Smlouva o zpracování osobních údajů

uzavřená podle čl. 28 odst. 3 nařízení (EU) 2016/679 (dále jen „GDPR“) a zákona č. 110/2019 Sb., o zpracování osobních údajů

Příloha Všeobecných obchodních podmínek Nextivo · účinná od 30. 9. 2026 · verze 2.0

Článek 1 — Strany a vznik

1.1 Správce — Zákazník podle Všeobecných obchodních podmínek Nextivo (dále jen „VOP“), tj. podnikatel, který má v portálu app.nextivo.cz registrovanou Organizaci nebo uzavřel s Poskytovatelem individuální smlouvu.

1.2 Zpracovatel — Ing. Roman Chybík, podnikající pod obchodní značkou Nextivo, IČO 09944885, se sídlem Nuselská 374/96, 140 00 Praha 4, e-mail info@nextivo.cz (dále jen „Zpracovatel“). Zpracovatel nemá jmenovaného pověřence pro ochranu osobních údajů; kontaktní osobou je Ing. Roman Chybík.

1.3 Smlouva se uzavírá současně s VOP (zaškrtnutím souhlasu při registraci Organizace, potvrzením v portálu vlastníkem nebo správcem Organizace, nebo podpisem individuální smlouvy). Zpracovatel uchovává záznam o tom, kdo za Organizaci souhlasil, s kterou verzí této smlouvy a kdy; záznam Správce vidí v portálu (Firma → Smluvní dokumenty) a zůstává zachován i po zrušení účtu, který souhlas udělil. Na žádost Správce Zpracovatel vyhotoví podepsanou verzi s vyplněnou Přílohou A.

1.4 Ve věcech osobních údajů má tato smlouva přednost před VOP. Individuálně podepsaná DPA má přednost před tímto zněním. Vyplněná Příloha A má přednost v rozsahu, v němž je pro Správce příznivější.

Článek 2 — Předmět, povaha, účel a doba

2.1 Předmět a účel: provoz Aplikací, které má Správce aktivované, podle VOP a Karet aplikací, v rozsahu nezbytném pro jejich fungování, podporu a zabezpečení.

2.2 Povaha: uložení, uspořádání, vyhledání, zobrazení, výpočet, export, import, zálohování, předání dalším zpracovatelům podle Přílohy B, výmaz; u Funkcí AI též automatizované zpracování zadání jazykovým modelem s výstupem ve formě návrhu.

2.3 Doba: po dobu trvání smlouvy podle VOP; poté podle článku 9.

2.4 Zpracovatel nezpracovává osobní údaje Správce pro vlastní účely, zejména je nepoužívá k trénování modelů AI, k vlastní analýze, k vývoji funkcí pro jiné zákazníky ani k tvorbě testovacích dat. Souhrnné provozní statistiky bez osobních údajů (počty záznamů, využití funkcí) Zpracovatel používá k vyúčtování a provozu Služby.

Článek 3 — Subjekty a kategorie údajů

3.1 Rozsah závisí na aktivovaných Aplikacích:

3.2 Zvláštní kategorie (čl. 9 GDPR). Údaj o nepřítomnosti z důvodu nemoci či ošetřování a o platnosti lékařské prohlídky v Personalistice může být údajem o zdravotním stavu. Zpracovatel jej zpracovává jen v tomto rozsahu (druh nepřítomnosti a datum, ne diagnózu), s oprávněním jen pro role Personalista a Správce a bez předání Funkcím AI; Směny vidí jen „nepřítomnost“ bez důvodu. Jiné zvláštní kategorie Správce do Služby nevkládá; potřebuje-li to, sjedná to předem v Příloze A.

3.3 Rodné číslo, číslo účtu zaměstnance a zdravotní pojišťovnu Personalistika záměrně nevede.

Článek 4 — Pokyny Správce

4.1 Zpracovatel zpracovává údaje jen na doložené pokyny Správce, včetně předání do třetích zemí, ledaže mu zpracování ukládá právo EU nebo ČR (pak Správce předem informuje, nebrání-li tomu zákon).

4.2 Pokynem je užívání Aplikace v souladu s jejím určením, nastavení provedené Správcem nebo jeho Uživateli (včetně zapnutí ověření polohy, propojení e-mailové schránky, použití Funkce AI nebo AI agenta) a pokyn e-mailem od vlastníka nebo správce Organizace.

4.3 Považuje-li Zpracovatel pokyn za rozporný s GDPR, neprodleně to Správci oznámí a může jej odmítnout provést.

Článek 5 — Mlčenlivost a zabezpečení

5.1 Zpracovatel zavazuje mlčenlivostí každou osobu, která se k údajům dostane; povinnost trvá i po skončení spolupráce. Přístup k produkčním datům má na straně Zpracovatele jen Ing. Roman Chybík. Zaměstnance ani externí vývojáře s přístupem k produkčním datům Zpracovatel nemá.

5.2 Nástroje AI při vývoji a provozu. Zpracovatel vyvíjí a spravuje Službu s pomocí nástrojů umělé inteligence (asistent pro programování provozovaný Anthropic PBC), které pracují pod jeho dohledem a s jeho přístupovými právy ke správě databáze. Pravidla provozu jim zakazují číst Data Správce; ověřování probíhá na ukázkových firmách s fiktivními daty. Zpracovatel za jejich dodržování odpovídá jako za své jednání.

5.3 Zpracovatel přijal opatření podle čl. 32 GDPR popsaná v Příloze C. Může je měnit, nesmí však snížit úroveň ochrany.

5.4 Zpracovatel není držitelem certifikace ISO/IEC 27001 ani zprávy SOC 2 a netvrdí to.

Článek 6 — Další zpracovatelé

6.1 Správce uděluje obecné písemné povolení k zapojení dalších zpracovatelů (čl. 28 odst. 2 GDPR). Aktuální seznam je v Příloze B; kteří z nich se zapojují u konkrétní Aplikace, uvádí Karta aplikace ve VOP.

6.2 Umělá inteligence jen tam, kde je označená. Anthropic PBC se zapojuje jen u Funkcí AI uvedených v Kartě aplikace, a jen když je Uživatel použije. Aplikace bez Funkcí AI jazykovému modelu nic nepředávají.

6.3 Zavedení Funkce AI do Aplikace, která ji dosud neměla, je změnou podle článku 6.6. U Správce, který si vyžádal vyloučení AI podle 6.4, nesmí být zavedena bez jeho písemného souhlasu.

6.4 Vyloučení AI a zpracovatelů mimo EU. Funkce AI si Správce vypne sám v portálu (Firma → „AI v této firmě“, mění vlastník nebo správce Organizace, změna se zapíše do auditního záznamu); Aplikace pak jazykovému modelu nic nepředávají. O vyloučení e-mailů ze systému (pak dostává upozornění jen v portálu) nebo push oznámení může Správce písemně požádat; Zpracovatel vyhoví, je-li to technicky možné, a vyloučení potvrdí v Příloze A.

6.5 Zpracovatel ukládá dalším zpracovatelům povinnosti ochrany údajů odpovídající této smlouvě (zpravidla jejich standardní DPA) a odpovídá Správci za jejich plnění jako za vlastní.

6.6 Změnu dalšího zpracovatele (nový nebo náhrada) oznámí Zpracovatel e-mailem vlastníkovi Organizace nejméně 30 dnů předem. Správce může do 30 dnů vznést odůvodněnou námitku; nedojde-li k dohodě, může dotčenou licenci nebo smlouvu vypovědět ke dni změny bez sankce a s vrácením poměrné části předplatného. V naléhavém případě (bezpečnost, ukončení služby dodavatelem) může být lhůta kratší; Zpracovatel to odůvodní.

6.7 Předání do třetích zemí se opírá o rozhodnutí Komise o odpovídající ochraně pro rámec EU–USA (Data Privacy Framework), je-li příjemce certifikován, jinak o standardní smluvní doložky (čl. 46 odst. 2 písm. c) GDPR). Stav certifikace uvádí Příloha B.

Článek 7 — Součinnost

7.1 Zpracovatel pomáhá Správci plnit povinnosti vůči subjektům údajů (čl. 12–23 GDPR). Většinu úkonů Správce provede sám: přístup a export (exporty v Aplikacích, v Personalistice export údajů zaměstnance jedním klikem), oprava, výmaz a skartace (Personalistika vede protokol skartace).

7.2 Žádost subjektu údajů, která dojde Zpracovateli, Zpracovatel sám nevyřizuje a bez zbytečného odkladu, nejpozději do 3 pracovních dnů, ji předá Správci.

7.3 Zpracovatel pomáhá Správci s čl. 32–36 GDPR (zabezpečení, porušení, posouzení vlivu, předchozí konzultace) v rozsahu informací, které má. Pro posouzení vlivu (DPIA) poskytne na žádost popis zpracování dané Aplikace.

7.4 Obvyklá součinnost je bezplatná. Mimořádnou součinnost (audit na místě, rozsáhlé dotazníky) může Zpracovatel účtovat hodinovou sazbou, na což předem upozorní.

Článek 8 — Porušení zabezpečení

8.1 Zjistí-li Zpracovatel porušení zabezpečení osobních údajů Správce, ohlásí je Správci bez zbytečného odkladu, nejpozději do 36 hodin od zjištění, e-mailem vlastníkovi Organizace a telefonicky, je-li číslo k dispozici.

8.2 Ohlášení obsahuje povahu porušení, kategorie a přibližný počet subjektů a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontakt. Co není známo, doplní průběžně.

8.3 Ohlášení ÚOOÚ (čl. 33) a oznámení subjektům (čl. 34) činí Správce; Zpracovatel poskytne součinnost a podklady (technický záznam, časovou osu, rozsah).

8.4 Zpracovatel vede evidenci všech porušení (čl. 33 odst. 5 GDPR), i těch, která se nehlásí, a na žádost Správci zpřístupní záznamy, které se jej týkají.

Článek 9 — Konec zpracování

9.1 Po skončení smlouvy má Správce 30 dnů na export (VOP čl. 12.4). Nejpozději 7 dnů před výmazem Zpracovatel vlastníka a správce Organizace upozorní v portálu a e-mailem. Poté Zpracovatel data Správce vymaže do dalších 30 dnů, včetně souborů v úložišti, ledaže právo EU nebo ČR ukládá jejich uchování. Výmaz provádí automatická denní úloha; údaj o Organizaci se anonymizuje a zůstává jen evidence licencí, dokladů Zpracovatele, souhlasů a záznam o provedeném výmazu. Na žádost Správce vydá místo výmazu export. U Aplikace na míru se postupuje podle smlouvy o dílo.

9.2 Údaje v zálohách zanikají přepisem záloh: denní snímky poskytovatele databáze do 7 dnů, šifrované zálohy mimo databázi a ruční zálohy Zpracovatele do 90 dnů. Do té doby jsou zálohy chráněny podle Přílohy C a nepoužívají se k ničemu jinému než k obnově po havárii.

9.3 Výmaz Zpracovatel na žádost písemně potvrdí.

Článek 10 — Informace a audit

10.1 Zpracovatel poskytne Správci informace potřebné k doložení souladu s čl. 28 GDPR — zpravidla vyplněný dotazník nebo tento dokument s přílohami.

10.2 Správce může provést audit jednou ročně (a vždy po porušení zabezpečení), s oznámením 30 dnů předem (po porušení 5 pracovních dnů), bez narušení provozu a bez přístupu k datům jiných zákazníků. Náklady nese Správce, ledaže audit prokáže podstatné porušení této smlouvy.

10.3 Zpřístupnění podrobností o bezpečnostních opatřeních lze podmínit dohodou o mlčenlivosti.

Článek 11 — Odpovědnost a závěr

11.1 Odpovědnost stran se řídí čl. 82 GDPR. Omezení odpovědnosti podle VOP se na porušení této smlouvy uplatní s limitem trojnásobku částky podle VOP čl. 11.2, nejvýše však v rozsahu, v jakém to dovoluje právo.

11.2 Smlouva se řídí právem ČR. Trvá po dobu trvání VOP; články 5.1, 8, 9 a 10 přetrvávají.

Příloha A — Vymezení zpracování u konkrétního Správce

Vyplňuje se pro Správce, který o to požádá (zejména u Aplikace na míru a u větších zákazníků).

Příloha B — Seznam dalších zpracovatelů (stav k 30. 9. 2026)

Nejsou dalšími zpracovateli Zpracovatele (pro úplnost):

• ARES (Ministerstvo financí ČR) a ČNB — veřejné zdroje; odchází jen IČO, resp. nic.
• Fio banka, a.s. — banka Správce; spojení navazuje Správce vlastním tokenem, Zpracovatel jen na pokyn Správce stahuje příchozí platby za posledních 90 dnů.
• Převod řeči na text v CRM Sales dělá prohlížeč nebo operační systém Uživatele (Google v Chrome, Apple v Safari) na základě vztahu Uživatele s jejich výrobcem.
• Propojená e-mailová schránka v CRM Sales (Google / Microsoft) je služba Správce.
• Apple (Apple Push Notification service) a Google (Firebase Cloud Messaging) — doručují push oznámení, které jim předá Expo, do telefonu Uživatele; jde o službu operačního systému telefonu. Stejně tak převod řeči na text v mobilní aplikaci dělá telefon (Apple / Google, pokud možno přímo v zařízení) a biometrické odemknutí ověřuje telefon — aplikace biometrické údaje nevidí. Navigační aplikace (Apple Mapy, Mapy.com, Google Maps, Waze), kterým mobilní aplikace na pokyn Uživatele předá adresu schůzky, jsou služby Uživatele.
• GitHub — uložení zdrojového kódu; neobsahuje osobní údaje Správce.

Subdodavatelé druhé úrovně: Supabase a Vercel zveřejňují vlastní seznamy (supabase.com/legal/subprocessors, vercel.com/legal/subprocessors). Zpracovatel sleduje jejich změny a o podstatných informuje podle 6.6.

Příloha C — Technická a organizační opatření (čl. 32 GDPR)

Stav k 30. 9. 2026, ověřený v kódu a databázi. Opatření označená „plán“ zatím neexistují a Zpracovatel je neslibuje jako zavedená.

C.1 Řízení přístupu a oddělení dat

• Oddělení zákazníků v databázi: řádková bezpečnost (Row Level Security) na tabulkách aplikací; přístup k řádku jen členům Organizace s oprávněním pro danou Aplikaci a akci (funkce nx_can). Nepřihlášený uživatel nemá k datům žádná práva (výchozí zákaz).
• Tři vrstvy oprávnění: role v Organizaci (vlastník / správce / člen), přístup k Aplikaci, role v Aplikaci (např. Účetní, Jen čtení, Zaměstnanec, Vedoucí, Personalista). Určuje je Správce.
• Citlivé operace jen přes serverové funkce, které ověřují přihlášení a oprávnění.
• Soubory v neveřejném úložišti; stahování přes dočasné podepsané odkazy (u personálních dokumentů platnost 60 s a záznam o čtení viditelný i zaměstnanci).
• Servisní vstup Zpracovatele do Organizace (zastoupení): jen s uvedeným důvodem, na 20 minut, vynuceno na serveru, zaznamenáno do auditního logu, který Správce vidí jako „Podpora Nextivo“. Mimo zastoupení nemají administrátoři platformy automatický přístup k datům zákazníků. (Aktivní upozornění Správci při zastoupení: plán.)

C.2 Autentizace

• Hesla ukládá poskytovatel autentizace jen jako nevratný otisk; Zpracovatel je nevidí. Minimální délka hesla 8 znaků. (Silnější politika hesel: plán.)
• Volitelné dvoufázové ověření (TOTP) a důvěryhodná zařízení na 30 dní (uložen jen otisk tokenu a zkrácená IP). (Vynucení 2FA v celé databázi, nejen v portálu: plán — otevřený nález auditu.)
• Záznam přihlášení (IP, prohlížeč, otisk zařízení), e-mailové upozornění na přihlášení z nového zařízení; mazání po 12 měsících.
• PIN pro docházkový terminál ukládán jen jako otisk (bcrypt) v oddělené tabulce, zámek po 15 chybných pokusech.
• Omezení četnosti pokusů u formulářů, ukázky, PINu a Funkcí AI.

C.3 Šifrování

• Šifrovaný přenos (HTTPS/TLS) pro web, portál, aplikace i API.
• Šifrování dat v klidu zajišťuje poskytovatel databáze a úložiště (Supabase na infrastruktuře AWS).
• Přístupové tokeny k propojeným e-mailovým schránkám uloženy šifrovaně.
• Token k Fio API je uložen bez šifrování, ale jen pro zápis (nelze jej přečíst zpět přes rozhraní aplikace). (Šifrování tokenu: plán.)
• Zálohy na Disku Google šifrované AES-256-GCM, heslo zná jen Zpracovatel.
• Mobilní aplikace: přihlašovací tokeny v zabezpečeném úložišti telefonu (Keychain / Keystore); zvolená firma, nastavení a offline fronta v běžném úložišti aplikace (izolované operačním systémem, bez dalšího šifrování aplikací); položka fronty patří účtu, který ji vytvořil, a po odeslání se smaže. Biometrické odemknutí aplikace ověřuje telefon.

C.4 Dostupnost a obnova

• Denní snímek databáze u poskytovatele, uchování 7 dní (obnova bodu v čase vypnutá → ztráta dat až 24 h).
• Před každou změnou databáze úplná logická záloha.
• Zkouška obnovy celé databáze zatím neproběhla. (Plán: zkušební obnova do odděleného prostředí.)
• Neměnná nasazení aplikací s možností okamžitého návratu k předchozí verzi.
• Sledování dostupnosti (platform_uptime, 30 dní).

C.5 Záznamy a dohled

• Auditní záznamy: portál (správa uživatelů, oprávnění, licence, zastoupení), doklady ve Fakturaci, docházka, AI agenti (běhy, kroky, schválení), čtení personálních dokumentů.
• Evidence chyb aplikací ve vlastní databázi v EU (žádná externí služba pro sledování chyb); uchování 12 měsíců, denní souhrn do schránky Zpracovatele.
• Záznam přihlášení 12 měsíců.

C.6 Bezpečný vývoj a nasazení

• Veřejně se nasazuje jen klientský kód aplikací; testy, data, serverový kód a dokumentace jsou vyloučeny pravidlem nasazení a po každém nasazení se to ověřuje automatickou kontrolou (zavedeno v 8/2026).
• Testovací data se nikdy nevytvářejí z reálných dat; ověřování funkcí probíhá v ukázkových firmách s fiktivními daty.
• Nezávislý audit každé verze aplikace před vydáním (oprávnění, izolace firem, XSS), kontrola bezpečnostních doporučení databáze, verzovaný zdrojový kód v soukromém repozitáři.
• Nové databázové objekty nedostávají práva pro nepřihlášené uživatele.

C.7 Organizační opatření

• Jediná osoba s přístupem k produkčním datům (Zpracovatel), vázaná mlčenlivostí.
• Nástroje AI při vývoji pracují pod pravidly zákazu čtení Dat Správce (článek 5.2).
• Evidence porušení zabezpečení a postup ohlášení (článek 8).
• Minimalizace: Funkcím AI se posílá jen nezbytný kontext (např. Personalistika bez adresy a data narození, Obchodní přehled anonymní souhrn); fotografie účtenek a dodacích listů se neukládají po zpracování AI; poloha v docházce se neukládá, jen vzdálenost.

C.8 Známé nedostatky k 30. 9. 2026 (k odstranění před prvním platícím zákazníkem)

1. Ruční úplné zálohy databáze (obsahují i osobní údaje) jsou uloženy na pracovní stanici Zpracovatele nešifrovaně a bez pravidla mazání.
2. Pracovní stanice, na níž probíhá vývoj a správa, není ve výhradním vlastnictví Zpracovatele.
3. Zkouška obnovy ze zálohy neproběhla.
4. Dvoufázové ověření je volitelné a vynucené jen v části systému.
5. Token Fio API uložen bez šifrování (jen pro zápis).
6. Automatický výmaz dat Organizace po skončení smlouvy je připravený (denní úloha s pojistkami), ale ostrý režim je vypnutý do účinnosti VOP 2.0 — do té doby úloha výmaz jen plánuje. Upozornění před výmazem dnes chodí jen do portálu (e-mail chybí) a soubory v úložišti úloha jen spočítá, smazat je musí Zpracovatel zvlášť. (k odstranění před zapnutím)
7. Po odhlášení z mobilní aplikace zůstává identifikátor zařízení pro push oznámení aktivní; vypne se až po odinstalaci (hlášení Apple/Google) nebo smazání účtu. Neaktivní identifikátory se automaticky nemažou. (k odstranění před zapnutím odesílání oznámení)