Smlouva o zpracování osobních údajů (DPA)
Příloha obchodních podmínek služby Olvano · verze 1.0 · účinné od 29. 6. 2026
Tato smlouva o zpracování osobních údajů (dále jen „DPA") je uzavřena podle čl. 28 nařízení (EU) 2016/679 (GDPR) mezi uživatelem služby Olvano jako správcem a provozovatelem služby jako zpracovatelem. DPA se uzavírá automaticky spolu s hlavní smlouvou (viz obchodní podmínky) a tvoří její nedílnou součást.
1. Smluvní strany
1.1 Správce – uživatel služby Olvano, který do služby vkládá osobní údaje třetích osob (dále jen „Správce").
1.2 Zpracovatel:
Daniel Krůl, IČO 09161244, sídlo Mlýnská 1692/7, Moravská Ostrava, 702 00 Ostrava, e-mail dankrul.krul@gmail.com (dále jen „Zpracovatel").
2. Předmět a povaha zpracování
2.1 Zpracovatel zpracovává osobní údaje pro Správce výhradně za účelem poskytování služby Olvano (zejména vystavování a správa faktur a dalších dokladů, párování plateb, zasílání dokumentů a upomínek, podpis dokumentů a související funkce).
2.2 Povaha zpracování: ukládání, organizace, úprava, použití, zpřístupnění a výmaz osobních údajů automatizovanými prostředky v rámci služby.
2.3 Doba zpracování: po dobu trvání hlavní smlouvy mezi stranami, není-li dále stanoveno jinak.
3. Kategorie subjektů údajů a osobních údajů
3.1 Subjekty údajů: klienti a obchodní partneři Správce, příjemci faktur a dokladů, osoby podepisující dokumenty prostřednictvím služby, případně další osoby, jejichž údaje Správce do služby vloží.
3.2 Kategorie osobních údajů: identifikační a kontaktní údaje (jméno, název, adresa, IČO/DIČ, e-mail, telefon), fakturační a platební údaje, údaje uvedené v dokumentech a v jejich přílohách, údaje související s elektronickým podpisem (časový údaj, IP adresa, záznam o souhlasu, podpisová data). Správce do služby nevkládá zvláštní kategorie osobních údajů (čl. 9 GDPR), ledaže se strany dohodnou jinak.
4. Povinnosti Zpracovatele (čl. 28 odst. 3 GDPR)
Zpracovatel se zavazuje:
4.1 zpracovávat osobní údaje pouze na základě doložených pokynů Správce (za pokyn se považuje i užívání funkcí služby), včetně předání do třetí země pouze, vyžaduje-li to právo, jemuž podléhá; o takové povinnosti Správce předem informuje, nezakazuje-li to právo;
4.2 zajistit, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti;
4.3 přijmout vhodná technická a organizační opatření k zabezpečení zpracování podle čl. 32 GDPR (zejména hosting v EU/EHP, řízení přístupu, šifrování přenosu, zálohování);
4.4 zapojit dalšího zpracovatele (podzpracovatele) pouze za podmínek dle čl. 5 této DPA;
4.5 být Správci nápomocen vhodnými opatřeními při plnění jeho povinnosti reagovat na žádosti subjektů údajů (čl. 12–23 GDPR) a při plnění povinností podle čl. 32–36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu);
4.6 po skončení poskytování služby podle volby Správce všechny osobní údaje vymazat nebo vrátit a vymazat existující kopie, nevyžadují-li právní předpisy jejich uložení;
4.7 poskytnout Správci informace nezbytné k doložení plnění povinností dle čl. 28 GDPR a umožnit audity či kontroly prováděné Správcem nebo jím pověřeným auditorem; o pokynu, který podle Zpracovatele porušuje GDPR, Správce informuje.
5. Podzpracovatelé
5.1 Správce uděluje Zpracovateli obecné povolení zapojit do zpracování podzpracovatele za účelem poskytování služby (zejména poskytovatele hostingu a databáze, odesílání e-mailů, SMS a webové analytiky a obdobných služeb).
5.2 Zpracovatel zaváže každého podzpracovatele stejnými povinnostmi v oblasti ochrany údajů, jaké jsou sjednány v této DPA, a odpovídá za jeho činnost.
5.3 Zpracovatel informuje Správce o zamýšlených změnách podzpracovatelů (přidání či nahrazení) a poskytne Správci možnost vznést proti změně námitku. Aktuální seznam podzpracovatelů odpovídá seznamu zpracovatelů uvedenému v Zásadách ochrany osobních údajů.
6. Předání mimo EU/EHP
Dochází-li k předání osobních údajů do třetí země, zajistí Zpracovatel odpovídající záruky podle čl. 46 GDPR (zejména standardní smluvní doložky Evropské komise), případně jiný platný právní mechanismus.
7. Porušení zabezpečení osobních údajů
V případě porušení zabezpečení osobních údajů ohlásí Zpracovatel tuto skutečnost Správci bez zbytečného odkladu poté, co se o ní dozvěděl, a poskytne mu součinnost potřebnou k tomu, aby Správce mohl splnit své povinnosti dle čl. 33 a 34 GDPR.
8. Odpovědnost
Odpovědnost stran se řídí GDPR (čl. 82) a hlavní smlouvou. Smluvní omezení odpovědnosti sjednané v obchodních podmínkách se použije i pro tuto DPA v rozsahu dovoleném právními předpisy.
9. Závěrečná ustanovení
9.1 Tato DPA nabývá účinnosti spolu s hlavní smlouvou a trvá po dobu, po kterou Zpracovatel pro Správce zpracovává osobní údaje.
9.2 DPA se řídí právním řádem České republiky a GDPR. V případě rozporu mezi DPA a obchodními podmínkami má v otázkách zpracování osobních údajů přednost tato DPA.