Zpracovatelská smlouva

Verze 1.4, účinná od 27. 9. 2026

1. Strany a vznik

1.1. Správcem je zákazník služby Večírkovky, firma, která založila účet („správce“).

1.2. Zpracovatelem je Právo pro makléře, s.r.o., IČO 07548222, se sídlem Klicperova 1266/1, 500 03 Hradec Králové, zapsaná v obchodním rejstříku vedeném Krajským soudem v Hradci Králové, oddíl C, vložka 42593 („zpracovatel“).

1.3. Tato smlouva je nedílnou součástí Obchodních podmínek služby Večírkovky („VOP“). Uzavírá se spolu s nimi při registraci a plní požadavky čl. 28 odst. 3 nařízení (EU) 2016/679 („GDPR“).

1.4. Tato smlouva se týká jen osobních údajů kolegů správce, které zpracovatel zpracovává jménem správce. Údaje o zákazníkovi, hráčích a návštěvnících webu zpracovává zpracovatel jako samostatný správce podle Zásad ochrany osobních údajů.

2. Předmět, povaha a účel

2.1. Předmětem je zpracování osobních údajů kolegů správce za účelem přípravy a konání firemních her na akci správce.

2.2. Zpracování zahrnuje: uložení seznamu týmu, odeslání pozvánky a připomínek na stránku jmenovky, převzetí rozhodnutí kolegy o účasti, uložení portrétu a zajímavosti, sestavení her, zpřístupnění her účastníkům akce, zpřístupnění údajů do AI služby správce na jeho pokyn a výmaz.

2.3. Kategorie subjektů údajů a osobních údajů a doby uložení jsou v Příloze 1.

3. Doba trvání

3.1. Smlouva platí po dobu trvání smlouvy podle VOP a dále, dokud zpracovatel zpracovává údaje kolegů správce, včetně doby, po kterou údaje přetrvávají v zálohách.

4. Pokyny správce

4.1. Zpracovatel zpracovává osobní údaje jen na doložené pokyny správce. Pokyny jsou: tato smlouva, VOP, nastavení a úkony správce v účtu, v konfigurátoru a přes konektor.

4.2. Správce tímto dává pokyn, aby zpracovatel na žádost podanou přes konektor zpřístupnil údaje kolegů AI službě, kterou si správce vybral a připojil přihlášením OAuth. Zpřístupňují se jména, oddělení, stav souhlasu a příznak šéfa; e-maily jen na výslovné vyžádání. Zpřístupněním se AI služba stává příjemcem správce. Poskytovatel AI služby není subzpracovatelem zpracovatele. Za právní základ, smluvní zajištění a případné předání mimo EU u této AI služby odpovídá správce.

4.3. Zpracovatel správce bez zbytečného odkladu upozorní, pokud má za to, že pokyn porušuje GDPR nebo jiný předpis.

4.4. Zpracovatel nepoužije údaje kolegů k vlastním účelům. Kolegům nikdy neposílá obchodní sdělení.

5. Povinnosti správce

5.1. Správce odpovídá za to, že má pro zpracování právní základ, že kolegům poskytne informace podle čl. 13 GDPR (zpracovatel mu k tomu poskytuje text na stránce jmenovky) a že nevloží do služby zvláštní kategorie osobních údajů.

5.2. Správce vkládá jen údaje nezbytné pro hru. Nesmí se pokoušet zjistit, kteří kolegové účast odmítli.

6. Mlčenlivost

6.1. Zpracovatel zajistí, aby osoby oprávněné zpracovávat údaje byly vázány mlčenlivostí, smluvní nebo zákonnou. Mlčenlivost trvá i po skončení smlouvy.

7. Zabezpečení

7.1. Zpracovatel přijal technická a organizační opatření podle čl. 32 GDPR popsaná v Příloze 2. Opatření může měnit, pokud tím nesníží úroveň ochrany.

8. Subzpracovatelé

8.1. Správce dává obecný souhlas se zapojením subzpracovatelů. Aktuální seznam je v Příloze 3 a na vecirkovky.cz.

8.2. O zamýšleném přidání nebo výměně subzpracovatele zpracovatel správce informuje e-mailem nejméně 30 dní předem.

8.3. Správce může proti změně vznést odůvodněnou námitku do 14 dní od oznámení. Pokud se strany nedohodnou, může správce smlouvu podle VOP vypovědět ke dni účinnosti změny a zpracovatel mu vrátí cenu nevyužitých kreditů.

8.4. Zpracovatel ukládá subzpracovatelům stejné povinnosti ochrany údajů, jako má sám, a za jejich plnění odpovídá.

8.5. Předání mimo EHP u subzpracovatelů se řídí kapitolou V GDPR. Údaje kolegů v databázi, portréty a e-maily kolegům zůstávají v EU. Mimo EHP (v USA) může údaje zpracovávat jen Google, a to pouze u e-mailů, které správce nebo kolega sám pošle na adresu @vecirkovky.cz; předání se opírá o rozhodnutí o odpovídající ochraně (EU–US Data Privacy Framework, Google LLC je certifikována) a standardní smluvní doložky. Pro případný přístup mateřských společností ostatních subzpracovatelů mimo EU platí rozhodnutí o odpovídající ochraně (EU–US Data Privacy Framework) nebo standardní smluvní doložky.

9. Součinnost

9.1. Kolega může svou účast kdykoli změnit na stránce jmenovky. Pokud se kolega obrátí se žádostí přímo na zpracovatele, zpracovatel ji bez zbytečného odkladu předá správci, a pokud je to technicky jednoduché a v zájmu kolegy (například odmítnutí účasti nebo smazání portrétu), provede ji za správce a správce o tom informuje.

9.2. Zpracovatel poskytne správci přiměřenou součinnost při plnění povinností podle čl. 32 až 36 GDPR, s ohledem na povahu zpracování a informace, které má k dispozici.

10. Porušení zabezpečení

10.1. Zpracovatel ohlásí správci porušení zabezpečení osobních údajů kolegů bez zbytečného odkladu poté, co se o něm dozví, s cílem do 48 hodin. Ohlášení pošle na e-mail účtu správce.

10.2. Ohlášení obsahuje, co je v té chvíli známo: povahu porušení, kategorie a přibližný počet dotčených osob a záznamů, pravděpodobné důsledky a přijatá opatření. Další informace doplní průběžně.

10.3. Ohlášení dozorovému úřadu a kolegům je povinností správce. Zpracovatel mu s tím pomůže.

11. Výmaz a vrácení

11.1. Údaje kolegů a portréty se automaticky mažou 30 dní po datu akce, u akce bez data 180 dní po jejím založení. Výmaz se zapíše do auditního záznamu a odkazy na hru se zneplatní.

11.2. Správce může údaje smazat dříve, smazáním akce nebo zrušením účtu. Před výmazem si může vybrané údaje stáhnout, pokud to aplikace umožňuje, nebo o jejich vrácení požádat e-mailem.

11.3. Portréty se nezálohují. V zálohách databáze přetrvají ostatní údaje nejdéle po dobu retence záloh uvedenou v Příloze 1. Ze záloh se údaje neobnovují, ledaže jde o obnovu celého systému po havárii; v takovém případě zpracovatel po obnově znovu provede výmaz.

11.4. Zpracovatel neuchovává kopie údajů kolegů po skončení smlouvy, ledaže to vyžaduje právní předpis.

12. Audit a informace

12.1. Zpracovatel poskytne správci na vyžádání informace potřebné k doložení plnění této smlouvy, především touto smlouvou, popisem opatření a seznamem subzpracovatelů.

12.2. Pokud tyto informace nestačí, umožní zpracovatel audit správcem nebo auditorem vázaným mlčenlivostí. Audit je nutno ohlásit 30 dní předem, provádí se nejvýše jednou za 12 měsíců (ledaže došlo k porušení zabezpečení nebo to nařídí dozorový úřad), v pracovní době a bez narušení provozu. Náklady auditu nese správce.

13. Odpovědnost

13.1. Každá strana odpovídá za škodu, kterou způsobí porušením této smlouvy nebo GDPR. Vůči sobě navzájem se strany řídí omezením odpovědnosti podle VOP.

13.2. Omezení se neuplatní na škodu způsobenou úmyslně nebo z hrubé nedbalosti ani na odpovědnost vůči subjektům údajů podle čl. 82 GDPR.

14. Závěrečná ustanovení

14.1. Při rozporu mezi touto smlouvou a VOP má ve věcech osobních údajů přednost tato smlouva.

14.2. Změny této smlouvy se řídí pravidly pro změnu VOP.

Příloha 1: Subjekty, údaje a doby uložení

Subjekty údajů: zaměstnanci a další spolupracovníci správce, které správce vloží do týmu akce („kolegové“).

Originál fotografie zpracovatel nikdy nezískává; zůstává v zařízení kolegy.

Zvláštní kategorie osobních údajů se nezpracovávají. Server odmítá texty s citlivými tématy.

Příloha 2: Technická a organizační opatření

Příloha 3: Subzpracovatelé

Poskytovatelé AI služeb, které si správce připojí (například Anthropic nebo OpenAI), nejsou subzpracovateli zpracovatele (článek 4.2).