Zpracovatelská smlouva (DPA)
Tato zpracovatelská smlouva (dále jen „DPA") doplňuje Všeobecné obchodní podmínky a je uzavřena mezi smluvními stranami:
- Správce — provozovatel autoškoly, který využívá službu Odjeto.cz (dále jen „autoškola")
- Zpracovatel — Radek Macha, IČO 01420267, se sídlem Tupesy 485, 687 07 Tupesy, provozovatel služby Odjeto.cz (dále jen „Odjeto")
Tato DPA je uzavřena okamžikem dokončení registrace autoškoly v systému Odjeto.
1. Předmět a účel
Odjeto zpracovává osobní údaje pro autoškolu na základě jejích pokynů a v souladu s čl. 28 obecného nařízení o ochraně osobních údajů (GDPR). Autoškola jako správce určuje účely a prostředky zpracování; Odjeto zajišťuje pouze technické a systémové operace zpracování v rámci aplikace.
2. Specifikace zpracování osobních údajů
| Účel | Vedení evidence žáků, výcviku, jízd, zkoušek, plateb a mzdových výkazů autoškoly |
|---|---|
| Doba | Po dobu trvání smlouvy o službě Odjeto |
| Kategorie subjektů | Žáci autoškoly, jejich zákonní zástupci, instruktoři, zaměstnanci autoškoly |
| Kategorie údajů | Identifikační (jméno, datum narození, rodné číslo, číslo OP), kontaktní (adresa, telefon, e-mail), údaje o výcviku (jízdy, hodiny, výsledky zkoušek), platební údaje (částky, ne však čísla platebních karet), GPS trasy jízd, digitální podpisy |
| Zvláštní kategorie | Údaje o zdravotní způsobilosti (posudek lékaře) — pokud je autoškola nahrává |
3. Povinnosti zpracovatele
Odjeto se zavazuje:
- Zpracovávat osobní údaje pouze na základě zdokumentovaných pokynů autoškoly (které vyplývají z nastavení a běžného používání funkcí systému).
- Zajistit přísnou důvěrnost — přístup k osobním údajům mají pouze oprávněné osoby (technický personál Odjeto) vázané povinností mlčenlivosti.
- Implementovat a udržovat vhodná technická a organizační opatření k zajištění bezpečnosti dat (viz sekce 5).
- Bez zbytečného odkladu, nejpozději však do 72 hodin od zjištění, oznámit autoškole jakékoli porušení zabezpečení osobních údajů.
- Poskytnout autoškole součinnost při plnění jejích povinností podle GDPR, zejména při vyřizování žádostí subjektů údajů, provádění posouzení vlivu na ochranu osobních údajů (DPIA) a při konzultacích s Úřadem pro ochranu osobních údajů (ÚOOÚ).
- Po ukončení poskytování služby vrátit nebo vymazat všechny osobní údaje podle volby autoškoly, a to do 30 dnů od ukončení smlouvy, nevyžadují-li právní předpisy jejich další uchování.
- Umožnit autoškole nebo jí pověřenému auditorovi audit plnění povinností podle této DPA. Audit musí být oznámen nejméně 30 dní předem a probíhá na náklady autoškoly (pokud audit neodhalí závažné porušení povinností ze strany Odjeto).
4. Podzpracovatelé
Autoškola uděluje Odjeto všeobecné povolení k zapojení dalších zpracovatelů (podzpracovatelů). Aktuální seznam schválených podzpracovatelů:
| Podzpracovatel | Účel | Umístění dat |
|---|---|---|
| Oracle Cloud Infrastructure | Hosting aplikace a databáze | EU (Frankfurt) |
| SendPulse Inc. | Odesílání transakčních e-mailů žákům | EU / USA (SCC) |
| Google LLC (Firebase Cloud Messaging) | Push notifikace pro instruktory (přenáší pouze technické tokeny, ne osobní data) | EU / USA (SCC) |
| Google LLC (Gemini API) | AI skloňování jmen měst v PDF (bez osobních dat) | EU / USA (SCC) |
Odjeto je povinno informovat autoškolu o jakémkoli plánovaném zapojení nového podzpracovatele nebo jeho výměně e-mailem alespoň 30 dní předem. Autoškola má právo vznést proti změně odůvodněnou námitku. Nedojde-li k dohodě, Odjeto navrhne alternativní řešení, nebo je autoškola oprávněna smlouvu bez sankcí vypovědět.
5. Technická a organizační opatření
Odjeto prohlašuje, že zavedlo a udržuje následující bezpečnostní opatření:
- Šifrování v přenosu: Veškerá komunikace mezi klientem a serverem je šifrována pomocí protokolu TLS 1.3.
- Šifrování v úložišti: Databáze PostgreSQL běží na šifrovaném diskovém poli v rámci Oracle Cloud, zálohy dat jsou rovněž šifrovány.
- Řízení přístupu: Přístup k datům je řízen na základě rolí (RBAC), pro administrátorský přístup personálu Odjeto je povinné vícefaktorové ověření (MFA).
- Zálohování: Zálohy dat jsou prováděny denně s minimální dobou uchování 7 dní a jsou ukládány v geograficky oddělené lokalitě (off-site).
- Aktualizace a údržba: Pravidelně jsou aplikovány bezpečnostní záplaty operačního systému, databáze i použitých softwarových knihoven.
- Auditní logování: Jsou zaznamenávány přístupy do systému a kritické operace (např. mazání dat, změny oprávnění).
- Logické oddělení dat: Data jednotlivých autoškol jsou striktně logicky oddělena (pomocí identifikátoru schoolId), což znemožňuje neoprávněný přístup jiné autoškoly.
- Kontinuita provozu: Havarijní plán zajišťuje plnou obnovu systému ze zálohy do 24 hodin (RPO 24h, RTO 24h).
6. Práva subjektů údajů
Žádosti subjektů údajů (žáků, instruktorů) o výkon práv podle GDPR (přístup, oprava, výmaz, přenositelnost) vyřizuje primárně autoškola jakožto správce osobních údajů. Odjeto poskytne autoškole nezbytnou technickou součinnost a nástroje pro vyřízení těchto žádostí (např. funkce pro export či trvalý výmaz dat).
7. Odpovědnost
Odjeto odpovídá pouze za škody způsobené porušením svých specifických povinností zpracovatele podle této DPA a obecného nařízení GDPR. Odjeto neodpovídá za plnění zákonných povinností autoškoly jako správce, zejména pokud jde o plnění informační povinnosti vůči žákům nebo uchovávání dokumentace podle zákona č. 247/2000 Sb. (o získávání a zdokonalování odborné způsobilosti k řízení motorových vozidel).
8. Změny DPA
Odjeto je oprávněno tuto DPA v přiměřeném rozsahu měnit, zejména v návaznosti na změny legislativy, technologický vývoj nebo úpravu seznamu podzpracovatelů. O změnách bude autoškola informována e-mailem alespoň 30 dní před účinností nové verze. V případě nesouhlasu se změnou má autoškola právo smlouvu ke dni účinnosti změn bez sankcí vypovědět.
9. Závěrečná ustanovení
Vztahy touto DPA výslovně neupravené se řídí Všeobecnými obchodními podmínkami Odjeto.cz, českým právním řádem a nařízením GDPR.