Smlouva o zpracování osobních údajů – OpenDoorz

Verze 1 · účinné od 2. 10. 2026 · podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR)

Tato smlouva se uzavírá registrací organizace ve službě OpenDoorz: správce organizace ji přijímá jménem organizace spolu s Podmínkami užívání. Organizace, která potřebuje písemné vyhotovení (např. veřejná škola), si může tuto stránku vytisknout, doplnit údaje a podepsanou zaslat provozovateli na ondrej@sindelka.dev. Platnost uzavření smlouvy kliknutím a požadavky veřejných škol (zřizovatel, interní předpisy) ověřit s právníkem.

1. Smluvní strany

Správce: organizace registrovaná ve službě OpenDoorz (typicky škola), zastoupená svým správcem (administrátorem). Pro písemné vyhotovení: název ……………………, IČO ……………………, sídlo ……………………, zastoupená ……………………

Zpracovatel: Ondřej Šindelka, IČO 29665329, se sídlem Staniční 453/22, 725 25 Ostrava - Polanka nad Odrou, fyzická osoba podnikající podle živnostenského zákona, kontakt ondrej@sindelka.dev.

2. Předmět, doba, povaha a účel zpracování

• Předmět: zpracování osobních údajů ve službě OpenDoorz (správa a rezervace místností a chat mezi skupinami při akcích organizace).
• Doba: po dobu existence organizace ve službě. Smlouva končí smazáním organizace.
• Povaha: uložení, zobrazení členům organizace, automatické mazání po uplynutí lhůt, zálohování.
• Účel: provoz služby pro organizaci, nic jiného.

3. Kategorie údajů a subjektů údajů

• Subjekty: návštěvníci a účastníci akcí organizace (včetně nezletilých, typicky od 13 let), členové skupin.
• Údaje: názvy a barvy skupin (volný text, může obsahovat jméno), zprávy v chatu, záznamy o obsazení a rezervaci místností s časem, denní statistiky, zálohy stavu organizace.
• Nezpracovávají se zvláštní kategorie údajů (čl. 9 GDPR). Správce poučí uživatele, aby je do služby nevkládali.

Údaje o správcích organizace (e-mail, heslo) a technické logy zpracovává zpracovatel jako samostatný správce podle Zásad ochrany osobních údajů. Na ty se tato smlouva nevztahuje.

4. Povinnosti zpracovatele

Zpracovatel:

1. zpracovává osobní údaje pouze na základě doložených pokynů správce. Za pokyny se považuje nastavení a používání služby správcem a tato smlouva. Pokud by pokyn podle něj porušoval právní předpisy, neprodleně na to správce upozorní,
2. zajistí, aby se osoby oprávněné zpracovávat údaje zavázaly k mlčenlivosti. Zpracovatel je provozuje sám, žádné další osoby nemají přístup,
3. přijme technická a organizační opatření podle čl. 32 GDPR (příloha A),
4. dodržuje podmínky pro další zpracovatele (bod 5),
5. pomáhá správci vyřizovat žádosti subjektů údajů (přístup, oprava, výmaz, omezení, námitka). Většinu může správce provést sám v administraci (smazání skupiny, organizace). Ostatní provede zpracovatel na žádost do 14 dnů,
6. pomáhá správci plnit povinnosti podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu) v rozsahu odpovídajícím povaze služby,
7. ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s informacemi podle čl. 33 odst. 3 GDPR, které má k dispozici (postup v breach-runbook.md),
8. po skončení smlouvy (smazání organizace) osobní údaje vymaže: v aplikaci okamžitě, v zálohách databáze nejpozději do 30 dnů. Před smazáním může správce data exportovat v administraci,
9. poskytne správci informace potřebné k doložení plnění této smlouvy a umožní audit v přiměřeném rozsahu, po předchozí dohodě a na náklady správce.

5. Další zpracovatelé

Správce uděluje obecné povolení k zapojení dalších zpracovatelů. Aktuálně jsou to:

Aplikace a databáze běží na infrastruktuře zpracovatele v České republice. O zamýšlené změně dalších zpracovatelů zpracovatel informuje správce e-mailem nejméně 30 dní předem. Správce může do té doby vznést námitku; pokud se strany nedohodnou, může organizaci smazat. Zpracovatel ukládá dalším zpracovatelům stejné povinnosti ochrany údajů a odpovídá za jejich plnění.

6. Předávání mimo EHP

Zpracovatel nepředává osobní údaje do třetích zemí. Pokud by to bylo nutné, jen s předchozím souhlasem správce a s vhodnými zárukami podle kapitoly V GDPR.

7. Povinnosti správce

Správce odpovídá za to, že má pro zpracování právní základ, informuje subjekty údajů (může odkázat na Zásady ochrany osobních údajů), chrání přístupové údaje k organizaci a uživatelům vysvětlí pravidla obsahu.

8. Odpovědnost a závěrečná ustanovení

• Odpovědnost stran se řídí čl. 82 GDPR a Podmínkami užívání. Omezení odpovědnosti ve vztahu k veřejným školám: ověřit s právníkem.
• Smlouva se řídí právem České republiky.
• Smlouva je bezplatná. Služba je poskytována zdarma, a proto se na smlouvu nevztahuje povinnost uveřejnění v registru smluv (zákon č. 340/2015 Sb.). Ověřit s právníkem.
• Změny této smlouvy oznámí zpracovatel e-mailem nejméně 30 dní předem. Pokračováním v užívání služby po účinnosti změny ji správce přijímá.

Příloha A – Technická a organizační opatření (čl. 32 GDPR)

• šifrovaný přenos (HTTPS/TLS, WireGuard tunel mezi veřejným serverem a infrastrukturou),
• databáze není dostupná z internetu (pouze lokální rozhraní),
• hesla uložená jako hash bcrypt, podepsané přístupové tokeny (u správců s platností 7 dní),
• oddělení organizací (každý dotaz je omezen na organizaci přihlášeného uživatele),
• minimalizace údajů (žádné účty pro hosty, žádná analytika ani sledování),
• automatické mazání po uplynutí lhůt (retention.md),
• pravidelné zálohy databáze s omezenou dobou uchování (30 dní),
• přístup k serverům jen pro zpracovatele, přes SSH klíče a jump host,
• postup pro řešení incidentů (breach-runbook.md).

Podpisy (jen pro písemné vyhotovení):

Za správce: …………………… Datum: ……………

Za zpracovatele: Ondřej Šindelka Datum: ……………