Smlouva o zpracování osobních údajů

Zpracovatel osobních údajů dle čl. 28 GDPR

Verze: 1.0 NÁVRH
Účinnost od: [DATUM ÚČINNOSTI]

1. Předmět a smluvní strany
2. Definice
3. Předmět zpracování
4. Typ a rozsah osobních údajů
5. Doba zpracování
6. Zpracování pouze podle pokynů
7. Mlčenlivost
8. Technická a organizační opatření
9. Bezpečnost údajů a šifrování
10. Izolace dat
11. Oprávnění osob
12. Zálohování a obnovení
13. Minimalizace údajů
14. Zapojení dalších zpracovatelů
15. Seznamy subdodavatelů
16. Právo na námitku proti subjprocesorům
17. Práva subjektů údajů
18. Oznámení porušení zabezpečení
19. Součinnost při porušení dle čl. 33 GDPR
20. Součinnost dle čl. 32–36 GDPR
21. Výmaz a vrácení údajů
22. Audit a kontrola
23. Náhrada újmy a odpovědnost
24. Doba trvání a ukončení
25. Závěrečná ustanovení
26. Přílohy

(a) SPRÁVCE (dále jen „Správce"):

• Jméno/obchodní firma: [OBCHODNÍ FIRMA UŽIVATELE]
• IČO: [IČO UŽIVATELE]
• DIČ: [DIČ UŽIVATELE]
• Sídlo: [SÍDLO UŽIVATELE]
• E-mail: [E-MAIL UŽIVATELE]
• Telefon: [TELEFON UŽIVATELE]

(b) ZPRACOVATEL (dále jen „Zpracovatel"):

• Obchodní firma: [OBCHODNÍ FIRMA POSKYTOVATELE]
• IČO: [IČO]
• DIČ: [DIČ]
• Sídlo: [SÍDLO]
• E-mail: [E-MAIL]
• Telefon: [TELEFON]

Tato smlouva je uzavřena elektronickým podpisem, přijetím obchodních podmínek při registraci v aplikaci Fakturace. Registrací v aplikaci a přijetím těchto podmínek Správce vyjadřuje svůj souhlas s každým ustanovením této smlouvy.

Tato smlouva je uzavřena v souladu s:

• čl. 28 Nařízení (EU) 2016/679 (GDPR)
• zákonem č. 110/2019 Sb., o zpracování osobních údajů
• právním řádem České republiky

V rámci této smlouvy se rozumí:

2.1 Osobní údaje – jakékoli informace týkající se identifikované nebo identifikovatelné fyzické osoby, v níž může být osoba stotožněna dle čl. 4 odst. 1 GDPR.

2.2 Zpracování – jakákoliv činnost s osobními údaji, jako je sběr, záznam, organizace, strukturování, uchovávání, úprava, změna, čtení, použití, předání, výmaz nebo zničení, v souladu s čl. 4 odst. 2 GDPR.

2.3 Správce – fyzická nebo právnická osoba, která sama nebo společně s dalšími určuje účely a prostředky zpracování osobních údajů dle čl. 4 odst. 7 GDPR.

2.4 Zpracovatel – fyzická nebo právnická osoba, která zpracovává osobní údaje na základě pokynů správce dle čl. 4 odst. 8 GDPR.

2.5 Subjekt údajů – identifikovaná nebo identifikovatelná fyzická osoba, jejichž osobní údaje jsou zpracovávány.

2.6 Subprocesor – zpracovatel, který je vázán Správcem nebo dalším zpracovatelem k poskytnutí služeb zahrnujících zpracování osobních údajů.

2.7 Porušení zabezpečení osobních údajů – porušení bezpečnosti vedoucí k náhodné nebo nelegitimní destrukci, ztrátě, změně, neoprávněnému zveřejnění nebo přístupu k osobním údajům přenášeným, uloženým nebo jinak zpracovávaným v souladu s čl. 4 odst. 12 GDPR.

2.8 Pokyn – zejména podrobný písemný pokyn Správce týkající se zpracování osobních údajů, který Zpracovatel bude provádět.

2.9 Služba – aplikace Fakturace, dostupná na adrese [URL aplikace], která umožňuje správu a tvorbu účetních dokladů (faktury, ceníky, kontakty, bankovní výpisy atd.) pro české podnikatele.

Zpracovatel zpracovává osobní údaje na základě pokynů Správce výhradně za účelem:

• poskytnutí služby Fakturace Správci
• správy a tvorby účetních dokladů (faktury, ceníky, kontakty)
• správy bankovních výpisů a jejich reconciliace
• poskytnutí záznamu o transakcích a historii dokladů
• odesílání transakcí a upozornění související se službou

Zpracovatel provádí zpracování v souvislosti s:

• zajištěním bezpečnosti služby a detekce zneužití
• údržbou a zlepšováním služby
• zálohováním a obnovou dat v případě selhání
• komunikací se Správcem o stavu služby
• řešením technických problémů

Zpracování je oprávněno právním základem dle čl. 6 odst. 1 písm. b) GDPR (splnění smlouvy).

Zpracovatel zpracovává následující kategorie osobních údajů:

(a) Kontakty a odběratelé (zákazníci a dodavatelé)

• Jméno a příjmení
• Jednatelé a čekatelé fyzických osob podniků
• Postcontact osob (IČO, DIČ)
• Poštovní adresa (ulice, číslo, město, PSČ)
• Elektronická pošta
• Telefonní číslo
• Poznámky a údaje z ARES registru (obchodní jméno, právní forma, sídlo, historie změn)

(b) Faktury a doklady

• Čísla a data faktur
• Seznamy položek (zboží, služby, ceny)
• Měny a kurzy (z ČNB)
• Poznámky a metadata dokladu
• Funkční identifikátor (variabilní symbol, ISBN/EAN atd.)
• Informace o partnerovi (kupujícím/prodávajícím)

(c) Bankovní výpisy a transakce

• Surová data bankovních výpisů ve formátu ABO (anonymizovaná podle pravidel v kap. 9.3)
• Čísla a typy bankovních účtů
• Jméno účtu
• Jméno protistran (counterparty)
• Čísla bankovních účtů protistran
• Poznámky a identifikace transakce
• Válobsah transakcí (číslo, částka, měna, datum)

(d) Ceníky

• Jména a identifikátory produktů/služeb
• Ceny a jednotky
• Popisné údaje

(e) Přihlášení a autentifikace

• E-mailová adresa Správce
• Ověřovací tokeny
• Log aktivit (časy přihlášení, IP adresy, akce provedené)

• Přímí uživatelé (majitelé účtů, OSVČ, zástupci s.r.o.)
• Zákazníci a dodavatelé Správce (odběratelé, dohodnutí smluvní partnery)
• Fyzické osoby identifikované v bankovních výpisech (příjemci/odesílatelé plateb)
• Jednovalebníci a řídící osoby společností (z ARES)

Zpracovatel nezpracovává záměrně biometrické údaje, údaje o zdraví nebo údaje týkající se sexuálního chování. Jsou-li takové údaje náhodou obsaženy v bankovních výpisech či poznámkách, Zpracovatel s nimi zachází se zvýšenou péčí dle čl. 9 GDPR.

Zpracování osobních údajů počíná registrací Správce v Aplikaci a přetrvává během aktivního používání Služby.

Zpracování končí dnem, kdy Správce zruší svůj účet nebo je účet zrušen z důvodu porušení obchodních podmínek. Pokud to není v rozporu s právními povinnostmi, budou osobní údaje dle čl. 21 smlouvy vymazány nebo vráceny Správci bez zbytečného odkladu.

• Faktury a doklady: 10 let od data jejich vystavení (dle § 31 a § 32 zákona č. 563/1991 Sb., o účetnictví)
• Daňové doklady: 10 let (dle § 35 zákona č. 235/2004 Sb., o dani z přidané hodnoty)
• Bankovní výpisy: 10 let od data importu (účetní povinnost)
• Logy autentifikace: maximálně 1 rok, není-li zákonné určení jiné lhůty
• Ostatní údaje: jsou smazány do 90 dnů od zrušení účtu, pokud nejsou podléhají jiným právním povinnostem

Zpracovatel je vázán právní povinností uchovávat účetní doklady po dobu nejméně 10 let dle českého práva. Tento dlouhodobý vý uchování účetních údajů nemůže být Správcem zrušen a nadále podléhá čl. 6 odst. 1 písm. c) GDPR a čl. 17 odst. 3 písm. b) GDPR.

Zpracovatel bude zpracovávat osobní údaje výhradně na základě pokynů Správce, pokud v návaznosti na tuto smlouvu nejsou určeny jinak.

Pokyny jsou vydávány:

• implicitně skrze funkčnost aplikace (např. vytvoření faktury je pokyn na uložení údajů)
• explicitně prostřednictvím e-mailu nebo žádosti ve webovém rozhraní (např. žádost o export, mazání, změnu)
• právním předpisem (např. porušení zabezpečení se Správce dozvídá bez speciálního požadavku)

Zpracovatel nesmí zpracovávat osobní údaje pro své vlastní účely bez písemného souhlasu Správce. Výjimku tvoří:

• technické údržby a bezpečnostní aktualizace
• zálohování a obnova
• detekce zneužití a kybernetických útoků
• plnění právních povinností (třeba oznámení porušení zabezpečení)

Zpracovatel zajistí, aby všechny osoby oprávněné k přístupu k osobním údajům (zaměstnanci, subdodavatelé, poskytovatelé infrastruktury) byly vázány povinností zachovávat důvěrnost osobních údajů. Tato povinnost zůstává v platnosti i po ukončení vztahu.

Zpracovatel odpovídá za:

• podpisání dohod o důvěrnosti se zaměstnanci
• zasílání školení o zpracování údajů a GDPR
• smluvní či právní povinnosti subdodavatelů na ochranu údajů

Mlčenlivost se nevztahuje na údaje, které jsou nutné zveřejnit na základě práva (např. soudní příkaz, správní orgán, zákonná povinnost).

Zpracovatel provádí technická a organizační opatření dle čl. 32 GDPR, aby zajistil bezpečnost zpracování osobních údajů. Tato opatření jsou podrobně popsána v Příloze č. 3 a zahrnují:

• šifrování údajů (TLS, PBKDF2)
• řízení přístupu a autentifikaci
• anonymizaci a maskování
• zálohování a testování obnovy
• monitorování bezpečnosti
• plány obnovy a kontinuity

Zpracovatel zajistí úroveň ochrany odpovídající riziku zpracování a povaze zpracovávaných dat dle čl. 32 odst. 1 GDPR. To znamená zvláště:

• stav technologie
• náklady implementace
• povaha, rozsah, kontext a účely zpracování
• rizika vzniklá zpracováním
• možné prospěchy z ochrany

Zpracovatel se zavazuje provádět testy technických opatření nejméně jednou ročně, zejména [ověřit, že je tento závazek splnitelný, než bude smlouva zveřejněna]:

• zkoušky obnovy (point-in-time recovery)
• simulace výpadku služby
• kontrola přístupu a auditování
• bezpečnostní update

• Protokol: TLS 1.3+ je povinný pro veškerou komunikaci mezi klientem a serverem
• Certifikáty: používány certifikáty vydané renomovanou certifikační autoritou
• Zásada: bez výjimek, aplikace nefunguje bez HTTPS

• Databáze: PostgreSQL na Neon s šifrováním na úrovni úložiště
• Hesla: hashovány PBKDF2 s salt, nikoli v plain textu
• Přihlašovací tokeny: podepsány klíčem SESSION_SECRET (HMAC-SHA-256) a uloženy pouze v cookie v prohlížeči; v databázi se relace neukládají
• Offline zálohy: šifrují se před uložením

Surová data bankovních výpisů (bankstatements.rawdata) obsahují citlivé informace o protistrany:

• Uchovávání: minimalizováno (pouze nezbytné pro reconciliaci)
• Maskování: jméno a číslo účtu protistran nejsou zobrazovány uživatelům bez explicitního požadavku
• Přístup: přístup je omezen na administrátory účtu a subdodavatele
• Smazání: lze je smazat prostřednictvím funkce smazání importu (mazání po smazání dokladu po 10 letech)

• Cookie: fakturace_session je označena jako httpOnly a Secure, zabraňuje se tak kradežím přes JavaScript
• Podpis: session token je podepsán kryptografickým klíčem a nelze jej padělat
• Ověření: každý požadavek je ověřen dle middleware.ts
• Doba trvání: session je platná po dobu aktivity, automaticky vypršuje po určité době nečinnosti

Zpracovatel zajistí, aby údaje jednoho Správce byly zcela odděleny od údajů ostatních Správců:

• Aplikační úroveň: každý Správce vidí pouze svá data
• Databázová úroveň: Row Level Security (RLS) vynucuje segregaci na úrovni SQL dotazů
• Identifikátor vystavitele a účtu: každá tabulka s daty zákazníka nese sloupec issuer_id, resp. account_id, a každý dotaz aplikace je jím omezen

• Sdílená databáze (veřejný tenant) používá Row Level Security zavedenou migrací

drizzle/0018_row_level_security.sql. Politika omezuje řádky podle identifikátoru účtu nastaveného v rámci transakce.

• Kontrola tedy probíhá na úrovni databáze, nikoli pouze v aplikaci.
• Pojmenovaný tenant (bootstrap přihlášení) má vlastní fyzickou databázi, takže jeho data

nejsou ve stejné databázi jako data ostatních uživatelů vůbec.

• [Ověřit před zveřejněním, že migrace 0018 je nasazena do produkční databáze.]

Za oddělení dat jednotlivých Správců odpovídá Zpracovatel. Správce neodpovídá za chování jiných uživatelů služby ani subdodavatelů Zpracovatele.

Aplikace Fakturace implementuje řízení přístupu na základě rolí (RBAC):

• owner – úplná kontrola, včetně týmu, profilů a samotného účtu
• admin – vše kromě odebrání vlastníka
• accountant – vystavuje doklady, eviduje platby, exportuje, čte vše
• member – pracuje pouze s koncepty a čte katalog; nemá statutární oprávnění

• Uživatelé mohou vytvářet API tokeny pro programový přístup
• Tokeny jsou hashovány a nelze je zobrazit podruhé
• Tokeny lze jednotlivě odvolat

Aplikace vede provozní a doručovací záznamy (odeslané e-maily, doručení webhooků, omezení četnosti přihlášení) a u dokladů uchovává časy vytvoření a poslední změny. Samostatný souvislý auditní záznam všech operací uživatele není v aplikaci implementován; Zpracovatel jej nesmí Správci slibovat, dokud nebude zaveden.

Zpracovatel provádí automatické zálohy dat:

• Frekvence: nejméně jednou denně
• Umístění: EU region (Neon eu-central-1)
• Ochrana: zálohy jsou chráněny stejnými bezpečnostními opatřeními jako primární data

Neon PostgreSQL poskytuje Point-in-Time Recovery:

• Umožňuje obnovit data do kteréhokoliv bodu v čase v posledních 7 dnech
• Používá se v případě náhodného smazání nebo poškození dat

V případě ztráty dat Zpracovatel:

1. Aktivuje PITR nebo obnovuje ze zálohy
2. Bez zbytečného odkladu informuje Správce
3. Zajistí obnovu všech dostupných dat

Zpracovatel uplatňuje princip minimalizace dle čl. 5 odst. 1 písm. c) GDPR a zpracovává pouze:

• údaje nutné pro poskytnutí služby
• údaje explicitně poskytnuté Správcem
• metadata nutná pro správu služby

• Kontakty: nejméně podrobné údaje, které stačí na vystavení faktury
• Bankovní data: maskování counterparty jména v klidu, zobrazení pouze když je nutné
• Logy: pouze relevantní informace (čas, akce, uživatel), ne obsah dat
• Cookies: pouze fakturace_session pro autentifikaci a fakturace_tour_start pro UI stav

Zpracovatel nemá možnost vybírat si, jaké údaje zpracovávat – to určuje Správce prostřednictvím aplikace. Pokud by Správce chtěl zpracovávat údaje, které nejsou nutné, je to jeho odpovědnost.

Správce tímto generálně autorizuje Zpracovatele, aby zapojil subdodavatele (dále jen „Subprocesory") na zpracování osobních údajů, a to za podmínek:

• Subprocesor je uveden v Příloze č. 2
• Zpracovatel oznámí Správci jakoukoli změnu v seznamu Subprocesů nejméně 30 dnů předem
• Správce má právo vznesit námitek dle čl. 15 smlouvy

Zpracovatel zůstává plně odpovědný Správci za výkon povinností Subprocesů. Zpracovatel zajistí:

• uzavření DPA s každým Subprocesorem
• klíčová opatření bezpečnosti u Subprocesů
• příslušné právní povinnosti Subprocesů
• dodržování GDPR

Zpracovatel poskytne Správci seznam Subprocesů v Příloze č. 2 a bude jej aktualizovat nejméně jednou ročně.

Sezname všech Subprocesů je uveden v Příloze č. 2 a zahrnuje:

• Cloudflare – hosting, CDN, Workers runtime
• Neon – databáze PostgreSQL, eu-central-1
• Resend – transactional e-mail API

Pokud Zpracovatel zamýšlí:

• Přidat nového Subprocesor
• Odebrat stávajícího Subprocesor
• Změnit rozsah zpracování u Subprocesor

Zpracovatel:

1. Nejméně 30 dnů dopředu informuje Správce e-mailem
2. Poskytne relevantní informace o novém Subprocesoru
3. Čeká na jakýkoliv námitek Správce

Zpracovatel udržuje veřejný seznam Subprocesů na [URL aplikace]/legal/subprocessors, který je aktualizován v reálném čase.

Správce má právo na námitku, je-li oprávněným důvodem nesouhlasu Správce se Subprocesorem přijetí nového nebo změněném Subprocesor, zvláště v případě:

• podstatného rizika pro bezpečnost dat
• střetu zájmů
• porušení práv subjektů údajů
• právních omezení (např. akt. regulace)

Správce vzese námitku do 20 dnů po oznámení změny. Názor se musí obsáhnout:

• konkrétní důvody namítnutí
• relevantní faktické údaje
• požadavek na alternativu

Je-li spor neřešitelný, Správce má právo:

• zrušit službu bez penalizace (pokud je to možné)
• požádat o arbitraci dle čl. 24.5 smlouvy
• podpořit si právní pomoc

Zpracovatel bude Správci v nezbytné míře pomáhat při výkonu práv subjektů údajů dle čl. 12–22 GDPR, zejména:

• právo na přístup (čl. 15)
• právo na opravu (čl. 16)
• právo na výmaz (čl. 17)
• právo na omezení zpracování (čl. 18)
• právo na přenositelnost (čl. 20)
• právo na námitku (čl. 21)
• práva v souvislosti s automatizovaným rozhodováním (čl. 22)

1. Přístup: Správce může exportovat svá data ve CSV, JSON nebo XML formátu skrze aplikaci
2. Oprava: Správce si může opravit údaje skrze uživatelské rozhraní
3. Výmaz: Správce si může vymazat jednotlivé kontakty nebo celý účet (s výhradou čl. 5.3 pro účetní doklady)
4. Přenositelnost: Zpracovatel poskytuje export dat v machinereadable formátu na požádání

Zpracovatel zaměří na splnění žádostí nejdéle do 30 dnů, pokud není žádost zvláště složitá nebo opakující.

Zpracovatel si může žádost odepřít pouze v přípustných případech dle čl. 12 odst. 3 GDPR (neproveditelnost, znevážení, aj.). Správce bude informován o důvodech odmítnutí.

Je-li Zpracovatel vědom porušení zabezpečení osobních údajů, bez zbytečného odkladu:

1. Oznámí to Správci e-mailem na adresu [E-MAIL UŽIVATELE] nebo telefonicky
2. Poskytne následující informace:
3. Popis porušení (co se stalo)
4. Kategorie a přibližný počet postižených subjektů údajů
5. Kategorie a přibližný objem postižených datos
6. Možné následky
7. Přijatá a plánovaná nápravná opatření
8. Kontakt na odpovědnou osobu Zpracovatele

Oznámení musí být provedeno bez zbytečného odkladu, nejpozději do 48 hodin od zjištění porušení, aby Správce stihل oznámit porušení Úřadu pro ochranu osobních údajů (ÚOOÚ) v lhůtě 72 hodin dle čl. 33 GDPR.

Zpracovatel bude Správci poskytovat všechny další informace a dokumenty nutné pro plnění povinností Správce vůči ÚOOÚ a dotčeným subjektům údajů.

Zpracovatel bude vést log všech porušení a poskytne jej Správci na požádání.

Zpracovatel bude Správci v plné míře pomáhat při plnění jeho povinností dle:

• čl. 32 GDPR (bezpečnost zpracování)
• čl. 33 GDPR (oznámení porušení ÚOOÚ)
• čl. 34 GDPR (oznámení subjektům údajů)
• čl. 35 GDPR (posouzení vlivu)
• čl. 36 GDPR (předchozí konzultace)

Bezpečnost (čl. 32):

• Poskytuje dokumentaci technických opatření
• Provádí testy a audit bezpečnosti
• Přispívá k DPIA (impact assessment)

Porušení (čl. 33–34):

• Ohlašuje porušení bez zbytečného odkladu
• Pomáhá s komunikací ÚOOÚ a subjektům údajů
• Poskytuje forenzní analýzu

DPIA (čl. 35):

• Poskytuje informace pro DPIA
• Podílí se na posouzení rizik
• Doporučuje zmírňující opatření

Konzultace (čl. 36):

• Poskytuje podklady pro předchozí konzultaci s ÚOOÚ
• Podílí se na diskusi o opatřeních

Součinnost je poskytována jako součást služby bez dodatečného poplatku, pokud nejde o mimořádný rozsah práce (více než 20 hodin za rok), kdy si Zpracovatel může účtovat přiměřenou hodinovou sazbu.

Po skončení poskytování služby (ukončení smlouvy, zrušení účtu) Zpracovatel:

1. Na požádání Správce vrátí nebo vymaže všechny osobní údaje
2. Vymaže kopie uložené u Subprocesů
3. Vymaže zálohy, nejdéle do 30 dnů po ukončení

Zpracovatel nemusí vymazat osobní údaje, které jsou:

• podléhají právní povinnosti k uchovávání (zejména faktury a doklady dle čl. 5.3)
• nutné pro obhajobu právních nároků
• nutné pro naplnění dalších povinností dle práva

Jsou-li údaje vráceny (nikoliv vymazány), budou vráceny v čitelném a strojově čitelném formátu (CSV, JSON, XML).

Po dokončení výmazu či vrácení Zpracovatel poskytne Správci písemné potvrzení.

Správce má právo provádět:

• audit bezpečnosti a dodržování GDPR u Zpracovatele
• inspekci technických opatření
• testování obnovy a bezpečnosti

1. Onsite audit: Správce (nebo jeho zmocněnec) má právo navštívit prostory Zpracovatele
2. Audit na dálku: Audit skrze bezpečné připojení (SSH, RDP, VPN)
3. Dotazník: Odesláním strukturovaného dotazníku o bezpečnosti a GDPR

• ÚOOÚ: jednou za 3 roky (nebo podle pokynů)
• Správce: jednou ročně (bez dodatečného poplatku), nebo na požádání pokud vzniklo podezření
• Třetí strana: nezávislý auditor dle dohodnuté lhůty

První audit ročně je bezplatný. Další audity si Zpracovatel může účtovat přiměřené náklady (na místo, čas, zdroje).

Jsou-li v auditu zjištěny nedostatky, Zpracovatel:

• informuje Správce o zjištěních a lhůtě nápravy
• přijme nápravná opatření bez zbytečného odkladu
• poskytne Správci zprávu o nápravě

Zpracovatel se zavazuje nahradit Správci a dotčeným subjektům údajů jakoukoliv újmu způsobenou porušením povinností v rámci GDPR nebo této smlouvy.

Zpracovatel je odpovědný za:

• neoprávněný přístup k osobním údajům (zneužití, hacking)
• nesprávné smazání nebo poškození údajů
• porušení bezpečnosti
• úniku údajů Subprocesům bez svolení
• porušení pokynů Správce
• porušení součinnosti při právech subjektů

Bez ohledu na výš. pokyny:

1. Odpovědnost podle GDPR: Odpovědnost za porušení GDPR se nelimituje. Nesmí být vyloučena, nesmí být omezena.
2. Ostatní nároky: Odpovědnost za ostatní nároky (smluvní porušení mimo GDPR) je limitována na hodnotu ročního poplatku za službu, případně na částku [LIMIT NÁHRADY] Kč, podle toho, která je vyšší. Konkrétní částku doplní poskytovatel po posouzení advokátem.

Zpracovatel není odpovědný za újmu, je-li způsobena:

• jednáním Správce nebo třetích osob bez odpovídajícího řízení (hrubou nedbalostí či záměrem)
• vyšší mocí nebo náhodou mimo kontrolu Zpracovatele

Tato smlouva začíná platit registrací Správce v aplikaci a trvá, pokud není ukončena.

• Správce: může službu zrušit kdykoliv bez důvodu a bez sankce, pokud nemá aktivní faktury (nebo jim vystaví závěrečný výkaz)
• Zpracovatel: si vyhrazuje právo skončit službu s 30denní výpovědí, pokud Správce porušuje obchodní podmínky nebo neplatí faktury

Kterákoliv strana si vyhrazuje právo okamžitě skončit službu (bez výpovědi) v případě:

• porušení povinnosti, která není odstraňena do 15 dnů od upozornění
• porušení bezpečnosti
• ohrožení bezpečnosti ostatních uživatelů

Po skončení smlouvy:

1. Zpracovatel poskytnout Správci export všech dat v čitelné formě
2. Smaže všechny osobní údaje (s výjimkou čl. 20.2) nejdéle do 30 dnů
3. Deaktivuje všechny API tokeny a session cookies
4. Zastaví veškeré zpracování na účtu Správce

Články týkající se bezpečnosti, minimalizace, odpovědnosti, důvěrnosti a likvidace budou platné i po skončení smlouvy.

Tato smlouva je řídí právním řádem České republiky. V případě sporu se uplatní:

1. snaha o smírné řešení mezi stranami
2. mimosoudní řešení sporu prostřednictvím ČOI (Česká obchodní inspekce, adr.coi.cz)
3. právní řešení před Obecným soudem nebo krajským soudem dle místní příslušnosti

Jednotlivé právní norms a právní prameny jsou řazeny následovně (od nejvyšší po nejnižší prioritu):

1. GDPR (Nařízení (EU) 2016/679)
2. Zákon č. 110/2019 Sb., o zpracování osobních údajů
3. Občanský zákoník (zákon č. 89/2012 Sb.)
4. Obchodní podmínky Zpracovatele

Zpracovatel si vyhrazuje právo měnit tuto smlouvu či obchodní podmínky s 30denní výpovědí. Oznámí-li Zpracovatel změny, Správce:

• je povinen je přijmout pokračovanjem v používání služby
• má právo skončit službu bez penalizace, pokud se změní podstatné podmínky

Bez ohledu na čl. 24.3:

• Bezpečnostní aktualizace a záplaty se provádějí okamžitě bez výpovědi
• Pravidelné údržby jsou oznámeny 7 dnů dopředu

Obě strany se zavazují řešit spory vůči sobě:

1. Dohodou (nejlépe písemně)
2. Prostřednictvím ČOI (adr.coi.cz), jde-li o spor mezi Zpracovatelem a Správcem, kterýžto je spotřebitel
3. Arbitrací (je-li dohodnuto) před Arbitrážní komisí HK ČR
4. Soud: příslušný je Obecný soud či krajský soud dle místa podání

Jsou-li některá ustanovení smlouvy nebo obchodních podmínek neplatná nebo nevymahatelná, zbytek smlouvy zůstane v platnosti.

Tato smlouva je sepsána v češtině. V případě překladů do jiných jazyků je rozhodující znění v češtině.

Registrací v aplikaci a přijetím obchodních podmínek Správce vyjadřuje svůj nezvratný souhlas s každým ustanovením této smlouvy a obchodních podmínek. Smlouva vstupuje v platnost okamžitě po registraci.

Nedílnou součástí smlouvy jsou následující přílohy:

• Příloha č. 1: Popis zpracování (Processing Description)
• Příloha č. 2: Seznam subdodavatelů (List of Sub-processors)
• Příloha č. 3: Technická a organizační opatření (Technical and Organizational Measures)

• Poskytnutí služby (správa faktur, dokladů, kontaktů)
• Autentifikace a řízení přístupu
• Odesílání transakcí a notifikací
• Bezpečnostní monitoring a detekce zneužití
• Zálohování a obnova
• Plnění právních povinností (účetnictví)
• Analýza a zlepšování služby (bez identifikace konkrétních osob)

• čl. 6 odst. 1 písm. b) GDPR: splnění smlouvy
• čl. 6 odst. 1 písm. c) GDPR: právní povinnost (uchovávání dokladů)
• čl. 6 odst. 1 písm. f) GDPR: oprávněný zájem (bezpečnost)

Aktualizace: [DATUM AKTUALIZACE]

Správce generálně povoluje následujícím Subprocesům zpracovávat osobní údaje:

• Role: Infrastructure provider (hosting, CDN, Workers runtime)
• Data: Veškerá data aplikace (při přenosu a v běhu Workers)
• DPA: Cloudflare GDPR Addendum
• Umístění: USA (Cloudflare HQ), ale EU data procházejí skrz EU edge
• Rizika: Cloudflare má přístup k datům v runtime (zálohování je lokální)

• Role: Database provider (managed PostgreSQL)
• Data: Všechny data uložená v databázi (faktury, kontakty, bankovní data)
• DPA: Ano (k dispozici na webu Neon)
• Umístění: eu-central-1, Frankfurt, Německo (EU)
• Rizika: Přístup k surový datům v klidu; je zašifrováno na úrovni úložiště

• Role: Email service provider
• Data: E-mailové adresy, obsah e-mailů (faktury, notifikace)
• DPA: Ano (k dispozici na webu Resend)
• Umístění: Ověřit (nenalezeno v kódu; předpokládá se USA/EU)
• Rizika: E-mailové adresy jsou v transitu třetímu poskytovateli

• Role: Business register lookup (veřejná autorita)
• Data: Pouze IČO dotazy (žádné osobní údaje)
• Umístění: Česká republika
• DPA: Nepoužije se (veřejná autorita)
• Rizika: Žádné (žádné osobní údaje nejsou odesílány)

• Role: Exchange rate lookup (veřejná autorita)
• Data: Žádné osobní údaje (pouze dotaz na kurzy)
• Umístění: Česká republika
• DPA: Nepoužije se (veřejná autorita)
• Rizika: Žádné

Je-li nutné přidat nového Subprocesor, Zpracovatel:

1. Informuje Správce e-mailem nejméně 30 dnů dopředu
2. Poskytne:
3. Jméno a adresu Subprocesor
4. Typ zpracovávanych údajů
5. Umístění zpracování
6. Kopii DPA nebo prohlášení o bezpečnosti
7. Správce má 20 dnů na vzetí námitky (čl. 16)
8. Nový Subprocesor je zahrnut do smlouvy nejdřív po uplynutí lhůty a bez vzetí námitky

Verze: 1.0
Poslední aktualizace: [DATUM AKTUALIZACE]

• Standard: TLS 1.3+ je povinný
• Certifikáty: X.509 certifikáty vydané certifikační autoritou (Let's Encrypt nebo ekvivalent)
• Algoritmy: ECDHE + AEAD (ChaCha20-Poly1305 nebo AES-GCM)
• Implementace: Cloudflare, Next.js, Node.js
• Platnost: Certifikáty jsou automaticky obnoveny před vypršením

• Cloudflare: WAF (Web Application Firewall) filtruje SQL injection, XSS, bot útoky
• DDoS: Cloudflare chránit před DDoS útoky
• Rate limiting: Aplikace limituje počet pokusů o přihlášení a API požadavků

• Hashing: PBKDF2 s alespoň 100 000 iteracemi
• Salt: Náhodný salt na heslo
• Minimální délka: 8 znaků (doporučeno 12+)
• Resetování: 24-hodinový token s jedním použitím

• Cookie: fakturace_session
• Podpis: HMAC-SHA256 s tajným klíčem (APP_PASSWORD)
• httpOnly: Ano (nedostupné z JavaScriptu)
• Secure: Ano (přenos jen přes HTTPS)
• SameSite: Strict (ochrana před CSRF)
• Doba trvání: Zůstává aktivní do doby nečinnosti (výchozí 30 dní, bez aktivity 7 dní)

• Formát: Base64 s checksumem
• Hashing: SHA256
• Obnova: Nelze ji zobrazit podruhé; lze ji odvolat kdykoliv
• Rozsah: Tokeny jsou omezeny na konkrétní operace (read/write)

• Stav: Není implementováno v 0.1.0
• Plán: Implementace TOTP (Time-based One-Time Password) v budoucnu

• Databáze: PostgreSQL v Neon
• Šifrování: Neon automaticky šifruje všechny data na úrovni bloku (AES-256 nebo ekvivalent)
• Klíče: Jsou spravovány Neon (dost klíčů nejsou přístupné Zpracovateli)
• Hesla: Hashovány PBKDF2, ne šifrované (hash je nevratný)

• Automatické: Každý den
• Umístění: EU region (eu-central-1)
• Šifrování: Stejně jako primární data
• Retenč: 30 dnů (PITR do 7 dnů, dlouhodobé zálohy až na žádost)

• Aplikace: Logy se odesílají do stdout/stderr (nejsou chráněny šifrováním)
• Bezpečnost: Logy jsou dostupné jen Správci Cloudflare/Neon

• Role: Owner, Admin (Reader a Guest budou přidány později)
• Databáze: Row Level Security (RLS) — každý dotaz je filtrován dle tenant_id
• Aplikace: Authorization middleware v lib/auth.ts, middleware.ts
• API: Tokeny jsou ověřeny a omezeníy svým rozsahem

• Cloudflare: Přístup přes dashboard s 2FA
• Neon: Přístup přes dashboard s SSH klíči
• Resend: Přístup přes API klíče (bez osobních údajů)
• Školení: Všichni zaměstnanci projdou školením GDPR a bezpečnosti

• Log: Všechny akce jsou zaznamenány (vytvoření, změna, smazání dokumentů)
• Dostupnost: Logy jsou dostupné Správci v aplikaci (základní info: čas, akce, uživatel)
• Retence: 1 rok

• Úroveň aplikace: Správce vidí jen svá data
• Databáze: RLS politiky brání vrácení cizích dat
• API: Tokeny nejsou portabilní mezi accounts

Implementace v PostgreSQL:

CREATE POLICY tenant_isolation ON invoices
USING (tenant_id = current_setting('app.current_tenant_id')::uuid);

• Všechny tabulky mají RLS politiky
• Bez RLS politiky se žádné řádky nevrátí (fail-closed)

• Každý tenant má vlastní PostgreSQL schemata (pokud je výhodné)
• Nebo stejné schéma s RLS (aktuálně)

• Surová data: bank_statements.raw_data obsahuje full ABO XML
• Maskování: Jméno a účet protistran nejsou zobrazeny uživatelem bez explicitního požadavku
• Storage: Raw data se uchovávají 10 let (účetní povinnost)
• Smazání: Lze je odstranit, ale ne jednotlivě (celý import je smazán)

• Caching: ARES odpovědi jsou cachováni na řádku kontaktu
• Výhoda: Snižuje dotazy na ARES (veřejný registr)
• Aktualizace: Lze je obnovit ručně nebo automaticky po X dnech

• Session cookies: Nejsou zveřejňovány
• API tokeny: Nejsou zobrazovány po uložení
• Hesla: Nejsou nikdy vrácena ani v debug režimu
• Bankovní čísla: Nejsou zobrazena bez explicitního požadavku

• Frekvence: Denní (Neon automatické)
• Retenč: 30 dní (7 dní PITR, 30 dní dlouhodobé zálohy na žádost)
• Umístění: EU region (eu-central-1)
• Testování: Měsíčně se testuje obnova (simulace výpadku)

• Technologie: PostgreSQL WAL (Write-Ahead Logging)
• Schopnost: Obnovit databázi do libovolného bodu v posledních 7 dnech
• Aktivace: Ruční požadavek na Neon nebo Zpracovatele

• RTO (Recovery Time Objective): Cíl je 4 hodiny
• RPO (Recovery Point Objective): Cíl je 1 hodina
• Primární strategie: Neon PITR (je nejrychlejší)
• Sekundární strategie: Restore z dlouhodobé zálohy
• Testování: Ročně se provádí test obnovy z katastrofy

• Cloudflare: Monitoring dostupnosti, latence, chyb
• Neon: Monitoring porošení diskového prostoru, připojení, výkonu
• Aplikace: Application Performance Monitoring (není ještě implementováno)

• Přihlášení: Detekce podezřelých přihlášení (jiná IP, země, čas)
• Aktivita: Detekce anomálií v chování (hromadný export, smazání)
• Síť: Cloudflare WAF detekuje běžné útoky

1. Detekce: Automatický alert nebo hlášení od třetích stran
2. Isolace: Podezřelý account je zablokován
3. Vyšetřování: Forenzní analýza logů
4. Hlášení: Správce je informován bez zbytečného odkladu (do 48 hodin)
5. Náprava: Heslo se resetuje, session se vyrušuje, data se obnovují

• Cloudflare: Zabezpečená datacentra s nepřetržitou fyzickou ostrahou
• Neon: Provozuje spravovaný PostgreSQL na infrastruktuře veřejného cloudu v regionu eu-central-1 (Frankfurt, EU)
• Přístup: Omezen na autorizovaný personál

• SSH: Autentifikace jen pomocí klíčů (žádné hesla)
• VPN: Všechny administrativní připojení přes VPN
• Logging: Všechny SSH připojení jsou zaznamenány

• GDPR: Povinné školení pro všechny zaměstnance
• Bezpečnost: Školení o bezpečnosti dat a incidentech
• Obnova: Opakované školení ročně
• Podpis: Všichni zaměstnanci podepíší souhlas s důvěrností

• Změna hesla: Alespoň jednou za 90 dní
• VPN: Povinné pro přístup k produkčním datům
• MFA: Na administrátorské účty u Cloudflare a Neon
• Příslušenství: Bezpečné mikání (šifrované disky, SSL certifikáty)

• Plán: Plánován externí penetrační test (v budoucnu)
• Frekvence: Nejméně jednou ročně
• Škop: Web aplikace, API, infrastruktura
• Výsledky: Budou dostupné Správci na vyžádání

• Interní: Měsíčně se kontrolují logy a konfiguraci
• Externí: Ročně (nebo na vyžádání) nezávislý auditor
• Compliance: Kontrola GDPR souladu

• Zpráva o zjištěních
• Doporučení náprav
• Lhůta na nápravy
• Potvrzení o nápravě

• OS: Automatické patching
• Dependencies: Měsíční kontrola a upgrade
• Databáze: Cloudflare a Neon spravují samo
• Aplikace: Měsíční release s bezpečnostními opatřenímy

• Plánovaná: 7 dnů dopředu
• Bezpečnostní: Bez výpovědi (okamžitě)
• Kanál: E-mail, in-app notifikace

Tento dokument je přípravný draft vypracovaný týmem poskytovatele. Není právnickým poradenstvím a musí být přezkoumanji kvalifikovaným českou právníkem PŘED vydáním. Poskytovatel nezaručuje právní dokonalost dokumentu.

• Tento dokument je NÁVRH (draft)
• Všechny údaje označené [v hranatých závorkách] musí být vyplněny
• Všechna tvrzení o technických opatřeních musí být ověřena v kódovém základu
• Vypršení DPA v jiných dokumentech (obchodní podmínky, PP) nesmí být v rozporu s tímto dokumentem
• Doporučuje se konzultace s právníkem a datovým ochranářem (DPO) před zveřejněním

• Verze: 1.0 NÁVRH
• Poslední aktualizace: [DATUM]
• Další plánovaná aktualizace: Při přidání nového Subprocesor nebo technických změn
• Autorizace: Právní a bezpečnostní tým Zpracovatele

Konec dokumentu DPA