v účetním portálu D&T solutions
Verze 1.0
uzavíraná podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679, obecné nařízení o ochraně osobních údajů (dále jen „GDPR“)
D&T solutions s.r.o.
se sídlem Padělky I 3982, 760 01 Zlín
IČO: 300 29 368
zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, oddíl C, vložka 153917
(dále jen „Dodavatel“)
a
zákazník uvedený v objednávce nebo v záznamu o potvrzení této smlouvy v portálu (název, IČO)
(dále jen „Odběratel“)
Dodavatel a Odběratel dále společně jen „smluvní strany“.
Tuto smlouvu uzavírají smluvní strany jako součást smlouvy o poskytování služeb účetního portálu (dále jen „hlavní smlouva“). Pojmy mají význam podle hlavní smlouvy a GDPR. Odběratel je při zpracování podle této smlouvy správcem osobních údajů, nebo zpracovatelem svých klientů podle odstavce 3.2, a Dodavatel je zpracovatelem. Účetní kanceláří se rozumí Odběratel, který v portálu zpracovává podklady nebo doklady svých klientů; přímým klientem Odběratel, který v něm zpracovává jen podklady a doklady vlastní firmy.
1.1 Dodavatel zpracovává pro Odběratele osobní údaje obsažené v podkladech a dokladech, které Odběratel nahraje do služeb portálu, výhradně za účelem poskytování služeb podle hlavní smlouvy a objednávky, a to:
1.2 Nad rámec odstavce 1.1 zpracovává Dodavatel údaje jen v rozsahu a za podmínek článku IX.
1.3 Údaje uživatelů Odběratele (účty, přihlášení, zabezpečení, potvrzení smluvních dokumentů, vyúčtování) zpracovává Dodavatel jako samostatný správce podle svých Zásad ochrany osobních údajů. Zpracovatelem pro Odběratele je u nich jen v rozsahu, v němž se jméno uživatele objevuje u dokladu v aplikaci Fakturasso (kdo doklad nahrál, schválil nebo exportoval).
1.4 Tato smlouva se uzavírá na dobu trvání hlavní smlouvy a trvá dále do vrácení nebo výmazu osobních údajů podle článku VIII. Skončí-li hlavní smlouva, zatímco pro aplikaci Fakturasso trvá samostatná smlouva o poskytování služby Fakturasso podle odstavce 6.3 hlavní smlouvy, trvá tato smlouva pro aplikaci Fakturasso dál, dokud tato samostatná smlouva trvá; zpracování podle ní se jinak řídí touto smlouvou v rozsahu, v jakém samostatná smlouva o poskytování služby Fakturasso neupravuje ochranu osobních údajů jinak. Pro aplikaci Fakturasso se v takovém případě „skončením hlavní smlouvy“ v ustanoveních, která na ně váží své lhůty a účinky (zejména odstavec 6.7, odstavce 8.3 a 8.4, výmaz testovacího prostředí podle odstavce 2.6 a bod 4.6 Přílohy), rozumí skončení této samostatné smlouvy o službě Fakturasso.
1.5 Má-li Odběratel pro aplikaci Fakturasso uzavřenou samostatnou smlouvu o zpracování osobních údajů pro Fakturasso, řídí se zpracování v aplikaci Fakturasso touto samostatnou smlouvou, dokud Odběratel neuzavře tuto smlouvu postupem podle hlavní smlouvy. Uzavřením této smlouvy ji tato smlouva nahrazuje. Oprávnění zapsaná do evidence podle samostatné smlouvy nebo podle Dohody o využití dat trvají a řídí se Přílohou této smlouvy.
2.1 Zpracování probíhá automaticky programem na serverech Dodavatele. Při převodech na míru se nepoužívá jazykový model ani jiná služba třetí strany, která by obsah podkladů vyhodnocovala. V aplikaci Fakturasso vytěžuje údaje z dokladů a navrhuje předkontaci jazykový model dalšího zpracovatele podle odstavce 6.2.
2.2 Zpracovávají se tyto kategorie subjektů údajů a osobních údajů:
2.3 Údaje o druhu nepřítomnosti podle odstavce 2.2 písm. b), mezi nimi o dočasné pracovní neschopnosti, karanténě a ošetřování člena rodiny, jsou údaji o zdravotním stavu (čl. 9 odst. 1 GDPR). Platí pro ně:
2.4 Zvláštní kategorie osobních údajů (čl. 9 GDPR) nejsou předmětem aplikace Fakturasso a Odběratel je do ní cíleně nenahrává. Vyskytne-li se takový údaj ojediněle v dokladu, zpracuje jej Dodavatel jen jako součást dokladu na pokyn Odběratele; za splnění podmínky podle čl. 9 odst. 2 GDPR odpovídá Odběratel.
2.5 Zkušební převod podle odstavců 2.4 a 5.2 hlavní smlouvy je zpracováním podle této smlouvy. Dodavatel jej na podkladech s osobními údaji provede až po jejím uzavření.
2.6 Nové verze portálu ověřuje Dodavatel v testovacím prostředí na odděleném serveru. Podklady a výstupy převodů na míru se do něj nekopírují; pro převody tam Dodavatel používá vymyšlená data. Pro aplikaci Fakturasso dává Odběratel Dodavateli pokyn, aby nové verze před nasazením ověřoval v testovacím prostředí nad údaji Odběratele. Platí pro ně stejná opatření v aplikaci jako v provozu (oddělení zákazníků, šifrované spojení, přístup jen oprávněných osob, protokolování, šifrované zálohy); nepoužívají se k jinému účelu a nesdílejí se s jinými zákazníky. Odběratel může tento pokyn kdykoli písemně odvolat; Dodavatel pak jeho údaje z testovacího prostředí do pěti pracovních dnů vymaže. Testovací sada podle bodu 4 Přílohy není testovacím prostředím podle tohoto odstavce a řídí se Přílohou.
2.7 Další převody se do této smlouvy doplňují objednávkou, která uvede kategorie subjektů, kategorie údajů a lhůty výmazu.
3.1 Odběratel odpovídá za zákonnost zpracování a jeho právní základ, za informování subjektů údajů podle čl. 13 a 14 GDPR, za obsah podkladů a dokladů, za to, že do služeb nahrává jen podklady, doklady a údaje potřebné k účelu podle odstavce 1.1, a za pokyny, které Dodavateli dává.
3.2 Zpracovává-li Odběratel údaje v podkladech nebo dokladech jako zpracovatel pro své klienty (účetní kancelář), prohlašuje, že má od nich povolení zapojit Dodavatele a další zpracovatele podle článku VI, včetně předání do třetí země podle odstavce 6.2, že je o tom informoval a že jim za to odpovídá. Pokyny Odběratele podle této smlouvy se považují za pokyny jeho klientů. V takovém případě:
3.3 Přímý klient zpracovává v aplikaci Fakturasso jen doklady vlastní firmy a doklady jiných osob jako jejich zpracovatel do ní nenahrává. Aplikace to vynucuje tím, že jeho uživatelé mají přiřazenou jen jeho firmu.
3.4 Odběratel zajistí, aby jeho uživatelé byli seznámeni se Zásadami ochrany osobních údajů Dodavatele a užívali služby jen v rozsahu svého oprávnění.
3.5 Kontaktní osobu pro ochranu osobních údajů a pro oznámení podle článku V uvede Odběratel v objednávce nebo ji sdělí e-mailem; její změnu oznámí Dodavateli bez zbytečného odkladu.
3.6 Odběratel má právo na informace a audit podle odstavce 4.1 písm. h), na námitku proti dalšímu zpracovateli podle odstavce 6.4, na pokyn k vrácení nebo výmazu údajů podle článku VIII a na součinnost podle odstavce 4.1 písm. e) a f).
4.1 Dodavatel:
5.1 Porušení zabezpečení osobních údajů oznámí Dodavatel Odběrateli bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, e-mailem kontaktní osobě. Oznámení obsahuje:
Co není v době oznámení známo, doplní Dodavatel bez zbytečného odkladu. Je-li to k omezení dopadů potřebné, pozastaví Dodavatel souběžně s oznámením dotčený převod.
5.2 Dodavatel porušení dokumentuje a poskytne Odběrateli součinnost při ohlášení dozorovému úřadu a oznámení subjektům údajů. Míru rizika hodnotí Odběratel.
6.1 Odběratel dává Dodavateli obecné povolení zapojit další zpracovatele. Ke dni uzavření této smlouvy jsou zapojeni:
Seznamy subdodavatelů dalších zpracovatelů: Hetzner — hetzner.com/AV/subunternehmer.pdf; OpenAI (jen aplikace Fakturasso) — openai.com/policies/sub-processor-list.
6.2 Pro aplikaci Fakturasso dává Odběratel Dodavateli pokyn a povolení k tomu, aby vytěžení dokladu a návrh předkontace prováděl jazykový model společnosti OpenAI. Smluvní stranou Dodavatele je OpenAI Ireland Ltd podle Data Processing Addendum OpenAI; údaje se zpracovávají ve Spojených státech amerických u společností skupiny OpenAI na základě standardních smluvních doložek Komise (čl. 46 odst. 2 písm. c) GDPR), které jsou jeho součástí. Při každém vytěžení se odesílá text dokladu a obrázky jeho stran a s nimi údaje téže firmy potřebné k návrhu předkontace: název a IČO firmy, číselník druhů účtování a předkontací a výtah z historie účtování (jména dodavatelů a popisy dříve zaúčtovaných dokladů s přiřazeným druhem). Uloží-li si Odběratel v aplikaci Fakturasso vlastní pravidlo pro párování dodavatele a druhu účtování, pošle se při jeho uložení jazykovému modelu jednorázově i text tohoto pravidla, který může jmenovat dodavatele nebo jeho IČO, spolu s číselníkem předkontací firmy a zkratkami členění DPH; obsah dokladů se při tom neposílá. S oprávněním podle bodu 4 Přílohy se k OpenAI předávají také zakrytá trénovací data k dotrénování modelu, za stejných záruk. OpenAI podle svých podmínek údaje z API nepoužívá k trénování modelů a uchovává je nejvýše 30 dnů pro dohled nad zneužitím. Dodavatel Odběrateli na žádost poskytne kopii Data Processing Addendum OpenAI a doklad o jeho přijetí. Podklady převodů na míru se OpenAI nepředávají.
6.3 E-maily portálu (oznámení, obnova hesla, kopie potvrzení smluvních dokumentů, potvrzovací kód k odeslání dávky do Pohody podle odstavce 6.6) odesílá Dodavatel prostřednictvím Seznam.cz, a.s., Praha, jako vlastní správce údajů uživatelů; obsah podkladů ani jednotlivých dokladů se v nich neposílá. Potvrzovací kód, kterým uživatel v aplikaci schvaluje odeslání dávky dokladů do Pohody vyvolané jeho AI asistentem, nese jen kód, počet dokladů, součet částek a období vystavení dávky, bez IČO, názvu firmy nebo jiného údaje, podle kterého by bylo možné určit firmu nebo osobu — proto u žádného z těchto e-mailů není Seznam.cz, a.s. dalším zpracovatelem podle této smlouvy. Přihlášení přes Google, Microsoft nebo Seznam poskytují Google Ireland Limited, Microsoft Ireland Operations Limited a Seznam.cz, a.s.; Dodavatel od nich přijímá jen identifikátor a e-mail uživatele. U osobního účtu (Gmail, Seznam) jde o samostatného správce tohoto účtu; u pracovního nebo školního účtu (u Microsoftu jediný, který aplikace pouští, u Google i Workspace) je správcem účtu organizace uživatele a poskytovatel jí je zpracovatelem podle jejich vlastní smlouvy, mimo tuto smlouvu. V žádném z těchto případů nejde o dalšího zpracovatele Dodavatele podle této smlouvy.
6.4 O zamýšleném zapojení nebo nahrazení dalšího zpracovatele informuje Dodavatel Odběratele e-mailem nejméně 30 dnů předem; jde-li o změnu subdodavatele dalšího zpracovatele, o níž se Dodavatel dozví v kratší lhůtě, informuje Odběratele do tří pracovních dnů od svého zjištění. Odběratel může do 14 dnů od informace vznést odůvodněnou námitku. Nedohodnou-li se smluvní strany do 30 dnů, může Odběratel dotčenou objednávku vypovědět ke dni, kdy změna nabývá účinnosti, bez sankce.
6.5 Dodavatel ukládá dalším zpracovatelům stejné povinnosti ochrany osobních údajů jako tato smlouva. Neplní-li další zpracovatel své povinnosti, odpovídá za ně Odběrateli Dodavatel, jako by je plnil sám, v mezích článku IX hlavní smlouvy (odstavec 10.5).
6.6 Odběratel může Dodavatele požádat o vydání tokenu, kterým nástroj zvolený Odběratelem (například asistent s umělou inteligencí nebo vlastní skript) čte údaje Odběratele v aplikaci Fakturasso rozhraním API nebo MCP. Žádost podává písemně, e-mailem z adresy kontaktní osoby, a uvede v ní:
Žádost je doloženým pokynem Odběratele ke zpřístupnění údajů tomuto příjemci, včetně předání do třetí země. Dodavatel ji uchová po dobu platnosti tokenu a 12 měsíců poté.
6.7 Příjemce podle odstavce 6.6 není dalším zpracovatelem Dodavatele. Odběratel odpovídá za výběr příjemce, za právní základ zpřístupnění, za smlouvu s příjemcem a za vhodné záruky podle kapitoly V GDPR, je-li příjemce nebo jeho infrastruktura mimo Evropskou unii nebo Evropský hospodářský prostor. Dodavatel odpovídá za to, že token zpřístupní jen údaje v rozsahu oprávnění uvedeného uživatele a jen ke čtení, že každé čtení zaznamená (bez hodnot z dokladů) a že token zruší na žádost Odběratele bez zbytečného odkladu, nejpozději následující pracovní den, a dále automaticky při změně hesla, vypnutí účtu nebo skončení hlavní smlouvy. Evidenci příjemců (nástroj, poskytovatel, země, datum vydání a zrušení tokenu) vede Dodavatel a Odběrateli ji poskytne na žádost.
6.8 Dodavatel Odběratele upozorňuje, že spotřebitelské verze asistentů s umělou inteligencí mohou podle podmínek svého poskytovatele používat obsah k trénování modelů a uchovávat jej po delší dobu, nezvolí-li uživatel jinak, a že poskytovatel u nich jedná jako samostatný správce. Pro údaje z dokladů Odběratel použije verzi s obchodními podmínkami a smlouvou o zpracování pro firemní nebo API použití, nebo odpovídající nastavení. Má-li Dodavatel za to, že žádost porušuje GDPR, Odběratele na to neprodleně upozorní a vydání tokenu do jeho vysvětlení pozastaví.
7.1 Pro všechny služby uplatňuje Dodavatel zejména tato opatření:
7.2 U převodů na míru dále:
7.3 U aplikace Fakturasso dále:
7.4 Změny, které by snížily úroveň zabezpečení, oznámí Dodavatel Odběrateli předem jako změnu této smlouvy.
8.1 U převodu bankovních výpisů se nahraný výpis neukládá: převod jej přečte v dočasné složce a hned po převodu smaže. Hotový výstup a výsledek převodu, tedy výsledek po výpisech a zprávy kontrol, vymaže Dodavatel nejpozději 90 dnů po převodu. Po dobu trvání hlavní smlouvy uchovává:
8.2 U převodu evidence docházky se nahraný podklad neukládá. Hotový výstup a výsledek převodu vymaže Dodavatel nejpozději 90 dnů po převodu. Párovací tabulku zaměstnanců a zkratek uchovává po dobu trvání hlavní smlouvy.
8.3 V aplikaci Fakturasso vymaže Dodavatel doklady a jejich PDF 90 dnů po jejich prvním exportu do účetního programu Odběratele, doklady, které exportovány nebyly, 180 dnů po nahrání a soubory, z nichž doklad nevznikl, 90 dnů po nahrání; smazání jednotlivého dokladu může Odběratel v aplikaci odložit. Tyto lhůty platí ode dne, kdy Dodavatel Odběrateli písemně oznámí zapnutí automatického mazání; do tohoto dne zůstávají doklady v aplikaci, dokud je Odběratel sám nesmaže nebo dokud neskončí hlavní smlouva. Dodavatel oznámí zapnutí nejméně 30 dnů předem. Nejméně 14 dnů před smazáním zobrazí v aplikaci seznam dokladů, kterých se smazání dotkne, a umožní jejich hromadné stažení. Nad rámec těchto lhůt smí Dodavatel PDF dokladu smazat dříve v rámci údržby úložiště; nesmaže PDF dokladu, který čeká na schválení, ani PDF dokladu vyřízeného v retenční lhůtě podle schvalovacího postupu — vytěžené údaje dokladu tím nemaže, zmizí jen náhled PDF. Evidenci pro kontrolu duplicitního zaúčtování (variabilní symbol, datum, částka, IČO protistrany a otisk nahraného souboru (SHA-256), bez dalšího obsahu dokladu) vede Dodavatel odděleně od dokladu po dobu 365 dnů od zápisu, i když je doklad už smazán nebo hlavní smlouva skončila. Testovací a trénovací data mají lhůty podle bodů 4.4 až 4.6 Přílohy.
8.4 Po skončení hlavní smlouvy nebo objednávky Dodavatel osobní údaje dotčené služby podle volby Odběratele vrátí (u aplikace Fakturasso exportem), nebo vymaže, nejpozději do 90 dnů, nestanoví-li právní předpis jinak nebo tato smlouva jinak v odstavcích 8.1 až 8.3. Údaje podle odstavce 8.1 písm. b) a 8.2 věty třetí (evidence účtů, tabulky předkontací a párovací tabulky převodů na míru) Dodavatel maže až se skončením hlavní smlouvy, a to nejpozději do 90 dnů po jejím skončení; vyžaduje-li to aplikace, ve které jsou uložena, žádost o smazání opakuje, dokud smazání nepotvrdí. Evidence pro kontrolu duplicitního zaúčtování podle odstavce 8.3 se maže podle vlastní lhůty 365 dnů, i po skončení hlavní smlouvy. Údaje Odběratele v testovacím prostředí podle odstavce 2.6 vymaže nejpozději 30 dnů po skončení hlavní smlouvy. Zálohy se přepíší v rámci běžné rotace, nejpozději do šesti měsíců; obrazy disku produkčního serveru do sedmi dnů.
8.5 Služby jsou průchozí nástroj, nikoli úložiště ani archiv účetních, daňových či mzdových záznamů podle § 31 zákona č. 563/1991 Sb., o účetnictví, a § 35 a § 35a zákona č. 235/2004 Sb., o dani z přidané hodnoty. Povinnosti uchovávat záznamy podle těchto zákonů a podle pracovněprávních předpisů, včetně evidence pracovní doby a mzdových listů, plní Odběratel, popřípadě jeho klient, ve svém programu; Dodavatel je nepřebírá. Výstupy a PDF dokladů, které potřebuje uchovat, si Odběratel stáhne ve lhůtách podle odstavců 8.1 až 8.3. Export z aplikace Fakturasso stažením souboru přenáší údaje dokladů i jejich PDF; odeslání přímo do programu Pohoda (mServer) přenáší jen údaje dokladů.
9.1 Dodavatel vede o Odběrateli za každý den tyto provozní počty:
Odběratel dává Dodavateli pokyn tyto počty z podkladů a dokladů odvozovat. Provozní počty neobsahují obsah podkladů ani dokladů, jména, osobní čísla, čísla účtů, názvy ani IČO protistran ani částky. Jsou údaji Dodavatele jako správce údajů o zákaznících (Zásady ochrany osobních údajů, oddíl 3) a slouží k provozu, vyúčtování, hlídání nákladů, zabezpečení a rozvoji služeb. Dodavatel je uchovává 10 let, jde-li o podklad vyúčtování, ostatní 3 roky, a zveřejňuje je jen v souhrnu za více zákazníků. Jinak než k vedení provozních počtů Dodavatel podklady převodů na míru nad rámec odstavce 1.1 nezpracovává.
9.2 Nad rámec odstavců 1.1 a 9.1 zpracovává Dodavatel údaje Odběratele a jeho klientů z aplikace Fakturasso jen v rozsahu a za podmínek Přílohy (Dohoda o využití dat) a jen na základě oprávnění v ní uvedených. Bez platného oprávnění žádné údaje podle bodů 3 až 5 Přílohy neshromažďuje.
9.3 U účetní kanceláře je Příloha součástí této smlouvy a platí její body 1 až 4 a 6; bod 5 se nepoužije a z dokladů účetní kanceláře a jejích klientů se souhrny nákladů nesbírají. U přímého klienta platí Příloha jen tehdy a v rozsahu, v jakém ji Odběratel samostatně podepíše (Dohoda o využití dat — přímý klient); podpis je dobrovolný a jeho odmítnutí ani pozdější odvolání nemá vliv na poskytování služeb ani na cenu.
9.4 Pro zpracování podle bodů 3 až 5 Přílohy je Dodavatel v rozsahu, v němž by v datech zůstaly osobní údaje, správcem (čl. 28 odst. 10 GDPR); za škodu z takového zpracování odpovídá Odběrateli v mezích článku IX hlavní smlouvy (odstavec 10.5), stejně jako by je zpracovával podle pokynů Odběratele. Odběratel pro takové zpracování nedává pokyny nad rámec Přílohy. Výstupy, které neobsahují osobní údaje ani údaje přiřaditelné konkrétnímu klientovi nebo Odběrateli, nejsou údaji Odběratele a článek VIII se na ně nevztahuje.
9.5 Přílohu lze měnit jen novou verzí, která vyžaduje nové oprávnění Odběratele; postup podle článku XIII hlavní smlouvy se na ni nepoužije. Odvolání oprávnění se řídí Přílohou.
10.1 Tato smlouva se řídí právním řádem České republiky. Ve věcech neupravených platí hlavní smlouva.
10.2 Stanoví-li tato smlouva jinak než hlavní smlouva, má ve věcech ochrany osobních údajů přednost tato smlouva.
10.3 Tuto smlouvu lze měnit novou verzí postupem podle hlavní smlouvy; Přílohu jen podle odstavce 9.5. Zapojení dalších zpracovatelů upravuje článek VI.
10.4 Přílohou této smlouvy je Dohoda o využití dat v aplikaci Fakturasso; jejím doplňkem je vzor oprávnění klienta účetní kanceláře.
10.5 Rozsah náhrady škody mezi smluvními stranami upravuje článek IX hlavní smlouvy, a to i pro škodu vzniklou porušením povinností podle této smlouvy, včetně škody způsobené tím, že další zpracovatel neplnil povinnosti podle odstavce 6.5, nebo zpracováním podle odstavce 9.4. Odpovědnost Dodavatele vůči subjektům údajů podle čl. 82 GDPR tím není dotčena.
Příloha se týká jen dokladů v aplikaci Fakturasso; podklady převodů na míru se podle ní nezpracovávají. Je zároveň dodatkem hlavní smlouvy: kryje i údaje právnických osob, na které se tato smlouva jinak nevztahuje. Každá nová verze vyžaduje nové oprávnění. U účetní kanceláře platí body 1 až 4 a 6; bod 5 se nepoužije. U přímého klienta platí, jen pokud ji Odběratel podepíše jako samostatnou dohodu (Dohoda o využití dat — přímý klient), a jen pro oprávnění, která v ní zaškrtne; „klientem“ je v ní pak sám Odběratel a ustanovení o oprávnění klienta (body 4.3 a 6.3) se splní jeho podpisem.
1. Pojmy. „Údaje“ jsou všechna data, která Odběratel nebo jeho klienti do aplikace Fakturasso vloží nebo která v ní vzniknou (doklady, PDF, vytěžené a opravené hodnoty, předkontace, číselníky), bez ohledu na to, zda jsou osobními údaji. „Klient“ je firma, jejíž doklady Odběratel v aplikaci zpracovává. „Anonymní výstup“ jsou údaje, z nichž s prostředky, o nichž lze rozumně předpokládat, že je někdo použije, nelze určit žádnou fyzickou osobu ani žádného klienta nebo Odběratele. „Oprávnění“ je souhlas Odběratele, popřípadě i klienta, podle této přílohy; není souhlasem subjektu údajů podle čl. 4 bodu 11 GDPR.
2. Provozní údaje o Odběrateli jako zákazníkovi (bez oprávnění). Upravuje je odstavec 9.1 smlouvy.
3. Statistika přesnosti vytěžování (oprávnění A — Odběratel). Odběratel dává Dodavateli pokyn a oprávnění, aby z dokladů odvozoval za Odběratele a den čísla o přesnosti vytěžování: kolikrát bylo pole vytěženo a kolikrát je uživatel opravil, a počty nevytěžených dokladů podle důvodu z pevného seznamu. Dodavatel při tom neukládá obsah dokladů, hodnoty polí, názvy ani IČO stran dokladu ani částky; výsledek je anonymní výstup a Dodavatel jej užívá k rozvoji aplikace Fakturasso a ke srovnání pro Odběratele. Odběratel prohlašuje, že jeho smlouvy s klienty vytváření takových anonymních statistik nebrání.
4. Testovací a trénovací data (oprávnění B — Odběratel a klient).
4.1 Rozsah: text dokladu a vytěžené i opravené hodnoty, typ dokladu, druh účtování nebo předkontace a členění DPH; u testovací sady také PDF dokladu. Před uložením Dodavatel zakryje údaje fyzických osob: jména a příjmení včetně jmen v názvu podnikající fyzické osoby, IČO a DIČ fyzických osob, rodná čísla, adresy, čísla účtů, e-maily, telefony, podpisy a jména ve volném textu. Postup zakrytí Dodavatel dokumentuje a testuje; verzi postupu zapisuje ke každé verzi archivu.
4.2 Účel: vývoj a ověřování vytěžování a předkontace v aplikaci Fakturasso, včetně dotrénování jazykového modelu u dalšího zpracovatele podle odstavce 6.1 písm. b) smlouvy (OpenAI Ireland Ltd; zpracování v USA podle odstavce 6.2 smlouvy). Data se nepoužijí k jinému účelu, nepředají jinému příjemci a neslouží k žádnému rozhodnutí o klientovi nebo o fyzické osobě.
4.3 Oprávnění klienta: u účetní kanceláře použije Dodavatel jen doklady klientů, jejichž písemné oprávnění ve znění vzoru připojeného k této příloze mu Odběratel předložil — podepsané, nebo potvrzené e-mailem z adresy klienta — a které Dodavatel zapsal do evidence: kdo za klienta oprávnění udělil, kdy, v jaké formě a podle jakého dokumentu. Dodavatel je zapíše do pěti pracovních dnů od doručení, zápis Odběrateli potvrdí a kopii uchová po dobu platnosti oprávnění a 3 roky poté. Odběratel oprávnění v aplikaci vidí, ale nemění je. Odběratel odpovídá za to, že oprávnění udělila osoba oprávněná za klienta jednat. U přímého klienta uděluje oprávnění Odběratel sám podpisem Dohody o využití dat; zapisuje se stejně. Je-li Odběratel daňovým poradcem nebo jinou osobou vázanou zákonnou mlčenlivostí, obsahuje oprávnění klienta zproštění mlčenlivosti v rozsahu této přílohy; Odběratel může kdykoli bez udání důvodu jednotlivé doklady nebo klienta z použití vyřadit, má-li za to, že to vyžaduje zájem klienta.
4.4 Uložení: verzovaný archiv šifrovaný klíčem, k němuž má přístup jen jednatel Dodavatele, mimo produkční server, v Evropské unii (Hetzner Online GmbH, Storage Box, Německo); nejvýše tři poslední verze; testovací sada do nahrazení novou. Přístup a každé použití se zaznamenávají.
4.5 Odvolání: Odběratel i klient mohou oprávnění kdykoli odvolat e-mailem na podpora@dtsol.cz, klient účetní kanceláře i jejím prostřednictvím. Odvolání nevyžaduje podpis ani formulář, je tedy snazší než udělení, a účinky má dnem doručení. Dodavatel je zapíše do evidence a potvrdí odesílateli, u klienta účetní kanceláře i Odběrateli, nejpozději do pěti pracovních dnů. Doklady klienta Dodavatel vyřadí z další verze archivu a testovací sady, nejpozději do 90 dnů, a trénovací soubory u poskytovatele modelu smaže do 30 dnů. Model natrénovaný před odvoláním se odvoláním nemění; Dodavatel jej nejpozději do 12 měsíců nahradí verzí bez vyřazených dokladů a starou verzi smaže, včetně u poskytovatele modelu. Model neobsahuje osobní údaje (bod 4.1); nemůže-li to Dodavatel u některé verze doložit, nepoužije ji.
4.6 Skončení hlavní smlouvy má účinky odvolání, ledaže oprávnění klienta (u účetní kanceláře podle vzoru oprávnění klienta, u přímého klienta Dohoda o využití dat) ponechání dokladů v archivu i poté výslovně dovoluje.
5. Souhrny nákladů (oprávnění C — jen přímý klient). U účetní kanceláře se bod 5 nepoužije: z dokladů účetních kanceláří a jejich klientů se souhrny nesbírají.
5.1 Pracovní údaje: za každý exportovaný přijatý doklad klienta zapisuje Dodavatel do oddělené pracovní tabulky interní číslo klienta a Odběratele, měsíc, kategorii nákladu, částku bez DPH, splatnost ve dnech a obor (CZ-NACE), kraj a velikostní kategorii klienta podle veřejného registru. Nezapisuje dodavatele ani nic, z čeho by bylo možné určit, kdo komu fakturuje. Pracovní řádky čte jen měsíční uzávěrka, která je po zpracování smaže; žádný řádek není uložen déle než 45 dnů. V první fázi se zapisují jen doklady klientů, kteří jsou právnickými osobami.
5.2 Souhrny: uzávěrka sečte pracovní řádky za klienta a kategorii a zapíše za každou buňku obor × kraj × velikost × kategorie × měsíc jen počet klientů, počet zákazníků Dodavatele, zaokrouhlený součet, medián a kvartily; jednotlivé hodnoty klientů se nikde neuchovávají. Buňka se vydá jen z nejméně 10 klientů nejméně 3 zákazníků Dodavatele a jen tehdy, když žádný klient netvoří více než 30 % součtu a dva největší dohromady více než 50 %; jinak se nevydá a vydat jde jen souhrn vyšší úrovně (obor, kraj, velikost nebo kategorie), který ji obsahuje. Buňky, z nichž by šla jiná buňka dopočítat rozdílem, se nevydávají. Medián a kvartily se počítají z několika klientů kolem dané pozice, ne z jediného.
5.3 Užití: srovnání nákladů klientů s oborem v aplikaci (jen medián a kvartily) a poskytování souhrnů třetím stranám (banky, pojišťovny, výzkum trhu, veřejná správa), i za úplatu. Třetí strana dostane jen buňky podle bodu 5.2, a z nich jen počet klientů a medián s kvartily, ne součet; zaváže se nepokoušet se o určení klienta nebo Odběratele, nespojovat souhrny s jinými daty za tímto účelem a nešířit je dál bez souhlasu Dodavatele. Každé vydání Dodavatel zaznamená (komu, co, kdy, podle jaké verze pravidel). Dodavatel nikdy nepředá údaj o jednotlivém klientovi nebo Odběrateli ani vazbu mezi dodavatelem a odběratelem.
5.4 Oprávnění: podpisem Dohody o využití dat se zaškrtnutým oprávněním C, zapsaným podle bodu 4.3. Odvolání podle bodu 4.5 maže pracovní řádky klienta do pěti pracovních dnů; souhrny už vzniklé zůstávají, protože neobsahují údaje o klientovi.
5.5 Je-li klient podnikající fyzickou osobou, jsou jeho pracovní řádky osobními údaji; Dodavatel je zpracovává na základě oprávněného zájmu (čl. 6 odst. 1 písm. f) GDPR) jen po dobu podle bodu 5.1, informuje o tom v Zásadách ochrany osobních údajů a klient může vznést námitku (čl. 21 GDPR) s účinky odvolání. Platí až od fáze, kdy se podle bodu 5.1 zapisují i doklady fyzických osob.
6. Společná ustanovení.
6.1 Oprávnění uděluje za Odběratele kontaktní osoba nebo jiná osoba oprávněná za Odběratele jednat, podpisem nebo e-mailem z adresy kontaktní osoby; oprávnění podle bodu 3 uděluje účetní kancelář uzavřením této smlouvy. Do evidence oprávnění zapisuje Dodavatel podle podepsaného nebo e-mailem potvrzeného dokumentu, popřípadě podle záznamu o uzavření smlouvy: druh oprávnění, firmu, které se týká, verzi této přílohy, kdo, kdy a v jaké formě oprávnění udělil nebo odvolal, označení dokumentu a pracovníka Dodavatele, který zápis provedl. Evidence se jen doplňuje (udělení i odvolání je záznam, platí poslední) a uchovává se 3 roky po odvolání nebo skončení smlouvy. Odběratel stav svých oprávnění vidí v aplikaci.
6.2 Dodavatel na žádost Odběratele doloží postup zakrytí (bod 4.1), pravidla souhrnů (bod 5.2) a seznam typů příjemců souhrnů.
6.3 Dodavatel informuje fyzické osoby o zpracování podle bodů 4 a 5 v Zásadách ochrany osobních údajů; účetní kancelář zajistí, aby její klienti byli s touto přílohou seznámeni před udělením oprávnění.
6.4 Odběratel nemá nárok na podíl z úplaty za souhrny.
Oprávnění k využití dokladů v aplikaci Fakturasso
Klient: (název nebo jméno), IČO (doplnit), zastoupený (jméno, funkce). Účetní kancelář: (název), IČO (doplnit). Poskytovatel služby: D&T solutions s.r.o., IČO 300 29 368, Zlín.
Klient uděluje účetní kanceláři a poskytovateli oprávnění, aby doklady klienta zpracované v aplikaci Fakturasso byly použity (zaškrtněte):
Oprávnění je dobrovolné: bez něj účetní kancelář i poskytovatel zpracovávají doklady klienta dál, jen se nepoužijí k testování ani trénování. Do anonymních souhrnů nákladů pro třetí strany se doklady klientů účetních kanceláří nezahrnují.
Klient potvrzuje, že se seznámil s Dohodou o využití dat verze 1 (přílohou smlouvy o zpracování osobních údajů v účetním portálu, přiložena), že použití dokladů dovoluje i ve vztahu ke svým dodavatelům, s výjimkou dokladů, u nichž ho váže dohoda o mlčenlivosti a které kanceláři označí, a že oprávnění může kdykoli odvolat e-mailem účetní kanceláři nebo na podpora@dtsol.cz; odvolání má účinky dnem doručení a podle bodu 4.5 Dohody (doklady se vyřadí z další verze archivu, už natrénovaný model se nahradí do 12 měsíců).
Je-li účetní kancelář daňovým poradcem, auditorem nebo jinou osobou vázanou zákonnou mlčenlivostí, zprošťuje ji klient tímto prohlášením mlčenlivosti v rozsahu tohoto oprávnění (§ 6 odst. 9 zákona č. 523/1992 Sb.); kancelář může doklad z použití vyřadit, má-li za to, že to vyžaduje zájem klienta.
Je-li klient podnikající fyzickou osobou: bere na vědomí, že jeho jméno, IČO, DIČ, adresa a účet se před použitím k trénování zakrývají, že zbytkové údaje, které by po zakrytí zůstaly, poskytovatel zpracovává na základě oprávněného zájmu na kvalitě služby a že může vznést námitku (podpora@dtsol.cz); podrobnosti v Zásadách ochrany osobních údajů, oddíl 8.
Datum, jméno a podpis (nebo e-mailové potvrzení z adresy klienta). Účetní kancelář předá oprávnění poskytovateli (podpora@dtsol.cz), který je zapíše do evidence a zápis potvrdí.