Zpracovatelská smlouva (GDPR)

Zpracovatel: US Europe Group s.r.o., IČO: 06779808, DIČ: CZ06779808, se sídlem Třebovická 5050/78, 722 00 Ostrava, Česká republika.
Správce: uživatel aplikace Housio, jehož identifikační údaje jsou uvedeny v jeho uživatelském účtu.
Kontakt: housio@housio.app
Účinnost: 1. 9. 2026 (verze 1.0)

1. K ČEMU TENTO DOKUMENT SLOUŽÍ

Tato zpracovatelská smlouva upravuje podle čl. 28 GDPR zpracování osobních údajů třetích osob, které uživatel vkládá do aplikace Housio, a tvoří nedílnou součást Všeobecných obchodních podmínek aplikace Housio.

Smlouva je uzavřena okamžikem, kdy správce poprvé vloží do aplikace osobní údaje třetí osoby. Samostatný podpis se nevyžaduje; na žádost zaslanou na housio@housio.app však poskytneme tuto smlouvu i v podepsané podobě.

2. POSTAVENÍ STRAN

Správcem osobních údajů, které do aplikace vkládá, je uživatel. Určuje účely a prostředky zpracování a odpovídá za právní titul.

Zpracovatelem je US Europe Group s.r.o., která osobní údaje zpracovává výhradně na základě pokynů správce, a to formou provozování aplikace Housio.

Tato smlouva se netýká osobních údajů samotného uživatele (jeho e-mail, fakturační údaje, platby) — ve vztahu k nim je správcem zpracovatel a zpracování upravují Zásady ochrany osobních údajů.

3. PŘEDMĚT, POVAHA, ÚČEL A DOBA ZPRACOVÁNÍ

Předmětem a povahou zpracování je ukládání, uspořádání, zpřístupnění, změna, zálohování, export a výmaz osobních údajů v rámci provozu aplikace Housio.

Účelem je poskytování služby evidence a správy nemovitostí, nájemníků, nájemních vztahů, plateb a souvisejících dokumentů správci.

Zpracování trvá po dobu trvání smluvního vztahu podle obchodních podmínek, prodlouženou o ochrannou lhůtu 30 dnů podle článku 10.

4. POKYNY SPRÁVCE

Zpracovatel zpracovává osobní údaje výhradně na doložené pokyny správce. Pokynem se rozumí zejména tato smlouva a obchodní podmínky, úkony provedené správcem v uživatelském rozhraní aplikace (vložení, změna, smazání, export, sdílení se členem týmu, odeslání upomínky) a písemný pokyn zaslaný na housio@housio.app.

Zpracovatel osobní údaje nezpracovává pro vlastní účely, nepředává je třetím osobám nad rámec článku 6 a nevyužívá je k marketingu. Anonymizovaná data, z nichž nelze zjistit totožnost žádné fyzické osoby, se za osobní údaje nepovažují.

Má-li zpracovatel za to, že pokyn porušuje GDPR nebo jiný předpis o ochraně osobních údajů, správce na to upozorní; takový pokyn není povinen vykonat.

Zpracovatel je oprávněn zpracovat osobní údaje i tehdy, ukládá-li mu to právo EU nebo členského státu; v takovém případě správce předem informuje, ledaže to právo zakazuje.

5. MLČENLIVOST

Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí — smluvně nebo na základě zákonné povinnosti. Povinnost mlčenlivosti trvá i po skončení spolupráce těchto osob se zpracovatelem a po skončení této smlouvy. Přístup k osobním údajům má pouze omezený okruh osob, které jej potřebují k plnění svých úkolů.

6. DALŠÍ ZPRACOVATELÉ

Správce uděluje zpracovateli obecné povolení zapojit do zpracování další zpracovatele podle čl. 28 odst. 2 GDPR. Aktuální seznam je uveden v článku 15 a je vždy dostupný na housio.online/dpa.

Zpracovatel oznámí správci zamýšlené přidání nebo nahrazení dalšího zpracovatele e-mailem nebo v aplikaci nejméně 30 dnů předem. Správce může v této lhůtě vznést odůvodněnou námitku. Nedohodnou-li se strany, může správce z tohoto důvodu smlouvu vypovědět a zpracovatel mu vrátí poměrnou část uhrazeného předplatného.

Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti, jaké má sám podle této smlouvy, a odpovídá správci za plnění jejich povinností.

7. ZABEZPEČENÍ

Zpracovatel přijal a udržuje technická a organizační opatření přiměřená riziku podle čl. 32 GDPR, zejména ta uvedená v článku 14. Opatření pravidelně vyhodnocuje a přizpůsobuje vývoji techniky a zjištěným rizikům.

8. SOUČINNOST PŘI VÝKONU PRÁV SUBJEKTŮ ÚDAJŮ

Aplikace umožňuje správci samostatně vyřídit většinu žádostí subjektů údajů — údaje o nájemnících lze v aplikaci zobrazit, opravit, exportovat i smazat bez součinnosti zpracovatele.

Obrátí-li se subjekt údajů (například nájemník) přímo na zpracovatele, zpracovatel mu osobní údaje neposkytne a odkáže jej na správce. O takové žádosti správce informuje bez zbytečného odkladu, nejpozději do 5 pracovních dnů.

Nad rámec funkcí aplikace poskytne zpracovatel správci přiměřenou součinnost. Za mimořádně rozsáhlou součinnost je oprávněn požadovat náhradu účelně vynaložených nákladů, na kterou správce předem upozorní.

9. BEZPEČNOSTNÍ INCIDENTY

Zpracovatel poskytne správci součinnost při zajištění souladu s čl. 32 (zabezpečení), čl. 33 a 34 (ohlašování porušení zabezpečení), čl. 35 (posouzení vlivu) a čl. 36 (předchozí konzultace) GDPR, s ohledem na povahu zpracování a informace, které má k dispozici.

Zjistí-li zpracovatel porušení zabezpečení osobních údajů, ohlásí je správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, na e-mail uvedený v účtu správce. Oznámení bude obsahovat popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů a záznamů, kontaktní údaj pro další informace, popis pravděpodobných důsledků a popis přijatých či navržených opatření k nápravě.

Nejsou-li v okamžiku oznámení všechny informace k dispozici, poskytne je zpracovatel postupně bez zbytečného odkladu.

Ohlášení dozorovému úřadu a subjektům údajů provádí správce — jde o jeho zákonnou povinnost. Zpracovatel mu k tomu poskytne potřebnou součinnost.

10. VÝMAZ A VRÁCENÍ ÚDAJŮ PO SKONČENÍ

Po skončení poskytování služeb zpracovatel podle volby správce osobní údaje vymaže, nebo mu je vrátí. V praxi to funguje takto:

Zpracovatel je oprávněn ponechat si osobní údaje v rozsahu a po dobu, kterou mu ukládá právo EU nebo členského státu, zejména u účetních a daňových dokladů. Na žádost správce vydá písemné potvrzení o provedení výmazu.

11. AUDIT A DOLOŽENÍ SOULADU

Zpracovatel poskytne správci veškeré informace nutné k doložení, že plní povinnosti podle čl. 28 GDPR.

Správce je oprávněn provést audit nebo kontrolu, a to nejvýše jednou za 12 měsíců (nejde-li o audit vyvolaný bezpečnostním incidentem nebo pokynem dozorového úřadu), po písemném oznámení nejméně 30 dnů předem, v pracovní době a způsobem, který nenaruší provoz zpracovatele, a prostřednictvím osob vázaných mlčenlivostí, které nejsou konkurentem zpracovatele.

Zpracovatel může tuto povinnost splnit předložením aktuální zprávy nezávislého auditora nebo certifikace svých subdodavatelů, jsou-li pro účel auditu dostatečné.

Náklady na audit nese správce, s výjimkou případu, kdy audit prokáže podstatné porušení této smlouvy zpracovatelem.

12. PŘEDÁVÁNÍ DO TŘETÍCH ZEMÍ

Osobní údaje jsou primárně uloženy a zpracovávány v Evropské unii. Někteří další zpracovatelé mohou zpracovávat údaje ve třetích zemích, zejména ve Spojených státech amerických. Takové předání se uskuteční pouze při splnění podmínek kapitoly V GDPR — na základě standardních smluvních doložek schválených Evropskou komisí, případně rozhodnutí o odpovídající ochraně (EU–US Data Privacy Framework). Na žádost správce zpracovatel doloží, jaké záruky jsou u konkrétního předání uplatněny.

13. POPIS ZPRACOVÁNÍ

Kategorie subjektů údajů:

Kategorie osobních údajů:

Aplikace není určena pro zvláštní kategorie údajů podle čl. 9 GDPR a správce je do ní nemá vkládat. Vloží-li je přesto, činí tak na vlastní odpovědnost a musí pro to mít vlastní právní titul.

14. TECHNICKÁ A ORGANIZAČNÍ OPATŘENÍ

Šifrování: veškerá komunikace přes HTTPS/TLS; data i zálohy šifrované v úložišti; hesla ukládaná pouze jako nevratný kryptografický otisk.

Řízení přístupu: oddělení dat jednotlivých uživatelů na úrovni databáze, takže uživatel technicky nemůže načíst data jiného uživatele; soubory v neveřejném úložišti přístupné pouze přes dočasný podepsaný odkaz; role a oprávnění pro členy týmu; dvoufaktorové ověření u administrátorských účtů poskytovatelů infrastruktury; přístup do produkčního prostředí omezen na nezbytný okruh osob.

Odolnost a obnova: automatické denní zálohy s otestovaným postupem obnovy; provoz na infrastruktuře s vysokou dostupností; automatizované sledování dostupnosti služby.

Detekce a reakce: sběr a vyhodnocování chybových a bezpečnostních hlášení; stanovený postup pro řešení bezpečnostních incidentů včetně lhůt pro oznámení; záznamy o přihlášení a činnosti v účtu.

Organizační opatření: mlčenlivost všech osob s přístupem k údajům; zásada nezbytného minima při přidělování oprávnění; pravidelná revize přístupů; zpracovatelské smlouvy se všemi dodavateli.

Minimalizace: IP adresy návštěvníků webu se neukládají, pouze nevratný denní otisk; neshromažďujeme údaje, které pro provoz služby nepotřebujeme.

15. SEZNAM DALŠÍCH ZPRACOVATELŮ

Platný ke dni 1. 9. 2026:

Aktuální verze seznamu je vždy na housio.online/dpa. Změny oznamujeme 30 dnů předem podle článku 6.

16. ODPOVĚDNOST

Každá strana odpovídá za porušení svých vlastních povinností podle GDPR.

Správce odpovídá zejména za existenci právního titulu ke zpracování, za splnění informační povinnosti vůči subjektům údajů a za zákonnost svých pokynů.

Zpracovatel odpovídá za škodu způsobenou zpracováním pouze tehdy, nesplnil-li povinnosti uložené GDPR přímo zpracovatelům nebo jednal-li nad rámec pokynů správce (čl. 82 odst. 2 GDPR).

Omezení odpovědnosti sjednané v obchodních podmínkách se použije i na tuto smlouvu, nejde-li o správce v postavení spotřebitele a nevylučují-li to kogentní předpisy.

17. ZÁVĚREČNÁ USTANOVENÍ

Smlouva se uzavírá na dobu trvání smluvního vztahu podle obchodních podmínek. Ustanovení, která mají z povahy věci trvat déle (mlčenlivost, výmaz, odpovědnost), trvají i po jejím skončení.

Zpracovatel může smlouvu měnit postupem podle obchodních podmínek — oznámení 14 dnů předem a právo správce vypovědět.

Smlouva se řídí právním řádem České republiky a GDPR. V případě rozporu mezi touto smlouvou a obchodními podmínkami má ve věcech zpracování osobních údajů přednost tato smlouva.

18. KONTAKT

US Europe Group s.r.o., Třebovická 5050/78, 722 00 Ostrava, Česká republika · IČO 06779808 · DIČ CZ06779808 · housio@housio.app

Zpět do aplikace Housio