Smlouva o zpracování osobních údajů

1. Smluvní strany

Zpracovatel — provozovatel platformy Realtorz:

Realtorz Systems s.r.o.
IČO: 30044618
DIČ: CZ30044618 (neplátce DPH)
Školská 660/3, Nové Město, 110 00 Praha 1
team@realtorz.cz

Správce — organizace (realitní kancelář), která si v platformě založila účet. Identifikuje se údaji, které o sobě uvedla při založení organizace a v nastavení fakturace (obchodní firma, IČO, sídlo), a osobou svého vlastníka. Za jednání uživatelů, které do organizace pozve, odpovídá správce.

2. Předmět a doba zpracování

Zpracovatel zpracovává pro správce osobní údaje, které správce a jeho uživatelé vkládají do platformy nebo které v platformě vznikají jejím užíváním. Správce určuje účel a prostředky zpracování, zpracovatel poskytuje software a jeho provoz.

Smlouva trvá po dobu existence účtu organizace. Skončí spolu s ukončením užívání platformy; vypořádání údajů po skončení upravuje článek 11.

3. Povaha a účel zpracování

Zpracování slouží k provozu CRM pro realitní činnost správce. Konkrétně jde o:

• evidenci klientů, zájemců a kontaktů, poptávek, zakázek a obchodních případů;
• komunikaci se subjekty údajů kanály, které správce zapne — e-mail, SMS, Telegram, telefonní hovory a jejich záznam, je-li tato funkce zapnuta;
• plánování a evidenci prohlídek, úkolů a termínů, včetně propojení s kalendářem;
• ukládání dokumentů, smluv, fotografií a příloh k zakázce;
• přípravu a publikaci inzerátů na web kanceláře, na realitní portály a na tržiště Realtorz Market — v rozsahu, který správce k publikaci sám určí;
• funkce asistenta s umělou inteligencí, které pracují na pokyn uživatele (návrh textu, shrnutí, překlad, výběr nemovitostí) a jejichž výstup uživatel před odesláním potvrzuje;
• podporu kontroly klienta podle zákona č. 253/2008 Sb. (AML) — dotazy do veřejných registrů a vedení identifikačních údajů odděleně od ostatních dat;
• provozní zabezpečení: zálohování, auditní žurnál, řešení incidentů a podporu.

Zpracování je automatizované; ruční přístup personálu zpracovatele k datům organizace se děje jen v rozsahu nutném pro podporu a provoz a zaznamenává se.

4. Typ osobních údajů a kategorie subjektů

Kategorie subjektů údajů: klienti kanceláře (prodávající a pronajímatelé), zájemci a kupující, nájemci, vlastníci nemovitostí, protistrany obchodu a spolupracující makléři, zaměstnanci a spolupracovníci kanceláře jako uživatelé platformy.

Typ osobních údajů: identifikační údaje (jméno a příjmení, datum narození, u AML identifikace též údaje z dokladu totožnosti), kontaktní údaje (e-mail, telefon, adresa), údaje o nemovitosti a zakázce včetně adresy, finanční údaje ve vztahu k obchodu (cena, nabídka, provize), obsah komunikace a příloh, poznámky makléře, záznamy o prohlídkách a termínech, a — zapne-li správce hlasového asistenta — zvukový záznam hovoru a jeho přepis.

Zvláštní kategorie údajů podle čl. 9 GDPR platforma ke zpracování neurčuje a správce je do ní nemá vkládat. Vloží-li je přesto do volných polí (poznámka, příloha), zpracovávají se v režimu ostatních dat a odpovědnost za jejich právní důvod nese správce.

5. Pokyny správce

Zpracovatel zpracovává údaje pouze na doložené pokyny správce. Pokynem se rozumí samotné užívání platformy uživateli správce a nastavení organizace (zapnuté kanály, publikace, automatizace, retenční nastavení); pokyn nad rámec funkcí platformy zadává správce písemně, e-mailem z adresy vlastníka organizace na team@realtorz.cz.

Má-li zpracovatel za to, že pokyn porušuje GDPR nebo jiný právní předpis Evropské unie či České republiky, neprodleně na to správce upozorní a je oprávněn provedení takového pokynu odmítnout. Právní povinnost zpracovatele podle práva EU nebo ČR má přednost; o takovém požadavku správce informujeme, nezakazuje-li to zákon.

6. Mlčenlivost personálu

K údajům správce mají přístup jen osoby, které jej potřebují pro plnění svých úkolů. Tyto osoby jsou vázány mlčenlivostí — smluvně nebo ze zákona — a mlčenlivost trvá i po skončení jejich spolupráce se zpracovatelem. Přístupy personálu k datům organizace se zapisují do auditního žurnálu.

7. Zabezpečení zpracování

Zpracovatel přijal technická a organizační opatření podle čl. 32 GDPR; jejich popis je v oddílu 9 Zásad ochrany osobních údajů a tvoří součást této smlouvy. Ve zkratce: šifrovaný přenos (TLS), šifrované uložení přístupových tokenů, infrastruktura a databáze v Evropské unii, izolace dat jednotlivých organizací na úrovni řádků databáze (row-level security), řízení přístupu rolemi, oddělený auditní žurnál a šifrované zálohy s testovanou obnovou.

Opatření může zpracovatel v čase měnit podle vývoje techniky; úroveň ochrany tím nesmí klesnout. Podstatné změny oznamuje spolu s novou verzí Zásad.

8. Další zpracovatelé

Správce dává zpracovateli obecné povolení zapojit do zpracování další zpracovatele. Jejich aktuální seznam — s uvedením role a umístění — je v oddílu 6 Zásad ochrany osobních údajů; jiný seznam neexistuje, aby se obě místa nemohla rozejít.

Přibrání nového dalšího zpracovatele nebo náhradu stávajícího oznámíme nejméně 30 dní předem — e-mailem vlastníkovi organizace a v aplikaci. Správce může v této lhůtě vznést odůvodněnou námitku; nedohodneme-li se, může užívání platformy ukončit bez sankce a s exportem dat podle článku 11.

Dalším zpracovatelům ukládáme smluvně stejné povinnosti ochrany údajů, jaké má zpracovatel podle této smlouvy. Za plnění jejich povinností odpovídá zpracovatel správci jako za své vlastní.

9. Součinnost správci

• Práva subjektů údajů. Platforma umí vyhledat údaje o konkrétní osobě, opravit je, omezit jejich zpracování, exportovat je ve strojově čitelném formátu a smazat je — správce tedy vyřizuje žádosti sám a bez čekání na nás. Přijde-li žádost subjektu k nám, sami na ni věcně neodpovídáme: bez zbytečného odkladu ji předáme správci a poskytneme mu potřebnou součinnost.
• Incidenty. Porušení zabezpečení osobních údajů ohlásíme správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, a to e-mailem vlastníkovi organizace. Oznámení obsahuje povahu porušení, dotčené kategorie a přibližný rozsah údajů, pravděpodobné důsledky, přijatá a navrhovaná opatření a kontakt pro další informace. Ohlášení dozorovému úřadu podle čl. 33 GDPR činí správce; poskytneme mu k tomu vše, co máme.
• Posouzení vlivu (DPIA) a předchozí konzultace. Na žádost správce mu poskytneme informace o povaze zpracování, zabezpečení, dalších zpracovatelích a tocích údajů, které pro posouzení podle čl. 35 a 36 GDPR potřebuje.

10. Předání mimo Evropskou unii

Servery, databáze a úložiště souborů provozujeme v Evropské unii. Mimo EU se dostává pouze obsah, který je nutné předat modelu umělé inteligence: jazykovému modelu Anthropic PBC (USA) a modelům Google Gemini (USA) — u Gemini dnes generování obrázků, po zapnutí hlasového asistenta i zvuk a přepis hovoru.

Obě předání stojí na standardních smluvních doložkách Evropské komise a doprovázejí je technická opatření: posíláme jen text či zvuk nezbytný pro daný úkol a volíme takové režimy služby, v nichž poskytovatel obsah nepoužívá k trénování svých modelů. Jiné předání do třetí země zpracovatel bez pokynu správce neprovádí.

11. Ukončení, export a výmaz

Po ukončení užívání platformy si správce může vyžádat úplný export dat své organizace ve strojově čitelném formátu; vyhovíme mu do 48 hodin od žádosti, bez poplatku (článek 3 Podmínek užití).

Po exportu, nejpozději však do 30 dnů od ukončení, osobní údaje smažeme včetně kopií; ze šifrovaných záloh mizí jejich pravidelnou rotací, nejpozději do 30 dnů od výmazu z provozní databáze.

Výjimka: údaje, které je třeba uchovat podle zákona — zejména identifikační údaje z kontroly klienta podle zákona č. 253/2008 Sb. s desetiletou dobou uchování. Správcem těchto údajů zůstává kancelář; zpracovatel je pouze uchovává odděleně od ostatních dat, nepoužívá je k žádnému jinému účelu a na pokyn správce je po uplynutí zákonné doby smaže.

12. Audit a kontrola

Zpracovatel poskytne správci informace nutné k doložení plnění povinností podle čl. 28 GDPR. Správce je oprávněn provést audit jednou ročně na základě žádosti podané nejméně 30 dní předem, a dále po bezpečnostním incidentu, který se ho dotkl.

Audit probíhá v pracovní době, bez nepřiměřeného narušení provozu, na náklady správce a bez přístupu k datům jiných organizací. Přednost má poskytnutí dokumentace a odpovědí na dotazník; osobní kontrola na místě přichází na řadu, pokud tímto způsobem není možné pochybnost odstranit.

13. Odpovědnost

Odpovědnost stran za újmu způsobenou zpracováním se řídí čl. 82 GDPR. Omezení odpovědnosti sjednaná v Podmínkách užití se na povinnosti podle GDPR nevztahují v rozsahu, v jakém to nařízení nedovoluje. Strany si poskytnou součinnost v řízení před dozorovým úřadem i v soudním sporu, který se zpracování týká.

14. Závěrečná ustanovení

Smlouva je uzavřena přijetím při založení organizace — zaškrtnutím políčka v zakládajícím formuláři — a nabývá účinnosti dnem přijetí. Její verzí je datum redakce uvedené v záhlaví této stránky.

Změnu smlouvy oznámíme stejně jako změnu Podmínek užití, s přiměřeným předstihem; nesouhlasí-li správce se změnou, může užívání platformy ukončit a data vyexportovat podle článku 11. Smlouva se řídí právem České republiky; co v ní není upraveno, řídí se Podmínkami užití a Zásadami ochrany osobních údajů.