Zpracovatelská smlouva

Správcem je ubytovatel, tedy držitel účtu ve službě Chalupario, který do služby vkládá údaje svých hostů a určuje účel a prostředky jejich zpracování. Zpracovatelem je Solushnis, s.r.o., IČO 24993786, provozovatel služby Chalupario; úplná identifikace je v patičce této stránky.

Role vyplývá ze zákona: povinnost vést domovní knihu podle § 101 zákona č. 326/1999 Sb. a evidenční knihu podle § 3g zákona č. 565/1990 Sb. a hlásit pobyt cizinců má ubytovatel, nikoli my. My tytéž údaje ukládáme a zpřístupňujeme podle jeho pokynů.

Smlouva se uzavírá v elektronické podobě přijetím při registraci nebo dalším užíváním služby po nabytí její účinnosti; požadavek písemné formy podle čl. 28 odst. 9 GDPR je tím splněn.

Předmětem je zpracování osobních údajů hostů ubytovatele v rozsahu nezbytném pro poskytování služby Chalupario podle podmínek užívání.

Povahou zpracování je shromažďování, ukládání, uspořádání, nahlížení, úprava, export a výmaz údajů v aplikaci a v jejích automatizovaných procesech: potvrzování rezervací, e-maily hostům, párování plateb z bankovních avíz, vystavování dokladů a exporty pro zákonnou evidenci.

Účelem je správa rezervací a obsazenosti, komunikace s hosty, vystavení dokladů a příprava podkladů pro zákonnou evidenci ubytovatele. Pro vlastní účely tyto údaje nepoužíváme a nepředáváme je k prodeji.

Zpracování trvá po dobu trvání účtu ubytovatele. Po jeho ukončení postupujeme podle oddílu 11.

Subjekty údajů: hosté ubytovatele a další osoby uvedené v rezervaci nebo při online check-inu, včetně osoby, která za pobyt platí nebo na něj žádá doklad.

Identifikační a kontaktní údaje: jméno a příjmení, e-mail, telefon, země a jazyk komunikace.

Údaje pro zákonnou evidenci ubytovatele, vyplňované při online check-inu: datum narození, druh a číslo dokladu totožnosti, adresa trvalého pobytu, u cizinců účel pobytu a číslo víza. Odkaz na online check-in je podepsaný a časově omezený; sám o sobě žádné údaje neobsahuje.

Údaje o pobytu, platbách a dokladech: termín a objekt, počet osob, čas dokončení online check-inu, čas a značka hlášení cizinecké policii, částky a způsob platby, variabilní symbol, fakturační údaje uvedené na rezervaci (název, adresa, IČO, DIČ) a texty, které do systému vloží host nebo ubytovatel. Ukládáme také plné znění e-mailů odeslaných hostům a příchozí bankovní avíza, z nichž se páruje platba, včetně jména a čísla účtu protistrany.

Údaje platebních karet služba nezpracovává ani neukládá. Zvláštní kategorie údajů podle čl. 9 GDPR ani údaje o odsouzeních podle čl. 10 GDPR služba nevyžaduje; ubytovatel je nemá vkládat do volných textových polí.

Údaje zpracováváme pouze na základě doložených pokynů ubytovatele podle čl. 28 odst. 3 písm. a) GDPR. Pokynem je nastavení a užívání služby, tato smlouva, podmínky užívání a písemné žádosti zaslané z kontaktního e-mailu účtu.

Nad rámec pokynů zpracováváme údaje jen tam, kde nám to ukládá právo Evropské unie nebo České republiky. V takovém případě ubytovatele o požadavku před zpracováním informujeme, ledaže to právní předpis z důležitých důvodů veřejného zájmu zakazuje.

Máme-li za to, že pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů, neprodleně na to ubytovatele upozorníme a splnění pokynu můžeme do vyjasnění odložit.

Určíme-li v rozporu s touto smlouvou účel a prostředky zpracování sami, jsme ve vztahu k tomuto zpracování správcem se všemi důsledky podle čl. 28 odst. 10 GDPR.

Osoby, které se na zpracování podílejí, jsou vázány mlčenlivostí, která trvá i po skončení jejich zapojení. Přístup do produkčního prostředí má jen okruh osob, které jej potřebují pro provoz a podporu služby.

Do účtu ubytovatele vstupujeme jen na jeho žádost nebo při řešení incidentu, a to krátkodobým pověřovacím tokenem; každé jeho vydání se zaznamenává v auditním logu.

Přenosy mezi prohlížečem, aplikací a rozhraním jsou šifrované. Přihlašovací relace používají zabezpečené httpOnly cookies, hesla ukládáme pouze jako kryptografické otisky a účet lze chránit dvoufázovým ověřením nebo passkey.

Rozhraní aplikace přijímá jen požadavky s podepsaným tokenem ověřeným proti veřejnému klíči. Každý dotaz i každá operace jsou omezeny na data vlastníka účtu, takže data jednotlivých ubytovatelů jsou od sebe oddělena.

Odkaz na online check-in je podepsaný, časově omezený a lze jej kdykoli zneplatnit. Změny dat zaznamenává auditní log s otiskem, který odhalí dodatečnou úpravu záznamu.

Databáze se zálohuje pravidelným logickým výpisem do objektového úložiště s prořezávaným archivem, nahrané soubory denní kopií; poskytovatel infrastruktury k tomu drží vlastní snímky disku.

Bezpečnostní certifikaci nemáme a žádnou neuvádíme. Přiměřenost opatření posuzujeme podle čl. 32 odst. 1 GDPR a měníme je s vývojem služby; změnu, která by úroveň zabezpečení podstatně snížila, nezavedeme.

Ubytovatel uděluje obecné povolení k zapojení dalších zpracovatelů podle čl. 28 odst. 2 GDPR. Zapojeni jsou: Railway (hosting aplikace, databáze, objektového úložiště a záloh), Postmark (odesílání e-mailů hostům a příjem bankovních avíz), Cloudflare (DNS a směrování e-mailů na adresy info@ a gdpr@), Sentry (chybové záznamy serverové části) a platforma Solushnis AI spolu s jejími poskytovateli jazykových modelů, dnes Anthropic a OpenAI, a to jen při použití funkcí s umělou inteligencí.

Žádný poskytovatel platebních služeb dnes údaje hostů nezpracovává: platby se zadávají ručně nebo se párují z bankovních avíz. Zapojení platební brány by bylo změnou podle následujícího odstavce.

Zamýšlené přidání nebo nahrazení dalšího zpracovatele oznámíme nejméně 30 dní předem v aplikaci nebo e-mailem. Ubytovatel může ve stejné lhůtě vznést námitku; nedojde-li k dohodě, může z tohoto důvodu ukončit užívání služby ke dni účinnosti změny.

Dalšího zpracovatele zapojíme jen na základě smlouvy, která mu ukládá stejné povinnosti ochrany údajů, jaké podle této smlouvy plníme my. Za plnění jeho povinností odpovídáme ubytovateli my podle čl. 28 odst. 4 GDPR.

S ohledem na povahu zpracování jsme ubytovateli nápomocni vhodnými technickými a organizačními opatřeními při vyřizování žádostí hostů o přístup, opravu, výmaz, omezení zpracování, přenositelnost a námitku podle čl. 28 odst. 3 písm. e) GDPR.

V aplikaci k tomu slouží nástroje, které ubytovatel ovládá sám: úprava a smazání záznamu hosta i rezervace a exporty knihy hostů a dokladů. Co těmito nástroji vyřídit nelze, provedeme na žádost odeslanou z kontaktního e-mailu účtu bez zbytečného odkladu, zpravidla do deseti pracovních dnů, aby ubytovatel stihl svou lhůtu vůči hostovi.

Obrátí-li se host se žádostí přímo na nás, nevyřizujeme ji sami: bez zbytečného odkladu ji předáme ubytovateli a hosta na něj odkážeme.

Jsme ubytovateli nápomocni při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR, tedy při zabezpečení zpracování, ohlašování a oznamování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultaci s dozorovým úřadem, a to při zohlednění povahy zpracování a informací, které máme k dispozici (čl. 28 odst. 3 písm. f) GDPR).

Na žádost poskytneme popis zpracování, kategorií údajů, příjemců a bezpečnostních opatření v rozsahu, který ubytovatel potřebuje pro svůj záznam o činnostech zpracování a pro jednání s dozorovým úřadem.

Zjistíme-li porušení zabezpečení osobních údajů, ohlásíme je ubytovateli bez zbytečného odkladu poté, co se o něm dozvíme, jak vyžaduje čl. 33 odst. 2 GDPR. Lhůtu 72 hodin vůči dozorovému úřadu podle čl. 33 odst. 1 GDPR plní ubytovatel jako správce; podklady, které k tomu máme, mu dodáme bez odkladu.

Ohlášení popisuje povahu porušení, dotčené kategorie a přibližný počet záznamů, pravděpodobné následky a přijatá či navržená opatření, v rozsahu, v jakém je v danou chvíli známe. Chybějící údaje doplňujeme postupně bez zbytečného dalšího odkladu.

Po ukončení poskytování služby údaje hostů podle volby ubytovatele vymažeme, nebo mu je vydáme a poté vymažeme, jak stanoví čl. 28 odst. 3 písm. g) GDPR. Volbu sdělí ubytovatel do 30 dnů od ukončení; neučiní-li tak, údaje po uplynutí této lhůty vymažeme.

Vydání probíhá ve formátech exportů, které aplikace nabízí: kniha hostů, doklady a přehled rezervací. Po celou dobu trvání účtu si tyto exporty může ubytovatel pořídit sám.

Výmaz se nevztahuje na údaje, jejichž uložení nám ukládá právní předpis, a na kopie v zálohách, které zanikají postupně podle retenčního rozvrhu záloh; ze záloh data neobnovujeme k jinému účelu než k obnově po havárii. Retenční rozvrh pro ostatní provozní záznamy teprve zavádíme, do jeho dokončení je mažeme na žádost.

Na žádost poskytneme ubytovateli veškeré informace potřebné k doložení toho, že plníme povinnosti podle čl. 28 GDPR, a umožníme audit včetně inspekce prováděné ubytovatelem nebo auditorem, kterého pověří, jak vyžaduje čl. 28 odst. 3 písm. h) GDPR.

Audit se koná nejvýše jednou za dvanáct měsíců, po oznámení nejméně 30 dní předem, v pracovní době a tak, aby nenarušil provoz služby ani bezpečnost dat ostatních ubytovatelů; auditor je vázán mlčenlivostí. Častěji audit umožníme, uloží-li to dozorový úřad nebo došlo-li k porušení zabezpečení. Náklady auditu nese ubytovatel, ledaže audit odhalí podstatné porušení této smlouvy.

Údaje zpracováváme především v Evropské unii. Mimo EU a EHP může docházet k předání u poskytovatelů jazykových modelů a u chybové telemetrie, a to na základě standardních smluvních doložek daného poskytovatele podle čl. 46 odst. 2 písm. c) GDPR.

Umístění infrastruktury jednotlivých poskytovatelů se může lišit a nezaručujeme, že veškeré zpracování probíhá výhradně v EU. Do třetí země předáváme jen v rámci kapitoly V GDPR a jen v rozsahu popsaném v zásadách ochrany osobních údajů.

Odpovědnost mezi stranami se řídí podmínkami užívání, včetně omezení náhrady újmy částkou zaplacenou za službu za posledních 12 měsíců. Omezení neplatí tam, kde je zákon vylučuje.

Omezení podle předchozího odstavce se nevztahuje na nároky subjektů údajů podle čl. 82 GDPR ani na správní pokuty. Za zpracování odpovídáme tam, kde jsme nesplnili povinnosti výslovně uložené zpracovatelům, nebo jsme jednali mimo pokyny ubytovatele či v rozporu s nimi.

Odpovědnost za výstupy funkcí s umělou inteligencí a za dokumenty vytvořené ve službě upravují podmínky užívání; tato smlouva ji nemění.

Smlouva se řídí právem České republiky, zejména nařízením (EU) 2016/679 a zákonem č. 110/2019 Sb., o zpracování osobních údajů. Dozorovým úřadem je Úřad pro ochranu osobních údajů podle § 50 zákona č. 110/2019 Sb. (uoou.gov.cz).

Tato smlouva je součástí podmínek užívání a doplňuje je. Liší-li se od oddílu 6 podmínek užívání, použije se tato smlouva.

Tato smlouva je ve verzi 1.0 účinná od 6. září 2026. Podstatné změny oznámíme nejméně 14 dní předem v aplikaci nebo e-mailem; nesouhlas lze vyjádřit ukončením účtu před účinností změny. Starší verze poskytneme na vyžádání.