Smlouva o zpracování osobních údajů

Verze 1.0, účinná od 21. srpna 2026

1. Předmět a účel

Správce používá systém ChciNaTábor.cz ke správě přihlášek na tábory a další akce pro děti. Při tom svěřuje zpracovateli osobní údaje účastníků a jejich zákonných zástupců. Zpracovatel je zpracovává výhradně za účelem poskytování systému a pouze na základě doložených pokynů správce, jimiž se rozumí i běžné používání aplikace.

Zpracovatel nesmí svěřené údaje používat pro vlastní účely, zejména k marketingu, profilování, prodeji či předávání třetím osobám nad rámec této smlouvy.

2. Rozsah zpracování

Kategorie subjektů	Kategorie údajů
Účastníci akcí (děti)	jméno a příjmení, datum narození, rodné číslo (je-li zadáno), pohlaví, zdravotní pojišťovna, údaje o zdravotním stavu (alergie, léky, omezení, dieta, plavecká úroveň), fotografie (je-li udělen souhlas)
Zákonní zástupci	jméno a příjmení, adresa, e-mail, telefon, údaje o platbách, údaje zaměstnavatele (žádá-li o příspěvek)
Personál správce	jméno, e-mail, telefon, přihlašovací údaje

Zvláštní kategorie údajů: zpracování zahrnuje údaje o zdravotním stavu dětí podle čl. 9 GDPR. Zpracovatel k nim uplatňuje zvýšená opatření podle článku 5.

Doba zpracování: po dobu trvání smluvního vztahu. Po jeho skončení se postupuje podle článku 8.

3. Povinnosti zpracovatele

Zpracovatel se zavazuje, že:

• zpracovává údaje pouze podle doložených pokynů správce, včetně předávání do třetích zemí, ledaže mu zpracování ukládá právo EU nebo členského státu; v takovém případě správce předem informuje, nezakazuje-li to zákon,
• zavázal osoby oprávněné zpracovávat údaje povinností mlčenlivosti,
• přijal opatření podle čl. 32 GDPR (viz článek 5),
• je správci nápomocen při plnění jeho povinností — zejména při vyřizování žádostí subjektů údajů, ohlašování porušení a posuzování vlivu na ochranu údajů,
• po skončení služby údaje vymaže nebo vrátí podle článku 8,
• poskytne správci informace potřebné k doložení souladu a umožní audit podle článku 9,
• neprodleně správce informuje, má-li za to, že jeho pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů.

4. Povinnosti správce

• Správce odpovídá za zákonnost zpracování, které zpracovateli zadává, zejména za právní titul a za informování subjektů údajů.
• Správce zajišťuje, aby do systému nebyly vkládány údaje nad rámec nezbytný pro pořádání akce.
• Správce spravuje přístupy svého personálu a odpovídá za jejich odpovídající rozsah.

5. Zabezpečení (čl. 32 GDPR)

Zpracovatel uplatňuje zejména tato opatření:

• Šifrovaný přenos — veškerá komunikace přes HTTPS (TLS).
• Řízení přístupu — role a oprávnění, hesla ukládaná pouze v podobě otisku (bcrypt), přihlášení chráněné tokenem s omezenou platností, ověření telefonu při zakládání účtu.
• Oddělení dat — každý správce vidí výhradně údaje svých akcí.
• Zálohování — pravidelné zálohy databáze i dokumentů na oddělené úložiště, ověřovaná obnovitelnost.
• Záznamy o činnosti — protokolování přístupů a operací s údaji, evidence přihlášení.
• Omezení uchování — automatické mazání zdravotních údajů a dokumentů 3 měsíce po skončení akce.

6. Další zpracovatelé

Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele uvedené níže. Zpracovatel je zaváže stejnými povinnostmi, jaké plynou z této smlouvy, a odpovídá za jejich plnění.

Další zpracovatel	Účel	Umístění
Contabo GmbH	hosting serveru a databáze	Německo (EU)
Amazon Web Services	úložiště dokumentů a fotografií	EU (Frankfurt)
Google LLC	odesílání e-mailů (Gmail API)	USA*
Stripe, Inc.	zpracování plateb kartou	USA*
SMSbrána.cz	odesílání SMS	Česká republika

* Předání do USA probíhá na základě standardních smluvních doložek Evropské komise, případně na základě rozhodnutí o odpovídající ochraně (EU–US Data Privacy Framework).

Změny: o záměru zapojit dalšího zpracovatele nebo nahradit stávajícího informujeme správce nejméně 30 dní předem e-mailem. Správce může v této lhůtě vznést námitku; nedojde-li k dohodě, může smlouvu vypovědět bez sankce.

Platí-li správce karty přes vlastní účet u Stripe (funkce „platby kartou“), je ve vztahu k platebním údajům samostatným správcem a Stripe je jeho zpracovatelem — peníze ani platební údaje neprocházejí přes zpracovatele.

7. Porušení zabezpečení

Zjistí-li zpracovatel porušení zabezpečení svěřených údajů, ohlásí je správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl. Ohlášení obsahuje povahu porušení, dotčené kategorie a přibližný počet subjektů, pravděpodobné důsledky a přijatá či navrhovaná opatření.

Ohlašovací povinnost vůči dozorovému úřadu a subjektům údajů plní správce; zpracovatel mu k tomu poskytne veškerou potřebnou součinnost.

8. Ukončení a naložení s údaji

Po ukončení poskytování služby zpracovatel podle volby správce údaje vrátí nebo vymaže, včetně existujících kopií, ledaže jejich uložení ukládá právo EU nebo členského státu.

• Správce si může kdykoli a zdarma stáhnout kompletní export svých dat přímo v aplikaci (funkce „Export všech dat“).
• Po zrušení účtu jsou údaje k dispozici k exportu ještě 30 dní, poté jsou smazány.
• Ze záloh mizí údaje nejpozději do 90 dní.
• Účetní doklady se uchovávají po zákonnou dobu (zpravidla 5 let) — zde vystupuje zpracovatel jako samostatný správce.

9. Doložení souladu a audit

Zpracovatel poskytne správci na vyžádání informace potřebné k doložení plnění povinností podle čl. 28 GDPR. Správce je oprávněn provést audit, a to nejvýše jednou ročně, po oznámení nejméně 30 dní předem, v pracovní době a způsobem, který nenaruší provoz. Náklady nese správce, ledaže audit odhalí podstatné porušení této smlouvy.

10. Odpovědnost a závěrečná ujednání

Odpovědnost stran se řídí čl. 82 GDPR a českým právním řádem.

Tato smlouva je nedílnou součástí smluvního vztahu o užívání systému ChciNaTábor.cz a trvá po celou dobu jeho trvání.

Zpracovatel může znění smlouvy změnit, vyžadují-li to změny právní úpravy nebo provozu služby. O změně informuje správce nejméně 30 dní předem; neodmítne-li ji správce a užívá-li systém dále, považuje se změna za přijatou. Odmítne-li ji, může smluvní vztah ukončit bez sankce.

Otázky týkající se této smlouvy směřujte na info@chcinatabor.cz.

Související dokumenty: Ochrana osobních údajů · Obchodní podmínky