Smlouva o zpracování osobních údajů

Návrh — před použitím zkontroluje advokát.

Platí pro pilotní provoz; finální znění po revizi advokátem.

Verze 1.0 — návrh pro pilotní provoz, účinná dnem zveřejnění na nevykazano.cz. Smlouva podle čl. 28 odst. 3 GDPR. Uzavírá se elektronicky při registraci (odkliknutím) nebo podpisem; je nedílnou součástí smlouvy o poskytování služby podle obchodních podmínek.

Správce: poskytovatel zdravotních služeb uvedený v objednávce nebo v účtu ve Službě — obchodní firma nebo jméno, IČO, sídlo, IČZ a zástupce (doplní se při podpisu) (dále „Správce")

Zpracovatel: Ollsoft s.r.o., IČO 19336039, DIČ CZ19336039, sídlo Příčná 1892/4, Nové Město, 110 00 Praha 1, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 384698, kontakt info@ollsoft.ai (dále „Zpracovatel")

uzavírají podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále „GDPR") tuto smlouvu:

Článek 1 — Vztah ke službě

1. Zpracovatel poskytuje Správci službu AI vykazování pro ambulance (nevykazano.cz) podle obchodních podmínek Zpracovatele (dále „Služba" a „Hlavní smlouva").
2. Tato smlouva upravuje zpracování osobních údajů, které Zpracovatel provádí pro Správce při poskytování Služby. V otázkách ochrany osobních údajů má tato smlouva přednost před Hlavní smlouvou.
3. Pojmy mají význam podle čl. 4 GDPR.

Článek 2 — Předmět, povaha a účel zpracování

1. Zpracovatel zpracovává osobní údaje výhradně za účelem kontroly správnosti a úplnosti vykazování hrazených služeb zdravotním pojišťovnám, výpočtu průběhu kapitačních bonusů a sestavení seznamu pacientů s nárokem na preventivní výkon podle pravidel úhrady. Modul nahrávky návštěvy se nenabízí a tato smlouva se na něj nevztahuje.
2. Kategorie subjektů údajů, kategorie osobních údajů, povaha zpracování a doba jsou uvedeny v Příloze 1.
3. Zpracování zahrnuje údaje o zdravotním stavu (čl. 9 GDPR). Správce prohlašuje, že pro zpracování má právní základ podle čl. 6 odst. 1 písm. c) a čl. 9 odst. 2 písm. h) GDPR ve spojení se zákonem č. 48/1997 Sb. a že splnil informační povinnost vůči pacientům.

Článek 3 — Doba trvání

1. Smlouva se uzavírá na dobu trvání Hlavní smlouvy.
2. Povinnosti podle čl. 5, 11, 12 a 16 trvají až do úplného výmazu osobních údajů; mlčenlivost trvá i poté.

Článek 4 — Pokyny Správce

1. Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů Správce, a to i pokud jde o předání do třetí země (čl. 28 odst. 3 písm. a) GDPR).
2. Doloženými pokyny jsou: (a) tato smlouva, (b) úkony uživatelů Správce ve Službě (nahrání souborů, spuštění auditu, volba doby uložení výsledků, potvrzení a zamítnutí nálezů, smazání, export včetně exportu s rodnými čísly podle čl. 9 odst. 4), (c) písemné pokyny z e-mailové adresy oprávněného uživatele Správce.
3. Zpracovatel může zpracovat údaje i bez pokynu, ukládá-li mu to právo EU nebo ČR; v takovém případě Správce předem informuje, ledaže to právo zakazuje.
4. Zpracovatel neprodleně upozorní Správce, pokud má za to, že pokyn porušuje GDPR nebo jiný předpis o ochraně údajů, a do vyjasnění pokyn neprovede.

Článek 5 — Mlčenlivost a pověřené osoby

1. Zpracovatel zajistí, aby se všechny osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti (čl. 28 odst. 3 písm. b) GDPR). Mlčenlivost trvá i po skončení jejich vztahu ke Zpracovateli.
2. Strany berou na vědomí, že údaje pocházejí ze zdravotnické dokumentace a vztahuje se na ně povinná mlčenlivost podle § 51 zákona č. 372/2011 Sb.; Zpracovatel zaváže své pracovníky odkazem na tuto povinnost a na § 180 trestního zákoníku.
3. Pověření: Správce tímto pověřuje Zpracovatele a jeho pracovníky jmenovitě uvedené v seznamu pověřených osob (vede Zpracovatel, předá Správci na žádost do 5 pracovních dnů) k činnostem souvisejícím s vykazováním hrazených služeb podle zákona č. 48/1997 Sb., a to v rozsahu nezbytném pro poskytování Služby. Strany tím vyjadřují, že pověřené osoby jednají vůči Správci v postavení obdobném jeho pracovníkům ve smyslu § 65 odst. 2 písm. a) bodu 2 zákona č. 372/2011 Sb.
4. Zpracování probíhá automatizovaně. Administrátorský účet Zpracovatele nemá ve Službě přístup k zápisům, citacím, nálezům ani pseudonymům pacientů; vidí jen ordinace, uživatele a přehled auditů bez obsahu. Na úrovni serveru a databáze zobrazí pověřená osoba Zpracovatele obsah zápisů nebo citace jen na písemnou žádost Správce (např. při řešení chyby), v nezbytném rozsahu, časově omezeně a se záznamem, o kterém Správce dostane informaci.
5. Obnova přístupu. Přístup člena obnovuje správce ordinace ve Službě. Přístup správce ordinace obnoví Zpracovatel novou pozvánkou jen na žádost Správce ověřenou mimo e-mail (např. zpětným telefonátem na číslo uvedené ve smlouvě) a odkaz předá jen osobě, kterou Správce určí; sám ho nepoužije. Obnova zruší dosavadní heslo, dvoufázové ověření i přihlášení a zapíše se do protokolu ordinace ve Službě.
6. Zpracovatel nezpřístupní osobní údaje třetím osobám s výjimkou dalších zpracovatelů podle čl. 7, nebo ukládá-li mu to zákon.

Článek 6 — Zabezpečení

1. Zpracovatel přijme a udržuje technická a organizační opatření podle čl. 32 GDPR uvedená v Příloze 2.
2. Zpracovatel může opatření měnit, pokud tím nesníží úroveň ochrany. O podstatných změnách informuje Správce nejpozději s jejich účinností.
3. Zpracovatel pravidelně testuje a vyhodnocuje účinnost opatření, nejméně jednou ročně.

Článek 7 — Další zpracovatelé

1. Správce uděluje obecné povolení k zapojení dalších zpracovatelů uvedených v Příloze 3 (čl. 28 odst. 2 GDPR).
2. O zamýšleném přidání nebo nahrazení dalšího zpracovatele Zpracovatel informuje Správce e-mailem a na stránce nevykazano.cz/pravni/subzpracovatele nejméně 30 dní předem.
3. Správce může do 14 dní od oznámení vznést odůvodněnou námitku. Nedojde-li ke shodě, může Správce Hlavní smlouvu vypovědět bez sankce s účinností před nasazením nového zpracovatele; Zpracovatel vrátí poměrnou část předplacené ceny.
4. Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti na ochranu údajů jako tato smlouva, zejména dostatečné záruky podle čl. 28 odst. 4 GDPR. Za plnění povinností dalšího zpracovatele odpovídá Zpracovatel jako za vlastní.
5. Ve výjimečném případě (bezpečnostní hrozba, ukončení služby dodavatelem) může Zpracovatel dalšího zpracovatele nahradit s kratším oznámením; Správce má pak stejná práva podle odst. 3.

Článek 8 — Místo zpracování a předávání

1. Osobní údaje pacientů se ukládají a zpracovávají pouze v EU/EHP.
2. Správce dává pokyn k předání do třetí země jen v rozsahu uvedeném v Příloze 3 (zejména případný dálkový přístup podpory mateřských společností dalších zpracovatelů) a za podmínky odpovídajících záruk podle kapitoly V GDPR (rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky).
3. Pozbude-li záruka platnosti (např. zrušení rozhodnutí o EU-US Data Privacy Framework), Zpracovatel bez zbytečného odkladu informuje Správce a zajistí náhradní záruku, nebo předání ukončí.

Článek 9 — Práva subjektů údajů

1. Zpracovatel pomáhá Správci vhodnými opatřeními plnit povinnost reagovat na žádosti subjektů údajů (čl. 28 odst. 3 písm. e) GDPR).
2. Obdrží-li Zpracovatel žádost pacienta, předá ji Správci do 5 pracovních dnů a sám na ni věcně neodpovídá; pacientovi jen sdělí, že žádost předal.
3. Služba umožňuje Správci výsledky exportovat (s pseudonymem, který si Správce spáruje se svým systémem) a audit kdykoli smazat.
4. Export s rodnými čísly: vybere-li uživatel Správce při exportu znovu soubor dávky nebo dokumentace, Zpracovatel z něj v operační paměti spáruje pseudonymy s rodnými čísly a jmény, vytvoří export a soubor zahodí. Rodná čísla ani jména neukládá.

Článek 10 — Součinnost podle čl. 32 až 36 GDPR

1. Zpracovatel poskytne Správci podklad pro posouzení vlivu (DPIA) a informace potřebné pro předchozí konzultaci s Úřadem pro ochranu osobních údajů (čl. 28 odst. 3 písm. f) GDPR).
2. Základní součinnost (podklad DPIA, odpovědi na dotazníky, informace o opatřeních) je součástí ceny. Rozsáhlejší součinnost lze účtovat jen hodinovou sazbou, kterou Zpracovatel předem sdělí a Správce písemně odsouhlasí.

Článek 11 — Doba uložení, výmaz a vrácení

1. Nahrané soubory Zpracovatel smaže ihned po úspěšném zpracování. Nepodaří-li se audit zpracovat, ponechá je kvůli opakování nejdéle 7 dní od nahrání; Správce je může smazat dříve smazáním auditu.
2. Výsledky auditu (pseudonymizované zápisy, vykázané kódy, nálezy, citace, rozhodnutí) smaže po uplynutí doby, kterou Správce zvolí při nahrání každého auditu — 30, 60 nebo 90 dní od nahrání (výchozí 90 dní) — nebo dříve na pokyn Správce (smazání auditu ve Službě).
3. Po výmazu podle odst. 1 a 2 zůstává jen záznam o auditu bez obsahu souborů a bez údajů pacientů (název, stav, data) a auditní log podle Přílohy 1.
4. Po skončení Hlavní smlouvy umožní Zpracovatel Správci po dobu 30 dní export všech výsledků a auditní stopy ve formátu CSV a JSON. Poté všechny osobní údaje vymaže do 30 dní, včetně kopií a klíče pro pseudonymizaci; zálohy se přepíší rotací nejpozději do 35 dní. Na žádost vydá potvrzení o výmazu.
5. Zpracovatel smí uchovat jen anonymní agregované statistiky (počty nálezů podle typu a pravidla napříč zákazníky), z nichž nelze určit pacienta ani Správce.
6. Odstavce 1 až 4 neplatí, ukládá-li právo EU nebo ČR údaje uchovat; o tom Zpracovatel Správce informuje.

Článek 12 — Porušení zabezpečení osobních údajů

1. Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 24 hodin od jeho zjištění, na e-mail kontaktní osoby Správce a telefonicky, je-li uveden.
2. Ohlášení obsahuje údaje podle čl. 33 odst. 3 GDPR v rozsahu, v jakém jsou známy: povahu porušení, kategorie a přibližný počet subjektů a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontaktní osobu. Neznámé údaje doplní postupně.
3. Zpracovatel neprodleně přijme opatření k omezení následků a poskytne Správci součinnost při ohlášení Úřadu a oznámení pacientům. Úřadu ani pacientům Zpracovatel sám nic neoznamuje, ledaže ho o to Správce požádá nebo mu to ukládá zákon.
4. Zpracovatel vede evidenci všech porušení zabezpečení týkajících se Správce.

Článek 13 — Informace a audit

1. Zpracovatel poskytne Správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR (čl. 28 odst. 3 písm. h) GDPR), zejména záznamy o činnostech zpracovatele, popis opatření a seznam dalších zpracovatelů.
2. Správce nebo jím pověřený auditor vázaný mlčenlivostí může provést audit nejvýše jednou ročně s oznámením 30 dní předem, v pracovní době a bez narušení provozu, na náklady Správce. Po porušení zabezpečení nebo na výzvu dozorového úřadu lze audit provést kdykoli.
3. Audit se provádí především dokumentačně (dotazník, doklady, zprávy). U dalších zpracovatelů (datová centra) postačí jejich auditní zprávy a certifikace.

Článek 14 — Zákaz vlastních účelů

1. Zpracovatel nepoužije osobní údaje Správce pro vlastní účely, zejména k tréninku, ladění či vyhodnocování modelů umělé inteligence, k sestavování vzorových či testovacích dat, k profilování, k marketingu ani k předání třetím osobám.
2. Výjimkou jsou jen anonymní agregované statistiky podle čl. 11 odst. 5.

Článek 15 — Kybernetická bezpečnost

Je-li Správce poskytovatelem regulované služby podle zákona č. 264/2025 Sb., Zpracovatel na jeho žádost uzavře dodatek s ujednáními podle přílohy č. 2 vyhlášky č. 410/2025 Sb. (případně přílohy č. 5 vyhlášky č. 409/2025 Sb.). Již nyní se zavazuje:

1. chránit důvěrnost, integritu a dostupnost údajů podle Přílohy 2 (písm. a);
2. umožnit audit podle čl. 13 (písm. b);
3. uložit dalším zpracovatelům stejné povinnosti podle čl. 7 (písm. c);
4. umožnit export a výmaz při ukončení podle čl. 11 (písm. d);
5. užívat data jen podle čl. 4 a 14 (písm. f);
6. zachovávat důvěrnost smluvního vztahu (písm. h);
7. oznamovat podstatné změny Služby a dalších zpracovatelů předem (písm. j);
8. hlásit kybernetické bezpečnostní incidenty týkající se Správce do 24 hodin (písm. k);
9. udržovat zálohy a postup obnovy (písm. l) a uplatňovat zásady bezpečného vývoje (písm. n).

Článek 16 — Odpovědnost

1. Vůči subjektům údajů a dozorovému úřadu odpovídá každá strana podle čl. 82 a 83 GDPR.
2. Mezi stranami nahradí Zpracovatel Správci škodu, včetně uložených pokut a nákladů na oznámení, vzniklou porušením této smlouvy nebo pokynů Správce, až do výše zvláštního limitu podle čl. 9 odst. 4 obchodních podmínek; limit neplatí pro škodu způsobenou úmyslně nebo z hrubé nedbalosti.
3. Správce odpovídá za zákonnost svých pokynů, za právní základ zpracování a za to, že předává jen údaje vlastních pacientů v nezbytném rozsahu.

Článek 17 — Závěrečná ustanovení

1. Smlouva se řídí právem České republiky. Spory rozhodují soudy příslušné podle sídla Zpracovatele.
2. Změny vyžadují písemnou formu; za ni se považuje i elektronické potvrzení ve Službě. Změnu seznamu dalších zpracovatelů upravuje čl. 7.
3. Je-li některé ustanovení neplatné, ostatní zůstávají v platnosti; strany je nahradí platným ustanovením nejbližšího účelu.
4. Smlouva nabývá účinnosti okamžikem uzavření; je-li uzavírána podpisem, podepisuje se elektronicky nebo ve dvou stejnopisech.

Místo a datum: (doplní se při podpisu). Při uzavření ve Službě platí čas přijetí zaznamenaný ve Službě.

Příloha 1 — Popis zpracování

Příloha 2 — Technická a organizační opatření

Pseudonymizace a minimalizace

• Rodné číslo nahrazeno pseudonymem HMAC-SHA256 s tajným klíčem Správce; klíč je v databázi jen zašifrovaný hlavním klíčem uloženým mimo databázi a zničí se při ukončení smlouvy.
• Z textu se před analýzou i před uložením odstraní rodná čísla, data narození, telefonní čísla, e-maily, adresy s PSČ nebo návěštím, jméno pacienta ve všech pádech a jména za titulem, oslovením nebo rodinnou rolí (rozsah a zbytkové riziko v Příloze 1). Odstranění jména pacienta ověřuje automatický test (≥ 99 %).
• Neukládá se rodné číslo, jméno ani datum narození pacienta, jen pseudonym, pohlaví a věk.
• Rodná čísla do exportu doplní Služba jen v paměti ze souboru, který uživatel Správce znovu vybere (čl. 9 odst. 4).
• Zpracovávají se jen údaje potřebné pro kontrolu vykazování.

Důvěrnost

• Šifrování přenosu TLS 1.2+ s HSTS; nahrané soubory šifrované po částech AES-256-GCM, texty zápisů a u nálezů citace, zdůvodnění a poznámky šifrované Fernet (AES-128-CBC s HMAC-SHA256); klíče mimo databázi; šifrování disků a záloh.
• Nahrávání jen po přihlášení a s limitem velikosti; nahraný soubor se šifruje už při přijetí, dočasné soubory jen v operační paměti; původní název souboru jen šifrovaně.
• Oddělení dat jednotlivých správců v aplikaci (každý dotaz omezen na Správce), ověřené automatickým testem.
• Dvoufázové ověření (TOTP) povinné pro všechny uživatele, jeden kód nelze použít dvakrát; hesla nejméně 12 znaků hashovaná Argon2; po 5 chybných pokusech o heslo nebo kód blokace účtu na 15 minut a omezení pokusů z jedné IP adresy; relace nejdéle 12 hodin, odhlášení po 30 minutách nečinnosti.
• Role v ordinaci: správce (zve a odebírá uživatele, obnovuje jim přístup, maže audity) a člen. Pozvánky platí 7 dní a v databázi je jen jejich otisk (hash); obnova přístupu podle čl. 5 odst. 5.
• Administrátorský účet Zpracovatele nemá ve Službě přístup k obsahu zápisů, citacím ani nálezům; na serveru jen podle čl. 5 odst. 4.
• Správa serverů jen klíčem SSH, jen pověřené osoby; databáze nedostupná z internetu; veřejně jen HTTPS.
• Aplikace se k databázi připojuje rolí bez práva měnit strukturu tabulek, hromadně mazat (TRUNCATE) a upravovat auditní log; změny schématu provádí jen vlastník databáze.
• Kontejnery aplikace běží jen pro čtení, dočasné soubory v operační paměti, s limity paměti a procesoru.
• Jazykový model provozován výhradně v Microsoft Azure OpenAI v režimu Data Zone EU; kód povoluje jen schválené deploymenty a volá model s vypnutým ukládáním odpovědí (store=false). O vypnutí ukládání pro abuse monitoring Zpracovatel požádá před prvními reálnými daty.
• Data se nepoužívají k tréninku modelů ani k sestavení testovacích dat; vývoj a testy jen na smyšlených datech.
• Žádná analytika, sledování chyb ani jiné služby třetích stran v aplikaci; e-maily a provozní upozornění bez údajů pacientů.

Integrita

• Auditní log (přihlášení a chybné pokusy, nahrání, zobrazení zápisu, rozhodnutí o nálezech, tisk, exporty, smazání, pozvánky, obnova přístupu, odebrání uživatele) bez obsahu nálezů, chráněný triggery proti úpravám i hromadnému smazání, uchovávaný 2 roky; Správce ho vidí ve Službě a v JSON exportu.
• Citace v nálezech ověřovány proti zdrojovému textu; nálezy potvrzuje člověk.
• Aplikační logy a chybová hlášení bez obsahu zápisů a bez identity pacientů.
• Řízení změn a revize kódu před nasazením; oddělené vývojové prostředí bez reálných dat.

Dostupnost a obnova

• Denní šifrované zálohy v EU s retencí 35 dní; test obnovy čtvrtletně.
• Monitoring dostupnosti a chyb bez osobních údajů v upozorněních.

Organizační opatření

• Písemná mlčenlivost všech pracovníků a dodavatelů; seznam pověřených osob.
• Školení ochrany osobních údajů, bezpečnosti a práce s AI nejméně jednou ročně.
• Postup řešení porušení zabezpečení s ohlášením Správci do 24 hodin.
• Bezpečnostní aktualizace do 14 dní, kritické do 72 hodin; nezávislý bezpečnostní test před ostrým provozem a pak ročně.
• Záznamy o činnostech zpracovatele podle čl. 30 odst. 2 GDPR.

Příloha 3 — Další zpracovatelé

Stav k 16. 10. 2026. Aktuální seznam: nevykazano.cz/pravni/subzpracovatele.

Ollsoft nepoužívá jako dalšího zpracovatele pro údaje pacientů: Cloudflare, Inc. (jen DNS bez průchodu dat aplikace), GitHub, Inc. (jen zdrojový kód), nástroje pro analytiku ani sledování chyb. Vývojové prostředí (server Contabo GmbH, Německo) pracuje jen se smyšlenými daty; údaje pacientů do něj nepatří.