Smlouva o zpracování osobních údajů (Data Processing Agreement)

Datum účinnosti: 3. května 2026 Verze: 1.0

Co musí dokument obsahovat

• Identifikaci stran (Správce a Zpracovatel)
• Předmět, dobu, povahu a účel zpracování
• Typy osobních údajů a kategorie subjektů údajů
• Povinnosti zpracovatele dle čl. 28(3) GDPR
• Seznam sub-processorů a postup jejich změny
• Technická a organizační opatření (TOMs)
• Audit rights klienta
• Postup při porušení zabezpečení (breach notification)
• Mezinárodní transfer dat (SCC pro mimo‑EU)
• Vrácení / smazání dat po ukončení smlouvy
• Dobu platnosti a výpověď
• Rozhodné právo

1. Smluvní strany

Správce (dále jen „Klient"):

• Obchodní firma: [KLIENT]
• IČO / DIČ: [IČO/DIČ KLIENTA]
• Sídlo: [SÍDLO KLIENTA]
• Zastoupený: [JEDNATEL KLIENTA]

Zpracovatel (dále jen „Avanterro"):

• AVANTERRO SYSTEMS s.r.o.
• IČO: 24568082
• Sídlo: Příčná 1892/4, Nové Město, 110 00 Praha 1
• Spisová značka: C 442318 vedená u Městského soudu v Praze
• Zastoupená jednateli zapsanými v obchodním rejstříku
• Kontakt: info@avanterro.com

(Klient a Avanterro dále společně jen „Strany".)

Forma uzavření. Tato Smlouva o zpracování osobních údajů (dále jen „DPA") je nedílnou součástí Všeobecných obchodních podmínek (VOP) a smlouvy o poskytování Služby. Akceptací VOP při registraci Klient zároveň uzavírá tuto DPA. V případě, že Klient požaduje DPA podepsanou samostatně, vystavíme stejnopis k podpisu na vyžádání.

2. Předmět a účel zpracování

2.1 Předmětem této DPA je zpracování osobních údajů Avanterrem pro Klienta v rozsahu nezbytném pro řádné poskytování Služby Avanterro (cloudový informační systém pro správu provozoven služeb).

2.2 Povaha zpracování: ukládání, organizace, strukturace, zpřístupňování, vyhledávání, použití při běžném provozu Služby, zálohování, mazání.

2.3 Účel zpracování: umožnit Klientovi vést evidenci jeho zákazníků, rezervací, faktur, zakázek, fotodokumentace a obdobných obchodních záznamů v rámci Služby.

2.4 Doba zpracování: po dobu trvání Předplatného a následně 60 dní po jeho skončení (tzv. export window), případně další doba nezbytná ke splnění zákonných povinností Avanterro.

2.5 Tato DPA je v souladu s čl. 28 nařízení (EU) 2016/679 (GDPR) a se zákonem č. 110/2019 Sb., o zpracování osobních údajů.

3. Role stran a rozsah pokynů

3.1 Klient je ve vztahu k osobním údajům, které vkládá do Služby, správcem (controller). Avanterro je zpracovatelem (processor).

3.2 Avanterro zpracovává osobní údaje výhradně na základě doložených pokynů Klienta, ledaže mu zpracování ukládá právo EU nebo členského státu (čl. 28 odst. 3 písm. a) GDPR). Pokud Avanterro takovou povinnost mít bude, bude o tom Klienta informovat předem, ledaže právo informování zakazuje.

3.3 Pokyny Klienta jsou specifikovány zejména:

• nastavením Služby ze strany Klienta (uživatelské role, retenční nastavení),
• konfigurací API a webhooků,
• doplňujícími pokyny zaslanými e‑mailem na info@avanterro.com.

3.4 Pokud má Avanterro za to, že některý pokyn Klienta porušuje GDPR nebo jiné předpisy o ochraně údajů, neprodleně Klienta písemně informuje a může výkon takového pokynu odmítnout.

4. Kategorie osobních údajů a subjektů údajů

4.1 Kategorie subjektů údajů

• koncoví zákazníci Klienta (fyzické osoby) – evidence v aplikaci,
• zaměstnanci a spolupracovníci Klienta – uživatelé Služby,
• dodavatelé Klienta, jejichž údaje Klient eviduje,
• jiné fyzické osoby, jejichž údaje Klient do Služby vloží.

4.2 Kategorie osobních údajů

• identifikační údaje: jméno, příjmení, titul, IČO/DIČ,
• kontaktní údaje: adresa, e‑mail, telefon,
• údaje o vztahu se Klientem: historie objednávek, plateb, rezervací, poznámky,
• finanční údaje: výše plateb, čísla faktur, IBAN (pokud Klient vyplní),
• přílohy a fotografie: dokumentace zakázek, vozidel, prostor (mohou obsahovat údaje o stavu majetku, RZ apod.),
• audit logy: kdo a kdy provedl jakou akci,
• v rozsahu, v němž je Klient sám do Služby vloží, jakékoliv další údaje (Avanterro Klientovi nedoporučuje vkládat zvláštní kategorie údajů dle čl. 9 GDPR).

4.3 Zvláštní kategorie údajů

Avanterro není zamýšlen pro zpracování zvláštních kategorií osobních údajů (čl. 9 GDPR – zdravotní stav, biometrika, sexuální orientace apod.) ani trestněprávních údajů (čl. 10 GDPR). Pokud takové údaje Klient přesto do Služby vloží, činí tak na vlastní odpovědnost a musí pro ně mít odpovídající právní základ.

5. Povinnosti Avanterro (čl. 28 odst. 3 GDPR)

Avanterro se zavazuje, že:

a) zpracovává osobní údaje pouze na doložené pokyny Klienta podle článku 3 této DPA;

b) zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány k mlčenlivosti (smluvně nebo zákonem);

c) přijme technická a organizační opatření podle čl. 32 GDPR (viz Příloha A níže);

d) zapojí dalšího zpracovatele (sub-processor) pouze za podmínek čl. 6 této DPA;

e) je Klientovi nápomocen prostřednictvím vhodných opatření při plnění jeho povinnosti reagovat na žádosti subjektů údajů (čl. 12–22 GDPR), a to za přiměřených technických a organizačních podmínek;

f) je Klientovi nápomocen při plnění povinností podle čl. 32–36 GDPR (zabezpečení, ohlašování incidentů, DPIA, předchozí konzultace s ÚOOÚ);

g) po skončení poskytování Služby všechny osobní údaje vrátí nebo smaže dle volby Klienta (článek 9 této DPA);

h) poskytne Klientovi veškeré informace nutné k doložení splnění povinností podle čl. 28 GDPR a umožní audity podle článku 7 této DPA.

6. Sub-processory

6.1 Souhlas s využitím sub-processorů

Klient uděluje Avanterro obecné zmocnění k využívání dalších zpracovatelů (sub-processorů) za podmínky, že na ně Avanterro smluvně přenese stejné povinnosti, jaké má sám podle této DPA.

6.2 Aktuální seznam sub-processorů

Aktuální seznam je vždy dostupný na https://avanterro.com/cs/subprocessors.

6.3 Změny v seznamu sub-processorů

Avanterro Klienta informuje o přidání nebo nahrazení sub-processora nejméně 30 dní předem, a to e‑mailem nebo oznámením v aplikaci. Klient má právo proti takové změně vznést odůvodněnou námitku zaslanou na info@avanterro.com před nabytím účinnosti změny.

Pokud nelze námitku vyřešit, má Klient právo Smlouvu o poskytování Služby z tohoto důvodu vypovědět s účinností ke dni nabytí účinnosti dané změny; do té doby nového sub-processora Avanterro nezapojí, ledaže by neexistovalo jiné rozumné technické řešení (v takovém případě Klienta předem informuje a poskytne mu přiměřenou lhůtu k migraci).

7. Audit

7.1 Klient je oprávněn nejvýše jednou ročně prověřit dodržování povinností Avanterro podle této DPA, a to v následujícím rozsahu:

• standardně formou písemného dotazníku, na který Avanterro odpoví do 30 dní; součástí odpovědi mohou být kopie aktuálních certifikátů, výsledky penetračních testů a popisy TOMs;
• prostřednictvím nezávislé třetí strany vázané mlčenlivostí, pokud Klient doloží legitimní důvod (např. regulatorní požadavek);
• on‑site audit je možný pouze pro Klienty plánu ENTERPRISE na základě předchozí písemné dohody, oznámen alespoň 30 dní předem, prováděn v běžné pracovní době tak, aby nenarušoval provoz Služby.

7.2 Mimořádný audit je možný i nad rámec roční frekvence, pokud k tomu existuje vážný důvod (zejména po významném incidentu nebo na výslovnou žádost dozorového úřadu).

7.3 Náklady standardního dotazníkového auditu nese Avanterro. Náklady on‑site auditu a auditu třetí stranou nese Klient, ledaže audit prokáže podstatné porušení povinností Avanterro – pak nese náklady Avanterro.

8. Porušení zabezpečení (Breach notification)

8.1 Avanterro se zavazuje bez zbytečného odkladu, nejpozději však do 72 hodin od okamžiku, kdy se dozví o porušení zabezpečení osobních údajů, oznámit takové porušení Klientovi e‑mailem na primární kontaktní adresu uvedenou v účtu Klienta.

8.2 Oznámení v rozsahu, v jakém je to v dané chvíli možné, obsahuje:

• popis povahy porušení (kategorie a počet dotčených subjektů, kategorie a počet dotčených záznamů),
• jméno a kontaktní údaje osoby, u které lze získat další informace,
• popis pravděpodobných následků porušení,
• popis přijatých nebo navrhovaných opatření k řešení porušení a zmírnění jeho možných nepříznivých dopadů.

8.3 Klient je odpovědný za splnění své vlastní oznamovací povinnosti vůči ÚOOÚ (čl. 33 GDPR) a vůči subjektům údajů (čl. 34 GDPR). Avanterro Klientovi poskytne přiměřenou součinnost.

8.4 Tento článek se nepoužije na pokusy o průnik, které byly úspěšně odraženy a u nichž nedošlo k narušení důvěrnosti, integrity nebo dostupnosti osobních údajů.

9. Ukončení a vrácení / smazání dat

9.1 Po ukončení poskytování Služby z jakéhokoli důvodu poskytne Avanterro Klientovi 60denní export window, během něhož Klient může osobní údaje stáhnout v běžném strojově čitelném formátu (zejména JSON nebo CSV) prostřednictvím standardní exportní funkce Služby nebo na vyžádání.

9.2 Po uplynutí export window Avanterro trvale smaže veškeré osobní údaje včetně kopií, ledaže další uchování ukládá právo EU nebo členského státu (např. uchování účetních a daňových dokladů). V takovém případě Avanterro tyto údaje dále zpracovává pouze pro splnění zákonné povinnosti a chrání je odpovídajícími TOMs.

9.3 Zálohy. Osobní údaje obsažené v zálohových kopiích jsou mazány v souladu s rotačním plánem záloh – nejpozději do 35 dní od smazání ze živé databáze. Po tuto dobu jsou zálohy izolované, pouze pro účely obnovy, a šifrované.

9.4 Avanterro na žádost Klienta písemně potvrdí provedení výmazu.

10. Mezinárodní transfer

10.1 Pokud zpracování zahrnuje předání osobních údajů do třetí země nebo mezinárodní organizaci, Avanterro toto předání zajistí prostřednictvím nástroje uvedeného v kapitole V GDPR – primárně standardních smluvních doložek (SCC) přijatých Evropskou komisí (Implementing Decision (EU) 2021/914), v relevantním modulu (Controller‑to‑Processor nebo Processor‑to‑Processor).

10.2 Tam, kde je to nezbytné, Avanterro doplňuje SCC o technická a organizační opatření (encryption v klidu i v přenosu, pseudonymizace, omezení přístupu personálu poskytovatele, transparency reporting).

10.3 Aktuální kopii SCC v relevantním znění poskytne Avanterro Klientovi na vyžádání.

11. Doba platnosti a výpověď

11.1 Tato DPA nabývá účinnosti uzavřením smlouvy o poskytování Služby (akceptací VOP) a zaniká spolu se zánikem této smlouvy.

11.2 Ustanovení této DPA, jejichž povaha přetrvává po skončení smlouvy (zejména povinnosti k vrácení/smazání dat, mlčenlivost a odpovědnost), zůstávají v platnosti i po jejím skončení v rozsahu nezbytném pro splnění jejich účelu.

12. Odpovědnost a sankce

12.1 Strany odpovídají za škodu vzniklou porušením povinností podle GDPR a této DPA podle čl. 82 GDPR.

12.2 Limitace odpovědnosti dohodnutá ve VOP se obdobně použije i na nároky vyplývající z této DPA, s výjimkou případů úmyslu, hrubé nedbalosti a porušení povinností, na něž se podle § 2898 OZ nelze omezení odpovědnosti dovolávat. Tím nejsou dotčeny pravomoci dozorových úřadů a nároky subjektů údajů přímo z čl. 82 GDPR.

13. Závěrečná ustanovení

13.1 Tato DPA se řídí právním řádem České republiky a GDPR.

13.2 V případě rozporu mezi VOP a touto DPA má v otázkách zpracování osobních údajů přednost tato DPA.

13.3 Pokud by se některé ustanovení této DPA stalo neplatným nebo neúčinným, nemá to vliv na platnost ostatních ustanovení; Strany v takovém případě nahradí neplatné ustanovení takovým, které se nejvíce blíží jeho účelu.

13.4 Tato DPA je vyhotovena v české jazykové verzi, která je rozhodná. Anglická verze slouží pouze pro pohodlí Klienta.

Příloha A – Technická a organizační opatření (TOMs)

Avanterro uplatňuje s ohledem na povahu, rozsah a účel zpracování zejména následující opatření:

A.1 Šifrování

• Šifrování přenosu: TLS 1.2+ na všech koncových bodech (web, API, e‑mail), HSTS, automatický redirect HTTP→HTTPS, moderní cipher suites (AEAD).
• Šifrování v klidu: AES‑256 na úrovni úložiště databáze a object storage (Hetzner / AWS S3 / Backblaze B2). Hesla uživatelů jsou ukládána výhradně jako bcrypt hash s odpovídajícím cost faktorem.

A.2 Řízení přístupu

• Princip nejmenších oprávnění (least privilege) na úrovni rolí v aplikaci i na úrovni infrastruktury.
• Vícefaktorové ověření (MFA) povinné pro administrátory Avanterro, kteří mají přístup k produkční infrastruktuře.
• Multi‑tenant izolace – data jednotlivých Klientů jsou logicky oddělena na úrovni řádků (tenantId scope) a vynucována na úrovni aplikace i Prisma dotazů.
• Audit log – záznam o přístupu administrátorů Avanterro k datům konkrétního Klienta; přístup pouze za účelem řešení podpory nebo incidentu.

A.3 Zálohování a obnova

• Pravidelné zálohy databází s retencí 35 dní, šifrované AES‑256.
• Geograficky oddělené uložení záloh od primárních dat.
• Periodické testy obnovy (restore drill).

A.4 Bezpečnost vývoje (Secure SDLC)

• Code review všech změn před nasazením do produkce.
• Statická bezpečnostní analýza (SAST) v CI/CD: linting, type-check, BOLA test, npm audit, Snyk skenování (pondělí + čtvrtek).
• Dependency management – pravidelné aktualizace knihoven a sledování CVE.
• Oddělené prostředí vývoj / staging / produkce.

A.5 Provoz a monitoring

• 24/7 monitoring dostupnosti a bezpečnostních incidentů; error monitoring (Sentry) s anonymizací.
• Incident Response Plan s definovanými rolemi, eskalací a komunikačními kanály.
• Patch management – kritické bezpečnostní záplaty nasazovány do 7 dní od vydání, ostatní v rámci pravidelných cyklů.

A.6 Lidský faktor

• Mlčenlivost – všichni pracovníci a externí spolupracovníci s přístupem k osobním údajům jsou vázáni mlčenlivostí.
• Bezpečnostní školení – pravidelné základní školení k ochraně údajů.
• Background check v rozsahu povoleném českým právem u rolí s privilegovaným přístupem.

A.7 Fyzická bezpečnost

• Datová centra sub-processora Hetzner Online GmbH v Německu, certifikace ISO/IEC 27001, řízený fyzický přístup, biometrické čtečky, redundantní napájení a chlazení.

A.8 Kontinuita

• RPO (Recovery Point Objective): max. 24 hodin (denní zálohy) pro běžný režim; pro plán ENTERPRISE lze sjednat lepší RPO individuálně.
• RTO (Recovery Time Objective): max. 24 hodin pro plný restore.

Tento dokument nabývá účinnosti dne 2026-05-03. Verze 1.0.