Podmínky zpracování osobních údajů (zpracovatelská smlouva)

1. Úvodní ustanovení a role stran

1.1 Tyto podmínky zpracování osobních údajů (dále „DPA“) jsou nedílnou součástí obchodních podmínek služby Kvartio (dále „VOP“) a tvoří zpracovatelskou smlouvu ve smyslu čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále „GDPR“). Uzavírají se elektronicky přijetím VOP při registraci uživatelského účtu.

1.2 Uživatel (pronajímatel) je správcem osobních údajů nájemců a dalších osob, jejichž údaje do aplikace vkládá (dále „správce“). Poskytovatel tyto údaje zpracovává pro správce jako zpracovatel.

1.3 Ve vztahu k osobním údajům samotného uživatele (registrace, přihlašování, fakturace, provoz a zabezpečení účtu) je poskytovatel správcem; toto zpracování upravují Zásady zpracování osobních údajů, nikoli tato DPA.

1.4 Správce prohlašuje, že je oprávněn osobní údaje do aplikace vložit, že plní vůči subjektům údajů informační povinnost (čl. 13 a 14 GDPR; aplikace mu k tomu poskytuje vzorovou informaci pro nájemce) a že údaje zpracovává na základě řádného právního titulu, zejména plnění nájemní smlouvy a plnění právních povinností pronajímatele.

2. Předmět, povaha, účel a doba zpracování

2.1 Předmětem zpracování jsou osobní údaje vložené správcem do aplikace v rozsahu podle přílohy A. Povahou zpracování je zejména ukládání, strukturování, zobrazování, použití pro generování dokumentů a výpočty, zálohování a výmaz, prováděné automatizovaně v rámci provozu aplikace.

2.2 Účelem zpracování je: (a) poskytování funkcionality aplikace — vedení kartotéky nemovitostí a nájemců, evidence nájemních smluv a plateb, generování právních dokumentů, výpočty (valorizace, vyúčtování) a hlídání zákonných povinností; a (b) agregace a nevratná anonymizace údajů pro statistické a analytické účely za podmínek článku 8.

2.3 Zpracování trvá po dobu existence uživatelského účtu. Skončením účtu vzniká režim podle článku 11.

3. Pokyny správce

3.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce. Pokyny jsou dány touto DPA, nastavením aplikace a úkony, které správce v aplikaci provádí (vložení, změna, výmaz údajů, vygenerování dokumentu, export). Součástí doložených pokynů správce jsou rovněž rozsah, účel a pravidla anonymizace podle článku 8. Jiné pokyny lze udělit písemně na kontaktní adrese zpracovatele.

3.2 To platí i pro předání osobních údajů do třetí země, ledaže je zpracování vyžadováno právem EU nebo členského státu; v takovém případě zpracovatel správce před zpracováním informuje, pokud právo takové informování nezakazuje.

3.3 Považuje-li zpracovatel pokyn za rozporný s GDPR nebo jinými předpisy o ochraně osobních údajů, bez zbytečného odkladu na to správce upozorní.

4. Povinnosti zpracovatele

4.1 Zpracovatel zajistí, že osoby oprávněné zpracovávat osobní údaje jsou zavázány k mlčenlivosti, ledaže se na ně vztahuje zákonná povinnost mlčenlivosti.

4.2 Zpracovatel přijme a udržuje technická a organizační opatření podle čl. 32 GDPR v rozsahu přílohy C (dále „TOM“). TOM lze průběžně rozvíjet; úroveň zabezpečení nesmí klesnout pod úroveň sjednanou v příloze C.

4.3 Zpracovatel nezpracovává osobní údaje pro vlastní účely; tím není dotčena nevratná anonymizace podle článku 8, jejímž provedením údaje přestávají být osobními údaji.

4.4 Zpracovatel vede záznamy o činnostech zpracování prováděných pro správce (čl. 30 odst. 2 GDPR).

5. Sub-zpracovatelé

5.1 Správce uděluje obecné povolení k zapojení dalších zpracovatelů (sub-zpracovatelů). Aktuální seznam je uveden v příloze B a na webu poskytovatele.

5.2 Zamýšlené přidání nebo nahrazení sub-zpracovatele zpracovatel oznámí správci nejméně 14 dní předem (v aplikaci a e-mailem). Nového sub-zpracovatele zpracovatel pro osobní údaje správce nezapojí před uplynutím této lhůty. Vznese-li správce v této lhůtě z oprávněných důvodů námitku, pokusí se strany nalézt řešení (zejména nezapojení dotčeného sub-zpracovatele pro údaje správce); nebude-li řešení nalezeno, je správce oprávněn účet ukončit postupem dle VOP a do dne účinnosti změny si data exportovat.

5.3 Zpracovatel uloží každému sub-zpracovateli smlouvou povinnosti ochrany údajů alespoň v rozsahu této DPA a odpovídá správci za plnění povinností sub-zpracovatele.

6. Předávání do třetích zemí

6.1 Osobní údaje jsou uloženy a zpracovávány v Evropské unii (databáze i výpočetní region aplikace ve Frankfurtu nad Mohanem). Někteří sub-zpracovatelé jsou společnosti se sídlem v USA; pokud při poskytování jejich služeb dochází k předání osobních údajů do třetí země, opírá se o rozhodnutí o odpovídající ochraně (EU–U.S. Data Privacy Framework) nebo o standardní smluvní doložky EU (SCC) včetně případných doplňkových opatření, jak je u jednotlivých sub-zpracovatelů uvedeno v příloze B.

7. Zabezpečení a ohlašování porušení

7.1 Zpracovatel zavádí opatření podle přílohy C, zejména šifrování vybraných osobních údajů aplikační vrstvou, izolaci dat účtů na úrovni databáze, řízení přístupu a auditní stopu.

7.2 Porušení zabezpečení osobních údajů, které se týká údajů zpracovávaných pro správce, ohlásí zpracovatel správci bez zbytečného odkladu po jeho zjištění, a to s popisem povahy porušení, pravděpodobných dopadů, dotčených kategorií údajů a přijatých opatření tak, aby správce mohl splnit povinnosti podle čl. 33 a 34 GDPR (ohlášení dozorovému úřadu do 72 hodin). Oznámení se činí e-mailem na kontaktní adresu účtu správce a současně upozorněním v aplikaci; nejsou-li v okamžiku prvního oznámení dostupné všechny informace, poskytuje je zpracovatel postupně bez zbytečného odkladu (průběžné aktualizace). Kontaktním bodem mimo aplikaci je e-mailová adresa podpory uvedená na kvartio.cz.

8. Anonymizace a agregovaná data

8.1 Správce pověřuje zpracovatele prováděním nevratné anonymizace osobních údajů vložených do aplikace, zejména údajů o výši nájemného, lokalitě, dispozici bytu a datu uzavření smlouvy, pro statistické a analytické účely (mj. přehledy srovnatelného nájemného). Rozsah, účel a pravidla anonymizace podle tohoto článku jsou součástí doložených pokynů správce ve smyslu čl. 3.1; zpracovatel v této fázi jedná jako zpracovatel na pokyn správce.

8.2 Anonymizace musí splnit tento výsledek: z výstupů nesmí být možné ani s vynaložením rozumného úsilí identifikovat pronajímatele, nájemce ani konkrétní byt či nemovitost. K dosažení tohoto výsledku zpracovatel uplatňuje metodiku zahrnující zejména: (a) odstranění přímých identifikátorů; (b) zobecnění lokality nejvýše na úroveň obce, katastrálního území či městské části; (c) minimální práh počtu datových bodů v segmentu (výchozí 10, nikdy méně než 5) jako jednu z metodických podmínek, nikoli samostatnou záruku anonymity; (d) potlačení vzácných kategorií a případné zobecnění hodnot; (e) kontrolu rizika reidentifikace z kombinace atributů; (f) zákaz zveřejnění výstupu, z něhož by bylo možné jednotlivou nemovitost nebo osobu rozumně odvodit; a (g) pravidelnou revizi metodiky. Provedení anonymizace a verze metodiky se zaznamenávají v auditním logu bez obsahu původních údajů.

8.3 Teprve po ověření, že výstup splňuje kritéria anonymizace stanovená touto DPA a použitou metodikou, se na takový výstup GDPR již nevztahuje a jeho další užití upravuje článek VOP o agregovaných datech; do té doby se s výstupem nakládá jako s osobními údaji podle této DPA.

9. Součinnost

9.1 Zpracovatel je správci nápomocen prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti reagovat na žádosti subjektů údajů (kap. III GDPR); žádost subjektu údajů doručenou přímo zpracovateli předá bez zbytečného odkladu správci.

9.2 Zpracovatel je správci nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace), a to při zohlednění povahy zpracování a informací, jež má k dispozici.

10. Audit a doložení souladu

10.1 Zpracovatel poskytne správci informace potřebné k doložení plnění povinností dle čl. 28 GDPR, zejména popis TOM, seznam sub-zpracovatelů a souhrnné výstupy z interních přezkumů.

10.2 Zpracovatel umožní audity, včetně inspekcí, prováděné správcem nebo jiným auditorem, kterého správce pověřil, a k těmto auditům přispěje (čl. 28 odst. 3 písm. h) GDPR). Organizačně se audit provádí po předchozím písemném oznámení zpravidla 30 dní předem, v běžné pracovní době, bez přístupu k údajům jiných správců a na náklady správce; přednostně formou písemných dotazů a předložení dokumentace. Ujednáním tohoto článku nejsou práva správce podle čl. 28 odst. 3 GDPR omezena; při porušení zabezpečení nebo na žádost dozorového úřadu se audit umožní bez zbytečného odkladu.

11. Skončení zpracování

11.1 Po zániku uživatelského účtu zpracovatel osobní údaje zpracovávané pro správce vymaže, ledaže právo EU či členského státu vyžaduje jejich uložení. Před zánikem účtu si správce může data kdykoli exportovat funkcí aplikace (strojově čitelný formát).

11.2 Výmaz proběhne do 30 dnů od zániku účtu; ze zálohovacích médií se údaje odstraní nejpozději uplynutím retence záloh dle přílohy C. Agregovaná data vzniklá nevratnou anonymizací podle článku 8 nejsou výmazem dotčena (nejsou osobními údaji).

12. Závěrečná ustanovení

12.1 Odpovědnost stran se řídí VOP; tím nejsou dotčena kogentní ustanovení GDPR o odpovědnosti správce a zpracovatele (čl. 82).

12.2 Změny této DPA se řídí režimem změn VOP; o změně DPA či přílohy B informuje poskytovatel správce předem způsobem dle VOP.

12.3 Tato DPA se řídí právem České republiky. V rozsahu neupraveném platí VOP a GDPR.

Příloha A — Kategorie subjektů údajů a osobních údajů

Zvláštní kategorie údajů (čl. 9 GDPR) nejsou předmětem zpracování; správce se zavazuje je do aplikace nevkládat.

Příloha B — Schválení sub-zpracovatelé

Stav účasti sub-zpracovatelů v EU–U.S. Data Privacy Framework byl ověřen k 23. 9. 2026 (dataprivacyframework.gov, dokumentace poskytovatelů); provozovatel jej znovu ověřuje při každé změně této přílohy. Bankovní identita, a.s. (ČR, data v ČR/EU) přibude jako sub-zpracovatel po spuštění podepisování — nejde o předání do třetí země.

Příloha C — Technická a organizační opatření (TOM), v0.2

C.1 Umístění a infrastruktura. Databáze PostgreSQL (Neon) v regionu AWS eu-central-1 (Frankfurt, EU) se šifrováním na úrovni úložiště; aplikace na platformě Vercel s výpočetním regionem fra1 (EU); statická aktiva bez osobních údajů přes CDN. Zálohy formou obnovy k bodu v čase v témže regionu EU, s retencí dle tarifu poskytovatele infrastruktury.

C.2 Šifrování. Veškerá komunikace výhradně přes TLS (HTTPS). Jméno, datum narození, kontaktní údaje a číslo dokladu nájemců se ukládají šifrované aplikační vrstvou algoritmem AES-256-GCM (autentizované šifrování); databáze prostý text nikdy neobdrží. 256bitový klíč je uložen výhradně v konfiguraci prostředí aplikace (mimo databázi i repozitář kódu) se zálohou ve správci hesel provozovatele; formát hodnot nese verzi klíče a umožňuje řízenou rotaci. Hesla uživatelů se ukládají pouze jako otisk Argon2id. Relace: podepsané tokeny v httpOnly/secure cookie.

C.3 Izolace dat účtů. Řádková bezpečnost (row-level security) přímo v PostgreSQL s vynucením pro všechny role (ENABLE + FORCE) nad tabulkami dat účtů; nezávisle na tom aplikační vrstva provádí dotazy v transakci s identifikátorem účtu a explicitními podmínkami — dvě samostatné pojistky.

C.4 Auditní stopa. Append-only auditní log akcí (registrace, přihlášení, změny záznamů kartotéky, generování dokumentů, export dat) s uvedením akce, entity, uživatele a času; záznamy nelze v průběhu retence měnit ani jednotlivě mazat. Účelem logu je bezpečnost provozu, řešení incidentů a doložení souladu. Záznamy se uchovávají po dobu existence účtu a 12 měsíců po jeho zániku; poté se automatizovaně mažou (řízená retence).

C.5 Řízení přístupu. Registrace s ověřením e-mailu; hesla s minimální délkou 10 znaků. Přístup k produkční infrastruktuře (Vercel, Neon, GitHub) má pouze statutární orgán provozovatele; tajemství v šifrovaném úložišti konfigurace, tokeny s minimálním rozsahem práv a expirací. Plán: přihlášení a podepisování přes Bank iD; spolupracovnické role s omezenými právy.

C.6 Minimalizace. Šifrovaná pole jsou oddělena od provozních; nešifrovaný štítek je určen jen pro pracovní označení bez osobních údajů (uživatel je upozorněn ve formuláři). Agregované výstupy podléhají prahům k-anonymity dle článku 8 DPA.

C.7 Organizační opatření. Oddělení prostředí (preview/produkce), nasazení přes verzovaný repozitář s revizí změn; pravidelný přezkum přístupů a záloh; evidence činností zpracování (čl. 30). Incidenty: interní postup zjištění–zvládnutí–ohlášení; informace dotčeným správcům bez zbytečného odkladu (čl. 7.2 DPA).