Smlouva o zpracování osobních údajů

Verze 2026-10-08

Tato smlouva o zpracování osobních údajů (dále jen „Smlouva“) se uzavírá mezi Zákazníkem uvedeným v příloze I jako správcem a Sebastian Drożdż, obchodní název: Special Services jako zpracovatelem (dále jen „my“), který poskytuje službu TransferCRM. Smlouva je součástí Podmínek služby TransferCRM.

1. Doložky

1.1 Smluvní strany se dohodly na standardních smluvních doložkách uvedených v příloze prováděcího rozhodnutí Komise (EU) 2021/915, které jsou níže uvedeny beze změn (dále jen „Doložky“). Doplňují je níže uvedené přílohy I až IV.

1.2 Tam, kde Doložky nabízejí volbu, smluvní strany zvolily: v doložce 1 písm. a) článek 28 odst. 3 a 4 nařízení (EU) 2016/679 (možnost 1); doložka 5 (doložka o přistoupení) se použije; v doložce 7.7 písm. a) obecné písemné povolení (možnost 2), přičemž změny se oznamují nejméně 30 dní předem.

1.3 Pokud jsou Podmínky služby nebo jiná dohoda mezi smluvními stranami v rozporu s Doložkami, mají přednost Doložky (doložka 4).

2. Změny dílčích zpracovatelů

2.1 O každém zamýšleném přidání nebo nahrazení dílčího zpracovatele informujeme Zákazníka nejméně 30 dní před tím, než změna nabude účinnosti, e-mailem vlastníkovi a administrátorům účtu a oznámením v účtu. Před tímto datem nového dílčího zpracovatele nezapojíme.

2.2 Zákazník může proti změně vznést námitku, a to v účtu nebo e-mailem na adresu privacy@transfercrm.com. Pokud je námitka vznesena z oprávněných důvodů týkajících se ochrany údajů a smluvní strany ji nevyřeší před nabytím účinnosti změny, může Zákazník vypovědět smlouvu uzavřenou podle Podmínek služby bez sankce, s účinností nejpozději k tomuto datu. Poplatky zaplacené předem za období po skončení smlouvy se vracejí poměrně.

3. Vrácení a výmaz údajů (doložka 10 písm. d))

3.1 Zákazník může své údaje kdykoli exportovat pomocí exportů dostupných v účtu. Na žádost zaslanou na adresu privacy@transfercrm.com poskytneme do 30 dní úplný export údajů Zákazníka.

3.2 Když Zákazník svůj účet zruší, jeho osobní údaje se ze služby vymažou 30 dní po podání žádosti. Jejich kopie zůstávají v našich zálohách, dokud nejsou přepsány, nejpozději 12 měsíců po výmazu (příloha III); do té doby se na ně Doložky nadále vztahují. Záložní kopie se uchovávají pouze pro obnovu služby po poruše a k žádnému jinému účelu se nepoužívají. Pokud je někdy záloha obnovena, výmazy provedené od jejího pořízení se před použitím obnovené služby provedou znovu. Výmaz potvrdíme e-mailem vlastníkovi, který žádost podal, s uvedením data výmazu a data, do kterého záložní kopie zaniknou.

4. Přistoupení dalších subjektů (doložka 5)

Další právnická osoba může k Doložkám přistoupit podle doložky 5 datovanou písemnou žádostí zaslanou na adresu privacy@transfercrm.com, kterou obě smluvní strany písemně přijmou. Přistupující subjekt poskytne své údaje pro přílohu I. Přistoupení zaznamenáme a potvrdíme e-mailem.

5. Doba trvání

Tato Smlouva platí po dobu existence účtu Zákazníka a poté až do výmazu osobních údajů Zákazníka podle doložky 10 písm. d) a bodu 3.

6. Rozhodné právo a příslušný soud

Tato Smlouva se řídí právem Polské republiky a Evropské unie. Veškeré spory bude řešit příslušný soud v Krakově v Polsku, stejně jako u Podmínek služby. Tím nejsou dotčena práva subjektů údajů ani pravomoci dozorových úřadů.

7. Uzavření v elektronické podobě

Tato Smlouva se uzavírá v elektronické podobě (čl. 28 odst. 9 nařízení (EU) 2016/679) okamžikem, kdy ji vlastník účtu Zákazníka přijme v účtu. Uchováváme záznam o přijaté verzi a jazyce, o osobě, která Smlouvu přijala, a o čase přijetí. PDF přijatého textu s potvrzením o uzavření lze stáhnout v účtu. Závazná je přijatá jazyková verze.

Standardní smluvní doložky

ODDÍL I

Doložka 1 — Účel a oblast působnosti

a) Účelem těchto standardních smluvních doložek (dále jen „doložky“) je zajistit soulad s ustanoveními čl. 28 odst. 3 a 4 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).

b) Správci a zpracovatelé uvedení v příloze I schválili tyto doložky, aby zajistili soulad s čl. 28 odst. 3 a 4 nařízení (EU) 2016/679 a/nebo čl. 29 odst. 3 a 4 nařízení (EU) 2018/1725.

c) Tyto doložky se uplatňují na zpracování osobních údajů, jak je upřesněno v příloze II.

d) Přílohy I až IV jsou nedílnou součástí těchto doložek.

e) Těmito doložkami nejsou dotčeny povinnosti, které správce musí plnit na základě nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.

f) Tyto doložky samy o sobě nezajišťují soulad s povinnostmi týkajícími se mezinárodního předávání podle kapitoly V nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.

Doložka 2 — Neměnnost doložek

a) Smluvní strany se zavazují, že doložky nebudou měnit, s výjimkou doplňování nebo aktualizace informací v přílohách.

b) To stranám nebrání v možnosti zahrnout tyto standardní smluvní doložky stanovené v tomto rozhodnutí do širší smlouvy nebo k nim doplnit další doložky nebo další záruky, pokud tyto nejsou se standardními smluvními doložkami v přímém nebo nepřímém rozporu nebo pokud neomezují základní práva nebo svobody subjektů údajů.

Doložka 3 — Výklad

a) V případech, kdy tyto doložky používají pojmy definované v nařízení (EU) 2016/679 nebo nařízení (EU) 2018/1725, mají tyto pojmy stejný význam jako v uvedeném nařízení.

b) Tyto doložky jsou chápány a vykládány v souladu s ustanoveními nařízení (EU) 2016/679 nebo nařízení (EU) 2018/1725.

c) Tyto doložky nesmí být vykládány způsobem, který by byl v rozporu s právy a povinnostmi stanovenými v nařízení (EU) 2016/679 / nařízení (EU) 2018/1725, nebo který by omezoval základní práva nebo svobody subjektů údajů.

Doložka 4 — Hierarchie

V případě rozporu mezi těmito doložkami a ustanoveními souvisejících dohod existujících mezi stranami v době, kdy jsou tyto doložky sjednány, nebo dohod uzavřených později mají přednost tyto doložky.

Doložka 5 – Nepovinná — Doložka o přistoupení

a) Každý subjekt, který není smluvní stranou těchto doložek, může se souhlasem všech stran k těmto doložkám kdykoli přistoupit buď jako správce, nebo jako zpracovatel, a to tím, že vyplní přílohy a podepíše přílohu I.

b) Po vyplnění a podpisu příloh uvedených v odst. a) je přistupující subjekt považován za smluvní stranu těchto doložek a má práva a povinnosti správce nebo zpracovatele v souladu s jeho určením v příloze I.

c) Přistupujícímu subjektu z těchto doložek nevyplývají žádná práva ani povinnosti pro období před tím, než se stal smluvní stranou.

ODDÍL II — POVINNOSTI STRAN

Doložka 6 — Popis zpracování

Podrobnosti týkající se operací zpracování, zejména kategorie osobních údajů a účely zpracování, pro něž jsou osobní údaje zpracovávány jménem správce, jsou uvedeny v příloze II.

Doložka 7 — Povinnosti stran

7.1 Pokyny

a) Zpracovatel zpracovává osobní údaje pouze na základě písemně doložených pokynů správce, pokud mu takové zpracování neukládá právo Unie nebo členského státu, které se na správce vztahuje. V tomto případě zpracovatel správce informuje o uvedeném právním požadavku před zpracováním, pokud to právní předpisy nezakazují z důvodů důležitého veřejného zájmu. Po celou dobu zpracování osobních údajů může správce rovněž vydávat další pokyny. Tyto pokyny musí být vždy písemně doloženy.

b) Zpracovatel neprodleně informuje správce v případě, že dle jeho názoru pokyny správce porušují nařízení (EU) 2016/679 / nařízení (EU) 2018/1725 nebo příslušná ustanovení Unie nebo členského státu o ochraně údajů.

7.2 Omezení účelu

Zpracovatel zpracovává osobní údaje pouze pro konkrétní účel nebo účely zpracování, jak je stanoveno v příloze II, pokud od správce neobdrží další pokyny.

7.3 Doba trvání zpracování osobních údajů

Zpracování zpracovatelem probíhá pouze po dobu stanovenou v příloze II.

7.4 Zabezpečení zpracování

a) Za účelem zajištění bezpečnosti osobních údajů musí zpracovatel zavést přinejmenším technická a organizační opatření uvedená v příloze III. Součástí těchto opatření musí být ochrana údajů před narušením bezpečnosti, které by vedlo k jejich náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému zpřístupnění nebo přístupu k nim (porušení zabezpečení osobních údajů). Při posuzování vhodné úrovně zabezpečení vezmou strany v úvahu aktuální stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování a rizika pro subjekty údajů.

b) Zpracovatel poskytne svým zaměstnancům přístup ke zpracovávaným osobním údajům pouze v rozsahu nezbytně nutném pro provádění, správu a kontrolu smlouvy. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat obdržené osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

7.5 Citlivé údaje

Pokud zpracování zahrnuje osobní údaje vypovídající o rasovém nebo etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické nebo biometrické údaje za účelem jedinečné identifikace fyzické osoby, údaje o zdravotním stavu nebo o sexuálním životě či sexuální orientaci dané osoby nebo údaje týkající se odsouzení v trestních věcech a trestných činů (dále jen „citlivé údaje“), uplatní zpracovatel zvláštní omezení nebo další záruky.

7.6. Dokumentace a soulad

a) Strany musí být schopny prokázat dodržování těchto doložek.

b) Zpracovatel neprodleně a odpovídajícím způsobem vyřídí dotazy správce, které se týkají zpracovávání podle těchto doložek.

c) Zpracovatel poskytne správci veškeré informace potřebné k prokázání souladu s povinnostmi stanovenými v těchto doložkách, které vyplývají přímo z nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725. Zpracovatel též na žádost správce umožní audity činností zpracování, na něž se tyto doložky vztahují, a k těmto auditům přispěje, a to v přiměřených intervalech nebo pokud existují známky nesouladu. Při rozhodování o přezkumu nebo auditu může správce zohlednit příslušná osvědčení držená zpracovatelem.

d) Správce se může rozhodnout, zda audit provede sám, nebo jím pověří nezávislého auditora. Audity mohou rovněž zahrnovat kontroly v objektech a prostorách zařízení zpracovatele a případně jsou předem včas ohlášeny.

e) Strany na požádání zpřístupní informace uvedené v této doložce, včetně výsledků případných auditů, příslušnému dozorovému úřadu, respektive příslušným dozorovým úřadům.

7.7 Využívání dílčích zpracovatelů údajů

a) Zpracovatel má obecné povolení správce k zapojení dílčích zpracovatelů ze schváleného seznamu. Zpracovatel výslovně písemně informuje správce o všech zamýšlených změnách uvedeného seznamu přijetím nebo nahrazením dílčích zpracovatelů nejméně 30 dní předem, čímž poskytne správci dostatek času na to, aby mohl vznést námitku proti takovým změnám před zapojením dotčeného dílčího zpracovatele / dotčených dílčích zpracovatelů. Zpracovatel poskytne správci informace nezbytné k tomu, aby správce mohl uplatnit své právo vznést námitku.

b) Pokud zpracovatel zapojí dílčího zpracovatele do provádění konkrétních činností zpracování (jménem správce), učiní tak prostřednictvím smlouvy, která ukládá dílčímu zpracovateli v podstatě stejné povinnosti v oblasti ochrany údajů, jaké jsou v souladu s těmito doložkami uloženy zpracovateli údajů. Zpracovatel zajistí, aby dílčí zpracovatel plnil povinnosti, které se na zpracovatele vztahují podle těchto doložek a nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.

c) Zpracovatel poskytne správci na jeho žádost opis dohody s dílčím zpracovatelem a veškeré následné změny dohody. V rozsahu nutném k ochraně obchodního tajemství nebo jiných důvěrných informací, včetně osobních údajů, může zpracovatel před poskytnutím opisu text dohody upravit.

d) Zpracovatel nese vůči správci plnou odpovědnost za to, aby dílčí zpracovatel plnil povinností vyplývající z jeho smlouvy se zpracovatelem. Zpracovatel správce uvědomí, pokud dílčí zpracovatel neplní své povinnosti vyplývající z uvedené smlouvy.

e) Zpracovatel s dílčím zpracovatelem schválí doložku ve prospěch třetí strany, podle níž v případě, že zpracovatel fakticky zmizí, z právního hlediska zanikne, nebo se ocitne v platební neschopnosti, má správce právo ukončit smlouvu s dílčím zpracovatelem a pověřit dílčího zpracovatele, aby osobní údaje vymazal nebo vrátil.

7.8 Mezinárodní předávání údajů

a) Jakékoli předání údajů zpracovatelem do třetí země nebo mezinárodní organizaci se provádí pouze na základě písemně doložených pokynů správce nebo za účelem splnění konkrétního požadavku podle právních předpisů Unie nebo členského státu, které se na zpracovatele vztahují, a to v souladu s kapitolou V nařízení (EU) 2016/679 nebo nařízení (EU) 2018/1725.

b) Správce souhlasí s tím, že pokud zpracovatel v souladu s doložkou 7.7 zapojí dílčího zpracovatele do provádění konkrétních činností zpracováním (jménem správce) a uvedené činnosti zahrnují předání osobních údajů ve smyslu kapitoly V nařízení (EU) 2016/679, mohou zpracovatel a dílčí zpracovatel zajistit soulad s ustanoveními kapitoly V nařízení (EU) 2016/679 použitím standardních smluvních doložek přijatých Komisí v souladu s čl. 46 odst. 2 nařízení (EU) 2016/679, pokud jsou splněny standardní podmínky pro použití těchto smluvních doložek.

Doložka 8 — Pomoc poskytovaná správci

a) Zpracovatel neprodleně informuje správce o každé žádosti, kterou obdržel od subjektu údajů. Na tuto žádost neodpovídá sám, pokud k tomu není správcem zmocněn.

b) Zpracovatel pomáhá správci při plnění jeho povinností reagovat na žádosti subjektů údajů o výkon jejich práv s přihlédnutím k povaze zpracování. Při plnění svých povinností podle ustanovení písmen a) a b) postupuje zpracovatel v souladu s pokyny správce.

c) Kromě toho, že má zpracovatel povinnost pomáhat správci podle doložky 8 písm. b), zpracovatel správci dále pomáhá při zajišťování plnění následujících povinností, a to s přihlédnutím k povaze zpracování údajů a informacím, které má zpracovatel k dispozici:

1) povinnost provést posouzení dopadu zamýšlených operací zpracování na ochranu osobních údajů (dále jen „posouzení vlivu na ochranu údajů“), pokud je pravděpodobné, že určitý druh zpracování bude mít za následek vysoké riziko pro práva a svobody fyzických osob;
2) povinnost konzultovat před zpracováním příslušný dozorový úřad, respektive příslušné dozorové úřady, pokud z posouzení vlivu na ochranu osobních údajů vyplývá, že by dané zpracování mělo za následek vysoké riziko v případě, že by správce nepřijal opatření ke zmírnění tohoto rizika;
3) povinnost zajistit, aby byly osobní údaje přesné a aktuální, a to tím, že zpracovatel správce neprodleně informuje, pokud se dozví, že osobní údaje, které zpracovává, jsou nepřesné nebo zastaralé;
4) povinnosti podle článku 32 nařízení (EU) 2016/679.

d) V příloze III strany stanoví vhodná technická a organizační opatření, jimiž je zpracovatel povinen správci pomáhat při uplatňování této doložky, jakož i oblast působnosti a rozsah požadované pomoci.

Doložka 9 — Ohlašování případů porušení zabezpečení osobních údajů

V případě porušení zabezpečení osobních údajů zpracovatel spolupracuje se správcem a pomáhá mu při plnění jeho povinností podle článků 33 a 34 nařízení (EU) 2016/679 nebo případně podle článků 34 a 35 nařízení (EU) 2018/1725, přičemž zohlední povahu zpracování a informace, které má zpracovatel k dispozici.

9.1 Porušení zabezpečení údajů zpracovávaných správcem

V případě porušení zabezpečení osobních údajů zpracovávaných správcem zpracovatel napomáhá správci:

a) při ohlašování případů porušení zabezpečení osobních údajů příslušnému dozorovému úřadu, respektive příslušným dozorovým úřadům, a to bez zbytečného odkladu poté, co se o něm správce dozvěděl, je-li to relevantní / (pokud je nepravděpodobné, že by porušení zabezpečení osobních údajů vedlo k ohrožení práv a svobod fyzických osob);

b) při získávání následujících informací, které musí být podle čl. 33 odst. 3 nařízení (EU) 2016/679 uvedeny v oznámení správce, a to musí přinejmenším zahrnovat:

1) povahu daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;
2) pravděpodobné důsledky porušení zabezpečení osobních údajů;
3) opatření přijatá nebo navržená k přijetí v souvislosti s porušením zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.

Pokud není možné poskytnout všechny tyto informace najednou, musí původní oznámení obsahovat informace, které jsou v dané době k dispozici, a další informace jsou poté poskytnuty bez zbytečného odkladu, jakmile jsou dostupné.

c) při plnění povinnosti v souladu s článkem 34 nařízení (EU) 2016/679 oznámit bez zbytečného odkladu subjektu údajů porušení zabezpečení osobních údajů, pokud je pravděpodobné, že dané porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob.

9.2 Porušení zabezpečení údajů zpracovávaných zpracovatelem

V případě porušení zabezpečení osobních údajů zpracovávaných zpracovatelem o tom zpracovatel informuje správce bez zbytečného odkladu poté, co se o tomto porušení dozvěděl. Takové oznámení obsahuje alespoň:

a) popis povahy daného případu porušení (včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a záznamů údajů);

b) údaje o kontaktním místě, kde lze získat více informací o daném porušení zabezpečení osobních údajů;

c) pravděpodobné důsledky a opatření přijatá nebo navržená k přijetí v souvislosti s porušením zabezpečení, a to včetně opatření ke zmírnění možných nepříznivých dopadů.

Strany stanoví v příloze III všechny další informace, které má zpracovatel poskytnout, když správci poskytuje pomoc při plnění povinností správce podle článků 33 a 34 nařízení (EU) 2016/679.

ODDÍL III — ZÁVĚREČNÁ USTANOVENÍ

Doložka 10 — Porušení doložek a ukončení smlouvy

a) Aniž jsou dotčena jakákoli ustanovení nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725, pokud zpracovatel poruší své povinnosti podle těchto doložek, může mu správce nařídit, aby pozastavil zpracovávání osobních údajů, dokud zpracovatel nebude plnit povinnosti podle těchto doložek, nebo dokud nebude smlouva vypovězena. Zpracovatel neprodleně informuje správce v případě, že z jakéhokoli důvodu není schopen plnit ustanovení těchto doložek.

b) Správce je oprávněn vypovědět smlouvu v rozsahu, v němž se týká zpracování osobních údajů v souladu s těmito doložkami, pokud:

1) správce pozastavil podle písmene a) zpracovávání osobních údajů zpracovatelem a plnění povinností podle těchto doložek není obnoveno v přiměřené lhůtě a v každém případě do jednoho měsíce od pozastavení;
2) zpracovatel závažně nebo trvale porušuje tyto doložky nebo povinnosti, které pro něj vyplývají z nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725;
3) zpracovatel neplní závazné rozhodnutí příslušného soudu nebo příslušného dozorového úřadu, respektive příslušných dozorových úřadů týkající se jeho povinností vyplývající z těchto doložek nebo z nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.

c) Zpracovatel je oprávněn vypovědět smlouvu v rozsahu, v němž se týká zpracování osobních údajů podle těchto doložek, pokud poté, co informoval správce o tom, že pokyny správce porušují platné právní požadavky podle doložky 7.1 písm. b), správce na splnění těchto pokynů trvá.

d) Po ukončení smlouvy zpracovatel podle volby správce vymaže veškeré osobní údaje zpracovávané jménem správce a potvrdí správci, že tak učinil, nebo vrátí veškeré osobní údaje správci a vymaže stávající kopie, pokud právo Unie nebo členského státu nepožaduje uchovávání osobních údajů. Dokud nejsou osobní údaje vymazány nebo vráceny, zpracovatel nadále zajišťuje dodržování souladu s těmito doložkami.

Příloha I — Seznam stran

Správce

Název: ______________
Adresa: ______________
DIČ: ______________

Kontaktní osoba: ______________, vlastník účtu, ______________
E-mail pro fakturaci: ______________
Role: správce
Podpis a datum přistoupení: elektronickým přijetím v účtu; osobu a datum uvádí potvrzení o uzavření.

Zpracovatel

Název: Sebastian Drożdż, obchodní název: Special Services
Adresa: Skrzynka 7a, 32-410 Dobczyce, PL
NIP (polské daňové identifikační číslo): 6793148834
Kontakt: privacy@transfercrm.com (pověřenec pro ochranu osobních údajů nebyl jmenován)
Role: zpracovatel
Podpis a datum přistoupení: elektronickým přijetím Zákazníka v účtu, ke stejnému datu.

Příloha II — Popis zpracování

Kategorie subjektů údajů, jejichž osobní údaje jsou zpracovávány

Cestující Zákazníka a osoby, které pro ně rezervují jízdy.
Kontaktní osoby klientů Zákazníka (firem, agentur, hotelů).
Řidiči a zaměstnanci Zákazníka, kteří službu používají.
Kontaktní osoby partnerů Zákazníka (jiných přepravních společností).

Kategorie zpracovávaných osobních údajů

Identifikační a kontaktní údaje: jméno, telefonní číslo, e-mailová adresa, firma.
Údaje o rezervaci a trase: adresy a časy vyzvednutí a cíle, čísla letů, počet cestujících a zavazadel, poznámky.
Poloha řidiče ve službě, kterou odesílá aplikace pro řidiče.
Stav platby a částky jízd a faktur. Žádná čísla karet: karty zůstávají u poskytovatele plateb Zákazníka.
Zprávy odeslané prostřednictvím služby: e-mail, SMS, WhatsApp a chat.
Podpisy připojené k cenovým nabídkám.
Údaje uživatelských účtů: jméno, e-mailová adresa, role, záznamy o přihlášení.

Zpracovávané citlivé údaje

Služba není určena pro zvláštní kategorie údajů ani pro údaje týkající se rozsudků v trestních věcech a trestných činů. Může obsahovat potřeby bezbariérovosti, které cestující uvede pro jízdu (například invalidní vozík), a dokumenty o řidičích, které se Zákazník rozhodne nahrát a mezi nimiž může být lékařský nebo psychologický posudek či výpis z rejstříku trestů. O tom, zda je zaznamená, rozhoduje Zákazník. Kromě opatření z přílohy III se na ně vztahují tato omezení (doložka 7.5):

Nahrané dokumenty se ukládají mimo veřejnou část serveru a nemají žádný veřejný odkaz. Soubor uložený v kartě řidiče může otevřít pouze přihlášený uživatel účtu Zákazníka s rolí vlastník, administrátor nebo dispečer; smazat jej může pouze vlastník nebo administrátor. Uživatelé s rolí účetní nebo pozorovatel mohou vidět, že dokument řidiče existuje a kdy pozbývá platnosti, nikoli však samotný soubor.
Řidiči, partneři, cestující, portály pro klienty a agenty ani klíče API nemají k těmto dokumentům přístup.
Soubor připojený k jízdě může otevřít každý uživatel, který může otevřít tuto jízdu. Dokumenty tohoto druhu je proto třeba ukládat ke kartě řidiče, nikoli k jízdě.
Potřeby bezbariérovosti se zobrazují pouze u jízdy, které se týkají: uživatelům účtu Zákazníka a řidiči nebo partnerovi, kterému Zákazník tuto jízdu přidělí. Řidič vidí pouze jízdy, které mu byly přiděleny.
Smazáním dokumentu se smaže jeho soubor; všechny dokumenty se vymažou spolu s účtem (bod 3).

Povaha zpracování

Hosting a ukládání; uspořádání a zobrazení v účtu; přenos (e-maily, SMS, oznámení push, odkazy pro cestující a partnery); přidělování jízd řidičům a partnerům; výpočet cen a dokladů; výmaz.

Účel, pro který jsou osobní údaje zpracovávány jménem správce

Poskytování služby TransferCRM Zákazníkovi podle Podmínek služby: rezervace, dispečink, vozový park, klienti, fakturace a komunikace s cestujícími, řidiči a partnery.

Doba trvání zpracování

Po dobu existence účtu Zákazníka a až do výmazu jeho osobních údajů: ze služby 30 dní po žádosti o zrušení účtu a ze záložních kopií při jejich přepsání, nejpozději 12 měsíců po tomto výmazu (bod 3.2). Během této doby se údaje o poloze řidičů uchovávají 60 dní a záznamy komunikace 365 dní; ostatní doby uchování uvádí příloha III. Všechny ostatní údaje se uchovávají, dokud je Zákazník nesmaže nebo dokud není účet vymazán; údaje, které Zákazník smaže, zůstávají v záložních kopiích, dokud nejsou přepsány, nejdéle 12 měsíců.

Zpracování dílčími zpracovateli

Předmět a povaha zpracování jsou pro každého dílčího zpracovatele uvedeny v příloze IV. Doba trvání je stejná jako výše.

Příloha III — Technická a organizační opatření včetně technických a organizačních opatření k zajištění zabezpečení údajů

Hosting a umístění

Služba a její databáze běží na serverech hostovaných společností Hostinger ve Frankfurtu nad Mohanem v Německu (EU).
Náš vlastní poštovní server (Exim) a náš vlastní server pro komunikaci v reálném čase (soketi) běží na stejném serveru, takže e-maily, které odesíláme, a aktualizace v reálném čase neprocházejí přes žádného externího poskytovatele. Výjimkou jsou služby, které si Zákazník připojí sám (příloha IV).

Šifrování

Všechna připojení ke službě jsou při přenosu šifrována (TLS).
Nastavení firmy a uložené přístupové údaje (například klíče připojených služeb) jsou šifrovány v klidu.
Hesla uživatelů jsou uložena pouze jako hash.

Oddělení zákazníků

Každý záznam nese identifikátor firmy, které patří, a toto oddělení na úrovni řádků je vynuceno v kódu.

Řízení přístupu

Šest rolí: vlastník, administrátor, dispečer, účetní, řidič, pozorovatel.
Dvoufázové ověření je k dispozici každému uživateli. Firma jej může vyžadovat od zaměstnanců kanceláře (vlastníků, administrátorů, dispečerů, účetních, pozorovatelů); řidičů se toto pravidlo netýká.
Přihlášení lze zrušit. Změna druhého faktoru ukončí starší přihlášení.

Dostupnost a obnova

Kopie databáze každých 15 minut, uchovávaná na serveru nejvýše 48 hodin.
Každou noc kopie databáze, uložených souborů a poštovních schránek, uchovávaná na serveru 14 dní; jedna kopie týdně se uchovává 8 týdnů a jedna měsíčně 12 měsíců.
Kopie na serveru může číst pouze účet správce provozovatele.
Každou hodinu se kopie přenášejí šifrovaným spojením na šifrovaný disk, který uchovává provozovatel v Polsku a na kterém se žádná neuchovává déle než 12 měsíců.
Každý týden se nejnovější noční kopie obnoví do samostatné databáze, porovná s databází provozované služby a smaže.
Pokud je záloha obnovena, výmazy účtů provedené od jejího pořízení se před použitím obnovené služby provedou znovu.

Zaznamenávání událostí

Přístupové záznamy se uchovávají 14 dní.

Minimalizace údajů a omezené uchovávání

Čísla karet se k nám nikdy nedostanou: karty zůstávají u poskytovatele plateb Zákazníka.
Žádná záložní kopie se neuchovává déle než 12 měsíců.
Údaje o poloze řidičů se mažou po 60 dnech, záznamy komunikace po 365 dnech.
Neúspěšné úlohy na pozadí se mažou po 30 dnech, dočasné soubory exportu po 24 hodinách.
Zrušený účet se vymaže 30 dní po žádosti a výmaz se potvrdí (bod 3).

Přenositelnost

Zákazník může své údaje kdykoli exportovat v účtu. Úplný export poskytneme na žádost do 30 dní (bod 3).

Pomoc poskytovaná správci

Žádosti subjektů údajů: účet poskytuje nástroje k jejich vyřízení, tedy export, opravu a výmaz cestujících, klientů a řidičů. Žádost, která přijde k nám, předáme Zákazníkovi do 5 pracovních dní; sami na ni neodpovídáme, ledaže nám to Zákazník uloží.
Posouzení vlivu na ochranu osobních údajů a předchozí konzultace: na žádost poskytneme informace, které máme k dispozici, do 30 dní.
Porušení zabezpečení osobních údajů: Zákazníka informujeme bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy jsme se o porušení dozvěděli, e-mailem vlastníkovi účtu a oznámením v účtu, s informacemi, které vyžaduje doložka 9.2.
Pověřenec pro ochranu osobních údajů nebyl jmenován, protože to není povinné. Kontakt: privacy@transfercrm.com.

Příloha IV — Seznam dílčích zpracovatelů

Zákazník uděluje obecné písemné povolení pro dílčí zpracovatele uvedené níže (doložka 7.7 písm. a), možnost 2). Změny se oznamují podle bodu 2. Platný seznam je zveřejněn také na transfercrm.com/legal.

Dílčí zpracovatelé, které využíváme

Název	Zpracování	Umístění	Záruka pro předání
Hostinger International Ltd. (61 Lordou Vironos str., 6023 Larnaca, Cyprus, gdpr@hostinger.com)	Hosting serverů, na kterých běží služba a její databáze.	Frankfurt am Main, DE (EU)	Zpracování v rámci EU/EHP
Google LLC — Firebase Cloud Messaging (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, https://firebase.google.com/support/privacy/dpo)	Oznámení push do aplikace pro řidiče: čas, místo a číslo jízdy a upozornění na novou zprávu.	USA a další lokality Google	Rámec ochrany údajů mezi EU a USA a standardní smluvní doložky

Příjemci jednající jako samostatní správci

Sami podle vlastních podmínek rozhodují, jak přijaté údaje zpracovávají; nejsou našimi dílčími zpracovateli.

Název	Zpracování	Umístění	Záruka pro předání
Google Ireland Limited — Google Maps Platform (Gordon House, Barrow Street, Dublin 4, Ireland, legal-notices@google.com)	Adresy a souřadnice jízd pro mapy, vyhledávání adres (Places), geokódování a trasy. Google je zpracovává jako samostatný správce podle vlastních podmínek.	IE (EU)	Příjemce v EU/EHP (žádné předání z naší strany)
European Commission — VIES (Rue de la Loi 200, 1049 Brussels, Belgium)	Ověřování DIČ pro DPH v národních registrech DPH. U fyzické osoby podnikatele může být toto číslo osobním údajem. Systém VIES provozuje Komise pro daňové orgány členských států, které jsou jeho správci.	BE (EU)	Příjemce v EU/EHP (žádné předání z naší strany)

Služby, které nedostávají žádné osobní údaje

FlightAware LLC (11 Greenway Plaza, Suite 2900, Houston, TX 77046, USA): Stav letu u jízd s číslem letu. Dostává pouze číslo letu (například LH1234), bez jména, data a dalších údajů o jízdě.

Služby, které si připojujete sami

Zpracovávané na váš pokyn na základě vaší vlastní smlouvy s poskytovatelem: údaje předáváme, ale poskytovatel není naším dílčím zpracovatelem.

Vlastní poštovní server (SMTP) nebo účet Google (Gmail) pro odesílání e-mailů
Účty Stripe a PayPal pro platby vašich klientů
Poskytovatelé SMS (například Twilio, SMSAPI)
WhatsApp Business (Meta)
Účetnictví, fakturace a elektronická fakturace (například Fakturownia, wFirma, QuickBooks, Xero, InvoiceXpress, KSeF, Peppol, SdI)
Kalendáře Google Calendar a Microsoft Outlook
Vaše telefonní ústředna, pro oznámení o hovorech
Vlastní účet pro letové údaje (FlightAware, AeroDataBox)
Vlastní klíč AI (Anthropic)
Webhooky a integrace API, které nastavíte