Smlouva o zpracování osobních údajů
Podle čl. 28 obecného nařízení o ochraně osobních údajů (GDPR). Platná a účinná od 1. 12. 2026. Je součástí obchodních podmínek a uzavírá se spolu s nimi při registraci kanceláře.
1. Strany
Správce je zákazník – kancelář, která používá Heedly. Zpracovatel je D&T solutions s.r.o., IČO 30029368, Padělky I 3982, 760 01 Zlín, Česká republika.
2. Předmět, účel a doba zpracování
- Předmět a účel: poskytování služby Heedly – načítání zpráv z datových schránek, které správce napojí, jejich uložení, zobrazení, třídění, návrh lhůt, přiřazení lidem, upozornění e-mailem, přeposlání klientovi a export.
- Doba: po dobu trvání smlouvy a 30 dní po jejím skončení (lhůta na export), pak se data smažou.
- Kategorie subjektů: klienti správce a jejich zástupci, odesílatelé a adresáti datových zpráv, osoby uvedené v obsahu zpráv, kontaktní osoby klientů, lidé v kanceláři správce.
- Kategorie údajů: identifikační a kontaktní údaje, údaje obsažené ve zprávách a přílohách (mohou obsahovat i rodná čísla, údaje o daních, dluzích, zdraví nebo trestných činech, podle toho, co úřady klientům posílají), přístupové údaje ke schránkám.
3. Povinnosti zpracovatele
- Zpracovává údaje jen na doložené pokyny správce. Pokynem je smlouva a nastavení, které správce v Heedly provede (napojení schránky, pravidla, přeposlání). Když by pokyn podle zpracovatele porušoval právo, upozorní na to.
- Zajistí, aby se ke zpracování zavázaly mlčenlivostí všechny osoby, které k údajům mají přístup.
- Přijme technická a organizační opatření podle čl. 32 GDPR, zejména: šifrované spojení (HTTPS), šifrované uložení přístupových údajů ke schránkám, oddělení dat kanceláří, role a oprávnění, záznam činností, pravidelné zálohy, aktualizace serveru, přístup správců služby jen přes klíč a jen v nezbytném rozsahu.
- Pomáhá správci vyřizovat žádosti subjektů údajů (přístup, výmaz, oprava) – v aplikaci nebo na žádost.
- Pomáhá správci plnit povinnosti podle čl. 32 až 36 GDPR (zabezpečení, ohlášení porušení, posouzení vlivu).
- Porušení zabezpečení osobních údajů ohlásí správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s popisem, co se stalo, koho a jakých údajů se to týká a co udělal.
- Po skončení smlouvy údaje podle volby správce vrátí (stažení všech dat v aplikaci nebo odkazem z e-mailu) a smaže, včetně kopií, pokud právo nevyžaduje jejich uložení. Ze záloh se údaje smažou při jejich běžném přepisu, nejpozději do 30 dnů.
- Poskytne správci informace potřebné k doložení plnění těchto povinností a umožní audit nebo kontrolu správcem nebo pověřeným auditorem, po ohlášení nejméně 14 dní předem a na náklady správce.
4. Další zpracovatelé
Správce dává obecné povolení k zapojení dalších zpracovatelů. Zpracovatel je smluvně zaváže ke stejným povinnostem a odpovídá za ně. Dnes to jsou:
| Dodavatel | Činnost · místo |
|---|---|
| Hetzner Online GmbH | server, databáze a zálohy · EU (Německo, Finsko) |
| Seznam.cz, a.s. | odesílání e-mailů (upozornění, předání zprávy, přeposlání klientovi) · ČR |
| OpenAI Ireland Ltd. | asistent AI: čtení textu zprávy, shrnutí a návrh lhůty, jen když ho kancelář používá · zpracování v EU, bez ukládání a bez trénování |
| Google Cloud EMEA Ltd. | asistent AI (Claude přes Vertex AI) jako druhá možnost místo OpenAI · zpracování v EU |
O přidání nebo výměně dalšího zpracovatele dá zpracovatel vědět e-mailem nejméně 30 dní předem. Správce může do té doby vznést námitku; když se nedohodnou, může smlouvu vypovědět bez výpovědní doby. Údaje se nepředávají mimo Evropský hospodářský prostor.
5. Povinnosti správce
- Odpovídá za to, že má k napojení schránek a ke zpracování údajů právní základ a oprávnění od klientů.
- Informuje své klienty o tom, že jejich poštu z datové schránky zpracovává ve službě Heedly.
- Rozhoduje, kdo v kanceláři má k údajům přístup, a zda používá asistenta AI.
6. Ostatní
Ve věcech neupravených touto smlouvou platí obchodní podmínky. Odpovědnost stran se řídí GDPR a obchodními podmínkami. Kontakt zpracovatele pro ochranu údajů: doplníme.