Smlouva o zpracování osobních údajů

Účinné od 24. 10. 2026

Smlouva o zpracování osobních údajů podle čl. 28 nařízení (EU) 2016/679 (GDPR). Je součástí obchodních podmínek a uzavírá se spolu se smlouvou o službě Makleo.

1. Předmět a doba zpracování

1. Zpracovatel pro správce provozuje instanci aplikace Makleo: ukládá, zálohuje, technicky spravuje a zpřístupňuje osobní údaje, které správce do aplikace vloží nebo které aplikace na jeho pokyn získá z jeho připojených účtů (pošta, úložiště, kalendář, sociální sítě).
2. Zpracování trvá po dobu smlouvy o službě a po dobu výmazu podle čl. 6.

2. Povaha, účel, údaje a subjekty

• Účel: provoz aplikace pro realitní činnost správce (evidence klientů a obchodů, dokumenty a smlouvy, komunikace, přání, kampaně, kalendář, inzerce).
• Kategorie subjektů: klienti a obchodní kontakty správce — prodávající, kupující, nájemci, pronajímatelé, zájemci, leady, příjemci e-mailů a přání, autoři komentářů na sociálních sítích správce.
• Typy údajů: identifikační a kontaktní údaje, údaje o nemovitostech a obchodech, údaje z dokladů totožnosti a z listů vlastnictví (včetně rodného čísla, je-li potřeba pro smlouvy nebo identifikaci podle zákona č. 253/2008 Sb.), komunikace (e-maily), dokumenty, údaje zájemců o nájem z dotazníku (bydlení, příjmy, výsledky lustrace), data narození a svátky pro přání. Zvláštní kategorie údajů (čl. 9 GDPR) aplikace nevyžaduje; správce je do ní nemá vkládat.

3. Povinnosti zpracovatele

1. Zpracovávat údaje jen na doložené pokyny správce — pokyny jsou nastavení a úkony, které správce v aplikaci provede, a jeho písemné požadavky. Je-li pokyn podle zpracovatele v rozporu s právem, upozorní na to správce.
2. Zajistit mlčenlivost všech osob, které mají k údajům přístup.
3. Přijmout technická a organizační opatření podle čl. 32 GDPR uvedená v příloze.
4. Pomáhat správci s vyřizováním žádostí subjektů údajů (přístup, oprava, výmaz, export) — většinu z nich správce vyřídí přímo v aplikaci.
5. Ohlásit správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s informacemi potřebnými pro ohlášení úřadu a subjektům.
6. Poskytnout správci informace potřebné k doložení souladu s tímto článkem a umožnit audit v přiměřeném rozsahu po předchozí domluvě.
7. Údaje nepoužívat pro vlastní účely, nepředávat je třetím osobám, nepoužívat k reklamě ani k trénování umělé inteligence.

4. Další zpracovatelé

Správce uděluje obecné povolení k zapojení dalších zpracovatelů. Aktuálně jde o:

• WEDOS Internet, a.s., IČO 28115708, Masarykova 1230, 373 41 Hluboká nad Vltavou (servery v České republice) — serverová infrastruktura.

O zamýšlené změně další zpracovatelů zpracovatel informuje správce e-mailem předem; správce může vznést námitku a smlouvu vypovědět. Služby, které si správce v aplikaci připojí vlastním účtem (Google, Microsoft, Dropbox, Meta, LinkedIn, Ecomail, Brevo, Signi, Anthropic aj.), nejsou dalšími zpracovateli zpracovatele — správce s nimi má vlastní smluvní vztah.

5. Povinnosti správce

1. Zpracovávat údaje zákonně, mít pro ně právní důvod a informovat subjekty údajů.
2. Nevkládat do aplikace údaje, které nepotřebuje, a chránit své přístupové údaje (doporučeno přihlášení kódem z mobilu).

6. Výmaz a vrácení údajů

Po skončení smlouvy může správce do 30 dní požádat o export dat. Zpracovatel data instance uchová v archivu nejdéle 90 dní a poté je smaže, pokud mu právní předpis neukládá je uchovat. Šifrované zálohy v cloudovém úložišti správce zůstávají správci.

7. Závěr

Smlouva se řídí právem České republiky. V záležitostech, které neupravuje, platí obchodní podmínky a GDPR.

Příloha: technická a organizační opatření

• Šifrovaný přenos: web, Správce i každé Makleo běží výhradně přes HTTPS (TLS, certifikáty Let's Encrypt).
• Oddělené instance: každý uživatel má vlastní instanci Maklea s vlastní databází, vlastním systémovým uživatelem a vlastní službou; instance navzájem nevidí do svých dat.
• Šifrování dat v klidu: data každé instance jsou na serveru uložena v šifrované složce (AES-256-GCM, gocryptfs) — chrání je i na zálohách disku a na odcizeném disku.
• Šifrované zálohy: Makleo každou noc zálohuje databázi; zálohy jsou šifrované (Fernet: AES-128-CBC + HMAC-SHA256) a ukládají se do cloudového úložiště uživatele (složka MAKLEO/Zálohy) a na server instance.
• Hesla: ukládají se jen jako kryptografický otisk (PBKDF2-SHA256 se solí), nikdy v čitelné podobě.
• Dvoufázové ověření: přihlášení kódem z mobilu (TOTP) je pro administraci provozovatele povinné a uživatelům Maklea je k dispozici v Nastavení (doporučujeme ho zapnout).
• Omezení pokusů: přihlášení, registrace, ověření e-mailu a hlášení chyb mají omezený počet pokusů za čas.
• Přístupové údaje ke službám třetích stran (Google, Microsoft, Dropbox, Meta, Ecomail, Anthropic…) jsou uloženy jen v instanci uživatele, s právy jen pro ni, nikam se nepředávají a v aplikaci se nezobrazují.
• Bezpečné aktualizace: před každou aktualizací se databáze zazálohuje; když nová verze nenaběhne, automaticky se vrátí předchozí verze i data.
• Ochrana serveru: firewall, ochrana proti opakovaným pokusům o přihlášení (fail2ban), přístup na server jen SSH klíčem, automatické bezpečnostní aktualizace operačního systému, servery v datových centrech v České republice.
• Přístup provozovatele: technický přístup k serveru má jen provozovatel (SSH klíčem), administrace služby je chráněná heslem a dvoufázovým ověřením. K obsahu dat uživatele přistupuje jen tehdy, když je to nutné pro podporu na žádost uživatele, pro odstranění poruchy nebo kvůli povinnosti uložené zákonem; jiní lidé přístup nemají.
• Minimalizace: zpracovávají se jen údaje potřebné pro provoz služby; Makleo nepoužívá data uživatelů k reklamě, neprodává je a nepoužívá je k trénování umělé inteligence.
• Výmaz: po skončení smlouvy se data instance uchovávají v archivu nejdéle 90 dní (pro případ obnovy nebo exportu na žádost uživatele) a poté se automaticky smažou.