Smlouva o zpracování osobních údajů

Uzavřená podle čl. 28 nařízení (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb. Platné znění od 2. 11. 2026.

Správce: uživatel služby, který je vlastníkem účtu, s údaji uvedenými v účtu (dále „Správce“).
Zpracovatel: Ing. Martin Benedikt, IČO [IČO], [adresa], e-mail info@qrlink.cz, provozovatel služby qrlink.cz (dále „Zpracovatel“).

1. Předmět a účel

1. Zpracovatel poskytuje Správci službu qrlink.cz pro správu QR kódů, karet zařízení, evidence revizí a servisu (dále „Služba“).
2. Při poskytování Služby zpracovává Zpracovatel osobní údaje, které do Služby vloží Správce nebo uživatelé jeho účtu, výhradně za účelem provozu Služby. Rozsah popisuje Příloha 1.
3. Zpracování probíhá automatizovaně v informačním systému Služby.

2. Doba trvání

1. Smlouva platí po dobu, po kterou Správce Službu užívá.
2. Po zrušení účtu Zpracovatel do 30 dnů osobní údaje Správce vymaže. Před zrušením si Správce může údaje sám vyexportovat v nastavení účtu.
3. Výmaz se netýká údajů, které musí Zpracovatel uchovávat podle zákona (např. účetní doklady), a záloh, ze kterých se údaje vymažou při jejich běžném přepisu.

3. Povinnosti Zpracovatele

1. Zpracovává osobní údaje pouze na základě pokynů Správce. Pokynem je i nastavení a užívání Služby Správcem. Pokud by pokyn podle názoru Zpracovatele porušoval právní předpisy, upozorní na to Správce.
2. Zajistí mlčenlivost všech osob, které mají k údajům přístup, i po skončení smlouvy.
3. Přijme technická a organizační opatření podle čl. 32 GDPR popsaná v Příloze 2.
4. Další zpracovatele zapojí jen podle Přílohy 3. O zamýšlené změně informuje Správce e-mailem nejméně 30 dní předem; Správce může do té doby vznést námitku a účet zrušit.
5. Pomůže Správci vyřídit žádosti subjektů údajů (přístup, oprava, výmaz, přenositelnost), především tím, že Služba umožňuje údaje zobrazit, upravit, smazat a exportovat.
6. Pomůže Správci plnit povinnosti podle čl. 32 až 36 GDPR v rozsahu informací, které má k dispozici.
7. Porušení zabezpečení osobních údajů oznámí Správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s popisem toho, co se stalo, jakých údajů se to týká a jaká opatření přijal.
8. Poskytne Správci informace potřebné k doložení plnění této smlouvy a umožní kontrolu po předchozí dohodě, nejvýše jednou ročně, pokud nedošlo k porušení zabezpečení.
9. Nepředává osobní údaje do zemí mimo Evropskou unii.

4. Povinnosti Správce

1. Odpovídá za to, že má k vložení a zpracování osobních údajů právní důvod (typicky plnění smlouvy se zákazníkem nebo zákonná povinnost revizí).
2. Informuje své zákazníky, že k vedení evidence využívá Službu.
3. Nevkládá do Služby zvláštní kategorie osobních údajů (např. údaje o zdraví) ani rodná čísla, pokud to není nezbytné.
4. Chrání přístupové údaje ke svému účtu a přístupy uživatelů svého účtu.

5. Závěrečná ustanovení

1. Každá strana odpovídá za škodu způsobenou porušením svých povinností podle GDPR a této smlouvy.
2. Smlouva je uzavřena v elektronické podobě a nabývá účinnosti okamžikem, kdy ji Správce potvrdí v účtu. Datum a čas potvrzení eviduje Zpracovatel u účtu.
3. Změnu smlouvy Zpracovatel oznámí e-mailem nejméně 30 dní předem; pokud s ní Správce nesouhlasí, může do té doby účet zrušit.
4. Přílohy 1 až 3 jsou nedílnou součástí smlouvy.

Příloha 1: Rozsah zpracování

Příloha 2: Technická a organizační opatření

• Šifrované spojení HTTPS pro celou Službu.
• Hesla uložená jen jako otisk; volitelné dvoufázové ověření, přehled přihlášených zařízení a upozornění na přihlášení z nového zařízení.
• Role a omezení uživatelů v účtu (vlastník, editor, technik, čtenář) a omezení na skupiny kódů.
• Záznam změn v účtu a ochrana proti hádání hesel.
• Obsah karet lze chránit heslem; návštěvníkům QR kódu se neukládá IP adresa ani poloha.
• Server v uzamčeném prostoru, filtrování síťového provozu, pravidelné aktualizace.
• Pravidelné zálohy uložené odděleně od serveru.

Příloha 3: Další zpracovatelé