Platné a účinné od 19. 9. 2026 · Provozovatel: V+M Partners s.r.o., IČO 29740894
Tato smlouva o zpracování osobních údajů (dále jen „smlouva“) je uzavřena podle čl. 28 nařízení (EU) 2016/679 (GDPR) a je součástí obchodních podmínek služby Účetio. Uzavírá se současně se smlouvou o užívání služby.
1. Smluvní strany a jejich role
Zpracovatel: V+M Partners s.r.o., IČO 29740894, se sídlem Kurzova 2222/16, Stodůlky, 155 00 Praha 5, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 451658 (dále jen „zpracovatel“).
Správce: zákazník služby Účetio (dále jen „správce“).
Je-li zákazníkem účetní kancelář, která sama zpracovává údaje svých klientů jako zpracovatel, je V+M Partners s.r.o. jejím dalším zpracovatelem. Kancelář odpovídá za to, že k tomu má povolení svých klientů (čl. 28 odst. 2 GDPR). Povinnosti z této smlouvy platí přiměřeně.
U klientů, kterým zpracovatel zároveň vede účetnictví, doplňuje tuto smlouvu smlouva o vedení účetnictví. V případě rozporu má přednost ta z nich, která poskytuje osobním údajům vyšší ochranu.
2. Předmět, povaha a účel zpracování
Předmět a účel: provoz fakturačního a účetního portálu pro správce, tj. vystavování a odesílání faktur, evidence přijatých dokladů, párování plateb, příprava podkladů k DPH, výpočet daně a pojistného, zpracování mezd, archivace dokladů, export do účetních programů a další funkce služby.
Doba: po dobu trvání smlouvy o užívání služby a do výmazu dat podle čl. 7.
3. Kategorie subjektů a osobních údajů
Subjekty údajů
Osobní údaje
odběratelé a dodavatelé správce (zejména fyzické osoby podnikající a kontaktní osoby firem)
jméno, adresa, IČO, DIČ, e‑mail, telefon, číslo účtu, obsah dokladů, údaje o platbách, záznam o otevření odeslané faktury
zaměstnanci a osoby pracující na dohody u správce
jméno, adresa, datum narození, případně rodné číslo, zdravotní pojišťovna, číslo účtu, mzda, odpracované hodiny, odvody, slevy a údaje o vyživovaných dětech pro slevu na dani
správce a jeho uživatelé
údaje z bankovních výpisů, daňové údaje, přihlašovací údaje
Zvláštní kategorie osobních údajů (čl. 9 GDPR) služba ke zpracování neurčuje. Správce je do ní nevkládá, pokud to není nezbytné.
4. Povinnosti zpracovatele
Zpracovává osobní údaje jen na doložené pokyny správce. Pokyny tvoří nastavení a užívání služby správcem a tato smlouva. Pokud by pokyn podle názoru zpracovatele porušoval právní předpisy, správce na to upozorní.
Zajišťuje, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí.
Přijímá technická a organizační opatření podle čl. 32 GDPR, zejména: šifrovanou komunikaci (HTTPS, HSTS), ukládání hesel jen v podobě kryptografického hashe, šifrování přístupových údajů k bankám, oddělení dat jednotlivých zákazníků, řízení přístupových oprávnění, omezení pokusů o přihlášení, ochranu formulářů proti podvržení a průběžné aktualizace software.
Pomáhá správci vhodnými opatřeními vyřizovat žádosti subjektů údajů (přístup, oprava, výmaz, přenositelnost apod.). Většinu z nich správce vyřídí přímo v portálu (úprava a smazání záznamů, export).
Pomáhá správci plnit povinnosti podle čl. 32 až 36 GDPR s ohledem na povahu zpracování a informace, které má k dispozici.
Porušení zabezpečení osobních údajů oznámí správci bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění. Oznámení obsahuje informace, které správce potřebuje ke splnění povinností podle čl. 33 a 34 GDPR.
Poskytne správci informace potřebné k doložení souladu s čl. 28 GDPR a umožní audit nebo kontrolu, provedenou správcem nebo auditorem, kterého správce pověří. Audit se ohlašuje nejméně 14 dní předem a provádí se tak, aby nenarušil provoz služby a nevedl k přístupu k datům jiných zákazníků. Náklady auditu nese správce.
5. Další zpracovatelé
Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Ke dni účinnosti smlouvy jsou to:
Další zpracovatel
Činnost
Místo zpracování
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Německo
pronájem serveru (hosting aplikace, databáze a e‑mailového serveru)
Helsinky, Finsko (EU)
Anthropic, PBC, San Francisco, USA
automatické vytěžení údajů z dokladů umělou inteligencí, pouze při použití funkce „AI čtení dokladů“
USA – předání na základě standardních smluvních doložek EU. Data se nepoužívají k trénování modelů a standardně se mažou do 30 dnů.
Zpracovatel ukládá dalším zpracovatelům stejné povinnosti ochrany osobních údajů, jaké má sám. O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje správce e‑mailem a na stránce zásad ochrany osobních údajů nejméně 14 dní předem. Správce může ze závažných důvodů vznést námitku. Nedohodnou-li se strany, může správce smlouvu o užívání služby vypovědět s okamžitou účinností.
Banky, registry ARES a VIES, poskytovatelé časových razítek a e‑mailové servery příjemců faktur nejsou dalšími zpracovateli. Portál s nimi komunikuje na pokyn správce a jsou samostatnými správci.
6. Předání do třetích zemí
Mimo EU/EHP předává zpracovatel osobní údaje jen za podmínek kapitoly V GDPR, v současnosti jen dalšímu zpracovateli Anthropic, PBC při použití funkce AI čtení dokladů. Správce může tuto funkci nepoužívat a doklady zadávat ručně. Pak se do USA žádné údaje nepředávají.
7. Ukončení zpracování
Po skončení smlouvy o užívání služby má správce 60 dní na export dat. Poté zpracovatel osobní údaje správce smaže včetně kopií, pokud mu jejich uchování neukládá právní předpis. Údaje v provozních zálohách a lozích se přepíší v rámci běžného cyklu, nejpozději do 12 měsíců.
8. Závěrečná ustanovení
Smlouva se řídí právem České republiky a GDPR. Trvá, dokud zpracovatel zpracovává osobní údaje správce. Změny smlouvy se oznamují stejně jako změny obchodních podmínek. Pokud správce potřebuje smlouvu v listinné podobě nebo podepsanou elektronicky, pošleme mu ji na požádání na info@ucetio.cz.
Účetio · Smlouva o zpracování osobních údajů