Smlouva o zpracování osobních údajů

Uzavřená podle článku 28 nařízení (EU) 2016/679 (GDPR) Verze 1.1 | Účinná od 1. 11. 2026

Preambule

Tato smlouva o zpracování osobních údajů (dále jen „Smlouva") tvoří nedílnou součást smlouvy o poskytování služby flowlogis uzavřené podle Obchodních podmínek (dále jen „Hlavní smlouva").

Smluvní strany:

• Správce — organizace, která si zřídila účet na platformě flowlogis a jejíž identifikační údaje jsou uvedeny v jejím profilu v platformě.
• Zpracovatel — Jan Prokop, IČO 01680188, se sídlem Lomená 668, 294 04 Dolní Bousov, Česká republika, provozovatel platformy flowlogis.

Smlouva se považuje za uzavřenou okamžikem uzavření Hlavní smlouvy, tedy potvrzením objednávky Zpracovatelem. Na žádost Správce vystaví Zpracovatel samostatně podepsané vyhotovení této Smlouvy.

Správce prohlašuje, že je ve vztahu k osobním údajům vkládaným do platformy správcem podle článku 4 bodu 7 GDPR a že zpracování probíhá na základě jím určeného právního titulu.

1. Předmět a rozsah zpracování

1.1 Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování platformy flowlogis Správci v rozsahu sjednaném Hlavní smlouvou.

1.2 Podrobný popis zpracování je uveden v příloze A.

1.3 Tato Smlouva se nevztahuje na zpracování, při kterém Zpracovatel vystupuje jako samostatný správce, zejména na registrační a fakturační údaje. To upravují Zásady ochrany osobních údajů.

2. Doba trvání

2.1 Smlouva je účinná po dobu trvání Hlavní smlouvy včetně období, po které je účet Správce veden v režimu pouze pro čtení podle obchodních podmínek.

2.2 Ustanovení, která mají svou povahou přetrvat, zejména o mlčenlivosti, výmazu dat a odpovědnosti, zůstávají v platnosti i po jejím ukončení.

3. Pokyny Správce

3.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, včetně předání do třetí země, ledaže mu takové zpracování ukládá právo Evropské unie nebo členského státu; v takovém případě Správce předem informuje, nezakazuje-li to dané právo z důvodu důležitého veřejného zájmu.

3.2 Za doložený pokyn Správce se považuje:

a) tato Smlouva a Hlavní smlouva; b) konfigurace a nastavení provedená Správcem v platformě; c) běžné užívání platformy uživateli Správce, tedy vkládání, úprava, mazání a sdílení dat; d) samostatné písemné pokyny zaslané na adresu info@flowlogis.com.

3.3 Zpracovatel neprodleně informuje Správce, má-li za to, že určitý pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů, a je oprávněn provedení takového pokynu odmítnout.

3.4 Zpracovatel nepoužívá osobní údaje Správce pro vlastní účely. Zejména je neprodává, nepronajímá, nevyužívá k vlastnímu marketingu ani k trénování modelů strojového učení.

4. Mlčenlivost

4.1 Zpracovatel zajistí, že osoby oprávněné zpracovávat osobní údaje se zavázaly k mlčenlivosti nebo že se na ně vztahuje zákonná povinnost mlčenlivosti. Tato povinnost trvá i po ukončení jejich činnosti pro Zpracovatele.

4.2 Přístup k osobním údajům Správce mají pouze osoby, které jej nezbytně potřebují k plnění Hlavní smlouvy.

5. Zabezpečení zpracování

5.1 Zpracovatel zavedl technická a organizační opatření podle článku 32 GDPR popsaná v příloze C.

5.2 Zpracovatel je oprávněn opatření aktualizovat, nesmí však snížit celkovou úroveň zabezpečení.

5.3 Správce potvrzuje, že opatření podle přílohy C považuje s ohledem na povahu zpracování za přiměřená. Správce bere výslovně na vědomí ustanovení bodu C.3 přílohy C o rozsahu zálohování.

6. Další zpracovatelé

6.1 Správce uděluje Zpracovateli obecné povolení k zapojení dalších zpracovatelů za podmínek tohoto článku.

6.2 Aktuální seznam dalších zpracovatelů je uveden v příloze B.

6.3 O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje Zpracovatel Správce nejméně 30 dnů předem e-mailem na kontaktní adresu Správce.

6.4 Správce může proti změně vznést odůvodněnou námitku ve lhůtě 15 dnů od oznámení. Nedojde-li k dohodě, je Správce oprávněn Hlavní smlouvu ukončit ke dni nasazení nového zpracovatele s nárokem na vrácení poměrné části uhrazené ceny.

6.5 Zpracovatel uloží každému dalšímu zpracovateli smluvně stejné povinnosti ochrany údajů, jaké jsou sjednány v této Smlouvě, a odpovídá Správci za plnění jejich povinností stejně, jako by zpracování prováděl sám, v souladu s článkem 28 odst. 4 GDPR.

7. Předávání do třetích zemí

7.1 Osobní údaje jsou uloženy výhradně na serverech v Evropské unii, v Irsku.

7.2 Další zpracovatelé uvedení v příloze B jsou usazeni ve Spojených státech amerických. I při uložení dat v Evropské unii nelze vyloučit přístup jejich podpory ze třetí země. Pro tyto případy je předání zajištěno:

a) certifikací podle rámce EU–U.S. Data Privacy Framework na základě rozhodnutí Evropské komise ze dne 10. 7. 2023, nebo b) standardními smluvními doložkami podle prováděcího rozhodnutí Komise (EU) 2021/914 spolu s posouzením dopadů předání a doplňkovými technickými opatřeními, zejména šifrováním při přenosu i v klidu.

7.3 Kopii uplatněných záruk poskytne Zpracovatel Správci na vyžádání.

8. Součinnost při výkonu práv subjektů údajů

8.1 Zpracovatel poskytne Správci součinnost prostřednictvím vhodných technických a organizačních opatření k plnění jeho povinností reagovat na žádosti subjektů údajů podle článků 12 až 23 GDPR.

8.2 Platforma umožňuje Správci vlastními silami údaje vyhledat, opravit, exportovat i smazat. Vyžaduje-li vyřízení žádosti zásah Zpracovatele, poskytne jej bez zbytečného odkladu, nejpozději do pěti pracovních dnů od doručení žádosti Správce.

8.3 Obrátí-li se subjekt údajů se žádostí přímo na Zpracovatele, Zpracovatel ji sám nevyřizuje a bez zbytečného odkladu ji předá Správci.

8.4 Součinnost nad rámec běžného rozsahu, zejména opakované nebo rozsáhlé požadavky, vyplnění rozsáhlých bezpečnostních dotazníků, účast na auditu na místě nebo forenzní analýzu, může Zpracovatel účtovat sazbou 1 500 Kč za hodinu po předchozím odsouhlasení Správcem.

9. Součinnost při plnění dalších povinností Správce

9.1 Zpracovatel poskytne Správci součinnost při plnění povinností podle článků 32 až 36 GDPR, zejména při zajištění bezpečnosti zpracování, při ohlašování porušení zabezpečení a při posouzení vlivu na ochranu osobních údajů.

9.2 Součinnost je poskytována s ohledem na povahu zpracování a na informace, které má Zpracovatel k dispozici.

10. Porušení zabezpečení osobních údajů

10.1 Zjistí-li Zpracovatel porušení zabezpečení osobních údajů Správce, ohlásí je Správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl.

10.2 Oznámení obsahuje v dostupném rozsahu popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů údajů a záznamů, kontaktní údaje pro získání bližších informací, popis pravděpodobných důsledků a popis přijatých nebo navržených opatření.

10.3 Nejsou-li všechny informace dostupné najednou, poskytne je Zpracovatel postupně bez dalšího zbytečného odkladu.

10.4 Ohlášení dozorovému úřadu a subjektům údajů provádí Správce. Zpracovatel k tomu poskytne potřebnou součinnost a dokumentaci.

10.5 Zpracovatel vede evidenci případů porušení zabezpečení.

11. Kontroly a audity

11.1 Zpracovatel poskytne Správci informace nutné k doložení plnění povinností podle článku 28 GDPR.

11.2 Zpracovatel umožní audity včetně inspekcí prováděné Správcem nebo jím pověřeným auditorem za těchto podmínek:

a) audit lze provést nejvýše jednou za dvanáct měsíců, mimo případy porušení zabezpečení nebo požadavku dozorového úřadu; b) audit se ohlašuje písemně nejméně 30 dnů předem; c) audit probíhá v pracovní době způsobem co nejméně narušujícím provoz a nesmí zasahovat do dat jiných zákazníků; d) auditor nesmí být konkurentem Zpracovatele a musí být vázán mlčenlivostí; e) náklady auditu nese Správce, ledaže audit odhalí podstatné porušení povinností Zpracovatele.

11.3 Zpracovatel může požadavek na audit primárně splnit předložením aktuální dokumentace zabezpečení, vyplněného bezpečnostního dotazníku nebo certifikátů a zpráv nezávislého auditora svých poskytovatelů infrastruktury.

12. Výmaz a vrácení údajů

12.1 Po ukončení poskytování služby Zpracovatel podle volby Správce osobní údaje vrátí ve formě exportu nebo vymaže včetně existujících kopií, ledaže právo Evropské unie nebo členského státu uchování vyžaduje.

12.2 Nezvolí-li Správce jinak, postupuje se podle článku 7 obchodních podmínek: účet přechází do režimu pouze pro čtení na dobu dvanácti měsíců, po jejich uplynutí je Správce vyzván a má dalších 30 dnů k exportu dat, po marném uplynutí této lhůty jsou data trvale smazána. Po celou tuto dobu je export dostupný ve formátech JSON a XLSX.

12.3 Správce může kdykoli dříve požádat o export nebo výmaz dat; Zpracovatel žádosti vyhoví bez zbytečného odkladu.

12.4 Zpracovatel na žádost vystaví Správci písemné potvrzení o provedeném výmazu.

13. Odpovědnost

13.1 Odpovědnost stran se řídí článkem 82 GDPR a příslušnými ustanoveními Hlavní smlouvy.

13.2 Omezení odpovědnosti sjednané v Hlavní smlouvě se uplatní i na tuto Smlouvu; neuplatní se však v rozsahu, v jakém by bylo v rozporu s kogentními ustanoveními GDPR.

13.3 Správce odpovídá za zákonnost zpracování, za existenci právního titulu, za splnění informační povinnosti vůči subjektům údajů a za správnost a přiměřenost vkládaných údajů.

14. Závěrečná ustanovení

14.1 V případě rozporu mezi touto Smlouvou a Hlavní smlouvou má ve věcech ochrany osobních údajů přednost tato Smlouva.

14.2 Zpracovatel je oprávněn tuto Smlouvu aktualizovat postupem podle článku 14 obchodních podmínek, zejména v návaznosti na změny právní úpravy nebo rozhodnutí dozorových úřadů. Aktualizace nesmí snížit úroveň ochrany osobních údajů.

14.3 Smlouva se řídí právem České republiky. Rozhodná je česká jazyková verze.

Příloha A — Popis zpracování

A.1 Předmět zpracování Poskytování cloudové platformy flowlogis pro plánování výroby, logistiku, nákup a zadávání přeprav (modul Doprava), správu projektů a související agendu.

A.2 Povaha a účel zpracování Ukládání, strukturování, zobrazování, úprava, vyhledávání, sdílení v rámci organizace, export, odesílání souvisejících e-mailových oznámení a výmaz osobních údajů vložených Správcem, výhradně za účelem zpřístupnění funkcí platformy Správci.

V modulu Doprava navíc odesílání poptávek, pozvánek do výběrových řízení, objednávek a připomínek dopravcům, které Správce osloví, jménem Správce, zpřístupnění vybraného dokladu oslovenému dopravci a přijímání jeho nabídek, odpovědí, zpráv a příloh pro Správce.

A.3 Doba zpracování Po dobu trvání Hlavní smlouvy a následně podle článku 12 této Smlouvy.

A.4 Kategorie subjektů údajů

• zaměstnanci a spolupracovníci Správce, kteří jsou uživateli platformy;
• kontaktní osoby zákazníků, dodavatelů a obchodních partnerů Správce;
• osoby uvedené Správcem v projektech, tabulkách, úkolech, reportech a přílohách;
• dopravci a jejich kontaktní osoby, které Správce eviduje ve svém adresáři dopravců nebo osloví v modulu Doprava, včetně osob, které za dopravce odpovídají na poptávky, výběrová řízení a objednávky.

A.5 Kategorie osobních údajů

A.6 Zvláštní kategorie údajů Zpracování zvláštních kategorií osobních údajů podle článku 9 GDPR a údajů podle článku 10 GDPR není předpokládáno ani povoleno, nedohodnou-li se strany písemně jinak.

A.7 Kontaktní místo Za Zpracovatele: info@flowlogis.com. Za Správce: kontaktní e-mail administrátora uvedený v platformě.

Příloha B — Seznam dalších zpracovatelů

Rozsah údajů předávaných společnosti Upstash, Inc. je omezen na IP adresu nebo identifikátor uživatele a na čítač počtu požadavků. Nepředávají se jména, e-maily ani obsahová data.

Nástroj pro správu verzí zdrojového kódu neobsahuje produkční data Správce a není proto dalším zpracovatelem.

Poslední aktualizace: 1. 11. 2026

Příloha C — Technická a organizační opatření

C.1 Řízení přístupu

• Autentizace e-mailem a heslem; hesla jsou ukládána výhradně v podobě kryptografického otisku.
• Minimální délka hesla dvanáct znaků. Dvoufaktorové ověření není v současné době k dispozici.
• Oddělení dat jednotlivých organizací na úrovni databáze technologií Row Level Security. Uživatel nemá technickou možnost přistoupit k datům jiné organizace.
• Role administrátora a uživatele, přístup k modulům řízený výslovným přidělením.
• Sdílení projektů pouze na základě výslovné akce oprávněného uživatele.
• Omezení četnosti požadavků na úrovni aplikace i serverových funkcí.
• Dopravci oslovení v modulu Doprava přistupují jen k dokladu, ke kterému byli pozváni, přes odkaz s náhodným přístupovým tokenem, z něhož je v databázi uložen pouze kryptografický otisk. Odkaz je vázán na jedno pozvání, má omezenou platnost a po otevření se vymění za relaci v zabezpečené cookie. Nabídky jiných dopravců ani jejich počet dopravce nevidí.

C.2 Šifrování

• Veškerá komunikace je šifrována protokolem TLS 1.2 a vyšším.
• Data v klidu jsou šifrována na straně poskytovatele databázové platformy.

C.3 Dostupnost a odolnost

• Data jsou uložena na redundantním úložišti poskytovatele databázové platformy v Irsku.
• Automatizované zálohování s možností obnovy k určitému okamžiku není v současné době součástí rozsahu služby. Správci se proto doporučuje provádět pravidelný export dat prostředky platformy. Rozšíření rozsahu služby bude Správci oznámeno postupem podle článku 14.2.

C.4 Integrita a evidence

• Údaje o vlastníkovi a čase vytvoření a poslední změny jsou vedeny u každého projektu.
• Přístupové a chybové logy zajišťují poskytovatelé platforem v rozsahu daném jejich plánem.
• V modulu Doprava je veden auditní záznam změn poptávek, výběrových řízení, cen a objednávek (kdo, kdy a jakou změnu provedl). V ostatních modulech samostatný aplikační auditní záznam není v současné době veden.

C.5 Organizační opatření

• Přístup k produkčním datům je omezen na nezbytný okruh osob, které jsou vázány mlčenlivostí.
• Vývojové a produkční prostředí jsou oddělena.
• Zdrojový kód je veden v privátním repozitáři s automatizovaným skenováním na úniky přístupových údajů a s automatickou kontrolou aktuálnosti závislostí.
• Je zaveden postup pro řešení bezpečnostních incidentů včetně notifikačních lhůt podle článku 10.

C.6 Minimalizace

• Shromažďovány jsou pouze údaje nezbytné k poskytování služby.
• Platforma podporuje export a výmaz dat na úrovni projektu i organizace.