Smlouva o zpracování osobních údajů

Článek 1 – Smluvní strany a vznik smlouvy

Správce je klient služby SFERIN – ubytovatel, který přes svůj web přijímá rezervace a eviduje hosty. Zpracovatel je WebiSfer s. r. o., Talinská 2388/9, 040 12 Košice – mestská časť Nad jazerom, Slovenská republika, IČO 57 475 687, zapsaná v obchodním rejstříku Městského soudu Košice, oddíl Sro, vložka č. 65153/V, kontakt [email protected].

Tuto smlouvu uzavíráme podle čl. 28 odst. 3 nařízení (EU) 2016/679 (dále „GDPR“). Vzniká spolu se smlouvou o poskytování služby SFERIN, tedy přijetím Všeobecných obchodních podmínek při objednávce, a je jejich součástí. Trvá po dobu trvání smlouvy o službě a poté až do výmazu nebo vrácení údajů podle článku 9. V otázkách ochrany osobních údajů má tato smlouva přednost před obchodními podmínkami.

Článek 2 – Předmět, povaha a účel zpracování

Zpracovatel zpracovává osobní údaje jménem správce jen za účelem provozu jeho webu s rezervačním systémem, a to pro tyto účely:

provoz webu a rezervačního formuláře,
přijímání a správa rezervací a rezervačních žádostí,
vedení evidenční knihy, domovní knihy o ubytovaných cizincích a evidence hostů včetně online check-inu,
příprava podkladů k místnímu poplatku z pobytu pro obec,
odesílání e-mailů hostům (potvrzení rezervace, zálohová faktura, pokyny k pobytu).

Zpracování spočívá zejména ve shromažďování údajů přes formuláře na webu, jejich uchovávání v databázi, zobrazování v administraci, odesílání e-mailů a přípravě přehledů. Údaje se nepoužívají k jiným účelům, například k marketingu zpracovatele.

Článek 3 – Kategorie údajů a subjektů údajů

Subjekty údajů: hosté ubytování a osoby, které podávají rezervační žádost nebo rezervaci.

Kategorie osobních údajů:

identifikační údaje – jméno a příjmení, datum a místo narození, státní občanství,
kontaktní údaje – e-mail, telefon, adresa trvalého bydliště,
údaje z dokladu totožnosti – druh a číslo dokladu,
u cizinců údaje, které ubytovatel zjišťuje podle předpisů o pobytu cizinců platných v místě ubytování (v České republice zákon č. 326/1999 Sb., o pobytu cizinců na území České republiky, na Slovensku zákon č. 404/2011 Z. z.), například číslo a platnost víza a účel pobytu,
rezervační údaje – termín pobytu, počet hostů, cena, platby, poznámky a komunikace s hostem.

Zvláštní kategorie osobních údajů podle čl. 9 GDPR se nezpracovávají.

Článek 4 – Pokyny správce

Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů správce (čl. 28 odst. 3 písm. a) GDPR). Pokyny jsou tato smlouva, nastavení, která správce zvolí v administraci, a jeho žádosti zaslané e-mailem. Pokud by podle názoru zpracovatele pokyn porušoval GDPR nebo jiný předpis o ochraně údajů, neprodleně na to správce upozorní. Údaje nepředává do třetích zemí jinak než podle kapitoly V GDPR (viz článek 7).

Správce odpovídá za to, že má ke zpracování údajů hostů právní základ, že hosty informuje (zásady ochrany osobních údajů jeho ubytování) a že do systému vkládá jen údaje, které potřebuje.

Článek 5 – Mlčenlivost

Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly vázány povinností mlčenlivosti (čl. 28 odst. 3 písm. b) GDPR a § 79 slovenského zákona č. 18/2018 Z. z. o ochraně osobních údajů). Mlčenlivost trvá i po skončení smlouvy.

Článek 6 – Bezpečnost

Zpracovatel přijal tato technická a organizační opatření podle čl. 32 GDPR:

veškerá komunikace s webem a administrací je šifrovaná (HTTPS, SSL certifikát),
údaje z dokladů totožnosti a víz jsou v databázi uložené šifrovaně (AES-256-GCM),
server je umístěn v datovém centru v Evropské unii,
údaje se zálohují,
přístup do administrace je chráněn heslem s možností dvoufázového ověření; každý správce vidí jen údaje svého ubytování,
web je chráněn službou Cloudflare před útoky a roboty,
software se průběžně aktualizuje a důležité zásahy se zaznamenávají.

Článek 7 – Další zpracovatelé

Správce uděluje obecný souhlas, aby zpracovatel využíval dalších zpracovatelů uvedených níže (čl. 28 odst. 2 GDPR). O plánovaném přidání nebo výměně dalšího zpracovatele informuje správce e-mailem předem; správce může do 30 dnů vznést námitku, a pokud se nedohodnou, může službu vypovědět. Další zpracovatele zavazuje stejnými povinnostmi ochrany údajů (čl. 28 odst. 4 GDPR).

Contabo GmbH, Německo – hosting, server s databází a webem v datovém centru v EU,
Cloudflare, Inc., USA – DNS, síťová ochrana a zrychlení webu, ověření formulářů proti robotům (Turnstile); předání do USA je kryté rámcem EU-US Data Privacy Framework,
Websupport s. r. o., Slovensko – e-mailová schránka a odesílání e-mailů hostům, pokud e-maily odcházejí přes schránku zřízenou zpracovatelem.

Služby, které volá přímo prohlížeč návštěvníka. Mapa na webu načítá podklady z OpenStreetMap a knihovnu z unpkg.com; našeptávač adresy při online check-inu posílá rozepsanou adresu službám Photon (komoot GmbH, Německo) a Nominatim (OpenStreetMap). Tyto služby dostanou IP adresu návštěvníka a zadaný text, ne údaje z databáze. Odkaz na navigaci v Google Maps se otevře až po kliknutí. Google Analytics nebo Google Tag Manager se na webu používají jen tehdy, pokud si je správce zapne, a jen se souhlasem návštěvníka; v takovém případě za ně odpovídá správce.

Článek 8 – Součinnost a porušení zabezpečení údajů

Zpracovatel pomáhá správci vyřizovat žádosti hostů o uplatnění jejich práv – přístup, opravu, výmaz, omezení, přenositelnost a námitku (čl. 28 odst. 3 písm. e) GDPR). Pokud se host s takovou žádostí obrátí přímo na zpracovatele, postoupí ji bez zbytečného odkladu správci. Pomáhá mu i při plnění povinností podle čl. 32 až 36 GDPR (písm. f).

Pokud zpracovatel zjistí porušení zabezpečení osobních údajů, oznámí je správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění (čl. 33 odst. 2 GDPR). Oznámení obsahuje informace, které má k dispozici a které správce potřebuje ke splnění své povinnosti podle čl. 33 odst. 3 GDPR (povaha porušení, dotčené údaje a osoby, pravděpodobné důsledky a přijatá opatření). Ohlášení příslušnému dozorovému úřadu (v České republice Úřadu pro ochranu osobních údajů) a hostům provádí správce.

Článek 9 – Po skončení smlouvy

Po skončení služby zpracovatel na žádost správce podanou do 30 dnů od skončení vrátí údaje exportem (rezervace a evidence hostů) a nejpozději do 90 dnů od skončení osobní údaje vymaže, včetně kopií, pokud právo Unie nebo členského státu nevyžaduje jejich další uchovávání (čl. 28 odst. 3 písm. g) GDPR). Odpovídá to článku 10 obchodních podmínek.

Článek 10 – Informace a audit

Zpracovatel poskytne správci veškeré informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audit nebo kontrolu, kterou provede správce nebo jím pověřený auditor (čl. 28 odst. 3 písm. h) GDPR). Termín a rozsah auditu se dohodnou předem tak, aby nenarušil provoz služby a bezpečnost údajů jiných klientů.

Článek 11 – Závěrečná ustanovení

Odpovědnost stran za škodu způsobenou porušením GDPR se řídí čl. 82 GDPR. Vztahy neupravené touto smlouvou se řídí GDPR, slovenským zákonem č. 18/2018 Z. z. o ochraně osobních údajů a obchodními podmínkami služby SFERIN. Smlouva se řídí právem Slovenské republiky. Toto české znění je platné a účinné od 17. 10. 2026.