Smlouva o zpracování osobních údajů

Účinná od 3. listopadu 2026

Svěřujete nám doklady svých klientů. Tato smlouva podle článku 28 obecného nařízení o ochraně osobních údajů (EU) 2016/679 („GDPR“) říká, co s nimi smíme a jak je chráníme. Je součástí smlouvy o poskytování služby Podklady a vzniká spolu s ní, bez podpisu. Potřebujete-li podepsané vyhotovení, napište nám.

Ve zkratce

Smluvní strany

  1. Správce: zákazník služby Podklady podle všeobecných obchodních podmínek (dále „správce“ a „VOP“).
  2. Zpracovatel: Pilotmedia s.r.o., IČO 24682276, se sídlem U nádrže 618/2, Kobylisy, 182 00 Praha 8, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 165735, e-mail office@pilotmedia.cz (dále „zpracovatel“).
  3. Pojmy mají význam podle GDPR a VOP.

Předmět a doba zpracování

  1. Zpracovatel pro správce zpracovává osobní údaje obsažené v dokladech a dalších datech, které správce nebo jím oprávnění uživatelé vloží do aplikace Podklady, a to v rozsahu nutném k poskytování služby.
  2. Zpracování spočívá v uložení a archivaci dokladů, v převodu (automatickém přečtení) údajů z dokladů, v jejich zobrazení, úpravách, vyhledávání a exportu, v zálohování a v podpoře uživatelů. Jeho účelem je poskytování služby Podklady.
  3. Zpracování trvá po dobu trvání smlouvy o poskytování služby a dále do výmazu dat podle čl. 9.

Údaje a subjekty údajů

  1. Zpracovávají se tyto osobní údaje: identifikační a kontaktní údaje uvedené v dokladech (jméno, příjmení, obchodní firma, adresa, IČO, DIČ, e-mail, telefon), platební údaje (částky, čísla bankovních účtů, maskovaná čísla platebních karet), údaje o nakoupeném zboží a službách, podpisy a další údaje, které doklad obsahuje, a dále jméno a e-mail uživatelů, kterým správce zřídí přístup.
  2. Subjekty údajů jsou klienti správce a jejich obchodní partneři, zaměstnanci a kontaktní osoby uvedené v dokladech a uživatelé účtu.
  3. Služba není určena ke zpracování zvláštních kategorií osobních údajů podle článku 9 GDPR. Objeví-li se takový údaj v dokladu (například na účtence z lékárny), zpracuje se jen jako součást dokladu a dále se nevyhodnocuje.

Povinnosti zpracovatele

  1. Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů správce. Pokyny tvoří tato smlouva, VOP a nastavení a úkony, které správce nebo jeho uživatelé provedou v aplikaci. Další pokyny může správce dát e-mailem. Pokud by podle zpracovatele pokyn porušoval právní předpisy, upozorní na to správce.
  2. Zpracovatel nepoužívá osobní údaje pro vlastní účely. Doklady zejména nepoužívá k trénování modelů umělé inteligence, neprodává je a nevyužívá k reklamě.
  3. Osoby, které mají u zpracovatele přístup k osobním údajům, jsou zavázány mlčenlivostí. Do jednotlivých dokladů nahlížejí jen tehdy, je-li to potřeba k podpoře nebo k opravě chyby převodu.
  4. Zpracovatel přijal technická a organizační opatření podle článku 32 GDPR, zejména:
    • data jsou uložena na serveru zpracovatele v datovém centru v České republice a denně se zálohují na oddělené zařízení v České republice;
    • doklady čtou především počítače zpracovatele v České republice, se serverem si je vyměňují šifrovaně;
    • veškerá komunikace s aplikací je šifrovaná (HTTPS);
    • účty zákazníků jsou od sebe oddělené a uživatel vidí jen data, ke kterým mu správce dal přístup;
    • přihlášení probíhá účtem Google nebo heslem, které se ukládá jen jako kryptografický otisk; přístupové klíče a tajné údaje jsou uloženy šifrovaně;
    • změny dokladů se zaznamenávají včetně toho, kdo a kdy je provedl;
    • k serveru mají přístup jen pověření pracovníci zpracovatele, a to šifrovaným spojením s přihlášením klíčem;
    • software se průběžně aktualizuje.
  5. Zpracovatel správci pomáhá vhodnými opatřeními vyřizovat žádosti subjektů údajů podle článků 12 až 22 GDPR. Obdrží-li takovou žádost přímo, předá ji správci bez zbytečného odkladu.
  6. Zpracovatel správci pomáhá plnit povinnosti podle článků 32 až 36 GDPR (zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu a předchozí konzultace), a to s ohledem na povahu zpracování a informace, které má k dispozici.
  7. Zjistí-li zpracovatel porušení zabezpečení osobních údajů správce, ohlásí je správci bez zbytečného odkladu, nejpozději do 48 hodin, spolu s informacemi podle článku 33 odst. 3 GDPR, které má v tu chvíli k dispozici.
  8. Zpracovatel vede záznamy o činnostech zpracování podle článku 30 odst. 2 GDPR.

Další zpracovatelé

  1. Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. K datu účinnosti této smlouvy jsou to:
    ZpracovatelČinnostMísto zpracování
    OpenAI (OpenAI Ireland Ltd. a OpenAI, L.L.C.)přečtení dokladů, které vlastní systémy zpracovatele nepřečtou dostatečně spolehlivě, a doplnění chybějících údajů; týká se menší části dokladůUSA
    Google Cloud EMEA Limitede-mailová schránka zpracovatele; jen pokud správce pošle doklady nebo údaje e-mailem, například při žádosti o podporuEU a USA
  2. Zapojení nebo výměnu dalšího zpracovatele oznámí zpracovatel správci e-mailem nebo v aplikaci nejméně 30 dní předem. Správce může do 14 dnů od oznámení vznést námitku. Nedohodnou-li se strany, může správce smlouvu o poskytování služby ukončit podle čl. 8.2 VOP.
  3. Zpracovatel ukládá dalším zpracovatelům stejné povinnosti ochrany osobních údajů, jaké stanoví tato smlouva, a za jejich plnění správci odpovídá.
  4. Dalšími zpracovateli nejsou příjemci, kterým správce předá data sám, například propojením s vlastním asistentem umělé inteligence přes MCP, exportem nebo sdílením. Za takové předání odpovídá správce.

Předávání mimo EU

  1. Mimo Evropský hospodářský prostor se osobní údaje předávají jen v případech uvedených v čl. 5.1, a to na základě rozhodnutí Evropské komise o rámci ochrany údajů EU–USA nebo standardních smluvních doložek schválených Evropskou komisí.
  2. Archiv dokladů zůstává na serveru zpracovatele v České republice. Do cloudu se odesílá jen konkrétní doklad, který je potřeba přečíst. OpenAI podle svých podmínek data ze svého API nepoužívá k trénování modelů a uchovává je nejvýše 30 dní ke kontrole zneužití.

Povinnosti správce

  1. Správce odpovídá za zákonnost zpracování, zejména za právní základ pro nahrání dokladů do aplikace a za informování subjektů údajů.
  2. Správce určuje, kteří uživatelé mají k účtu přístup a s jakým oprávněním, a za tyto přístupy odpovídá.

Kontrola

  1. Zpracovatel správci na požádání poskytne informace potřebné k doložení, že plní povinnosti podle této smlouvy.
  2. Správce nebo jím pověřený auditor vázaný mlčenlivostí může u zpracovatele provést audit, oznámí-li jej nejméně 30 dní předem. Audit nesmí ohrozit bezpečnost služby ani data jiných zákazníků. Náklady auditu nese správce.

Konec zpracování

  1. Po skončení smlouvy o poskytování služby má správce 30 dní na stažení dat (čl. 8.4 VOP). Poté zpracovatel osobní údaje správce včetně kopií smaže, ze záloh zmizí nejpozději do dalších 30 dnů. Ukládá-li zpracovateli uchování některých údajů právní předpis, správce o tom informuje.
  2. Na žádost správce zpracovatel data smaže dříve nebo je předá ve strojově čitelné podobě (soubory dokladů a export údajů).

Závěrečná ustanovení

  1. Odpovědnost stran se řídí VOP.
  2. Ve věcech ochrany osobních údajů má tato smlouva přednost před VOP.
  3. Změny této smlouvy se řídí čl. 10 VOP.
  4. Tato smlouva je účinná od 3. listopadu 2026.
Potřebujete podepsané vyhotovení nebo máte otázku? Napište nám na office@pilotmedia.cz.