Smlouva o zpracování osobních údajů

1.1Tuto smlouvu uzavírají Zákazník služby Trackly pro účetní jako správce osobních údajů (dále „Správce“) a Jakub Sekyrka, IČO 30040531, s místem podnikání Olešná 178, 267 64 Olešná, e-mail kontakt@trackly.cz, jako zpracovatel (dále „Zpracovatel“).

1.2Smlouva upravuje zpracování osobních údajů, které Zpracovatel provádí pro Správce při poskytování služby Trackly pro účetní (dále „Služba“) podle Obchodních podmínek Trackly pro účetní (smlouva o poskytování Služby uzavřená podle nich dále „Hlavní smlouva“). Pojmy s velkým počátečním písmenem mají význam podle Obchodních podmínek Trackly pro účetní.

1.3Smlouva se uzavírá elektronicky spolu s Hlavní smlouvou a je její součástí; tím je splněna písemná forma podle čl. 28 odst. 9 GDPR. Na žádost Správce ji Zpracovatel podepíše i v listinné podobě nebo elektronickým podpisem.

1.4Je-li Zákazník ve vztahu k osobním údajům Klientů sám zpracovatelem pro jiného správce (například pro daňového poradce či kancelář, pro kterou pracuje), prohlašuje, že má od tohoto správce povolení zapojit dalšího zpracovatele (čl. 28 odst. 2 a 4 GDPR), a předává Zpracovateli jeho pokyny. Zpracovatel je pak dalším zpracovatelem a tato smlouva platí obdobně.

1.5Ve věcech ochrany osobních údajů má tato smlouva přednost před Hlavní smlouvou.

2.1Zpracovatel uchovává a zpracovává data Portfolií klientů v Účtu Správce, a to výhradně k poskytování Služby: ukládání, uspořádání, výpočty (daň, výnos, dividendy), zobrazení, export, zálohování, výmaz, každodenní aktualizace cen a denní záznamy hodnoty portfolia. Podrobnosti uvádí příloha 1.

2.2Zpracování trvá po dobu Hlavní smlouvy a do výmazu dat podle čl. 9.

2.3Údaje přiznání (rodné číslo, adresa, příjmy ze zaměstnání, děti, odpočty a další údaje zadané v záložce Přiznání) se ukládají v prohlížeči uživatele, zašifrované klíčem, který Zpracovatel uchovává a vydává jen uživateli přihlášenému k Účtu; k jejich přečtení by Zpracovatel potřeboval klíč i data z prohlížeče. Ve vztahu k nim odpovídá za ochranu tohoto klíče.

2.4Zapne-li Správce v záložce Přiznání synchronizaci mezi zařízeními (dále „Synchronizace“), ukládá Zpracovatel na jeho pokyn i kopie Údajů přiznání, které prohlížeč před odesláním zašifruje klíčem, jenž Zpracovatel nemá: odemyká ho heslo k údajům přiznání nebo záchranný klíč, které zná jen Správce (šifrování end-to-end). Kolegům zpřístupní Údaje přiznání Klientů prohlížeč Správce tím, že jim klíč zašifruje jejich veřejným klíčem. Zpracovatel tyto kopie jen ukládá, předává je prohlížečům oprávněných uživatelů a maže; jejich obsah přečíst ani obnovit nemůže a vidí jen údaje uvedené v příloze 1. Bez Synchronizace se Údaje přiznání Zpracovateli nepředávají.

2.5Zpracovatel se zavazuje nezměnit Službu tak, aby Údaje přiznání odesílala jemu nebo třetím osobám v podobě, kterou mohou přečíst, aniž by to Správci předem oznámil způsobem podle čl. 6.2; Správce pak může Hlavní smlouvu vypovědět ke dni účinnosti změny a Zpracovatel mu vrátí poměrnou část předplatného podle čl. 7.6 Obchodních podmínek Trackly pro účetní.

2.6Výpisy od brokerů se zpracují v prohlížeči Správce a samotný soubor se Zpracovateli nepředává; na server se ukládají jen údaje z něj vyčtené podle přílohy 1.

3.1Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů Správce, i pokud jde o předávání do třetích zemí, ledaže mu zpracování ukládá právo Unie nebo České republiky; v takovém případě Správce předem informuje, pokud to právo nezakazuje.

3.2Pokyny jsou Hlavní smlouva a tato smlouva, úkony Správce a jeho Kolegů ve Službě (například založení, import, úprava, archivace, smazání nebo export Klienta) a další pokyny zaslané e-mailem, které jsou v souladu s Hlavní smlouvou. Pokyn nad rámec funkcí Služby může Zpracovatel odmítnout, nebo ho provést za úhradu účelně vynaložených nákladů, o kterých Správce předem informuje.

3.3Má-li Zpracovatel za to, že pokyn porušuje GDPR nebo jiný předpis o ochraně osobních údajů, bez zbytečného odkladu na to Správce upozorní a do potvrzení nebo změny pokynu ho nemusí provést.

3.4Zpracovatel osobní údaje nepoužije pro vlastní účely, zejména k marketingu, profilování, prodeji ani k trénování modelů umělé inteligence. Anonymní souhrnné údaje o používání Služby bez údajů Klientů nejsou osobními údaji.

4.1K osobním údajům mají přístup jen osoby oprávněné Zpracovatelem, v současnosti pouze Zpracovatel osobně. Každá taková osoba je vázána mlčenlivostí smluvní nebo zákonnou, a to i po skončení spolupráce.

4.2Do dat konkrétního Klienta Zpracovatel nahlíží jen v nezbytném rozsahu: na žádost Správce v rámci podpory, k odstranění chyby nebo bezpečnostního incidentu, nebo ukládá-li to zákon. Kde to stačí, pracuje jen s technickými údaji.

5.1Zpracovatel přijal technická a organizační opatření podle čl. 32 GDPR uvedená v příloze 2, s ohledem na stav techniky, náklady, povahu zpracování a rizika pro práva subjektů údajů. Opatření může měnit, nesmí ale snížit úroveň ochrany.

5.2Správce odpovídá za zabezpečení na své straně: přístupové údaje k Účtu, zařízení a prohlížeče, ve kterých Službu používá, osoby, kterým přístup umožní (včetně Kolegů, které do kanceláře pozve, a jejich včasného odebrání), heslo k údajům přiznání, záchranný klíč a zálohy Údajů přiznání.

6.1Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Jejich aktuální seznam včetně místa zpracování a záruk při předání mimo EU uvádí příloha 3.

6.2Zamýšlené přidání nebo nahrazení dalšího zpracovatele oznámí Zpracovatel e-mailem nejméně 30 dní předem a uvede, o koho jde, kde a k čemu bude údaje zpracovávat. Správce může do dne účinnosti změny vznést odůvodněnou námitku. Zpracovatel se pokusí najít řešení, například dalšího zpracovatele pro údaje Správce nepoužít. Není-li to možné, může Správce Hlavní smlouvu vypovědět ke dni účinnosti změny a Zpracovatel mu vrátí poměrnou část předplatného podle čl. 7.6 Obchodních podmínek Trackly pro účetní.

6.3Musí-li Zpracovatel dalšího zpracovatele nahradit naléhavě (například z bezpečnostních důvodů nebo proto, že dosavadní službu ukončil), může tak učinit i s kratší lhůtou; oznámí to bez zbytečného odkladu a právo námitky podle čl. 6.2 trvá.

6.4Zpracovatel ukládá dalším zpracovatelům stejné povinnosti k ochraně osobních údajů jako tato smlouva, a to smlouvou nebo přijetím jejich zpracovatelských podmínek, a odpovídá Správci za plnění jejich povinností jako za své.

7.1Většinu žádostí Klientů Správce vyřídí sám ve Službě: přístup a přenositelnost exportem dat Klienta, opravu úpravou dat, výmaz smazáním Klienta a omezení zpracování archivací Klienta.

7.2Obdrží-li Zpracovatel žádost subjektu údajů přímo, předá ji Správci bez zbytečného odkladu, nejpozději do 5 pracovních dnů, a sám na ni věcně neodpoví, ledaže mu to Správce uloží.

7.3Další součinnost poskytne Zpracovatel na žádost Správce přiměřeně a bezplatně; je-li rozsáhlá, za úhradu účelně vynaložených nákladů, o kterých Správce předem informuje.

8.1Porušení zabezpečení osobních údajů, které zpracovává pro Správce, ohlásí Zpracovatel Správci bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, e-mailem na adresu Účtu. Ohlášení obsahuje, pokud jsou známy, popis povahy porušení, kategorie a přibližný počet dotčených subjektů a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontakt pro další informace. Co v tu chvíli známo není, doplní postupně.

8.2Zpracovatel přijme opatření k omezení následků, porušení zdokumentuje a poskytne Správci součinnost při ohlášení Úřadu pro ochranu osobních údajů a při oznámení subjektům údajů. Ohlášení porušení samo o sobě neznamená uznání odpovědnosti.

8.3Zpracovatel poskytne Správci informace o Službě potřebné pro posouzení vlivu na ochranu osobních údajů a pro předchozí konzultaci s dozorovým úřadem (čl. 35 a 36 GDPR).

9.1Po skončení Hlavní smlouvy může Správce data Klientů ještě 30 dní stahovat (čl. 8 a 13 Obchodních podmínek Trackly pro účetní). Poté Zpracovatel osobní údaje Klientů smaže, ze zálohovacích kopií zmizí nejpozději do 30 dnů. Na žádost Zpracovatel výmaz potvrdí e-mailem.

9.2Správce může data kdykoli dříve stáhnout nebo smazat sám; smazáním Klienta zmizí jeho data z provozní databáze okamžitě. Ukládá-li Zpracovateli právní předpis uchovávat osobní údaje Klientů i po skončení Hlavní smlouvy, učiní tak jen v nezbytném rozsahu a Správce o tom informuje.

10.1Zpracovatel poskytne Správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR: tuto smlouvu s přílohami, popis opatření, seznam dalších zpracovatelů, na vyžádání odkazy na jejich certifikace a bezpečnostní dokumentaci a jednou ročně bezplatně odpovědi na přiměřený bezpečnostní dotazník.

10.2Audit, včetně kontroly, může provést Správce nebo jím pověřený auditor vázaný mlčenlivostí, který není konkurentem Zpracovatele, po písemném oznámení nejméně 30 dní předem, nejvýše jednou za 12 měsíců (častěji po porušení zabezpečení nebo na žádost dozorového úřadu), přednostně formou dokumentů a vzdálené konzultace, bez narušení provozu a bez přístupu k datům jiných zákazníků. Náklady auditu nese Správce; přiměřené náklady Zpracovatele hradí Správce, jen nezjistí-li audit podstatné porušení této smlouvy. U dalších zpracovatelů (datových center) se audit nahrazuje jejich certifikacemi a auditními zprávami.

11.1Data Klientů jsou uložená v datovém centru v EU. Někteří další zpracovatelé mají sídlo mimo EU nebo odtud poskytují podporu (USA, Singapur). Předání do třetích zemí probíhá jen podle kapitoly V GDPR: příjemcům certifikovaným v rámci EU-US Data Privacy Framework na základě rozhodnutí Komise (EU) 2023/1795, jinak na základě standardních smluvních doložek podle rozhodnutí Komise (EU) 2021/914 s doplňujícími opatřeními (šifrování při přenosu i uložení, omezení přístupu). Podrobnosti uvádí příloha 3.

11.2Jiné předání do třetí země než podle přílohy 3 je možné jen po oznámení podle čl. 6.2.

12.1Každá strana odpovídá za škodu podle čl. 82 GDPR; Zpracovatel jen za porušení povinností, které GDPR ukládá zpracovatelům, nebo za jednání v rozporu s pokyny Správce či mimo ně.

12.2Ve vztahu mezi stranami platí omezení odpovědnosti podle čl. 12 Obchodních podmínek Trackly pro účetní, včetně výjimek podle jejich čl. 12.2. Odpovědnost vůči subjektům údajů tím není dotčena a pokutu uloženou dozorovým úřadem nese ta strana, které byla uložena.

12.3Správce odpovídá za zákonnost zpracování, zejména za právní základ, splnění informační povinnosti a za své pokyny.

13.1Zpracovatel vede záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR. Pověřence pro ochranu osobních údajů jmenovat nemusí.

13.2Kontaktem Zpracovatele je kontakt@trackly.cz, kontaktem Správce e-mail jeho Účtu, neoznámí-li jiný.

13.3Smlouva nabývá účinnosti spolu s Hlavní smlouvou a trvá do výmazu dat podle čl. 9. Mění se stejně jako Obchodní podmínky Trackly pro účetní (jejich čl. 16).

13.4Požádá-li o to Správce, uzavře Zpracovatel místo této smlouvy standardní smluvní doložky mezi správci a zpracovateli podle prováděcího rozhodnutí Komise (EU) 2021/915, s přílohami odpovídajícími této smlouvě.

13.5Smlouva se řídí právem České republiky; spory rozhodují soudy podle Hlavní smlouvy.

Subjekty údajů

Klienti Správce (fyzické osoby, poplatníci daně z příjmů), případně další osoby uvedené v datech, například jméno v názvu souboru výpisu.

Kategorie údajů

Identifikační: jméno nebo kód zvolený Správcem a poznámka. Finanční a investiční: pozice, nákupy a prodeje (data, množství, ceny, poplatky, měny), dividendy a úroky včetně sražené daně a státu původu, název brokera, hodnota a složení portfolia v čase. Původ dat: název souboru výpisu (delší čísla zkrácená na poslední čtyři číslice), číslo řádku a čas nahrání. Se Synchronizací Údaje přiznání jen v zašifrované podobě (čl. 2.4); čitelné jsou u nich jen Portfolio, druh údaje (například přiznání za rok 2025), čas a autor změny, číslo verze a velikost.

Zvláštní kategorie

V čitelné podobě se nezpracovávají (čl. 9 a 10 GDPR). Údaje přiznání mohou obsahovat údaje o zdravotním stavu (například průkaz ZTP/P u dítěte); se Synchronizací je Zpracovatel jen ukládá, zašifrované klíčem, který nemá. Rodné číslo se na server ukládá jen takto zašifrované.

Účel

Poskytování Služby Správci: evidence investic Klientů, výpočet daně, podklady k daňovému přiznání a jeho sestavení.

Povaha zpracování

Uložení, uspořádání, výpočty, zobrazení, export, zálohování, výmaz; automatická denní aktualizace cen a záznam hodnoty portfolia. U zašifrovaných Údajů přiznání jen uložení, předání prohlížečům oprávněných uživatelů, zálohování a výmaz.

Doba

Po dobu Hlavní smlouvy, poté 30 dní ke stažení a výmaz; zálohy do 30 dnů.

Místo uložení

Datové centrum v EU; další zpracovatelé podle přílohy 3.

Oddělení dat a řízení přístupu. Každý záznam patří k jednomu Účtu. Pravidla přímo v databázi (Row Level Security) dovolí přihlášenému uživateli číst a měnit jen záznamy jeho Účtu a Kolegovi v kanceláři Správce záznamy Klientů Správce (ne vlastní portfolio Správce), a to jen dokud je v kanceláři, i kdyby v aplikaci byla chyba. Portfolia klientů jsou oddělená identifikátorem Klienta s cizím klíčem vázaným na Účet, takže záznam nemůže patřit klientovi jiného Účtu. Zakládat, archivovat, obnovovat a mazat Klienty lze jen přes funkce na serveru, mazat je smí jen Správce. Kolegu do kanceláře přidá jen pozvánka Správce přijatá účtem s pozvaným e-mailem; odkaz pozvánky je jednorázový, platí 14 dní a server zná jen jeho otisk. Přístupové klíče s vyššími oprávněními používá jen server, do prohlížeče se nedostanou. Hesla jsou uložená jen v zahashované podobě.

Šifrování. Veškerá komunikace probíhá šifrovaně (HTTPS/TLS). Databáze a její zálohy jsou šifrované u poskytovatele databáze. Údaje přiznání šifruje prohlížeč algoritmem AES-GCM s 256bitovým klíčem; klíč vydává server jen uživateli přihlášenému k Účtu, prohlížeč ho neukládá a každá uložená položka je vázaná na uživatele, portfolio a druh údaje. Se Synchronizací prohlížeč šifruje každou položku před odesláním klíčem AES-256-GCM, který Zpracovatel nemá. Klíče se uživatelům předávají zabalené jejich veřejným klíčem (ECDH P-256); soukromý klíč uživatele je uložený jen zašifrovaný klíčem odvozeným z hesla k údajům přiznání (PBKDF2-SHA256, 600 000 iterací) a zvlášť z 256bitového záchranného klíče. Na serveru jsou jen zašifrované podoby; databáze navíc hlídá verze, aby souběžná změna z jiného zařízení nepřepsala novější údaje.

Minimalizace. Výpisy od brokerů se zpracují v prohlížeči a soubor se neodesílá. Na server se ukládají jen vyčtené údaje; delší čísla v názvech souborů se zkracují na poslední čtyři číslice. Rodné číslo, adresa a mzdy na server nechodí, se Synchronizací jen zašifrované tak, že je Zpracovatel nepřečte. Správci doporučujeme vést Klienta pod kódem.

Dostupnost a obnova. Databáze se zálohuje u poskytovatele databáze, zálohy se uchovávají nejvýše 30 dní. Aplikace běží na infrastruktuře s automatickým škálováním; serverové funkce v EU.

Vývoj a provoz. Změny kódu se před nasazením kontrolují, se zvláštním důrazem na oddělení dat mezi účty a mezi Klienty. Změny databáze se provádějí verzovanými skripty, jejichž součástí je kontrola oprávnění. Používané knihovny se průběžně aktualizují.

Monitoring a incidenty. Provozní záznamy a hlášení chyb se uchovávají nejvýše 90 dní. Z hlášení chyb se odstraňují identifikátory klientů a záznamů v adresách. Pro porušení zabezpečení má Zpracovatel postup: zjištění, omezení následků, vyhodnocení, ohlášení Správci do 48 hodin a dokumentace.

Administrativní přístup. K administraci databáze, hostingu a zdrojového kódu má přístup jen Zpracovatel, chráněný silným jedinečným heslem a dvoufázovým ověřením. Data Klientů Zpracovatel neukládá na vlastní zařízení, s výjimkou nezbytných případů při řešení incidentu nebo žádosti Správce; poté je smaže.

Fyzická bezpečnost. Serverová data jsou uložena v datových centrech dalších zpracovatelů; databáze a hosting běží u poskytovatelů s certifikací SOC 2 nebo ISO/IEC 27001.

Dalšími zpracovateli nejsou: Stripe (platby Správce za Službu, kde je Zpracovatel sám správcem údajů Správce), Twelve Data (dostává jen tickery a názvy cenných papírů bez vazby na osobu), Cloudflare (prohlížeč z jeho sítě stahuje komponentu pro čtení PDF, vidí jen technické údaje), Česká národní banka, Evropská centrální banka a databáze FRED (zdroje kurzů a indexů, nedostávají žádné údaje).

Pro splnění informační povinnosti můžete do svých zásad nebo smlouvy s klientem převzít například tento text (upravte ho podle sebe):

Pro výpočet daně z investic a přípravu daňového přiznání používáme aplikaci Trackly (provozovatel Jakub Sekyrka, IČO 30040531). Údaje o vašich investicích (pozice, nákupy, prodeje, dividendy) jsou uložené v jejím zabezpečeném úložišti v EU a Trackly je zpracovává jen podle našich pokynů jako náš zpracovatel. Poskytovatelé infrastruktury Trackly k nim mohou výjimečně přistupovat i z USA a Singapuru, vždy na základě záruk podle GDPR. Rodné číslo, adresu a údaje o příjmech ze zaměstnání ukládáme na svých počítačích; na servery Trackly se dostanou nejvýš zašifrované klíčem, který Trackly nemá, takže je nepřečte. Po skončení naší spolupráce údaje v Trackly smažeme.