Smlouva o zpracování osobních údajů (DPA)
1. Smluvní strany
Správce (objednatel služby, zákazník):
- Název / označení: [doplní škola]
- Sídlo: [doplní škola]
- IČO: [doplní škola]
- Zastoupený: [doplní škola — jméno a funkce statutárního orgánu, typicky ředitel/ka školy nebo starosta zřizovatele]
- Kontaktní e-mail pro účely této smlouvy: [doplní škola]
(dále jen „Správce")
Zpracovatel (poskytovatel služby):
- Obchodní firma: Digifox s. r. o.
- Sídlo: Trávníky 322/7, 691 52 Kostice
- IČO: 23894865
- Spisová značka: C 148025 vedená u Krajského soudu v Brně
- Zastoupený: Martinem Uhlířem, jednatelem
- Kontaktní e-mail pro účely této smlouvy: info@webproskolu.cz
(dále jen „Zpracovatel")
Správce a Zpracovatel uzavírají tuto smlouvu o zpracování osobních údajů (dále jen „DPA") jako neoddělitelnou součást Obchodních podmínek a smluvního vztahu vzniklého na základě objednávky služby webproskolu.cz (provoz webových stránek školy, dále jen „Služba").
2. Předmět a účel zpracování
Předmětem této DPA je úprava práv a povinností smluvních stran při zpracování osobních údajů, ke kterému dochází v souvislosti s provozováním Služby. Zpracovatel se zavazuje zpracovávat osobní údaje výlučně pro Správce, jeho jménem, na základě jeho doložených pokynů a v rozsahu nezbytném pro řádné poskytování Služby.
Účelem zpracování je provoz a údržba webových stránek Správce — tedy zejména: hosting obsahu (texty, fotografie, dokumenty publikované Správcem), provoz redakčního rozhraní pro správu obsahu, zasílání transakčních e-mailů (např. potvrzení odeslání kontaktního formuláře, notifikace učitelům), zálohování dat a technická podpora.
Povahou zpracování je především ukládání, organizace, strukturování, uchovávání a zpřístupňování osobních údajů prostřednictvím webového rozhraní; v omezeném rozsahu též přenos údajů (odeslání e-mailu z kontaktního formuláře) a likvidace údajů (po ukončení smlouvy nebo na pokyn Správce).
Doba zpracování je shodná s dobou trvání hlavního smluvního vztahu — tedy po dobu, po kterou Zpracovatel poskytuje Správci Službu. Po skončení Služby se postupuje podle čl. 8 této DPA.
3. Kategorie subjektů údajů a kategorie osobních údajů
Kategorie subjektů údajů, jejichž osobní údaje mohou být v rámci Služby zpracovávány:
- zaměstnanci Správce (pedagogové, vedení školy, nepedagogický personál) — jejich kontaktní údaje zveřejněné na webu školy;
- žáci a děti navštěvující zařízení Správce — jména, podobizny, případně třída či ročník v rámci fotogalerií, aktualit a článků zveřejněných Správcem;
- zákonní zástupci žáků a dětí — kontaktní údaje při komunikaci přes formuláře, případně jména v rámci dokumentů publikovaných Správcem;
- uchazeči o zaměstnání nebo o přijetí k docházce — údaje vyplněné ve formulářích;
- návštěvníci webových stránek — IP adresy, technické identifikátory, údaje vyplněné v kontaktních formulářích.
Kategorie osobních údajů, které mohou být zpracovávány:
- identifikační údaje: jméno, příjmení, případně titul, datum narození (je-li uvedeno Správcem v obsahu);
- kontaktní údaje: e-mailová adresa, telefonní číslo, doručovací adresa;
- podobizny: fotografie z akcí školy, profilové fotografie zaměstnanců, videozáznamy;
- profesní údaje: pracovní zařazení, aprobace, vyučované předměty;
- obsahové údaje: jakékoli osobní údaje uvedené v textech aktualit, článků, dokumentů nebo zpráv publikovaných Správcem;
- technické údaje: IP adresa návštěvníka, údaje o prohlížeči a zařízení, časové razítko návštěvy (v rozsahu serverových logů).
Zpracovatel výslovně neshromažďuje ani aktivně nezpracovává zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR (údaje o zdravotním stavu, etnickém původu, náboženském vyznání apod.). Pokud Správce takové údaje vlastním rozhodnutím publikuje na webu (např. fotografie z akce, kde jsou patrné náboženské symboly), činí tak na vlastní odpovědnost a Zpracovatel zajišťuje pouze technický hosting takového obsahu.
4. Povinnosti zpracovatele
Zpracovatel se v souladu s čl. 28 odst. 3 GDPR zavazuje, že:
a) Zpracování pouze na základě pokynů Správce. Zpracovatel zpracovává osobní údaje výlučně na základě doložených pokynů Správce, a to včetně předání osobních údajů do třetí země nebo mezinárodní organizaci, ledaže by takové zpracování vyžadovalo právo Evropské unie nebo členského státu, kterému Zpracovatel podléhá; v takovém případě Zpracovatel Správce o tomto právním požadavku před zpracováním informuje, ledaže by ho takové právo z důležitých důvodů veřejného zájmu od takového informování zdrželo.
Doloženými pokyny se rozumí Obchodní podmínky, tato DPA, písemné instrukce Správce zaslané e-mailem na kontaktní adresu Zpracovatele uvedenou v čl. 1 a konfigurace Služby provedená Správcem v administračním rozhraní.
b) Mlčenlivost. Zpracovatel zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje (zaměstnanci, externí spolupracovníci, subdodavatelé) zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Povinnost mlčenlivosti trvá i po skončení pracovního či obdobného poměru těchto osob.
c) Bezpečnost zpracování. Zpracovatel přijme veškerá technická a organizační opatření požadovaná podle čl. 32 GDPR (viz čl. 6 této DPA).
d) Zapojení dalšího zpracovatele. Zpracovatel dodržuje podmínky pro zapojení dalšího zpracovatele (subdodavatele) uvedené v čl. 5 této DPA.
e) Nápomoc při výkonu práv subjektů údajů. Zpracovatel je Správci nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, při plnění povinnosti Správce reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR (právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost, vznesení námitky). Pokud subjekt údajů uplatní takové právo přímo u Zpracovatele, Zpracovatel jej bez zbytečného odkladu předá Správci a vyčká jeho pokynu.
f) Nápomoc při plnění povinností Správce. Zpracovatel je Správci nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR, a to s přihlédnutím k povaze zpracování a informacím, jež má Zpracovatel k dispozici — zejména při ohlašování bezpečnostních incidentů, oznamování případů porušení zabezpečení subjektům údajů, posouzení vlivu na ochranu osobních údajů (DPIA) a předchozí konzultaci s Úřadem pro ochranu osobních údajů.
g) Vrácení nebo výmaz údajů. Po ukončení poskytování Služby Zpracovatel v souladu s rozhodnutím Správce všechny osobní údaje buď vymaže, nebo je vrátí Správci a vymaže existující kopie, pokud právo EU nebo členského státu nepožaduje uložení daných osobních údajů. Podrobnosti viz čl. 8 této DPA.
h) Informace a audity. Zpracovatel poskytne Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v čl. 28 GDPR, a umožní audity, včetně inspekcí, prováděné Správcem nebo jiným auditorem, kterého Správce pověřil, a k těmto auditům přispěje. Podrobnosti viz čl. 11 této DPA.
Zpracovatel neprodleně informuje Správce, pokud podle jeho názoru určitý pokyn porušuje GDPR nebo jiné předpisy Unie nebo členského státu týkající se ochrany osobních údajů. V takovém případě je Zpracovatel oprávněn provedení pokynu odložit do doby, než Správce pokyn potvrdí nebo upraví.
5. Subdodavatelé (další zpracovatelé)
Správce uděluje Zpracovateli obecné povolení k zapojení dalších zpracovatelů (subdodavatelů) pro účely poskytování Služby. Aktuální seznam subdodavatelů je uveden v Příloze 1 této DPA.
Zpracovatel se zavazuje uzavřít s každým subdodavatelem písemnou smlouvu, která ukládá subdodavateli stejné povinnosti na ochranu osobních údajů, jaké jsou stanoveny v této DPA — zejména povinnost zavést dostatečná technická a organizační opatření tak, aby zpracování splňovalo požadavky GDPR. Pokud subdodavatel své povinnosti v oblasti ochrany údajů nesplní, odpovídá Zpracovatel Správci za plnění povinností daného subdodavatele v plném rozsahu.
Informování o změnách: Zpracovatel informuje Správce o jakýchkoli zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a to nejméně 30 dnů před účinností takové změny. Informace se zveřejňuje na adrese webproskolu.cz/zpracovatelska-smlouva v aktualizované Příloze 1 a současně se Správci zasílá oznámení e-mailem na kontaktní adresu uvedenou v čl. 1.
Správce má právo v této 30denní lhůtě vznést proti zamýšlené změně písemně odůvodněnou námitku. Pokud Zpracovatel není schopen poskytovat Službu bez zapojení daného subdodavatele a námitku Správce nepřijme, je Správce oprávněn smlouvu o poskytování Služby vypovědět bez sankce s účinností ke dni účinnosti změny subdodavatele.
6. Bezpečnost zpracování (čl. 32 GDPR)
Zpracovatel s ohledem na stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování i na různě pravděpodobná a různě závažná rizika pro práva a svobody fyzických osob zavedl tato technická a organizační opatření:
Technická opatření:
- šifrovaný přenos veškerých dat protokolem HTTPS/TLS 1.3;
- šifrované úložiště dat na úrovni infrastruktury subdodavatele (AES-256 at rest);
- oddělení produkčního a vývojového prostředí;
- pravidelné zálohování dat (denní inkrementální, týdenní plné) s retencí minimálně 30 dní;
- automatické bezpečnostní aktualizace a sledování zranitelností použitých knihoven;
- ochrana před útoky typu DDoS, SQL injection, XSS a CSRF na úrovni aplikace i infrastruktury;
- logování přístupů do administračního rozhraní s uchováním záznamů po dobu nejméně 90 dní;
- kontrola integrity záloh prostřednictvím kontrolních součtů.
Organizační opatření:
- přístup k osobním údajům mají pouze osoby, které jej nezbytně potřebují pro plnění svých úkolů (princip nejmenších oprávnění);
- přístupy do produkčních systémů jsou chráněny vícefaktorovým ověřením;
- všichni zaměstnanci a spolupracovníci Zpracovatele jsou písemně zavázáni k mlčenlivosti;
- v případě bezpečnostního incidentu se postupuje podle interního plánu reakce na incidenty;
- pravidelné školení osob pověřených zpracováním v oblasti ochrany osobních údajů (alespoň jednou ročně);
- periodické přezkoumání přijatých opatření (alespoň jednou za 12 měsíců).
Zpracovatel je oprávněn jednostranně aktualizovat seznam technických a organizačních opatření, pokud nedojde ke snížení úrovně ochrany osobních údajů. O podstatných změnách informuje Správce e-mailem.
7. Předávání dat mimo Evropský hospodářský prostor
Veškerá produkční data Správce jsou hostována na serverech umístěných v Evropské unii (region Frankfurt nad Mohanem, Spolková republika Německo, a Stockholm, Švédské království). Zpracovatel se zavazuje, že produkční data nebudou přesouvána mimo EU/EHP bez předchozího písemného souhlasu Správce.
Někteří subdodavatelé Zpracovatele uvedení v Příloze 1 mají sídlo mimo EU/EHP (zejména v USA). Pokud by v souvislosti s technickými operacemi (např. správa infrastruktury) docházelo k omezenému předání osobních údajů mimo EU/EHP, takové předání je vždy podloženo některým z nástrojů podle kapitoly V GDPR — zejména Standardními smluvními doložkami přijatými Evropskou komisí prováděcím rozhodnutím (EU) 2021/914 a navazujícími technickými opatřeními (šifrování přenosu, šifrování úložiště, kontrola přístupu).
Zpracovatel poskytne Správci na jeho žádost kopii uzavřených Standardních smluvních doložek nebo odkaz na ně.
8. Doba zpracování a likvidace dat
Zpracovatel zpracovává osobní údaje po dobu trvání smluvního vztahu o poskytování Služby a po další nezbytnou dobu pro účely likvidace nebo vrácení dat podle této DPA.
Po ukončení Služby (z jakéhokoli důvodu — uplynutí doby, výpověď, odstoupení od smlouvy) postupuje Zpracovatel takto:
- Bez zbytečného odkladu, nejpozději do 30 dnů ode dne ukončení Služby, poskytne Zpracovatel Správci na jeho žádost úplný export dat ve strojově čitelném formátu (databáze ve formátu SQL nebo JSON, mediální soubory ve struktuře adresářů, případně archiv ZIP). Export je poskytnut zdarma.
- Pokud Správce o export nepožádá nebo po jeho předání, Zpracovatel data nevratně vymaže, a to nejpozději do 60 dnů ode dne ukončení Služby. Výmaz se týká produkčních dat i aktivních záloh.
- Datové zálohy uložené v rotačním zálohovacím systému, ze kterých není technicky možné selektivně mazat, jsou přepsány v rámci běžné rotace nejpozději do 90 dnů. Po tuto dobu jsou chráněny stejnými bezpečnostními opatřeními jako produkční data a nesmějí být použity k žádnému jinému účelu.
- O provedeném výmazu vystaví Zpracovatel na žádost Správce písemné potvrzení.
Pokud právo EU nebo členského státu (zejména daňové, účetní nebo archivační předpisy) ukládá Zpracovateli povinnost některé údaje uchovávat i po skončení Služby, Zpracovatel tuto skutečnost Správci sdělí a údaje uchovává pouze po dobu a v rozsahu nezbytném pro splnění této zákonné povinnosti.
9. Spolupráce při uplatňování práv subjektů údajů
Zpracovatel poskytne Správci přiměřenou součinnost při vyřizování žádostí subjektů údajů uplatněných podle čl. 15 až 22 GDPR. Konkrétně:
- právo na přístup (čl. 15): Zpracovatel na žádost Správce poskytne výpis údajů o konkrétní osobě, kterou Správce identifikuje, ve lhůtě nejpozději 15 pracovních dnů od přijetí pokynu;
- právo na opravu (čl. 16): Zpracovatel zajistí opravu údajů podle pokynu Správce nebo umožní Správci opravu provést samostatně v administračním rozhraní;
- právo na výmaz (čl. 17): Zpracovatel zajistí výmaz konkrétních údajů podle pokynu Správce, a to nejpozději do 15 pracovních dnů; výmaz se vztahuje i na aktivní zálohy;
- právo na omezení zpracování (čl. 18): Zpracovatel zajistí technické označení dotčených údajů a jejich vyloučení z dalších operací zpracování;
- právo na přenositelnost (čl. 20): Zpracovatel poskytne strukturovaný strojově čitelný export dotčených údajů (JSON nebo CSV);
- právo vznést námitku (čl. 21): Zpracovatel postoupí námitku Správci a vyčká jeho rozhodnutí.
Pokud se subjekt údajů obrátí přímo na Zpracovatele (např. e-mailem na adresu uvedenou v čl. 1), Zpracovatel mu sdělí, že není správcem údajů, a předá podnět Správci bez zbytečného odkladu, nejpozději do 5 pracovních dnů. Současně subjekt poučí, na koho se má obrátit.
Součinnost podle tohoto článku je v rámci běžného rozsahu poskytována bezúplatně. Pokud by jednotlivá žádost vyžadovala mimořádný technický zásah nad rámec standardních administrativních úkonů (např. forenzní vyhledávání v historických zálohách), je Zpracovatel oprávněn po předchozí dohodě se Správcem účtovat hodinovou sazbu podle platného ceníku.
10. Bezpečnostní incidenty (čl. 33 GDPR)
Bezpečnostním incidentem se rozumí porušení zabezpečení vedoucí k náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému poskytnutí nebo zpřístupnění zpracovávaných osobních údajů.
Zpracovatel se zavazuje, že každý zjištěný bezpečnostní incident týkající se osobních údajů Správce ohlásí Správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl. Ohlášení se provede e-mailem na kontaktní adresu Správce uvedenou v čl. 1 a v naléhavých případech též telefonicky.
Ohlášení obsahuje, v rozsahu v dané chvíli dostupných informací:
- popis povahy incidentu, včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;
- jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, kde lze získat více informací;
- popis pravděpodobných důsledků incidentu;
- popis opatření, která Zpracovatel přijal nebo navrhuje přijmout k vyřešení incidentu, případně k zmírnění jeho možných nepříznivých dopadů.
Pokud nejsou všechny informace dostupné současně, jsou poskytovány postupně bez dalšího zbytečného odkladu. Konečnou zprávu o incidentu, jeho příčinách a přijatých opatřeních předá Zpracovatel Správci nejpozději do 30 dnů od jeho ohlášení.
Rozhodnutí o tom, zda incident ohlásit Úřadu pro ochranu osobních údajů podle čl. 33 GDPR a zda jej oznámit subjektům údajů podle čl. 34 GDPR, činí Správce; Zpracovatel mu k tomu poskytne potřebnou součinnost a podklady.
11. Audit a kontrola
Zpracovatel se zavazuje umožnit Správci ověřit plnění povinností podle této DPA, a to formou:
- poskytnutí dokumentace k zavedeným technickým a organizačním opatřením na žádost Správce;
- zodpovězení písemných dotazů Správce týkajících se zpracování (typicky tzv. security questionnaire);
- provedení auditu Správcem nebo jím pověřeným nezávislým auditorem, který je vázán mlčenlivostí, a to po předchozí písemné domluvě (zpravidla 30 dní předem) v běžné pracovní době Zpracovatele a způsobem, který nenarušuje běžný provoz Zpracovatele.
Audit se provádí nejvýše jednou ročně, pokud nedošlo k bezpečnostnímu incidentu nebo důvodnému podezření z porušení této DPA — v takovém případě má Správce právo provést mimořádný audit kdykoli.
Náklady na audit nese Správce, ledaže by audit prokázal porušení povinností Zpracovatele — v takovém případě hradí Zpracovatel účelně vynaložené náklady auditu Správci.
Zpracovatel je oprávněn předložit místo umožnění auditu aktuální certifikát nebo zprávu nezávislého auditora (např. ISO 27001, SOC 2 Type II) vztahující se k využívané infrastruktuře, pokud takový dokument prokazuje splnění příslušných požadavků GDPR.
12. Náhrada škody a odpovědnost
Smluvní strany odpovídají za škodu způsobenou porušením povinností podle této DPA v souladu s čl. 82 GDPR, zákonem č. 110/2019 Sb. a obecnými ustanoveními občanského zákoníku.
Zpracovatel odpovídá za škodu způsobenou porušením povinností, které jsou mu touto DPA nebo GDPR uloženy přímo, nebo pokud jednal nad rámec zákonných pokynů Správce nebo v rozporu s nimi.
Pokud byla pokuta nebo náhrada škody uložena jedné smluvní straně, ačkoli k porušení došlo i zaviněním druhé strany, má strana, která plnila, nárok na regres v rozsahu odpovídajícím podílu zavinění druhé strany.
Celková souhrnná odpovědnost Zpracovatele za škody vyplývající z této DPA je omezena částkou odpovídající úhrnu odměn zaplacených Správcem Zpracovateli za posledních 12 měsíců předcházejících vzniku škodné události. Toto omezení se neuplatní v případě úmyslného porušení povinností nebo hrubé nedbalosti Zpracovatele, ani v případě porušení povinností týkajících se zvláštních kategorií osobních údajů.
13. Doba platnosti a ukončení
Tato DPA nabývá účinnosti dnem účinnosti hlavní smlouvy o poskytování Služby (typicky dnem aktivace placeného tarifu nebo dnem akceptace Obchodních podmínek Správcem) a uzavírá se na dobu jejího trvání.
Tato DPA zaniká:
- společně se zánikem hlavní smlouvy o poskytování Služby — vyjma povinností, které mají svojí povahou trvat i po skončení (zejména mlčenlivost, povinnost likvidace dat, povinnost součinnosti při dokončení zpracování);
- písemnou dohodou smluvních stran;
- výpovědí ze strany Správce s okamžitou účinností v případě podstatného porušení povinností Zpracovatele, které nebylo napraveno ani v dodatečné lhůtě 15 dnů od písemné výzvy.
Zánikem DPA nezanikají ustanovení o likvidaci dat (čl. 8), náhradě škody (čl. 12), mlčenlivosti a auditních povinnostech ve vztahu k období před zánikem.
14. Závěrečná ustanovení
Tato DPA se uzavírá v elektronické podobě prostřednictvím akceptace Obchodních podmínek Správcem v procesu objednávky Služby. Na žádost Správce poskytne Zpracovatel tuto DPA též ve formátu PDF s elektronickým podpisem jednatele Zpracovatele.
Tato DPA se řídí právem České republiky, zejména GDPR, zákonem č. 110/2019 Sb. a občanským zákoníkem č. 89/2012 Sb. Spory vyplývající z této DPA budou řešeny věcně a místně příslušnými soudy České republiky podle sídla Zpracovatele.
V případě rozporu mezi ustanoveními této DPA a Obchodních podmínek mají v otázkách ochrany osobních údajů přednost ustanovení této DPA. V případě rozporu mezi touto DPA a GDPR mají přednost ustanovení GDPR.
Pokud se některé ustanovení této DPA stane neplatným nebo neúčinným, nemá to vliv na platnost ostatních ustanovení. Neplatné nebo neúčinné ustanovení bude nahrazeno ustanovením, které se mu svým obsahem a účelem nejvíce blíží.
Zpracovatel je oprávněn tuto DPA jednostranně aktualizovat, zejména v reakci na změny právní úpravy, rozhodovací praxi dozorových úřadů, změny v seznamu subdodavatelů nebo změny v technických a organizačních opatřeních. O podstatných změnách informuje Správce nejméně 30 dnů před jejich účinností e-mailem a zveřejněním nové verze na adrese webproskolu.cz/zpracovatelska-smlouva. Pokud Správce s podstatnou změnou nesouhlasí, má právo smlouvu o poskytování Služby vypovědět bez sankce s účinností ke dni účinnosti změny.
Příloha 1: Seznam dílčích zpracovatelů (subdodavatelů)
Stav ke dni účinnosti této DPA (19. 5. 2026):
1. Vercel Inc.
- Sídlo: 340 S Lemon Ave #4133, Walnut, CA 91789, USA
- Účel zpracování: hosting webových stránek a aplikací (webová infrastruktura, CDN, doménová správa)
- Lokalita zpracování: datová centra v EU — primárně Frankfurt nad Mohanem (DE), Stockholm (SE)
- Záruky pro předání mimo EU: Standardní smluvní doložky (EU) 2021/914, technická opatření (šifrování v klidu i při přenosu)
- Odkaz na DPA subdodavatele: vercel.com/legal/dpa
2. Resend, Inc.
- Sídlo: 2261 Market Street #5039, San Francisco, CA 94114, USA
- Účel zpracování: odesílání transakčních e-mailů (potvrzení formulářů, notifikace, autentizační e-maily)
- Lokalita zpracování: EU region (Irsko)
- Záruky pro předání mimo EU: Standardní smluvní doložky (EU) 2021/914
- Odkaz na DPA subdodavatele: resend.com/legal/dpa
Aktuální verzi seznamu subdodavatelů, včetně historie změn, je možno vyžádat e-mailem na info@webproskolu.cz nebo nahlédnout v aktuálním znění této DPA na adrese webproskolu.cz/zpracovatelska-smlouva.