PDRAPP · YOOP s.r.o.
Verze 2026-10-19.3 · znění ze dne 19. 10. 2026
Tato zpracovatelská smlouva je součástí smlouvy o PDRAPP. Správcem je podnikatel identifikovaný v registraci a jejím potvrzení („zákazník“). Zpracovatelem je YOOP s.r.o., IČO 06676731, Fantova 1753/17, 155 00 Praha, MS Praha, oddíl C, vložka 285755, kontakt info@pdrapp.cz („YOOP“). Elektronickým přijetím při registraci vzniká smlouva podle článku 28 GDPR; nevyžaduje samostatný listinný podpis. YOOP zajistí její uchovatelnou kopii.
YOOP zpracovává pro zákazníka osobní údaje vložené do PDRAPP za účelem evidence a vyřízení PDR zakázek, správy kontaktů, vozidel, kalkulací, nabídek, faktur, plánování a souvisejících dokumentů. Provádí jejich přijetí, uložení, uspořádání, vyhledání, úpravy, výpočty, zobrazení, vytvoření výstupů, zákazníkem vyžádané zpřístupnění či odeslání v dostupných funkcích, zálohování, obnovu, export a výmaz. Zpracování trvá po dobu poskytování služby a následných vývozních a mazacích lhůt podle článku 9.
Subjekty údajů mohou být zákazníci a zájemci zákazníka, vlastníci, provozovatelé a uživatelé vozidel, jejich zástupci, kontaktní osoby firem, zaměstnanci a dodavatelé zákazníka a osoby uvedené v jeho obchodních dokumentech. Kategorie údajů: jméno, obchodní a kontaktní údaje, IČO a DIČ fyzických osob podnikatelů, adresy, telefon, email, role a vazby v zakázce, SPZ a VIN, technické údaje vozidla, fotografie poškození, informace o opravě a pojistné události, ceny, platby, čísla účtů v dokladech, termíny, zákazníkem zadané poznámky a dokumenty.
Služba není určena pro zvláštní kategorie údajů podle článku 9 GDPR, údaje o trestních odsouzeních nebo systematické sledování osob. Zákazník je do ní nevkládá; nezbytné výjimky vyžadují předchozí písemnou dohodu o účelu a odpovídajících opatřeních. Zákazník omezuje fotografie a volné texty na údaje potřebné pro opravu.
Doloženými pokyny jsou smlouva, tato DPA, nastavení a úkony oprávněných osob v aplikaci a ověřené písemné požadavky zákazníka. YOOP zpracovává data pouze na tyto pokyny, včetně předání mimo EHP, ledaže zpracování ukládá použitelný právní předpis; tehdy předem informuje zákazníka, pokud to zákon nezakazuje. Účel zákonného uchování vlastních účetních a smluvních údajů YOOP řeší jako samostatný správce, nikoli jako oprávnění ponechat celou zákaznickou databázi.
Zákazník určuje účely a právní základy, plní informační povinnosti vůči dotčeným osobám, ověřuje zákonnost vložení a zveřejnění dat, správnost dokumentů a pokynů a přiděluje oprávnění jen nezbytným osobám. YOOP zákazníka bezodkladně upozorní, má-li za to, že jeho pokyn porušuje předpisy o ochraně údajů; do vyjasnění může pozastavit konkrétní sporný úkon, nikoli svévolně jiné nezávislé plnění.
Osobní údaje nejsou poskytovány jiným zákazníkům. Přístup osob na straně YOOP je omezen na potřebný rozsah a důvěrnost trvá i po skončení jejich oprávnění. Produkční administraci zajišťuje pověřená osoba YOOP; přístup hostingu se řídí jeho zpracovatelským vztahem. Případné budoucí zapojení dalších osob podléhá doložitelnému pověření a mlčenlivosti.
Opatření podle rizik zahrnují HTTPS přenos do aplikace, hashovaná hesla, kontrolu přihlášení a oprávnění na serveru, oddělení zákaznických účtů v přístupech k datům a souborům, ochranu formulářů, omezení přihlašovacích pokusů, jednorázové emailové ověřovací kódy a volitelné dodatečné ověření. Zapamatované přihlášení je odvolatelné, server ukládá hash jeho tajné části a kontroluje expiraci. Přístupy a provozní události slouží detekci a řešení incidentů.
YOOP provozuje šifrované zálohy, oddělenou záložní kopii, kontrolu integrity a sledování úspěchu zálohování, postup obnovy a správu aktualizací. Opatření pravidelně přezkoumává a přizpůsobuje rizikům; tato smlouva není tvrzením o certifikaci ISO, nepřetržité dostupnosti ani o šifrování celé živé databáze v klidu. Změny opatření nesmějí bez odpovídající náhrady snížit sjednanou úroveň ochrany. Podrobnosti nutné k doložení souladu poskytne zákazníkovi bezpečným způsobem.
Zákazník uděluje obecné písemné povolení zapojit další zpracovatele podle tohoto článku. Aktuálním infrastrukturním dodavatelem je SecurityNet.cz s.r.o., IČO 27501418, U Velorexu 1301, 564 01 Žamberk, služba Hukot.net: provoz VPS a datového úložiště v datacentru Trávník 2196, 560 02 Česká Třebová, Česká republika. Případný technický přístup k uloženým údajům je omezen na poskytování infrastruktury. Živá zákaznická data a zálohy spravované YOOP jsou ukládány v ČR; vlastní SMTP běží na témže serveru a offline záložní médium zůstává v ČR.
YOOP zapojí dodavatele, který zpracovává zákaznické osobní údaje, až po sjednání závazků odpovídajících této DPA a dostatečných záruk ochrany. Za plnění povinností dalšího zpracovatele vůči zákazníkovi odpovídá podle GDPR. Záměr přidat nebo nahradit dalšího zpracovatele oznámí emailem nejméně 30 dnů předem, včetně účelu, místa a rozsahu. Zákazník může ve lhůtě vznést odůvodněnou námitku z důvodů ochrany údajů. Strany hledají alternativu; není-li možná, zákazník může dotčenou službu nebo smlouvu před změnou ukončit s poměrnou vratkou a exportem. Pouhé nezveřejněné doplnění seznamu není oznámením.
Na pokyn zákazníka může aplikace doplnit veřejné firemní údaje z ARES a registru DPH; odešle identifikační dotaz nezbytný pro dané vyhledání. Tyto registry jsou samostatnými zdroji veřejných údajů, nikoli úložištěm zákaznické databáze. OCR je zajišťováno vlastní serverovou službou; použití externího OCR pro zákaznické dokumenty vyžaduje předchozí splnění pravidel tohoto článku a článku 5.
VIN se nejdříve vyhodnocuje z vlastních zdrojů. Společná báze uchovává technické parametry a nejvýše osmiznakový prefix bez celého VIN, SPZ, zdrojového účtu nebo vazby na osobu. Zákazník dává pokyn k vytvoření takto odděleného technického vzoru pro zlepšení rozpoznávání vozidel. YOOP nesmí ke společnému použití zpřístupnit identifikující zákaznické údaje. Pokud by vzor v konkrétním kontextu mohl identifikovat osobu, YOOP jej do společné báze nezahrne nebo jej odstraní; samotné zkrácení VIN není prohlášením o anonymizaci.
Teprve při nedostatku vlastních údajů může YOOP serverově vyhledat neidentifikující technický prefix v americkém veřejném katalogu NHTSA vPIC, U.S. Department of Transportation, USA. Dotaz obsahuje nejvýše prvních 8 znaků VIN a síťová metadata serveru YOOP; nikoli celý VIN, klientskou IP, jméno, SPZ nebo obsah zakázky. DB.VIN není pro zákaznická data v této verzi využíván. Nejde o souhlas k předávání osobních údajů do USA. Pokud by zamýšlený externí dotaz obsahoval osobní údaje, YOOP jej neprovede bez ověření právního postavení příjemce, příslušného pokynu a podmínek kapitoly V GDPR. Obecný souhlas s DPA nenahrazuje záruky pro takové předání.
Odeslání dokumentu zákazníkem určenému adresátovi je jeho samostatný pokyn. Adresát může být mimo EHP; zákazník před odesláním posoudí své oprávnění a pravidla předání a YOOP upozorní na zjevně protiprávní pokyn. DPA neopravňuje YOOP prodávat zákaznická data, používat je pro reklamu nebo trénování obecných AI modelů.
YOOP s ohledem na povahu zpracování pomáhá zákazníkovi vyřizovat žádosti o přístup, opravu, výmaz, omezení, přenositelnost a námitky. Žádost přijatou přímo od subjektu údajů bezodkladně předá správci a bez jeho pokynu nevyřizuje věcně, ledaže mu to ukládá zákon. Poskytne dostupné informace a potřebné technické úkony tak, aby správce mohl dodržet své lhůty.
YOOP oznámí zákazníkovi porušení zabezpečení jeho osobních údajů bez zbytečného odkladu po zjištění, s provozním cílem první zprávy do 24 hodin, i když nejsou známy všechny okolnosti. Sdělí dostupný popis, kategorie a přibližné počty dotčených osob a záznamů, kontakt, pravděpodobné důsledky a přijatá či navržená opatření. Informace průběžně doplní, incident zdokumentuje a spolupracuje při omezení následků. Prvotní neúplnost neopravňuje odložit oznámení. Zákazník rozhoduje o svých hlášeních úřadu a osobám; YOOP mu poskytne součinnost zejména pro 72hodinovou lhůtu správce.
YOOP poskytne přiměřenou součinnost při posouzení vlivu, předchozí konzultaci a dokládání opatření podle článků 32 až 36 GDPR. Běžná součinnost a řešení vlastního porušení jsou v ceně. Neobvykle rozsáhlé dodatečné práce nesouvisející s porušením YOOP lze zpoplatnit jen po předchozí dohodě; nesmí to bránit splnění zákonných povinností.
YOOP zpřístupní informace potřebné k doložení povinností a umožní přiměřený audit nebo inspekci zákazníkem či nezávislým auditorem vázaným mlčenlivostí. Strany přednostně využijí dostupné dokumenty a vzdálené ověření; termín a bezpečný rozsah dohodnou tak, aby nebyla ohrožena data ostatních zákazníků. Obvyklé předchozí oznámení je 15 dnů; neplatí při důvodném podezření na porušení, incidentu nebo požadavku úřadu. Audity nelze vyloučit paušálním odkazem na důvěrnost. Oprávnění dozorových orgánů se neomezují.
Po skončení služby umožní YOOP vrácení dat exportem a následně je odstraní v dohodnutých lhůtách: po placeném období 7 dnů plného provozu, 30 dnů čtení/exportu a 30 dnů blokace; po trialu bez prvních 7 dnů; při výslovném ukončení 30 dnů čtení/exportu od zvoleného data. Včasná žádost o export pozastaví výmaz do jeho dokončení. Zákazník může dát dřívější konkrétní pokyn k odstranění; YOOP upozorní na ztrátu možnosti obnovy a po ověření pokyn provede bez zbytečného odkladu. Výmaz není podmíněn zaplacením sporné částky.
Zálohy mají samostatný omezený dojezd: denní serverové kopie s retenční dobou 14 dnů a oddělené offline kopie s retenční dobou 30 dnů. Po odstranění ze živé databáze mohou tedy údaje po tuto dobu zůstat v dřívější šifrované záloze, nikoli být dále běžně používány. Při mimořádné nedostupnosti offline média se odstranění starých kopií provede bezodkladně při nejbližším připojení; YOOP prodlení eviduje a zajistí nápravu. Při obnově zálohy před zpřístupněním znovu uplatní pokyny k výmazu a zneplatní obnovená přístupová oprávnění a tokeny, které již nemají platit.
Od těchto dat se oddělují pouze konkrétní údaje, které musí YOOP uchovat podle právního předpisu nebo jako samostatný správce pro doložení smlouvy a právní nároky; účely a lhůty uvádějí zásady soukromí. Na žádost potvrdí dokončení výmazu a popíše ještě běžící retenční dojezd. Důvěrnost a povinnosti ochrany trvají do výmazu poslední oprávněně uchovávané kopie.
V otázkách zpracování zákaznických osobních údajů má tato DPA přednost před rozpornými obchodními ujednáními. Neomezuje práva osob, pravomoci úřadů ani odpovědnost a regres podle GDPR. Řídí se přímo použitelným GDPR a českým právem, zejména zákonem č. 110/2019 Sb. Změny vyžadují doloženou dohodu, kromě předem sjednaného mechanismu dalších zpracovatelů; nelze jimi zpětně rozšířit pokyny na nové účely.