Smlouva o zpracování osobních údajů

Příloha č. 1 obchodních podmínek služby „solární kalkulačka", uzavřená podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR).

Verze 1.0, účinná od 21. 8. 2026.

Tato smlouva se uzavírá spolu s obchodními podmínkami, tedy potvrzením objednávky nebo úhradou zálohové faktury. Podpis se nevyžaduje: čl. 28 odst. 9 GDPR výslovně připouští elektronickou formu. Požádá-li správce o podepsané vyhotovení, zpracovatel mu je poskytne.

Smluvní strany

Správce: klient uvedený v objednávce nebo v přijaté nabídce (dále jen „správce").

Zpracovatel: David Bárta, IČO 23350938, se sídlem Na Vršku 209, 251 66 Hrusice, zapsaný v živnostenském rejstříku, neplátce DPH (dále jen „zpracovatel").

1. Předmět a povaha zpracování

Zpracovatel poskytuje správci kalkulačku návratnosti fotovoltaiky, kterou správce vkládá na svůj web. Kalkulačka shromažďuje od návštěvníků webu správce poptávkové údaje, ukládá je a odesílá správci e-mailem.

Zpracovatel zpracovává osobní údaje výhradně na základě doložených pokynů správce. Uzavření této smlouvy a užívání služby se považuje za takový pokyn v rozsahu popsaném níže. Zpracovatel osobní údaje nepoužívá pro vlastní účely, nepředává je dalším správcům ani je nezpřístupňuje jiným klientům.

Zpracovatel nezpracovává zvláštní kategorie osobních údajů podle čl. 9 GDPR a služba k jejich zadání nevyzývá. Správce se zavazuje takové údaje ke zpracování nepředávat ani k němu nedávat pokyn.

Správce odpovídá za to, že má pro zpracování právní základ a že jeho pokyny jsou v souladu s předpisy o ochraně osobních údajů.

2. Doba zpracování

Zpracování trvá po dobu účinnosti smlouvy o poskytování služby a dále po dobu nezbytnou ke splnění povinností podle článku 9 této smlouvy.

3. Kategorie subjektů údajů

Návštěvníci webu správce, kteří v kalkulačce odešlou poptávkový formulář — zpravidla vlastníci nemovitostí se zájmem o fotovoltaiku.

4. Kategorie osobních údajů

Zpracovatel zpracovává tyto údaje, které návštěvník sám zadá:

• jméno a příjmení,
• e-mailová adresa,
• telefonní číslo,
• adresa nemovitosti a její zeměpisné souřadnice,
• nepovinná textová poznámka (její obsah určuje výhradně návštěvník),
• údaje o spotřebě elektřiny a parametrech střechy a výsledek výpočtu,
• záznam o uděleném souhlasu: čas, přesné znění, označení správce a odkaz na zásady zpracování platné v okamžiku odeslání.

Dále zpracovatel omezuje počet požadavků z jedné síťové adresy, aby službu ochránil před zneužitím. IP adresa se neukládá. Ukládá se pouze její otisk vytvořený funkcí HMAC-SHA256 s tajným klíčem, který zpětné zjištění adresy neumožňuje. Otisky se automaticky mažou po 24 hodinách a nejsou spojovány s poptávkami.

5. Povinnosti zpracovatele

Zpracovatel se zavazuje, že:

• zpracovává osobní údaje pouze na doložené pokyny správce, včetně pokynů k předání do třetí země; pokud je k předání povinen podle práva EU nebo členského státu, správce o tom předem informuje, nezakazuje-li to takové právo z důvodu veřejného zájmu;
• zaváže k mlčenlivosti každou osobu, která má k údajům přístup; k údajům má dnes přístup pouze zpracovatel osobně;
• zavede a udržuje vhodná technická a organizační opatření podle čl. 32 GDPR (viz článek 6);
• zapojí dalšího zpracovatele pouze za podmínek podle článku 7;
• pomáhá správci vhodnými opatřeními při plnění povinnosti reagovat na žádosti subjektů údajů (článek 8);
• pomáhá správci při zajišťování souladu s čl. 32 až 36 GDPR, zejména při ohlašování porušení zabezpečení (článek 8);
• po ukončení služby naloží s údaji podle článku 9;
• poskytne správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR a umožní audit podle článku 10.

Má-li zpracovatel za to, že určitý pokyn správce porušuje GDPR nebo jiný předpis o ochraně osobních údajů, neprodleně na to správce upozorní. Do vyjasnění není povinen takový pokyn provést.

6. Technická a organizační opatření

• veškerá komunikace probíhá výhradně přes HTTPS,
• databáze je přístupná pouze aplikaci, přes šifrované spojení a se samostatným přístupovým údajem,
• administrační rozhraní je chráněno heslem uloženým jako otisk (scrypt) a relací s omezenou platností,
• formulář je chráněn proti automatizovanému zneužití (skrytá kontrolní položka, minimální doba vyplnění, limity počtu požadavků),
• kalkulačku smí do rámu vložit pouze doména, kterou správce určil; ostatním weby je vložení zakázáno hlavičkou `Content-Security-Policy`,
• přístupové údaje k prostředí jsou uloženy odděleně od zdrojového kódu a nejsou součástí repozitáře.

7. Další zpracovatelé

Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele uvedené níže. Zpracovatel je o každé zamýšlené změně informuje předem (alespoň 30 dnů) a správce může proti změně vznést námitku; v takovém případě může kteroukoli stranu smlouvu vypovědět s okamžitou účinností.

Každému dalšímu zpracovateli zpracovatel smluvně uloží stejné povinnosti ochrany údajů, jaké má sám podle této smlouvy. Neplní-li další zpracovatel své povinnosti, odpovídá správci za jeho plnění zpracovatel v plném rozsahu.

Předání do třetí země. Odesílání e-mailů zajišťuje společnost Plus Five Five, Inc. se sídlem 2261 Market Street #5039, San Francisco, CA 94114, USA, která zpracovává údaje ve Spojených státech. Předání je zajištěno standardními smluvními doložkami Evropské komise (moduly 1, 2 a 3), které jsou součástí jejího zpracovatelského dodatku, a společnost je současně certifikována v rámci EU-U.S. Data Privacy Framework. Do e-mailu vstupují jméno, e-mail, telefon, adresa nemovitosti a výsledek výpočtu.

Ostatní zpracování probíhá v Evropské unii.

Zeměpisné souřadnice nemovitosti a parametry střechy se dále předávají službě PVGIS provozované Společným výzkumným střediskem Evropské komise za účelem výpočtu výroby. Nepředávají se žádné identifikační údaje návštěvníka.

8. Součinnost

Práva subjektů údajů. Obrátí-li se subjekt údajů přímo na zpracovatele, zpracovatel jej odkáže na správce a bez zbytečného odkladu správce informuje. Na písemnou žádost správce zpracovatel do 5 pracovních dnů poskytne výpis uložených údajů, opraví je nebo je vymaže.

Porušení zabezpečení. Zjistí-li zpracovatel porušení zabezpečení osobních údajů, ohlásí je správci bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy se o něm dozvěděl, spolu s popisem povahy porušení, dotčených kategorií a přibližného počtu subjektů údajů, pravděpodobných důsledků a přijatých opatření. Ohlášení dozorovému úřadu podle čl. 33 GDPR činí správce.

9. Osud údajů po ukončení

Do 30 dnů od ukončení služby zpracovatel podle volby správce údaje předá ve strojově čitelném formátu (CSV nebo JSON), nebo je vymaže. Neurčí-li správce do 30 dnů jinak, zpracovatel údaje vymaže. Vymazání se vztahuje i na zálohy, a to nejpozději při jejich pravidelné obměně.

Odeslané e-maily zůstávají ve schránce správce a nejsou pod kontrolou zpracovatele.

Předání i výmaz provádí zpracovatel jediným příkazem určeným k tomuto účelu; výmaz vyžaduje výslovné potvrzení, aby jej nebylo možné provést omylem.

10. Audit

Zpracovatel na žádost správce poskytne informace potřebné k doložení plnění povinností podle čl. 28 GDPR. Správce je oprávněn provést audit nebo jej nechat provést pověřeným auditorem, a to nejvýše jednou ročně, na základě oznámení alespoň 30 dnů předem a v pracovní době, přičemž nesmí být narušen provoz služby ani zpřístupněny údaje jiných klientů. Náklady auditu nese správce, ledaže audit odhalí podstatné porušení této smlouvy.

11. Závěrečná ujednání

Tato smlouva se řídí právem České republiky. Je nedílnou součástí smlouvy o poskytování služby a zaniká spolu s ní. Změny vyžadují písemnou formu; za písemnou formu se považuje i e-mail.

Zpracovatel uchovává předchozí verze a na žádost správce sdělí, které znění bylo v konkrétní den účinné.