Smlouva o zpracování osobních údajů

Návrh k právní kontrole — verze 2026-10 (neplatné do schválení)

1. Strany a uzavření smlouvy

1.1 Správce: partner programu Tyreto Gang, tedy podnikatel, který přijal Podmínky programu Tyreto Gang (dále „partner“).

1.2 Zpracovatel: GPD a.s., se sídlem Předmostí 1860/6, Děčín V-Rozbělesy, 405 02 Děčín, IČO 25031881, zapsaná v obchodním rejstříku vedeném Krajským soudem v Ústí nad Labem pod sp. zn. B 1625 (dále „GPD“).

1.3 Tato smlouva se uzavírá podle čl. 28 nařízení (EU) 2016/679 (dále „GDPR“) jedním souhlasem spolu s podmínkami programu, při odeslání přihlášky do programu.

2. Předmět

2.1 GPD pro partnera zpracovává osobní údaje, které partner nebo jeho členové zapíší do aplikace Tyreto Gang o vlastních zákaznících partnera:

• vlastní rezervace partnera (zákazníci, kteří si termín nedomluvili přes Tyreto);
• sady pneumatik vlastních zákazníků v úschově a záznamy k nim (měření dezénu, fotografie, uskladnění a vydání).

3. Na co se smlouva nevztahuje

3.1 Rezervace z Tyreta: údaje zákazníků, kteří si přezutí objednali na tyreto.cz nebo tyreto.sk, a záznamy o pneumatikách a úschově k těmto rezervacím, se touto smlouvou neřídí. GPD a partner jsou jejich samostatnými správci: GPD pro objednávku, zákaznický účet a bezpečnostní upozornění, partner pro provedení přezutí (podmínky programu, článek 14).

3.2 Sada vlastního zákazníka, kterou si zákazník sám přidá do svého účtu na Tyretu pomocí kódu ze štítku a SPZ: od přidání je GPD samostatným správcem údajů o této sadě (provozovna, stav, sezóna, rozměr, značka a model, dezén, stáří), včetně těch, které partner zapíše později (měření dezénu, vydání). Na žádost zákazníka mu je ukazuje v účtu a podle nich mu může poslat e-mail, že je čas na nové pneumatiky, dal-li k tomu zákazník souhlas, nebo nakoupil-li na Tyretu a zasílání neodmítl. Jméno a telefon zapsané partnerem se v účtu nezobrazují a dál se řídí touto smlouvou. Propojení může partner kdykoli zrušit; sada pak v účtu zákazníka není a e-maily k ní nechodí.

3.3 Údaje o partnerovi a jeho členech zpracovává GPD jako správce podle podmínek programu.

4. Doba trvání

4.1 Smlouva platí po dobu účasti partnera v programu. Po jejím skončení trvá, dokud GPD údaje podle článku 10 nesmaže.

5. Povaha a účel zpracování

5.1 GPD údaje ukládá, uspořádává, zobrazuje členům partnera v aplikaci, umožňuje v nich vyhledávat (jméno, SPZ, telefon), tiskne z nich štítky, exportuje je, opravuje a maže, vše podle úkonů partnera v aplikaci.

5.2 Účelem je umožnit partnerovi vést jeho vlastní rezervace a úschovu pneumatik.

5.3 GPD údaje vlastních zákazníků partnera nepoužije pro vlastní účely: nekontaktuje je, neposílá jim zprávy a nevyhodnocuje je pro sebe. Výjimkou je jen sada, kterou si zákazník sám přidá do svého účtu: s jejími údaji, i s těmi zapsanými později, nakládá GPD jako správce podle bodu 3.2, včetně e-mailu, že je čas na nové pneumatiky.

6. Subjekty a kategorie údajů

6.1 Subjekty údajů: vlastní zákazníci partnera, tj. osoby, pro které partner provádí práce nebo uschovává pneumatiky, a řidiči nebo provozovatelé jejich vozidel.

6.2 Kategorie údajů:

• jméno a telefon;
• registrační značka (SPZ), popis a druh vozidla;
• termín, stání a poznámky k rezervaci;
• údaje o pneumatikách: značka, model, rozměr, sezóna, rok výroby (DOT), hloubka dezénu po kolech, počet kol, s disky nebo bez;
• údaje o úschově: místo uložení, stav, poznámka o poškození, data uskladnění a vydání, kód štítku;
• fotografie pneumatik a jejich stavu (mohou zachytit i vozidlo nebo jeho SPZ).

6.3 Partner do aplikace nezapisuje zvláštní kategorie osobních údajů (čl. 9 GDPR) ani údaje, které ke službě nepotřebuje.

7. Pokyny partnera

7.1 GPD zpracovává údaje jen na doložené pokyny partnera. Pokyny jsou tato smlouva, podmínky programu a úkony partnera a jeho členů v aplikaci (zápis, úprava, výmaz, export, tisk štítků).

7.2 Ukládá-li GPD jiné zpracování právo Evropské unie nebo členského státu, informuje o tom partnera předem, ledaže to tento právní předpis zakazuje.

7.3 Považuje-li GPD pokyn za porušení GDPR nebo jiného předpisu o ochraně údajů, upozorní na to partnera.

8. Povinnosti GPD

8.1 GPD zajistí, aby se osoby oprávněné zpracovávat údaje zavázaly k mlčenlivosti nebo jí byly vázány ze zákona.

8.2 GPD přijme opatření podle čl. 32 GDPR; jsou popsána v článku 9.

8.3 Další zpracovatele zapojuje GPD jen podle článku 11.

8.4 GPD partnerovi pomáhá plnit povinnosti vůči subjektům údajů: aplikace umožňuje údaje vyhledat, opravit, smazat a exportovat; s ostatním GPD pomůže na žádost partnera.

8.5 GPD partnerovi pomáhá plnit povinnosti podle čl. 32 až 36 GDPR s ohledem na povahu zpracování a informace, které má k dispozici.

8.6 Zjistí-li GPD porušení zabezpečení osobních údajů, oznámí ho partnerovi bez zbytečného odkladu, s informacemi podle čl. 33 odst. 3 GDPR v rozsahu, v jakém je má.

8.7 GPD vede záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR.

9. Technická a organizační opatření

• Přístup mají jen členové partnera podle své role; členství se ověřuje při každém požadavku a odebraný člen ztrácí přístup okamžitě.
• Zařízení v dílně má přístup jen k jedné provozovně a jen v roli mechanika; každý úkon se zaznamená se jménem člena, kterého obsluha zařízení zvolí.
• Vlastník nebo správce může v aplikaci odhlásit všechna zařízení.
• Přihlašovací kódy a odkazy jsou jednorázové nebo časově omezené, ukládají se jen jako kryptografické otisky, mají omezený počet pokusů a četnost požadavků je omezena.
• Tajné části odkazů jsou jen za znakem # adresy, takže se nedostanou na server ani do záznamů; stránky s takovými odkazy nenačítají měřicí ani reklamní skripty třetích stran.
• Údaje jedné provozovny nejsou dostupné jiné provozovně; vyhledávání podle SPZ a úschova jsou omezeny na vlastní provozovnu.
• Fotografie úschovy jsou uloženy mimo veřejně dostupné úložiště, pod náhodnými názvy a bez metadat polohy a zpřístupní se jen po ověření členství.
• Přenos dat je šifrovaný (HTTPS).
• Export je chráněn proti vložení vzorců do tabulkových programů.
• Změny rezervací a záznamů se zaznamenávají do historie.
• Pracovníci GPD mají přístup jen v rozsahu potřebném pro provoz a podporu programu.

10. Výmaz a vrácení údajů

10.1 Během účasti může partner údaje kdykoli smazat. Jinak GPD smaže vlastní rezervace 24 měsíců po termínu a osobní údaje záznamů o úschově 24 měsíců od posledního záznamu u sady, která už v úschově není (vydaná, vrácená na vůz nebo zlikvidovaná); fotografie se mažou spolu s nimi.

10.2 Po skončení účasti si partner může po dobu 30 dnů stáhnout export (soubory CSV: úschova, měření dezénu, vlastní rezervace, vlastní zákazníci). Tím GPD údaje partnerovi vrací. Po uplynutí této lhůty GPD osobní údaje vlastních zákazníků partnera smaže, ledaže jejich uložení vyžaduje právní předpis.

11. Další zpracovatelé

11.1 Partner uděluje GPD obecné povolení zapojit další zpracovatele. Ke dni této verze jsou to:

• hosting a provoz serverů: [[HOSTING — název, sídlo, místo zpracování]];
• síť pro doručování obsahu a ochranu webu, přes kterou procházejí požadavky na weby Tyreta a do aplikace: [[CDN A OCHRANA WEBU — název, sídlo, místo zpracování]];
• doručování e-mailů: [[E-MAILOVÉ DORUČOVÁNÍ — název, sídlo, místo zpracování]];
• rozesílání SMS: [[SMS BRÁNA — název, sídlo, místo zpracování]].

11.2 Zamýšlenou změnu dalších zpracovatelů oznámí GPD partnerovi e-mailem nejméně 15 dnů předem jako změnu této smlouvy. Partner může vznést námitku; nedohodnou-li se, může partner účast v programu ukončit bez poplatku.

11.3 GPD uloží dalším zpracovatelům stejné povinnosti ochrany údajů, jaké má podle této smlouvy, a odpovídá partnerovi za jejich plnění.

11.4 Předat údaje mimo Evropský hospodářský prostor lze jen za podmínek kapitoly V GDPR.

12. Informace a audit

12.1 GPD partnerovi poskytne informace potřebné k doložení plnění této smlouvy.

12.2 GPD umožní audit nebo kontrolu, kterou provede partner nebo jím pověřený auditor vázaný mlčenlivostí, po oznámení nejméně 30 dnů předem a nejvýše jednou za rok, ledaže došlo k porušení zabezpečení. Audit nesmí ohrozit údaje jiných partnerů; jeho náklady nese partner.

13. Povinnosti partnera

13.1 Partner odpovídá za to, že má pro zpracování údajů svých zákazníků právní základ a že je o zpracování informoval.

13.2 Partner zapisuje jen přesné a potřebné údaje a vyřizuje žádosti svých zákazníků, k čemuž mu slouží nástroje aplikace.

14. Odměna a odpovědnost

14.1 GPD zpracovává údaje bezúplatně jako součást bezplatného programu.

14.2 Odpovědnost stran se řídí čl. 82 GDPR.

15. Závěrečná ustanovení

15.1 Smlouva se řídí českým právem. Mění se stejným postupem jako podmínky programu (oznámení nejméně 15 dnů předem).

15.2 V otázkách zpracování osobních údajů vlastních zákazníků partnera má tato smlouva přednost před podmínkami programu.

15.3 Smlouva je vyhotovena v češtině a slovenštině. V případě rozporu má přednost česká verze.