dossie · účinné od 3. 11. 2026

Zpracovatelská smlouva

Smlouva o zpracování osobních údajů mezi salonem jako správcem a provozovatelem dossie jako zpracovatelem. Je součástí obchodních podmínek a salon ji přijímá registrací.

Jak smlouva vzniká

1. Smluvními stranami jsou zákazník podle obchodních podmínek jako správce a Vojtěch Barnet, IČO 24546976, jako zpracovatel.
2. Strany sjednávají standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/915 ze dne 4. června 2021, které jsou níže v plném znění. Kde doložky nabízejí možnosti, je zvolena možnost pro nařízení (EU) 2016/679. U doložky 7.7 je zvolena možnost 2, obecné písemné povolení, s lhůtou 30 dní.
3. Správce k doložkám přistupuje elektronickým souhlasem při registraci. Datem přistoupení je okamžik tohoto souhlasu, který zpracovatel uchovává u registrace.
4. V případě rozporu mezi doložkami a obchodními podmínkami mají přednost doložky.

Standardní smluvní doložky

Oddíl I

Doložka 1 – Účel a oblast působnosti

1. a) Účelem těchto standardních smluvních doložek (dále jen „doložky“) je zajistit soulad s ustanoveními čl. 28 odst. 3 a 4 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).
2. b) Správci a zpracovatelé uvedení v příloze I schválili tyto doložky, aby zajistili soulad s čl. 28 odst. 3 a 4 nařízení (EU) 2016/679 a/nebo čl. 29 odst. 3 a 4 nařízení (EU) 2018/1725.
3. c) Tyto doložky se uplatňují na zpracování osobních údajů, jak je upřesněno v příloze II.
4. d) Přílohy I až IV jsou nedílnou součástí těchto doložek.
5. e) Těmito doložkami nejsou dotčeny povinnosti, které správce musí plnit na základě nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.
6. f) Tyto doložky samy o sobě nezajišťují soulad s povinnostmi týkajícími se mezinárodního předávání podle kapitoly V nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.

Doložka 2 – Neměnnost doložek

1. a) Smluvní strany se zavazují, že doložky nebudou měnit, s výjimkou doplňování nebo aktualizace informací v přílohách.
2. b) To stranám nebrání v možnosti zahrnout tyto standardní smluvní doložky stanovené v tomto rozhodnutí do širší smlouvy nebo k nim doplnit další doložky nebo další záruky, pokud tyto nejsou se standardními smluvními doložkami v přímém nebo nepřímém rozporu nebo pokud neomezují základní práva nebo svobody subjektů údajů.

Doložka 3 – Výklad

1. a) V případech, kdy tyto doložky používají pojmy definované v nařízení (EU) 2016/679 nebo nařízení (EU) 2018/1725, mají tyto pojmy stejný význam jako v uvedeném nařízení.
2. b) Tyto doložky jsou chápány a vykládány v souladu s ustanoveními nařízení (EU) 2016/679 nebo nařízení (EU) 2018/1725.
3. c) Tyto doložky nesmí být vykládány způsobem, který by byl v rozporu s právy a povinnostmi stanovenými v nařízení (EU) 2016/679 / nařízení (EU) 2018/1725, nebo který by omezoval základní práva nebo svobody subjektů údajů.

Doložka 4 – Hierarchie

V případě rozporu mezi těmito doložkami a ustanoveními souvisejících dohod existujících mezi stranami v době, kdy jsou tyto doložky sjednány, nebo dohod uzavřených později mají přednost tyto doložky.

Doložka 5 – Nepovinná doložka o přistoupení

Tato nepovinná doložka se nepoužije.

Oddíl II – Povinnosti stran

Doložka 6 – Popis zpracování

Podrobnosti týkající se operací zpracování, zejména kategorie osobních údajů a účely zpracování, pro něž jsou osobní údaje zpracovávány jménem správce, jsou uvedeny v příloze II.

Doložka 7 – Povinnosti stran

7.1 Pokyny

1. a) Zpracovatel zpracovává osobní údaje pouze na základě písemně doložených pokynů správce, pokud mu takové zpracování neukládá právo Unie nebo členského státu, které se na správce vztahuje. V tomto případě zpracovatel správce informuje o uvedeném právním požadavku před zpracováním, pokud to právní předpisy nezakazují z důvodů důležitého veřejného zájmu. Po celou dobu zpracování osobních údajů může správce rovněž vydávat další pokyny. Tyto pokyny musí být vždy písemně doloženy.
2. b) Zpracovatel neprodleně informuje správce v případě, že dle jeho názoru pokyny správce porušují nařízení (EU) 2016/679 / nařízení (EU) 2018/1725 nebo příslušná ustanovení Unie nebo členského státu o ochraně údajů.

7.2 Omezení účelu

Zpracovatel zpracovává osobní údaje pouze pro konkrétní účel nebo účely zpracování, jak je stanoveno v příloze II, pokud od správce neobdrží další pokyny.

7.3 Doba trvání zpracování osobních údajů

Zpracování zpracovatelem probíhá pouze po dobu stanovenou v příloze II.

7.4 Zabezpečení zpracování

1. a) Za účelem zajištění bezpečnosti osobních údajů musí zpracovatel zavést přinejmenším technická a organizační opatření uvedená v příloze III. Součástí těchto opatření musí být ochrana údajů před narušením bezpečnosti, které by vedlo k jejich náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému zpřístupnění nebo přístupu k nim (porušení zabezpečení osobních údajů). Při posuzování vhodné úrovně zabezpečení vezmou strany v úvahu aktuální stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování a rizika pro subjekty údajů.
2. b) Zpracovatel poskytne svým zaměstnancům přístup ke zpracovávaným osobním údajům pouze v rozsahu nezbytně nutném pro provádění, správu a kontrolu smlouvy. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat obdržené osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

7.5 Citlivé údaje

Pokud zpracování zahrnuje osobní údaje vypovídající o rasovém nebo etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické nebo biometrické údaje za účelem jedinečné identifikace fyzické osoby, údaje o zdravotním stavu nebo o sexuálním životě či sexuální orientaci dané osoby nebo údaje týkající se odsouzení v trestních věcech a trestných činů (dále jen „citlivé údaje“), uplatní zpracovatel zvláštní omezení nebo další záruky.

7.6 Dokumentace a soulad

1. a) Strany musí být schopny prokázat dodržování těchto doložek.
2. b) Zpracovatel neprodleně a odpovídajícím způsobem vyřídí dotazy správce, které se týkají zpracovávání podle těchto doložek.
3. c) Zpracovatel poskytne správci veškeré informace potřebné k prokázání souladu s povinnostmi stanovenými v těchto doložkách, které vyplývají přímo z nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725. Zpracovatel též na žádost správce umožní audity činností zpracování, na něž se tyto doložky vztahují, a k těmto auditům přispěje, a to v přiměřených intervalech nebo pokud existují známky nesouladu. Při rozhodování o přezkumu nebo auditu může správce zohlednit příslušná osvědčení držená zpracovatelem.
4. d) Správce se může rozhodnout, zda audit provede sám, nebo jím pověří nezávislého auditora. Audity mohou rovněž zahrnovat kontroly v objektech a prostorách zařízení zpracovatele a případně jsou předem včas ohlášeny.
5. e) Strany na požádání zpřístupní informace uvedené v této doložce, včetně výsledků případných auditů, příslušnému dozorovému úřadu, respektive příslušným dozorovým úřadům.

7.7 Využívání dílčích zpracovatelů údajů

1. a) OBECNÉ PÍSEMNÉ POVOLENÍ: Zpracovatel má obecné povolení správce k zapojení dílčích zpracovatelů ze schváleného seznamu. Zpracovatel výslovně písemně informuje správce o všech zamýšlených změnách uvedeného seznamu přijetím nebo nahrazením dílčích zpracovatelů nejméně 30 dní předem, čímž poskytne správci dostatek času na to, aby mohl vznést námitku proti takovým změnám před zapojením dotčeného dílčího zpracovatele / dotčených dílčích zpracovatelů. Zpracovatel poskytne správci informace nezbytné k tomu, aby správce mohl uplatnit své právo vznést námitku.
2. b) Pokud zpracovatel zapojí dílčího zpracovatele do provádění konkrétních činností zpracování (jménem správce), učiní tak prostřednictvím smlouvy, která ukládá dílčímu zpracovateli v podstatě stejné povinnosti v oblasti ochrany údajů, jaké jsou v souladu s těmito doložkami uloženy zpracovateli údajů. Zpracovatel zajistí, aby dílčí zpracovatel plnil povinnosti, které se na zpracovatele vztahují podle těchto doložek a nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.
3. c) Zpracovatel poskytne správci na jeho žádost opis dohody s dílčím zpracovatelem a veškeré následné změny dohody. V rozsahu nutném k ochraně obchodního tajemství nebo jiných důvěrných informací, včetně osobních údajů, může zpracovatel před poskytnutím opisu text dohody upravit.
4. d) Zpracovatel nese vůči správci plnou odpovědnost za to, aby dílčí zpracovatel plnil povinností vyplývající z jeho smlouvy se zpracovatelem. Zpracovatel správce uvědomí, pokud dílčí zpracovatel neplní své povinnosti vyplývající z uvedené smlouvy.
5. e) Zpracovatel s dílčím zpracovatelem schválí doložku ve prospěch třetí strany, podle níž v případě, že zpracovatel fakticky zmizí, z právního hlediska zanikne, nebo se ocitne v platební neschopnosti, má správce právo ukončit smlouvu s dílčím zpracovatelem a pověřit dílčího zpracovatele, aby osobní údaje vymazal nebo vrátil.

7.8 Mezinárodní předávání údajů

1. a) Jakékoli předání údajů zpracovatelem do třetí země nebo mezinárodní organizaci se provádí pouze na základě písemně doložených pokynů správce nebo za účelem splnění konkrétního požadavku podle právních předpisů Unie nebo členského státu, které se na zpracovatele vztahují, a to v souladu s kapitolou V nařízení (EU) 2016/679 nebo nařízení (EU) 2018/1725.
2. b) Správce souhlasí s tím, že pokud zpracovatel v souladu s doložkou 7.7 zapojí dílčího zpracovatele do provádění konkrétních činností zpracováním (jménem správce) a uvedené činnosti zahrnují předání osobních údajů ve smyslu kapitoly V nařízení (EU) 2016/679, mohou zpracovatel a dílčí zpracovatel zajistit soulad s ustanoveními kapitoly V nařízení (EU) 2016/679 použitím standardních smluvních doložek přijatých Komisí v souladu s čl. 46 odst. 2 nařízení (EU) 2016/679, pokud jsou splněny standardní podmínky pro použití těchto smluvních doložek.

Doložka 8 – Pomoc poskytovaná správci

1. a) Zpracovatel neprodleně informuje správce o každé žádosti, kterou obdržel od subjektu údajů. Na tuto žádost neodpovídá sám, pokud k tomu není správcem zmocněn.
2. b) Zpracovatel pomáhá správci při plnění jeho povinností reagovat na žádosti subjektů údajů o výkon jejich práv s přihlédnutím k povaze zpracování. Při plnění svých povinností podle ustanovení písmen a) a b) postupuje zpracovatel v souladu s pokyny správce.
3. c) Kromě toho, že má zpracovatel povinnost pomáhat správci podle doložky 8 písm. b), zpracovatel správci dále pomáhá při zajišťování plnění následujících povinností, a to s přihlédnutím k povaze zpracování údajů a informacím, které má zpracovatel k dispozici:
   1. povinnost provést posouzení dopadu zamýšlených operací zpracování na ochranu osobních údajů (dále jen „posouzení vlivu na ochranu údajů“), pokud je pravděpodobné, že určitý druh zpracování bude mít za následek vysoké riziko pro práva a svobody fyzických osob;
   2. povinnost konzultovat před zpracováním příslušný dozorový úřad, respektive příslušné dozorové úřady, pokud z posouzení vlivu na ochranu osobních údajů vyplývá, že by dané zpracování mělo za následek vysoké riziko v případě, že by správce nepřijal opatření ke zmírnění tohoto rizika;
   3. povinnost zajistit, aby byly osobní údaje přesné a aktuální, a to tím, že zpracovatel správce neprodleně informuje, pokud se dozví, že osobní údaje, které zpracovává, jsou nepřesné nebo zastaralé;
   4. povinnosti podle článku 32 nařízení (EU) 2016/679.
4. d) V příloze III strany stanoví vhodná technická a organizační opatření, jimiž je zpracovatel povinen správci pomáhat při uplatňování této doložky, jakož i oblast působnosti a rozsah požadované pomoci.

Doložka 9 – Ohlašování případů porušení zabezpečení osobních údajů

V případě porušení zabezpečení osobních údajů zpracovatel spolupracuje se správcem a pomáhá mu při plnění jeho povinností podle článků 33 a 34 nařízení (EU) 2016/679 nebo případně podle článků 34 a 35 nařízení (EU) 2018/1725, přičemž zohlední povahu zpracování a informace, které má zpracovatel k dispozici.

9.1 Porušení zabezpečení údajů zpracovávaných správcem

V případě porušení zabezpečení osobních údajů zpracovávaných správcem zpracovatel napomáhá správci:

1. a) při ohlašování případů porušení zabezpečení osobních údajů příslušnému dozorovému úřadu, respektive příslušným dozorovým úřadům, a to bez zbytečného odkladu poté, co se o něm správce dozvěděl, je-li to relevantní / (pokud je nepravděpodobné, že by porušení zabezpečení osobních údajů vedlo k ohrožení práv a svobod fyzických osob);
2. b) při získávání následujících informací, které musí být podle čl. 33 odst. 3 nařízení (EU) 2016/679 uvedeny v oznámení správce, a to musí přinejmenším zahrnovat:
   1. povahu daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;
   2. pravděpodobné důsledky porušení zabezpečení osobních údajů;
   3. opatření přijatá nebo navržená k přijetí v souvislosti s porušením zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.
   Pokud není možné poskytnout všechny tyto informace najednou, musí původní oznámení obsahovat informace, které jsou v dané době k dispozici, a další informace jsou poté poskytnuty bez zbytečného odkladu, jakmile jsou dostupné.
3. c) při plnění povinnosti v souladu s článkem 34 nařízení (EU) 2016/679 oznámit bez zbytečného odkladu subjektu údajů porušení zabezpečení osobních údajů, pokud je pravděpodobné, že dané porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob.

9.2 Porušení zabezpečení údajů zpracovávaných zpracovatelem

V případě porušení zabezpečení osobních údajů zpracovávaných zpracovatelem o tom zpracovatel informuje správce bez zbytečného odkladu poté, co se o tomto porušení dozvěděl. Takové oznámení obsahuje alespoň:

1. a) popis povahy daného případu porušení (včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a záznamů údajů);
2. b) údaje o kontaktním místě, kde lze získat více informací o daném porušení zabezpečení osobních údajů;
3. c) pravděpodobné důsledky a opatření přijatá nebo navržená k přijetí v souvislosti s porušením zabezpečení, a to včetně opatření ke zmírnění možných nepříznivých dopadů.

Pokud není možné poskytnout všechny tyto informace najednou, musí původní oznámení obsahovat informace, které jsou v dané době k dispozici, a další informace jsou poté poskytnuty bez zbytečného odkladu, jakmile jsou dostupné.

Strany stanoví v příloze III všechny další informace, které má zpracovatel poskytnout, když správci poskytuje pomoc při plnění povinností správce podle článků 33 a 34 nařízení (EU) 2016/679.

Oddíl III – Závěrečná ustanovení

Doložka 10 – Porušení doložek a ukončení smlouvy

1. a) Aniž jsou dotčena jakákoli ustanovení nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725, pokud zpracovatel poruší své povinnosti podle těchto doložek, může mu správce nařídit, aby pozastavil zpracovávání osobních údajů, dokud zpracovatel nebude plnit povinnosti podle těchto doložek, nebo dokud nebude smlouva vypovězena. Zpracovatel neprodleně informuje správce v případě, že z jakéhokoli důvodu není schopen plnit ustanovení těchto doložek.
2. b) Správce je oprávněn vypovědět smlouvu v rozsahu, v němž se týká zpracování osobních údajů v souladu s těmito doložkami, pokud:
   1. správce pozastavil podle písmene a) zpracovávání osobních údajů zpracovatelem a plnění povinností podle těchto doložek není obnoveno v přiměřené lhůtě a v každém případě do jednoho měsíce od pozastavení;
   2. zpracovatel závažně nebo trvale porušuje tyto doložky nebo povinnosti, které pro něj vyplývají z nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725;
   3. zpracovatel neplní závazné rozhodnutí příslušného soudu nebo příslušného dozorového úřadu, respektive příslušných dozorových úřadů týkající se jeho povinností vyplývající z těchto doložek nebo z nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.
3. c) Zpracovatel je oprávněn vypovědět smlouvu v rozsahu, v němž se týká zpracování osobních údajů podle těchto doložek, pokud poté, co informoval správce o tom, že pokyny správce porušují platné právní požadavky podle doložky 7.1 písm. b), správce na splnění těchto pokynů trvá.
4. d) Po ukončení smlouvy zpracovatel podle volby správce vymaže veškeré osobní údaje zpracovávané jménem správce a potvrdí správci, že tak učinil, nebo vrátí veškeré osobní údaje správci a vymaže stávající kopie, pokud právo Unie nebo členského státu nepožaduje uchovávání osobních údajů. Dokud nejsou osobní údaje vymazány nebo vráceny, zpracovatel nadále zajišťuje dodržování souladu s těmito doložkami.

Příloha I – Seznam stran

Správce

• Jméno/název: zákazník, tedy salon uvedený při registraci (název salonu a jméno osoby, která registraci provedla).
• Adresa a kontaktní osoba: údaje zadané při registraci a e-mail registrujícího.
• Podpis a datum přistoupení k doložkám: elektronický souhlas při registraci a jeho okamžik.

Zpracovatel

• Jméno/název: Vojtěch Barnet, IČO 24546976, fyzická osoba podnikající podle živnostenského zákona.
• Adresa: místo podnikání zapsané v živnostenském rejstříku pod uvedeným IČO.
• Kontaktní osoba: Vojtěch Barnet, provozovatel, info@dossie.eu.
• Podpis a datum přistoupení k doložkám: zveřejnění doložek a přijetí registrace zákazníka.

Příloha II – Popis zpracování

Kategorie subjektů údajů

• Klientky a klienti správce.
• Uživatelé, kterým správce ve službě založil přístup (zaměstnanci a spolupracovníci salonu).

Kategorie zpracovávaných osobních údajů

• U klientek: jméno, příjmení, telefon, adresa, poznámka a vlastnosti, které si správce sám definuje (například typ pleti).
• U návštěv: datum a čas, kdo návštěvu provádí, služby, použité produkty, účtovaná částka, poznámka.
• U uživatelů: jméno, e-mail, role ve službě a záznamy o jejich akcích v auditním logu.
• Výdaje salonu: datum, částka, popis a kategorie.

Zpracovávané citlivé údaje a použité záruky

Údaje o zdravotním stavu klientek, které správce zapíše, zejména alergie a stav pleti, případně v poznámkách. Záruky:

• Přístup mají jen uživatelé správce. Pravidla přístupu vynucuje přímo databáze, ne jen aplikace.
• Zpracovatel do kartotéky z aplikace nevidí. Databázi spravuje jen on sám, a to kvůli údržbě a řešení chyb.
• Auditní log neobsahuje jména ani zdravotní údaje, jen interní identifikátory.
• Modelu umělé inteligence se předává jen věta, kterou uživatel sám asistentovi napíše nebo nadiktuje, a několik předchozích řádků téhož rozhovoru. Kartotéka se modelu nepředává.
• Zvuk diktování se neukládá.

Povaha zpracování

Uložení, zobrazení, vyhledání, úprava, archivace a výmaz údajů ve webové aplikaci, jejich zálohování a rozbor textu zadaného asistentovi modelem umělé inteligence.

Účel zpracování

Poskytování služby dossie správci: vedení kalendáře rezervací, kartotéky klientek, katalogu služeb a produktů, evidence výdajů a provoz asistenta.

Doba trvání zpracování

Po dobu trvání smlouvy a dále nejvýše 90 dní po jejím skončení nebo po konci zkušebního týdne, po kterém správce nezaplatil. Ze záloh se údaje vymažou s jejich pravidelnou obměnou. Smazaný termín nebo výdaj je 30 dní v koši, odkud ho správce může vrátit, a v databázi zůstane. Klient, služba a produkt se nemažou, jen se schovají.

Zpracování dílčími zpracovateli

Předmět a povaha zpracování u každého dílčího zpracovatele jsou uvedeny v příloze IV. Doba trvání je shodná s dobou zpracování výše.

Příloha III – Technická a organizační opatření

• Oddělení správců: každý záznam nese příslušnost k salonu a databáze vynucuje, že uživatel vidí jen data svého salonu (Row Level Security). Vazby mezi záznamy různých salonů databáze nedovolí.
• Oprávnění podle rolí: správce salonu vidí kalendáře všech uživatelů a výdaje, ostatní uživatelé jen své rezervace a společnou kartotéku.
• Identifikace uživatelů: přihlášení e-mailem a heslem, hesla jsou uložena jen jako hash. Přihlášení a registrace jsou chráněny proti robotům a omezením počtu pokusů.
• Ochrana při přenosu: veškerá komunikace probíhá šifrovaně přes HTTPS.
• Ochrana při uchovávání: data jsou uložena v datovém centru v EU (Irsko). Klíč s plným přístupem k databázi je jen na serveru, nikdy v prohlížeči.
• Dostupnost a obnova: zálohy databáze, které zpracovatel ukládá do úložiště Cloudflare, koš na 30 dní a kopie smazaného termínu a výdaje, které v databázi zůstávají do smazání dat zákazníka.
• Záznamy událostí: auditní log akcí v salonu bez osobních údajů.
• Minimalizace: zvuk se neukládá, modelu umělé inteligence se předává jen zadaná věta, žádná tabulka nemá veřejný přístup bez přihlášení.
• Omezené uchovávání a výmaz: výmaz dat nejpozději 90 dní po skončení smlouvy, na žádost správce i dříve. Klientku správce vymaže sám v koši, jinak se její údaje anonymizují po 30 dnech v koši. Zmizí identita a údaje o zdraví; data a částky návštěv zůstanou bez vazby na osobu.
• Pomoc správci: žádosti subjektů údajů, které zpracovatel dostane, předá správci bez odkladu. Na žádost správce dohledá, opraví, předá nebo vymaže údaje konkrétní klientky. Porušení zabezpečení oznámí správci e-mailem bez zbytečného odkladu, nejpozději do 48 hodin od zjištění.

Příloha IV – Seznam dílčích zpracovatelů

Správce povolil využití těchto dílčích zpracovatelů:

Rozpoznávání řeči při diktování neprovádí zpracovatel ani jeho dílčí zpracovatel, ale prohlížeč uživatele a jeho výrobce. Uživatel ho nemusí používat a může asistentovi psát.

Provozovatel: Vojtěch Barnet, IČO 24546976, fyzická osoba podnikající podle živnostenského zákona, neplátce DPH. Kontakt: info@dossie.eu.