Smlouva o zpracování osobních údajů

Závazné je slovenské znění. Překlad slouží pouze pro informaci.

Smlouva o zpracování osobních údajů

Toto je překlad ze slovenského jazyka; závazné je slovenské znění.

Účinná od: 12. 10. 2026

Tato smlouva o zpracování osobních údajů (dále jen „Smlouva o zpracování“) se uzavírá mezi společností NUMIQ s.r.o., se sídlem Kominárska 1552/3A, Bratislava - mestská časť Nové Mesto 831 04, Slovenská republika, IČO 55 880 592, zapsanou v obchodním rejstříku vedeném Mestským súdom Bratislava III (Městský soud Bratislava III), oddíl Sro, vložka č. 174081/B (v této Smlouvě o zpracování označovaná jako „Společnost“, v postavení zpracovatele), a Uživatelem (v postavení správce osobních údajů) podle článku 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „GDPR“) a zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (zákon o ochraně osobních údajů a o změně a doplnění některých zákonů), ve znění pozdějších předpisů.

Smlouva o zpracování je nedílnou součástí Všeobecných obchodních podmínek Společnosti (dále jen „VOP“) podle článku XVIII. bodu 2 a článku XXI. bodu 10 VOP a tvoří součást Smlouvy uzavřené mezi Společností a Uživatelem. Uzavírá se elektronicky přijetím VOP postupem podle článku III. VOP, bez potřeby podpisu Smluvních stran.

Článek 1 - Úvodní ustanovení a pojmy

Pojmy začínající velkým písmenem, které nejsou v této Smlouvě o zpracování zvlášť vymezeny, mají význam uvedený v článku I. VOP, zejména Společnost, Uživatel, Klient, Aplikace, Služby, Účet, Informace, Kalkulace, Cenová nabídka, Server, Webová stránka a Smlouva.
Pojmy „osobní údaje“, „zpracování“, „správce“, „zpracovatel“, „subjekt údajů“, „porušení zabezpečení osobních údajů“, „třetí země“ a další pojmy používané v této Smlouvě o zpracování bez zvláštního vymezení mají význam podle článku 4 GDPR.
„Další zpracovatel“ je subdodavatel, kterého Společnost pověřuje zpracováním osobních údajů jménem Uživatele v souladu s článkem 8 této Smlouvy o zpracování. „Subjekty údajů“ jsou osoby uvedené v Příloze 1. „Osobní údaje Uživatele“ jsou osobní údaje Subjektů údajů, které Uživatel vložil, importoval, vytvořil nebo nechal vytvořit v Aplikaci nebo které v Aplikaci vznikají v souvislosti s používáním Služeb Uživatelem.
Tato Smlouva o zpracování upravuje zpracování Osobních údajů Uživatele Společností v postavení zpracovatele. Nevztahuje se na osobní údaje Uživatele, osob jednajících jménem Uživatele a návštěvníků Webové stránky, které Společnost zpracovává jako správce vlastním jménem (zejména údaje o Účtu, přihlašovací údaje včetně přihlášení prostřednictvím účtu Google nebo Apple, fakturační a platební údaje a analytické údaje o používání Aplikace); tato zpracování se řídí zásadami ochrany osobních údajů dostupnými na Webové stránce.
V případě rozporu mezi touto Smlouvou o zpracování a VOP v otázkách ochrany osobních údajů má přednost tato Smlouva o zpracování. V ostatních otázkách se použijí VOP.

Článek 2 - Předmět, povaha, účel a doba zpracování

Předmětem této Smlouvy o zpracování je zpracování Osobních údajů Uživatele Společností jménem Uživatele v rozsahu nezbytném pro poskytování Služeb podle Smlouvy, zejména pro uložení údajů o Klientech a adres staveb, tvorbu Kalkulací a Cenových nabídek, jejich odesílání Klientům, sledování jejich otevření a přijetí, import ceníků a recenzí Uživatele a pro související technickou podporu.
Předmět, povaha a účel zpracování, kategorie Subjektů údajů, kategorie osobních údajů a doba zpracování jsou podrobně uvedeny v Příloze 1 této Smlouvy o zpracování.
Společnost zpracovává Osobní údaje Uživatele po dobu trvání Smlouvy a následně po dobu potřebnou k jejich výmazu nebo anonymizaci podle článku 13 této Smlouvy o zpracování.
Společnost zpracovává Osobní údaje Uživatele výlučně pro účely uvedené v této Smlouvě o zpracování a ve VOP. Společnost nepoužívá Osobní údaje Uživatele pro vlastní účely, s výjimkou jejich použití v anonymizované a agregované podobě podle článku X. bodu 8 VOP, při kterém není možné identifikovat Uživatele ani Klienta a které se po anonymizaci nepovažuje za zpracování osobních údajů.

Článek 3 - Pokyny Uživatele

Společnost zpracovává Osobní údaje Uživatele pouze na základě doložených pokynů Uživatele. Za doložené pokyny Uživatele se považují:

tato Smlouva o zpracování a VOP,
nastavení Účtu a Aplikace zvolená Uživatelem a úkony Uživatele v Aplikaci (např. uložení údajů o Klientovi, zadání adresy stavby, vytvoření Kalkulace prostřednictvím Kalkulanta, import ceníku, import recenzí, odeslání Cenové nabídky Klientovi, výmaz údajů),
další písemné pokyny Uživatele doručené Společnosti e-mailem na adresu support@numiq.com, pokud se týkají zpracování podle této Smlouvy o zpracování a jsou v souladu se Smlouvou.

Pokyn Uživatele zahrnuje i předání Osobních údajů Uživatele Dalším zpracovatelům uvedeným v Příloze 3, včetně předání vstupů do služeb poskytovatele modelů umělé inteligence v rozsahu nezbytném pro vytvoření Kalkulace nebo jiného AI obsahu, geokódování adres staveb, importu recenzí a odesílání e-mailů, a předání do třetích zemí za podmínek podle článku 9 této Smlouvy o zpracování.
Dospěje-li Společnost k závěru, že pokyn Uživatele porušuje GDPR nebo jiné právní předpisy Evropské unie nebo členského státu týkající se ochrany osobních údajů, bez zbytečného odkladu na to Uživatele upozorní. Společnost je oprávněna provedení takového pokynu odložit do jeho potvrzení nebo úpravy Uživatelem.
Pokyny Uživatele nad rámec funkcí Aplikace a této Smlouvy o zpracování je Společnost povinna provést pouze tehdy, jsou-li technicky proveditelné a Uživatel uhradí přiměřené náklady s nimi spojené, které Společnost předem oznámí.
Společnost je oprávněna zpracovávat Osobní údaje Uživatele bez pokynu Uživatele, pokud jí to ukládá právo Evropské unie nebo právo Slovenské republiky; v takovém případě Společnost Uživatele před zpracováním o tomto právním požadavku informuje, ledaže to příslušné právo zakazuje z důležitých důvodů veřejného zájmu.

Článek 4 - Povinnosti Společnosti

Společnost se zavazuje:

zpracovávat Osobní údaje Uživatele pouze na základě doložených pokynů Uživatele podle článku 3 této Smlouvy o zpracování,
zajistit, aby osoby oprávněné zpracovávat Osobní údaje Uživatele byly zavázány mlčenlivostí podle článku 6 této Smlouvy o zpracování,
přijmout a udržovat technická a organizační opatření podle článku 32 GDPR a článku 7 této Smlouvy o zpracování,
dodržovat podmínky zapojení Dalších zpracovatelů podle článku 8 této Smlouvy o zpracování,
poskytovat Uživateli součinnost při plnění povinností vůči Subjektům údajů podle článku 10 této Smlouvy o zpracování,
poskytovat Uživateli součinnost při plnění povinností podle článků 32 až 36 GDPR s přihlédnutím k povaze zpracování a informacím, které má Společnost k dispozici,
po ukončení poskytování Služeb Osobní údaje Uživatele vymazat nebo anonymizovat podle článku 13 této Smlouvy o zpracování,
poskytnout Uživateli informace potřebné k doložení plnění povinností podle článku 28 GDPR a umožnit audity podle článku 12 této Smlouvy o zpracování.

Společnost vede záznamy o činnostech zpracování prováděných jménem Uživatele v rozsahu podle článku 30 odst. 2 GDPR.
Společnost určila kontaktní místo pro otázky ochrany osobních údajů: support@numiq.com. Pokud Společnost jmenuje pověřence pro ochranu osobních údajů, zveřejní jeho kontaktní údaje na Webové stránce.
Společnost Osobní údaje Uživatele neprodává, nepronajímá ani je nezpřístupňuje třetím osobám pro jejich vlastní účely. Společnost nepoužívá Osobní údaje Uživatele k trénování modelů umělé inteligence vlastním jménem jinak než v anonymizované a agregované podobě podle článku X. bodu 8 VOP.

Článek 5 - Povinnosti a prohlášení Uživatele

Uživatel je správcem Osobních údajů Uživatele a odpovídá za zákonnost jejich zpracování, zejména za existenci právního základu podle článku 6 GDPR, za splnění informační povinnosti vůči Subjektům údajů podle článků 13 a 14 GDPR, za přesnost a aktuálnost osobních údajů a za zákonnost pokynů udělovaných Společnosti.
Uživatel je povinen vkládat do Aplikace pouze osobní údaje, které jsou nezbytné pro poskytování Služeb, a nevkládat do Aplikace ani do vstupů pro umělou inteligenci (včetně importovaných ceníků) zvláštní kategorie osobních údajů podle článku 9 GDPR, osobní údaje týkající se rozsudků v trestních věcech a trestných činů a přestupků, rodná čísla, čísla dokladů totožnosti ani jiné osobní údaje, které pro daný účel nejsou potřebné, v souladu s článkem XI. bodem 2 a článkem XVIII. bodem 3 VOP.
Uživatel odpovídá za to, že Klienti a další Subjekty údajů byli informováni o zpracování jejich osobních údajů prostřednictvím Aplikace, včetně zasílání Cenových nabídek elektronicky, sledování otevření Cenové nabídky, geokódování adresy stavby, importu recenzí a použití nástrojů umělé inteligence při tvorbě Kalkulací.
Uživatel je povinen chránit přístupové údaje k Účtu, spravovat oprávnění osob, kterým umožní přístup k Účtu, pokud to Aplikace umožňuje, a neprodleně oznámit Společnosti podezření na neoprávněný přístup k Účtu.
Uživatel bere na vědomí, že Aplikace umožňuje samostatný výmaz, opravu a export údajů o Klientech, Kalkulací a Cenových nabídek a že tyto nástroje jsou primárním prostředkem k plnění povinností Uživatele vůči Subjektům údajů.
Uživatel je povinen neprodleně informovat Společnost, zjistí-li, že zpracování podle této Smlouvy o zpracování je v rozporu s právními předpisy, nebo dozví-li se o skutečnostech, které mohou mít vliv na plnění povinností Společnosti podle této Smlouvy o zpracování.

Článek 6 - Důvěrnost

Společnost zajistí, aby zaměstnanci a jiné osoby, které jsou oprávněny zpracovávat Osobní údaje Uživatele, byli zavázáni povinností mlčenlivosti na základě smlouvy nebo právního předpisu a byli poučeni o povinnostech při ochraně osobních údajů.
Společnost omezuje přístup k Osobním údajům Uživatele pouze na osoby, které jej potřebují k poskytování Služeb, Služeb podpory, údržbě Aplikace nebo plnění právních povinností.
Povinnost mlčenlivosti trvá i po skončení pracovního nebo jiného vztahu příslušné osoby se Společností a po zániku této Smlouvy o zpracování.

Článek 7 - Zabezpečení zpracování

Společnost přijme a udržuje vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku podle článku 32 GDPR, a to s přihlédnutím ke stavu techniky, nákladům na provedení opatření, povaze, rozsahu, kontextu a účelům zpracování a k rizikům pro práva a svobody Subjektů údajů.
Opatření přijatá Společností jsou popsána v Příloze 2 této Smlouvy o zpracování. Společnost je oprávněna opatření průběžně aktualizovat a zdokonalovat za podmínky, že nedojde ke snížení celkové úrovně zabezpečení zpracování.
Uživatel posoudil opatření uvedená v Příloze 2 a považuje je za přiměřená rizikům spojeným se zpracováním Osobních údajů Uživatele podle této Smlouvy o zpracování. Vyžaduje-li Uživatel s ohledem na povahu svých údajů vyšší úroveň zabezpečení, je povinen to před vložením takových údajů do Aplikace projednat se Společností.

Článek 8 - Další zpracovatelé

Uživatel uděluje Společnosti obecné písemné povolení podle článku 28 odst. 2 GDPR k zapojení Dalších zpracovatelů do zpracování Osobních údajů Uživatele. Seznam Dalších zpracovatelů zapojených ke dni účinnosti této Smlouvy o zpracování je uveden v Příloze 3; aktuální seznam je dostupný na Webové stránce.
Společnost uzavře s každým Dalším zpracovatelem smlouvu nebo jiný právní akt, kterým se Dalšímu zpracovateli uloží povinnosti ochrany osobních údajů v podstatě stejné jako povinnosti Společnosti podle této Smlouvy o zpracování, zejména povinnost poskytnout dostatečné záruky zavedení vhodných technických a organizačních opatření. Za Další zpracovatele se považují i poskytovatelé, s nimiž je smlouva uzavřena přijetím jejich standardních podmínek zpracování údajů (data processing addendum).
Společnost oznámí Uživateli každou zamýšlenou změnu v seznamu Dalších zpracovatelů (doplnění nebo nahrazení) nejméně 15 dní před její účinností, a to e-mailem na adresu uvedenou v Účtu nebo oznámením v Aplikaci, a současně aktualizuje seznam na Webové stránce. Výjimečně, je-li změna nezbytná k zajištění bezpečnosti nebo provozu Aplikace, může Společnost Dalšího zpracovatele zapojit s okamžitou účinností a Uživatele informovat bez zbytečného odkladu.
Uživatel je oprávněn proti zapojení nového Dalšího zpracovatele vznést námitku z oprávněných důvodů týkajících se ochrany osobních údajů, a to e-mailem na adresu support@numiq.com ve lhůtě 15 dní od oznámení změny. Pokud Smluvní strany nedosáhnou dohody o řešení námitky (např. vypnutím dotčené funkce Aplikace), je Uživatel oprávněn Smlouvu před účinností změny vypovědět s okamžitou účinností postupem podle článku XV. VOP. Nevyčerpaná část Předplatného se v takovém případě vrátí poměrně. Pokud Uživatel v uvedené lhůtě námitku nevznese a pokračuje v používání Služeb, platí, že se zapojením Dalšího zpracovatele souhlasí.
Společnost odpovídá Uživateli za plnění povinností Dalšími zpracovateli v rozsahu, v jakém odpovídá za vlastní plnění podle této Smlouvy o zpracování a VOP.
Platební brána (Stripe), přihlášení prostřednictvím účtu Google nebo Apple a analytické nástroje (Google Analytics 4) zpracovávají výlučně údaje Uživatele (zejména fakturační, platební, přihlašovací a analytické údaje), ve vztahu k nimž Společnost vystupuje jako správce; jejich zpracování se řídí zásadami ochrany osobních údajů dostupnými na Webové stránce. Ke zpracování Osobních údajů Uživatele (zejména údajů Klientů) se tyto služby nepoužívají a jejich poskytovatelé nejsou Dalšími zpracovateli podle této Smlouvy o zpracování.

Článek 9 - Předávání do třetích zemí

Společnost ukládá Osobní údaje Uživatele na serverech nacházejících se v Evropské unii (region Frankfurt, eu-central-1). Někteří Další zpracovatelé uvedení v Příloze 3 mají sídlo nebo zpracovávají údaje mimo Evropský hospodářský prostor, zejména ve Spojených státech amerických a ve Spojeném království, a u některých Dalších zpracovatelů není místo zpracování pevně určeno.
Předání Osobních údajů Uživatele do třetí země nebo mezinárodní organizaci se uskuteční pouze za podmínek kapitoly V GDPR, a to zejména:

na základě rozhodnutí Evropské komise o odpovídající ochraně, včetně prováděcího rozhodnutí Komise (EU) 2023/1795 o rámci ochrany údajů mezi EU a USA (EU-US Data Privacy Framework), je-li příjemce v tomto rámci certifikován, a rozhodnutí o odpovídající ochraně pro Spojené království, nebo
na základě standardních smluvních doložek přijatých Evropskou komisí (prováděcí rozhodnutí Komise (EU) 2021/914) doplněných podle potřeby o dodatečná opatření, nebo
na základě jiného nástroje předání podle článků 46 až 49 GDPR.

Uživatel tímto pověřuje Společnost, aby jeho jménem uzavřela s Dalšími zpracovateli standardní smluvní doložky nebo jiné nástroje předání potřebné k zajištění souladu předání podle tohoto článku. Na žádost Uživatele Společnost poskytne informace o nástroji předání použitém u konkrétního Dalšího zpracovatele.
Přestane-li nástroj předání použitý u Dalšího zpracovatele být platným základem předání, Společnost bez zbytečného odkladu zajistí náhradní nástroj předání nebo zapojení Dalšího zpracovatele ukončí.

Článek 10 - Práva Subjektů údajů a součinnost

Společnost poskytne Uživateli s přihlédnutím k povaze zpracování součinnost prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti Uživatele reagovat na žádosti Subjektů údajů o výkon jejich práv podle kapitoly III GDPR (zejména právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost a vznesení námitky).
Součinnost podle bodu 1 Společnost poskytuje především prostřednictvím funkcí Aplikace, které Uživateli umožňují údaje o Klientech samostatně zobrazit, opravit, exportovat a vymazat. Nelze-li žádost Subjektu údajů vyřídit prostřednictvím funkcí Aplikace, Společnost poskytne Uživateli potřebnou součinnost na základě jeho písemné žádosti bez zbytečného odkladu, zpravidla do 10 pracovních dnů.
Obrátí-li se Subjekt údajů se žádostí o výkon práv přímo na Společnost a týká-li se žádost Osobních údajů Uživatele, Společnost Subjektu údajů neodpovídá ve věci samé, bez zbytečného odkladu žádost postoupí Uživateli, je-li jej možné identifikovat, a Subjekt údajů informuje, že žádost byla postoupena správci. To neplatí, vyplývá-li Společnosti povinnost odpovědět přímo z právních předpisů.
Společnost poskytne Uživateli s přihlédnutím k povaze zpracování a informacím, které má k dispozici, součinnost při posouzení vlivu na ochranu osobních údajů podle článku 35 GDPR a při předchozí konzultaci s dozorovým úřadem podle článku 36 GDPR, pokud se týkají zpracování podle této Smlouvy o zpracování.
Přesahuje-li součinnost podle tohoto článku běžný rozsah s ohledem na povahu a cenu Služeb nebo je-li vyvolána jednáním Uživatele v rozporu s touto Smlouvou o zpracování, je Společnost oprávněna požadovat úhradu přiměřených nákladů, které Uživateli předem oznámí.

Článek 11 - Porušení zabezpečení osobních údajů

Společnost oznámí Uživateli porušení zabezpečení Osobních údajů Uživatele bez zbytečného odkladu poté, co se o něm dozvěděla, nejpozději do 48 hodin od jeho zjištění, a to e-mailem na adresu uvedenou v Účtu.
Oznámení obsahuje v rozsahu informací dostupných Společnosti v době oznámení zejména:

popis povahy porušení včetně, pokud je to možné, kategorií a přibližného počtu Subjektů údajů a záznamů,
pravděpodobné důsledky porušení,
opatření přijatá nebo navrhovaná k nápravě porušení a ke zmírnění jeho důsledků,
kontaktní místo, kde lze získat další informace.

Nelze-li poskytnout všechny informace současně, Společnost je poskytuje postupně bez zbytečného odkladu po jejich zjištění.
Společnost poskytne Uživateli součinnost potřebnou ke splnění jeho povinností ohlásit porušení zabezpečení osobních údajů dozorovému úřadu podle článku 33 GDPR a oznámit je Subjektům údajů podle článku 34 GDPR. Ohlášení dozorovému úřadu a oznámení Subjektům údajů provádí Uživatel jako správce; Společnost je provede pouze na základě výslovného pokynu Uživatele nebo ukládají-li jí to právní předpisy.
Společnost dokumentuje porušení zabezpečení osobních údajů včetně souvisejících skutečností, důsledků a přijatých nápravných opatření a tyto informace na žádost zpřístupní Uživateli.
Oznámení porušení zabezpečení osobních údajů podle tohoto článku se nepovažuje za uznání odpovědnosti Společnosti za porušení ani za škodu z něj vzniklou.

Článek 12 - Audity a prokazování souladu

Společnost poskytne Uživateli na jeho písemnou žádost informace potřebné k doložení plnění povinností podle článku 28 GDPR a této Smlouvy o zpracování. Prokazování souladu se uskutečňuje především poskytnutím písemných informací, popisu přijatých opatření, výsledků interních kontrol a dostupných certifikátů, zpráv z auditů nebo jiných dokladů o souladu Dalších zpracovatelů (např. SOC 2, ISO/IEC 27001), má-li je Společnost k dispozici a umožňují-li podmínky Dalších zpracovatelů je zpřístupnit.
Pokud informace podle bodu 1 důvodně nepostačují k prokázání souladu, je Uživatel oprávněn provést sám nebo prostřednictvím nezávislého auditora vázaného mlčenlivostí audit nebo kontrolu zpracování podle této Smlouvy o zpracování, a to za následujících podmínek:

audit se oznámí Společnosti písemně nejméně 30 dní předem s uvedením rozsahu, předmětu a předpokládané doby trvání auditu,
audit se provádí nejvýše jednou za 12 měsíců, ledaže je audit vyvolán porušením zabezpečení osobních údajů nebo požadavkem dozorového úřadu,
audit se provádí v běžné pracovní době, způsobem, který nepřiměřeně nenarušuje provoz Společnosti, a v rozsahu omezeném na zpracování Osobních údajů Uživatele,
auditor nesmí být konkurentem Společnosti a je povinen před zahájením auditu uzavřít se Společností dohodu o mlčenlivosti,
náklady auditu nese Uživatel, včetně přiměřených nákladů Společnosti na součinnost při auditu, pokud audit neprokáže podstatné porušení této Smlouvy o zpracování ze strany Společnosti.

Audit se nevztahuje na prostory a systémy Dalších zpracovatelů; ve vztahu k nim se soulad prokazuje doklady podle bodu 1 a kontrolními právy, která má Společnost vůči Dalším zpracovatelům.
Smluvní strany se dohodly, že informace získané při auditu jsou důvěrné a Uživatel je použije výlučně za účelem prokázání souladu s GDPR. Uživatel poskytne Společnosti kopii zprávy z auditu.
Právo dozorového úřadu provést kontrolu podle právních předpisů není tímto článkem dotčeno.

Článek 13 - Trvání, ukončení a výmaz osobních údajů

Tato Smlouva o zpracování se uzavírá na dobu trvání Smlouvy. Zánikem Smlouvy z jakéhokoli důvodu zaniká i tato Smlouva o zpracování, s výjimkou ustanovení, která mají podle své povahy trvat i po jejím zániku, zejména ustanovení o důvěrnosti, výmazu osobních údajů, odpovědnosti a rozhodném právu.
Před zánikem Smlouvy je Uživatel povinen exportovat z Aplikace všechny Osobní údaje Uživatele a Informace, které chce zachovat, prostřednictvím funkcí Aplikace (zejména export do PDF nebo do jiného dostupného formátu) v souladu s článkem XV. bodem 5 VOP. Na žádost Uživatele doručenou před zánikem Smlouvy Společnost poskytne přiměřenou součinnost při exportu údajů.
Po zániku Smlouvy Společnost v souladu s článkem XV. bodem 6 VOP Osobní údaje Uživatele vymaže nebo nevratně anonymizuje nejpozději do 90 dní ode dne zániku Smlouvy a zajistí jejich výmaz u Dalších zpracovatelů ve lhůtách podle jejich podmínek. Společnost vymaže existující kopie, s výjimkou:

údajů, které je Společnost povinna nebo oprávněna uchovávat podle práva Evropské unie nebo Slovenské republiky, zejména účetních a daňových dokladů,
údajů nezbytných pro prokazování, uplatňování nebo obhajobu právních nároků,
záložních kopií, které se vymažou v rámci běžného cyklu obměny záloh, nejpozději do 90 dní od zániku Smlouvy, a k nimž je přístup omezen výlučně za účelem obnovy systému.

Na údaje uchované podle bodu 3 se po zániku Smlouvy nadále vztahují povinnosti důvěrnosti a zabezpečení podle této Smlouvy o zpracování a Společnost je nebude zpracovávat k jinému účelu.
Na žádost Uživatele Společnost písemně potvrdí provedení výmazu podle bodu 3.

Článek 14 - Odpovědnost

Každá Smluvní strana odpovídá za škodu způsobenou porušením svých povinností podle této Smlouvy o zpracování a GDPR v souladu s článkem 82 GDPR. Společnost odpovídá za škodu způsobenou zpracováním pouze tehdy, pokud nesplnila povinnosti, které GDPR ukládá výslovně zpracovatelům, nebo pokud jednala nad rámec nebo v rozporu se zákonnými pokyny Uživatele.
Odpovědnost Společnosti vůči Uživateli za škodu podle této Smlouvy o zpracování se řídí článkem XIII. VOP, včetně omezení celkové výše náhrady škody a vyloučení nepřímých a následných škod, pokud kogentní ustanovení GDPR nebo jiných právních předpisů nestanoví jinak. Omezení odpovědnosti se nevztahují na náhradu škody Subjektům údajů podle článku 82 GDPR v rozsahu, v jakém ji nelze omezit.
Uživatel odpovídá Společnosti za škodu, pokuty a náklady, které Společnosti vzniknou v důsledku porušení povinností Uživatele jako správce, zejména v důsledku absence právního základu zpracování, nesplnění informační povinnosti vůči Subjektům údajů, vložení osobních údajů v rozporu s článkem 5 této Smlouvy o zpracování nebo udělení nezákonných pokynů, a to v souladu s článkem XVI. VOP.
Uloží-li dozorový úřad jedné Smluvní straně pokutu za porušení, za které odpovídá druhá Smluvní strana, je druhá Smluvní strana povinna nahradit jí vzniklou újmu v rozsahu, v jakém to připouštějí právní předpisy.

Článek 15 - Závěrečná ustanovení

Tato Smlouva o zpracování nabývá platnosti a účinnosti dnem uvedeným v jejím záhlaví a ve vztahu ke konkrétnímu Uživateli okamžikem přijetí VOP postupem podle článku III. VOP. Pro Uživatele, kteří Smlouvu uzavřeli před tímto dnem, nabývá účinnosti postupem podle článku XX. VOP.
Společnost je oprávněna tuto Smlouvu o zpracování měnit postupem podle článku XX. VOP, zejména z důvodu změny právních předpisů, rozhodnutí dozorových úřadů, změny rozsahu Služeb nebo změny Dalších zpracovatelů. Změny Přílohy 3 se oznamují postupem podle článku 8 této Smlouvy o zpracování.
Tato Smlouva o zpracování a vztahy z ní vyplývající se řídí právním řádem Slovenské republiky, zejména GDPR a zákonem č. 18/2018 Z. z. o ochrane osobných údajov. Spory z této Smlouvy o zpracování rozhodují soudy Slovenské republiky s příslušností určenou podle článku XXI. bodu 3 VOP.
Je-li nebo stane-li se některé ustanovení této Smlouvy o zpracování neplatným, neúčinným nebo nevymahatelným, nemá to vliv na ostatní ustanovení; neplatné ustanovení se nahradí ustanovením, které se nejvíce blíží jeho účelu a požadavkům článku 28 GDPR.
Pokud pro Uživatele se sídlem v jiném členském státě Evropské unie nebo Evropského hospodářského prostoru vyplývají z práva tohoto státu dodatečné požadavky na obsah smlouvy se zpracovatelem, Smluvní strany se zavazují uzavřít na žádost Uživatele dodatek, který tyto požadavky zohlední.
Tato Smlouva o zpracování je vyhotovena ve slovenském jazyce. Společnost může zpřístupnit její překlady; v případě nesouladu má přednost slovenské znění.
Nedílnou součástí této Smlouvy o zpracování jsou Příloha 1 (Předmět, povaha a účel zpracování), Příloha 2 (Technická a organizační opatření) a Příloha 3 (Seznam Dalších zpracovatelů).

Příloha 1 - Předmět, povaha a účel zpracování

Předmět zpracování: zpracování osobních údajů Klientů a dalších Subjektů údajů, které Uživatel vloží nebo importuje do Aplikace nebo které v Aplikaci vznikají při používání Služeb, jménem a podle pokynů Uživatele.

Povaha zpracování: shromažďování, zaznamenávání, uspořádávání, uchovávání, nahlížení, využívání k tvorbě Kalkulací a Cenových nabídek, geokódování adres staveb, import a zpracování ceníků a recenzí, předávání Dalším zpracovatelům v rozsahu nezbytném pro poskytování Služeb, zpřístupňování Klientům prostřednictvím odkazu nebo e-mailu podle pokynů Uživatele, zálohování, omezení, výmaz a anonymizace. Zpracování probíhá automatizovanými prostředky prostřednictvím Aplikace.

Účel zpracování: poskytování Služeb podle Smlouvy, zejména:

správa údajů o Klientech, adresách staveb a projektech Uživatele v Aplikaci,
tvorba Kalkulací včetně Kalkulací s podporou umělé inteligence (Kalkulant) a geokódování adresy stavby za účelem určení regionu,
import ceníků Uživatele (včetně fotografií, PDF a dokumentů Word) a jejich zpracování s podporou umělé inteligence,
import recenzí firmy Uživatele z Google a jejich zpracování s podporou umělé inteligence za účelem jejich zobrazení v Cenových nabídkách a prezentačních materiálech Uživatele,
tvorba, odesílání, sdílení a export Cenových nabídek, sledování jejich otevření a online přijetí Klientem,
zasílání e-mailových notifikací souvisejících s Cenovými nabídkami,
zálohování, zabezpečení a technická podpora Aplikace.

Kategorie Subjektů údajů:

Klienti Uživatele (fyzické osoby nebo kontaktní osoby právnických osob), kterým Uživatel adresuje Cenové nabídky nebo se kterými sdílí Kalkulace,
zaměstnanci, spolupracovníci a jiné osoby oprávněné jednat za Uživatele, pokud jejich údaje Uživatel vloží do Aplikace (např. do Cenové nabídky nebo nastavení Účtu),
autoři recenzí firmy Uživatele (recenzenti), jejichž recenze Uživatel importuje z Google do Aplikace,
osoby, jejichž údaje jsou obsaženy v cenících importovaných Uživatelem (např. kontaktní osoby dodavatelů), pokud takové údaje ceníky obsahují,
jiné osoby, jejichž údaje Uživatel do Aplikace vloží (např. kontaktní osoby na stavbě).

Kategorie osobních údajů:

identifikační a kontaktní údaje: jméno, příjmení, obchodní firma, adresa, e-mailová adresa, telefonní číslo,
údaje o projektu: adresa stavby nebo místa realizace (včetně jejího geokódování za účelem určení regionu), popis a rozsah projektu, obsah Kalkulací a Cenových nabídek včetně cen, výměr, harmonogramu a splátkového kalendáře,
údaje z recenzí: jméno nebo přezdívka recenzenta, text recenze, hodnocení a datum recenze v rozsahu importovaném z Google,
importované ceníky: obsah ceníků nahraných Uživatelem (včetně fotografií, PDF a dokumentů Word), pokud obsahují osobní údaje, např. jména nebo kontaktní údaje dodavatelů,
údaje o firmě Uživatele vložené do Kalkulací a Cenových nabídek: název, adresa, logo, popis firmy a kontaktní údaje, pokud je Uživatel uvede,
údaje o komunikaci: poznámky Klienta při zobrazení nebo přijetí Cenové nabídky, informace o přijetí Cenové nabídky,
technické údaje o interakci: datum a čas otevření Cenové nabídky, případně IP adresa a základní údaje o zařízení a prohlížeči Klienta v rozsahu nezbytném pro sledování otevření a zabezpečení přístupu přes odkaz,
údaje o zaměstnancích a spolupracovnících Uživatele: jméno, pracovní pozice, kontaktní údaje, pokud je Uživatel uvede.

Zvláštní kategorie osobních údajů: nezpracovávají se. Uživatel se zavazuje zvláštní kategorie osobních údajů do Aplikace nevkládat.

Doba zpracování: po dobu trvání Smlouvy a následně do výmazu nebo anonymizace podle článku 13 této Smlouvy o zpracování, nejpozději do 90 dní od zániku Smlouvy, s výjimkami podle článku 13 bodu 3. Uživatel může údaje o Klientech, Kalkulace, Cenové nabídky, importované ceníky a recenze kdykoli během trvání Smlouvy vymazat sám v Aplikaci.

Příloha 2 - Technická a organizační opatření

Společnost přijala a udržuje zejména následující technická a organizační opatření:

1. Šifrování

Osobní údaje Uživatele jsou při přenosu mezi zařízením Uživatele, Klienta a Serverem šifrovány protokolem TLS.
Údaje uložené v databázi, úložišti souborů a zálohách jsou šifrovány při uložení (encryption at rest) prostřednictvím nástrojů poskytovatele cloudové infrastruktury.
Hesla Uživatelů se ukládají výlučně v podobě kryptografického otisku (hash).

2. Oddělení údajů a řízení přístupu k Informacím

Přístup k údajům v databázi je řízen politikami zabezpečení na úrovni řádků (Row Level Security), které zajišťují, že Uživatel má přístup výlučně k vlastním Informacím a údajům o vlastních Klientech.
Cenové nabídky jsou Klientům zpřístupňovány prostřednictvím unikátních, obtížně uhodnutelných odkazů; přístup k Cenové nabídce je omezen na údaje dané Cenové nabídky.

3. Řízení přístupů osob

Přístup k produkčním systémům a Osobním údajům Uživatele mají pouze pověřené osoby Společnosti v rozsahu nezbytném pro plnění jejich úkolů (princip minimálních oprávnění).
Administrátorské přístupy jsou chráněny silnými hesly a vícefaktorovou autentizací, pokud ji příslušný systém umožňuje.
Přístupová oprávnění se pravidelně přezkoumávají a po skončení spolupráce s osobou se neprodleně odebírají.
Přístup Uživatele k Účtu je zabezpečen e-mailovou adresou a heslem splňujícím požadavky Společnosti, případně přihlášením prostřednictvím účtu třetí strany (Google nebo Apple).

4. Zálohování a dostupnost

Databáze je pravidelně automaticky zálohována prostřednictvím poskytovatele cloudové infrastruktury; zálohy jsou šifrovány a přístup k nim je omezen.
Zálohy jsou uchovávány po omezenou dobu a po jejím uplynutí se automaticky přepisují nebo mažou.
Databáze, úložiště souborů a autentizační služby jsou provozovány v datovém centru v Evropské unii (region Frankfurt, eu-central-1) s opatřeními fyzické bezpečnosti, redundancí a monitorováním; serverové funkce a doručování obsahu Aplikace zajišťuje globální síť poskytovatele hostingu.

5. Logování a monitorování

Přístupy k systémům, autentizační události a významné operace s údaji jsou zaznamenávány do logů s omezeným přístupem.
Společnost monitoruje dostupnost a bezpečnostní události Aplikace a využívá bezpečnostní upozornění poskytovatelů infrastruktury.
Aplikace uplatňuje omezení počtu požadavků a další opatření proti automatizovanému zneužití.

6. Minimalizace při použití umělé inteligence a externích služeb

Do služeb poskytovatele modelů umělé inteligence (modely Google Gemini volané prostřednictvím Lovable AI) se předávají pouze vstupy nezbytné pro vytvoření Kalkulace nebo jiného AI obsahu (zejména parametry projektu, místnost, řemeslo, město, odpovědi Uživatele v průvodci, importované ceníky, údaje o firmě Uživatele a texty recenzí); identifikační a kontaktní údaje Klientů se do vstupů nepředávají, pokud je Uživatel sám do vstupu nevloží.
Společnost používá výlučně rozhraní poskytovatelů modelů umělé inteligence určená pro firemní zákazníky (API), u nichž poskytovatel podle svých smluvních podmínek nepoužívá vstupy a výstupy k trénování svých modelů.
Službám geokódování se předává výlučně adresa stavby bez identifikačních údajů Klienta; službě importu recenzí se předává výlučně název a adresa firmy Uživatele.
Uživatel je v Aplikaci upozorněn na povinnost nevkládat do vstupů pro umělou inteligenci osobní údaje nad nezbytný rozsah.

7. Organizační opatření

Osoby oprávněné zpracovávat Osobní údaje Uživatele jsou zavázány mlčenlivostí a poučeny o zásadách ochrany osobních údajů a bezpečnosti.
Společnost má zaveden postup řešení bezpečnostních incidentů a porušení zabezpečení osobních údajů včetně jejich dokumentování a oznamování Uživateli.
Další zpracovatelé jsou vybíráni s ohledem na záruky bezpečnosti, které poskytují (zejména certifikace SOC 2 nebo ISO/IEC 27001), a jsou vázáni smluvními podmínkami zpracování údajů.
Změny Aplikace se před nasazením do produkce testují; závislosti a infrastruktura se průběžně aktualizují.

8. Výmaz údajů

Uživatel může údaje o Klientech, Kalkulace, Cenové nabídky, importované ceníky a recenze kdykoli vymazat v Aplikaci.
Po zániku Smlouvy Společnost Osobní údaje Uživatele vymaže nebo nevratně anonymizuje nejpozději do 90 dní v souladu s článkem XV. bodem 6 VOP a článkem 13 této Smlouvy o zpracování, s výjimkami uvedenými v této Smlouvě o zpracování.

Příloha 3 - Seznam Dalších zpracovatelů

Společnost zapojuje ke dni účinnosti této Smlouvy o zpracování následující Další zpracovatele. Aktuální seznam Dalších zpracovatelů včetně případných změn je zveřejněn na Webové stránce spolu s touto Smlouvou o zpracování. Změny seznamu se oznamují postupem podle článku 8 této Smlouvy o zpracování.

1. Supabase, Inc. (prostřednictvím Lovable Cloud)

Sídlo: Spojené státy americké
Účel zpracování: databáze, autentizace Uživatelů, úložiště souborů, plánované úlohy, zálohování
Kategorie údajů: všechny údaje uložené v Aplikaci (údaje o Klientech, adresy staveb, Kalkulace, Cenové nabídky, importované ceníky, recenze, loga a další soubory)
Místo zpracování: Evropská unie, region Frankfurt (eu-central-1); podpůrné a administrativní činnosti mohou probíhat v USA
Nástroj předání: EU-US Data Privacy Framework, je-li subjekt certifikován, jinak standardní smluvní doložky EK

2. Lovable Labs Incorporated

Sídlo: Spojené státy americké
Účel zpracování: hosting a provoz Aplikace a serverových funkcí; zprostředkování služeb umělé inteligence (Lovable AI) vůči poskytovateli modelů uvedenému v bodě 3
Kategorie údajů: údaje procházející Aplikací a serverovými funkcemi při jejím provozu; vstupy a výstupy AI funkcí v rozsahu podle bodu 3
Místo zpracování: infrastruktura Cloudflare, Inc. (Spojené státy americké), globální síť, u níž zpracování probíhá v místě nejbližším návštěvníkovi Aplikace
Nástroj předání: EU-US Data Privacy Framework, je-li subjekt certifikován, jinak standardní smluvní doložky EK

3. Google Ireland Limited / Google LLC (modely umělé inteligence Gemini)

Sídlo: Irsko / Spojené státy americké
Účel zpracování: poskytovatel modelů umělé inteligence Gemini volaných prostřednictvím Lovable AI; zpracování vstupů pro tvorbu Kalkulací a jiného AI obsahu v rozsahu nezbytném pro vygenerování výstupu
Kategorie údajů: text Kalkulací a odpovědi z průvodce, importované ceníky (včetně fotografií, PDF a dokumentů Word), údaje o firmě Uživatele, texty recenzí
Místo zpracování: region není pevně určen (Evropská unie / USA / jiné regiony podle nastavení služby)
Nástroj předání: EU-US Data Privacy Framework, je-li subjekt certifikován, jinak standardní smluvní doložky EK

4. Plus Five Five, Inc. (Resend)

Sídlo: Spojené státy americké
Účel zpracování: odesílání e-mailů včetně sdílení Cenové nabídky Klientovi a e-mailových notifikací
Kategorie údajů: e-mailová adresa a jméno příjemce, obsah e-mailu, odkaz na Cenovou nabídku
Místo zpracování: USA
Nástroj předání: EU-US Data Privacy Framework, je-li subjekt certifikován, jinak standardní smluvní doložky EK

5. OpenStreetMap Foundation (služba Nominatim)

Sídlo: Spojené království
Účel zpracování: geokódování adresy stavby za účelem určení regionu při tvorbě Kalkulace
Kategorie údajů: adresa stavby
Místo zpracování: Spojené království / Evropská unie
Nástroj předání: rozhodnutí Evropské komise o odpovídající ochraně pro Spojené království; v rámci Evropské unie se nástroj předání nevyžaduje

6. U.S. Census Bureau (služba Geocoder)

Sídlo: Spojené státy americké
Účel zpracování: geokódování adres staveb nacházejících se v USA; používá se výlučně v Národní verzi USA
Kategorie údajů: adresa stavby
Místo zpracování: USA
Nástroj předání: EU-US Data Privacy Framework, je-li subjekt certifikován, jinak standardní smluvní doložky EK

7. SerpApi, LLC

Sídlo: Spojené státy americké
Účel zpracování: import Google recenzí firmy Uživatele do Aplikace
Kategorie údajů: předává se název a adresa firmy Uživatele; služba vrací jména recenzentů, texty recenzí a související údaje o recenzích
Místo zpracování: USA
Nástroj předání: EU-US Data Privacy Framework, je-li subjekt certifikován, jinak standardní smluvní doložky EK

Poznámka ke službám zpracovávajícím výlučně údaje Uživatele: Platební brána Stripe (Stripe Payments Europe, Ltd. a Stripe, Inc.), přihlášení prostřednictvím účtu Google nebo Apple a analytické nástroje (Google Analytics 4) zpracovávají výlučně údaje Uživatele, ve vztahu k nimž vystupuje Společnost jako správce, a jejich zpracování se řídí zásadami ochrany osobních údajů dostupnými na Webové stránce. Ke zpracování osobních údajů Klientů se tyto služby nepoužívají a jejich poskytovatelé nejsou Dalšími zpracovateli podle této Smlouvy o zpracování.