Zpracovatelská smlouva

1. Strany a předmět

• Správce: zákazník podle obchodních podmínek, tedy podnikatel, který si v Manageru založil podnik.
• Zpracovatel: Martin Nemeškal, IČO 17944953, se sídlem Míru 482, 790 70 Javorník, zapsán v živnostenském rejstříku vedeném Městským úřadem Jeseník. Kontakt pro ochranu osobních údajů: e-mail podpora@managero.app, telefon +420 727 960 413, adresa Míru 482, 790 70 Javorník.
• Předmětem je zpracování osobních údajů, které správce nebo jeho uživatelé vkládají do služby Managero nebo které v ní pro podnik vznikají, v rozsahu nutném k poskytování služby podle obchodních podmínek.

2. Doba zpracování

Zpracování trvá po dobu smlouvy o poskytování služby a dále do vrácení nebo výmazu údajů podle článku 13.

3. Povaha a účel zpracování

Zpracovatel údaje ukládá, zobrazuje oprávněným uživatelům, přenáší mezi zařízeními, zálohuje, vyhodnocuje podle nastavení podniku (například součty hodin, body, razítka) a jménem podniku doručuje oznámení a e-maily. Účelem je výhradně poskytování služby Managero správci: plánování směn a docházka, komunikace týmu, úkoly, sklad a uzávěrky, mzdové podklady, odměny a hodnocení, věrnostní program, rezervace a objednávky hostů a novinky pro hosty.

4. Kategorie subjektů údajů

• zaměstnanci, brigádníci a další spolupracovníci podniku a jeho vedení;
• hosté a zákazníci podniku (členové věrnostního programu, lidé s rezervací nebo objednávkou, odběratelé novinek);
• kontaktní osoby dodavatelů a obchodních partnerů podniku;
• další osoby, které se objeví v obsahu vloženém uživateli (například na fotografii nebo ve zprávě).

5. Kategorie osobních údajů

U zaměstnanců a vedení:

• identifikační a kontaktní údaje: jméno, e-mail, telefon, avatar, pozice, role a oprávnění v podniku; otisk hesla a PINu k tabletu;
• směny, dostupnost, žádosti o volno a výměny směn;
• docházka: časy příchodů, odchodů a přestávek a odkud byly zapsány (telefon, tablet, ručně). Pokud podnik zapne píchání jen u podniku, uloží se k příchodu z telefonu výsledek kontroly a vzdálenost od podniku v metrech; souřadnice telefonu se neukládají;
• mzdové podklady: hodinová sazba, odpracované hodiny, prémie a úpravy mezd, výplaty a uzavřená výplatní období;
• hodnocení směn, body, odměny a jejich výběr, tresty a napomenutí (text, případně fotografie přiložená vedením, body, krácení nenárokové prémie a vyjádření zaměstnance), úkoly, uzávěrky kasy včetně rozdílů;
• obsah komunikace: zprávy v chatu včetně fotografií, hlasových zpráv a videí, reakce, nápady a hlasování, ankety, oznámení a potvrzení přečtení návodů;
• technické údaje: tokeny zařízení pro oznámení a protokol změn podniku (kdo a kdy změnil důležité nastavení).

U hostů: jméno, e-mail, telefon a datum narození (nepovinné), kód věrnostní karty, body, razítka, kredit, návštěvy, poukazy a kupony, hodnocení, rezervace, objednávky od stolu (položky, stůl, poznámka; při ověření polohy jen vzdálenost od podniku), účtenky z pokladny přiřazené ke kartě, souhlas s novinkami (čas a kanál), skupiny a poznámky podniku k hostovi a údaje, které podnik importuje z dřívějšího věrnostního systému.

U dodavatelů: jméno, e-mail a telefon kontaktní osoby a obsah objednávek.

Služba není určena ke zpracování zvláštních kategorií údajů (čl. 9 GDPR). Pokud je správce přesto vloží (například zdravotní důvod nepřítomnosti v poznámce), odpovídá za jejich právní základ. Zpracovatel neprovádí biometrické zpracování ani rozpoznávání obličeje.

6. Pokyny správce

• Zpracovatel zpracovává údaje jen na doložené pokyny správce, a to i pokud jde o předání do třetích zemí. Pokyny jsou obchodní podmínky, tato smlouva a nastavení a úkony, které správce a jeho uživatelé v aplikaci provedou. Další pokyny dává správce e-mailem.
• Zpracovatel správce bez zbytečného odkladu upozorní, pokud má za to, že pokyn porušuje GDPR nebo jiný předpis o ochraně údajů.
• Zpracovat údaje jinak smí zpracovatel jen tehdy, když mu to ukládá právo EU nebo členského státu; pak správce předem informuje, pokud to právo nezakazuje.

7. Povinnosti správce

Správce odpovídá za zákonnost zpracování: za právní základ, za informování subjektů údajů (pomůže šablona Informace pro zaměstnance), za souhlasy hostů s novinkami, za posouzení vlivu na ochranu osobních údajů tam, kde je potřeba (například u kontroly polohy při píchání), a za nastavení, která v aplikaci zvolí.

8. Mlčenlivost

Zpracovatel zachovává mlčenlivost o údajích a opatřeních k jejich ochraně. Kdokoli, koho zpracovatel k práci s údaji přizve, je zavázán mlčenlivostí smluvně nebo ze zákona. Mlčenlivost trvá i po skončení smlouvy.

9. Zabezpečení (čl. 32 GDPR)

Zpracovatel přijal tato technická a organizační opatření:

• šifrovaný přenos (HTTPS/TLS s vynuceným HSTS) mezi zařízeními a službou i mezi službou a jejími poskytovateli; databáze a úložiště souborů jsou u poskytovatelů šifrované i v klidu;
• hesla a PINy jen jako jednosměrný otisk (bcrypt), nikdy v čitelné podobě; omezení počtu pokusů o přihlášení; přihlášení v zabezpečené cookie (httpOnly) s omezenou platností; změna hesla odhlásí ostatní zařízení;
• oddělení dat podniků: každý dotaz je omezený na podnik, ve kterém je uživatel členem; přístup uvnitř podniku řídí role a oprávnění (například hodinové sazby vidí jen vedení, soukromé zprávy nevidí ani vlastník podniku);
• soubory (fotky, účtenky, přílohy) v neveřejném úložišti, vydávané jen přihlášeným oprávněným uživatelům; bez přihlášení se zobrazí jen obrázky, které podnik sám zveřejní na své stránce pro hosty (logo, fotky podniku, veřejné akce, bannery);
• protokol změn podniku a samostatný protokol zásahů správy platformy;
• zálohy: databáze s obnovou k bodu v čase u poskytovatele databáze a denní záloha podniku pro správce přes podepsaný odkaz, který platí 7 dní a funguje jen po přihlášení oprávněného člověka;
• minimalizace: poloha se neukládá, jen vzdálenost a výsledek kontroly; staré údaje se mažou podle lhůt v článku 13;
• přístup k produkčním systémům má jen zpracovatel; účty u poskytovatelů infrastruktury chrání silným heslem a dvoufázovým ověřením;
• bezpečný vývoj: automatické testy a kontroly před nasazením, bezpečnostní hlavičky (Content Security Policy), aktualizace závislostí;
• postup pro řešení bezpečnostních incidentů (článek 12).

10. Subzpracovatelé

• Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele (subzpracovatele). Jejich aktuální seznam s účelem, umístěním a zárukami je na stránce Subzpracovatelé a je přílohou této smlouvy.
• Zamýšlené přidání nebo nahrazení subzpracovatele oznámí zpracovatel e-mailem vlastníkovi podniku a na stránce seznamu nejméně 30 dní předem. Správce může do 30 dní od oznámení vznést odůvodněnou námitku. Když ji nevyřešíme, může správce smlouvu vypovědět bez sankce ke dni před zapojením subzpracovatele a nevyčerpanou část předplatného mu poměrně vrátíme.
• Kratší lhůtu lze použít jen v naléhavém případě (bezpečnost, náhlé ukončení služby subzpracovatelem); i pak zpracovatel změnu oznámí bez zbytečného odkladu.
• Zpracovatel ukládá subzpracovatelům smluvně stejné povinnosti ochrany údajů, jaké má sám, a za jejich plnění správci odpovídá.

11. Předávání mimo EU

Kde data leží: Evropská unie (databáze Neon v AWS eu-central-1, Frankfurt). Někteří subzpracovatelé jsou usazeni v USA. Údaje jim zpracovatel předává jen na základě rozhodnutí Komise o odpovídající ochraně (EU–US Data Privacy Framework, prováděcí rozhodnutí (EU) 2023/1795) u certifikovaných příjemců, nebo standardních smluvních doložek podle prováděcího rozhodnutí (EU) 2021/914, které jsou součástí jejich zpracovatelských smluv. Konkrétní záruka u každého je v seznamu subzpracovatelů.

12. Práva subjektů, součinnost a porušení zabezpečení

• Zpracovatel pomáhá správci plnit žádosti subjektů údajů. Aplikace k tomu má nástroje: stažení údajů účtu, opravu v profilu, smazání účtu, export členů věrnostního programu a smazání nebo anonymizaci hosta.
• Žádost subjektu údajů, která se týká údajů podniku a přijde zpracovateli, předá zpracovatel správci nejpozději do 5 pracovních dnů a sám na ni věcně neodpovídá, pokud se nedohodnou jinak.
• Zpracovatel poskytne správci informace potřebné pro zajištění bezpečnosti, posouzení vlivu na ochranu osobních údajů a předchozí konzultaci s úřadem (čl. 32 až 36 GDPR).
• Porušení zabezpečení osobních údajů podniku oznámí zpracovatel správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, e-mailem vlastníkovi podniku. Uvede povahu porušení, kategorie a přibližný počet dotčených osob a záznamů, pravděpodobné důsledky a přijatá opatření; co ještě neví, doplní postupně. Ohlášení Úřadu pro ochranu osobních údajů a dotčeným osobám činí správce, zpracovatel mu s tím pomůže.

13. Doba uložení, výmaz a vrácení údajů

• Během smlouvy platí tyto lhůty, které správce přijímá jako svůj pokyn: neaktivní účet hosta (žádná návštěva, objednávka, rezervace ani otevření aplikace) se po 24 měsících anonymizuje, host dostane 30 dní předem e-mail s možností účet ponechat; protokol změn podniku se maže po 3 letech; oznámení v aplikaci po 365 dnech. Podnik, jehož předplatné (nebo zkušební doba) skončilo a který 90 dní nikdo nepoužívá, se smaže i s daty podle článku 19 obchodních podmínek, a to jen po e-mailu vlastníkovi a správcům předplatného nejméně 30 a znovu 7 dní předem.
• Smaže-li svůj účet zaměstnanec nebo host, jeho osobní údaje se smažou nebo anonymizují. Záznamy, které podnik potřebuje k provozu a ze zákona (směny, docházka, uzávěrky, vyřízené objednávky), zůstanou bez jména.
• Po skončení smlouvy zpracovatel podle volby správce údaje vrátí (export podle článku 20 obchodních podmínek) a vymaže, v lhůtách tam uvedených. Kopie v zálohách zaniknou nejpozději do 30 dnů. Zpracovatel ponechá jen údaje, jejichž uložení vyžaduje právo EU nebo České republiky.

14. Informace a audit

Zpracovatel na požádání poskytne správci informace potřebné k doložení plnění této smlouvy (popis opatření, seznam subzpracovatelů a jejich zpracovatelské smlouvy, odpovědi na bezpečnostní dotazník). Audit nebo inspekci provedenou správcem nebo pověřeným auditorem vázaným mlčenlivostí umožní po ohlášení nejméně 30 dní předem, nejvýš jednou za rok (kromě situace po porušení zabezpečení nebo na žádost úřadu), na náklady správce a bez narušení provozu služby a ochrany dat ostatních podniků. Prověrky datových center nahrazují certifikace a zprávy poskytovatelů infrastruktury.

15. Kdy je Managero samostatným správcem

Tato smlouva se nevztahuje na zpracování, při kterém o účelu rozhoduje provozovatel sám: uživatelské účty a přihlášení (včetně účtu hosta, který funguje napříč podniky), zabezpečení a prevence zneužití, podpora, fakturace podnikům, moderace obsahu a oznámení podle Aktu o digitálních službách a souhrnné anonymní statistiky. Tato zpracování popisují zásady ochrany osobních údajů.

16. Odpovědnost a závěrečná ustanovení

• Každá strana odpovídá za porušení svých povinností podle GDPR. Mezi stranami platí omezení odpovědnosti podle článku 17 obchodních podmínek; nedotýká se odpovědnosti vůči subjektům údajů (čl. 82 GDPR) ani pokut uložených úřadem.
• Změny této smlouvy a její postoupení se řídí články 18 a 21 obchodních podmínek. Ve věcech osobních údajů má tato smlouva přednost před obchodními podmínkami; v rozporu s GDPR platí GDPR.
• Smlouva platí od 21. 10. 2026 (verze 2026-10-21).