ObecníMapa · smluvní dokumentace

Smlouva o zpracování osobních údajů

Verze 1.0 · Schváleno provozovatelem 29. 10. 2026

Tento vzor smlouvy (DPA) podle čl. 28 GDPR je určen pro poskytování služby ObecníMapa.cz obcím a městům České republiky. Uzavírá se s konkrétní obcí spolu s identifikací smluvních stran a dohodnutými přílohami; samotné zveřejnění vzoru nebo přijetí uživatelské pozvánky smlouvu neuzavírá.

1. Smluvní strany a role

E-mail: info@obecnimapa.cz.

TOMBiT s.r.o. je zpracovatelem obecních osobních údajů. Správcem je obec nebo město identifikované v hlavní smlouvě o službě, zastoupené oprávněnou osobou. Konkrétní zástupci a kontakty pro pokyny se určují v této smlouvě a jejích přílohách.

DPA upravuje zpracování obecního obsahu podle pokynů obce. Vlastní zpracování zákaznického vztahu, globálního přihlášení, bezpečnosti a účetnictví TOMBiT popisuje ochrana osobních údajů. U účtů a auditních údajů se role posuzují podle účelu, nikoli pouze podle databázové tabulky. Obecní obsah se nepoužije pro vlastní marketing TOMBiT.

2. Předmět, povaha a účel

Zpracování slouží obcí určené evidenci majetku a vlastnictví, dokumentům, poznámkám, provozním záznamům, úkolům, údržbě a pracovním balíčkům v rozsahu poskytované služby. Zahrnuje příjem od oprávněných uživatelů, uložení v databázi a souborovém úložišti, zobrazení, vyhledání, opravy, propojení s evidencemi, zaznamenání činnosti, export a omezení přístupu. Zálohování, obnova, vrácení a odstranění se řídí konkrétně sjednanými provozními postupy.

Dotčenými osobami mohou být uživatelé a pracovníci obce, fyzické osoby v ruční evidenci vlastníků a osoby uvedené v obcí vložených souborech, fotografiích či provozních záznamech. Údaje mohou zahrnovat jméno a vazbu na vlastnictví, členství a role, přiřazenou činnost, autora a čas změny a obsah vložených poznámek a příloh. Obec ve smluvní příloze určuje skutečné agendy, kategorie osob a údajů, jejich zdroje a právní důvody.

Zvláštní kategorie osobních údajů a údaje o odsouzeních nejsou určeným účelem služby. Jejich případné zpracování vyžaduje předchozí výslovné posouzení, odpovídající smluvní ujednání a opatření; oprávnění nevyplývá ze samotné možnosti nahrát soubor.

3. Doba a doložené pokyny

Zpracování trvá při poskytování služby a následně pouze v nezbytném rozsahu pro doložené vrácení, odstranění a příslušné zákonné povinnosti. Konkrétní rozsah a doby uchování jednotlivých kategorií upravuje příloha sjednaná s obcí.

TOMBiT zpracovává údaje pouze podle doložených pokynů obce, včetně případného předávání do třetí země, ledaže zpracování vyžaduje právo EU nebo členského státu. O takové povinnosti předem informuje obec, pokud to právo nezakazuje. Pokyny tvoří smlouva a doložené úkony oprávněných uživatelů v rozsahu služby; další pokyny se evidují písemně, včetně elektronické podoby. Pokud pokyn podle názoru TOMBiT porušuje předpisy ochrany údajů, TOMBiT na to obec neprodleně upozorní.

Obec určuje účely, právní důvody, rozsah a správnost údajů a zajišťuje vlastní informační povinnosti. Udržuje aktuální seznam osob oprávněných udělovat pokyny a jejich kontakty.

4. Důvěrnost, oprávnění a bezpečnost

TOMBiT zajistí, aby osoby s přístupem k osobním údajům byly vázány odpovídající mlčenlivostí nebo zákonnou povinností a jednaly v mezích oprávnění. Obec spravuje členství a role svých uživatelů; SYSTEM_ADMIN zajišťuje globální správu platformy. Pravidla administrátorského a podpůrného přístupu stanoví sjednaná bezpečnostní příloha.

Aplikace používá serverovou kontrolu obce a rolí, hashování hesel, ochranu formulářů proti CSRF, omezení zneužití veřejných formulářů, hashe tokenů a audit vybraných administrativních změn. Payload e-mailového outboxu je šifrovaný. Tato opatření sama nepředstavují tvrzení o plošném šifrování databáze, dokumentů a záloh ani o úplném zaznamenávání všech čtení.

TOMBiT přijme a udržuje konkrétní technická a organizační opatření odpovídající rizikům podle čl. 32 GDPR. Bezpečnostní příloha vymezuje skutečný hosting, lokality a přístupy, zabezpečení přenosu a klíčů, zálohování a obnovu, testování, odpovědné osoby a incidentní postup. Z tohoto vzoru neplyne certifikace, univerzální SLA, vícefaktorové přihlášení ani konkrétní RPO/RTO.

5. Další zpracovatelé a předávání

TOMBiT zapojí dalšího zpracovatele obecních osobních údajů pouze s předchozím písemným zvláštním nebo obecným povolením obce. Seznam právních osob, účel, rozsah údajů, lokality a podmínky povolení tvoří smluvní přílohu. Při obecném povolení TOMBiT předem informuje o přibrání či nahrazení dalšího zpracovatele a umožní obci vznést námitku podle sjednaného postupu.

Další zpracovatel bude vázán odpovídajícími povinnostmi ochrany údajů. TOMBiT zůstává vůči obci odpovědný za jejich plnění. Právní role externí služby se posoudí podle skutečné činnosti, nikoli automaticky podle existence API integrace. Případné předání mimo EHP vyžaduje doložený právní základ a příslušné záruky.

6. Práva osob, součinnost a incidenty

S ohledem na povahu zpracování TOMBiT poskytne obci součinnost dostupnými technickými a organizačními prostředky při vyřizování práv subjektů údajů. Žádost týkající se obecního obsahu doručenou přímo TOMBiT předá obci; o obsahu nerozhoduje samostatně bez pokynu nebo právní povinnosti. Ověří se oprávnění a rozsah, aby nedošlo ke zpřístupnění údajů jiné obce. Aplikace neposkytuje samoobslužný GDPR portál ani univerzální výmaz všech vazeb jedním tlačítkem.

TOMBiT poskytne součinnost při povinnostech podle čl. 32–36 GDPR, včetně posouzení vlivu a případných předchozích konzultací, s ohledem na povahu zpracování a dostupné informace. Porušení zabezpečení ohlásí obci bez zbytečného odkladu poté, co se o něm dozví. Poskytne dostupné informace o povaze a rozsahu, dotčených osobách a údajích, pravděpodobných následcích, opatřeních a kontaktní osobě; chybějící informace doplní postupně.

7. Informace a kontrola

TOMBiT poskytne informace potřebné k doložení povinností zpracovatele a umožní audity včetně inspekcí prováděných obcí nebo jejím pověřeným auditorem a poskytne součinnost. Organizační koordinace a bezpečné předávání podkladů nesmějí vyloučit právo kontroly a musí chránit také důvěrnost údajů jiných obcí.

8. Konec služby, vrácení a odstranění

Po skončení poskytování zpracování se podle volby obce zajistí vrácení nebo odstranění osobních údajů a odstranění existujících kopií, ledaže uchování ukládá právo EU nebo členského státu. Pokyn, rozsah, způsob předání, doložení odstranění a konkrétní zákonné výjimky se dokumentují.

Obchodní dostupnost se řídí obchodními podmínkami: 14 kalendářních dní ochrany po skončení placeného období a následně čtení a oprávněný export do konce 90denní dostupnosti od konce platnosti. Trial nemá další ochranu; LEGACY obce se nepřevádějí automaticky. Těchto 90 dní není dobou výmazu ani zánikem povinností z DPA a práv dotčených osob.

Uchování zákaznických dat po ukončení smluvního vztahu trvá pouze po dobu nezbytnou k předání, případnému obnovení služby a vypořádání vztahu, nejdéle 36 měsíců, pokud není dohodnuto jinak nebo právní předpis nevyžaduje odlišný postup. Jde o maximum, nikoli povinné minimum nebo samostatný právní důvod uchovávat všechny údaje. U obecních osobních údajů se zohlední doložené pokyny obce a DPA. Obec může požádat o dřívější předání nebo odstranění, pokud další uchování nevyžaduje právo.

Před plánovaným odstraněním TOMBiT obec opakovaně upozorní na evidovaných kontaktech, sdělí plánované datum a způsob žádosti o předání. Odstranění z aktivních systémů a ze záloh proběhne podle sjednaného retenčního cyklu a právních povinností. Konkrétní odpovědnosti, termíny, způsob předání, výmazu a zacházení se zálohami stanoví smluvní příloha.

Stávající export poskytuje CSV evidencí a metadat a jednotlivé stažení souborů; nejde o záruku úplného předání všech údajů a vazeb. Po blokaci běžného přístupu se předání řeší individuální žádostí. Automatická obecní retence, automatická upozornění na její výročí a automatický výmaz nejsou funkcí této verze aplikace. Tím nejsou dotčeny smluvní a zákonné povinnosti poskytovatele.

Uživatel může patřit více obcím; výmaz údajů jedné obce nesmí bez právního důvodu odstranit účty a vazby potřebné jiné obci. Obnova ze záloh nesmí bezdůvodně znovu zpřístupnit již odstraněné údaje; doložené požadavky na výmaz se zohlední také při obnově.

9. Smluvní přílohy a uzavření

Konkrétní smlouva vymezuje identifikaci a oprávnění stran, hlavní smlouvu a přijatou verzi, agendy, účely a dobu zpracování, kategorie osob a údajů, skutečná bezpečnostní a organizační opatření, další zpracovatele a lokality, pokyny a kontakty a retenční a předávací plán. Uzavírá se písemně včetně elektronické podoby s doložením přijatého znění a příloh. Schválení vzoru provozovatelem nenahrazuje uzavření smlouvy s obcí.

Při rozporu v ochraně obecních osobních údajů má přednost dohodnutá DPA. Přímo použitelné právní povinnosti tím nejsou omezeny; důvěrnost, součinnost a dokončení vrácení nebo odstranění trvají podle své povahy také po skončení služby. Kontakt poskytovatele: info@obecnimapa.cz.