Smlouva o zpracování osobních údajů (DPA)

Uzavírá se dle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR). Účinnost: 21. 9. 2026

Smluvní strany

Správce: uživatel služby Invico — fyzická nebo právnická osoba, která v rámci své podnikatelské činnosti vkládá do služby osobní údaje svých odběratelů, dodavatelů a dalších osob (dále jen „správce").

Zpracovatel: provozovatel služby Invico — Tomáš Dvořák, se sídlem č.p. 108, 686 01 Kostelany nad Moravou, IČO 24330621, zapsaný v živnostenském rejstříku (OSVČ) (dále jen „zpracovatel").

Smlouva se uzavírá akceptací Obchodních podmínek při registraci účtu a platí po dobu trvání účtu, pokud strany nesjednají jinak.

1. Předmět a vymezení

1.1. Zpracovatel pro správce zpracovává osobní údaje vložené správcem do služby — zejména údaje obsažené v dokladech, kontaktech, nákladech a přílohách (dále jen „údaje").

1.2. Charakter zpracování: ukládání, organizace, zobrazení, export, přenos (e-mail, veřejný odkaz, API, webhooks — dle pokynů správce), zálohování, výmaz.

1.3. Účel: poskytování služby fakturace a evidence dle Obchodních podmínek.

1.4. Doba zpracování: po dobu trvání účtu. Po ukončení účtu zpracovatel údaje vymaže nebo vrátí správci dle čl. 2 písm. g) — povinnost archivace daňových dokladů po ukončení náleží výhradně správci; zpracovatel nemá samostatný právní titul údaje uchovávat.

1.5. Kategorie subjektů údajů: odběratelé, dodavatelé a kontaktní osoby správce.

1.6. Kategorie údajů: identifikační a kontaktní údaje (jméno, adresa, IČO/DIČ, e-mail, telefon), údaje o obchodních transakcích (položky, ceny, platební údaje), případně obsah příloh a poznámek dle volby správce.

2. Závazky zpracovatele

Zpracovatel se zavazuje:

a) zpracovávat údaje výhradně na dokumentované pokyny správce — pokyny jsou dány konfigurací služby a akcemi správce; zpracovatel upozorní správce, pokud by pokyn podle jeho názoru porušoval GDPR,

b) zajistit, aby osoby oprávněné zpracovávat údaje byly vázány mlčenlivostí nebo zákonnou povinností,

c) přijmout technická a organizační opatření dle čl. 32 GDPR odpovídající riziku — především šifrování přenosu (TLS), hashování přihlašovacích údajů, tenantová izolace dat, řízení přístupů na základě rolí, auditní logování, pravidelné zálohování a testování obnovy,

d) respektovat podmínky pro další zpracovatele dle čl. 3,

e) přiměřeně pomáhat správci při plnění jeho povinností vůči subjektům údajů (právo na přístup, opravu, výmaz, přenositelnost, omezení, námitka) — zejména prostřednictvím funkcí služby (export, editace, smazání),

f) pomáhat správci s povinnostmi dle čl. 32–36 GDPR (bezpečnost, hlášení incidentů, posouzení vlivu), přiměřeně povaze zpracování,

g) na základě volby správce po ukončení smlouvy **všechny údaje vymazat nebo vrátit správci** a vymazat existující kopie — povinnost uchovávání daňových dokladů po ukončení náleží správci jako povinné osobě, nikoli zpracovateli,

h) zpřístupnit správci informace potřebné k prokázání plnění této smlouvy a umožnit audity dle čl. 4.

3. Další zpracovatelé (sub-processors)

3.1. Správce uděluje zpracovateli obecný souhlas se zapojením dalších zpracovatelů uvedených v seznamu níže. O změnách seznamu bude správce informován e-mailem přiměřeně předem a může vznést námitku; při neakceptaci může správce smlouvu vypovědět.

3.2. Aktuální seznam dalších zpracovatelů:

E-mail dokladů odesílaný přes SMTP server nastavený správcem probíhá infrastrukturou správcem zvoleného poskytovatele — není dalším zpracovatelem zpracovatele, ale součástí pokynů správce.

3.3. Zpracovatel zajišťuje, aby další zpracovatelé byli vázáni povinnostmi odpovídajícími této smlouvě; za jejich plnění odpovídá správci.

4. Porušení zabezpečení a audity

4.1. Zpracovatel oznámí správci porušení zabezpečení osobních údajů **bez zbytečného odkladu, nejpozději do 48 hodin** od jeho zjištění, a to na e-mail účtu, s přiměřenými informacemi k povaze, rozsahu a nápravným opatřením.

4.2. Audity provádí správce nebo jím pověřený auditor, nejdříve po oznámení doručeném zpravidla 30 dnů předem a v přiměřeném rozsahu (zpravidla dotazníkově či doložením certifikací a provozní dokumentace; fyzický audit jen v odůvodněných případech a za podmínek ochrany obchodního tajemství a dat ostatních uživatelů). Náklady auditu nese správce, ledaže audit prokáže podstatné porušení smlouvy.

5. Povinnosti správce

5.1. Správce odpovídá za zákonnost získání údajů, za splnění informačních povinností vůči subjektům údajů a za to, že obsah vložený do služby odpovídá účelu zpracování.

5.2. Správce rozhoduje o konfiguraci služby (komu udělí přístup, co zveřejní odkazem, co odešle e-mailem či API) — tyto volby jsou pokyny ke zpracování.

6. Závěrem

6.1. Smlouva se řídí právem ČR. Rozdíly mezi smlouvou a Obchodními podmínkami se v otázkách zpracování údajů řídí touto smlouvou.

6.2. Smlouva zaniká ukončením účtu; povinnosti dle čl. 2 písm. g) trvají do výmazu/vrácení údajů. Verze legal-v2.