Smlouva o zpracování osobních údajů pro vivotempo

Preambule

Společnost Bergx2 GmbH, Hochriesstr. 46, 85560 Ebersberg, Německo (dále jen „zpracovatel“), provozuje aplikaci vivotempo poskytovanou formou softwaru jako služby (SaaS) pro správu dovolených, evidenci pracovní doby, hlášení nemoci a další personální agendu. Při jejím používání zpracovává osobní údaje jménem zákazníka (dále jen „správce“) ve smyslu čl. 4 bodu 8 a čl. 28 GDPR. Tato smlouva stanoví povinnosti a práva obou smluvních stran podle čl. 28 odst. 3 GDPR.

§ 1 Předmět a doba trvání zpracování

(1) Předmět. Zpracovatel poskytuje správci službu vivotempo formou softwaru jako služby (SaaS). Přitom zpracovává osobní údaje popsané v příloze 1 výhradně podle pokynů správce.

(2) Doba trvání. Tato smlouva platí od uzavření smlouvy o používání služby vivotempo (hlavní smlouva podle všeobecných obchodních podmínek) a končí skončením hlavní smlouvy. Povinnosti týkající se vrácení a výmazu (§ 10) a mlčenlivosti (§ 5 odst. 2) trvají i poté.

§ 2 Povaha a účel zpracování

(1) Zpracovatel zpracovává údaje k těmto účelům:

• Poskytování služby vivotempo: správa dovolené a nepřítomností, evidence pracovní doby v prohlížeči a na terminálu, hlášení nemoci, zdravotní bonus, přehledy a exporty pro zpracování mezd
• Přihlašování a ochrana přístupů: heslo, druhý faktor, přístupové klíče (passkeys) a přihlášení na terminálu
• Zasílání zpráv v aplikaci a e-mailem
• Provoz, bezpečnost, analýza chyb a podpora

(2) Zpracování pro vlastní účely zpracovatele, například pro reklamu, profilování nebo prodej údajů, neprobíhá.

§ 3 Typ osobních údajů a kategorie subjektů údajů

(1) Podrobnosti jsou uvedeny v příloze 1. Subjekty údajů jsou zaměstnanci správce, včetně bývalých, a další osoby, kterým správce udělí přístup ke službě vivotempo.

(2) Zvláštní kategorie osobních údajů (čl. 9 GDPR). V závislosti na používaných funkcích zpracovává vivotempo údaje o zdravotním stavu (hlášení nemoci s uvedením období a případně s potvrzeními) a biometrické údaje (rys obličeje vypočtený ze snímku z kamery pro přihlášení na terminálu, pouze pokud správce tento způsob přihlašování zapne; samotný snímek z kamery se neukládá). Správce zajistí, aby pro toto zpracování existoval právní základ; pro rozpoznávání obličeje je zpravidla nutný dobrovolný souhlas zaměstnanců. vivotempo omezuje přístup k těmto údajům na role, které k tomu správce oprávnil.

§ 4 Povinnosti a práva správce

(1) Odpovědnost a pokyny. Správce odpovídá za zákonnost zpracování (čl. 24 GDPR). Za pokyny se považuje tato smlouva a nastavení, která správce provede ve vivotempo, například role, oprávnění, zapnuté funkce a lhůty pro uchovávání. Další pokyny uděluje v textové podobě.

(2) Informování zaměstnanců. Správce informuje subjekty údajů o zpracování podle čl. 13 a 14 GDPR.

(3) Přezkum. Správce posoudí, zda jsou opatření podle přílohy 2 vhodná pro jeho zpracování, a případné pochybnosti sdělí zpracovateli.

§ 5 Povinnosti zpracovatele

(1) Vázanost pokyny. Zpracovatel zpracovává údaje pouze na základě doložených pokynů správce, ledaže mu zpracování ukládá právo Unie nebo členského státu; v takovém případě zpracovatel informuje správce o této povinnosti před zahájením zpracování, pokud mu to toto právo nezakazuje. Považuje-li zpracovatel pokyn za protiprávní, neprodleně o tom informuje správce (čl. 28 odst. 3 GDPR).

(2) Mlčenlivost. Všechny osoby, které mají přístup k údajům, jsou před zahájením své činnosti zavázány k mlčenlivosti (čl. 28 odst. 3 písm. b) GDPR).

(3) Bezpečnost. Zpracovatel přijímá technická a organizační opatření podle přílohy 2 (čl. 32 GDPR) a přizpůsobuje je stavu techniky, aniž by snížil úroveň ochrany.

(4) Součinnost. Zpracovatel je správci nápomocen při plnění povinností podle čl. 32 až 36 GDPR, zejména při vyřizování práv subjektů údajů (§ 7), při ohlašování porušení zabezpečení osobních údajů (§ 8) a při posouzení vlivu na ochranu osobních údajů.

(5) Pověřenec pro ochranu osobních údajů. Pověřencem pro ochranu osobních údajů zpracovatele je Zsu Sernc-Urban, kontakt na výše uvedené adrese nebo e-mailem na adresu info@bergx2.de s předmětem „Ochrana osobních údajů“.

§ 6 Další zpracovatelé

(1) Povolení. Správce povoluje zapojení dalších zpracovatelů (subdodavatelů) uvedených v příloze 3 (čl. 28 odst. 2 GDPR).

(2) Změny. O zamýšleném zapojení nebo nahrazení dalšího zpracovatele informuje zpracovatel nejméně 30 dní předem v textové podobě, a to na e-mailové adresy administrátorů zákaznického účtu.

(3) Námitka. Správce může v této lhůtě vznést proti změně námitku z důležitého důvodu týkajícího se ochrany osobních údajů. Pokud strany nenaleznou řešení po vzájemné dohodě, může správce hlavní smlouvu mimořádně vypovědět.

(4) Smluvní závazek. Zpracovatel smluvně zaváže každého dalšího zpracovatele k povinnostem podle této smlouvy (čl. 28 odst. 4 GDPR).

(5) Třetí země. K předání do zemí mimo EU nebo EHP dochází pouze tehdy, jsou-li splněny podmínky čl. 44 až 49 GDPR, zejména na základě rozhodnutí o odpovídající ochraně, včetně rámce EU-US Data Privacy Framework, nebo na základě standardních smluvních doložek Evropské komise.

§ 7 Práva subjektů údajů

(1) Zpracovatel je správci nápomocen prostřednictvím vhodných technických a organizačních opatření při vyřizování žádostí o výkon práv podle kapitoly III GDPR (přístup, oprava, výmaz, omezení zpracování, přenositelnost údajů, námitka). vivotempo k tomu mimo jiné nabízí funkce pro úpravu, export a výmaz údajů.

(2) Pokud se subjekty údajů obrátí přímo na zpracovatele, postoupí zpracovatel žádost bez zbytečného odkladu správci a odpoví na ni pouze na jeho pokyn.

§ 8 Ohlašování porušení zabezpečení osobních údajů

(1) Zpracovatel informuje správce bez zbytečného odkladu, pokud možno do 24 hodin od zjištění, o každém porušení zabezpečení osobních údajů ve své oblasti odpovědnosti nebo u dalšího zpracovatele.

(2) Ohlášení se provádí v textové podobě administrátorům zákaznického účtu a obsahuje, pokud jsou známy, údaje podle čl. 33 odst. 3 GDPR: povahu a rozsah porušení, počet dotčených subjektů údajů, pravděpodobné důsledky a přijatá opatření.

(3) Ohlášení dozorovému úřadu (čl. 33 GDPR) a oznámení subjektům údajů (čl. 34 GDPR) jsou povinností správce; zpracovatel je mu přitom nápomocen poskytnutím všech potřebných informací.

§ 9 Prokazování a kontroly

(1) Zpracovatel poskytne správci na požádání veškeré informace potřebné k doložení plnění povinností podle této smlouvy, zejména aktuální znění příloh 2 a 3 a dále certifikáty a zprávy z auditů provozovatelů datových center.

(2) Správce se může po ohlášení učiněném nejméně čtyři týdny předem přesvědčit o dodržování opatření, a to i na místě v obvyklé pracovní době. Kontroly nesmějí nepřiměřeně narušovat provoz a bez zvláštního důvodu se konají nejvýše jednou za kalendářní rok. Kontrolující osoby musí být zavázány k mlčenlivosti.

§ 10 Vrácení a výmaz

(1) Během doby trvání smlouvy může správce údaje ve vivotempo sám upravovat a mazat a nastavovat lhůty pro uchovávání záznamů pracovní doby a hlášení nemoci.

(2) Po skončení hlavní smlouvy zpracovatel podle volby správce údaje vrátí (export v běžném, strojově čitelném formátu), nebo je vymaže, a to nejpozději 30 dní po skončení smlouvy, pokud neexistuje zákonná povinnost jejich uložení.

(3) Zálohy se přepisují v běžném cyklu zálohování, nejpozději po 30 dnech. Na požádání zpracovatel potvrdí výmaz v textové podobě.

(4) Zákonné povinnosti zpracovatele k uchovávání, například u fakturačních dokladů podle § 257 HGB (německý obchodní zákoník) a § 147 AO (německý daňový řád), zůstávají nedotčeny.

§ 11 Odpovědnost a závěrečná ustanovení

(1) Pro odpovědnost platí ustanovení hlavní smlouvy (všeobecné obchodní podmínky) a čl. 82 GDPR.

(2) Změny této smlouvy vyžadují textovou podobu. Nová znění zpracovatel oznámí nejméně 30 dní před nabytím jejich účinnosti (viz „Účinnost“).

(3) V případě rozporu mezi touto smlouvou a hlavní smlouvou má v otázkách ochrany osobních údajů přednost tato smlouva.

(4) Pokud by jednotlivá ustanovení byla neplatná nebo neúčinná, nemá to vliv na platnost a účinnost ostatních ustanovení.

(5) Smlouva se řídí německým právem s vyloučením Úmluvy OSN o smlouvách o mezinárodní koupi zboží. Místem soudní příslušnosti je, pokud to zákon připouští, sídlo zpracovatele.

Příloha 1: Popis zpracování

• Předmět: poskytování služby vivotempo formou softwaru jako služby (SaaS) včetně hostingu, uchovávání dat, přihlašování, zpráv a podpory
• Doba trvání: doba trvání hlavní smlouvy a nejvýše 30 dní po jejím skončení pro vrácení a výmaz
• Povaha zpracování: shromáždění, zaznamenání, uložení, uspořádání, přizpůsobení, vyhledání, vyhodnocení, zpřístupnění oprávněným uživatelům, výmaz
• Subjekty údajů: zaměstnanci správce (včetně bývalých), administrátoři a další uživatelé, kterým správce udělí přístup
• Základní údaje: jméno, e-mailová adresa, osobní číslo, oddělení, role, datum nástupu a odchodu, země výkonu práce, časové pásmo, profilová fotografie
• Nepřítomnosti: žádosti o dovolenou a rozhodnutí o nich s komentáři, konto dovolené a převedená dovolená, ostatní nepřítomnosti
• Pracovní doba: začátek, konec, přestávky, opravy, čas a terminál záznamu, příplatky a zůstatky
• Údaje o zdravotním stavu (čl. 9 GDPR): hlášení nemoci s uvedením období a nahranými potvrzeními, dny nemoci pro zdravotní bonus
• Přihlašovací údaje: e-mailová adresa, heslo (pouze jako hash), druhý faktor (e-mailová adresa nebo Threema ID), veřejné klíče přístupových klíčů (passkeys)
• Přihlášení na terminálu: PIN, ID karty NFC, QR kód, ID zařízení Bluetooth; na přání správce rys obličeje ve formě vektoru rysů (biometrické údaje podle čl. 9 GDPR)
• Protokoly: auditní protokol změn s časem a osobou, která změnu provedla, technické protokoly serveru (IP adresa, čas, požadovaná adresa)
• Zprávy: oznámení v aplikaci a e-mailem
• Místo uložení: databáze a úložiště souborů u společnosti Supabase v EU (datové centrum v Paříži, Francie), serverové funkce u společnosti Vercel v EU (region Paříž)
• Třetí země: společnosti Vercel Inc. a Supabase Inc. mají sídlo v USA; přístup odtud, například za účelem provozu a podpory, je možný a je zajištěn rámcem EU-US Data Privacy Framework a standardními smluvními doložkami. Pro Threema GmbH (Švýcarsko) existuje rozhodnutí Evropské komise o odpovídající ochraně.

Příloha 2: Technická a organizační opatření (čl. 32 GDPR)

Následující opatření platí pro vivotempo. Podrobnosti provedení, například konfigurace, se z bezpečnostních důvodů veřejně nepopisují; správce je obdrží v rámci § 9 na základě odůvodněné žádosti.

• Kontrola fyzického vstupu: servery jsou umístěny v datových centrech poskytovatelů služeb (Amazon Web Services prostřednictvím Supabase, Vercel) s certifikovanou fyzickou bezpečností, mimo jiné podle ISO/IEC 27001 a SOC 2. Obchodní prostory zpracovatele jsou zabezpečeny proti neoprávněnému vstupu; návštěvy se v nich pohybují pouze v doprovodu.
• Kontrola přístupu do systémů: přihlášení osobním účtem a heslem, na přání s druhým faktorem (kód e-mailem, Threema, přístupový klíč) a zablokování po pěti neúspěšných pokusech; terminály se přihlašují vlastním klíčem zařízení; administrátorský přístup k poskytovatelům služeb má jen několik oprávněných osob.
• Kontrola přístupu k údajům: oddělení zákazníků na úrovni databáze (Row Level Security); odstupňované role (zaměstnanec, vedoucí týmu, HR, administrátor) s podrobně nastavitelnými oprávněními; údaje o zdravotním stavu a přihlašovací prvky pouze pro oprávněné role; automatizované testy pravidel přístupu při každé změně.
• Kontrola oddělení: údaje různých zákazníků se zpracovávají logicky odděleně; každý přístup je vázán na příslušného zákazníka.
• Šifrování: všechna spojení jsou šifrována pomocí TLS; databáze a úložiště souborů jsou šifrovány v klidovém stavu; hesla se ukládají pouze jako hash.
• Kontrola zadávání: změny údajů zaměstnanců, žádostí, záznamů pracovní doby a nastavení se zaznamenávají do auditního protokolu s časem a osobou, která změnu provedla; opravy záznamů pracovní doby zůstávají dohledatelné.
• Kontrola předávání: údaje se přenášejí pouze šifrovaně; exporty a přehledy jsou k dispozici pouze oprávněným rolím; k předávání bez smluvního základu nedochází.
• Kontrola smluvního zpracování: smlouvy o zpracování osobních údajů se všemi dalšími zpracovateli (příloha 3) a jejich pravidelné prověřování.
• Dostupnost a odolnost: provoz u poskytovatelů služeb s redundantní infrastrukturou a průběžným monitorováním; pravidelné zálohy databáze; terminály při výpadku spojení záznamy dočasně ukládají a přenesou je dodatečně.
• Obnovitelnost: zálohy umožňují obnovu údajů po incidentu.
• Přezkum a hodnocení: jmenovaný pověřenec pro ochranu osobních údajů, stanovený postup při porušení zabezpečení osobních údajů, automatizované testy před každým vydáním, pravidelné bezpečnostní kontroly pravidel přístupu.
• Minimalizace údajů a výmaz: nastavitelné lhůty pro uchovávání záznamů pracovní doby a hlášení nemoci, vrácení a výmaz po skončení smlouvy podle § 10.

Příloha 3: Další zpracovatelé

Stav k 14. 10. 2026

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: hosting aplikace a serverových funkcí (region Paříž, Francie) a doručování webových stránek; zpracovává veškeré údaje při vyřizování požadavků a protokoly serveru. Právní základ: smlouva o zpracování osobních údajů, EU-US Data Privacy Framework, standardní smluvní doložky.
• Supabase Inc., USA: databáze, přihlašování a úložiště souborů v datovém centru v Paříži (Francie, Amazon Web Services); zpracovává všechny údaje uvedené v příloze 1. Právní základ: smlouva o zpracování osobních údajů, EU-US Data Privacy Framework, standardní smluvní doložky.
• Scaleway SAS, Paris, Francie: odesílání e-mailů (zprávy, kódy, odkazy); zpracovává e-mailovou adresu, jméno a obsah zprávy. Právní základ: smlouva o zpracování osobních údajů.
• Threema GmbH, Churerstrasse 82, 8808 Pfäffikon SZ, Švýcarsko: doručování přihlašovacích kódů přes Threema, pouze pokud uživatelé zvolí Threema jako druhý faktor; zpracovává Threema ID a kód. Právní základ: rozhodnutí Evropské komise o odpovídající ochraně pro Švýcarsko.

E-maily navíc procházejí přeposílací službou, kterou provozuje sama společnost Bergx2 GmbH. Další poskytovatelé služeb bez přístupu k údajům ze služby vivotempo, například pro zpracování plateb zákaznického účtu (Mollie), pro data o svátcích nebo pro ověřování DIČ (VIES), nejsou dalšími zpracovateli ve smyslu této smlouvy.

Účinnost

Tato smlouva se uzavřením hlavní smlouvy (registrací podle všeobecných obchodních podmínek) stává součástí smlouvy; postačuje uzavření v elektronické formě (čl. 28 odst. 9 GDPR).

Administrátoři zákazníka mohou navíc smlouvu výslovně přijmout v zákaznickém účtu. Ukládá se přitom verze, datum a čas, osoba, která smlouvu přijala, zákazník a kontrolní součet přijatého znění.

Nová znění zpracovatel oznámí v textové podobě nejméně 30 dní před nabytím jejich účinnosti; v zákaznickém účtu jsou administrátoři požádáni o jejich opětovné přijetí.

Na přání zákazníka lze smlouvu navíc podepsat nebo opatřit kvalifikovaným elektronickým podpisem; elektronické přijetí tím zůstává nedotčeno.

Verze

• Verze 1.0 ze dne 14. 10. 2026: první znění