Zpracovatelská smlouva (DPA)
Smlouva podle čl. 28 GDPR. Účinná od 12. 10. 2026.
1. Smluvní strany a uzavření
Zpracovatel: PIKASTORE s.r.o., Rybná 716/24, Staré Město, 110 00 Praha 1, IČO 19693311, DIČ CZ19693311, kontakt info@pikastore.cz.
Správce: zákazník, tedy firma používající AttendPlan, a to pro osobní údaje svých zaměstnanců a uchazečů.
Tato zpracovatelská smlouva je součástí Obchodních podmínek a uzavírá se přijetím Obchodních podmínek zákazníkem. Zákazník ji nemusí podepisovat zvlášť. Na žádost zašleme podepsanou verzi.
2. Předmět smlouvy a role stran
Zpracovatel zpracovává osobní údaje pro správce při poskytování služby AttendPlan. Správce určuje účely a prostředky zpracování osobních údajů svých zaměstnanců a uchazečů a zpracovatel jedná podle jeho doložených pokynů.
3. Doba trvání, povaha a účel zpracování
Smlouva trvá po dobu smluvního vztahu zákazníka ke službě AttendPlan. Zpracování probíhá za účelem provozu služby, zejména plánování směn, evidence docházky, přípravy mzdových podkladů a práce s uchazeči prostřednictvím funkce /jobs.
Povaha zpracování zahrnuje uložení, uspořádání, zobrazení, používání, zpřístupnění oprávněným osobám, export dat a činnosti potřebné pro provoz souvisejících služeb, včetně e-mailů, volitelného přihlášení OAuth, Web Push a plateb.
4. Typy osobních údajů a kategorie subjektů
Kategorie subjektů údajů tvoří zaměstnanci a uchazeči správce. Podle rozsahu používání služby mohou být zpracovávány tyto typy údajů:
- u zaměstnanců: jméno, e-mail, telefon, role, směny, žádosti o volno, docházka a údaje potřebné pro mzdové podklady;
- při pípnutí nebo startu docházky z mobilu: IP adresa, čas a bezpečnostní záznamy; při zapnutém geofencingu také poloha;
- pokud je firma používá: denní nálada (
daily_mood) a anonymní nálada zákazníka (customer_mood); - u uchazečů z
/jobs: jméno, e-mail, telefon, poznámka a IP adresa.
Údaje uchazečů se uchovávají 180 dní a IP adresy 30 dní.
5. Povinnosti zpracovatele
Zpracovatel plní povinnosti podle čl. 28 odst. 3 GDPR, zejména:
- zpracovává osobní údaje pouze podle pokynů správce, včetně pokynů k předávání osobních údajů;
- zajišťuje, aby osoby oprávněné zpracovávat osobní údaje byly vázány mlčenlivostí;
- přijímá technická a organizační opatření podle čl. 32 GDPR;
- používá dílčí zpracovatele podle článku 8 a o jejich změně správce informuje; správce má právo vznést proti změně námitku;
- poskytuje správci součinnost při vyřizování žádostí subjektů údajů a při uplatňování jejich práv;
- poskytuje správci součinnost při plnění povinností podle čl. 32 až 36 GDPR, včetně posouzení dopadu a předchozí konzultace, pokud je součinnost potřebná;
- poskytuje správci informace potřebné k doložení plnění povinností a umožní informace a audity podle čl. 28 odst. 3 GDPR.
6. Oznámení porušení zabezpečení
Zpracovatel oznámí správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění. Oznámení zašle na kontaktní adresu správce, kterou má k dispozici, a poskytne dostupné informace potřebné pro další postup správce.
7. Předávání mimo EHP
Pokud při zpracování dochází k předávání osobních údajů mimo Evropský hospodářský prostor, uskuteční se na základě standardních smluvních doložek (SCC) nebo rámce EU–US Data Privacy Framework (DPF), pokud je pro dané předání dostupný.
8. Dílčí zpracovatelé
Zpracovatel využívá pro jednotlivé části služby tyto dílčí zpracovatele:
| Dílčí zpracovatel | Účel |
|---|---|
| Netcup GmbH | Hosting; server je v Německu v EU. |
| Resend | E-maily. |
| Volitelné přihlášení OAuth. | |
| Google, Mozilla, Apple | Poskytování Web Push služeb. |
| Stripe | Platby. |
9. Výmaz, vrácení a export údajů
Po skončení smluvního vztahu zpracovatel osobní údaje na žádost správce smaže nebo vrátí podle pokynu správce, pokud jejich další uchování nevyžaduje právní povinnost. Export dat ve formátu ZIP je k dispozici.
10. Technická a organizační opatření
Opatření používaná pro ochranu zpracovávaných údajů jsou uvedena v příloze č. 1 této smlouvy.
11. Rozhodné právo a účinnost
Tato smlouva se řídí právem České republiky. Smlouva nabývá účinnosti dne 12. 10. 2026.
Příloha č. 1 – Technická a organizační opatření
- Hesla jsou chráněna pomocí Argon2id.
- Přenos dat je chráněn pomocí HTTPS.
- Data jednotlivých firem jsou oddělena.
- Zálohy jsou pořizovány denně a jsou šifrované.
- Přístup k údajům mají jen oprávněné osoby.