Smlouva o zpracování osobních údajů
Verze dpa-1.0, vydáno 19. 9. 2026, účinná od zveřejnění na futugen.com.
Uzavírá se odkliknutím při zřízení účtu, podle čl. 28 nařízení (EU) 2016/679
(GDPR). Je nedílnou součástí obchodních podmínek op-1.0.
Správce: zákazník.
Zpracovatel: FutuGen s.r.o., IČO 26967405, se sídlem Kollárova 1714/1,
Pražské Předměstí, 500 02 Hradec Králové.
1. Proč tahle smlouva existuje
Zákazník nahrává do služby obchodní doklady. Na nich jsou zpravidla osobní
údaje třetích osob — jeho zákazníků, dodavatelů a zaměstnanců. Zákazník je
za ně správcem, poskytovatel je pro něj zpracovává. Bez téhle smlouvy takové
zpracování není přípustné.
2. Předmět, doba, povaha a účel
| Předmět | zpracování údajů obsažených v dokladech nahraných zákazníkem |
| Doba | po dobu trvání účtu, nejdéle 30 dnů od posledního měřicího kola |
| Povaha | automatizované zpracování: pseudonymizace, měření extrakce jazykovými modely, vyhodnocení |
| Účel | výhradně poskytnutí služby podle op-1.0 |
| Kategorie subjektů | zákazníci, dodavatelé a zaměstnanci zákazníka uvedení na dokladech |
| Kategorie údajů | identifikační a kontaktní údaje, platební údaje (bankovní spojení), údaje o plnění a jeho ceně |
Zvláštní kategorie údajů podle čl. 9 GDPR do služby nepatří. Zákazník je
nenahrává.
3. Pokyny
Zpracovatel zpracovává údaje jen podle doložených pokynů správce. Tato
smlouva a obchodní podmínky jsou úplným pokynem. Pokud by pokyn podle názoru
zpracovatele porušoval právní předpis, zpracovatel na to upozorní a zpracování
pozastaví.
Zpracovatel údaje nepoužívá pro vlastní účely, zejména je nepoužívá
k trénování modelů a nepředává je k trénování. Naměřené hodnoty a statistiky
používá jen v podobě, ze které nelze obsah dokladů ani totožnost osob zjistit.
4. Mlčenlivost
Zpracovatel zaváže mlčenlivostí každého, kdo má k údajům přístup, a přístup
omezí na osoby, které ho potřebují k plnění smlouvy.
5. Zabezpečení (čl. 32 GDPR)
Zavedená opatření:
- Pseudonymizace před jakýmkoli odesláním poskytovateli modelu. Nahrazují
se e-mail, IBAN, bankovní účet, platební karta, rodné číslo, IČO, DIČ
a telefon. Originál neopouští jádro služby a technicky nemá cestu ven.
Opatření je ověřeno automatickým testem, který je součástí každého sestavení.
- Omezení uchování na 30 dnů od posledního kola, s automatickým mazáním.
- Hosting v Evropské unii (Belgie), přístup k serverům jen přes ověřenou
identitu, port pro správu není dostupný z veřejné sítě.
- Zálohy šifrovaným úložištěm v EU, s denním ověřením obnovitelnosti.
- Historie zásahů je nezměnitelná — záznamy o zpracování se technicky
nedají přepsat ani smazat, oprava je nový záznam.
- Logy neobsahují osobní údaje v prostém textu.
Mez opatření, kterou zpracovatel uvádí výslovně: pseudonymizace nenahrazuje
jména osob a adresy ve volném textu. Tyto údaje se tedy k poskytovateli modelu
dostat mohou. Správce k tomu přihlédne při výběru dokladů.
6. Další zpracovatelé
Správce uděluje obecné povolení zapojit další zpracovatele. Jejich aktuální
seznam je veřejný (subprocessors-1.0). O zamýšlené změně informuje
zpracovatel nejméně 30 dnů předem; správce může v téže lhůtě z tohoto
důvodu smlouvu vypovědět.
Každému dalšímu zpracovateli uloží zpracovatel stejné povinnosti, jaké má sám.
7. Předání mimo EU
Poskytovatelé jazykových modelů sídlí zčásti mimo EU. Pro tato předání se
použijí standardní smluvní doložky Komise, případně jiný nástroj podle
kapitoly V GDPR, a předávají se pouze pseudonymizované dokumenty.
Aktuální seznam zemí je v subprocessors-1.0. Poskytovatele ze země bez
rozhodnutí o odpovídající ochraně, u nějž nelze předání dostatečně ošetřit,
zpracovatel do měření zákaznických dokladů nezařadí.
8. Pomoc správci
Zpracovatel je správci nápomocen při:
- vyřízení žádostí subjektů údajů (přístup, oprava, výmaz, přenositelnost) —
export i smazání jsou dostupné na jedno vyžádání,
- posouzení vlivu na ochranu údajů a předchozí konzultaci,
- zabezpečení podle čl. 32.
9. Porušení zabezpečení
Zpracovatel ohlásí správci porušení zabezpečení **bez zbytečného odkladu,
nejpozději do 48 hodin** od zjištění, spolu s popisem, dotčenými kategoriemi
údajů a přijatými opatřeními.
10. Výmaz a vrácení
Po ukončení služby zpracovatel údaje smaže do 30 dnů. Před smazáním je na
vyžádání vydá v běžném strojově čitelném formátu. Nezachovává kopie nad rámec
právní povinnosti.
11. Audit
Zpracovatel poskytne správci informace potřebné k doložení plnění povinností
a umožní audit, nejvýše jednou ročně a po oznámení nejméně 30 dnů předem,
na náklady správce. Opakovaný audit je možný po doloženém porušení.
12. Rozpor
Odporuje-li tato smlouva obchodním podmínkám, má v otázkách ochrany osobních
údajů přednost tato smlouva.