TonMiroSystems ← zpět na web
Právní dokument · příloha č. 1 k Podmínkám · informativní překlad

Smlouva o zpracování osobních údajů

Verze 1.1 · účinná od 9. října 2026 · podle čl. 28 GDPR

Zpracovatel: Lexine Gawek i Kielar sp. j., ul. Witkowicka 82, 31-242 Kraków, Polsko

PL EN SK CZ

Pouze informativní překlad. Tento český text je technický překlad určený pro informační účely. Právně závazná je polská verze dokumentu dostupná na tonmiro.com/prawne/powierzenie-danych.html. V případě rozporu má přednost polská verze.
K čemu tento dokument slouží. Když do systému vkládáte údaje zaměstnanců, řidičů nebo obchodních partnerů, zůstává provoz (klient) jejich správcem a my je pro něj zpracováváme. GDPR vyžaduje, aby byl takový vztah upraven smlouvou s předepsaným obsahem (čl. 28 odst. 3). Tato smlouva se uzavírá automaticky spolu se Smlouvou o užívání Systému — není třeba podepisovat samostatný dokument, i když na přání klienta připravíme verzi k podpisu.

§ 1. Smluvní strany a uzavření smlouvy

  1. Správce — Klient ve smyslu Podmínek užívání webu tonmiro.com a služby TonMiro Systems („Podmínky“), tj. podnikatel, který se Zpracovatelem uzavřel Smlouvu o užívání Systému.
  2. Zpracovatel — Lexine Gawek i Kielar spółka jawna se sídlem v Krakově, ul. Witkowicka 82, 31-242 Kraków, Polsko, KRS 0000335571, NIP 7010197031, provozující službu TonMiro Systems.
  3. Tato smlouva („Smlouva o zpracování“) se uzavírá okamžikem uzavření Smlouvy o užívání Systému a tvoří její nedílnou součást. Pojmy psané s velkým počátečním písmenem, které zde nejsou definovány, mají význam uvedený v Podmínkách. „GDPR“ znamená nařízení Evropského parlamentu a Rady (EU) 2016/679.
  4. V případě rozporu mezi Smlouvou o zpracování a Podmínkami nebo Smlouvou o užívání Systému má v oblasti ochrany osobních údajů přednost Smlouva o zpracování.

§ 2. Předmět, povaha a účel zpracování

  1. Správce pověřuje Zpracovatele zpracováním osobních údajů v rozsahu a za účelem nezbytným pro poskytování služby přístupu k Systému, jeho zavedení, údržbu, technickou podporu, vytváření záloh a převod údajů z dosavadních zdrojů Správce.
  2. Povaha zpracování: zpracování v informačním systému zpřístupněném přes internet (SaaS), zahrnující zejména shromažďování, zaznamenávání, uspořádávání, uložení, nahlížení, pozměňování, export, zálohování a výmaz údajů — v rozsahu vyplývajícím z funkcí Systému a z pokynů Správce.
  3. Účel zpracování: vedení evidence a analýza práce provozu Správcem (vážení a výdeje, stroje a vozidla, tankování, oleje, filtry, měření, výrobní hodiny, dokumenty, servis) v souladu s funkcemi Systému popsanými v Podmínkách a na Webu.
  4. Zpracovatel může — na základě tohoto zdokumentovaného pokynu Správce a v rozsahu stanoveném Podmínkami — provést anonymizaci a agregaci svěřených údajů výhradně za účelem vytvoření souborů, z nichž nelze za použití rozumně dostupných prostředků identifikovat Správce, jeho provoz ani fyzické osoby. Samotná anonymizace je operací zpracování prováděnou na pokyn Správce; teprve po jejím úspěšném provedení mohou být takto vzniklé informace využívány pro vlastní účely uvedené v Podmínkách.
  5. Zpracovatel nezpracovává svěřené údaje pro vlastní účely, s výjimkou anonymizovaných a agregovaných údajů uvedených v odst. 4 a v § 12 odst. 6 Podmínek — tyto údaje nejsou osobními údaji.

§ 3. Typ údajů a kategorie subjektů údajů

  1. Kategorie subjektů údajů:
    • zaměstnanci a spolupracovníci Správce (obsluha strojů, mechanici, vedoucí, kancelář, řidiči);
    • řidiči a zaměstnanci obchodních partnerů Správce (odběratelé kameniva, dopravci, dodavatelé paliva, servisy);
    • podnikající fyzické osoby, které jsou obchodními partnery Správce;
    • osoby uvedené v dokumentech vložených do Systému (např. na vážních lístcích, fakturách, protokolech, fotografiích dokladů).
  2. Typy údajů: jméno a příjmení, pozice nebo role, přihlašovací jméno a otisk (hash) hesla, pracovní e-mail a telefon, název a údaje firmy, registrační značky vozidel, údaje z vážních lístků a výdejů (řidič, dopravce, odběratel), údaje z tankování (kdo, kdy, kolik), údaje z evidence oprav a prohlídek, historie činností v Systému (logy), obsah dokumentů a fotografií vložených Správcem. Bezpečnostní logy infrastruktury (IP adresa, čas a výsledek přihlášení) vede Zpracovatel pro vlastní účel ochrany Systému jako správce těchto údajů — za podmínek popsaných v Zásadách ochrany osobních údajů; nejsou předmětem tohoto svěření.
  3. Správce nesvěřuje zvláštní kategorie osobních údajů (čl. 9 GDPR) ani osobní údaje týkající se rozsudků v trestních věcech (čl. 10 GDPR). Pokud Správce zamýšlí vložit do Systému takové údaje (např. lékařské posudky, informace o zdravotním stavu obsluhy strojů), musí to předem písemně dohodnout se Zpracovatelem.
  4. Pokud Zpracovatel zjistí, že do Systému byly bez předchozí dohody vloženy údaje uvedené v odst. 3, informuje o tom Správce a — v technicky možném rozsahu — omezí přístup k těmto údajům až do obdržení pokynu Správce týkajícího se jejich výmazu, dalšího zpracování nebo změny rozsahu svěření.
  5. Správce může kdykoli upřesnit rozsah svěřených údajů v textové podobě; nevyžaduje to změnu Smlouvy o zpracování.

§ 4. Povinnosti Zpracovatele

Zpracovatel se zavazuje:

  1. zpracovávat údaje výhradně na základě zdokumentovaných pokynů Správce — za pokyn se považují Podmínky, Smlouva o užívání Systému, tato Smlouva o zpracování a pokyny předané Správcem e-mailem nebo prostřednictvím funkcí Systému; to platí i pro předávání údajů do třetí země, pokud takovou povinnost neukládá právo Unie nebo členského státu — v takovém případě Zpracovatel informuje Správce před zahájením zpracování, pokud to dané právo nezakazuje;
  2. neprodleně informovat Správce, pokud podle jeho názoru vydaný pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů;
  3. zajistit, aby se osoby oprávněné zpracovávat údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti a aby byly proškoleny v oblasti ochrany údajů;
  4. připouštět ke zpracování výhradně osoby, které mají pověření, a pouze v rozsahu nezbytném pro plnění jejich povinností;
  5. zavést a udržovat technická a organizační opatření popsaná v § 5 a v příloze B;
  6. dodržovat podmínky pro zapojení dalšího zpracovatele (§ 6);
  7. pomáhat Správci při plnění povinností vůči subjektům údajů a povinností podle čl. 32–36 GDPR (§ 7);
  8. po ukončení poskytování služeb vymazat nebo vrátit údaje v souladu s § 11;
  9. poskytovat Správci informace nezbytné k doložení splnění povinností podle čl. 28 GDPR a umožňovat audity (§ 9);
  10. vést záznamy o kategoriích činností zpracování prováděných jménem Správce (čl. 30 odst. 2 GDPR).

§ 5. Bezpečnostní opatření

  1. Zpracovatel s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k riziku pro práva a svobody fyzických osob zavádí vhodná technická a organizační opatření, aby zajistil úroveň zabezpečení odpovídající tomuto riziku (čl. 32 GDPR).
  2. Opatření zahrnují zejména: šifrování přenosu (TLS), uchovávání hesel výhradně v podobě kryptografického otisku, řízení přístupu podle rolí, zaznamenávání přístupů a změn, přírůstkové zálohy denně a úplné zálohy jednou týdně uchovávané mimo produkční server, postup obnovy po havárii, omezení administrátorského přístupu na oprávněné osoby s použitím kryptografických klíčů, aktualizaci softwaru, testování změn před nasazením do produkčního prostředí. Podrobný seznam obsahuje příloha B.
  3. Zpracovatel může bezpečnostní opatření měnit za podmínky, že se tím nesníží úroveň ochrany údajů.

§ 6. Zapojení dalších zpracovatelů

  1. Správce uděluje obecné povolení k tomu, aby Zpracovatel využíval služeb dalších zpracovatelů uvedených v příloze A.
  2. O záměru přidat nebo nahradit dalšího zpracovatele informuje Zpracovatel Správce e-mailem nejméně 14 dní předem. Správce může v této lhůtě vznést odůvodněnou námitku. V případě námitky zahájí strany jednání; pokud nedosáhnou dohody, může Správce vypovědět Smlouvu o užívání Systému s účinností ke dni, kdy začne využívání nového dalšího zpracovatele, a Zpracovatel vrátí poměrnou část odměny zaplacené předem.
  3. Zpracovatel uloží každému dalšímu zpracovateli — smlouvou — stejné povinnosti v oblasti ochrany údajů, jaké vyplývají z této Smlouvy o zpracování, a odpovídá Správci v plném rozsahu za plnění povinností dalšího zpracovatele.
  4. Aktuální seznam dalších zpracovatelů je zveřejněn v příloze A na adrese tonmiro.com/prawne/powierzenie-danych.html.

§ 7. Pomoc Správci

  1. Pokud se subjekt údajů obrátí na Zpracovatele se žádostí o uplatnění práv podle čl. 15–22 GDPR týkající se svěřených údajů, Zpracovatel předá žádost Správci do 3 Pracovních dnů a sám na ni neodpovídá, pokud jej o to Správce nepožádá.
  2. Zpracovatel pomáhá Správci při vyřizování žádostí subjektů údajů — zejména zpřístupněním, opravou, exportem nebo výmazem údajů v Systému — ve lhůtě, která Správci umožní dodržet lhůty podle čl. 12 GDPR, nejpozději do 7 Pracovních dnů od obdržení pokynu. Pomoc v běžném rozsahu funkcí Systému je bezplatná; mimořádné žádosti vyžadující práce nad rámec funkcí Systému (např. opakované nebo velmi pracné) mohou být po předchozí dohodě účtovány podle Ceníku, v mezích odůvodněných a doložených nákladů. Poplatek se neúčtuje, pokud potřeba dodatečné práce vyplývá z chyby nebo z porušení povinností na straně Zpracovatele.
  3. Zpracovatel podporuje Správce při provádění posouzení vlivu na ochranu osobních údajů (čl. 35 GDPR) a předchozí konzultace s dozorovým úřadem (čl. 36 GDPR) tím, že mu poskytuje informace o Systému a o používaných zabezpečeních.

§ 8. Porušení zabezpečení osobních údajů

  1. Zpracovatel oznámí Správci zjištěné porušení zabezpečení osobních údajů týkající se svěřených údajů bez zbytečného odkladu, nejpozději do 24 hodin od zjištění porušení, na e-mailovou adresu kontaktní osoby Správce.
  2. Oznámení obsahuje alespoň: popis povahy porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, možné důsledky, přijatá a navrhovaná nápravná opatření, údaje kontaktní osoby. Pokud není možné poskytnout všechny informace současně, Zpracovatel je doplňuje postupně.
  3. Zpracovatel porušení dokumentuje, spolupracuje se Správcem při ohlášení dozorovému úřadu a při oznámení subjektům údajů a bez dohody se Správcem neinformuje o porušení třetí osoby, pokud to nevyžaduje právo.

§ 9. Právo na kontrolu

  1. Správce má právo kontrolovat soulad zpracování se Smlouvou o zpracování — formou písemných dotazů, dotazníků nebo auditu provedeného Správcem nebo pověřeným auditorem, který není konkurentem Zpracovatele.
  2. Audit na místě se oznamuje nejméně 14 dní předem, nejvýše jednou ročně (omezení četnosti a lhůty pro oznámení se neuplatní, pokud audit následuje po porušení zabezpečení osobních údajů, vyplývá ze žádosti dozorového úřadu nebo pokud má Správce odůvodněné a doložené důvody k podezření na podstatné porušení Smlouvy o zpracování nebo GDPR), v Pracovní dny, způsobem, který nenarušuje činnost Zpracovatele a neohrožuje důvěrnost údajů jiných klientů. Náklady auditu nese Správce, ledaže audit prokáže podstatné porušení Smlouvy o zpracování.
  3. Zpracovatel odpovídá na písemné dotazy do 14 dní a zjištěné nedostatky odstraní ve lhůtě dohodnuté se Správcem.

§ 10. Povinnosti Správce

  1. Správce prohlašuje, že je správcem svěřených údajů a má právní základ pro jejich zpracování a svěření, a zejména že splnil informační povinnost vůči zaměstnancům a obchodním partnerům (čl. 13–14 GDPR).
  2. Správce se zavazuje vkládat do Systému výhradně údaje nezbytné pro účely uvedené v § 2 a bez dohody nevkládat údaje uvedené v § 3 odst. 3.
  3. Správce odpovídá za správu účtů svých Uživatelů, včetně přidělování rolí odpovídajících rozsahu povinností a blokování účtů osob, které pozbyly oprávnění.
  4. Správce určí kontaktní osobu pro záležitosti ochrany údajů a informuje o její změně.

§ 11. Doba trvání a ukončení

  1. Smlouva o zpracování platí po dobu trvání Smlouvy o užívání Systému a po dobu, po kterou Zpracovatel uchovává svěřené údaje po jejím skončení (§ 12 odst. 3 Podmínek — export, přístup pouze pro čtení, cyklus rotace záloh).
  2. Po skončení Smlouvy o užívání Systému Zpracovatel podle volby Správce učiněné do 14 dní od skončení:
    1. vrátí údaje ve formátu umožňujícím jejich čtení (XLSX/CSV, PDF, obrazové soubory) a vymaže je ze Systému, nebo
    2. vymaže údaje bez jejich vrácení.
    Pokud Správce volbu neučiní, použije se § 12 odst. 3 Podmínek (export, poté výmaz po uplynutí lhůt tam uvedených). Lhůta 14 dní se týká volby mezi vrácením údajů spolu s jejich výmazem a samotným výmazem; neomezuje právo Správce zvolit režim pouze pro čtení ve lhůtě uvedené v § 12 odst. 3 písm. b) Podmínek.
  3. Pokud Správce zvolí režim pouze pro čtení podle § 12 odst. 3 písm. b) Podmínek, představuje toto období další období poskytování omezené služby zpracování na základě zdokumentovaného pokynu Správce a tato Smlouva o zpracování zůstává v tomto rozsahu v platnosti. Správce může tento režim kdykoli ukončit a zvolit vrácení údajů spolu s jejich výmazem nebo samotný výmaz podle odst. 2.
  4. Výmaz ze záloh probíhá v cyklu jejich rotace (nejpozději do 12 měsíců); do té doby jsou zálohy uchovávány v šifrované podobě, odděleně od produkčního prostředí, a nepoužívají se k jiným účelům než k obnově po havárii. Pokud je záloha při havárii obnovena, Zpracovatel na obnovené údaje znovu uplatní dřívější pokyny k výmazu, které již byly před obnovou provedeny.
  5. Na žádost Správce Zpracovatel potvrdí výmaz údajů písemně nebo e-mailem.
  6. Zpracovatel může údaje uchovat v rozsahu, v jakém to vyžaduje právo Unie nebo členského státu — o čemž Správce informuje.

§ 12. Odpovědnost

  1. Zpracovatel odpovídá Správci za škodu způsobenou zpracováním pouze tehdy, pokud nesplnil povinnosti, které GDPR ukládá přímo zpracovatelům, nebo pokud jednal nad rámec zákonných pokynů Správce nebo v rozporu s nimi (čl. 82 odst. 2 GDPR).
  2. Odpovědnost Zpracovatele vůči Správci ze Smlouvy o zpracování je omezena podle § 17 Podmínek, s výjimkou škod způsobených úmyslně a v rozsahu, v jakém je omezení nepřípustné s ohledem na čl. 82 GDPR. Toto omezení se týká výhradně vzájemných nároků stran a neomezuje práva subjektů údajů, zejména právo na náhradu škody podle čl. 82 GDPR, ani zákonná pravidla odpovědnosti a regresu mezi účastníky zpracování.
  3. Pokud dozorový úřad uloží jedné ze stran správní pokutu z důvodu porušení zaviněného druhou stranou, strana, která porušení zavinila, nahradí druhé straně — v právně přípustném rozsahu a v míře odpovídající skutečnému rozsahu své odpovědnosti — částku odpovídající pokutě a doložené náklady řízení. Toto ustanovení se nedotýká pravomocí dozorového úřadu ani kogentních pravidel odpovědnosti vyplývajících z GDPR.

§ 13. Závěrečná ustanovení

  1. Změny Smlouvy o zpracování se provádějí postupem stanoveným pro změny Podmínek (§ 21 Podmínek); změna přílohy A — postupem podle § 6.
  2. Ve věcech neupravených touto smlouvou se použije GDPR, polský zákon o ochraně osobních údajů (ustawa o ochronie danych osobowych) a polský občanský zákoník (Kodeks cywilny).
  3. Na žádost Správce strany podepíší Smlouvu o zpracování v písemné formě se zněním shodným s touto smlouvou, s doplněním údajů Správce a jeho kontaktní osoby.
  4. Smlouva o zpracování byla vyhotovena v polském jazyce. Překlady do jiných jazyků mají výhradně informativní charakter; v případě rozporu je závazná polská verze.

Vzory ke stažení pro Správce

Hotové formuláře, které usnadňují plnění povinností podle § 10 (jedno vyhotovení na osobu; údaje k doplnění). České verze jsou připraveny podle českého práva a mají orientační charakter — před použitím je nechte ověřit advokátem v České republice:

Kdo s kým podepisuje. Pověření podepisuje provoz jako správce údajů s pověřenou osobou — zaměstnancem, spolupracovníkem nebo řidičem. Informace o zpracování osobních údajů vydává provoz a zaměstnanec, spolupracovník nebo řidič svým podpisem potvrzuje, že se s nimi seznámil. TonMiro Systems není stranou žádného z těchto formulářů — vztah mezi provozem a námi upravuje smlouva o zpracování osobních údajů.

Příloha A — seznam dalších zpracovatelů

SubjektSlužbaMísto zpracováníZáklad předání
cyber_Folks S.A. (značka cyberfolks.pl, dříve kei.pl), Poznaň, Polskohosting serverů Systému, záloh a elektronické pošty @tonmiro.comPolskosmlouva o zpracování osobních údajů s poskytovatelem hostingu

Systém spravují výhradně zaměstnanci Zpracovatele a jeho stálí spolupracovníci působící na základě občanskoprávních smluv. Fyzické osoby jednající pod přímým vedením Zpracovatele na základě individuálního pověření ke zpracování údajů a závazku mlčenlivosti (§ 4 body 3–4) nejsou dalšími zpracovateli ve smyslu čl. 28 odst. 2 GDPR — bez ohledu na právní základ zaměstnání nebo spolupráce. Pokud však spolupracovník jedná jako samostatný subjekt poskytující službu a zpracovává svěřené údaje jménem Zpracovatele mimo jeho přímé vedení, považuje se za dalšího zpracovatele a uvádí se ve výše uvedeném seznamu za podmínek podle § 6. Účetní kancelář Zpracovatele nemá přístup ke svěřeným údajům (dostává výhradně údaje pro vyúčtování Správce jako obchodního partnera).

Příloha B — technická a organizační opatření

Řízení přístupu

Ochrana přenosu a uložení

Kontinuita provozu

Bezpečnost softwaru

Organizace