Zpracovatelská smlouva

1. Tato smlouva o zpracování osobních údajů (dále jen „smlouva“) upravuje podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR“) zpracování osobních údajů, které poskytovatel provádí pro zákazníka při provozu platformy Veritas Safety. Smlouva je přílohou smlouvy o užívání platformy uzavřené podle obchodních podmínek (dále jen „hlavní smlouva“) a tvoří její nedílnou součást.
2. Zákazník je právnická osoba nebo podnikající fyzická osoba, která v platformě zaregistrovala firemní účet; identifikuje ho název, IČO a adresa uvedené při registraci a v nastavení firmy. Poskytovatel je provozovatel platformy identifikovaný v záhlaví této smlouvy.
3. U osobních údajů, které zákazník do platformy vkládá nebo které v platformě v souvislosti s jeho činností vznikají (zejména osobní údaje zaměstnanců a dalších osob uvedených v čl. 5), je zákazník správcem ve smyslu čl. 4 bodu 7 GDPR a poskytovatel zpracovatelem ve smyslu čl. 4 bodu 8 GDPR. Účely a podstatné prostředky zpracování určuje zákazník. Poskytovatel určuje jen technické a organizační podrobnosti provozu platformy, zejména volbu infrastruktury a podzpracovatelů, a to v mezích této smlouvy.
4. U osobních údajů zástupců zákazníka (osob, které založily firemní účet, kontaktních a fakturačních osob), u údajů nezbytných k uzavření a plnění hlavní smlouvy, k fakturaci, zabezpečení platformy a ochraně právních nároků je poskytovatel samostatným správcem. Tato smlouva se na takové zpracování nevztahuje; řídí se Zásadami ochrany osobních údajů.
5. Poskytovatel nezpracovává osobní údaje zákazníka pro vlastní účely, neprodává je a nezpřístupňuje je třetím osobám pro jejich vlastní účely. Pokud by poskytovatel porušil toto nařízení tím, že určí účely a prostředky zpracování, považuje se podle čl. 28 odst. 10 GDPR ve vztahu k takovému zpracování za správce, aniž jsou dotčeny články 82, 83 a 84 GDPR.

Pojmy „osobní údaje“, „zpracování“, „správce“, „zpracovatel“, „příjemce“ a „porušení zabezpečení osobních údajů“ mají význam podle čl. 4 GDPR. Dále se rozumí:

• platformou: webová aplikace Veritas Safety (veritassafety.online) včetně domén, na kterých je stejná aplikace provozována,
• dokumentací online: část platformy, v níž je uložena dokumentace BOZP a PO zákazníka (dříve označovaná „Šanon online“),
• knihou úrazů: část platformy určená k evidenci úrazů podle § 105 zákoníku práce a § 3 nařízení vlády č. 322/2025 Sb.,
• uživatelem: osoba, jíž zákazník zpřístupnil účet v platformě (zaměstnanec, HR manažer nebo vlastník účtu),
• vlastníkem účtu a HR manažerem: uživatelé s rolí „owner“, resp. „hr_manager“ ve firemním účtu zákazníka,
• administrátorem poskytovatele: osoba pověřená poskytovatelem, která má v platformě roli správce platformy,
• podzpracovatelem: další zpracovatel ve smyslu čl. 28 odst. 2 a 4 GDPR uvedený v příloze 4.

1. Předmětem zpracování je zpracování osobních údajů v rozsahu čl. 4 až 6 a příloh 1 až 3 za účelem poskytování služeb platformy podle hlavní smlouvy: online školení, dokumentace online, kniha úrazů, certifikáty, evidence licencí a objednávek, import zaměstnanců a e-mailová oznámení.
2. Zpracování trvá od okamžiku, kdy zákazník smlouvu akceptuje (čl. 20), po dobu trvání hlavní smlouvy a dále do vrácení nebo výmazu údajů podle čl. 15.

Povaha zpracování: shromažďování, zaznamenání, uložení, uspořádání, nahlížení, zpřístupnění oprávněným osobám, aktualizace, tisk a export, vymazání. Účel zpracování: umožnit zákazníkovi zajistit, doložit a evidovat plnění jeho povinností v oblasti BOZP a PO (školení, seznámení zaměstnanců s dokumentací, evidence úrazů) a řídit přístup svých uživatelů k platformě. Poskytovatel provádí tyto činnosti zpracování:

• Dokumentace online: ukládání souborů dokumentace BOZP a PO a jejich verzí (včetně kontrolního otisku souboru SHA-256), zpřístupňování souborů oprávněným osobám podle jejich role, evidence potvrzení seznámení zaměstnanců s konkrétní verzí dokumentu (uživatel, verze, čas potvrzení, IP adresa a údaje o prohlížeči), auditní záznam o každém otevření a stažení souboru (kdo, kdy, zda šlo o zobrazení, nebo stažení), nahrávání bezpečnostních listů zákazníkem a jejich kontrola poskytovatelem před zpřístupněním zaměstnancům.
• Kniha úrazů včetně zdravotních údajů: zaznamenávání, úprava, tisk a výpis záznamů o úrazech, uchovávání historie změn každého záznamu (předchozí stav, kdo a kdy změnu provedl, důvod změny), ukládání příloh záznamu a evidence časových značek, které zadá zákazník (ohlášeno na portálu inspekce práce, záznam zaslán). Platforma sama úrazy orgánům ani pojišťovnám neohlašuje a záznamy jim nezasílá. Podrobnosti viz čl. 6.
• Školení a certifikáty: zpřístupnění kurzů, evidence průběhu školení (dokončené lekce a čas v nich strávený), závěrečné testy (otázky, zvolené odpovědi, výsledek, pořadí pokusu, IP adresa a údaje o prohlížeči při testu), prohlášení o samostatném absolvování testu, vystavení certifikátu ve formátu PDF s jedinečným číslem a QR kódem pro veřejné ověření pravosti, hlídání platnosti a zasílání připomínek.
• Správa firmy a uživatelů: registrace firemního účtu a uživatelů (jméno, příjmení, e-mail, heslo uložené jako kryptografický otisk), kód firmy pro připojení zaměstnanců, přidělování rolí, aktivace a deaktivace uživatelů, údaje o členství (oddělení, pracovní zařazení, osobní číslo, pokud je zákazník vyplní), čas posledního přihlášení.
• Import zaměstnanců ze souboru CSV: načtení souboru, který zákazník nahraje (jméno, příjmení, e-mail a podle obsahu souboru oddělení, pracovní zařazení, osobní číslo a role), kontrola řádků, založení pozvánek a členství, záznam o průběhu a výsledku importu.
• Licence a objednávky: evidence objednávek a licenčních balíčků zákazníka a přidělení licence konkrétnímu uživateli (kdo a kdy místo čerpá).
• E-mailová oznámení: odeslání certifikátu uživateli a v kopii HR manažerům, připomínek platnosti, pozvánek, oznámení HR manažerům o novém dokumentu, nové verzi a o změně v knize úrazů (bez zdravotních údajů, viz čl. 6 odst. 4), uložení záznamu o odeslaných e-mailech (adresát, předmět, čas, stav doručení). Skrytou kopii e-mailů dostávají administrátoři poskytovatele do e-mailové schránky poskytovatele ke kontrole doručení a k podpoře zákazníka jen u e-mailů o dokumentech v dokumentaci online a o objednávkách licencí; u certifikátů, připomínek, pozvánek, přiřazení licence uživateli a oznámení o knize úrazů se skrytá kopie neposílá. Administrátoři poskytovatele dále dostávají interní oznámení o registraci uživatele (jen název firmy), o neúspěšném pokusu o test (firma, kurz, výsledek), o nových dokumentech a jejich verzích, o potvrzení seznámení a o dokončeném importu zaměstnanců (jen počty); tato oznámení neobsahují jména ani e-mailové adresy uživatelů zákazníka a o změnách v knize úrazů jen firmu a číslo záznamu.
• Technický provoz: zabezpečení a provoz platformy, technické záznamy o požadavcích a o stavu doručení e-mailů, podpora zákazníka na jeho žádost.

Typy osobních údajů:

• identifikační a kontaktní údaje uživatelů: jméno, příjmení, e-mail, příslušnost k firmě, role, oddělení, pracovní zařazení, osobní číslo,
• údaje o školení: průběh kurzu, výsledky testů, prohlášení o samostatném absolvování, vystavené certifikáty (číslo, držitel, kurz, datum, platnost, výsledek),
• přístupové a provozní údaje: IP adresa a údaje o prohlížeči při testu a při potvrzení seznámení s dokumentem, čas posledního přihlášení, záznam o otevření a stažení souboru, záznam o odeslaných e-mailech,
• obsah dokumentace zákazníka, který může obsahovat osobní údaje podle toho, co zákazník nahraje (například jména zaměstnanců v prezenčních listinách),
• údaje v knize úrazů: jméno postiženého, datum narození (je-li vyplněno), zda jde o zaměstnance, pracovní zařazení, datum a čas úrazu, místo, činnost, počet zraněných, popis úrazového děje, druh úrazu, zdroje a příčiny úrazu, jména svědků, přijatá opatření, poznámky, jméno a pracovní zařazení osoby, která záznam provedla, přílohy a historie změn; z toho údaje o zdravotním stavu podle čl. 6,
• údaje o licencích a objednávkách: kdo má přidělenou licenci a k jakému kurzu.

Kategorie subjektů údajů:

• zaměstnanci zákazníka a další osoby, kterým zákazník zpřístupní účet nebo které zařadí do školení,
• HR manažeři a vlastníci účtu zákazníka jako uživatelé platformy,
• osoby postižené úrazem, včetně osob, které nejsou zaměstnanci zákazníka, pokud je zákazník do knihy úrazů zapíše,
• svědci úrazu a osoby, které záznam v knize úrazů provedly,
• osoby uvedené v dokumentaci zákazníka, kterou do platformy nahraje.

1. Údaje o zdravotním stavu, tedy zvláštní kategorie osobních údajů podle čl. 9 odst. 1 GDPR, zpracovává platforma jen v knize úrazů a v jejích přílohách: popis úrazového děje, druh zranění a zraněná část těla, druh úrazu (úraz bez pracovní neschopnosti, s pracovní neschopností, závažný, smrtelný) a obsah příloh, které zákazník ke záznamu nahraje (například fotografie, lékařské zprávy nebo podepsaný záznam o úrazu). Do ostatních částí platformy zákazník údaje o zdravotním stavu nevkládá.
2. Rozsah zdravotních údajů určuje zákazník tím, co do knihy úrazů vloží. Zákazník odpovídá za to, že rozsah odpovídá povinnostem zaměstnavatele podle § 105 zákoníku práce a § 3 nařízení vlády č. 322/2025 Sb. a účelu zpracování. Poskytovatel obsah záznamů a příloh nezkoumá.
3. Právní základ zpracování a výjimku ze zákazu podle čl. 9 odst. 1 GDPR (čl. 9 odst. 2 GDPR) určuje zákazník jako správce a odpovídá za ně. Smlouva právní základ neurčuje a poskytovatel jeho splnění neposuzuje. Zákazník též odpovídá za informování dotčených osob a za posouzení, zda je třeba posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR; poskytovatel mu poskytne součinnost podle čl. 14.
4. Poskytovatel zpracování zdravotních údajů omezuje takto: (i) ke knize úrazů mají v rámci zákazníka přístup jen vlastník účtu a HR manažeři, zaměstnanec k ní přístup nemá; (ii) e-mailová oznámení o záznamu v knize úrazů, včetně skryté kopie a interních oznámení poskytovatele, neobsahují jméno postiženého ani žádné údaje o úrazu a o zdravotním stavu, jen sdělení, že ve firmě zákazníka přibyl nebo se změnil záznam, číslo záznamu a odkaz do aplikace, který lze otevřít po přihlášení; (iii) poskytovatel zdravotní údaje nepoužívá pro vlastní účely a nezařazuje je do statistik ani do nástrojů měření návštěvnosti; (iv) přílohy záznamů jsou uloženy v neveřejném úložišti a vydávají se jen po ověření oprávnění; (v) administrátoři poskytovatele mají k záznamům přístup jen pro podporu, nastavení a plnění hlavní smlouvy a jen na pokyn zákazníka.
5. Ohlášení úrazu inspektorátu práce, zaslání záznamu o úrazu Policii České republiky, zdravotní pojišťovně a pojišťovně odpovědnosti zaměstnavatele i předání kopie záznamu dotčeným osobám činí zákazník. Platforma tyto kroky neprovádí; časové značky „ohlášeno“ a „záznam zaslán“ jsou jen evidenčním údajem, který zadá zákazník. Poskytovatel zdravotní údaje žádným orgánům ani pojišťovnám nepředává, ledaže mu to ukládá právní předpis (čl. 8 odst. 4).
6. Záznamy v knize úrazů se v aplikaci nemažou. Výmaz konkrétního záznamu nebo přílohy provede poskytovatel mimo aplikaci na písemný pokyn zákazníka. Povinnost uchovávat podepsaný záznam o pracovním úrazu po dobu 10 let (§ 6 odst. 2 nařízení vlády č. 322/2025 Sb.) plní zákazník; poskytovatel ji za zákazníka neplní a zákazník ji nesmí opírat o platformu bez vlastní kopie.

1. Příjemci osobních údajů zákazníka ve smyslu čl. 4 bodu 9 GDPR jsou jen osoby uvedené v tomto článku. Kdo z nich co v platformě smí, popisuje příloha 2.
2. Uživatelé zákazníka: přístup mají podle role: zaměstnanec jen ke svým údajům a ke dokumentům, které zákazník zpřístupnil zaměstnancům; HR manažer a vlastník účtu k údajům o školení všech uživatelů firmy, ke všem nerozpracovaným dokumentům firmy, k záznamu přístupů a potvrzení seznámení, ke správě firmy a ke knize úrazů. Oprávnění vynucuje aplikace a navíc databáze (příloha 3).
3. Administrátoři poskytovatele: mají technický přístup k datům všech zákazníků. Používají ho jen pro podporu, nastavení platformy a plnění hlavní smlouvy (například nahrání dokumentace za zákazníka, kontrolu bezpečnostního listu nebo řešení chyby) a jen na pokyn zákazníka; zákazník dává pokyn žádostí o podporu, objednávkou služby nebo písemným pokynem podle čl. 8. V rozhraní platformy knihu úrazů a dokumentaci firmy prohlížejí v režimu jen pro čtení. Otevření a stažení souboru dokumentace se zaznamenává do záznamu přístupů, i když jde o administrátora poskytovatele.
4. Externí osoby zákazníka: (například externí specialista BOZP, zástupce zaměstnanců, auditor) mají přístup jen tehdy, když jim zákazník zřídí účet v platformě nebo sdělí kód firmy. Platforma pro ně nemá zvláštní roli; vždy mají oprávnění některé z rolí uvedených v příloze 2. Zákazník odpovídá za to, komu účet nebo kód firmy zpřístupní.
5. Orgány veřejné moci, pojišťovny, odborové organizace a zástupci zaměstnanců pro BOZP: dostávají údaje výhradně od zákazníka. Poskytovatel jim osobní údaje zákazníka sám nepředává; tím není dotčen čl. 8 odst. 4.
6. Veřejné ověření certifikátu: kdo zná jedinečný odkaz z QR kódu na certifikátu, uvidí na ověřovací stránce jméno držitele, název firmy a kurzu, datum absolvování, platnost, číslo certifikátu a výsledek testu; e-mail ani jiné kontaktní údaje se nezobrazují a stránka se nezobrazuje ve vyhledávačích.
7. Podzpracovatelé: uvedení v příloze 4, v rozsahu nutném pro jejich službu.

1. Poskytovatel zpracovává osobní údaje pouze na základě doložených pokynů zákazníka, a to i pokud jde o předání osobních údajů do třetí země (čl. 28 odst. 3 písm. a) GDPR). Doloženými pokyny jsou tato smlouva a hlavní smlouva, nastavení a úkony zákazníka a jeho uživatelů v platformě (například nahrání dokumentu, založení záznamu, přidělení role, deaktivace uživatele) a písemné pokyny, které zákazník zašle e-mailem z adresy vlastníka účtu nebo HR manažera.
2. Zpracování osobních údajů mimo tyto pokyny poskytovatel neprovádí. Zavazuje i osoby jednající z jeho pověření, aby údaje zpracovávaly pouze na pokyn zákazníka (čl. 29 GDPR).
3. Poskytovatel informuje zákazníka neprodleně, pokud podle jeho názoru určitý pokyn porušuje GDPR nebo jiné předpisy Unie nebo členského státu týkající se ochrany údajů (čl. 28 odst. 3 GDPR, poslední pododstavec). Do vyjasnění může provedení takového pokynu odložit.
4. Ukládá-li poskytovateli zpracování právo Unie nebo České republiky, které se na něj vztahuje, informuje o tomto právním požadavku zákazníka před zpracováním, ledaže by to právní předpis zakazoval z důležitých důvodů veřejného zájmu (čl. 28 odst. 3 písm. a) GDPR). Žádosti orgánů o vydání údajů poskytovatel posuzuje a vyhoví jim jen v rozsahu, který vyžaduje právní předpis.

1. Poskytovatel zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zákazníka zavázaly k důvěrnosti nebo aby se na ně vztahovala zákonná povinnost důvěrnosti (čl. 28 odst. 3 písm. b) GDPR). Závazek trvá i po skončení jejich činnosti pro poskytovatele.
2. Přístup administrátorů poskytovatele k osobním údajům zákazníka je omezen na osoby, které ho potřebují pro účely podle čl. 7 odst. 3. Počet těchto osob poskytovatel udržuje na nezbytném minimu.

1. Poskytovatel přijme všechna opatření požadovaná podle čl. 32 GDPR (čl. 28 odst. 3 písm. c) GDPR): s přihlédnutím ke stavu techniky, nákladům, povaze, rozsahu, kontextu a účelům zpracování i k rizikům pro práva a svobody fyzických osob provede vhodná technická a organizační opatření, aby zajistil úroveň zabezpečení odpovídající riziku. Při posuzování rizika poskytovatel zohledňuje, že platforma zpracovává zdravotní údaje.
2. Minimální rozsah opatření je popsán v příloze 3. Příloha obsahuje jen opatření, která platforma skutečně uplatňuje. Poskytovatel opatření přezkoumává a upravuje; úroveň ochrany nesníží. O podstatné změně opatření, která úroveň ochrany snižuje nebo mění, informuje zákazníka předem.
3. Zákazník odpovídá za zabezpečení na své straně, zejména za ochranu přihlašovacích údajů svých uživatelů, za utajení kódu firmy, za přidělování rolí a za včasnou deaktivaci uživatelů, kteří přístup nepotřebují.

1. Zákazník uděluje poskytovateli obecné písemné povolení zapojit do zpracování další zpracovatele uvedené v příloze 4 (čl. 28 odst. 2 GDPR). Aktuální seznam je zveřejněn na adrese /zpracovatelska-smlouva a obsahuje název podzpracovatele, jeho sídlo, účel, umístění zpracování, mechanismus předání a odkaz na jeho podmínky.
2. Poskytovatel uloží každému podzpracovateli na základě smlouvy stejné povinnosti na ochranu údajů, jaké jsou uvedeny v této smlouvě, zejména poskytnutí dostatečných záruk zavedení vhodných technických a organizačních opatření (čl. 28 odst. 4 GDPR). Neplní-li podzpracovatel své povinnosti v oblasti ochrany údajů, odpovídá zákazníkovi za plnění jeho povinností i nadále plně poskytovatel.
3. O každé zamýšlené změně spočívající v přijetí dalšího podzpracovatele nebo v nahrazení podzpracovatele poskytovatel informuje zákazníka e-mailem na adresu vlastníka účtu a na fakturační e-mail nejméně 30 dnů před účinností změny a změnu zapíše do seznamu v příloze 4. Zákazník může do 14 dnů od oznámení vůči změně vznést odůvodněnou námitku (čl. 28 odst. 2 GDPR).
4. Při včasné námitce poskytovatel změnu s dotčeným zákazníkem projedná a navrhne řešení (například ponechání dosavadního podzpracovatele, jiného podzpracovatele nebo úpravu rozsahu zpracování). Nedojde-li k dohodě do 30 dnů od námitky, může zákazník hlavní smlouvu vypovědět ke dni předcházejícímu účinnosti změny; do tohoto dne se změna u dotčeného zákazníka neprovede.
5. Je-li nezbytné podzpracovatele vyměnit okamžitě z důvodu bezpečnosti nebo výpadku jeho služby, poskytovatel zákazníka informuje bez zbytečného odkladu dodatečně. Zákazník má i v takovém případě právo námitky a právo hlavní smlouvu vypovědět podle odstavce 4.
6. Na žádost zákazníka poskytovatel doloží smluvní ochranu údajů u podzpracovatele, zejména odkazem na jeho podmínky pro zpracování osobních údajů uvedené v příloze 4, a poskytne informace potřebné k posouzení dostatečných záruk.

1. Databáze, přihlašování, úložiště souborů a serverové funkce platformy jsou provozovány v regionu Frankfurt nad Mohanem (Německo). Přesto nelze vyloučit přístup k údajům z třetích zemí, zejména z USA a Singapuru: jejich podzpracovatelé mají sídlo mimo Evropskou unii a uvádějí, že technickou podporu a provozní služby zajišťují z různých zemí (příloha 4).
2. K předání osobních údajů do třetí země (čl. 44 GDPR) dochází jen při splnění podmínek kapitoly V GDPR, tedy na základě rozhodnutí Komise o odpovídající ochraně podle čl. 45 odst. 1 GDPR nebo při poskytnutí vhodných záruk podle čl. 46 GDPR, zejména standardních doložek o ochraně osobních údajů přijatých Komisí podle čl. 46 odst. 2 písm. c) GDPR. Mechanismus použitý u jednotlivých podzpracovatelů je uveden v příloze 4.
3. Poskytovatel nepředává osobní údaje zákazníka do třetí země nad rámec pokynů zákazníka. Zákazník uděluje pokyn k předáním popsaným v příloze 4 touto smlouvou.
4. Rozhodnutí soudního nebo správního orgánu třetí země, které po poskytovateli požaduje předání nebo zpřístupnění osobních údajů zákazníka, poskytovatel neuzná ani nevykoná, pokud nevychází z mezinárodní dohody podle čl. 48 GDPR. O takovém požadavku zákazníka informuje, ledaže by to právní předpis zakazoval.

1. Poskytovatel je zákazníkovi nápomocen vhodnými technickými a organizačními opatřeními, pokud je to možné, aby zákazník mohl reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR (čl. 28 odst. 3 písm. e) GDPR).
2. Obdrží-li poskytovatel žádost subjektu údajů, která se týká údajů zpracovávaných pro zákazníka, předá ji zákazníkovi nejpozději do 3 pracovních dnů a subjektu údajů sdělí, že žádost byla předána správci. Na žádosti samostatně nereaguje, ledaže mu to zákazník nařídí.
3. Zákazník má v platformě tyto prostředky: zobrazení údajů o školení, certifikátů a členů firmy, tisk výpisu záznamu z knihy úrazů pro dotčeného zaměstnance, správu uživatelů včetně jejich deaktivace a úpravu záznamů v knize úrazů s uchováním historie změn.
4. Na písemný pokyn zákazníka poskytovatel do 10 pracovních dnů od jeho doručení: (i) poskytne export údajů, které se týkají dotčené osoby, ve strukturovaném, běžně používaném a strojově čitelném formátu, (ii) opraví nebo doplní nepřesné údaje, (iii) vymaže údaje, nebo (iv) omezí zpracování, například deaktivací účtu uživatele. Je-li pokyn nepřiměřeně náročný, domluví se strany na lhůtě.
5. Zákazník před vydáním pokynu k výmazu posoudí, zda mu právní předpis neukládá údaje uchovat. U záznamů v knize úrazů se výmaz provádí mimo aplikaci (čl. 6 odst. 6).

1. Poskytovatel je zákazníkovi nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR, a to při zohlednění povahy zpracování a informací, které má k dispozici (čl. 28 odst. 3 písm. f) GDPR). Zejména poskytne informace o zabezpečení, o podzpracovatelích a o umístění zpracování, které zákazník potřebuje pro posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR a pro případnou předchozí konzultaci podle čl. 36 GDPR.
2. Jakmile poskytovatel zjistí porušení zabezpečení osobních údajů zákazníka, ohlásí je zákazníkovi bez zbytečného odkladu (čl. 33 odst. 2 GDPR). Ohlášení pošle e-mailem na adresu vlastníka účtu a na fakturační e-mail zákazníka.
3. Ohlášení obsahuje, pokud jsou informace poskytovateli známy: popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů, kontaktní místo poskytovatele, popis pravděpodobných důsledků a popis opatření, která poskytovatel přijal nebo navrhl k vyřešení porušení a ke zmírnění jeho nepříznivých dopadů. Nelze-li informace poskytnout současně, poskytne je poskytovatel postupně bez dalšího zbytečného odkladu.
4. Poskytovatel porušení zabezpečení dokumentuje (skutečnosti, účinky, nápravná opatření) a dokumentaci zpřístupní zákazníkovi. Oznámení dozorovému úřadu podle čl. 33 odst. 1 GDPR a oznámení subjektům údajů podle čl. 34 GDPR činí zákazník; poskytovatel mu k tomu poskytne potřebnou součinnost. Poskytovatel oznámení bez dohody se zákazníkem nečiní, ledaže mu to ukládá právní předpis.

1. Po ukončení poskytování služeb spojených se zpracováním poskytovatel v souladu s rozhodnutím zákazníka všechny osobní údaje buď vymaže, nebo je vrátí zákazníkovi, a vymaže existující kopie, pokud právo Unie nebo České republiky nepožaduje uložení údajů (čl. 28 odst. 3 písm. g) GDPR).
2. Zákazník může do 30 dnů od skončení hlavní smlouvy požádat o vrácení údajů exportem z platformy ve strukturovaném, běžně používaném a strojově čitelném formátu; soubory dokumentace a přílohy poskytovatel předá v původní podobě. Zákazník je povinen před skončením hlavní smlouvy zajistit, aby měl kopii údajů, které musí sám uchovávat podle právních předpisů, zejména podepsaného záznamu o pracovním úrazu (čl. 6 odst. 6).
3. Po uplynutí 30 dnů od skončení hlavní smlouvy, nebo dříve na písemný pokyn zákazníka, poskytovatel údaje z platformy vymaže, a to nejpozději do 30 dnů. Pokud zákazník nezvolí vrácení ani výmaz, platí výmaz.
4. Kopie údajů uložené u podzpracovatelů se mažou podle podmínek podzpracovatele, které jsou uvedeny v jeho DPA (příloha 4). Poskytovatel na žádost potvrdí provedení výmazu e-mailem.
5. Během trvání hlavní smlouvy platí tato výchozí pravidla uchování, pokud zákazník nevydá jiný pokyn: záznamy o školení, výsledky testů a certifikáty se uchovávají 5 let od absolvování školení, nejméně však do konce platnosti certifikátu, a poté se vymažou; uživatelské účty po dobu trvání hlavní smlouvy nebo do jejich zrušení zákazníkem; záznamy o odeslaných e-mailech po stejnou dobu jako záznamy, ke kterým se vztahují; dokumentace online a kniha úrazů po dobu trvání hlavní smlouvy nebo do výmazu na pokyn zákazníka.

1. Poskytovatel poskytne zákazníkovi veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v čl. 28 GDPR, a umožní audity, včetně inspekcí, prováděné zákazníkem nebo jiným auditorem, kterého zákazník pověřil, a k těmto auditům přispěje (čl. 28 odst. 3 písm. h) GDPR).
2. Zákazník nejprve požádá o písemné informace (například o popis opatření, seznam podzpracovatelů, podmínky podzpracovatelů nebo záznamy o zpracování). Poskytovatel odpoví do 30 dnů od doručení žádosti.
3. Nestačí-li písemné informace, poskytovatel umožní audit, který zákazník oznámí nejméně 30 dnů předem. Audit se provede jednou za 12 měsíců, v pracovní době poskytovatele, bez nepřiměřeného narušení jeho provozu, s přihlédnutím k dostupným zprávám a osvědčením podzpracovatelů. Po porušení zabezpečení osobních údajů zákazníka je možný audit i mimo tuto lhůtu. Auditor pověřený zákazníkem je vázán mlčenlivostí.
4. Audit se týká jen zpracování osobních údajů zákazníka a nesmí zpřístupnit údaje jiných zákazníků. Náklady auditu nese zákazník, ledaže audit prokáže podstatné porušení této smlouvy poskytovatelem.
5. U podzpracovatelů se audit uskuteční prostřednictvím zpráv, osvědčení a postupů, které podzpracovatel zákazníkům zpřístupňuje podle svého DPA (příloha 4).

1. Poskytovatel vede záznamy o všech kategoriích činností zpracování prováděných pro zákazníka podle čl. 30 odst. 2 GDPR: jméno a kontaktní údaje poskytovatele a zákazníka, kategorie zpracování, informace o předání do třetí země a obecný popis technických a organizačních bezpečnostních opatření. Povinnost vést záznamy se na poskytovatele vztahuje, protože platforma zpracovává zvláštní kategorie údajů (čl. 30 odst. 5 GDPR).
2. Záznamy se vedou písemně v elektronické podobě. Poskytovatel je na požádání poskytne dozorovému úřadu a v odpovídajícím rozsahu zákazníkovi.

1. Zákazník odpovídá za zákonnost zpracování osobních údajů v platformě, zejména za určení účelu a právního základu podle čl. 6 GDPR a u zdravotních údajů podle čl. 9 GDPR, za zásady zpracování podle čl. 5 GDPR a za informování dotčených osob podle čl. 13 a 14 GDPR. Může přitom odkázat na Zásady ochrany osobních údajů.
2. Zákazník vkládá do platformy jen údaje, které jsou k účelu zpracování přiměřené a nezbytné. Údaje o zdravotním stavu vkládá jen do knihy úrazů a jen v rozsahu podle čl. 6 odst. 2. V poznámkách, v popisech dokumentů a v příloze, která k tomu nemá sloužit, údaje o zdravotním stavu nezveřejňuje.
3. Zákazník zajistí, aby pokyny vydávaly jen osoby, které jsou k tomu u zákazníka oprávněny, aby kontaktní údaje vlastníka účtu a fakturační e-mail byly aktuální a aby zřizoval účty a přidělil role jen osobám, které je pro svou práci potřebují.
4. Zákazník informuje poskytovatele o svých dalších pokynech, o změně v osobách oprávněných jednat a o skutečnostech, které mohou mít vliv na zpracování (například o žádosti dozorového úřadu).

1. Odpovědnost stran za újmu vzniklou porušením této smlouvy se řídí hlavní smlouvou (obchodní podmínky, čl. 7), ledaže právní předpis stanoví jinak. Tím není dotčena odpovědnost stran vůči subjektům údajů a vůči dozorovému úřadu podle právních předpisů o ochraně osobních údajů.
2. Strany spolu při plnění této smlouvy spolupracují. Žádosti o součinnost podle této smlouvy se podávají e-mailem na kontakt poskytovatele uvedený v záhlaví; poskytovatel jejich doručení potvrdí.

1. Smlouva je uzavřena v elektronické podobě (čl. 28 odst. 9 GDPR). Zákazník ji uzavírá a) při registraci firemního účtu zaškrtnutím políčka „Seznámil(a) jsem se se Zpracovatelskou smlouvou a uzavírám ji jménem firmy“, nebo b) potvrzením ve firemním účtu, které provede vlastník účtu nebo HR manažer. Osoba, která smlouvu akceptuje, prohlašuje, že je oprávněna jednat za zákazníka.
2. Poskytovatel o akceptaci uchovává záznam: kterého zákazníka se týká, verze smlouvy, kdo a kdy ji akceptoval, kontrolní otisk textu smlouvy (SHA-256), způsob akceptace (registrace, nebo opětovné potvrzení), identifikaci poskytovatele platnou v době akceptace a nečitelný otisk IP adresy, ze které byla akceptace provedena. Čitelná IP adresa a údaje o prohlížeči se k akceptaci neukládají. Tento záznam slouží jako důkaz o uzavření smlouvy a zákazník ho vidí ve firemním účtu spolu s možností stáhnout smlouvu ve formátu PDF.
3. Poskytovatel může smlouvu změnit, zejména při změně služby, podzpracovatelů nebo právních předpisů. Novou verzi oznámí zákazníkovi e-mailem a výzvou ve firemním účtu nejméně 30 dnů před její účinností. Zákazník ji potvrdí ve firemním účtu. Nesouhlasí-li zákazník se změnou, může hlavní smlouvu vypovědět ke dni účinnosti změny; jinak platí, že změnu přijal. Do účinnosti nové verze platí dosavadní znění.
4. Každá verze smlouvy je označena datem účinnosti (například 2026-11-01). Platné znění je vždy dostupné na adrese /zpracovatelska-smlouva.

1. V části týkající se zpracování osobních údajů zákazníka má tato smlouva přednost před obchodními podmínkami a před Zásadami ochrany osobních údajů. V ostatním se použijí obchodní podmínky.
2. Právní vztahy z této smlouvy se řídí právem České republiky a GDPR. Smlouva se uzavírá v českém jazyce.
3. Je-li nebo stane-li se některé ustanovení této smlouvy neplatným nebo neúčinným, nedotýká se to ostatních ustanovení. Strany je nahradí ustanovením, které se jeho smyslu a účelu a požadavkům čl. 28 GDPR co nejvíce blíží.
4. Smlouva nabývá účinnosti dnem uvedeným jako datum účinnosti její verze, nejdříve však dnem akceptace zákazníkem.

Oprávnění vychází z nastavení aplikace a pravidel přístupu v databázi platformy. Role správce platformy náleží jen administrátorům poskytovatele.

Příloha obsahuje jen opatření, která platforma skutečně uplatňuje. Opatření podzpracovatelů jsou popsána v jejich dokumentech uvedených v příloze 4.

• Oddělení zákazníků a řízení přístupu: každý uživatel má vlastní účet. Přístup k údajům se řídí rolí uživatele a vynucuje ho aplikace při každém požadavku; navíc pravidla přístupu v databázi (Row Level Security) zajišťují, že uživatel s vlastním přihlášením čte jen údaje své firmy v rozsahu své role. Anonymní přístup do tabulek databáze není povolen.
• Zápis jen přes server: tabulky dokumentace online a knihy úrazů může měnit jen server po ověření oprávnění přihlášeného uživatele; uživatelská role databáze má k nim jen právo čtení. Příznak správce platformy uživatel sám změnit nemůže.
• Neveřejné úložiště souborů: dokumenty, přílohy knihy úrazů i certifikáty jsou uloženy v neveřejném úložišti bez veřejných odkazů. Soubor se vydává jen přes server po ověření přihlášení a oprávnění, s hlavičkami zakazujícími sdílenou paměť (Cache-Control: private, no-store), indexaci vyhledávači (X-Robots-Tag: noindex) a odhadování typu obsahu (X-Content-Type-Options: nosniff).
• Kontrola nahrávaných souborů: soubor nahraný do dokumentace nebo ke knize úrazů je omezen velikostí a povolenými typy souborů; typ se ověřuje podle přípony i podle obsahu souboru.
• Integrita a stopovatelnost: u každé verze dokumentu a u každého certifikátu se ukládá kontrolní otisk SHA-256; nová verze dokumentu je nový záznam a předchozí verze zůstává uložena. Evidují se potvrzení seznámení (uživatel, verze, čas), otevření a stažení souborů dokumentace a historie každé změny záznamu v knize úrazů (předchozí stav, kdo a kdy změnu provedl, důvod). Záznamy v knize úrazů se v aplikaci nemažou.
• Přihlašování a hesla: přihlašování zajišťuje služba Supabase Auth; hesla se neukládají čitelně, jen jako kryptografický otisk.
• Omezení pokusů o přihlášení: počet pokusů o přihlášení, registraci, obnovu hesla, zadání kódu firmy a ověření druhého faktoru je omezen; po dosažení limitu platforma další pokusy odmítne. Pokusy se počítají v databázi podle IP adresy, e-mailu nebo uživatele.
• Omezení délky přihlášení: přihlášení se automaticky ukončí po nečinnosti a po nejdelší době přihlášení. Ve výchozím nastavení je to u administrátorů poskytovatele 30 minut nečinnosti a 12 hodin celkem, u ostatních uživatelů 8 hodin nečinnosti a 7 dní celkem.
• Šifrování: komunikace s platformou probíhá šifrovaně (HTTPS). Podzpracovatelé ve svých dokumentech uvádějí šifrování uložených dat (AES-256) a přenosu (TLS 1.2 a vyšší).
• Minimalizace v e-mailech: e-maily o změnách v knize úrazů neobsahují jméno postiženého ani údaje o úrazu a zdravotním stavu, jen číslo záznamu a odkaz do aplikace po přihlášení. Odkaz na ověření certifikátu a stránka ověření neobsahují kontaktní údaje držitele a nejsou indexovány vyhledávači.
• Organizační opatření: přístup administrátorů poskytovatele je omezen na osoby, které ho potřebují, a na účely podle čl. 7 odst. 3; tyto osoby jsou vázány důvěrností. Poskytovatel eviduje podzpracovatele a před jejich změnou postupuje podle čl. 11.
• Nezávislá osvědčení podzpracovatelů: podzpracovatelé ve svých dokumentech uvádějí nezávislé audity a osvědčení (Supabase: ISO 27001 a SOC 2; Vercel: SOC 2 Type 2). Poskytovatel tato osvědčení nemá a nesdělují se jako osvědčení poskytovatele.

Zákazník uděluje obecné písemné povolení k zapojení těchto podzpracovatelů (čl. 11). Seznam je jediným zdrojem i pro Zásady ochrany osobních údajů.

Seznam byl naposledy zkontrolován 31. 10. 2026. O změně seznamu informujeme zákazníky e-mailem nejméně 30 dnů předem (čl. 11).