíst, nemůže žádost vyřídit sám. Přístup, opravu, export i výmaz provádí správkyně přímo v aplikaci; zpracovatel jí k tomu poskytne nástroje, popis a technickou podporu. Obrátí-li se subjekt údajů se žádostí přímo na zpracovatele, ten ji neprodleně předá správkyni a sám na ni nereaguje;
• se zabezpečením zpracování (čl. 32) — popisem zavedených opatření a jejich změn;
• s ohlašováním porušení (čl. 33 a 34) — postupem podle článku 10 této smlouvy;
• s posouzením vlivu a předchozí konzultací (čl. 35 a 36) — poskytnutím informací o zpracování, které má k dispozici.

10. Ohlášení porušení zabezpečení

Zpracovatel ohlásí správkyni každé porušení zabezpečení osobních údajů, které se týká údajů zpracovávaných podle této smlouvy, bez zbytečného odkladu poté, co se o něm dozví, nejpozději však do 48 hodin, e-mailem na adresu uvedenou u účtu. Lhůta je sjednaná takhle proto, aby správkyni zbyl čas na její vlastní ohlášení dozorovému úřadu do 72 hodin podle čl. 33 odst. 1. Ohlášení obsahuje popis povahy porušení, dotčené kategorie a přibližný počet záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontakt pro další informace. Nejsou-li všechny informace hned k dispozici, poskytne je zpracovatel postupně, bez dalšího odkladu.

Výslovně sem patří dva scénáře u akcí a plateb: únik tajemství Workeru, kterým Cloudflare Email Worker předává serveru zapečetěná upozornění z banky (tajemství platí jen pro příjem těchto zpráv), a únik omezeného klíče platformy Stripe, který se dotkne každého připojeného Stripe účtu. U obou zpracovatel ohlásí porušení každé dotčené správkyni bez zbytečného odkladu, klíč vymění a popíše, co s ním mohl útočník udělat.

Ohlášení Úřadu pro ochranu osobních údajů do 72 hodin a případné oznámení klientkám podává správkyně; zpracovatel jí k tomu poskytne veškerou dostupnou součinnost. Zpracovatel dokumentuje každé porušení a dokumentaci na vyžádání předloží.

11. Doložení souladu a audit

Zpracovatel poskytne správkyni všechny informace nezbytné k doložení souladu s čl. 28 GDPR a s touto smlouvou.

Zpracovatel dále umožní audity, včetně inspekcí, prováděné správkyní nebo auditorem, kterého správkyně pověří, a poskytne k nim součinnost. Praktická pravidla, která právo na audit nezužují: audit se ohlašuje písemně nejméně 30 dní předem (u auditu navazujícího na porušení zabezpečení bez této lhůty), probíhá v pracovní době, nesmí nepřiměřeně narušit provoz, auditor je vázán mlčenlivostí a nedostane přístup k údajům jiných zákaznic. Náklady auditu nese správkyně; zjistí-li audit podstatné porušení této smlouvy, nese je zpracovatel.

Poskytnutí popisu architektury a bezpečnostní dokumentace je doplněk práva na audit, nikoli jeho náhrada.

12. Výmaz nebo vrácení údajů po skončení

Po skončení poskytování služby zpracovatel podle volby správkyně údaje vymaže, nebo jí je vrátí, a vymaže existující kopie, s omezeními uvedenými níže, která správkyně výslovně přijímá jako sjednaný způsob provedení pokynu k výmazu. Volbu sdělí správkyně do 30 dnů od skončení; nesdělí-li ji, zpracovatel údaje vymaže.

Vrácení probíhá tak, že si správkyně data vyexportuje z aplikace v otevřeném formátu, případně si stáhne šifrovanou zálohu; zpracovatel obsah nedokáže dešifrovat, a nemůže ho tedy vydat v čitelné podobě.

Výmaz účtu odstraní databázi se šifrovanými daty, cloudové zálohy, záznamy o zařízeních a přihlašovací tokeny. Zpracovatel správkyni předem upozorňuje, a ta s tím souhlasí, že údaje mohou přetrvat:

• v zálohách celého serveru až do jejich rotace (30 denních, 12 měsíčních a 2 roční snapshoty — tedy nejdéle dva roky); do snapshotů nelze zasáhnout, aniž by se znehodnotila obnova pro ostatní zákaznice;
• v cloudových zálohách po dobu retence plánu (Pro 12 měsíců, Max 5 let), jde-li o výmaz jednotlivé klientky, a ne celého účtu;
• na zařízení správkyně, které je offline, dokud se nepřipojí;
• jako identifikátor záznamu bez obsahu a jako pseudonymní záznam o tom, že výmaz proběhl (datum a počet).

Údaje k akcím, zálohám a platbám, které server drží, se mažou průběžně podle lhůt v příloze A, nezávisle na skončení služby. Databáze otisků plateb se nezálohuje, v zálohách serveru tedy nepřetrvá.

Po uplynutí těchto lhůt jsou údaje odstraněny; do té doby je zpracovatel mimo nutné obnovy nepoužívá a zůstávají zašifrované. Zpracovatel dále uchová doklady, které mu ukládá uchovat právo Unie nebo členského státu — u něj jde o faktury (10 let). Ty neobsahují údaje klientek.

13. Porušení a ukončení

Poruší-li zpracovatel tuto smlouvu podstatným způsobem, může správkyně smlouvu i účet ukončit; zpracovatel v takovém případě vrátí poměrnou část předplatného. Nemůže-li zpracovatel plnit povinnosti podle této smlouvy, oznámí to správkyni bez zbytečného odkladu.

14. Odpovědnost

Odpovědnost stran za újmu způsobenou zpracováním se řídí čl. 82 GDPR. Omezení náhrady újmy sjednané v obchodních podmínkách se nevztahuje na nároky subjektů údajů podle čl. 82 GDPR ani na sankce uložené dozorovým úřadem — tedy ani tehdy, když je správkyně podnikatelkou. Řečeno rovně: strop, který v podmínkách je, nezakrývá to, co by po kterékoli ze stran mohla chtít klientka nebo úřad.

Nahradí-li jedna strana újmu v plném rozsahu, může po druhé požadovat část odpovídající jejímu podílu na odpovědnosti (čl. 82 odst. 5 GDPR).

15. Závěrečná ustanovení

Smlouva se řídí právem České republiky a trvá po dobu existence účtu správkyně. Mění-li se podmínky zpracování, postupuje se stejně jako u změny obchodních podmínek; podstatnou změnu oznámí zpracovatel nejméně 30 dní předem. Rozšíření zpracování o Objednávání, akce, zálohy a platby je součástí této šablony, včetně příloh A až C; rozšíření o akce, zálohy a platby je podstatnou změnou a zpracovatel ho oznámil nejméně 30 dní předem. Nová verze šablony nebo změna příloh se správkyni oznamuje postupem podle článku 7 (u dalších zpracovatelů) a podle tohoto článku (u ostatních změn).

Je-li tato smlouva uzavřena elektronicky (potvrzením při založení účtu), má se za splněný požadavek písemné formy podle čl. 28 odst. 9 GDPR, který elektronickou formu výslovně připouští. Podpisové řádky níže slouží pro listinnou variantu.

Příloha A — Popis zpracování

Příloha B — Co má zpracovatel v čitelné podobě

Obsah je vždy zašifrovaný. Aby server uměl replikovat a zálohovat, vidí u každého záznamu tyto technické údaje:

• identifikátor záznamu, jeho typ (klientka / návštěva / fotografie) a číslo revize;
• čas poslední změny a příznak, že byl záznam smazaný;
• velikost záznamu, velikost každé přílohy, celkovou velikost databáze a měsíc, do kterého záznam spadá;
• identifikátor trezoru (vaultId) v čitelné podobě.

Z těchto údajů lze odvodit počet klientek a časový rozvrh práce správkyně; nelze z nich zjistit totožnost klientek ani obsah zápisů.

Při zapnutém Objednávání je čitelné navíc: volná okna, která správkyně zveřejňuje (lze z nich odvodit její vytíženost), začátek a konec termínu každé objednávky a její stav. E-mail klientky drží zpracovatel jen zašifrovaný vlastním klíčem, který není v databázi, a jen aby mohl klientce poslat zprávy; jméno, telefon, poznámka a zvolené služby jsou v obálce zašifrované na klíč správkyně. Seznam klientek, kterým je Objednávání povolené, drží zpracovatel jen jako otisky, z nichž nelze adresy zpětně přečíst; adresy z zařízení správkyně pro tento účel neodcházejí.

Protože je objednávka smlouvou uzavřenou na dálku, nese navíc číslo objednávky (odvozené z jejího identifikátoru), verzi podmínek a jejich otisk, čas uzavření smlouvy, konec lhůty pro odstoupení, čas žádosti o provedení služby v této lhůtě a příznak, že byla zrušena kvůli odstoupení. Nic z toho neříká, kdo si termín objednal. Identifikace správkyně jako prodávající (jméno, sídlo, IČO, zápis, telefon, e-mail, věta o DPH) je součástí jejího veřejného profilu, stejně jako její jméno.

Formulář „Odstoupit od smlouvy“. Jméno, číslo objednávky (nebo službu a termín) a e-mail, které do něj osoba napíše, má zpracovatel v čitelné podobě jen přechodně, aby sestavil potvrzení o přijetí; číslo objednávky porovná se žádostmi správkyně jen v paměti. Uloženo zůstane jen prohlášení zapečetěné v prohlížeči na klíč správkyně, do doručení potvrzení zpráva ve frontě zašifrovaná klíčem zpracovatele (nejvýš 24 hodin) a značka proti dvojímu přijetí bez obsahu (30 dní). Provozní záznamy nesou jen identifikátor účtu, identifikátor odstoupení a výsledek. Potvrzení čte při odeslání Seznam.cz, jako každou zprávu klientce.

U akcí a záloh je čitelné navíc:

• zveřejněná akce — název, popis, místo, termíny a dny s časy, ceny a cenové úrovně, kapacita, stupnice storna, prodejní okna, stav a okruh účastnic, identifikace prodávající (jméno, adresa, IČO) a text podmínek; to vše dává server komukoli spolu s počtem volných míst. Účet správkyně pro příjem plateb drží jen k sestavení platebních údajů a veřejně ho neukazuje;
• obsazená místa s neprůhledným držitelem a expirací;
• u každé přihlášky její identifikátor, akce a termín, počet míst, stav, lhůty, kdy a čím byla zaplacena, stav otisku platby, identifikátory platby kartou, zda plátkyně sama přijde, zdroj (přihláška, nebo ruční zápis), potvrzení podnikatelského prohlášení a verze podmínek, třída důvodu zrušení, u každého místa zda odešla informace podle čl. 14 GDPR, a klíčované otisky e-mailu a IP adresy pro limity. Ne variabilní symbol, částka, cenová úroveň ani slevový kód přihlášky; částku lze ale odvodit z veřejné ceny, počtu míst a pravidla kódu, a to se přiznává;
• slevové kódy: jejich pravidla, otisk kódu a to, která přihláška kód použila;
• čekací listina: pořadí, stav a konec nabídky;
• úkoly vratek s daty a stavem, bez částky;
• počet revizí sdíleného čítače dokladů (zhruba kolik dokladů vzniklo online);
• u žádosti se zálohou stav zálohy a lhůty, ne variabilní symbol ani částka (ta je odvoditelná z veřejné ceny služby a pravidla zálohy);
• počet otevřených otisků plateb (u faktur doplněný návnadami na násobek pěti), den zveřejnění, hrubá expirace a která přihláška nebo žádost se spárovala nebo je držená;
• u plateb kartou identifikátor připojeného Stripe účtu, jeho stav a identifikátory plateb; u upozornění z banky otisk tajné adresy (nikdy adresu samotnou), klíčované otisky účtů správkyně, přepínače a časy stavu, a u každé zprávy zapečetěnou obálku s časem, doménou banky, velikostní třídou, verdiktem a výsledkem párování.

Z těchto údajů lze odvodit, kolik přihlášek a nezaplacených pohledávek správkyně má; nelze z nich zjistit, kdo se přihlásila, kolik zaplatila ani kdo platil.

Pod klíčem zpracovatele (jako e-mail klientky u Objednávání) jsou e-maily přihlašující a každé spoluúčastnice, odkazy pro storno a náhled, platební údaje přihlášky nebo zálohy (variabilní symbol, částka, účet), účtovaná částka, cenová úroveň a kód přihlášky (do konce posledního dne akce), e-mail odběratele otevřené faktury a fronta odchozích zpráv (nejvýš 24 hodin). Kdo by získal databázi i prostředí serveru, přečte tyto údaje; obálky přihlášek a upozornění z banky nepřečte ani pak. Jméno, telefon, fakturační údaje, jména spoluúčastnic a poznámka jsou v obálce na klíč správkyně a zpracovatel je nepřečte nikdy.

Odchozí pošta. Zprávy účastnicím a klientkám, včetně výzev k platbě s variabilním symbolem, částkou, účtem a QR kódem, odesílá Seznam.cz (příloha C) a při odeslání je čte. Kde to služba dovolí, je ukládání kopií odeslaných zpráv vypnuté; kde to nejde, zůstane kopie ve schránce odesílatele u Seznam.cz v ČR a zpracovatel ji používá jen k dohledání nedoručené zprávy. Provozní záznamy serveru nesou jen počty a výsledky, nikdy otisk, variabilní symbol, částku ani e-mailovou adresu.

Příloha C — Další zpracovatelé

Kdo dalším zpracovatelem není. Google (i jako poskytovatel kalendáře a úkolů, které si správkyně připojí sama — viz článek 4a) a Apple v roli poskytovatelů přihlášení a Fio banka v roli poskytovatele platebních služeb podle téhle smlouvy nejednají jako další zpracovatelé — vůči údajům správkyně vystupují jako samostatní správci a k údajům jejích klientek nemají přístup. Totéž platí pro Stripe v rozsahu jeho vlastních povinností v oblasti prevence podvodů a boje proti praní špinavých peněz; u plateb kartou na Stripe účtu správkyně je Stripe jejím zpracovatelem podle její vlastní smlouvy (článek 4b). Banka správkyně, která jí posílá upozornění o platbách, je samostatný správce. Písma zpracovatel servíruje z vlastních adres, takže se k žádné třetí straně nedostane ani IP adresa návštěvnice.

Aktuální seznam a rozsah je vždy i v zásadách zpracování osobních údajů.

Verze 2026-10-31. Účinnost: 31. 10. 2026.