Zpracovatelská smlouva

Zpracovatelem je POSPISILOVE s.r.o., IČO: 23170450, DIČ: CZ23170450, se sídlem Příčná 1892/4, 110 00 Praha 1, Nové Město, provozovatel služby Revizit (dále jen „Poskytovatel“).

Správcem je uživatel služby Revizit, podnikatel vykonávající kominické, revizní nebo obdobné technické činnosti, který si zřídil účet (dále jen „Technik“). Technik rozhoduje o účelech zpracování: údaje svých zákazníků do služby vkládá, aby vedl evidenci, vystavoval zprávy a plnil své zákonné povinnosti.

Technik odpovídá za to, že k údajům, které do služby vloží, má právní titul (zpravidla plnění smlouvy se zákazníkem a plnění právních povinností podle vyhlášky č. 34/2016 Sb. a zákona č. 133/1985 Sb.), a že subjekty údajů informoval podle čl. 13 GDPR. Poskytovatel zpracovává tyto údaje výhradně pro Technika.

Poskytovatel pro Technika zpracovává osobní údaje v rozsahu nutném k provozu služby: evidence zákazníků a nemovitostí, tvorba zpráv o kontrole, čištění a revizi spalinových cest, fakturace, rezervace a upozorňování zákazníků na termíny.

Smlouva se uzavírá na dobu existence účtu Technika. Zánikem účtu nastupují povinnosti podle čl. 7 (export a výmaz).

Kategorie subjektů údajů: zákazníci Technika a jejich kontaktní osoby (objednatelé, vlastníci nemovitostí, správci, zástupci SVJ).

Kategorie údajů: identifikační a kontaktní údaje (jméno, adresa, telefon, e-mail, IČO), údaje o nemovitosti a spalinových cestách, obsah zpráv včetně fotodokumentace, fakturační údaje a záznamy o doručení upozornění (e-mail/SMS).

Operace: ukládání, strukturování, zobrazování, tvorba PDF, odesílání e-mailů a SMS jménem Technika, zálohování a výmaz.

Zvláštní kategorie údajů (čl. 9 GDPR: zdravotní stav, biometrika apod.) se ve službě nezpracovávají a Technik se zavazuje je do služby nevkládat.

Poskytovatel podle čl. 28 odst. 3 GDPR:

• zpracovává údaje jen na pokyn Technika: pokynem je užívání funkcí služby (vytvoření zákazníka, odeslání zprávy, zapnutí připomínek) a dále doložené pokyny zaslané na info@revizit.cz. Pokyny se archivují. Považuje-li Poskytovatel pokyn za rozporný s GDPR, upozorní na to;
• zajišťuje, že všechny osoby s přístupem k údajům jsou vázány mlčenlivostí, která trvá i po skončení spolupráce;
• přijímá technická a organizační opatření podle čl. 32 GDPR, jmenovitě popsaná v Příloze 1;
• dodržuje podmínky pro zapojení dalších zpracovatelů podle čl. 5 této smlouvy;
• je Technikovi nápomocen s žádostmi subjektů údajů (přístup, oprava, výmaz, přenositelnost): údaje jde zobrazit, opravit, smazat i exportovat přímo v aplikaci; nad tento rámec poskytne součinnost bez zbytečného odkladu, nejpozději do 15 dnů;
• porušení zabezpečení s dopadem na údaje Technika oznámí bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, na e-mail účtu Technika. Oznámení obsahuje povahu porušení, dotčené kategorie a přibližný počet subjektů i záznamů, pravděpodobné důsledky a přijatá opatření; informace průběžně doplňuje. Kontaktní bod: info@revizit.cz. S posouzením vlivu (DPIA) a konzultacemi s ÚOOÚ poskytne součinnost za úhradu účelně vynaložených nákladů;
• po ukončení služeb údaje smaže nebo vrátí podle čl. 7;
• poskytne informace nezbytné k doložení souladu a umožní audit: primárně formou dokumentace a písemných odpovědí; audit na místě nejvýše jednou ročně, ohlášený 30 dní předem, v pracovní době, na náklady Technika a bez přístupu k datům jiných zákazníků (infrastruktura je cloudová, prostory třetích stran jsou mimo rozsah auditu).

Technik uděluje obecné povolení k zapojení dalších zpracovatelů. Aktuální seznam je v Příloze 2. Poskytovatel ukládá dalším zpracovatelům smlouvou povinnosti ochrany údajů odpovídající této smlouvě.

Zapojení nového zpracovatele nebo změnu stávajícího Poskytovatel oznámí e-mailem na adresu účtu nejméně 30 dní před účinností. Oznámení obsahuje název, účel, zemi zpracování, mechanismus případného předání mimo EHP a datum účinnosti.

Technik může do 14 dnů od oznámení vznést námitku z důvodů ochrany osobních údajů. Poskytovatel ji projedná v dobré víře a pokusí se nabídnout řešení; nepodaří-li se ho najít do účinnosti změny, může Technik smlouvu vypovědět bez sankce, s poměrnou vratkou nevyčerpaného předplatného a exportem dat podle čl. 7.

Databáze, soubory a fotografie jsou uloženy v EU (Irsko, AWS eu-west-1), zálohy v EU (Amsterdam). Někteří subprocessoři zpracovávají dílčí údaje mimo EU: e-maily odesílá Resend s uložením v USA, aplikace běží na infrastruktuře Vercel v EU (Irsko), ale Vercel Inc. je společnost z USA, a zálohovací úloha běží na GitHub Actions (bez garance regionu). Předání se opírají o rozhodnutí Komise o odpovídající ochraně (EU-US Data Privacy Framework) a standardní smluvní doložky (SCC). Mechanismus u každého subprocessora uvádí Příloha 2.

Právo exportovat data: Technik si může kdykoli stáhnout kompletní export všech svých dat přímo v aplikaci (Nastavení → Export všech dat), bez žádosti, bez čekání.

Smazání dat: po zániku účtu Poskytovatel údaje smaže do 30 dnů; kopie v zálohách se přemažou rotací nejpozději do dalších 35 dní. Výjimkou jsou údaje, které je Poskytovatel povinen uchovat podle právních předpisů (zejména účetní doklady po zákonnou dobu); vystavené zprávy o kontrole a revizi doporučujeme Technikovi před zánikem účtu exportovat. Po výmazu je Poskytovatel neobnoví.

Změny této smlouvy se řídí stejným režimem jako změny Obchodních podmínek (čl. 16 VOP): oznámení e-mailem nejméně 30 dní před účinností, právo předplatné před účinností zrušit. Změny se nikdy neprovádějí pouhou úpravou této stránky.

Odpovědnost stran se řídí Obchodními podmínkami. Strana, která způsobí porušení GDPR, nahradí druhé straně újmu včetně případné pokuty v rozsahu, v jakém porušení způsobila.

Smlouva je akceptována elektronicky (čl. 28 odst. 9 GDPR elektronickou formu výslovně připouští): při samoobslužné registraci spolu s Obchodními podmínkami, u účtu založeného pozvánkou při prvním nastavení účtu a nejpozději při objednávce placeného tarifu. Přijatá verze se u účtu eviduje včetně data. Pro účty založené před 26. srpna 2026 nabývá smlouva účinnosti 25. září 2026.

• Veškerý přenos dat šifrovaně (TLS); data v klidu šifrují poskytovatelé infrastruktury (AES-256).
• Row Level Security na všech tabulkách: každý Technik vidí výhradně svá data, oddělení vynucuje přímo databáze, ne jen aplikace. Součástí je obrana do hloubky (odebraná destruktivní práva, zákaz eskalace rolí, žádný anonymní přístup k datům).
• Dvoufázové přihlášení (jednorázový kód z aplikace v telefonu). U účtu, který ho zapne, ho vynucuje i databáze: bez druhého kroku nevydá žádná data, ani při přímém dotazu mimo aplikaci.
• Soubory (zprávy, fotografie, razítka) v privátních úložištích, přístupné jen přes podepsané, časově omezené odkazy; veřejný je pouze avatar.
• Denní záloha databáze a souborů do nezávislého úložiště v EU s kontrolou integrity a retencí 35 dní; obnovitelnost záloh se pravidelně testuje (naposledy 25. 8. 2026).
• Administrátorský přístup mají pouze jednatelé Poskytovatele. Do účtu Technika nahlížejí jen při řešení podpory, a to jen ke čtení a nejvýš na 30 minut.
• Odhlašovací odkazy v e-mailech jsou kryptograficky podepsané; upozornění zákazníkům respektují souhlas a odhlášení per e-mail i telefon.
• Veřejné formuláře chrání rate-limit a honeypot; interní úlohy autentizuje tajný klíč s porovnáním odolným proti časovým útokům; produkční klíče se nenacházejí v repozitáři kódu.

Stav k 1. října 2026. Změny seznamu se oznamují podle čl. 5 (e-mail 30 dní předem).

Platby a fakturaci předplatného (Stripe, Fakturoid) zpracovává Poskytovatel jako správce údajů Technika. Nejde o zpracování údajů zákazníků Technika; podrobnosti v zásadách zpracování osobních údajů.