Smlouva o zpracování osobních údajů

Tato smlouva je přílohou obchodních podmínek služby Nabídkář a naplňuje požadavky čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR). Pojmy mají stejný význam jako v obchodních podmínkách a v GDPR.

1. Smluvní strany a uzavření

1.1 Správce: uživatel služby Nabídkář – podnikatel, který si ve službě založil účet (dále „správce“ nebo „vy“).

1.2 Zpracovatel: [JMÉNO A PŘÍJMENÍ], IČO [IČO], se sídlem [ADRESA SÍDLA], e-mail podpora@nabidkar.com (dále „zpracovatel“ nebo „my“).

1.3 Smlouva je uzavřena souhlasem s obchodními podmínkami při založení účtu nebo při souhlasu s jejich novým zněním.

2. Předmět a účel zpracování

2.1 Zpracováváme osobní údaje, které do služby vložíte vy nebo vaši zákazníci, a to výhradně za účelem poskytování služby Nabídkář: vedení zákazníků, příprava cenových nabídek (i pomocí AI), jejich zpřístupnění zákazníkům ke schválení, odesílání e-mailů zákazníkům vaším jménem, upozornění a export dat.

3. Doba trvání

3.1 Smlouva platí po dobu trvání smlouvy o používání služby. Po jejím skončení platí článek 13 (výmaz údajů).

4. Povaha zpracování

4.1 Údaje ukládáme, uspořádáváme, zobrazujeme vám a vašim zákazníkům, přenášíme dalším zpracovatelům podle článku 9, vyhledáváme v nich a mažeme je. Hlasové nahrávky přepisujeme na text, z videí vybíráme snímky a přepisujeme komentář, fotky znovu ukládáme bez metadat a popis práce spolu s přepisem, snímky a vaším ceníkem předáváme modelu AI k návrhu položek nabídky. Když zadáte IČO zákazníka, načteme k němu údaje z veřejného registru ARES (Ministerstvo financí).

5. Typy osobních údajů a kategorie subjektů údajů

5.1 Typy osobních údajů:

• identifikační a kontaktní údaje zákazníků: jméno nebo název, IČO, DIČ, e-mail, telefon, adresa, poznámka a štítky, které k zákazníkovi zadáte;
• obsah nabídek: popis a místo prací, položky, ceny, texty a stav nabídky;
• hlasové nahrávky, videa, snímky z videí a fotky ze zakázek, na kterých mohou být zachyceni lidé, jejich hlas nebo jejich majetek;
• nahrané doklady (staré nabídky, faktury, účtenky), ze kterých se vyčtou ceny položek; doklad se po uložení cen nebo nejpozději za 7 dní smaže;
• přepisy řeči a textové popisy zakázek;
• údaje o činnosti zákazníka na stránce s nabídkou: otevření, schválení (včetně IP adresy a údaje o prohlížeči jako dokladu), dotazy a odmítnutí dalších připomínek;
• záznam změn: kdo, kdy a která pole u zákazníka změnil – jen názvy polí, bez hodnot.

5.2 Kategorie subjektů údajů: vaši zákazníci a jejich kontaktní osoby a další lidé, kteří jsou zachyceni na nahrávkách, videích nebo fotkách nebo jsou uvedeni v nabídkách nebo nahraných dokladech.

5.3 Zvláštní kategorie osobních údajů (čl. 9 GDPR) ani údaje o rozsudcích v trestních věcech (čl. 10 GDPR) do služby nevkládejte. Služba k jejich zpracování není určena.

6. Pokyny správce

6.1 Údaje zpracováváme jen na základě vašich doložených pokynů, a to i pokud jde o předání do třetích zemí. Vašimi pokyny jsou tato smlouva, obchodní podmínky a vaše nastavení a úkony ve službě (například vložení zákazníka, odeslání nabídky, zapnutí připomínek, smazání údajů nebo účtu). Další pokyny nám můžete dát e-mailem.

6.2 Bez pokynu smíme údaje zpracovat jen tehdy, když nám to ukládá právo EU nebo České republiky; předem vás o tom informujeme, ledaže to právo zakazuje.

6.3 Pokud bude podle nás některý pokyn porušovat předpisy o ochraně osobních údajů, bez zbytečného odkladu vás na to upozorníme.

7. Mlčenlivost

7.1 K údajům mají přístup jen osoby, které je potřebují k provozu služby, a ty jsou zavázány mlčenlivostí nebo jim mlčenlivost ukládá zákon. Mlčenlivost trvá i po skončení smlouvy.

8. Zabezpečení

8.1 Přijímáme technická a organizační opatření podle čl. 32 GDPR, popsaná v Příloze 1. Opatření můžeme měnit, pokud se úroveň ochrany nesníží.

9. Další zpracovatelé

9.1 Udělujete nám obecné povolení zapojit další zpracovatele. Aktuální seznam je v Příloze 2.

9.2 Záměr přidat nebo vyměnit dalšího zpracovatele vám oznámíme e-mailem alespoň 30 dní předem. Změna Přílohy 2 není změnou obchodních podmínek a nevyžaduje nový souhlas; řídí se jen tímto článkem. Během této lhůty můžete proti změně vznést námitku na podpora@nabidkar.com. Pokud námitce nevyhovíme, můžete smlouvu o používání služby vypovědět nejpozději ke dni změny; zaplacenou nevyčerpanou část předplatného vám v takovém případě na požádání vrátíme.

9.3 Každého dalšího zpracovatele zavazujeme smlouvou ke stejným povinnostem ochrany údajů, jaké máme podle této smlouvy my. Za jeho plnění vám odpovídáme podle čl. 28 odst. 4 GDPR.

10. Pomoc s právy subjektů údajů

10.1 Služba vám umožňuje vyhovět většině žádostí sami: údaje zákazníka zobrazit a opravit, zákazníka bez nabídek smazat, smazat koncept nabídky, stáhnout export dat (CSV, PDF, JSON; bez fotek a snímků z videí) a smazat celý účet. Záznam změn obsahuje u zákazníků jen názvy změněných polí, takže po výmazu v něm hodnoty nezůstanou.

10.2 Kde to služba sama neumožňuje (například výmaz zákazníka, který už má odeslané nabídky), provedeme výmaz, opravu nebo omezení na váš pokyn zaslaný e-mailem.

10.3 Pokud se na nás obrátí přímo subjekt údajů, jeho žádost vám bez zbytečného odkladu předáme a sami ji nevyřizujeme, pokud nás k tomu nepověříte.

11. Pomoc s dalšími povinnostmi správce

11.1 S ohledem na povahu zpracování a informace, které máme, vám pomůžeme se zajištěním bezpečnosti (čl. 32 GDPR), s ohlašováním a oznamováním porušení zabezpečení (čl. 33 a 34 GDPR), s posouzením vlivu na ochranu osobních údajů a s předchozí konzultací s úřadem (čl. 35 a 36 GDPR).

12. Porušení zabezpečení

12.1 O porušení zabezpečení osobních údajů, které zpracováváme pro vás, vás budeme informovat bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozvíme.

12.2 Oznámení pošleme na e-mail vašeho účtu a uvedeme v něm, co víme: povahu porušení, dotčené kategorie a přibližný počet subjektů a záznamů, pravděpodobné důsledky a přijatá nebo navrhovaná opatření. Co v tu chvíli ještě nevíme, doplníme postupně.

13. Výmaz nebo vrácení údajů po skončení

13.1 Vrácení: před skončením smlouvy si můžete kdykoli stáhnout export dat (soubor ZIP s tabulkami CSV, PDF aktuálních nabídek a vystavených faktur a daty ve formátu JSON). Export neobsahuje fotky ani snímky z videí. Při žádosti o smazání účtu vám export připravíme automaticky.

13.2 Výmaz: po smazání účtu a uplynutí ochranné lhůty 30 dní smažeme všechny osobní údaje, které jsme pro vás zpracovávali, včetně souborů, s výjimkou archivu faktur podle článku 13.6. Neaktivní účty v bezplatném režimu mažeme po 24 měsících podle obchodních podmínek. V zálohách mohou údaje zůstat nejdéle po dobu uchování záloh, která činí 30 dní; poté se ze záloh odstraní.

13.3 Další zpracovatelé mažou údaje podle svých smluvních podmínek: Anthropic vstupy a výstupy do 30 dnů, ostatní podle svých podmínek.

13.4 Údaje si ponecháme jen tehdy, pokud nám jejich uložení ukládá právo EU nebo České republiky.

13.5 Během trvání smlouvy mažeme údaje průběžně podle harmonogramu v Příloze 1.

13.6 Archiv faktur: povinnost uchovávat daňové a účetní doklady máte vy. Dáváte nám proto pokyn, abychom vaše vystavené a stornované faktury včetně plateb a údajů o odběrateli po smazání účtu uchovali v uzamčeném archivu do konce desátého roku po roce jejich vystavení (nebo uskutečnění plnění, je-li pozdější). Archiv slouží jen k tomu, abychom vám faktury na žádost vydali nebo je předložili, pokud to ukládá zákon; jinak s ním nepracujeme. Žádost pošlete na podpora@nabidkar.com, před vydáním ověříme, že ji podává oprávněná osoba. Po uplynutí doby faktury smažeme. Pokyn můžete před smazáním účtu odvolat e-mailem; pak archiv nevznikne a za uchování dokladů odpovídáte sami.

14. Informace a audity

14.1 Poskytneme vám informace potřebné k doložení, že plníme povinnosti podle čl. 28 GDPR. Primárně tak, že na vaši písemnou žádost vyplníme bezpečnostní dotazník nebo zašleme popis opatření, a to do 30 dnů.

14.2 Pokud tyto informace nebudou dostatečné nebo pokud to vyžaduje dozorový úřad, umožníme vám nebo vámi pověřenému auditorovi vázanému mlčenlivostí audit včetně inspekce. Termín a rozsah dohodneme alespoň 30 dní předem, audit nesmí ohrozit bezpečnost ani data jiných uživatelů a náklady auditu nesete vy.

15. Předávání do třetích zemí

15.1 Někteří další zpracovatelé zpracovávají údaje v USA. Předání je chráněno rozhodnutím Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework) u certifikovaných příjemců nebo standardními smluvními doložkami podle čl. 46 odst. 2 písm. c) GDPR. Podrobnosti jsou v Příloze 2.

16. Odpovědnost a závěrečná ustanovení

16.1 Odpovědnost stran se řídí GDPR a obchodními podmínkami. Omezení odpovědnosti v obchodních podmínkách neplatí v rozsahu, v jakém to GDPR nebo zákon nedovoluje.

16.2 Změny této smlouvy provádíme stejně jako změny obchodních podmínek. Při rozporu mezi touto smlouvou a obchodními podmínkami má ve věcech ochrany osobních údajů přednost tato smlouva.

16.3 Smlouva se řídí právem České republiky.

16.4 Verze smlouvy: 2026-10-30. Účinná od: 30. 10. 2026.

Příloha 1 – Technická a organizační opatření

Oddělení dat firem a přístup

• Každá tabulka s daty firmy má v databázi vynucená pravidla zabezpečení na úrovni řádků: dotaz aplikace vrátí jen řádky firmy, jejímž členem je přihlášený uživatel. Automatický test hlídá, že žádná taková tabulka pravidla nemá vypnutá.
• Aplikace i zpracování na pozadí se k databázi připojují rolí s omezenými právy, která pravidla zabezpečení nemůže obejít. Tarif a stav předplatného tato role měnit nemůže a záznam změn (audit) do ní lze jen přidávat. Záznam změn uchovává, kdo a kdy změnil která pole; u údajů zákazníků a firmy jen názvy polí, nikdy hodnoty.
• Zpracování na pozadí (AI, přepisy) běží pod identitou uživatele, který úlohu spustil, takže pro něj platí stejná pravidla.
• Stránka pro zákazníka a platební události nemají přihlášeného uživatele. Pracují proto jen přes úzké databázové funkce, které vracejí pouze nezbytné údaje; nákupní ceny ani poznámky AI zákazníkovi nikdy nevracejí.
• Přístup k produkčním systémům má jen provozovatel.

Přihlášení a účty

• Hesla se ukládají jen jako otisk funkcí scrypt. Přihlášení heslem vyžaduje ověřený e-mail.
• Počet pokusů o přihlášení, registraci a odeslání přihlašovacích e-mailů je omezen.
• Přihlášení drží jedna cookie s příznaky HttpOnly a SameSite=Lax; na zabezpečeném spojení i s příznakem Secure.

Přenos a úložiště

• Komunikace s aplikací probíhá šifrovaně (HTTPS).
• Soubory jsou v oddělených úložištích: nahrávky, videa, snímky a dokumenty jsou neveřejné; snímky vidí jen členové firmy. Veřejné je jen logo firmy, které se zobrazuje zákazníkům na nabídkách. U log se ověřuje typ souboru a formát SVG není povolen.
• Fotky se při nahrání znovu uloží bez metadat, včetně polohy GPS.
• Upozornění do zařízení (push) se posílají zašifrovaná podle RFC 8291.

Stránka s nabídkou pro zákazníka

• Odkaz obsahuje náhodný klíč o délce 256 bitů.
• Odkaz vyprší 60 dní po posledním odeslání; poté zákazník vidí jen název, logo a kontakt firmy.
• Schválení se přijme jen pro tu verzi a obsah nabídky, které zákazník viděl.
• Počet požadavků na stránku a stahování PDF je omezen.

Minimalizace údajů předávaných AI

• Modelu AI předáváme váš ceník, popis práce, přepis řeči a snímky nebo fotky. Kontaktní údaje zákazníků z adresáře modelu AI nepředáváme; mohou se k němu dostat jen tehdy, pokud je sami uvedete v popisu nebo nahrávce.

Harmonogram mazání

Organizační opatření

• Pravidelně aktualizujeme software a knihovny.
• Na incidenty reagujeme podle článku 12 této smlouvy.
• Dalším zpracovatelům předáváme jen údaje nutné pro jejich úkol (Příloha 2).

Příloha 2 – Seznam dalších zpracovatelů