Smlouva o zpracování osobních údajů

Příloha č. 1 k Všeobecným obchodním podmínkám služby efakturia.sk uzavřená podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR“)

Verze: 1.0Účinnost od: 10. října 2026Poslední aktualizace: 10. října 2026

Článek 1 – Smluvní strany a uzavření

1.1 Správce: Zákazník podle čl. 2 bodu 1 VOP, identifikovaný údaji v Účtu (dále jen „Správce“).

1.2 Zpracovatel: IT-DK s. r. o., Odbojárov 1957/8, 026 01 Dolný Kubín, IČO: 57 626 472, DIČ: 2122858012, zapsaná v obchodním rejstříku Městského soudu Žilina, oddíl Sro, vložka č. 91296/L. Kontakt pro ochranu osobních údajů je gdpr@efakturia.sk (dále jen „Zpracovatel“).

1.3 Tato smlouva se uzavírá spolu se smlouvou o poskytování Služby, tedy akceptací VOP při registraci nebo při přihlášení po změně VOP. Zpracovatel uchovává čas akceptace a verzi dokumentu. Elektronická forma splňuje požadavek písemné formy podle čl. 28 odst. 9 GDPR.

1.4 Ve věcech ochrany osobních údajů má tato smlouva přednost před VOP. Pojmy, které zde nejsou vymezeny, mají význam podle VOP a čl. 4 GDPR.

Článek 2 – Předmět, povaha a účel zpracování

2.1 Předmět: zpracování osobních údajů, které Správce do Služby zadá, nahraje nebo prostřednictvím ní přijme, případně ke kterým Službě umožní přístup. Jde o zpracování při poskytování Služby podle VOP.

2.2 Povaha zpracování:

• uchovávání, uspořádání, zobrazení a vyhledávání,
• generování dokladů (PDF, UBL 2.1, ISDOC) a čtení nahraných dokladů,
• odesílání e-mailem a prostřednictvím sítě Peppol a přijímání dokladů,
• předání údajů doručovací službě k oznámení finančnímu ředitelství,
• párování plateb, export, zálohování a výmaz.

2.3 Účel: výhradně poskytování Služby Správci. Patří sem zejména vystavování, zasílání, přijímání a evidence jeho faktur, upomínky, párování plateb, balíček pro účetního, API a webhooky.

2.4 Kategorie subjektů údajů:

1. odběratelé a dodavatelé Správce, kteří jsou fyzickými osobami (zejména podnikatelé),
2. kontaktní osoby a zástupci odběratelů a dodavatelů,
3. zaměstnanci nebo jiné osoby Správce uvedené na dokladech (např. „vystavil“),
4. účetní Správce (e-mailová adresa pro zasílání balíčku),
5. protistrany v bankovních transakcích Správce (při napojení banky nebo importu výpisu),
6. jiné fyzické osoby, jejichž údaje Správce uvede v dokladech nebo poznámkách.

2.5 Typy osobních údajů:

• jméno a příjmení nebo obchodní firma, adresa, IČO, DIČ, IČ DPH,
• e-mail a telefon,
• číslo bankovního účtu (IBAN) a identifikátor v síti Peppol,
• údaje o plněních, cenách a platbách uvedené v dokladech,
• údaje z bankovních transakcí: jméno a účet protistrany, částka, datum, variabilní symbol a zpráva pro příjemce,
• další údaje, které Správce do dokladů vloží.

2.6 Předmětem zpracování nejsou zvláštní kategorie osobních údajů (čl. 9 GDPR) ani údaje o trestných činech (čl. 10 GDPR). Správce je do Služby nebude zadávat.

2.7 Doba zpracování: po dobu trvání smlouvy o poskytování Služby a poté do výmazu podle čl. 10.

Článek 3 – Pokyny Správce

3.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce (čl. 28 odst. 3 písm. a) GDPR). Doloženými pokyny jsou:

1. VOP a tato smlouva,
2. úkony Uživatelů ve Službě a nastavení Účtu, například odeslání dokladu, zadání e-mailu účetního, vytvoření nebo zrušení sdíleného odkazu, nastavení webhooku, zapnutí napojení banky nebo požadavky prostřednictvím API,
3. jiné písemné (i e-mailové) pokyny Administrátora Účtu, pokud jsou v souladu s VOP.

3.2 Odesláním dokladu prostřednictvím sítě Peppol dává Správce pokyn předat doklad certifikovanému poskytovateli doručovací služby, doručit jej příjemci, kterého určil, a oznámit údaje z dokladu finančnímu ředitelství podle § 85o odst. 9 až 11 slovenského zákona č. 222/2004 Z. z. o DPH.

3.3 Bez pokynu může Zpracovatel údaje zpracovávat pouze tehdy, pokud mu to ukládá právo Unie nebo Slovenské republiky. Správce o tom předem informuje, pokud to dané právo nezakazuje (čl. 28 odst. 3 písm. a) GDPR).

3.4 Pokud je podle Zpracovatele pokyn v rozporu s GDPR nebo jinými předpisy o ochraně údajů, neprodleně o tom Správce informuje (čl. 28 odst. 3 druhý pododstavec GDPR). Provedení pokynu může pozastavit, dokud jej Správce nepotvrdí nebo nezmění.

Článek 4 – Povinnosti Zpracovatele

Zpracovatel:

1. zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti, pokud jim mlčenlivost neukládá zákon (čl. 28 odst. 3 písm. b) GDPR). K údajům Správce má přístup pouze jednatel Zpracovatele,
2. přijme technická a organizační opatření podle čl. 32 GDPR uvedená v Příloze B (čl. 28 odst. 3 písm. c) GDPR). Může je měnit, pokud tím úroveň ochrany neklesne,
3. do údajů Správce nahlíží pouze v nezbytném rozsahu, zejména při řešení požadavku podpory, hlášení chyby nebo bezpečnostního incidentu,
4. nepoužije údaje pro vlastní účely. Výjimkou jsou anonymizované a agregované statistiky, z nichž nelze identifikovat Správce ani fyzickou osobu,
5. vede záznamy o kategoriích činností zpracování, které provádí jménem Správce (čl. 30 odst. 2 GDPR),
6. spolupracuje se slovenským Úřadem na ochranu osobních údajů (Úrad na ochranu osobných údajov SR) (čl. 31 GDPR).

Článek 5 – Další zpracovatelé (subdodavatelé)

5.1 Správce uděluje Zpracovateli obecné písemné povolení zapojit další zpracovatele (čl. 28 odst. 2 GDPR). Seznam subdodavatelů ke dni účinnosti této smlouvy je v Příloze A a Správce s nimi souhlasí.

5.2 Zpracovatel uloží každému dalšímu zpracovateli smlouvou stejné povinnosti v oblasti ochrany údajů, jaké má podle této smlouvy. Jde zejména o povinnost přijmout vhodná technická a organizační opatření (čl. 28 odst. 4 GDPR). Pokud další zpracovatel své povinnosti nesplní, odpovídá Zpracovatel Správci v plném rozsahu za plnění jeho povinností (čl. 28 odst. 4 poslední věta GDPR).

5.3 O zamýšleném přidání nebo nahrazení subdodavatele Zpracovatel informuje Správce e-mailem na adresu Administrátora Účtu nejméně 14 dní předem. Aktuální seznam je vždy v Příloze A na efakturia.sk/spracuvanie-udajov.

5.4 Správce může proti změně vznést námitku do 14 dní od oznámení, a to e-mailem na gdpr@efakturia.sk a z odůvodněných důvodů týkajících se ochrany údajů. Strany se pokusí najít řešení. Pokud jej nenajdou, Správce může smlouvu o poskytování Služby vypovědět s okamžitou účinností a nevyčerpaný dobitý kredit mu bude vrácen podle čl. 7.9 VOP.

5.5 Někdy je třeba subdodavatele nahradit neprodleně, například kvůli jeho selhání, bezpečnostnímu incidentu nebo výmazu certifikovaného poskytovatele z evidence podle § 76a odst. 11 slovenského zákona o DPH. Tehdy Zpracovatel informuje Správce bez zbytečného odkladu po změně. Právo podle čl. 5.4 tím není dotčeno.

5.6 Za další zpracovatele se nepovažují:

1. poskytovatelé doručovací služby příjemců (jiné přístupové body sítě Peppol), kterým se doklad doručuje na pokyn Správce. Správce je určuje volbou adresáta,
2. Finanční ředitelství SR, které přijímá údaje na základě zákona jako samostatný správce,
3. certifikovaný poskytovatel doručovací služby a Enable Banking Oy v rozsahu, v jakém plní vlastní zákonné povinnosti (§ 76a odst. 2 slovenského zákona o DPH, resp. povinnosti licencovaného poskytovatele platebních služeb). V tomto rozsahu jsou samostatnými správci.

Článek 6 – Předávání do třetích zemí

6.1 Zpracovatel a jeho subdodavatelé z Přílohy A zpracovávají údaje výhradně v Evropské unii.

6.2 Pokud Správce zašle doklad příjemci, jehož poskytovatel doručovací služby působí mimo Evropský hospodářský prostor, předání se uskuteční na jeho pokyn. Za soulad takového předání s kapitolou V GDPR odpovídá Správce.

6.3 Jiné předání mimo EHP provede Zpracovatel pouze po oznámení podle čl. 5.3 a při zajištění záruk podle čl. 44 až 46 GDPR.

Článek 7 – Porušení zabezpečení osobních údajů

7.1 Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozvěděl (čl. 33 odst. 2 GDPR), nejpozději do 48 hodin. Ohlášení zašle e-mailem na adresu Administrátora Účtu.

7.2 Ohlášení obsahuje, pokud jsou tyto informace známy (čl. 33 odst. 3 GDPR):

1. povahu porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů,
2. kontaktní údaje,
3. pravděpodobné důsledky,
4. přijatá nebo navrhovaná opatření k nápravě a ke zmírnění důsledků.

Informace, které ještě nejsou známy, Zpracovatel doplní postupně bez dalšího zbytečného odkladu.

7.3 Ohlášení porušení slovenskému Úřadu na ochranu osobních údajů (Úrad na ochranu osobných údajov SR) do 72 hodin (čl. 33 odst. 1 GDPR) a oznámení subjektům údajů (čl. 34 GDPR) je povinností Správce. Zpracovatel mu při tom poskytne součinnost.

7.4 Pokud porušení postihne více Správců, může je Zpracovatel informovat hromadně. Každý obdrží informace, které se týkají jeho Účtu.

Článek 8 – Součinnost při výkonu práv subjektů údajů a plnění povinností Správce

8.1 Žádost subjektu údajů, která se týká údajů Správce, Zpracovatel postoupí Správci do 5 pracovních dní. Věcně na ni sám neodpoví, subjektu údajů pouze sdělí, komu žádost postoupil.

8.2 Většinu práv subjektů údajů může Správce vyřídit sám přímo ve Službě: zobrazit, opravit, exportovat nebo vymazat kontakt či doklad. Pokud to nejde, Zpracovatel mu poskytne přiměřenou technickou součinnost (čl. 28 odst. 3 písm. e) GDPR).

8.3 Zpracovatel poskytne Správci součinnost také při plnění povinností podle čl. 32 až 36 GDPR, tedy při zabezpečení, ohlašování porušení, posouzení vlivu a předchozí konzultaci. Zohlední přitom povahu zpracování a informace, které má k dispozici (čl. 28 odst. 3 písm. f) GDPR).

8.4 Součinnost podle tohoto článku je bezplatná. Pokud by byl požadavek zjevně nepřiměřený nebo by se opakoval, Zpracovatel může po předchozím oznámení požadovat přiměřenou náhradu nákladů. Součinnost při porušení zabezpečení údajů, které způsobil Zpracovatel, je vždy bezplatná.

Článek 9 – Prokazování souladu a audit

9.1 Zpracovatel poskytne Správci na požádání informace potřebné k doložení splnění povinností podle čl. 28 GDPR, zejména aktuální popis technických a organizačních opatření a seznam subdodavatelů (čl. 28 odst. 3 písm. h) GDPR).

9.2 Pokud tyto informace nestačí, Správce může provést audit sám nebo prostřednictvím auditora, který je vázán mlčenlivostí a není konkurentem Zpracovatele. Podmínky auditu:

1. oznámení nejméně 30 dní předem,
2. nejvýše jednou za 12 měsíců, s výjimkou auditu po porušení zabezpečení údajů nebo na výzvu dozorového úřadu,
3. audit nesmí ohrozit bezpečnost ani údaje jiných zákazníků,
4. náklady auditu nese Správce.

Článek 10 – Ukončení zpracování: vrácení a výmaz

10.1 Vrácení osobních údajů (čl. 28 odst. 3 písm. g) GDPR) zajišťuje export. Správce si může po dobu trvání smlouvy kdykoli exportovat všechny doklady a údaje: export ZIP a CSV, balíček pro účetního a jednotlivé doklady v PDF, UBL 2.1 a ISDOC. Po zrušení Účtu export není dostupný. Správce si jej proto provede před zrušením Účtu, na což jej Služba upozorní (čl. 12.4 VOP).

10.2 Do 30 dní od skončení smlouvy Zpracovatel osobní údaje Správce vymaže. Kopie v zálohách zaniknou nejpozději po dalších 14 dnech v rámci automatického cyklu záloh. Do té doby se zálohy používají pouze k obnově po havárii.

10.3 Doklady Správce nejsou účetními doklady Zpracovatele a Zpracovatel je po skončení smlouvy neuchovává. Archivovat je je povinností Správce (§ 35 slovenského zákona č. 431/2002 Z. z. o účetnictví, § 85o odst. 15 slovenského zákona o DPH).

10.4 Na žádost Zpracovatel potvrdí výmaz e-mailem.

Článek 11 – Odpovědnost

11.1 Odpovědnost vůči subjektům údajů se řídí čl. 82 GDPR. Zpracovatel odpovídá za škodu způsobenou zpracováním pouze tehdy, pokud:

• nesplnil povinnosti, které GDPR ukládá výslovně zpracovatelům, nebo
• jednal nad rámec zákonných pokynů Správce nebo v rozporu s nimi (čl. 82 odst. 2 GDPR).

11.2 Ve vztahu mezi smluvními stranami se použije čl. 11 VOP. Neomezuje však nároky subjektů údajů ani práva stran podle čl. 82 odst. 4 a 5 GDPR.

Článek 12 – Povinnosti Správce

Správce:

1. odpovídá za to, že pro zpracování osobních údajů, které do Služby zadá, má právní základ podle čl. 6 GDPR a že subjekty údajů informoval podle čl. 13 a 14 GDPR,
2. dává pouze pokyny v souladu s právními předpisy,
3. odpovídá za správnost adres a příjemců, které zadá (odběratel, účetní, webhook, sdílený odkaz),
4. bez zbytečného odkladu oznámí Zpracovateli porušení zabezpečení údajů v souvislosti se Službou, pokud jej zjistí (např. únik hesla Uživatele).

Článek 13 – Závěrečná ustanovení

13.1 Tato smlouva trvá, dokud trvá smlouva o poskytování Služby a dokud Zpracovatel zpracovává údaje Správce (čl. 10).

13.2 Změny této smlouvy se provádějí postupem podle čl. 15 VOP, změna seznamu subdodavatelů postupem podle čl. 5.3 a 5.4. Změna Přílohy B, která nesnižuje úroveň ochrany, oznámení nevyžaduje.

13.3 Tato smlouva se řídí GDPR, slovenským zákonem č. 18/2018 Z. z. o ochraně osobních údajů a ostatními předpisy Slovenské republiky. Pokud je některé její ustanovení v rozporu s GDPR, použije se GDPR.

Příloha A – Seznam dalších zpracovatelů (subdodavatelů)

Stav k 10. říjnu 2026:

Příloha B – Technická a organizační opatření (čl. 32 GDPR)

B.1 Šifrování

• Veškerá komunikace se Službou (web, API, webhooky na HTTPS adresy) probíhá prostřednictvím TLS (HTTPS).
• Hesla Uživatelů se ukládají pouze jako otisk (bcrypt).
• Šifrovací klíče a přístupová hesla k systémům jsou uložena mimo databázi a mimo zálohy.
• Zálohy se na záložní server přenášejí šifrovaným VPN tunelem (WireGuard).
• Webhooky jsou podepsány HMAC-SHA256 (hlavička „X-Webhook-Signature“ ve tvaru „sha256=…“). Tajný klíč se Správci zobrazí pouze při vytvoření webhooku.

B.2 Řízení přístupu

• Přihlášení heslem, volitelně také dvoufaktorové ověření (2FA) a přístupové klíče (passkeys, WebAuthn).
• Role v týmu (Administrátor, Fakturant, Pouze čtení) omezují, co Uživatel v Účtu vidí a smí dělat. API klíče, webhooky a nastavení pro účetního spravuje pouze Administrátor.
• API klíče jsou vázány na Účet a lze je zneplatnit. Limit je 10 000 požadavků za kalendářní měsíc na jeden klíč, nad ním API požadavky odmítá.
• Administrace Služby je přístupná pouze prostřednictvím jediného administrátorského účtu jednatele Zpracovatele.
• Administrace poštovního a záložního serveru je dostupná pouze přes VPN (WireGuard).
• Soubory záloh mají přístupová práva pouze pro vlastníka.
• Sdílený odkaz na doklad může Správce kdykoli zrušit a přestane fungovat okamžitě.

B.3 Oddělení údajů

• Údaje jednotlivých Správců jsou ve Službě logicky odděleny podle Účtu.

B.4 Dostupnost, zálohy a obnova

• Celá databáze se denně zálohuje (ve 3:30), včetně příloh faktur uložených v databázi.
• Zálohy se uchovávají 14 dní na produkčním serveru (Contabo, Francie) a jejich kopie na serveru Zpracovatele na infrastruktuře Hetzner Online GmbH (Německo). Po 14 dnech se automaticky mažou.

B.5 Záznamy

• Provozní a přístupové záznamy (logy) se uchovávají 12 měsíců.

B.6 Bezpečnost aplikace

• Ochrana proti útokům CSRF, validace vstupů na straně serveru a pravidelné bezpečnostní aktualizace.

B.7 Organizační opatření

• K osobním údajům má přístup pouze jednatel Zpracovatele, který je vázán mlčenlivostí.
• Bezpečnostní incidenty se řeší a ohlašují postupem podle čl. 7.
• Zpracovatel vede záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR.
• Se subdodavateli se uzavírají smlouvy podle čl. 28 odst. 4 GDPR.

B.8 Výmaz

• Export před zrušením Účtu (po zrušení není dostupný), poté výmaz do 30 dní od skončení smlouvy a zánik v zálohách do dalších 14 dní.