Dodatek ke smlouvě o zpracování — zvláštní kategorie údajů

Účinnost od: 10. 11. 2026 · Verze: 1.0

---

Úvodní vysvětlení (netvoří obsah dodatku)

Smlouva o zpracování osobních údajů (dále jen „Smlouva") v článku 3.3 zakazuje, abyste prostřednictvím Boot-OS zpracovávali zvláštní kategorie osobních údajů podle čl. 9 GDPR, tedy například údaje o zdraví, pokud se na tom s námi předem písemně nedohodnete. Tento dodatek je taková dohoda pro jeden konkrétní případ: sběr údajů o zdraví ve formulářích Boot-Form.

Nemusíte ho tisknout. Přijmete ho elektronicky v administraci Boot-Form: u formuláře zapnete volbu „Sbírám údaje o zdraví", zobrazí se vám znění dodatku s vašimi identifikačními údaji, napíšete své jméno a funkci, vlastnoručně se podepíšete do pole (myší, touchpadem, prstem nebo perem), potvrdíte, že jste znění četli, a zadáte kód, který vám pošleme na e-mail účtu. Kopii dodatku dostanete e-mailem. Formulář, který údaje o zdraví sbírá, nelze bez přijatého dodatku zveřejnit.

Dodatek za vás nevyřeší právní základ, informování respondentů ani posouzení rizik. To zůstává vaší odpovědností jako správce (článek 3).

---

Článek 1 — Smluvní strany a vztah ke Smlouvě

1.1. Zpracovatel: Herba Vitae, s.r.o., IČO 08252793, se sídlem Korunní 2569/108, Vinohrady, 101 00 Praha 10, sp. zn. C 352671 vedená u Městského soudu v Praze (dále jen „Zpracovatel").

1.2. Správce: uživatel služby Boot-OS, který tento dodatek přijal v administraci služby (dále jen „Správce"). Jeho identifikační údaje, tedy jméno nebo obchodní firmu, IČO (je-li přiděleno) a adresu sídla či bydliště, předvyplní systém z fakturačních údajů jeho účtu nebo z jím uložené smluvní strany a Správce je před přijetím může upravit. Údaje uvedené při přijetí se uloží do záznamu o přijetí (článek 8).

1.3. Strany uzavřely Smlouvu o zpracování osobních údajů ke službě Boot-OS. Článek 3.3 Smlouvy zakazuje Správci zpracovávat prostřednictvím služby zvláštní kategorie osobních údajů podle čl. 9 GDPR, ledaže se na tom se Zpracovatelem předem písemně dohodne.

1.4. Správce potřebuje ve formulářích zpracovávat údaje o zdraví osob, kterým poskytuje své služby. Tímto dodatkem se strany písemně dohodly za podmínek níže.

---

Článek 2 — Rozsah dohody

2.1. Zpracovatel souhlasí s tím, že Správce zpracovává prostřednictvím modulu Boot-Form (formuláře, dotazníky a kvízy) a s ním související úložiště souborů údaje o zdraví fyzických osob (dále jen „Zdravotní údaje"), a to jen ve formulářích, u nichž Správce v administraci zapnul volbu „Sbírám údaje o zdraví", a jen pro účel, pro který je od respondentů získal: poskytování svých služeb těmto osobám (například individuální poradenství) a vyhodnocení dotazníku nebo kvízu.

2.2. Kategorie Zdravotních údajů: údaje o zdravotním stavu ve smyslu čl. 4 bodu 15 GDPR, zejména diagnózy a onemocnění, užívané léky a doplňky stravy, laboratorní hodnoty, menstruační cyklus a plodnost, těhotenství, trávení, spánek, stres a psychická pohoda, rodinná anamnéza a stravování. Dále údaje o sexuálním životě, pokud s údaji o zdraví souvisejí a Správce je ve formuláři označí jako nepovinné. Dále soubory a fotografie, které respondenti nahrají.

2.3. Subjekty údajů: respondenti formulářů Správce starší 18 let.

2.4. Dodatek se vztahuje jen na Boot-Form. V jiných modulech služby (zejména Boot-Mail, Boot-Book, Boot-Camp a Boot-Pay) Správce Zdravotní údaje zpracovávat nesmí; kontakty pro e-maily proto Zdravotní údaje obsahovat nesmějí. Využití funkcí umělé inteligence upravuje článek 3 písm. d).

---

Článek 3 — Podmínky na straně Správce

Správce se zavazuje, že:

a) Zdravotní údaje sbírá jen ve formulářích označených volbou „Sbírám údaje o zdraví",

b) zajistí právní základ zpracování: výslovný souhlas respondenta podle čl. 9 odst. 2 písm. a) GDPR, udělený zaškrtnutím políčka s odkazem na zásady ochrany osobních údajů, a právní základ podle čl. 6 GDPR (například plnění smlouvy),

c) splní informační povinnost (čl. 13 GDPR) zveřejněním vlastních Zásad ochrany osobních údajů,

d) může používat nástroje umělé inteligence (včetně AI funkcí platformy) při zpracování podkladů a výstupů, a to na vlastní odpovědnost. Zajistí k tomu právní základ (výslovný souhlas respondenta), informuje respondenty v Zásadách ochrany osobních údajů, využívá jen nástroje s nastavením bez použití údajů k trénování modelů, nenechá umělou inteligenci samostatně rozhodovat s právními účinky a neposkytuje Zdravotní údaje jiným třetím osobám,

e) zpracovává jen údaje nezbytné k účelu a nepovinné otázky označí jako nepovinné,

f) nebude shromažďovat Zdravotní údaje osob mladších 18 let,

g) bude vést záznamy o činnostech zpracování (čl. 30 GDPR) a posoudí potřebu posouzení vlivu na ochranu osobních údajů (čl. 35 GDPR),

h) vyřizuje žádosti respondentů (přístup, výmaz, odvolání souhlasu) a v případě žádosti o výmaz odpověď smaže (v administraci, nebo ji na žádost Správce smaže Zpracovatel podle čl. 5 Smlouvy),

i) určí dobu uchování Zdravotních údajů a po jejím uplynutí je smaže,

j) zabezpečí přístup ke svému účtu: použije silné jedinečné heslo, nebo přihlášení přes poskytovatele identity s dvoufázovým ověřením (například účet Google), a nebude sdílet přístup s nepovolanými osobami.

---

Článek 4 — Opatření a závazky Zpracovatele

Zpracovatel nad rámec Přílohy B Smlouvy potvrzuje, že:

a) odpovědi z formulářů jsou přístupné jen Správci (řízení přístupu na úrovni databáze) a soubory od respondentů jsou v soukromém úložišti přístupném jen prostřednictvím časově omezených odkazů,

b) e-mailová upozornění na nové odpovědi neobsahují samotné odpovědi,

c) rozpracované odpovědi uložené na serveru (pokračování na jiném zařízení) se po odeslání smažou a odkaz na ně po 30 dnech od posledního uložení přestane platit,

d) k obsahu odpovědí mají pracovníci Zpracovatele přístup jen k odstranění závady nebo na žádost Správce; přístup se zaznamenává podle Přílohy B1 Smlouvy,

e) AI funkce platformy, které Správce nad odpověďmi použije, zpracovávají poskytovatelé uvedení jako další zpracovatelé v Příloze A, bod A4 Smlouvy, u nichž se vstupy nepoužívají k trénování modelů,

f) porušení zabezpečení Zdravotních údajů oznámí Správci bez zbytečného odkladu podle čl. 5.8 Smlouvy.

---

Článek 5 — Další zpracovatelé a předávání

5.1. Zdravotní údaje zpracovávají další zpracovatelé uvedení v Příloze A Smlouvy. Databáze a úložiště souborů jsou umístěny v EU (Frankfurt).

5.2. Hosting aplikace (Vercel Inc.) může požadavky zpracovávat v EU i v USA. Předání do USA je zajištěno rámcem EU–USA Data Privacy Framework (Příloha A1 Smlouvy). Zdravotní údaje samotné jsou uloženy v databázi v EU.

---

Článek 6 — Ukončení a smazání

Po skončení zpracování, nebo na žádost Správce, Zpracovatel Zdravotní údaje vrátí (export) nebo vymaže, podle článku 10 Smlouvy. Správce odpovídá za to, že si před smazáním účtu odpovědi vyexportuje.

---

Článek 7 — Odpovědnost

Správce odpovídá za zákonnost zpracování Zdravotních údajů, zejména za existenci právního základu a splnění informační povinnosti. Zpracovatel odpovídá za splnění svých povinností podle Smlouvy a tohoto dodatku. Ostatní ustanovení Smlouvy (včetně odpovědnosti) zůstávají nedotčena.

---

Článek 8 — Uzavření dodatku a záznam o přijetí

8.1. Zveřejněním tohoto znění a zpřístupněním přijetí v administraci Zpracovatel činí Správci nabídku na uzavření dodatku. Správce ji přijme (podepíše) tak, že po zobrazení znění dodatku s jeho identifikačními údaji (a) uvede své celé jméno a funkci, ve které za Správce jedná, (b) vlastnoručně se podepíše do podpisového pole (myší, touchpadem, prstem nebo perem na displeji), (c) potvrdí, že znění četl a přijímá ho, (d) zadá potvrzovací kód zaslaný na e-mailovou adresu jeho účtu a (e) zvolí „Podepsat a přijmout dodatek". Uvedené jméno a funkce spolu s nakresleným vlastnoručním podpisem a potvrzením kódem jsou podpisem Správce (elektronickým podpisem). Dodatek je uzavřen okamžikem přijetí. Přijetí je právním jednáním učiněným elektronickými prostředky, které umožňují zachytit jeho obsah a určit jednající osobu (§ 562 odst. 1 občanského zákoníku).

8.2. Zpracovatel o přijetí uchovává záznam: účet Správce, verzi a otisk (SHA-256) přijatého znění, čas přijetí, identifikační údaje Správce uvedené při přijetí, jméno a funkci podepisující osoby, obraz jejího vlastnoručního podpisu a jeho otisk (SHA-256), e-mailovou adresu, na kterou byl zaslán potvrzovací kód, identifikaci prohlížeče (user agent), jednosměrný otisk IP adresy (samotná IP adresa se neukládá) a kontrolní otisk celého záznamu. Záznam je veden systematicky a chráněn proti dodatečným změnám (§ 562 odst. 2 občanského zákoníku). Ihned po přijetí Zpracovatel zašle na e-mailovou adresu účtu Správce kopii dodatku s údaji o přijetí a obrazem podpisu v příloze. Záznam se uchovává po dobu platnosti dodatku a 4 roky po jeho skončení, aby šlo doložit uzavření dodatku a bránit nároky. Výpis ze záznamu Zpracovatel Správci na požádání poskytne.

8.3. Správce odpovídá za to, že údaje o něm uvedené při přijetí jsou správné a úplné. Bez úplných údajů (jméno nebo obchodní firma a adresa) nelze dodatek přijmout.

8.4. Změny dodatku se provádějí postupem podle článku 11.2 Smlouvy. Novou verzi Správce přijme stejným způsobem. Do jejího přijetí nelze zveřejnit formulář se Zdravotními údaji; již zveřejněné formuláře zůstávají zveřejněné po dobu uvedenou v oznámení o změně.

---

Článek 9 — Závěrečná ustanovení

9.1. Dodatek je součástí Smlouvy. Při rozporu má přednost tento dodatek.

9.2. Dodatek nabývá účinnosti okamžikem přijetí podle článku 8.

9.3. Dodatek lze vypovědět se souhlasem obou stran, nebo spolu se Smlouvou.