Zpracování osobních údajů pro obce

1. Úvodní ustanovení

1.1 Tyto podmínky (dále jen „Doložka“) upravují zpracování osobních údajů mezi Objednatelem jako správcem a společností NYBZ Digital Solutions s.r.o. jako zpracovatelem v souvislosti s poskytováním aplikace Občaník.

1.2 Doložka je nedílnou součástí smlouvy o poskytování služby a Všeobecných obchodních podmínek. Uzavřením smlouvy o poskytování služby je Doložka uzavřena a nahrazuje potřebu samostatné zpracovatelské smlouvy.

1.3 Pojmy použité v této Doložce mají význam podle nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a podle Všeobecných obchodních podmínek.

1.4 Obec je jako orgán veřejné moci povinna zajistit, aby zpracování osobních údajů v aplikaci mělo řádný právní základ podle čl. 6 GDPR, zpravidla splnění právní povinnosti, plnění úkolu ve veřejném zájmu nebo souhlas občana u dobrovolných agend (odběry zpráv, inzerce). Za určení právního základu odpovídá správce.

2. Předmět a rozsah zpracování

2.1 Podrobnosti zpracování podle čl. 28 odst. 3 GDPR:

3. Zpracování podle pokynů správce

3.1 Zpracovatel zpracovává osobní údaje výhradně na základě doložených pokynů správce (čl. 28 odst. 3 písm. a) GDPR).

3.2 Za doložený pokyn správce se považuje:

• smlouva o poskytování služby včetně těchto Podmínek a této Doložky;
• každé nastavení a úkon provedený správcem obce v administraci;
• písemný pokyn zaslaný z kontaktní e-mailové adresy správce.

3.3 Zpracovatel neprodleně informuje správce, má-li za to, že jeho pokyn porušuje GDPR nebo jiný právní předpis o ochraně osobních údajů (čl. 28 odst. 3 poslední pododstavec GDPR). Do vyjasnění je oprávněn provedení pokynu odložit.

3.4 Ukládá-li zpracovateli zpracování právo Evropské unie nebo členského státu, uvědomí o tomto právním požadavku správce před zpracováním, ledaže by to bylo tímto právem zakázáno z důležitých důvodů veřejného zájmu.

4. Povinnosti zpracovatele

Zpracovatel se zavazuje:

• zpracovávat údaje pouze v nezbytném rozsahu a po nezbytnou dobu;
• uchovávat údaje každé obce ve vlastní oddělené databázi a vlastním úložišti souborů, odděleně od dat ostatních obcí;
• zpracovávat údaje výhradně na území Evropské unie, s výjimkami podle článku 7;
• zajistit, aby k údajům měly přístup jen osoby, které je potřebují k plnění svých úkolů;
• vést záznamy o kategoriích činností zpracování podle čl. 30 odst. 2 GDPR a na žádost je správci zpřístupnit;
• neprodávat, nepronajímat ani jinak nezpřístupňovat údaje třetím osobám nad rámec této Doložky;
• nepoužívat údaje k vlastnímu marketingu ani je nespojovat s daty jiných obcí.

4.1 Přístup pracovníků zpracovatele do datového prostoru obce je možný pouze v rozsahu nezbytném pro provoz a podporu, zejména při odstraňování vady, migraci dat nebo na výslovnou žádost správce. Takové přístupy se evidují.

5. Mlčenlivost

5.1 Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti (čl. 28 odst. 3 písm. b) GDPR).

5.2 Povinnost mlčenlivosti trvá i po ukončení spolupráce s danou osobou a po skončení smlouvy o poskytování služby.

5.3 Zpracovatel své pracovníky pravidelně poučuje o zásadách ochrany osobních údajů a o bezpečném nakládání s nimi.

6. Zabezpečení zpracování

6.1 Zpracovatel přijal technická a organizační opatření podle čl. 32 GDPR odpovídající povaze, rozsahu, kontextu a účelům zpracování i pravděpodobným rizikům pro práva a svobody fyzických osob. Jejich přehled je v příloze č. 2 této Doložky.

6.2 Zpracovatel opatření průběžně vyhodnocuje a aktualizuje. Přijme-li opatření odpovídající vyšší úrovni zabezpečení, není povinen o tom správce informovat.

6.3 Správce prohlašuje, že považuje přijatá opatření za dostatečná s ohledem na rizika daného zpracování.

6.4 Správce odpovídá za bezpečné nakládání s přístupovými údaji svých správců a moderátorů a za jejich neprodlené zrušení, jakmile daná osoba přestane být oprávněna.

7. Další zpracovatelé

7.1 Správce uděluje zpracovateli obecné povolení zapojit do zpracování další zpracovatele podle čl. 28 odst. 2 GDPR. Aktuální seznam je v příloze č. 1 této Doložky.

7.2 Zpracovatel oznámí správci nejméně 30 dnů předem každou zamýšlenou změnu spočívající v přijetí dalšího zpracovatele nebo jeho nahrazení, a to e-mailem na kontaktní adresu správce a zveřejněním aktualizované přílohy č. 1 na svých webových stránkách.

7.3 Správce je oprávněn ve lhůtě 30 dnů od oznámení vznést proti změně odůvodněné námitky. Nedojde-li k dohodě, je správce oprávněn smlouvu o poskytování služby vypovědět s výpovědní dobou 30 dnů; jiné sankce se neuplatní.

7.4 Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti v oblasti ochrany osobních údajů, jaké jsou stanoveny v této Doložce, a to smluvně. Zpracovatel odpovídá správci za plnění povinností dalšího zpracovatele (čl. 28 odst. 4 GDPR).

7.5 Dojde-li k předání osobních údajů do třetí země, zajistí zpracovatel odpovídající záruky podle kapitoly V GDPR, zejména rozhodnutí Evropské komise o odpovídající ochraně nebo standardní smluvní doložky.

8. Součinnost při výkonu práv subjektů údajů

8.1 Zpracovatel je správci nápomocen vhodnými technickými a organizačními opatřeními při plnění povinnosti reagovat na žádosti o výkon práv subjektu údajů podle kapitoly III GDPR (čl. 28 odst. 3 písm. e) GDPR).

8.2 Podstatnou část této součinnosti zajišťuje sama administrace, ve které správce může bez pomoci zpracovatele:

• zobrazit a exportovat údaje o konkrétním subjektu údajů;
• opravit nepřesné údaje;
• vymazat účet, odběr, inzerát nebo hlášení;
• zrušit odběr zpráv.

8.3 Obrátí-li se subjekt údajů se svou žádostí přímo na zpracovatele, zpracovatel ji sám nevyřizuje, ale bez zbytečného odkladu ji předá správci a subjekt údajů o tom vyrozumí.

8.4 Zpracovatel je správci nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR, tedy při zabezpečení zpracování, ohlašování porušení a posouzení vlivu na ochranu osobních údajů (DPIA), a to s ohledem na povahu zpracování a informace, jež má k dispozici (čl. 28 odst. 3 písm. f) GDPR).

8.5 Součinnost v obvyklém rozsahu poskytuje zpracovatel bezplatně. Vyžaduje-li žádost nestandardní technické práce přesahující 4 hodiny, je zpracovatel oprávněn požadovat úhradu účelně vynaložených nákladů; na tuto skutečnost správce předem upozorní.

9. Porušení zabezpečení osobních údajů

9.1 Zjistí-li zpracovatel porušení zabezpečení osobních údajů, ohlásí je správci bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy se o něm dozvěděl (čl. 33 odst. 2 GDPR).

9.2 Ohlášení obsahuje, je-li to možné:

• popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů údajů a záznamů;
• kontaktní údaje osoby, která poskytne bližší informace;
• popis pravděpodobných důsledků;
• popis přijatých nebo navrhovaných opatření k nápravě a zmírnění nepříznivých důsledků.

9.3 Nelze-li poskytnout všechny informace najednou, poskytne je zpracovatel postupně bez dalšího zbytečného odkladu.

9.4 Ohlášení dozorovému úřadu a vyrozumění subjektů údajů podle čl. 33 a 34 GDPR provádí správce. Zpracovatel mu k tomu poskytne veškerou nezbytnou součinnost.

9.5 Zpracovatel vede evidenci porušení zabezpečení, která se dotkla údajů správce, a na žádost mu ji zpřístupní.

10. Kontrola a audit

10.1 Zpracovatel poskytne správci veškeré informace potřebné k doložení, že byly splněny povinnosti stanovené v čl. 28 GDPR (čl. 28 odst. 3 písm. h) GDPR).

10.2 Zpracovatel umožní audity, včetně inspekcí, prováděné správcem nebo jiným auditorem, kterého správce pověřil, a k těmto auditům přispěje.

10.3 Audit se ohlašuje nejméně 30 dnů předem, provádí se v pracovní dny v obvyklé pracovní době, nejvýše jednou za kalendářní rok, a nesmí nepřiměřeně narušit provoz zpracovatele. Uvedená omezení se neuplatní, došlo-li k porušení zabezpečení nebo ukládá-li audit dozorový úřad.

10.4 Osoby provádějící audit jsou povinny zachovávat mlčenlivost a nesmí být konkurentem zpracovatele. Auditem nesmí být dotčena práva ostatních obcí ani jejich data.

10.5 Náklady auditu nese správce, ledaže audit prokáže podstatné porušení povinností zpracovatele.

11. Ukončení zpracování a naložení s údaji

11.1 Po skončení poskytování služby zpracovatel podle rozhodnutí správce veškeré osobní údaje vymaže, nebo je vrátí správci a vymaže existující kopie (čl. 28 odst. 3 písm. g) GDPR).

11.2 Neurčí-li správce jinak do 30 dnů od skončení smlouvy, platí, že požaduje výmaz. Před výmazem zpracovatel na žádost bezplatně předá kompletní export dat obce ve strojově čitelném formátu.

11.3 Výmaz z produkčních systémů provede zpracovatel do 60 dnů od skončení smlouvy, výmaz ze záloh do 90 dnů.

11.4 Zpracovatel je oprávněn uchovat osobní údaje v rozsahu a po dobu, kdy mu to ukládá právo Evropské unie nebo členského státu, zejména předpisy o účetnictví a archivnictví. Na takto uchované údaje se i nadále vztahují povinnosti podle této Doložky.

11.5 Na žádost správce zpracovatel provedení výmazu písemně potvrdí.

12. Závěrečná ustanovení

12.1 Zpracovatel odpovídá za újmu způsobenou zpracováním pouze tehdy, nesplnil-li povinnosti stanovené GDPR výslovně pro zpracovatele nebo jednal-li nad rámec pokynů správce (čl. 82 odst. 2 GDPR). Ve zbytku se uplatní omezení náhrady škody podle článku 13 Všeobecných obchodních podmínek.

12.2 Tato Doložka se mění postupem podle článku 17 Všeobecných obchodních podmínek. Změny vyvolané změnou právních předpisů nabývají účinnosti dnem účinnosti dané změny.

12.3 Doložka se řídí právním řádem České republiky a nařízením GDPR.

12.4 Toto znění je účinné od 1. 9. 2026.

Příloha č. 1 – Seznam dalších zpracovatelů

Aktuální k datu 1. 9. 2026. Změny se oznamují postupem podle článku 7.

Poznámka. Push služby prohlížečů (Google, Mozilla, Apple, Microsoft), poskytovatelé mapových podkladů (CARTO, OpenStreetMap) a sítě pro doručování knihoven (unpkg, jsDelivr) nejsou dalšími zpracovateli. Jde o samostatné správce, jejichž služby se načítají přímo do zařízení uživatele, a zpracovatel jim žádné údaje aktivně nepředává. Informace o nich jsou v Zásadách používání cookies.

Příloha č. 2 – Technická a organizační opatření

Přehled opatření přijatých podle čl. 32 GDPR.