Smlouva o zpracování osobních údajů

Verze 2026-10-16 – podle čl. 28 nařízení (EU) 2016/679 (GDPR)

1. Strany a předmět

1.1 Správcem je Klient, zpracovatelem je Derta Digital, součást skupiny Derta Group, IČO 04630149, se sídlem Brno [DOPLNIT: obchodní firma / jméno podnikatele a přesná adresa sídla, zápis v rejstříku] (dále „Zpracovatel“). Tato smlouva je nedílnou součástí smlouvy o poskytování Služby Portál Derta Digital a uzavírá se jejím odsouhlasením.

1.2 Zpracovatel zpracovává osobní údaje, které Klient nebo jeho uživatelé vloží do Služby, výhradně za účelem poskytování Služby: ukládání, úprava, zobrazení a zveřejnění obsahu na webu Klienta, zálohování a technická podpora.

2. Rozsah zpracování

• Kategorie subjektů údajů: zaměstnanci a spolupracovníci Klienta, zákazníci a obchodní partneři Klienta, osoby zachycené na fotografiích, osoby uvedené v obsahu Klienta.
• Kategorie údajů: identifikační a kontaktní údaje (jméno, e-mail, telefon), údaje obsažené v textech a fotografiích, technické údaje (IP adresa, údaje o přihlášení).
• Zvláštní kategorie údajů (např. o zdraví) Klient do Služby nevkládá. Pokud to přesto učiní, odpovídá za to výhradně Klient.
• Doba zpracování: po dobu trvání smlouvy o Službě a lhůtu dle čl. 7.

3. Povinnosti Zpracovatele

3.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Klienta. Za pokyny se považuje tato smlouva a úkony Klienta ve Službě. Pokud podle Zpracovatele pokyn porušuje právní předpisy, upozorní na to Klienta.

3.2 Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti.

3.3 Zpracovatel přijímá technická a organizační opatření dle čl. 32 GDPR: šifrovaný přenos dat, hashovaná hesla, oddělení dat Klientů, řízení a omezení přístupů, ochranu proti hádání hesel, zálohy a průběžné aktualizace.

3.4 Zpracovatel Klientovi v přiměřeném rozsahu a za úhradu účelně vynaložených nákladů pomáhá s vyřizováním žádostí subjektů údajů a s plněním povinností dle čl. 32 až 36 GDPR.

3.5 Zpracovatel ohlásí Klientovi porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 72 hodin od okamžiku, kdy se o něm dozvěděl, a poskytne informace, které má k dispozici.

4. Další zpracovatelé

4.1 Klient uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Ke dni účinnosti jsou to: Cloudflare, Inc. (hosting, databáze a doručování obsahu; zpracování může probíhat i mimo EU na základě standardních smluvních doložek nebo rámce EU–USA pro ochranu osobních údajů) a GitHub, Inc. (správa zdrojového kódu bez osobních údajů Klienta).

4.2 O zamýšlených změnách dalších zpracovatelů Zpracovatel Klienta informuje. Klient může do 14 dní vznést odůvodněnou námitku; pokud se strany nedohodnou, může Klient smlouvu o Službě vypovědět.

4.3 Zpracovatel ukládá dalším zpracovatelům povinnosti ochrany osobních údajů ve stejném nebo vyšším rozsahu.

5. Povinnosti Klienta

5.1 Klient odpovídá za to, že má pro zpracování osobních údajů platný právní základ, splnil informační povinnost vůči subjektům údajů a má potřebné souhlasy (např. s uveřejněním fotografií).

5.2 Klient nevkládá do Služby více osobních údajů, než je nezbytné.

6. Kontrola

Zpracovatel poskytne Klientovi informace nezbytné k doložení plnění povinností dle této smlouvy, zejména popis přijatých opatření. Audit na místě je možný po předchozím písemném oznámení nejméně 30 dní předem, v pracovní době, nejvýše jednou ročně a na náklady Klienta.

7. Ukončení

Po skončení smlouvy o Službě Zpracovatel osobní údaje do 60 dní vymaže, ledaže Klient do 30 dní požádá o jejich předání nebo právní předpis vyžaduje jejich uchování. Data v zálohách se vymažou v běžném cyklu zálohování.

8. Odpovědnost

Odpovědnost stran se řídí GDPR a obchodními podmínkami Služby, včetně omezení odpovědnosti v nich sjednaného, v rozsahu, v jakém to právní předpisy připouštějí. Klient nahradí Zpracovateli újmu vzniklou v důsledku pokynů Klienta nebo porušení povinností Klienta.