Smluvní strany a jejich role
Tato smlouva o zpracování osobních údajů (dále jen „DPA“) se uzavírá podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR“) mezi níže uvedenými smluvními stranami jako příloha a nedílná součást hlavní smlouvy o poskytování služeb (dále jen „hlavní smlouva“).
Správce (objednatel): Objednatel určený hlavní smlouvou, k níž je tato DPA přílohou; jeho obchodní firma, IČO a sídlo se uvádějí podle údajů v hlavní smlouvě (dále jen „správce“ nebo „objednatel“).
Zveřejněné znění je standardní smlouvou o zpracování osobních údajů, kterou poskytovatel uzavírá se všemi objednateli. Vůči konkrétnímu objednateli se stává závaznou uzavřením hlavní smlouvy, která na ni odkazuje, nebo jejím podpisem; odchylky lze sjednat jen písemně.
Zpracovatel (poskytovatel): 200solutions s.r.o., IČO: 09666028, se sídlem Pod Altánem 132/97, 100 00 Praha – Strašnice, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 339080, zastoupená Markem Kejdou, jednatelem, e-mail info@200.solutions (dále jen „zpracovatel“ nebo „poskytovatel“).
Objednatel vystupuje ve vztahu ke zpracovávaným osobním údajům jako správce, který určuje účely a prostředky zpracování. 200solutions s.r.o. vystupuje jako zpracovatel, který osobní údaje zpracovává výhradně jménem správce a na základě jeho doložených pokynů. Tato DPA doplňuje Všeobecné obchodní podmínky a v případě rozporu ohledně ochrany osobních údajů má před hlavní smlouvou i VOP přednost.
Kontaktním místem zpracovatele pro záležitosti ochrany osobních údajů je e-mail info@200.solutions; další kontakty jsou uvedeny na stránce kontakt.
Předmět, doba, povaha a účel zpracování
Předmět zpracování. Předmětem je zpracování osobních údajů zpracovatelem jménem správce v rozsahu nezbytném pro poskytování služeb sjednaných v hlavní smlouvě, ve Všeobecných obchodních podmínkách a v parametrech úrovně služeb (SLA), zejména vývoj, provoz, údržba a podpora webových a softwarových řešení, hosting, zálohování a související technická činnost.
Povaha zpracování. Zpracování zahrnuje zejména shromažďování, zaznamenávání, uspořádání, strukturování, uložení, nahlížení, používání, úpravu, zpřístupnění, omezení, výmaz a likvidaci osobních údajů, a to automatizovaně i manuálně, v rozsahu odpovídajícím povaze poskytovaných služeb.
Účel zpracování. Zpracování probíhá výhradně za účelem plnění hlavní smlouvy a poskytování sjednaných služeb správci. Zpracovatel osobní údaje nezpracovává pro vlastní účely ani je nepředává třetím osobám mimo rámec této DPA a doložených pokynů správce.
Doba zpracování. Osobní údaje jsou zpracovávány po dobu trvání hlavní smlouvy a dále po dobu nezbytnou k vypořádání vzájemných práv a povinností stran, nejdéle však do splnění povinnosti výmazu nebo vrácení údajů podle článku o povinnostech zpracovatele této DPA.
Kategorie subjektů údajů a kategorie osobních údajů
Konkrétní rozsah zpracování závisí na povaze sjednaných služeb a na obsahu dat, která správce zpracovateli zpřístupní. Není-li v hlavní smlouvě uvedeno jinak, týká se zpracování zejména následujících kategorií subjektů údajů a osobních údajů:
Kategorie subjektů údajů
| Kategorie subjektu údajů | Typický příklad |
|---|---|
| Zaměstnanci a spolupracovníci správce | Osoby podílející se na provozu služeb na straně objednatele |
| Zákazníci a klienti správce | Uživatelé produktů a služeb objednatele |
| Uživatelé webu či aplikace správce | Registrovaní i neregistrovaní návštěvníci |
| Obchodní partneři a kontaktní osoby | Dodavatelé, odběratelé, kontakty v CRM |
Kategorie osobních údajů
| Kategorie údajů | Typický rozsah |
|---|---|
| Identifikační údaje | Jméno, příjmení, titul, uživatelské jméno |
| Kontaktní údaje | E-mail, telefon, poštovní adresa |
| Údaje o účtu a přístupu | Přihlašovací identifikátory, role, protokoly (logy) o přístupu |
| Transakční a smluvní údaje | Objednávky, fakturační údaje, historie komunikace |
| Technické údaje | IP adresa, identifikátory zařízení, soubory cookies |
Zpracování se řídí zásadou minimalizace údajů; správce zpřístupní zpracovateli pouze údaje nezbytné pro poskytování služeb. Zvláštní kategorie osobních údajů podle čl. 9 GDPR a údaje o odsouzeních a trestných činech podle čl. 10 GDPR zpracovatel zpracovává pouze tehdy, vyplývá-li to výslovně z povahy sjednaných služeb a z doložených pokynů správce; v takovém případě strany sjednají odpovídající dodatečná technická a organizační opatření. Podrobnosti k souborům cookies obsahují Zásady používání cookies.
Povinnosti zpracovatele
Zpracovatel se ve smyslu čl. 28 GDPR zavazuje zejména k tomu, že:
- bude osobní údaje zpracovávat pouze na základě doložených pokynů správce, včetně pokynů týkajících se předání do třetí země nebo mezinárodní organizaci, ledaže mu takové zpracování ukládá právo Evropské unie nebo členského státu; v takovém případě zpracovatel správce před zpracováním informuje o tomto právním požadavku, není-li to takovým právem zakázáno;
- zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti, nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti, a to i po skončení jejich pracovněprávního či obdobného vztahu;
- přijme veškerá technická a organizační opatření k zabezpečení zpracování podle čl. 32 GDPR odpovídající danému riziku, zejména podle potřeby pseudonymizaci a šifrování údajů, zajištění trvalé důvěrnosti, integrity, dostupnosti a odolnosti systémů, schopnost obnovit dostupnost údajů po incidentu a proces pravidelného testování účinnosti opatření; konkrétní přijatá opatření popisuje Bezpečnostní politika;
- nezapojí do zpracování dalšího zpracovatele bez předchozího povolení správce za podmínek uvedených v samostatném článku této DPA;
- je správci nápomocen prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti reagovat na žádosti o výkon práv subjektů údajů (právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost a vznesení námitky); obdrží-li zpracovatel takovou žádost přímo od subjektu údajů, bez zbytečného odkladu ji předá správci a sám ji nevyřizuje, ledaže k tomu dostane pokyn;
- ohlásí správci jakékoli porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, zpravidla nejpozději do 24 hodin, a poskytne mu součinnost a informace potřebné pro splnění oznamovacích povinností vůči dozorovému úřadu a subjektům údajů, zejména popis povahy porušení, pravděpodobných důsledků a přijatých či navržených opatření; postup řešení bezpečnostních incidentů popisuje Bezpečnostní politika;
- je správci nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR (zabezpečení zpracování, ohlašování případů porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace) s ohledem na povahu zpracování a informace, které má k dispozici;
- po skončení poskytování služeb podle rozhodnutí správce všechny osobní údaje vymaže, nebo je vrátí správci a vymaže existující kopie, pokud právo Unie nebo členského státu nepožaduje jejich další uložení;
- poskytne správci veškeré informace potřebné k prokázání plnění povinností podle čl. 28 GDPR a umožní audity a kontroly (včetně inspekcí) prováděné správcem nebo jím pověřeným auditorem a k těmto auditům přispěje; audit se koná na základě předchozího oznámení v přiměřené lhůtě, v pracovní době a způsobem co nejméně narušujícím provoz, zpravidla nejvýše jednou za kalendářní rok, a mimo tento rámec bez omezení po bezpečnostním incidentu nebo na žádost dozorového úřadu.
Zpracovatel neprodleně informuje správce, má-li za to, že určitý pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů; do vyjasnění je oprávněn splnění takového pokynu pozastavit.
Další zpracovatelé (subdodavatelé)
Správce uděluje zpracovateli obecné písemné povolení zapojit do zpracování další zpracovatele (subdodavatele) nezbytné k poskytování služeb. K obvyklým kategoriím dalších zpracovatelů patří:
| Kategorie dalšího zpracovatele | Účel zapojení |
|---|---|
| Poskytovatelé hostingu a datových center | Provoz serverů a ukládání dat; vlastní hostingové služby poskytovatele běží v datacentru v České republice |
| Poskytovatelé cloudové infrastruktury | Výpočetní a úložné služby, škálování aplikací |
| Nástroje pro zálohování a monitoring | Zálohy, dohled dostupnosti a bezpečnosti |
| Nástroje technické a zákaznické podpory | Evidence a řešení požadavků, komunikace |
| Poskytovatelé e-mailových a notifikačních služeb | Odesílání transakčních a systémových zpráv |
Zpracovatel vede a na vyžádání bez zbytečného odkladu zpřístupní správci aktuální seznam zapojených dalších zpracovatelů. O zamýšlené změně spočívající v přijetí nebo nahrazení dalšího zpracovatele informuje správce v přiměřeném předstihu, zpravidla nejméně 15 dnů předem, a poskytne správci možnost vznést proti změně ve stejné lhůtě odůvodněné námitky. Trvá-li důvodná námitka, jsou strany povinny hledat přiměřené řešení; nelze-li jej nalézt, je dotčená strana oprávněna ukončit poskytování dotčené části služeb.
Zpracovatel uloží každému dalšímu zpracovateli smlouvou stejné povinnosti v oblasti ochrany osobních údajů, jaké jsou stanoveny v této DPA. Neplní-li další zpracovatel své povinnosti, odpovídá správci za plnění povinností dotčeného dalšího zpracovatele i nadále zpracovatel.
Předání do třetích zemí
Zpracovatel zpracovává osobní údaje zásadně na území Evropského hospodářského prostoru (EHP). K předání osobních údajů do třetí země nebo mezinárodní organizaci mimo EHP dojde pouze na základě doloženého pokynu správce, nebo je-li takové předání nezbytné pro poskytování služeb prostřednictvím schváleného dalšího zpracovatele.
Dojde-li k předání do třetí země, zajistí zpracovatel, aby se tak stalo výhradně při splnění podmínek kapitoly V GDPR, zejména na základě rozhodnutí Evropské komise o odpovídající úrovni ochrany, standardních smluvních doložek přijatých Evropskou komisí nebo jiného vhodného právního nástroje podle čl. 46 GDPR, v případě potřeby doplněných o nezbytná dodatečná technická a organizační opatření. Přehled zemí a použitých záruk je součástí seznamu dalších zpracovatelů podle předchozího článku.
Odpovědnost stran a součinnost
Odpovědnost správce. Správce odpovídá za zákonnost účelu a prostředků zpracování, za existenci právního titulu a za obsah pokynů udělovaných zpracovateli. Správce zaručuje, že je oprávněn osobní údaje zpracovateli předat ke zpracování a že jejich předání a zpracování podle této DPA neporušuje práva třetích osob.
Odpovědnost zpracovatele. Zpracovatel odpovídá za újmu způsobenou zpracováním jen tehdy, nesplnil-li povinnosti, které GDPR výslovně ukládá zpracovatelům, nebo jednal-li nad rámec zákonných pokynů správce či v rozporu s nimi. Rozsah a limity náhrady újmy se řídí příslušnou úpravou v hlavní smlouvě a ve VOP, nestanoví-li kogentní právní úprava jinak.
Vzájemná součinnost. Strany si poskytují nezbytnou součinnost při plnění povinností podle této DPA, zejména při vyřizování žádostí subjektů údajů, při řešení bezpečnostních incidentů podle Bezpečnostní politiky a při komunikaci s dozorovým úřadem. Kontaktním místem zpracovatele je e-mail info@200.solutions.
Doba trvání a závěrečná ustanovení
Tato DPA nabývá platnosti a účinnosti dnem uzavření hlavní smlouvy a trvá po celou dobu jejího trvání a dále po dobu, po kterou zpracovatel zpracovává osobní údaje jménem správce. Ukončením hlavní smlouvy vzniká zpracovateli povinnost naložit s osobními údaji podle článku o povinnostech zpracovatele (výmaz nebo vrácení údajů).
Vztah k dalším dokumentům. Tato DPA doplňuje a upřesňuje Zásady ochrany osobních údajů, navazuje na Bezpečnostní politiku, úroveň služeb (SLA) a VOP. V otázkách touto DPA neupravených se použije hlavní smlouva, VOP a příslušné právní předpisy, zejména GDPR a zákon č. 110/2019 Sb., o zpracování osobních údajů.
Změny. Změny této DPA vyžadují souhlas obou stran; písemná forma zahrnuje i formu elektronickou. Stane-li se některé ustanovení neplatným nebo neúčinným, nedotýká se to platnosti a účinnosti ostatních ustanovení; strany takové ustanovení nahradí ustanovením co nejbližším sledovanému účelu.
Dozorovým úřadem je Úřad pro ochranu osobních údajů (www.uoou.cz), na který se subjekty údajů mohou obrátit se stížností.
Toto znění je platné od 12. 9. 2026 a nahrazuje veškerá předchozí znění.
