Smlouva o zpracování osobních údajů (DPA)
Poslední aktualizace: 6. července 2026
Tato smlouva dle čl. 28 nařízení (EU) 2016/679 (GDPR) upravuje zpracování osobních údajů, které zaměstnavatel (dále „správce“) vkládá do služby SafetyFrog Kniha úrazů provozované níže uvedeným poskytovatelem (dále „zpracovatel“). Smlouva je uzavřena okamžikem, kdy správce začne službu pro svou firmu užívat, a tvoří součást Podmínek užívání.
1. Zpracovatel
2. Předmět, doba, povaha a účel zpracování
- Předmět: provoz online knihy úrazů a evidence nebezpečných událostí, včetně ukládání příloh a volitelných AI funkcí.
- Doba: po dobu užívání služby správcem; ustanovení o výmazu přetrvávají i po jejím skončení.
- Povaha: ukládání, strukturování, zpřístupňování oprávněným uživatelům správce, zálohování, výmaz; při zapnutých AI funkcích také předání vybraných dat dílčímu zpracovateli Google za účelem vygenerování návrhu.
- Účel: plnění povinností správce v oblasti BOZP (zákoník práce § 105, nařízení vlády č. 322/2025 Sb.).
3. Kategorie subjektů a údajů
- Subjekty údajů: zaměstnanci správce a osoby v obdobném postavení, svědci úrazů, ohlašovatelé nebezpečných událostí, uživatelé služby.
- Kategorie údajů: identifikační a kontaktní údaje, pracovní zařazení, okolnosti úrazu a údaje o zdravotním stavu v rozsahu záznamu o úrazu (zvláštní kategorie dle čl. 9 GDPR; správce je zpracovává na základě čl. 9 odst. 2 písm. b) GDPR), fotografie, dokumenty, hlasové nahrávky (jen při užití diktování).
4. Povinnosti zpracovatele
- zpracovává údaje pouze na doložených pokynech správce; pokynem je užívání funkcí služby a tato smlouva,
- zajišťuje, že osoby s přístupem k údajům jsou vázány mlčenlivostí,
- přijímá technická a organizační opatření dle čl. 32 GDPR (šifrování přenosu, řízení přístupů dle rolí, auditní historie, šifrované zálohy, datacentra v EU s ISO 27001),
- pomáhá správci s plněním povinností dle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu), a dle čl. 12 až 23 (práva subjektů údajů),
- ohlásí správci porušení zabezpečení bez zbytečného odkladu poté, co se o něm dozví, na e-mail majitele knihy,
- po skončení užívání služby údaje na žádost správce vymaže, nebo mu je předá (export), a smaže existující kopie do 90 dnů, ledaže právo EU nebo ČR vyžaduje delší uložení,
- poskytne správci informace nezbytné k doložení souladu a umožní audit; audit se přednostně provádí formou písemných dotazů a doložení dokumentace, nejvýše jednou ročně, na náklady správce.
5. Dílčí zpracovatelé
Správce uděluje obecné povolení k zapojení dílčích zpracovatelů. Aktuální seznam:
| Dílčí zpracovatel | Sídlo / lokalita dat | Účel |
|---|---|---|
| Hetzner Online GmbH | Německo (EU), datacentrum Falkenstein | Provoz serverů aplikace a databáze |
| Hetzner Online GmbH (Object Storage) | Německo (EU), datacentrum Falkenstein | Ukládání souborů (fotografie, dokumenty, přílohy) |
| Google Ireland Ltd. / Google LLC (Gemini API) | Irsko (EU) / USA | AI funkce; POUZE pokud je majitel firmy vědomě zapne |
| Brevo (Sendinblue SAS) | Francie (EU) | Odesílání transakčních e-mailů (pozvánky, notifikace) |
Google je zapojen pouze pokud majitel knihy vědomě zapne AI funkce (viz AI funkce a data); zapnutí je pokynem správce k tomuto předání. O zamýšlených změnách dílčích zpracovatelů zpracovatel informuje v aplikaci nebo e-mailem nejméně 14 dní předem; správce může vznést námitku a v takovém případě může užívání služby ukončit. Předání do třetích zemí je zajištěno standardními smluvními doložkami EU, případně rámcem EU-U.S. Data Privacy Framework.
6. Odpovědnost a závěrečná ustanovení
- Správce odpovídá za zákonnost údajů, které do služby vkládá, a za právní základ jejich zpracování.
- Odpovědnost stran se řídí čl. 82 GDPR a Podmínkami užívání.
- Smlouva se řídí právem České republiky.
- Aktuální znění je vždy dostupné na této stránce; o podstatných změnách zpracovatel informuje předem.