Smlouva o zpracování osobních údajů (DPA)

Data Processing Agreement (čl. 28 GDPR)
Tato smlouva upravuje vztah mezi Uživatelem (správcem) a Provozovatelem (zpracovatelem) osobních údajů klientů v rámci portálu Moderní Výživář.

1. Smluvní strany

Správce (Controller):

Uživatel portálu (výživový poradce / trenér), který prostřednictvím portálu zpracovává údaje svých klientů. Uživatel vystupuje jako nezávislý správce osobních údajů svých klientů ve smyslu čl. 4 bod 7 GDPR.

Zpracovatel (Processor):

ESA DEVELOPMENT s.r.o., IČO 23008393, se sídlem Čelakovského 1074/18, 430 01 Chomutov, provozovatel portálu Moderní Výživář, který zpracovává osobní údaje jménem Správce.

2. Předmět a doba zpracování

Zpracovatel zpracovává osobní údaje klientů Správce výhradně za účelem poskytování služeb portálu Moderní Výživář, a to po celou dobu trvání smluvního vztahu (tj. po dobu existence aktivního účtu Správce v portálu a uhrazeného předplatného).

3. Povaha a účel zpracování

Zpracovatel zpracovává osobní údaje výhradně za účelem:

Ukládání a správy dat klientů Správce v zabezpečené databázi
Generování výživových plánů, jídelníčků a nutričních analýz
Sledování pokroku klientů (měření, váha, složení těla)
Zpřístupnění dat klientům prostřednictvím klientského portálu
Technického zabezpečení, šifrování a zálohování dat

4. Typ osobních údajů a kategorie subjektů

Kategorie subjektů údajů:

Klienti výživových poradců (Správců)

Zpracovávané osobní údaje:

Identifikační údaje (jméno, e-mail, telefon, bydliště)
Zvláštní kategorie: údaje o zdravotním stavu (anamnéza, alergie, diagnózy, medikace)
Údaje o tělesném složení (váha, výška, BMI, obvodové míry, InBody)
Stravovací údaje (jídelníčky, nutriční příjem, preference)
Krevní výsledky a laboratorní hodnoty
Fotografie klientů

5. Povinnosti Zpracovatele

Zpracovatel se zavazuje:

Zpracovávat údaje pouze na základě doložených pokynů Správce a výhradně pro účely plnění smlouvy
Zajistit, aby osoby oprávněné zpracovávat údaje byly vázány povinností mlčenlivosti
Přijmout veškerá opatření požadovaná čl. 32 GDPR (šifrování, pseudonymizace, řízení přístupu)
Nezapojit dalšího sub-zpracovatele bez předchozího obecného souhlasu Správce
Informovat Správce o plánovaných změnách sub-zpracovatelů
Pomáhat Správci při plnění povinností vůči subjektům údajů (čl. 15–22 GDPR)
Pomáhat Správci při zajištění souladu s čl. 32–36 GDPR
Po ukončení zpracování smazat nebo vrátit všechny osobní údaje dle volby Správce
Poskytnout Správci informace potřebné k doložení plnění povinností dle čl. 28 GDPR
Umožnit audity a inspekce prováděné Správcem nebo jím pověřeným auditorem

6. Povinnosti Správce (Uživatele)

Správce se zavazuje a prohlašuje, že:

Má platný právní titul pro zpracování osobních údajů svých klientů
Své klienty řádně a transparentně informoval o předání dat do portálu
Získal výslovný souhlas klientů pro zpracování zdravotních dat (čl. 9 GDPR)
Nevkládá do portálu nadbytečné ani nezákonné údaje
Řádně vyřizuje žádosti svých klientů týkající se jejich práv dle GDPR
Poskytne Zpracovateli dokumentované pokyny pro zpracování

7. Sub-zpracovatelé

Zpracovatel využívá se souhlasem Správce následující sub-zpracovatele:

Sub-zpracovatel	Účel	Sídlo
DigitalOcean B.V.	Hosting serverů a šifrovaných databází	NL / EU
Resend, Inc.	Odesílání transakčních e-mailů	USA (SCC dle čl. 46 GDPR)
GOPAY s.r.o., IČO 26046768	Zpracování plateb za předplatné	CZ / EU

Zpracovatel informuje Správce o plánovaných změnách týkajících se přidání nebo nahrazení sub-zpracovatelů. Správce má právo vznést námitku proti novému sub-zpracovateli.

8. Technická a organizační opatření (čl. 32 GDPR)

Zpracovatel implementuje a udržuje následující bezpečnostní opatření:

Šifrování

HTTPS/TLS 1.3, AES-256-GCM pro zdravotní data, bcrypt pro hesla

Řízení přístupu (RBAC)

Striktní oddělení dat mezi poradci, autentizace JWT, ownership check na každém API

Zálohování

Pravidelné šifrované zálohy databáze, obnova dat v případě incidentu

Lokalizace dat

Servery výhradně v EU (DigitalOcean, Nizozemsko)

9. Porušení zabezpečení (Data Breach)

V případě porušení zabezpečení osobních údajů se Zpracovatel zavazuje informovat Správce bez zbytečného odkladu, nejpozději do 48 hodin od zjištění incidentu (čl. 33 GDPR). Oznámení bude obsahovat:

Povahu porušení zabezpečení
Dotčené kategorie údajů a přibližný počet subjektů
Pravděpodobné důsledky porušení
Přijatá nebo navrhovaná nápravná opatření

10. Audit a kontrola

Správce má právo provádět audity a kontroly zpracování osobních údajů Zpracovatelem, a to za předpokladu přiměřeného předchozího oznámení (min. 14 dní předem). Zpracovatel poskytne Správci veškerou nezbytnou součinnost.

11. Ukončení smlouvy a mazání dat

Po ukončení poskytování služeb je Zpracovatel povinen na žádost Správce všechny osobní údaje buď:

Vymazat — bezpečně a nevratně odstranit všechny údaje, nebo
Vrátit — poskytnout Správci všechny údaje ve strojově čitelném formátu (CSV/JSON)

Zpracovatel provede výmaz nebo vrácení nejpozději do 30 dnů od obdržení žádosti, pokud právní předpisy EU nebo členského státu nepožadují delší uchování.

12. Odpovědnost

Každá smluvní strana odpovídá za škody způsobené zpracováním, které porušuje GDPR, v souladu s čl. 82 GDPR. Zpracovatel je odpovědný za škody pouze tehdy, pokud nesplnil povinnosti GDPR výslovně uložené zpracovatelům, nebo pokud jednal v rozporu s pokyny Správce.

13. Závěrečná ustanovení

Tato smlouva se řídí právním řádem České republiky a přímo použitelnými předpisy EU, zejména GDPR. Nedílnou součástí této smlouvy jsou Zásady ochrany osobních údajů portálu Moderní Výživář. Vstupem do smluvního vztahu (registrací) obě smluvní strany potvrzují souhlas s touto smlouvou.