Zpracovatelská smlouva

Verze: 1.0 · Účinnost od: [DOPLNIT při zveřejnění]

---

1. Strany a jejich role

1.1 Zpracovatel: Codeline iLab s.r.o., IČO 24917028, sídlo Záhřebská 562/41, Vinohrady, 120 00 Praha 2, zapsaná u Městského soudu v Praze, sp. zn. C 445891, kontakt pro ochranu osobních údajů gdpr@doklio.cz, hlášení bezpečnostních incidentů bezpecnost@doklio.cz, datová schránka 7jibmhq („Poskytovatel“). Vady Služby se reklamují na podpora@doklio.cz, platby a daňové doklady na fakturace@doklio.cz, obojí i datovou schránkou, podle Reklamačního řádu.

1.2 Zákazník podle VOP. Zákazník vystupuje buď

a) jako správce osobních údajů, které do Doklia vkládá pro sebe (například vlastní zaměstnanci, vlastní doklady), nebo

b) jako zpracovatel pro své klienty, pokud je účetní kanceláří a vkládá data klientů. Pak je Poskytovatel dalším zpracovatelem a Zákazník potvrzuje, že má od svých klientů povolení Poskytovatele zapojit a že na Poskytovatele přenáší povinnosti, které mu uložili jeho klienti, v rozsahu této smlouvy.

1.3 Klient účetní kanceláře, který má v Doklio vlastní firmu a sám do ní vkládá data, je vůči Poskytovateli správcem podle písm. a).

2. Předmět, doba, povaha a účel zpracování

2.1 Předmět a účel: provoz služby Doklio pro Zákazníka: ukládání a zpřístupnění dat, zpracování dokladů (včetně vytěžení údajů z dokladů), podklady k uzávěrce, výpočet mezd a příprava podání, fakturace, komunikace mezi kanceláří a klientem, příjem a odesílání datových zpráv na pokyn Uživatele, odesílání e-mailových oznámení a volitelný asistent Doklio AI.

2.2 Povaha zpracování: uložení, uspořádání, vyhledání, nahlédnutí, výpočet, strojové vytěžení textu z dokladů, zpřístupnění oprávněným Uživatelům, předání na pokyn Uživatele (datová schránka, e-mail, export), výmaz.

2.3 Doba: po dobu trvání smlouvy o službě a dále po dobu přechodného období a zpřístupnění dat podle čl. 14 VOP, poté do výmazu podle článku 9.

2.4 Kategorie subjektů údajů a typy osobních údajů uvádí Příloha 2.

3. Pokyny Zákazníka

3.1 Poskytovatel zpracovává osobní údaje jen na doložený pokyn Zákazníka, a to i pokud jde o předání do třetí země. Doloženým pokynem je tato smlouva, nastavení a úkony Uživatelů v aplikaci a písemné pokyny Zákazníka. Ukládá-li Poskytovateli zpracování právo EU nebo ČR, informuje o tom Zákazníka předem, ledaže to právo zakazuje.

3.2 Pokud je podle Poskytovatele pokyn v rozporu s předpisy o ochraně osobních údajů, neprodleně na to Zákazníka upozorní.

3.3 Zákazník odpovídá za to, že má ke zpracování, které Poskytovateli ukládá, právní základ, zejména pro zpracování rodných čísel a údajů o zdravotním stavu v mzdové agendě.

4. Mlčenlivost

Poskytovatel zajistí, že osoby oprávněné zpracovávat osobní údaje jsou zavázány mlčenlivostí nebo se na ně vztahuje zákonná povinnost mlčenlivosti, a to i po skončení spolupráce.

5. Zabezpečení

Poskytovatel přijímá technická a organizační opatření podle Přílohy 3 a pravidelně je vyhodnocuje.

6. Další zpracovatelé

6.1 Zákazník uděluje obecné písemné povolení k zapojení dalších zpracovatelů. Aktuální seznam je v Příloze 1.

6.2 O zamýšleném přidání nebo nahrazení dalšího zpracovatele Poskytovatel informuje Zákazníka e-mailem nejméně 30 dnů předem. Zákazník může do 14 dnů vznést odůvodněnou námitku; nevyřeší-li ji strany dohodou, může Zákazník smlouvu bez sankce vypovědět k datu, kdy by změna nastala.

6.3 Každému dalšímu zpracovateli Poskytovatel smluvně uloží stejné povinnosti na ochranu údajů, jaké má sám podle této smlouvy. Za jejich plnění odpovídá Zákazníkovi, jako by plnil sám.

7. Součinnost se Zákazníkem

7.1 Poskytovatel pomáhá Zákazníkovi vyřizovat žádosti subjektů údajů, zejména tím, že Služba umožňuje údaje vyhledat, opravit, exportovat a vymazat. Žádost doručenou přímo Poskytovateli předá Zákazníkovi bez zbytečného odkladu a sám ji nevyřizuje.

7.2 Poskytovatel pomáhá Zákazníkovi plnit povinnosti podle čl. 32 až 36 GDPR (zabezpečení, porušení zabezpečení, posouzení vlivu, předchozí konzultace) s ohledem na povahu zpracování a informace, které má.

7.3 Součinnost nad rámec funkcí Služby a běžné korespondence může Poskytovatel účtovat v přiměřené výši, kterou Zákazníkovi předem oznámí; součinnost při porušení zabezpečení způsobeném Poskytovatelem je bezplatná.

8. Porušení zabezpečení

8.1 Jakmile Poskytovatel zjistí porušení zabezpečení osobních údajů Zákazníka, ohlásí ho Zákazníkovi bez zbytečného odkladu, nejpozději do 48 hodin.

8.2 Ohlášení obsahuje, co je v tu chvíli známo: popis porušení, dotčené kategorie a přibližný počet subjektů a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontakt. Chybějící informace Poskytovatel doplňuje postupně.

9. Konec zpracování

9.1 Po skončení smlouvy Poskytovatel podle volby Zákazníka údaje vrátí (export nebo předání jinému poskytovateli) a poté vymaže, včetně existujících kopií, v lhůtách podle čl. 14 VOP. Kopie v zálohách zaniknou přepsáním v běžném cyklu záloh a do té doby se nepoužívají.

9.2 Doklio je úložiště pracovních dat, ne archiv. Zákonné archivační a skartační lhůty (účetní, daňové, mzdové a pro důchodové pojištění) plní Zákazník, případně jeho klient, nikoli Poskytovatel. Zákazník si proto data, která musí uchovat, exportuje před výmazem podle článku 9.1. Archivní režim po skončení smlouvy Poskytovatel nenabízí.

10. Doložení a audit

10.1 Poskytovatel dá Zákazníkovi na požádání informace potřebné k doložení plnění této smlouvy (zejména popis opatření, seznam dalších zpracovatelů a jejich smluvní záruky).

10.2 Nestačí-li to, umožní Poskytovatel audit nebo inspekci Zákazníkem nebo jím pověřeným auditorem vázaným mlčenlivostí, ohlášený nejméně 30 dnů předem, nejvýše jednou ročně (neplatí po porušení zabezpečení nebo na výzvu dozorového úřadu), v rozsahu, který neohrozí data jiných zákazníků. Náklady auditu nese Zákazník, ledaže audit prokáže podstatné porušení.

11. Místo zpracování a předání mimo EU

11.1 Poskytovatel zpracovává osobní údaje Zákazníka v EU v místech uvedených v Příloze 1. Mimo EU/EHP je nepředává, ledaže mu to Zákazník pokynem uloží nebo ledaže jsou splněny podmínky kapitoly V GDPR a Zákazník o tom byl předem informován.

11.2 Pokud by k osobním údajům mohl mít přístup další zpracovatel nebo jeho spřízněná osoba ze třetí země (například v rámci technické podpory), děje se tak jen na základě rozhodnutí o odpovídající ochraně nebo vhodných záruk podle kapitoly V GDPR, které jsou součástí smlouvy Poskytovatele s tímto zpracovatelem; jejich přehled Poskytovatel na požádání zpřístupní.

12. Odpovědnost

Odpovědnost stran vůči subjektům údajů se řídí čl. 82 GDPR. Mezi stranami se uplatní článek 11 VOP; omezení výše náhrady se nevztahuje na škodu způsobenou tím, že Poskytovatel jednal nad rámec pokynů Zákazníka nebo v rozporu s nimi.

13. Závěrečná ustanovení

13.1 Tato smlouva se uzavírá v elektronické formě.

13.2 V rozporu mezi touto smlouvou a VOP má ve věcech ochrany osobních údajů přednost tato smlouva.

13.3 Změny této smlouvy se oznamují a přijímají stejně jako změny VOP (čl. 12 VOP); změny Přílohy 1 podle článku 6.

---

Příloha 1 — Další zpracovatelé a místa zpracování (stav k 30. 9. 2026)

Připravené, zatím nespuštěné: fronta pro zpracování dokumentů (Microsoft Azure Service Bus a Container Apps, Sweden Central). Při spuštění jde o téhož dalšího zpracovatele (Microsoft) ve stejném regionu.

Nejsou dalšími zpracovateli (Poskytovatel jim data nesvěřuje ke zpracování, jen je na pokyn Uživatele posílá nebo z nich čte): Informační systém datových schránek (Ministerstvo vnitra) — odeslání a příjem datových zpráv; ARES (Ministerstvo financí) — čtení veřejných údajů o firmách podle IČO.

Příloha 2 — Subjekty údajů a typy údajů

Kategorie subjektů údajů: zaměstnanci a další pracovníci Zákazníka a jeho klientů (včetně dohod), jejich rodinní příslušníci (vyživované děti, manžel/ka) v rozsahu daňových slev a srážek, statutární orgány a společníci, kontaktní osoby, obchodní partneři uvedení na dokladech, odesílatelé a příjemci datových zpráv, Uživatelé.

Typy osobních údajů:

• identifikační údaje: jméno, příjmení, datum narození, rodné číslo, adresa, státní občanství, druh a číslo dokladu totožnosti;
• kontaktní údaje;
• mzdové a pracovněprávní údaje: pracovní poměr, mzda a její složky, odpracovaná doba, nepřítomnost, zdravotní pojišťovna, důchodové a nemocenské pojištění, daňové prohlášení a slevy, penzijní připojištění, srážky ze mzdy včetně exekucí, číslo bankovního účtu;
• zvláštní kategorie (čl. 9 GDPR): údaje o zdravotním stavu v rozsahu mzdové agendy (invalidita, ZTP/P, pracovní neschopnost a nemoc);
• údaje na účetních a daňových dokladech (fakturační údaje fyzických osob, platby);
• obsah datových zpráv a komunikace mezi kanceláří a klientem;
• dotazy a odpovědi asistenta Doklio AI.

Příloha 3 — Technická a organizační opatření