# Smlouva o zpracování osobních údajů (DPA) uzavřená podle čl. 28 odst. 3 Nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR") **Verze 1.0 · publikováno 18. 8. 2026** --- ## Smluvní strany **Správce** Škola identifikovaná při registraci v aplikaci (název, IČO, sídlo dle ARES) — viz záznam akceptace. (dále jen „**Správce**" nebo „**Škola**") a **Zpracovatel** LajsiNET s.r.o. Sídlo: Školní 847, 357 31 Horní Slavkov IČO: 05193478, DIČ: CZ05193478 Kontakt: info@zivotemnanecisto.cz (dále jen „**Zpracovatel**" nebo „**Provozovatel**") (společně dále jen „**Smluvní strany**") --- ## Preambule **Službou** se rozumí webová aplikace **zivotemnanecisto.cz** — vzdělávací simulace finanční gramotnosti pro žáky — provozovaná Zpracovatelem a poskytovaná Škole v rozsahu její aktuální objednávky licence (dále jen „**Služba**"). V rámci poskytování Služby Zpracovatel zpracovává osobní údaje, jejichž správcem je Škola. Tato smlouva je samostatná a úplná; neodkazuje na žádnou jinou smlouvu mezi Smluvními stranami a upravuje veškerá práva a povinnosti Smluvních stran při tomto zpracování. Smlouva je uzavírána elektronicky: Škola ji uzavírá potvrzením úplného znění této verze v aplikaci osobou, která při potvrzení uvede své jméno a funkci a prohlásí, že je ředitelem/ředitelkou školy nebo osobou pověřenou školou k uzavření této smlouvy. O potvrzení Zpracovatel vede záznam (verze, kryptografický otisk textu, datum a čas, jednající osoba) a Správci ho na vyžádání poskytne. --- ## Článek 1 — Předmět a účel zpracování 1.1 Předmětem této smlouvy je úprava zpracování osobních údajů, které Zpracovatel provádí pro Správce v souvislosti s provozem Služby. 1.2 **Účelem zpracování** je výhradně poskytování vzdělávací finanční simulace žákům Školy v rámci výuky (zejména finanční gramotnost žáků 7. a 8. tříd) a zajištění technického chodu, provozu a bezpečnosti Služby. 1.3 Zpracovatel zpracovává osobní údaje **pouze na základě doložených pokynů Správce**, včetně pokynů uvedených v této smlouvě a v objednávce licence, není-li ke zpracování povinen podle práva EU nebo členského státu; v takovém případě Zpracovatel Správce o takovém právním požadavku informuje před zpracováním, ledaže to dané právo zakazuje. 1.4 Pokud se Zpracovatel domnívá, že některý pokyn Správce porušuje GDPR nebo jiné právní předpisy o ochraně osobních údajů, neprodleně o tom Správce informuje. --- ## Článek 2 — Doba zpracování 2.1 Zpracování probíhá **po dobu, po kterou Škola Službu užívá** (tj. od uzavření této smlouvy a založení školy v aplikaci do ukončení užívání Služby, zejména uplynutím nebo neprodloužením licence, případně smazáním školy na žádost Správce). 2.2 Osobní údaje žáků vázané na výuku se zpracovávají po dobu nezbytně nutnou; jejich mazání upravuje čl. 7. 2.3 Po ukončení poskytování Služby se postupuje podle čl. 9 této smlouvy. --- ## Článek 3 — Kategorie subjektů údajů a osobních údajů 3.1 **Kategorie subjektů údajů:** - žáci Školy (zpravidla 7. a 8. třída základní školy, tj. nezletilí); - učitelé a pověření zaměstnanci Školy užívající Službu (uživatelské účty). 3.2 **Kategorie osobních údajů žáků:** - **křestní (zobrazované) jméno** žáka, popř. přezdívka zvolená pro účely hry — slouží k identifikaci žáka ve třídě v rámci Služby; - **přihlašovací kód** žáka (náhodně vygenerovaný neosobní řetězec, který žákům předává Škola) a případný **PIN** (uložený výhradně v podobě kryptografického otisku); - **herní data**: rozhodnutí žáka ve hře, herní stav rodiny, průběh tahů, dosažené skóre v jednotlivých obdobích (segmentech) a textové **reflexe** (odpovědi žáka na reflexní otázky). 3.3 **Kategorie osobních údajů učitelů / zaměstnanců Školy:** - jméno a příjmení, kontaktní e-mail (slouží zároveň jako přihlašovací údaj) a heslo uložené výhradně v podobě kryptografického otisku. 3.4 **Zpracování zvláštních kategorií údajů.** Služba **nevyžaduje ani záměrně nezpracovává** zvláštní kategorie osobních údajů podle čl. 9 GDPR (např. údaje o zdraví, rase, etniku, náboženství) ani příjmení žáků. Správce se zavazuje nevkládat do Služby (zejména do polí jména, přezdívky či reflexí) příjmení, citlivé údaje ani jiné údaje nad rámec účelu zpracování. 3.5 Zpracovatel **neprovádí profilování** ani automatizované rozhodování s právními či obdobně významnými účinky pro subjekty údajů ve smyslu čl. 22 GDPR. Skóre ve hře slouží výhradně k výukovým a herním účelům. --- ## Článek 4 — Povaha zpracování a povinnosti Zpracovatele 4.1 **Povaha a způsob zpracování:** shromažďování, ukládání, strukturování, nahlížení, používání, oprava, výmaz a likvidace osobních údajů prostřednictvím webové aplikace a databáze provozované Zpracovatelem. 4.2 Zpracovatel se zavazuje: a) **zpracovávat osobní údaje pouze na základě doložených pokynů Správce** (čl. 1.3); b) zajistit, aby se osoby oprávněné zpracovávat osobní údaje **zavázaly k mlčenlivosti** nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti; tato povinnost trvá i po skončení jejich činnosti; c) přijmout vhodná **technická a organizační bezpečnostní opatření** podle čl. 32 GDPR (viz čl. 5); d) dodržet podmínky pro zapojení **dalšího zpracovatele** (subzpracovatele) podle čl. 6; e) s ohledem na povahu zpracování **být Správci nápomocen** vhodnými technickými a organizačními opatřeními při plnění povinnosti Správce reagovat na žádosti subjektů údajů o výkon jejich práv (viz čl. 8); f) být Správci **nápomocen při zajišťování souladu** s povinnostmi podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace), a to s ohledem na povahu zpracování a informace, jež má k dispozici; g) v souladu s rozhodnutím Správce **všechny osobní údaje po ukončení** poskytování Služby vymazat nebo vrátit a vymazat existující kopie (viz čl. 9); h) **poskytnout Správci informace** potřebné k doložení, že byly splněny povinnosti podle čl. 28 GDPR, a umožnit a přispět k auditům či kontrolám prováděným Správcem nebo jím pověřeným auditorem (viz čl. 11). --- ## Článek 5 — Technická a organizační bezpečnostní opatření 5.1 Zpracovatel prohlašuje, že ke dni účinnosti této verze smlouvy má zavedena tato opatření (uvedena jsou pouze opatření skutečně zavedená, nikoli zamýšlená): a) **oddělení dat jednotlivých Škol** — data každé Školy jsou v aplikaci vedena pod jejím identifikátorem a dotazy aplikace jsou tímto identifikátorem omezeny, takže Škola vidí pouze svá data; b) **hesla dospělých uživatelů** (učitelé, správci školy, administrátoři) a případné **PINy žáků** jsou uloženy **výhradně v podobě soleného kryptografického otisku** (aktuálně algoritmus scrypt) — v čitelné podobě nejsou uložena nikde a nelze je zpětně zjistit. Přihlašovací kód žáka je náhodně generovaný neosobní řetězec, který slouží jen k přihlášení do hry a který žákům předává Škola; c) **šifrování přenosu** osobních údajů mezi prohlížečem a Službou (HTTPS/TLS); d) **omezený přístup k serveru**: k serveru a k databázi má přístup pouze Zpracovatel (jediná osoba vázaná mlčenlivostí); žádná další osoba k nim přístup nemá; e) **denní zálohy** databáze uložené na tomtéž serveru, s automatickou rotací **90 dní** a přístupné pouze Zpracovateli (viz též čl. 7.3 a čl. 9.3); f) **audit log** — zásahy správců (např. změny stavu školy, resety hesel, mazání dat) se zaznamenávají do protokolu, který je k dispozici pro doložení a pro řešení incidentů; g) provoz na serveru umístěném **v České republice (EU)** (viz čl. 7); h) pseudonymizace tam, kde je to možné — žáci jsou ve Službě vedeni pod křestním jménem nebo přezdívkou a přihlašovacím kódem, nikoli pod celým jménem. 5.2 Zpracovatel je oprávněn bezpečnostní opatření průběžně aktualizovat za podmínky, že nedojde ke snížení dosažené úrovně zabezpečení. --- ## Článek 6 — Další zpracovatelé (subzpracovatelé) 6.1 Správce uděluje Zpracovateli **obecné povolení** k zapojení dalších zpracovatelů za podmínek tohoto článku. 6.2 **Ke dni účinnosti Zpracovatel nevyužívá žádné subzpracovatele; server, síťová vrstva i poštovní infrastruktura jsou provozovány Zpracovatelem v ČR (EU).** 6.3 Zpracovatel **informuje Správce o zamýšleném zapojení dalšího subzpracovatele nebo o jeho nahrazení** s dostatečným předstihem a umožní Správci vznést proti takové změně odůvodněné námitky. Vznese-li Správce v přiměřené lhůtě (např. 14 dní) odůvodněnou námitku, Smluvní strany budou jednat o řešení; nedojde-li k dohodě, je Správce oprávněn vypovědět dotčenou část plnění. 6.4 Zpracovatel uloží každému subzpracovateli **stejné povinnosti** v oblasti ochrany osobních údajů, jaké má sám podle této smlouvy. Neplní-li subzpracovatel své povinnosti, odpovídá Správci za plnění jeho povinností i nadále Zpracovatel. --- ## Článek 7 — Místo zpracování, doba uložení a předávání mimo EU 7.1 Osobní údaje jsou zpracovávány a uloženy **na území České republiky**. 7.2 K **předávání osobních údajů do třetích zemí (mimo EU/EHP)** ani mezinárodním organizacím **nedochází**. Pokud by takové předání mělo v budoucnu nastat, je přípustné pouze na základě předchozího písemného souhlasu Správce a při splnění podmínek kapitoly V GDPR. 7.3 **Doba uložení (retence).** a) Osobní a herní údaje žáků maže Zpracovatel **automatizovaně**: aplikace smaže celou třídu včetně údajů jejích žáků **nejpozději 400 dní po konci školního roku**, ve kterém třída běžela (provozní parametr automatizované retence). b) Správce (učitel Školy) může údaje žáků, celou třídu i celou školu **smazat kdykoli dříve** přímo v aplikaci; aplikace mu navíc dohrané třídy po skončení školního roku ke smazání sama připomíná. c) **Zálohy** se rotují nejvýše **90 dní** — smazaná data proto dožijí v izolovaných zálohách nejvýše 90 dní od svého smazání a po tuto dobu zůstávají chráněna opatřeními podle čl. 5. d) Účty učitelů a správců Školy se zpracovávají po dobu užívání Služby Školou; po jejím ukončení se postupuje podle čl. 9. --- ## Článek 8 — Pomoc s výkonem práv subjektů údajů 8.1 Obrátí-li se subjekt údajů (typicky zákonný zástupce žáka prostřednictvím Školy) přímo na Zpracovatele s žádostí o výkon svých práv, Zpracovatel žádost sám nevyřizuje a **bez zbytečného odkladu ji předá Správci**. 8.2 Zpracovatel je Správci **nápomocen** při vyřizování žádostí o výkon práv subjektů údajů (zejména právo na přístup, opravu, výmaz, omezení zpracování, námitku), a to poskytnutím vhodné technické součinnosti (např. nástroje pro výmaz nebo opravu údajů konkrétního žáka v rámci Služby). --- ## Článek 9 — Ukončení zpracování, výmaz a vrácení údajů 9.1 Po ukončení poskytování Služby z jakéhokoli důvodu Zpracovatel podle volby Správce **osobní údaje vrátí Správci** (ve strukturovaném, běžně používaném strojově čitelném formátu) **nebo je vymaže** a vymaže existující kopie, ledaže právo EU nebo členského státu požaduje jejich uložení. 9.2 Nesdělí-li Správce svou volbu do **30 dnů** od ukončení Služby, Zpracovatel osobní údaje vymaže. 9.3 Výmaz se vztahuje i na zálohy; v zálohách jsou údaje odstraněny nejpozději v rámci běžného cyklu rotace záloh, který nepřesáhne **90 dní**; do té doby zůstávají chráněny bezpečnostními opatřeními podle čl. 5. 9.4 Na žádost Správce vystaví Zpracovatel **potvrzení o provedeném výmazu**. 9.5 Ustanoveními tohoto článku nejsou dotčeny povinnosti Zpracovatele uchovávat účetní a daňové doklady podle právních předpisů; tyto doklady neobsahují osobní údaje žáků. --- ## Článek 10 — Ohlášení porušení zabezpečení 10.1 Zjistí-li Zpracovatel **porušení zabezpečení osobních údajů**, ohlásí je Správci **bez zbytečného odkladu poté, co se o něm dozvěděl**; interním cílem Zpracovatele je ohlásit je do **24 hodin** od zjištění. 10.2 Ohlášení obsahuje alespoň: popis povahy porušení (kategorie a přibližný počet dotčených subjektů a záznamů), pravděpodobné důsledky, přijatá a navrhovaná opatření a kontaktní místo pro další informace. Informace, které nejsou v době ohlášení k dispozici, Zpracovatel doplňuje průběžně. 10.3 **Ohlášení dozorovému úřadu (Úřadu pro ochranu osobních údajů) do 72 hodin podle čl. 33 GDPR a případné oznámení dotčeným subjektům údajů podle čl. 34 GDPR je povinností Správce**; Zpracovatel mu k tomu poskytuje nezbytnou součinnost. 10.4 Kontaktní místo Zpracovatele pro hlášení a dotazy k bezpečnosti: **info@zivotemnanecisto.cz**. --- ## Článek 11 — Audit a doložení souladu 11.1 Zpracovatel poskytne Správci na vyžádání informace nezbytné k doložení plnění povinností podle čl. 28 GDPR a této smlouvy, včetně technického podkladu pro případný screening posouzení vlivu na ochranu osobních údajů (DPIA), které provádí Správce. 11.2 Zpracovatel umožní Správci nebo jím pověřenému auditorovi provedení **auditu či kontroly**, a to v přiměřeném rozsahu, po předchozím přiměřeném oznámení a způsobem, který nenaruší nepřiměřeně provoz Zpracovatele a bezpečnost údajů jiných zákazníků. Náklady na audit nese Správce, není-li dohodnuto jinak. --- ## Článek 12 — Závěrečná ustanovení 12.1 Tato smlouva se řídí právním řádem České republiky a GDPR. 12.2 **Verzování a změny.** Vydaná verze této smlouvy se nikdy nemění; její přesné znění i jeho kryptografický otisk (SHA-256) zůstávají trvale dostupné na adrese `/dpa`. Změna textu se vydává jako **nová verze**; podstatná změna (zejména změna Zpracovatele, účelu, rozsahu zpracování, doby uložení nebo zapojení subzpracovatele) vyžaduje **novou akceptaci** Správcem. O vydání nové verze Zpracovatel Správce informuje. 12.3 Tato smlouva je uzavřena elektronicky potvrzením v aplikaci (viz Preambule); písemná forma se považuje za zachovanou. 12.4 Smlouva nabývá účinnosti dnem potvrzení Správcem v aplikaci. 12.5 Škole je trvale k dispozici přesné znění potvrzené verze ke stažení, včetně údaje o tom, kdo a kdy ji potvrdil. --- *Informační materiál pro rodiče žáků, který Škola může použít pro splnění své informační povinnosti podle čl. 13 GDPR, je k dispozici na adrese `/pro-rodice`.*