MYJW
← Zpět na úvod

Smlouva o zpracování osobních údajů

Platné od 1. listopadu 2026

Návrh – před spuštěním placené verze projde právní kontrolou.

Smlouvu tvoří část A (ujednání stran), část B (standardní smluvní doložky mezi správci a zpracovateli podle prováděcího rozhodnutí Komise (EU) 2021/915) a přílohy I–IV. Doložky jsou úředně přeložené do všech jazyků EU, takže jazykové verze smlouvy vzniknou převzetím úředního znění a překladem části A a příloh.

Část A – Ujednání stran

Tato část doplňuje standardní smluvní doložky v části B (doložka 2 písm. b). Nic v ní nesmí být vykládáno v rozporu s doložkami ani tak, že by omezovalo práva subjektů údajů; v případě rozporu mají přednost doložky (doložka 4).

A.1 Strany. Zpracovatelem je provozovatel služby MYJW (příloha I). Zákazníkem je osoba, která smlouvu uzavírá pro potřeby sboru uvedeného při uzavření smlouvy. Prohlašuje, že je správcem osobních údajů, nebo že je oprávněna jednat jménem správce, kterého při uzavření smlouvy uvede (náboženská společnost nebo jiný subjekt, jehož součástí sbor je, sbor s právní osobností, nebo starší sboru jako společní správci), a uzavřít tuto smlouvu jeho jménem. Není-li k tomu oprávněna, je ze smlouvy zavázána sama. Správce je uveden v příloze I.

A.2 Uzavření. Smlouva se uzavírá v elektronické podobě (čl. 28 odst. 9 GDPR) potvrzením v aplikaci MYJW (při registraci sboru, nebo v Správa → Sbor → Ochrana údajů). Zpracovatel uchovává záznam o uzavření (verze a otisk textu smlouvy, datum a čas, osoba a její účet, sbor, uvedený správce, prohlášení podle čl. A.1, IP adresa a prohlížeč) a pošle jeho potvrzení s textem smlouvy na kontaktní e-mail sboru.

A.3 Vztah ke smlouvě o službě. Smlouva je součástí smlouvy o poskytování služby MYJW (obchodní podmínky) a trvá po celou dobu jejího trvání a dále do výmazu nebo vrácení údajů podle čl. A.9.

A.4 Pokyny správce. Písemně doloženými pokyny správce (doložka 7.1) jsou: tato smlouva, nastavení a používání funkcí aplikace oprávněnými uživateli sboru a pokyny zaslané z kontaktního e-mailu sboru nebo osobou s rolí správce sboru v aplikaci.

A.5 Kontakty a oznámení. Zpracovatel posílá oznámení podle této smlouvy na kontaktní e-mail sboru a zároveň je zobrazí správcům sboru v aplikaci. Za aktuálnost kontaktního e-mailu odpovídá zákazník. Správce posílá oznámení na kontakt zpracovatele v příloze I.

A.6 Dílčí zpracovatelé. Správce dává obecné písemné povolení (doložka 7.7 písm. a, možnost 2) k zapojení dílčích zpracovatelů v příloze IV. O zamýšlené změně zpracovatel informuje podle čl. A.5 nejméně 30 dnů předem. Do konce této lhůty může správce vznést odůvodněnou námitku; nevznese-li ji, má se za to, že se změnou souhlasí. Nevyhoví-li zpracovatel námitce, může zákazník smlouvu o službě vypovědět ke dni účinnosti změny a zpracovatel mu vrátí poměrnou část ceny za nevyčerpané předplacené období.

A.7 Porušení zabezpečení. Zpracovatel informuje správce o porušení zabezpečení osobních údajů (doložka 9.2) bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, v rozsahu podle doložky 9.2 a přílohy III bodu 11.

A.8 Informace a audity. Zpracovatel na žádost poskytne do 30 dnů informace potřebné k prokázání souladu (doložka 7.6), zejména aktuální popis opatření a vyplněný dotazník. Audit na místě nebo nezávislým auditorem je možný v přiměřených intervalech, zpravidla nejvýše jednou ročně, a vždy, existují-li známky nesouladu, došlo-li k porušení zabezpečení, nebo o něj požádá dozorový úřad. Ohlašuje se nejméně 30 dnů předem (v ostatních uvedených případech přiměřeně kratší lhůtou), auditor je vázán mlčenlivostí a náklady auditu nese správce, ledaže audit prokáže závažné porušení této smlouvy zpracovatelem. Zpracovatel za součinnost při auditu neúčtuje poplatky.

A.9 Konec smlouvy, vrácení a výmaz (doložka 10 písm. d). Smlouva o službě končí na žádost správce o smazání sboru, nebo 12 měsíců po skončení předplatného, pokud ho sbor do té doby neobnoví (obchodní podmínky čl. 5). Vrácení údajů zajišťuje funkce exportu v aplikaci, dostupná správcům sboru po celou dobu smlouvy, včetně doby, kdy je sbor po skončení předplatného uzamčen. Zpracovatel vymaže všechny osobní údaje sboru z provozních systémů nejpozději do 60 dnů a ze záloh nejpozději do 90 dnů od skončení smlouvy. Výmaz potvrdí na kontaktní e-mail sboru.

A.10 Odpovědnost. Zpracovatel odpovídá zákazníkovi za škodu způsobenou porušením této smlouvy nejvýše do částky rovnající se ceně zaplacené za službu za posledních 12 měsíců, nejméně však do 25 000 Kč. Omezení se nepoužije na škodu způsobenou úmyslně nebo z hrubé nedbalosti a na újmu na přirozených právech člověka. Tím není dotčena odpovědnost vůči subjektům údajů (čl. 82 GDPR) ani povinnosti podle GDPR.

A.11 Změny smlouvy. Přílohy aktualizuje zpracovatel podle skutečnosti (doložka 2 písm. a); změnu přílohy IV oznamuje podle čl. A.6. Změnu části A zpracovatel oznámí podle čl. A.5 nejméně 30 dnů před účinností. Zákazník ji může odmítnout a smlouvu o službě ke dni účinnosti změny vypovědět; zpracovatel mu vrátí poměrnou část ceny za nevyčerpané předplacené období. Podstatnou změnu potvrzuje zákazník v aplikaci.

A.12 Rozhodné právo. Smlouva se řídí právem České republiky. Spory rozhoduje obecný soud zpracovatele; tím nejsou dotčena kogentní ustanovení na ochranu spotřebitele ani čl. 79 GDPR.

Část B – Standardní smluvní doložky

Zdroj: příloha prováděcího rozhodnutí Komise (EU) 2021/915 ze dne 4. června 2021 (Úř. věst. L 199, 7. 6. 2021, s. 18), české znění na EUR-Lex. Text je převzatý beze změn, jen se zvolenými možnostmi: doložky 1, 8 a 9 – nařízení (EU) 2016/679; doložka 5 se nepoužije; doložka 7.7 – možnost 2 (obecné písemné povolení), lhůta 30 dnů.

ODDÍL I

Doložka 1 – Účel a oblast působnosti

a) Účelem těchto standardních smluvních doložek (dále jen „doložky“) je zajistit soulad s ustanoveními čl. 28 odst. 3 a 4 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).

b) Správci a zpracovatelé uvedení v příloze I schválili tyto doložky, aby zajistili soulad s čl. 28 odst. 3 a 4 nařízení (EU) 2016/679 a/nebo čl. 29 odst. 3 a 4 nařízení (EU) 2018/1725.

c) Tyto doložky se uplatňují na zpracování osobních údajů, jak je upřesněno v příloze II.

d) Přílohy I až IV jsou nedílnou součástí těchto doložek.

e) Těmito doložkami nejsou dotčeny povinnosti, které správce musí plnit na základě nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.

f) Tyto doložky samy o sobě nezajišťují soulad s povinnostmi týkajícími se mezinárodního předávání podle kapitoly V nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.

Doložka 2 – Neměnnost doložek

a) Smluvní strany se zavazují, že doložky nebudou měnit, s výjimkou doplňování nebo aktualizace informací v přílohách.

b) To stranám nebrání v možnosti zahrnout tyto standardní smluvní doložky stanovené v tomto rozhodnutí do širší smlouvy nebo k nim doplnit další doložky nebo další záruky, pokud tyto nejsou se standardními smluvními doložkami v přímém nebo nepřímém rozporu nebo pokud neomezují základní práva nebo svobody subjektů údajů.

Doložka 3 – Výklad

a) V případech, kdy tyto doložky používají pojmy definované v nařízení (EU) 2016/679 nebo nařízení (EU) 2018/1725, mají tyto pojmy stejný význam jako v uvedeném nařízení.

b) Tyto doložky jsou chápány a vykládány v souladu s ustanoveními nařízení (EU) 2016/679 nebo nařízení (EU) 2018/1725.

c) Tyto doložky nesmí být vykládány způsobem, který by byl v rozporu s právy a povinnostmi stanovenými v nařízení (EU) 2016/679 / nařízení (EU) 2018/1725, nebo který by omezoval základní práva nebo svobody subjektů údajů.

Doložka 4 – Hierarchie

V případě rozporu mezi těmito doložkami a ustanoveními souvisejících dohod existujících mezi stranami v době, kdy jsou tyto doložky sjednány, nebo dohod uzavřených později mají přednost tyto doložky.

Doložka 5 – Nepovinná – Doložka o přistoupení

*Strany tuto nepovinnou doložku nepoužívají.*

ODDÍL II – POVINNOSTI STRAN

Doložka 6 – Popis zpracování

Podrobnosti týkající se operací zpracování, zejména kategorie osobních údajů a účely zpracování, pro něž jsou osobní údaje zpracovávány jménem správce, jsou uvedeny v příloze II.

Doložka 7 – Povinnosti stran

7.1 Pokyny

a) Zpracovatel zpracovává osobní údaje pouze na základě písemně doložených pokynů správce, pokud mu takové zpracování neukládá právo Unie nebo členského státu, které se na správce vztahuje. V tomto případě zpracovatel správce informuje o uvedeném právním požadavku před zpracováním, pokud to právní předpisy nezakazují z důvodů důležitého veřejného zájmu. Po celou dobu zpracování osobních údajů může správce rovněž vydávat další pokyny. Tyto pokyny musí být vždy písemně doloženy.

b) Zpracovatel neprodleně informuje správce v případě, že dle jeho názoru pokyny správce porušují nařízení (EU) 2016/679 / nařízení (EU) 2018/1725 nebo příslušná ustanovení Unie nebo členského státu o ochraně údajů.

7.2 Omezení účelu Zpracovatel zpracovává osobní údaje pouze pro konkrétní účel nebo účely zpracování, jak je stanoveno v příloze II, pokud od správce neobdrží další pokyny.

7.3 Doba trvání zpracování osobních údajů Zpracování zpracovatelem probíhá pouze po dobu stanovenou v příloze II.

7.4 Zabezpečení zpracování

a) Za účelem zajištění bezpečnosti osobních údajů musí zpracovatel zavést přinejmenším technická a organizační opatření uvedená v příloze III. Součástí těchto opatření musí být ochrana údajů před narušením bezpečnosti, které by vedlo k jejich náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému zpřístupnění nebo přístupu k nim (porušení zabezpečení osobních údajů). Při posuzování vhodné úrovně zabezpečení vezmou strany v úvahu aktuální stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování a rizika pro subjekty údajů.

b) Zpracovatel poskytne svým zaměstnancům přístup ke zpracovávaným osobním údajům pouze v rozsahu nezbytně nutném pro provádění, správu a kontrolu smlouvy. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat obdržené osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

7.5 Citlivé údaje Pokud zpracování zahrnuje osobní údaje vypovídající o rasovém nebo etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické nebo biometrické údaje za účelem jedinečné identifikace fyzické osoby, údaje o zdravotním stavu nebo o sexuálním životě či sexuální orientaci dané osoby nebo údaje týkající se odsouzení v trestních věcech a trestných činů (dále jen „citlivé údaje“), uplatní zpracovatel zvláštní omezení nebo další záruky.

7.6. Dokumentace a soulad

a) Strany musí být schopny prokázat dodržování těchto doložek.

b) Zpracovatel neprodleně a odpovídajícím způsobem vyřídí dotazy správce, které se týkají zpracovávání podle těchto doložek.

c) Zpracovatel poskytne správci veškeré informace potřebné k prokázání souladu s povinnostmi stanovenými v těchto doložkách, které vyplývají přímo z nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725. Zpracovatel též na žádost správce umožní audity činností zpracování, na něž se tyto doložky vztahují, a k těmto auditům přispěje, a to v přiměřených intervalech nebo pokud existují známky nesouladu. Při rozhodování o přezkumu nebo auditu může správce zohlednit příslušná osvědčení držená zpracovatelem.

d) Správce se může rozhodnout, zda audit provede sám, nebo jím pověří nezávislého auditora. Audity mohou rovněž zahrnovat kontroly v objektech a prostorách zařízení zpracovatele a případně jsou předem včas ohlášeny.

e) Strany na požádání zpřístupní informace uvedené v této doložce, včetně výsledků případných auditů, příslušnému dozorovému úřadu, respektive příslušným dozorovým úřadům.

7.7 Využívání dílčích zpracovatelů údajů

a) MOŽNOST 2: OBECNÉ PÍSEMNÉ POVOLENÍ: Zpracovatel má obecné povolení správce k zapojení dílčích zpracovatelů ze schváleného seznamu. Zpracovatel výslovně písemně informuje správce o všech zamýšlených změnách uvedeného seznamu přijetím nebo nahrazením dílčích zpracovatelů nejméně 30 dnů předem, čímž poskytne správci dostatek času na to, aby mohl vznést námitku proti takovým změnám před zapojením dotčeného dílčího zpracovatele / dotčených dílčích zpracovatelů. Zpracovatel poskytne správci informace nezbytné k tomu, aby správce mohl uplatnit své právo vznést námitku.

b) Pokud zpracovatel zapojí dílčího zpracovatele do provádění konkrétních činností zpracování (jménem správce), učiní tak prostřednictvím smlouvy, která ukládá dílčímu zpracovateli v podstatě stejné povinnosti v oblasti ochrany údajů, jaké jsou v souladu s těmito doložkami uloženy zpracovateli údajů. Zpracovatel zajistí, aby dílčí zpracovatel plnil povinnosti, které se na zpracovatele vztahují podle těchto doložek a nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.

c) Zpracovatel poskytne správci na jeho žádost opis dohody s dílčím zpracovatelem a veškeré následné změny dohody. V rozsahu nutném k ochraně obchodního tajemství nebo jiných důvěrných informací, včetně osobních údajů, může zpracovatel před poskytnutím opisu text dohody upravit.

d) Zpracovatel nese vůči správci plnou odpovědnost za to, aby dílčí zpracovatel plnil povinností vyplývající z jeho smlouvy se zpracovatelem. Zpracovatel správce uvědomí, pokud dílčí zpracovatel neplní své povinnosti vyplývající z uvedené smlouvy.

e) Zpracovatel s dílčím zpracovatelem schválí doložku ve prospěch třetí strany, podle níž v případě, že zpracovatel fakticky zmizí, z právního hlediska zanikne, nebo se ocitne v platební neschopnosti, má správce právo ukončit smlouvu s dílčím zpracovatelem a pověřit dílčího zpracovatele, aby osobní údaje vymazal nebo vrátil.

7.8 Mezinárodní předávání údajů

a) Jakékoli předání údajů zpracovatelem do třetí země nebo mezinárodní organizaci se provádí pouze na základě písemně doložených pokynů správce nebo za účelem splnění konkrétního požadavku podle právních předpisů Unie nebo členského státu, které se na zpracovatele vztahují, a to v souladu s kapitolou V nařízení (EU) 2016/679 nebo nařízení (EU) 2018/1725.

b) Správce souhlasí s tím, že pokud zpracovatel v souladu s doložkou 7.7 zapojí dílčího zpracovatele do provádění konkrétních činností zpracováním (jménem správce) a uvedené činnosti zahrnují předání osobních údajů ve smyslu kapitoly V nařízení (EU) 2016/679, mohou zpracovatel a dílčí zpracovatel zajistit soulad s ustanoveními kapitoly V nařízení (EU) 2016/679 použitím standardních smluvních doložek přijatých Komisí v souladu s čl. 46 odst. 2 nařízení (EU) 2016/679, pokud jsou splněny standardní podmínky pro použití těchto smluvních doložek.

Doložka 8 – Pomoc poskytovaná správci

a) Zpracovatel neprodleně informuje správce o každé žádosti, kterou obdržel od subjektu údajů. Na tuto žádost neodpovídá sám, pokud k tomu není správcem zmocněn.

b) Zpracovatel pomáhá správci při plnění jeho povinností reagovat na žádosti subjektů údajů o výkon jejich práv s přihlédnutím k povaze zpracování. Při plnění svých povinností podle ustanovení písmen a) a b) postupuje zpracovatel v souladu s pokyny správce.

c) Kromě toho, že má zpracovatel povinnost pomáhat správci podle doložky 8 písm. b), zpracovatel správci dále pomáhá při zajišťování plnění následujících povinností, a to s přihlédnutím k povaze zpracování údajů a informacím, které má zpracovatel k dispozici:

1) povinnost provést posouzení dopadu zamýšlených operací zpracování na ochranu osobních údajů (dále jen „posouzení vlivu na ochranu údajů“), pokud je pravděpodobné, že určitý druh zpracování bude mít za následek vysoké riziko pro práva a svobody fyzických osob;

2) povinnost konzultovat před zpracováním příslušný dozorový úřad, respektive příslušné dozorové úřady, pokud z posouzení vlivu na ochranu osobních údajů vyplývá, že by dané zpracování mělo za následek vysoké riziko v případě, že by správce nepřijal opatření ke zmírnění tohoto rizika;

3) povinnost zajistit, aby byly osobní údaje přesné a aktuální, a to tím, že zpracovatel správce neprodleně informuje, pokud se dozví, že osobní údaje, které zpracovává, jsou nepřesné nebo zastaralé;

4) povinnosti podle článku 32 nařízení (EU) 2016/679.

d) V příloze III strany stanoví vhodná technická a organizační opatření, jimiž je zpracovatel povinen správci pomáhat při uplatňování této doložky, jakož i oblast působnosti a rozsah požadované pomoci.

Doložka 9 – Ohlašování případů porušení zabezpečení osobních údajů

V případě porušení zabezpečení osobních údajů zpracovatel spolupracuje se správcem a pomáhá mu při plnění jeho povinností podle článků 33 a 34 nařízení (EU) 2016/679 nebo případně podle článků 34 a 35 nařízení (EU) 2018/1725, přičemž zohlední povahu zpracování a informace, které má zpracovatel k dispozici.

9.1 Porušení zabezpečení údajů zpracovávaných správcem V případě porušení zabezpečení osobních údajů zpracovávaných správcem zpracovatel napomáhá správci:

a) při ohlašování případů porušení zabezpečení osobních údajů příslušnému dozorovému úřadu, respektive příslušným dozorovým úřadům, a to bez zbytečného odkladu poté, co se o něm správce dozvěděl, je-li to relevantní / (pokud je nepravděpodobné, že by porušení zabezpečení osobních údajů vedlo k ohrožení práv a svobod fyzických osob);

b) při získávání následujících informací, které musí být podle čl. 33 odst. 3 nařízení (EU) 2016/679 uvedeny v oznámení správce, a to musí přinejmenším zahrnovat:

1) povahu daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;

2) pravděpodobné důsledky porušení zabezpečení osobních údajů;

3) opatření přijatá nebo navržená k přijetí v souvislosti s porušením zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů. Pokud není možné poskytnout všechny tyto informace najednou, musí původní oznámení obsahovat informace, které jsou v dané době k dispozici, a další informace jsou poté poskytnuty bez zbytečného odkladu, jakmile jsou dostupné.

c) při plnění povinnosti v souladu s článkem 34 nařízení (EU) 2016/679 oznámit bez zbytečného odkladu subjektu údajů porušení zabezpečení osobních údajů, pokud je pravděpodobné, že dané porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob.

9.2 Porušení zabezpečení údajů zpracovávaných zpracovatelem V případě porušení zabezpečení osobních údajů zpracovávaných zpracovatelem o tom zpracovatel informuje správce bez zbytečného odkladu poté, co se o tomto porušení dozvěděl. Takové oznámení obsahuje alespoň:

a) popis povahy daného případu porušení (včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a záznamů údajů);

b) údaje o kontaktním místě, kde lze získat více informací o daném porušení zabezpečení osobních údajů;

c) pravděpodobné důsledky a opatření přijatá nebo navržená k přijetí v souvislosti s porušením zabezpečení, a to včetně opatření ke zmírnění možných nepříznivých dopadů. Pokud není možné poskytnout všechny tyto informace najednou, musí původní oznámení obsahovat informace, které jsou v dané době k dispozici, a další informace jsou poté poskytnuty bez zbytečného odkladu, jakmile jsou dostupné. Strany stanoví v příloze III všechny další informace, které má zpracovatel poskytnout, když správci poskytuje pomoc při plnění povinností správce podle článků 33 a 34 nařízení (EU) 2016/679.

ODDÍL III – ZÁVĚREČNÁ USTANOVENÍ

Doložka 10 – Porušení doložek a ukončení smlouvy

a) Aniž jsou dotčena jakákoli ustanovení nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725, pokud zpracovatel poruší své povinnosti podle těchto doložek, může mu správce nařídit, aby pozastavil zpracovávání osobních údajů, dokud zpracovatel nebude plnit povinnosti podle těchto doložek, nebo dokud nebude smlouva vypovězena. Zpracovatel neprodleně informuje správce v případě, že z jakéhokoli důvodu není schopen plnit ustanovení těchto doložek.

b) Správce je oprávněn vypovědět smlouvu v rozsahu, v němž se týká zpracování osobních údajů v souladu s těmito doložkami, pokud:

1) správce pozastavil podle písmene a) zpracovávání osobních údajů zpracovatelem a plnění povinností podle těchto doložek není obnoveno v přiměřené lhůtě a v každém případě do jednoho měsíce od pozastavení;

2) zpracovatel závažně nebo trvale porušuje tyto doložky nebo povinnosti, které pro něj vyplývají z nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725;

3) zpracovatel neplní závazné rozhodnutí příslušného soudu nebo příslušného dozorového úřadu, respektive příslušných dozorových úřadů týkající se jeho povinností vyplývající z těchto doložek nebo z nařízení (EU) 2016/679 a/nebo nařízení (EU) 2018/1725.

c) Zpracovatel je oprávněn vypovědět smlouvu v rozsahu, v němž se týká zpracování osobních údajů podle těchto doložek, pokud poté, co informoval správce o tom, že pokyny správce porušují platné právní požadavky podle doložky 7.1 písm. b), správce na splnění těchto pokynů trvá.

d) Po ukončení smlouvy zpracovatel podle volby správce vymaže veškeré osobní údaje zpracovávané jménem správce a potvrdí správci, že tak učinil, nebo vrátí veškeré osobní údaje správci a vymaže stávající kopie, pokud právo Unie nebo členského státu nepožaduje uchovávání osobních údajů. Dokud nejsou osobní údaje vymazány nebo vráceny, zpracovatel nadále zajišťuje dodržování souladu s těmito doložkami.

Příloha I – Seznam stran

Správce: subjekt, kterého zákazník uvede při uzavření smlouvy (čl. A.1), tj. podle situace: náboženská společnost nebo jiný subjekt, jehož součástí sbor je; sbor s vlastní právní osobností; nebo starší sboru jako společní správci. Sbor: název, země a identifikátor sboru v MYJW. Za správce jedná: zákazník – jméno, e-mail a role ve sboru. Kontaktní e-mail pro ochranu osobních údajů: e-mail nastavený v Správa → Sbor → Ochrana údajů (výchozí e-mail zákazníka). Údaje jsou vedeny v aplikaci a zaslány e-mailem při uzavření smlouvy. Podpis a datum: elektronické potvrzení v aplikaci (čl. A.2).

Zpracovatel: Tomáš Leitl, podnikatel, IČO 03857867, místo podnikání Nad Stadionem 355, 267 01 Králův Dvůr, provozovatel služby MYJW. Kontakt pro ochranu osobních údajů: info@myjw.app. Podpis a datum: zveřejněním této verze smlouvy a jejím potvrzením správcem.

Příloha II – Popis zpracování

Kategorie subjektů údajů

Kategorie osobních údajů

Citlivé údaje Údaje vypovídají o náboženském vyznání (příslušnost ke sboru Svědků Jehovových), tj. jde o zvláštní kategorii údajů podle čl. 9 GDPR. Zvláštní omezení a záruky (doložka 7.5): nejcitlivější údaje (zprávy ze služby, adresa, datum narození a křtu) šifruje prohlížeč klíčem sboru, který zpracovatel nezná; přístup v aplikaci jen podle rolí a oprávnění nastavených správcem; žádné předávání třetím osobám ani použití pro jiné účely (analytika jen souhrnně a bez identifikace osob); servery a zálohy jen v ČR; údaje zpracovává osobně zpracovatel.

Povaha zpracování Provoz webové aplikace MYJW: ukládání, uspořádání, vyhledávání a zpřístupnění údajů uživatelům sboru podle oprávnění, zasílání oznámení e-mailem a push, export, zálohování, obnova a výmaz.

Účel zpracování Poskytování služby MYJW sboru: organizace činnosti sboru (shromáždění, služba, obvody, stojany, zprávy ze služby, nepřítomnosti) podle smlouvy o poskytování služby.

Doba trvání zpracování Po dobu trvání smlouvy o poskytování služby MYJW. Po jejím skončení podle části A, čl. A.9 (výmaz z provozních systémů do 60 dnů, ze záloh do 90 dnů).

Dílčí zpracovatelé: viz příloha IV.

Příloha III – Technická a organizační opatření

  1. Šifrování. Veškerý provoz přes HTTPS (TLS). Zprávy ze služby a citlivá pole (adresa, datum narození a křtu) šifruje prohlížeč klíčem sboru (AES-GCM 256); klíč se předává jen mezi uživateli sboru (ECDH P-256), zpracovatel ho nezná a obsah nepřečte. Hesla: ověřovací hodnota se odvozuje v prohlížeči (PBKDF2) a na serveru se ukládá jen její bcrypt hash.
  2. Oddělení sborů a řízení přístupu. Každý záznam nese identifikátor sboru, server ho ověřuje u každého požadavku. V aplikaci rozhodují role a oprávnění nastavená správcem. Přístup k serveru má jen zpracovatel (SSH klíče, bez hesel); aplikace používá databázového uživatele s nejnižšími potřebnými právy. Účty u hostingu, správy kódu a e-mailové služby jsou chráněny dvoufázovým ověřením.
  3. Umístění. Server a zálohy jsou v ČR (WEDOS). Kopie záloh u zpracovatele jen na šifrovaném disku.
  4. Zálohy a obnova. Pravidelné zálohy databáze, uchovávané nejvýše 30 dnů; obnova ze zálohy se pravidelně zkouší.
  5. Uchovávání. Provozní záznamy aplikace nejvýše 12 týdnů, záznamy webového serveru nejvýše 14 dnů, analytika používání jen bez identifikace osob a nejvýše 90 dnů, koš 24 hodin, poloha 10 minut, záznamy o odeslaných e-mailech nejvýše 90 dnů.
  6. Minimalizace. E-maily a push oznámení obsahují jen údaje nezbytné pro daný účel; zprávy ze služby ani šifrovaná pole se v nich neposílají.
  7. Vývoj a testy probíhají na vymyšlených ukázkových datech, ne na údajích sborů.
  8. Zranitelnosti a aktualizace. Automatické hlídání zranitelných závislostí, kontrola úniku tajných klíčů v kódu, průběžné aktualizace serveru.
  9. Dohled. Automatická kontrola dostupnosti, certifikátů, služeb a stáří záloh každých 15 minut.
  10. Pomoc správci (doložka 8). Správce může v aplikaci údaje opravit, osobu smazat (trvale anonymizovat), vyexportovat údaje osoby i celého sboru a stáhnout seznam dílčích zpracovatelů. Ostatní žádosti vyřídí zpracovatel do 14 dnů od obdržení.
  11. Porušení zabezpečení (doložka 9.2). Zpracovatel informuje kontaktní e-mail sboru nejpozději do 48 hodin od zjištění a zobrazí oznámení správcům v aplikaci. Oznámení obsahuje i: dobu vzniku a zjištění, dotčené funkce, zda byla dotčena šifrovaná data a zda mohl být prozrazen klíč sboru, a doporučené kroky pro sbor (např. výměna klíče, hesel).
  12. Mlčenlivost. Údaje zpracovává osobně zpracovatel. Případní spolupracovníci jsou zavázáni mlčenlivostí a mají přístup jen v nezbytném rozsahu.
  13. Záznamy a dokumentace. Zpracovatel vede záznamy o činnostech zpracování (čl. 30 odst. 2 GDPR) a evidenci porušení zabezpečení. Sborům poskytuje podklady pro posouzení vlivu na ochranu osobních údajů (vzor DPIA).

Příloha IV – Seznam dílčích zpracovatelů

Dílčí zpracovatelSídloČinnostUmístění údajů
WEDOS Internet, a.s., IČO 28115708Hluboká nad Vltavou, ČRserver aplikace, databáze, zálohyČR
[poskytovatel e-mailu – doplní se po výběru]EUodesílání e-mailových oznámeníEU

Další příjemci technických údajů (nejsou dílčími zpracovateli):

Registrace se brzy otevře

Registraci sborů i ukázku brzy otevřeme. Napište nám a dáme vám vědět, jakmile půjde sbor založit.

Napsat na info@myjw.app