Smlouva o zpracování osobních údajů
Poslední aktualizace: 19. října 2026
1. Smluvní strany
Tato smlouva o zpracování osobních údajů (dále jen „Smlouva o zpracování“) se uzavírá podle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR) mezi Uživatelem služby Termio, který jako vlastník Firmy vystupuje jako správce (dále jen „Správce“), a společností codevo s. r. o., IČO: 57437807, DIČ: 2122728047, se sídlem Mlynský Sek 16, 941 02 Lipová, Slovenská republika, zapsanou v Obchodním rejstříku Okresního soudu Nitra, oddíl: Sro, vložka č. 68539/N, která vystupuje jako zpracovatel (dále jen „Zpracovatel“).
2. Uzavření a vztah k Obchodním podmínkám
Smlouva o zpracování se uzavírá přijetím Obchodních podmínek při registraci a tvoří jejich nedílnou součást. Pojmy, které nejsou definovány v této Smlouvě o zpracování, mají význam podle Obchodních podmínek a GDPR. Ve věcech ochrany osobních údajů má při rozporu přednost tato Smlouva o zpracování.
3. Předmět a doba trvání
Předmětem Smlouvy o zpracování je zpracování osobních údajů jménem Správce, které Správce, Členové týmu nebo jeho klienti při online rezervaci vkládají do Služby. Smlouva o zpracování se uzavírá na dobu trvání smluvního vztahu podle Obchodních podmínek a zaniká jeho skončením. Povinnosti týkající se výmazu údajů a důvěrnosti trvají i po jejím zániku.
4. Povaha a účel zpracování
Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování Služby, tedy online rezervace termínů a správy klientů: vedení kalendáře a rezervací, evidence klientů a historie jejich návštěv, zasílání potvrzení, připomínek a žádostí o hodnocení, vedení čekací listiny a dárkových poukazů, zápis rezervací do Google Kalendáře, pokud jej Správce propojí, a další funkce, které Správce ve Službě zapne. Zpracovatelské operace zahrnují zejména shromažďování, zaznamenávání, uchovávání, uspořádání, vyhledávání, zasílání notifikací, export, anonymizaci a výmaz údajů.
5. Kategorie osobních údajů a subjektů údajů
Subjekty údajů: klienti Správce (koncoví zákazníci, kteří si rezervují nebo mají rezervované termíny, jsou na čekací listině nebo jsou držiteli dárkového poukazu) a zaměstnanci či spolupracovníci Správce, kterým Správce vytvoří ve Službě přístup nebo profil. Kategorie osobních údajů: identifikační a kontaktní údaje (jméno, příjmení, e-mail, telefonní číslo), historie rezervací a návštěv (termíny, služby, ceny, stav rezervace, zrušení a nedostavení se), údaje pro řízení rezervací, které nastaví Správce (například zablokování klienta a poznámka k němu), poznámky, které ke klientovi zapíše Správce, údaje z vlastních polí rezervačního formuláře, hodnocení a komentáře klientů, údaje o dárkových poukazech a u zaměstnanců také pracovní údaje (pozice, pracovní doba, nepřítomnost a fotografie, pokud ji Správce nahraje). Služba není určena ke zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR (například údajů o zdraví). Pokud je Správce do Služby vloží, odpovídá za existenci právního základu pro jejich zpracování.
6. Pokyny Správce
Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, a to i pokud jde o předání osobních údajů do třetí země. Takovými pokyny jsou Obchodní podmínky, tato Smlouva o zpracování a nastavení a úkony, které Správce provede ve Službě. Pokud Zpracovateli ukládá zpracování právo Unie nebo členského státu, informuje o tom Správce před zpracováním, ledaže mu to toto právo zakazuje. Je-li podle Zpracovatele pokyn v rozporu s GDPR nebo jinými předpisy o ochraně údajů, neprodleně na to Správce upozorní.
7. Důvěrnost
Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Přístup k osobním údajům mají pouze osoby, které jej potřebují k provozu, podpoře a údržbě Služby.
8. Zabezpečení zpracování
Zpracovatel přijímá přiměřená technická a organizační opatření podle čl. 32 GDPR, zejména šifrování přenosu údajů (TLS), bezpečné ukládání hesel pomocí hashování, logické oddělení údajů jednotlivých Správců v rámci Služby, řízení přístupu podle rolí, uložení údajů v datovém centru v EU, průběžné bezpečnostní aktualizace a monitoring chyb a incidentů. Zpracovatel opatření pravidelně přezkoumává a přizpůsobuje stavu techniky a rizikům zpracování.
9. Další zpracovatelé
Správce uděluje Zpracovateli obecné písemné povolení zapojit další zpracovatele. Zpracovatel v současnosti využívá: – DigitalOcean, LLC (USA) – hosting serverů a databází v datovém centru ve Frankfurtu nad Mohanem (Německo, EU); – Stripe (Irsko a USA) – platby; – Resend (USA) – odesílání e-mailů; – Cloudflare (USA) – síť pro doručování obsahu (CDN), ochrana webu a vlastní domény; – Google (USA) – přihlášení přes Google a synchronizace Google Kalendáře, pouze pokud ji Správce zapne; – Sentry (USA) – monitoring chyb. O zamýšleném přidání nebo nahrazení dalšího zpracovatele Zpracovatel informuje Správce e-mailem nejméně 30 dní předem, aby měl Správce možnost vůči změně vznést námitku. Pokud Správce se změnou nesouhlasí a námitce nelze vyhovět, může smluvní vztah před účinností změny bez sankce ukončit smazáním Firmy; Zpracovatel mu v takovém případě vrátí poměrnou část zaplacené ceny za nevyčerpané období. Zpracovatel ukládá dalším zpracovatelům stejné povinnosti ochrany údajů, jaké vyplývají z této Smlouvy o zpracování, a vůči Správci odpovídá za jejich plnění.
10. Místo zpracování a předávání údajů mimo EU
Údaje Služby jsou uloženy na serverech v EU (DigitalOcean, Frankfurt nad Mohanem, Německo). Někteří další zpracovatelé – DigitalOcean, Stripe, Resend, Cloudflare, Google a Sentry – jsou však usazeni v USA nebo mohou údaje zpracovávat v USA. Předávání probíhá na základě rozhodnutí Evropské komise o odpovídající ochraně pro rámec ochrany osobních údajů EU – USA (EU-US Data Privacy Framework), je-li příjemce v tomto rámci certifikován, jinak na základě standardních smluvních doložek schválených Evropskou komisí podle čl. 46 odst. 2 písm. c) GDPR.
11. Součinnost při výkonu práv subjektů údajů
Zpracovatel s ohledem na povahu zpracování pomáhá Správci vhodnými technickými a organizačními opatřeními plnit povinnost reagovat na žádosti subjektů údajů o výkon jejich práv, zejména práva na přístup, opravu, výmaz a přenositelnost. Za tímto účelem Služba umožňuje údaje klienta upravit, exportovat do souboru JSON a vymazat, přičemž výmazem se osobní údaje klienta včetně poznámek, komentářů v hodnoceních a záznamů na čekací listině nevratně anonymizují. Podá-li subjekt údajů žádost přímo Zpracovateli, Zpracovatel ji bez zbytečného odkladu postoupí Správci. Zpracovatel také poskytne Správci přiměřenou součinnost při plnění povinností podle čl. 32 až 36 GDPR.
12. Porušení zabezpečení osobních údajů
Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, a to na e-mail vlastníka Firmy uvedený ve Službě. Ohlášení obsahuje informace, které má Zpracovatel k dispozici a které Správce potřebuje ke splnění povinností podle čl. 33 a 34 GDPR, zejména popis porušení, dotčené kategorie a přibližný počet údajů a osob, pravděpodobné důsledky a přijatá nebo navrhovaná opatření. Informace, které není možné poskytnout současně, Zpracovatel poskytuje postupně.
13. Výmaz a vrácení údajů
Správce může údaje své Firmy kdykoli exportovat v Nastavení Služby (Export údajů), čímž mu Zpracovatel údaje vrací. Smluvní vztah Správce ukončí smazáním Firmy v Nastavení. Zpracovatel poté všechny osobní údaje zpracovávané jménem Správce trvale vymaže po uplynutí 30 dní od smazání Firmy, nevyžaduje-li právo Unie nebo členského státu jejich další uchovávání. Ukončí-li smluvní vztah Zpracovatel, umožní Správci údaje před výmazem exportovat a vymaže je po uplynutí 30 dní od skončení smluvního vztahu. Faktury a údaje o Předplatném nejsou údaji zpracovávanými jménem Správce; Zpracovatel je jako správce uchovává po dobu vyžadovanou účetními a daňovými předpisy podle Zásad ochrany osobních údajů. Smazané údaje není možné obnovit, proto doporučujeme před smazáním Firmy údaje exportovat.
14. Prokazování souladu a audity
Zpracovatel poskytne Správci na požádání informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audity včetně kontrol, které provede Správce nebo jím pověřený auditor vázaný mlčenlivostí. Audit je třeba oznámit s přiměřeným předstihem a provést tak, aby nenarušil provoz Služby ani důvěrnost údajů jiných Uživatelů. Žádosti zasílejte na [email protected].
15. Povinnosti Správce
Správce odpovídá za zákonnost zpracování osobních údajů, které do Služby vkládá nebo které v ní shromažďuje prostřednictvím rezervační stránky, zejména za existenci právního základu, za splnění informační povinnosti vůči svým klientům a zaměstnancům podle čl. 13 a 14 GDPR, za obsah poznámek a vlastních polí formuláře a za oprávnění, která udělí Členům týmu.
16. Kontakt
Dotazy k této Smlouvě o zpracování zasílejte na [email protected] nebo na adresu codevo s. r. o., Mlynský Sek 16, 941 02 Lipová, Slovensko.