Smlouva o zpracování osobních údajů

Tato smlouva upravuje, jak provozovatel služby Můj Výkaz zpracovává osobní údaje, které do Služby zadává zákazník a jeho uživatelé, a v jakém rozsahu je smí použít pro vlastní účely (bod 1.7). Jejím účelem je splnit požadavky čl. 28 Nařízení (EU) 2016/679 (dále jen „GDPR“). Je nedílnou součástí Podmínek používání a uzavírá se spolu s nimi přijetím Podmínek při založení organizace. Organizace založené před 27. října 2026 se touto verzí řídí ode dne, kdy ji v aplikaci přijmou, nejpozději však od 1. prosince 2026; do té doby pro ně platí verze 1.0 ze dne 9. října 2026, kterou na požádání zašleme. Na žádost ji ve stejném znění podepíšeme i samostatně — napište na info@mujvykaz.cz.

1. Předmět, účel a pokyny

1.1. Zpracovatel zpracovává osobní údaje pro Správce výhradně za účelem poskytování služby Můj Výkaz (dále jen „Služba“): evidence a schvalování práce, plánování kapacit, nepřítomnosti, klienti a projekty, úkoly a komunikace v týmu, náklady a doklady k nim, fakturace a uzávěrky, ziskovost a reporty, AI Reporty, API a integrace. Vlastní účely Zpracovatele upravuje bod 1.7.

1.2. Povaha zpracování: ukládání, uspořádání, vyhledávání, zobrazení oprávněným uživatelům Správce, úpravy, výpočty a reporty, export, předání příjemcům, které určí Správce (bod 7), a výmaz.

1.3. Pokyny Správce jsou tato smlouva, Podmínky používání, nastavení a používání Služby oprávněnými uživateli Správce (například role, zapnuté moduly, propojené integrace) a další pokyny zaslané e-mailem z adresy vlastníka nebo administrátora organizace. Zpracovatel zpracovává údaje jen podle těchto pokynů a k vlastním účelům v rozsahu bodu 1.7, ledaže mu jiné zpracování ukládá právo EU nebo České republiky; v takovém případě Správce předem informuje, pokud to právo nezakazuje.

1.4. Zpracovatel Správce bez zbytečného odkladu upozorní, pokud má za to, že některý pokyn porušuje GDPR nebo jiný předpis o ochraně údajů.

1.5. Správce odpovídá za to, že má pro zpracování právní základ, že subjekty údajů (zejména své zaměstnance a spolupracovníky) o zpracování informoval a že do Služby zadává jen údaje, které pro daný účel potřebuje.

1.6. Správce dává Zpracovateli pokyn zpracovávat údaje také v nezbytném rozsahu k zajištění provozu, bezpečnosti a vývoje Služby, ke kontrole správnosti jejích výpočtů, k vyřízení dotazu nebo požadavku Správce či jeho uživatele a k vytváření souhrnných statistik o využívání funkcí, ze kterých nelze identifikovat jednotlivé osoby. Při tom Zpracovatel jedná za Správce.

1.7. Péče o zákazníky. Správce Zpracovateli umožňuje používat některé údaje ze Služby také k péči o zákazníky. Pro tento účel Zpracovatel nejedná za Správce, ale jako samostatný správce osobních údajů. Údaje smí použít jen k tomu, aby:

• a) měl přehled, jak organizace Službu používá, a mohl jí sám nabídnout pomoc, zejména když se jí rozjezd nedaří;
• b) vybral, které tipy pošle vlastníkovi organizace e-mailem během zkušební doby a krátce po ní;
• c) se připravil na hovor s organizací.

Používá k tomu jen:

• údaje o organizaci a předplatném (název, IČO, adresa a telefon organizace, tarif, stav zkušební doby, kdy a jak se organizace registrovala, odpovědi v průvodci po registraci);
• seznam uživatelů (jméno, e-mail, telefon u účtu, role, jazyk a stav účtu);
• souhrnná čísla za celou organizaci o tom, jak Službu používá — například kolik má uživatelů a kolik z nich zapisuje práci, kolik výkazů zapsala a kdy, kolik hodin vykázala, ve kterých dnech a které moduly používá a kolik má faktur. Ukázková data a výkazy z nepřítomností se do nich nepočítají; u nepřítomností Služba sleduje jen to, zda organizace modul používá;
• stav organizace, který Služba z těchto čísel odvodí (například „bez výkazu“); pracovní dny přitom počítá podle pracovního týdne a svátků organizace.

Obsah, který Správce a jeho uživatelé do Služby zadávají, k tomu Zpracovatel nikdy nepoužije: popisy práce, úkoly, poznámky, komentáře, zprávy, přílohy a doklady, klienty a projekty, sazby, částky, náklady, odměny ani nepřítomnosti. Nepoužije ani čísla po jednotlivých lidech, klientech nebo projektech.

Právním základem je oprávněný zájem Zpracovatele pomáhat zákazníkům se Službou (čl. 6 odst. 1 písm. f) GDPR). Když vlastník nebo administrátor organizace napíše na info@mujvykaz.cz, že péči nechce, Zpracovatel údaje organizace k těmto účelům přestane používat nejpozději do 3 pracovních dnů. Žádosti a námitky lidí, jejichž údaje to jsou, vyřizuje Zpracovatel sám.

Údaje vidí jen pověřené osoby Zpracovatele vázané mlčenlivostí. Při přípravě na hovor předá poskytovateli AI (bod 6) jen údaje o organizaci a doménu jejího e-mailu, ne čísla o používání ani jména a kontakty lidí. Podrobnosti a doby uchování popisují Zásady ochrany osobních údajů.

1.8. Pro jiné vlastní účely Zpracovatel údaje Správce nepoužije a neprodává je. Předává je jen poskytovatelům uvedeným v bodě 6, příjemcům podle bodu 7 a tam, kde mu to ukládá právo EU nebo České republiky.

2. Kategorie subjektů údajů

• Členové organizace Správce — zaměstnanci, spolupracovníci a další osoby, které Správce do Služby přidá nebo pozve.
• Kontaktní osoby klientů Správce.
• Dodavatelé Správce a osoby uvedené na dokladech k nákladům, které Správce nahraje.
• Další osoby, o kterých se zmiňuje obsah zadaný Správcem (popisy práce, úkoly, komentáře, zprávy, přílohy).

3. Kategorie osobních údajů

3.1. Údaje o zdraví. U nepřítomnosti Služba eviduje její typ, období a případnou poznámku, nikoli diagnózu ani zdravotní dokumentaci. Typ „nemoc“, „sick day“ nebo jiný typ, ze kterého lze dovodit zdravotní stav, je údajem o zdravotním stavu podle čl. 9 GDPR. Správce odpovídá za právní základ (u zaměstnanců zpravidla čl. 9 odst. 2 písm. b) GDPR ve spojení s pracovněprávními předpisy; u osob, které nejsou zaměstnanci, posoudí, zda takový typ vůbec evidovat), za posouzení, zda je třeba posouzení vlivu podle čl. 35 GDPR, a za nastavení, kdo nepřítomnosti vidí. Neveřejný typ nepřítomnosti Služba ostatním členům ukazuje jen jako „Absence“ a skutečný typ vidí jen role, které nepřítomnosti spravují nebo schvalují; výchozí typy „Nemoc“ a „Sick days“ jsou neveřejné. Podklady pro posouzení vlivu Zpracovatel poskytne na žádost (bod 8.4).

3.2. Jiné zvláštní kategorie osobních údajů ani údaje o rozsudcích v trestních věcech Služba nepotřebuje. Správce je do Služby nezadává (ani do popisů, poznámek a příloh).

4. Doba zpracování a co se stane s údaji na konci

4.1. Zpracovatel zpracovává údaje po dobu, kdy Správce Službu používá, tj. dokud trvá jeho organizace ve Službě.

4.2. Správce si může údaje kdykoli vyexportovat (exporty v aplikaci, export údajů jednotlivce podle čl. 15 a 20 GDPR, REST API).

4.3. Když Správce organizaci smaže, Služba ji 30 dní uchová pro případ omylu (na žádost ji v této lhůtě obnovíme) a poté ji trvale smaže včetně nahraných souborů. Kopie v zálohách zaniknou jejich pravidelnou obměnou nejpozději 30 dní po trvalém smazání.

4.4. Skončí-li placené předplatné, organizace přejde na tarif Free a údaje zůstávají Správci k dispozici, dokud organizaci nesmaže. Organizaci na tarifu Free, do které se 24 měsíců nikdo nepřihlásil a nepoužil API, smí Zpracovatel smazat; předem na to vlastníka organizace upozorní e-mailem.

4.5. Zpracovatel neuchovává údaje za Správce kvůli jeho zákonným povinnostem (například archivace účetních záznamů). Pokud je Správce potřebuje, vyexportuje si je před smazáním organizace.

5. Zabezpečení (technická a organizační opatření)

Zpracovatel přijal opatření podle čl. 32 GDPR odpovídající povaze a rozsahu zpracování a rizikům pro dotčené osoby:

Důvěrnost a oddělení dat

• Server a databáze v EU (Německo) na virtuálním serveru, který provozujeme jen pro vlastní služby (aplikace, web a jeho analytika, testovací prostředí s oddělenou databází).
• Údaje každé organizace jsou oddělené a server u každého požadavku ověřuje, ke které organizaci uživatel patří. Dotazy AI Reportů běží pod databázovou rolí jen pro čtení, která vidí výhradně údaje organizace tazatele.
• Šest rolí s různým rozsahem přístupu (vlastník, administrátor, HR, manažer, účetní, člen). Finanční údaje o lidech a skutečný typ neveřejných nepřítomností vidí jen oprávněné role; peníze klientů vidí manažer jen u klientů, které mu Správce přidělí. Hodiny, úkoly a plán práce jsou v rámci organizace sdílené (manažer v AI Reportech vidí hodiny a práci celé organizace, ne však finanční údaje).
• Hesla uložená jako otisk (scrypt), volitelné dvoufázové ověření (TOTP), relace s omezenou platností, ochrana proti opakovaným pokusům o přihlášení, kontrola uniklých hesel.
• Přístupové tokeny integrací a další tajemství šifrovaná (AES-256-GCM); API klíče uložené jen jako otisk; omezení počtu požadavků.
• Přenos výhradně šifrovaně (TLS, HSTS); bezpečnostní hlavičky (CSP, ochrana proti vložení do cizí stránky).
• Nahrané soubory šifrované na straně úložiště a dostupné jen přes Službu po ověření oprávnění.

Dostupnost a obnova

• Denní zálohy databáze šifrované (GPG, RSA-4096) ještě na serveru; lokálně 14 dní, mimo server 30 dní (Backblaze, region EU); snapshoty celého serveru u Hetzneru (uchovávány 7 dní). Klíč k zálohám je chráněný heslem a spolu s postupem obnovy uložený tak, aby obnovu mohla provést i osoba pověřená provozovatelem.
• Zdokumentovaný postup obnovy ze zálohy; obnovu ověřujeme zkouškou alespoň jednou za čtvrtletí (poslední zkouška 9. října 2026).
• Automatické bezpečnostní aktualizace systému, přístup na server jen klíčem, firewall a blokování opakovaných pokusů o přihlášení.
• Hlídání chyb a výpadků s upozorněním provozovatele.

Kontrola a záznamy

• Auditní záznam změn (kdo, co, kdy, odkud), dostupný vlastníkovi a administrátorům; uchovává se po dobu trvání organizace.
• Technické logy se uchovávají 30 dní.
• Změny aplikace se před nasazením ověřují automatickými testy a na odděleném testovacím prostředí se smyšlenými daty; zabezpečení pravidelně interně kontrolujeme podle OWASP Top 10 (bez externí certifikace) a opatření přezkoumáváme nejméně jednou ročně.
• Kopie produkčních dat pro vývoj vznikají jen výjimečně kvůli řešení konkrétní chyby, na šifrovaném zařízení Zpracovatele, a po vyřešení se mažou.

Zpracovatel smí opatření měnit, pokud se úroveň ochrany nesníží.

6. Sub-zpracovatelé

6.1. Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele (sub-zpracovatele). Ke dni vydání této verze jsou to:

Závazný je seznam v této smlouvě; stránka Bezpečnost ho přebírá.

6.2. O zamýšleném přidání nebo výměně sub-zpracovatele Zpracovatel informuje vlastníka organizace e-mailem nejméně 14 dní předem. Správce může do 14 dní od oznámení vznést z důvodů ochrany údajů námitku. Pokud se strany nedohodnou, může Správce smlouvu bez sankce ukončit ke dni, kdy by se změna projevila.

6.3. Zpracovatel ukládá každému sub-zpracovateli smlouvou povinnosti ochrany údajů poskytující stejnou úroveň ochrany jako tato smlouva a za jeho plnění odpovídá Správci jako za své vlastní.

7. Předání na pokyn Správce

Některé funkce předávají údaje příjemcům, které si zvolí Správce nebo jeho uživatelé: export do Fakturoidu a dalších účetních systémů, soubory ISDOC a Pohoda, import z Freela, Google Kalendář a přihlášení účtem Google (uživatel si je zapne sám), webhooky, REST API a připojení AI asistentů přes MCP (například Claude nebo ChatGPT). Takové předání je pokynem Správce; příjemce je v postavení dodavatele Správce nebo samostatného správce (Google zpracovává údaje podle svých podmínek), nikoli sub-zpracovatele Zpracovatele, a za jeho zpracování Zpracovatel neodpovídá. Za to, že má s příjemcem potřebnou smlouvu (například u AI asistenta připojeného přes MCP), odpovídá Správce. Pro ověření IČO Služba dotazuje veřejný registr ARES Ministerstva financí. Push oznámení doručuje služba výrobce prohlížeče (Google, Mozilla, Apple); obsah oznámení je šifrovaný a doručovací služba ho nepřečte.

8. Další povinnosti Zpracovatele

8.1. Mlčenlivost. Osoby, které mají u Zpracovatele přístup k osobním údajům, jsou vázány mlčenlivostí. K údajům Správce přistupují jen v nezbytném rozsahu, zejména při řešení požadavku Správce, chyby nebo incidentu, a k účelům podle bodu 1.7 jen v jeho rozsahu. Zpracovatel při tom může používat AI asistenta pro programování. Dokud ho nepoužívá za obchodních podmínek Anthropic se smlouvou o zpracování, nezpřístupňuje mu osobní údaje Správce — jen zdrojový kód, technické záznamy bez osobních údajů a souhrnná čísla, ze kterých nelze identifikovat jednotlivé osoby (bez jmen, e-mailů, identifikátorů osob a volných textů). Po přechodu mu zpřístupňuje jen nezbytné údaje, přednostně souhrnné, a nikdy údaje o zdraví podle bodu 3.1.

8.2. Práva subjektů údajů. Zpracovatel Správci pomáhá vyřizovat žádosti subjektů údajů (přístup, oprava, výmaz, omezení, přenositelnost, námitka). Většinu žádostí Správce vyřídí přímo ve Službě: úprava profilu, export údajů jednotlivce, smazání nebo anonymizace člena. Žádost, kterou subjekt údajů pošle přímo Zpracovateli, předá Zpracovatel bez zbytečného odkladu Správci. Žádosti ke zpracování podle bodu 1.7 vyřizuje Zpracovatel sám jako jeho správce.

8.3. Smazání vlastního účtu uživatelem. Uživatel může ve Službě sám smazat svůj účet. Služba pak v organizacích Správce anonymizuje jeho profil, přepíše popisy jeho výkazů a smaže historii jeho nákladů; hodiny a částky výkazů zůstávají. Pokud Správce potřebuje údaje uchovat (například evidenci pracovní doby), vyexportuje si je; do 30 dní od smazání účtu mu Zpracovatel na žádost poskytne původní údaje člena ze zálohy.

8.4. Součinnost. Zpracovatel Správci pomáhá plnit povinnosti podle čl. 32 až 36 GDPR (zabezpečení, porušení zabezpečení, posouzení vlivu, předchozí konzultace) v rozsahu informací, které má k dispozici. Zpracovatel vede záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR.

9. Porušení zabezpečení

9.1. Zpracovatel oznámí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, e-mailem vlastníkovi a administrátorům organizace.

9.2. Oznámení obsahuje, co je v tu chvíli známo: povahu porušení, kategorie a přibližný počet dotčených osob a záznamů, pravděpodobné důsledky a přijatá nebo navržená opatření. Další informace Zpracovatel doplňuje průběžně.

9.3. Zpracovatel vede o porušeních záznam a pomáhá Správci s ohlášením Úřadu pro ochranu osobních údajů a s oznámením dotčeným osobám.

10. Předávání mimo EU

10.1. Služba a databáze běží v EU (Německo). Někteří sub-zpracovatelé sídlí v USA (bod 6.1). Předání do USA se opírá o rozhodnutí Evropské komise o odpovídající ochraně v rámci EU–US Data Privacy Framework (u certifikovaných příjemců) a o standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914.

10.2. Doplňková opatření: šifrování při přenosu i uložení, zálohy šifrované naším klíčem, minimalizace předávaných údajů (AI Reporty nedostávají výsledky dotazů z databáze; záložní AI dostane údaje jen při výpadku hlavní; Sentry neodesílá výchozí osobní údaje).

U předání na základě standardních smluvních doložek Zpracovatel posoudil právo a praxi země příjemce; posouzení i kopii doložek poskytne Správci na žádost.

10.3. Zpracovatel Správce informuje o právně závazné žádosti orgánu třetí země o přístup k údajům Správce, pokud to právo nezakazuje.

11. Audit a informace

11.1. Zpracovatel poskytne Správci informace potřebné k doložení plnění této smlouvy a umožní audit. Správce nejprve využije tuto smlouvu, stránku Bezpečnost a písemné dotazy; Zpracovatel na ně odpoví do 30 dnů.

11.2. Audit, včetně kontroly na místě, může provést Správce nebo jím pověřený auditor vázaný mlčenlivostí, v termínu dohodnutém stranami, zpravidla s ohlášením nejméně 30 dní předem a nejvýše jednou ročně (častěji po porušení zabezpečení nebo na žádost dozorového úřadu). Zpracovatel audit bezdůvodně neodmítne a poskytne k němu součinnost. Prostory poskytovatelů infrastruktury se řídí jejich pravidly. Náklady auditu nese Správce, ledaže audit odhalí podstatné porušení této smlouvy.

12. Odpovědnost

Vůči subjektům údajů odpovídají strany podle čl. 82 GDPR. Mezi sebou odpovídají za porušení této smlouvy podle Podmínek používání (bod 10); právo na náhradu podle čl. 82 odst. 5 GDPR (regres) tím není dotčeno. Omezení odpovědnosti se nevztahuje na odpovědnost, kterou nelze podle GDPR nebo zákona smluvně omezit.

13. Trvání, změny a závěrečná ustanovení

13.1. Smlouva trvá po dobu používání Služby Správcem. Body 4, 8.1, 9, 10.3, 11 a 12 platí i po jejím skončení, dokud Zpracovatel údaje Správce zpracovává; povinnost mlčenlivosti trvá bez časového omezení.

13.2. Změnu této smlouvy Zpracovatel oznámí vlastníkovi organizace e-mailem nebo oznámením v aplikaci nejméně 30 dní předem; změnu sub-zpracovatelů podle bodu 6.2. Změnu, kterou ukládá právní předpis, může provést ihned. Správce, který se změnou nesouhlasí, může do její účinnosti smlouvu ukončit; předplacené poplatky mu Zpracovatel vrátí podle Podmínek (bod 5). Organizace, která změnu v aplikaci přijme dříve, se jí řídí ode dne přijetí.

13.3. V otázkách ochrany osobních údajů má tato smlouva přednost před Podmínkami používání.

13.4. Smlouva se řídí právem České republiky, GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů. Dozorovým úřadem je Úřad pro ochranu osobních údajů.

13.5. Je-li některé ustanovení neplatné, ostatní zůstávají v platnosti.