FaktFlow s.r.o. · smluvní dokument
Smlouva o zpracování osobních údajů
Zákazník souhlasem s VOP FaktFlow uzavírá i tuto smlouvu. Upravuje, jak FaktFlow s.r.o. jako zpracovatel nakládá s osobními údaji, které zákazník do aplikace vkládá.
1 Strany
Zpracovatel: FaktFlow s.r.o., IČO 23629312, Korunní 2569/108, Vinohrady, 101 00 Praha 10, C 430409 vedená u Městského soudu v Praze. Správce: zákazník, který s FaktFlow s.r.o. uzavřel smlouvu o poskytování služby podle VOP (dále „Smlouva“).
2 Předmět, doba, povaha a účel
Zpracovatel zpracovává osobní údaje, které správce nebo jeho uživatelé vloží do aplikace FaktFlow, po dobu trvání Smlouvy a do výmazu podle čl. 9. Povaha zpracování: uložení, uspořádání, vyhledávání, výpočty a sestavy, vytěžování dokladů, odesílání e-mailů na pokyn uživatele, zálohování a výmaz. Účel: poskytování modulů aplikace podle Smlouvy.
| Modul | Typické osobní údaje | Subjekty údajů |
|---|---|---|
| CRM | jméno, pracovní kontakt, poznámky z obchodní komunikace | kontaktní osoby zákazníků a obchodních partnerů správce |
| InvoFlow (fakturace) | jméno, adresa, IČO, DIČ, e-mail, platební údaje na dokladech | odběratelé a dodavatelé – fyzické osoby, kontaktní osoby firem |
| DocFlow (vytěžování dokladů) | údaje z dokladů: jméno, adresa, IČO, částky, platební údaje | dodavatelé a odběratelé správce |
| ReFlow (manažerský reporting) | údaje z účetnictví správce, včetně jmen obchodních partnerů a souhrnných mzdových nákladů | obchodní partneři, zaměstnanci správce (souhrnně) |
| TaskFlow (úkoly a projekty) | jména a e-maily uživatelů, obsah úkolů a komentářů, evidence času | zaměstnanci a spolupracovníci správce |
| TimeFlow (docházka) | jména, pracovní doba, nepřítomnosti; poloha jen v okamžiku zapnutí a vypnutí docházky v mobilu, je-li funkce zapnuta | zaměstnanci správce |
| TripFlow (cestovní příkazy) | jména, pozice, cíle a účely cest, výdaje, údaje o vozidle | zaměstnanci správce |
Zvláštní kategorie údajů (čl. 9 GDPR) a rodná čísla aplikace ke své funkci nepotřebuje; správce je vkládá jen tehdy, má-li k tomu právní základ, a odpovídá za to.
3 Pokyny
Zpracovatel zpracovává údaje jen na doložené pokyny správce, včetně předání do třetích zemí, ledaže mu zpracování ukládá právo EU nebo ČR (pak správce předem informuje, pokud to právo nezakazuje). Pokyny tvoří Smlouva, tato DPA a nastavení a úkony v aplikaci; další pokyny správce dává písemně nebo e-mailem. Zpracovatel neprodleně upozorní, pokud by pokyn podle jeho názoru porušoval předpisy.
4 Povinnosti zpracovatele
- zajistí mlčenlivost všech osob, které s údaji pracují, i po skončení jejich vztahu ke zpracovateli;
- uplatňuje technická a organizační opatření podle čl. 32 GDPR (čl. 6);
- pomáhá správci vyřizovat žádosti subjektů údajů; žádost doručenou přímo zpracovateli předá správci do 3 pracovních dnů;
- pomáhá správci plnit povinnosti podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace);
- vede záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR a spolupracuje s dozorovým úřadem;
- neužívá údaje správce k vlastním účelům; zejména je nepoužívá a nedovolí použít k trénování modelů umělé inteligence. Rozvoj služby provádí jen na anonymizovaných nebo souhrnných technických údajích.
5 Další zpracovatelé a místo zpracování
Správce uděluje obecné povolení k zapojení dalších zpracovatelů uvedených v seznamu dalších zpracovatelů. Zamýšlenou změnu zpracovatel oznámí e-mailem nejméně 30 dní předem; správce může do 15 dnů vznést odůvodněnou námitku a nedojde-li k dohodě, Smlouvu bez sankce vypovědět s účinností nejpozději ke dni zapojení nového zpracovatele. Zpracovatel ukládá dalším zpracovatelům stejné povinnosti, jaké má sám, a odpovídá za jejich plnění.
Data aplikace se ukládají v EU. Do třetích zemí se údaje předávají jen v případech uvedených v seznamu dalších zpracovatelů (záložní vytěžování dokladů v USA, přístup podpory dodavatelů), a to na základě standardních smluvních doložek (rozhodnutí Komise (EU) 2021/914) nebo rozhodnutí o odpovídající ochraně (EU) 2023/1795. Tento popis je pokynem správce k předání ve smyslu čl. 28 odst. 3 písm. a) GDPR.
6 Zabezpečení
- šifrovaný přenos (TLS 1.2 a vyšší) a šifrování citlivých uložených údajů;
- vícefaktorové ověření administrátorských přístupů, řízení oprávnění podle rolí;
- databáze nedostupná z internetu; denní zálohy s uchováním 30 dní;
- záznam aktivit 12 měsíců; maskování citlivých údajů v chybových záznamech;
- pravidelné aktualizace a testy zabezpečení.
7 Porušení zabezpečení
Zpracovatel ohlásí správci porušení zabezpečení jeho údajů bez zbytečného odkladu, nejpozději do 24 hodin od zjištění, na kontaktní e-mail evidovaný v aplikaci, s popisem povahy porušení, kategorií a přibližného počtu dotčených osob a záznamů, pravděpodobných důsledků a přijatých opatření; chybějící informace doplní postupně. Ohlášení dozorovému úřadu a oznámení subjektům údajů činí správce; zpracovatel mu poskytne součinnost.
8 Audit
Správce může jednou ročně, s oznámením nejméně 30 dní předem, ověřit plnění této DPA. Zpracovatel nejdříve předloží dokumentaci; inspekce se provede, jen pokud nestačí. Při porušení zabezpečení nebo na žádost dozorového úřadu se lhůta zkracuje na 5 pracovních dnů. Náklady nese správce, ledaže audit odhalí podstatné porušení DPA.
9 Skončení
Do 30 dnů po skončení Smlouvy si správce může údaje stáhnout ve strojově čitelném formátu (CSV, JSON). Poté je zpracovatel vymaže, ledaže právo EU nebo ČR vyžaduje jejich uložení; kopie v zálohách zaniknou nejpozději po 30 dnech rotací záloh. Výmaz zpracovatel na žádost potvrdí.
10 Závěrečná ustanovení
Odpovědnost stran se řídí čl. 82 GDPR a VOP. Tato DPA se řídí právem ČR a GDPR; spory se řeší podle VOP. V otázkách ochrany osobních údajů má tato DPA přednost před VOP. Kontakt: gdpr@faktflow.cz.