Smlouva o zpracování osobních údajů

Finanční studio · účinné od 15. 9. 2026

Tato smlouva se uzavírá podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR). Je nedílnou součástí Všeobecných obchodních podmínek služby Finanční studio a uzavírá se při registraci uživatele v roli poradce nebo specialisty.

1. Smluvní strany

1.1. Správcem je uživatel v roli poradce nebo specialisty, identifikovaný údaji z registrace (dále jen „správce"). 1.2. Zpracovatelem je společnost sunette s.r.o., se sídlem Česká 3229/27, 700 30 Ostrava-Jih, IČO 25901991, zapsaná v obchodním rejstříku vedeném Krajským soudem v Ostravě, sp. zn. C 26019 (dále jen „zpracovatel"). 1.3. Tato smlouva se nevztahuje na klienta, který si vede vlastní přehled bez poradce. K jeho údajům je zpracovatel v postavení správce a použijí se Zásady ochrany osobních údajů.

2. Předmět, povaha a doba zpracování

2.1. Zpracovatel zpracovává pro správce osobní údaje v rozsahu nezbytném k poskytování služby Finanční studio podle Všeobecných obchodních podmínek. 2.2. Povahou a účelem zpracování je uložení, zobrazení, výpočet přehledů a výstupů, tvorba dokumentů, zálohování a odesílání upozornění, a to výhradně za účelem, aby správce mohl poskytovat finančně poradenské služby svým klientům. 2.3. Zpracování trvá po dobu trvání smlouvy o poskytování Služby a dále po dobu podle článku 10.

3. Subjekty údajů a kategorie údajů

3.1. Subjekty údajů jsou klienti správce, členové jejich domácností včetně nezletilých dětí a osoby uvedené správcem na smlouvách nebo v kontaktech. 3.2. Kategorie údajů, které lze do Služby vložit: a) identifikační — jméno, datum narození, rodné číslo, čísla dokladů, státní občanství; b) kontaktní — adresa, e-mail, telefon; c) ekonomické — příjmy a výdaje, majetek, závazky, smlouvy, investiční transakce, bankovní spojení; d) údaje o zdravotním stavu — diagnózy, výška a hmotnost, kouření, rizikové sporty a povolání, údaje o praktickém lékaři (zvláštní kategorie podle čl. 9 GDPR); e) údaje o rodinné situaci — vztahy v domácnosti, zákonný zástupce nezletilého; f) soubory — naskenované smlouvy, fotografie majetku, vytvořené výstupy; g) komunikace — zprávy mezi správcem a klientem ve Službě. 3.3. Správce určuje účely a prostředky zpracování, zajišťuje existenci a doložitelnost právního důvodu, plní informační povinnost vůči subjektům údajů a odpovídá za zákonnost, přesnost, přiměřenost a minimalizaci údajů vložených do Služby. Správce uděluje zpracovateli doložené pokyny prostřednictvím funkcí Služby, jejího nastavení, podpory nebo písemnou formou a řídí oprávnění svých uživatelů.

4. Zvláštní kategorie údajů

4.1. Údaje o zdravotním stavu lze zpracovávat jen na základě výslovného souhlasu subjektu údajů nebo jiné výjimky podle čl. 9 odst. 2 GDPR. 4.2. Služba poskytuje nástroj pro zaznamenání a odvolání souhlasu. Za jeho získání před vložením údajů odpovídá správce. 4.3. Nemá-li správce souhlas, není oprávněn údaje o zdravotním stavu do Služby vkládat. Tato pole nejsou povinná a Služba je bez nich plně funkční. 4.4. Zpracovatel: a) pouze technicky eviduje údaj o právním titulu, b) neposuzuje platnost souhlasu, c) nepoužívá zdravotní údaje pro vlastní účely ani pro trénování modelů. 4.5. Odvolání souhlasu nemusí automaticky znamenat okamžitý výmaz, pokud existuje jiný zákonný důvod nebo právní povinnost.

5. Povinnosti zpracovatele

5.1. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně předání do třetí země. Pokyny se rozumí zejména úkony správce ve Službě a nastavení, které v ní zvolí. Ukládá-li zpracování právní předpis, informuje o tom zpracovatel správce předem, ledaže to týž předpis zakazuje. 5.2. Zpracovatel se zavazuje zajistit, aby všechny osoby, kterým umožní přístup k osobním údajům zpracovávaným podle této smlouvy, zejména jeho zaměstnanci, členové statutárních orgánů, externí spolupracovníci, dodavatelé a další osoby podílející se na plnění této smlouvy, byly vázány povinností mlčenlivosti o všech osobních údajích a souvisejících informacích, s nimiž přijdou do styku. Zpracovatel zajistí, aby povinnost mlčenlivosti byla sjednána alespoň v rozsahu odpovídajícím této smlouvě a trvala i po skončení přístupu k osobním údajům nebo po ukončení příslušného smluvního či pracovněprávního vztahu. Zpracovatel odpovídá za to, že uvedené osoby budou s osobními údaji nakládat pouze na základě jeho pokynů a v rozsahu nezbytném pro plnění jejich úkolů. 5.3. Zpracovatel přijme technická a organizační opatření podle článku 7. 5.4. Zpracovatel dodrží pravidla pro zapojení dalších zpracovatelů podle článku 6. 5.5. Zpracovatel, s přihlédnutím k povaze zpracování a informacím, které má k dispozici, poskytne správci přiměřenou součinnost při plnění povinností podle čl. 12 až 23 a čl. 32 až 36 GDPR. Dostupné podklady poskytne tak, aby správce mohl dodržet zákonné lhůty. Subjektu údajů neodpoví jménem správce bez jeho pokynu, ledaže to ukládá právní předpis. 5.6. Zpracovatel naloží po skončení zpracování s údaji podle článku 10. 5.7. Zpracovatel poskytne správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR a umožní kontrolu podle článku 9. 5.8. Zpracovatel neprodleně informuje správce, má-li za to, že pokyn správce porušuje předpisy o ochraně osobních údajů.

6. Další zpracovatelé

6.1. Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Jejich aktuální seznam tvoří přílohu 1 této smlouvy a je dostupný ve Službě. 6.2. Před zapojením dalšího zpracovatele poskytne zpracovatel jeho úplnou identifikaci, místo zpracování, popis činností, kategorie údajů, informace o dalším řetězci a použitý mechanismus předání. Na žádost poskytne informace nezbytné k posouzení dostatečných záruk a souladu s kapitolou V GDPR. 6.3. Správce je oprávněn vznést odůvodněnou námitku. Nevyřeší-li ji strany dohodou, může správce ukončit smlouvu o poskytování Služby ke dni, kdy má být nový zpracovatel zapojen. 6.4. Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti, jaké má sám podle této smlouvy. Za plnění jejich povinností odpovídá správci, jako by zpracování prováděl sám. 6.5. Vyžádá-li si uživatel vytěžení nahraného dokumentu, předá se soubor poskytovateli služby umělé inteligence uvedenému v příloze 1. Předání probíhá jen na výslovný pokyn uživatele. Funkci lze v nastavení vypnout. 6.6. Poskytovatel AI smí obsah dokumentu zpracovat pouze za účelem uživatelem vyžádaného vytěžení, nesmí jej použít k trénování nebo zlepšování obecných modelů ani k vlastním účelům a uchová jej pouze po smluvně stanovenou dobu. Výstup AI má pomocný charakter a správce před jeho použitím ověří jeho správnost.

7. Zabezpečení

7.1. Zpracovatel přijal zejména tato opatření: a) šifrovaný přenos dat mezi zařízením uživatele a serverem; b) řízení přístupů podle rolí — uživatel má přístup pouze k domácnostem, které spravuje nebo ke kterým byl přizván; c) dvoufaktorové ověření přihlášení a zámek mobilní aplikace biometrií nebo kódem; d) auditní záznamy významných úkonů uchovávané 5 let; e) omezení počtu pokusů o přihlášení a ukládání hesel výhradně v podobě kryptografického otisku; f) pravidelné zálohování — frekvence denní/týdenní/měsíční/roční, doba uchování:

• denní záloha je uchovávána 24 hodin, tj. do doby pořízení nové denní zálohy;
• týdenní záloha je uchovávána 1 týden, tj. do doby pořízení nové týdenní zálohy;
• měsíční záloha je uchovávána 1 měsíc, tj. do doby pořízení nové měsíční zálohy;
• roční záloha je uchovávána 1 rok, tj. do doby pořízení nové roční zálohy; g) oddělení provozního a zkušebního prostředí; ve zkušebním prostředí se nepoužívají skutečná klientská data. 7.2. Zpracovatel je oprávněn opatření měnit; úroveň ochrany nesmí klesnout pod úroveň dosaženou při uzavření této smlouvy.

8. Porušení zabezpečení

8.1. Zjistí-li zpracovatel porušení zabezpečení osobních údajů, oznámí to správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl. 8.2. Oznámení obsahuje popis povahy porušení, dotčené kategorie a přibližný počet subjektů údajů a záznamů, pravděpodobné důsledky a přijatá či navržená opatření, a to v rozsahu, který je zpracovateli v daném okamžiku znám. 8.3. Ohlášení dozorovému úřadu a vyrozumění subjektů údajů provádí správce. Zpracovatel mu k tomu poskytne součinnost.

9. Kontrola

9.1. Správce je oprávněn ověřit plnění povinností zpracovatele, v prvé řadě předložením dokladů, které zpracovatel na žádost poskytne. 9.2. Nepostačují-li doklady, je správce oprávněn provést kontrolu na místě, ohlášenou nejméně 14 dnů předem a nejvýše jednou ročně; to neplatí v případě porušení zabezpečení nebo požadavku dozorového orgánu. 9.3. Kontrola nesmí nepřiměřeně narušit provoz zpracovatele. Osoby provádějící kontrolu jsou vázány mlčenlivostí. 9.4. Náklady kontroly nese správce, ledaže se prokáže podstatné porušení povinností zpracovatele.

10. Ukončení zpracování

10.1. Po skončení poskytování Služby zpracovatel podle volby správce osobní údaje vrátí ve strukturovaném, běžně používaném a strojově čitelném formátu (csv) a následně je vymaže, nebo je přímo vymaže. Není-li volba učiněna, umožní správci po dobu 30 dnů export a poté údaje bezpečně vymaže. Záložní kopie budou odstraněny nejpozději v konkrétně stanovené maximální lhůtě a do té doby nebudou použity k jinému účelu než k obnově po havárii. 10.2. Po uplynutí lhůty podle článku 10.1 zpracovatel údaje smaže včetně kopií, s výjimkou: a) údajů, které je povinen uchovat podle právních předpisů; b) auditních záznamů a záloh podle článku 7.1 písm. d), které se smažou uplynutím doby jejich uchování; c) dat, ze kterých odstraní přímé identifikátory. 10.3. Na žádost správce potvrdí zpracovatel výmaz písemně.

11. Odpovědnost a závěrečná ustanovení

11.1. Odpovědnost stran se řídí čl. 82 GDPR a Všeobecnými obchodními podmínkami. 11.2. Vzniknou-li zpracovateli náklady tím, že správce vložil do Služby údaje bez právního důvodu nebo v rozporu s článkem 4, má zpracovatel právo na jejich náhradu. 11.3. Tato smlouva je nedílnou součástí Všeobecných obchodních podmínek a řídí se stejnými pravidly pro změny. Změnu, která snižuje úroveň ochrany osobních údajů, nelze provést bez souhlasu správce. 11.4. Tato smlouva se řídí právem České republiky a nařízením (EU) 2016/679. 11.5. Tato smlouva nabývá účinnosti 14.9.2026, resp. dnem registrace poradce a/nebo specialisty. Příloha 1 — Seznam dalších zpracovatelů Aktuální znění je dostupné ve Službě. Verze uvedená v záhlaví platí ke dni účinnosti; starší znění zpracovatel na vyžádání doloží. Zpracovatel Účel Předávané údaje Umístění Podklad pro předání mimo EU TALKEY a.s. provoz aplikace a databáze všechny údaje ve Službě Česká republika — TALKEY a.s. uložení nahraných dokumentů a výstupů naskenované smlouvy, fotografie majetku, sestavy Česká republika — Anthropic PBC vytěžení údajů z dokumentu nahraného uživatelem obsah nahraného souboru; může obsahovat jméno, rodné číslo, adresu a čísla smluv USA standardní smluvní doložky TALKEY a.s./Microsoft Corporation pozvánky, obnova hesla, provozní upozornění e-mail, jméno, text upozornění Česká republika/USA standardní smluvní doložky Apple Inc. doručení oznámení do mobilní aplikace (iOS) identifikátor zařízení, text oznámení USA standardní smluvní doložky Google LLC doručení oznámení do mobilní aplikace (Android) identifikátor zařízení, text oznámení USA standardní smluvní doložky Comgate a.s. zpracování plateb předplatného jméno, e-mail, platební údaje Česká republika — Poskytovatelé veřejných tržních dat (Česká národní banka, burzy, poskytovatelé cen fondů) nejsou dalšími zpracovateli. Zpracovatel jim nepředává žádné osobní údaje a pouze z nich čte veřejné ceny.