Obchodní podmínky

Verze 1.1, účinnost od 20. 11. 2026. Závazné je české znění; překlady jsou informativní. Součástí jsou přílohy: zpracovatelská smlouva, certifikační doložka a rozsah exportovatelných dat.

1. Úvodní ustanovení a definice

1.1 Tyto všeobecné obchodní podmínky („VOP“) upravují práva a povinnosti mezi společností RiceLab s.r.o., IČO 22002391, se sídlem Argentinská 1624/32b, Holešovice, 170 00 Praha 7, zapsanou v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 409415 („Poskytovatel“), a zákazníkem („Zákazník“) při poskytování služby toki.cz. 1.2 Pojmy: – Služba – cloudový pokladní, rezervační a evidenční systém toki.cz, dostupný na adrese toki.cz a na subdoméně Zákazníka (<salon>.toki.cz), včetně odesílání údajů o tržbách správci daně podle zákona č. 180/2026 Sb., o evidenci tržeb („ZoET“), rezervačního kalendáře, veřejné stránky salonu, SMS zpráv, přehledů a exportů, v rozsahu Tarifu. – Zákazník – podnikatel (fyzická nebo právnická osoba), který provozuje salon a uzavřel s Poskytovatelem smlouvu. Zákazník není spotřebitelem. – Uživatel – osoba, které Zákazník zřídil přístup do Služby: správce salonu („SHOP ADMIN“) nebo technik („SHOP STAFF“). – Technik-OSVČ – technik pracující v salonu Zákazníka jako samostatný podnikatel pod vlastním IČO, jehož tržby se evidují pod jeho vlastním EIČ. – Zákazník salonu – osoba, která u Zákazníka objednává nebo čerpá služby salonu. – Tarif – rozsah Služby a cena podle ceníku zveřejněného na toki.cz. – Data Zákazníka – veškerá data vložená do Služby Zákazníkem, Uživateli, Techniky-OSVČ a Zákazníky salonu a data vzniklá jejich zpracováním (objednávky, účtenky, záznamy o evidenci tržeb, rezervace, nastavení). – Zpracovatelská smlouva – příloha č. 1 VOP. Certifikační doložka – příloha č. 2 VOP. Rozsah exportu – příloha č. 3 VOP. 1.3 Přílohy jsou součástí VOP. Ve věcech ochrany osobních údajů má přednost Zpracovatelská smlouva, ve věcech certifikátů Certifikační doložka.

2. Uzavření smlouvy

2.1 Smlouva je uzavřena okamžikem, kdy osoba oprávněná jednat za Zákazníka při prvním přihlášení do Služby potvrdí přijetí VOP zaškrtnutím pole „Souhlasím s obchodními podmínkami, zpracovatelskou smlouvou a certifikační doložkou“. Osoba, která pole zaškrtává, prohlašuje, že je oprávněna Zákazníka zavázat. 2.2 Poskytovatel zaznamená datum a čas přijetí, identifikaci Uživatele, verzi VOP a IP adresu a zpřístupní Zákazníkovi přijatou verzi VOP ve Službě. Nová verze VOP vyžaduje nové přijetí (čl. 7). 2.3 Poskytovatel zřídí salon a první účet SHOP ADMIN na základě objednávky Zákazníka (e-mailem, telefonicky nebo při osobním jednání). Do přijetí VOP nelze Službu užívat. 2.4 Smlouva se uzavírá v českém jazyce. Poskytovatel poskytuje vietnamský překlad VOP pro informaci; při rozporu platí české znění. 2.5 Před uzavřením smlouvy Poskytovatel sděluje Zákazníkovi cenu Služby, že za ukončení smlouvy ani za přechod k jinému poskytovateli neúčtuje žádný poplatek, a postup přechodu k jinému poskytovateli (čl. 10).

3. Služba a její meze

3.1 Poskytovatel poskytuje Službu v rozsahu Tarifu. Popis funkcí je na toki.cz. Poskytovatel může Službu rozvíjet; podstatné omezení funkcí oznámí 30 dnů předem. 3.2 Služba je technickým prostředkem pro evidenci tržeb. Poplatníkem je vždy Zákazník nebo Technik-OSVČ. Poskytovatel není poplatníkem, zástupcem ani pověřeným poplatníkem podle § 10 ZoET, nestanoví-li zvláštní písemná dohoda jinak. 3.3 Služba odesílá správci daně údaje o každé uhrazené objednávce automaticky, v plné výši a pod poplatníkem, jemuž tržba náleží. Služba neobsahuje a nebude obsahovat funkci, která by umožnila tržbu neodeslat, odeslat ji v nižší výši nebo pod jiným poplatníkem. Obchází-li Zákazník tuto zásadu (zejména ponecháním uhrazené objednávky v rozpracovaném stavu nebo vedením tržeb mimo Službu v rozporu se zákonem), odpovídá za to sám a Poskytovatel je oprávněn smlouvu vypovědět bez výpovědní doby. 3.4 Rozpracovaná objednávka („draft“) není tržbou ani dokladem. Zákazník je povinen ji dokončit v okamžiku přijetí platby. 3.5 Zákazník odpovídá za správnost a aktuálnost údajů ve Službě: právní název, IČO, DIČ, EIČ, evidenční jednotka, režim evidence (evidovat / „EET OFF“), status plátce DPH, sazby DPH u služeb, ceny, údaje Techniků-OSVČ. Poskytovatel tyto údaje nepřezkoumává; ověření v registru ARES je pouze pomocné. 3.6 Zákazník odpovídá za to, že režim „EET OFF“ nastaví jen tam, kde to zákon dovoluje, a za včasné vložení platného certifikátu. Od 1. 1. 2027 Služba nedovolí dokončit objednávku poplatníka, který má evidovat a nemá platný certifikát. 3.7 Odeslání údajů správci daně vyžaduje připojení k internetu. Při výpadku Služba objednávky uchová a odešle je po obnovení spojení. Zákonnou lhůtu 48 hodin podle § 20 ZoET Služba hlídá upozorněním; zajištění připojení a splnění povinnosti je na Zákazníkovi. 3.8 Služba není účetním ani daňovým poradenstvím, nevede účetnictví ani daňovou evidenci a nenahrazuje archivační povinnosti Zákazníka. Výstupy Služby (měsíční přehledy, podíly techniků, náklady) jsou podklad, nikoli účetní, mzdový ani daňový doklad; daňové doklady vystavené Službou (účtenky, zjednodušené a plné daňové doklady) vystavuje Zákazník nebo Technik-OSVČ jako dodavatel. 3.9 SMS zprávy (rezervační, propagační) jsou součástí Služby v rozsahu předplaceného kreditu. Odesílatelem zprávy vůči Zákazníkům salonu je Zákazník; Poskytovatel zprávu technicky odesílá. Propagační SMS lze odeslat jen příjemcům, jejichž souhlas je ve Službě zaznamenán; každá obsahuje označení salonu a možnost odmítnutí dalších zpráv. Zákazník odpovídá za obsah zpráv a za dodržení zákona č. 480/2004 Sb. 3.10 Hardware (počítač, tiskárnu, platební terminál) a připojení zajišťuje Zákazník. Platby kartou zpracovává poskytovatel terminálu na základě vlastní smlouvy se Zákazníkem; Služba uchovává jen referenci transakce.

4. Technici-OSVČ

4.1 Zákazník může ve Službě vést tržby Techniků-OSVČ pod jejich vlastním EIČ, evidenční jednotkou a certifikátem. Technik-OSVČ je samostatným poplatníkem a dodavatelem na dokladech ke svým tržbám. 4.2 Před vložením certifikátu Technika-OSVČ musí být přijata Certifikační doložka (příloha č. 2). Vkládá-li certifikát Uživatel SHOP ADMIN, přijímá doložku za Technika-OSVČ zaškrtnutím pole při vložení certifikátu a prohlašuje tím, že je k tomu Technikem-OSVČ pověřen a že Technik-OSVČ byl s doložkou seznámen a souhlasí s ní, včetně jejího bodu 4. Zákazník odpovídá Poskytovateli za škodu vzniklou nepravdivostí tohoto prohlášení. Má-li Technik-OSVČ vlastní přístup do Služby, může doložku přijmout sám. 4.3 Technik-OSVČ má právo kdykoli požádat Poskytovatele o výmaz svého certifikátu a o export svých tržeb. Poskytovatel vyhoví do 5 pracovních dnů a informuje Zákazníka. 4.4 Vztah mezi Zákazníkem a Technikem-OSVČ (odměna, podíl, užívání prostor) není předmětem smlouvy a Poskytovatel za něj neodpovídá. Služba podíl pouze vypočítává jako přehled.

5. Účty a bezpečnost

5.1 Zákazník určuje Uživatele a jejich role a odpovídá za jednání Uživatelů ve Službě jako za vlastní. 5.2 Uživatelé jsou povinni chránit přihlašovací údaje, nesdílet účty a bez odkladu hlásit podezření na zneužití na info@toki.cz. Účet SHOP ADMIN musí mít e-mail a telefonní číslo pro obnovu přístupu. 5.3 Zákazník zajistí, aby Uživatelé a Technici-OSVČ byli informováni o zpracování svých osobních údajů (vzor poskytuje Poskytovatel) a aby Zákazník měl oprávnění k údajům, které do Služby vkládá. 5.4 Poskytovatel přistupuje k datům salonu jen pro podporu, odstranění chyby nebo na pokyn Zákazníka, výhradně účtem s rolí SUPERADMIN. Každý přístup je zaznamenán (kdo, kdy, který salon, důvod) a Zákazník jej vidí ve Službě. Pracovníci Poskytovatele v ostatních rolích k datům salonu přístup nemají. 5.5 Při důvodném podezření na zneužití může Poskytovatel účet dočasně zablokovat; Zákazníka informuje bez odkladu.

6. Cena a platební podmínky

6.1 Cena se řídí Tarifem a ceníkem platným v den objednávky nebo změny Tarifu. Ceny jsou v Kč bez DPH. Tarif se určuje podle počtu techniků (zaměstnanců i Techniků-OSVČ); účet SHOP ADMIN se nepočítá. 6.2 Měsíční cena se hradí předem za kalendářní měsíc. Roční předplatné se hradí předem na 12 měsíců se slevou podle ceníku. První a poslední měsíc se účtuje poměrně podle počtu dnů. SMS zprávy se hradí předem jako kredit zakoupený podle ceníku (2,50 Kč za odeslanou SMS); kredit se čerpá za každou odeslanou SMS. Po vyčerpání kreditu Služba SMS neodesílá, dokud Zákazník kredit nedoplní; online rezervace fungují dál s potvrzením na obrazovce. 6.3 Poskytovatel vystavuje daňové doklady elektronicky na e-mail účtu SHOP ADMIN. Splatnost je 14 dnů. Platba se provádí převodem na účet Poskytovatele uvedený na daňovém dokladu nebo hotově proti dokladu. 6.4 Při prodlení zašle Poskytovatel upomínku e-mailem a ve Službě. Trvá-li prodlení 14 dnů po upomínce, může Poskytovatel přístup ke Službě pozastavit. Po dobu pozastavení Služba (a) dokončí odeslání čekajících datových zpráv správci daně za již uhrazené objednávky, (b) ponechá Zákazníkovi přístup k exportu dat, (c) neumožní nové objednávky a rezervace. Pozastavení nezbavuje Zákazníka povinnosti platit cenu do ukončení smlouvy. 6.5 Změna Tarifu je účinná od prvního dne následujícího měsíce. Při ročním předplatném se rozdíl vypořádá započtením na další období.

7. Změny VOP a ceníku

7.1 Poskytovatel může VOP a ceník v přiměřeném rozsahu měnit (§ 1752 občanského zákoníku), zejména kvůli změně právních předpisů, rozsahu Služby, technických podmínek nebo nákladů. 7.2 Změnu oznámí nejméně 30 dnů před účinností e-mailem SHOP ADMIN a ve Službě, s uvedením, co se mění. Zákazník má právo změnu odmítnout a smlouvu vypovědět ke dni účinnosti změny, ve Službě nebo e-mailem. Neučiní-li tak, platí nové znění. 7.3 Zvýšení ceny se nevztahuje na již zaplacené období ročního předplatného.

8. Dostupnost, údržba, podpora

8.1 Poskytovatel usiluje o dostupnost Služby 99,5 % času v kalendářním měsíci mimo plánovanou údržbu. V Tarifech Toki Basic a Toki PRO nejde o zaručenou úroveň a nevzniká nárok na slevu. Zaručená úroveň může být sjednána v Tarifu Toki PRO s individuální cenou (od 20 techniků). 8.2 Plánovanou údržbu s výpadkem oznámí Poskytovatel alespoň 24 hodin předem, zpravidla mimo otevírací dobu salonů. Údržbové okno správce daně (zpravidla čtvrtek 20:00–06:00) není výpadkem Služby; zprávy se odešlou po jeho skončení. 8.3 Podpora je poskytována česky a vietnamsky telefonicky a e-mailem (info@toki.cz) v pracovní dny od 8:00 do 17:00; chyby se hlásí ve Službě (Nastavení → Nahlásit chybu). Podpora se netýká hardwaru a připojení Zákazníka. 8.4 O závažné poruše odesílání údajů správci daně (fronta starší 24 hodin) informuje Poskytovatel Zákazníka ve Službě a e-mailem.

9. Duševní vlastnictví a obsah

9.1 Poskytovatel uděluje Zákazníkovi po dobu trvání smlouvy nevýhradní, nepřenosnou licenci k užití Služby pro provoz jeho salonu nebo salonů. Zákazník nesmí Službu kopírovat, zpřístupňovat třetím osobám mimo Uživatele, zkoumat její zdrojový kód nad rámec zákona ani ji zatěžovat automatizovanými dotazy mimo rozhraní, které Poskytovatel zpřístupní. 9.2 Data Zákazníka náleží Zákazníkovi. Poskytovatel je užije jen k poskytování Služby, k plnění právních povinností a v anonymizované souhrnné podobě ke zlepšování Služby. 9.3 Obsah veřejné stránky salonu (texty, fotografie, logo, ceník) vkládá Zákazník a odpovídá za to, že k němu má práva a že není protiprávní, klamavý ani v rozporu s dobrými mravy. Poskytovatel může protiprávní obsah po upozornění nebo z vlastního zjištění znepřístupnit; Zákazníka informuje s uvedením důvodu a Zákazník se může do 14 dnů ohradit na info@toki.cz, které je kontaktním místem podle nařízení (EU) 2022/2065. Jiný zásah do obsahu Poskytovatel neprovádí. 9.4 Veřejná stránka a rezervační stránka salonu uvádějí Zákazníka jako poskytovatele služeb salonu a Poskytovatele jako provozovatele technického řešení.

10. Data, export, přechod k jinému poskytovateli, výmaz

10.1 Zákazník má po celou dobu trvání smlouvy přístup k exportu Dat Zákazníka ve Službě ve strukturovaném, běžně používaném a strojově čitelném formátu (CSV a JSON) a k měsíčním přehledům v PDF. Rozsah exportu je v příloze č. 3. Export je bez poplatku. 10.2 Zákazník může smlouvu vypovědět kdykoli, i za účelem přechodu k jinému poskytovateli; výpovědní doba nepřesáhne dva měsíce (čl. 12.2). Poskytovatel poskytne při přechodu přiměřenou součinnost (export, vysvětlení formátů) po dobu nejvýše 30 dnů. Nelze-li součinnost v této době poskytnout, oznámí to Poskytovatel do 14 pracovních dnů s uvedením důvodu a náhradní lhůty, nejvýše 7 měsíců. Za přechod k jinému poskytovateli ani za ukončení smlouvy se neúčtuje žádný poplatek. 10.3 Po skončení smlouvy zůstává export dostupný 90 dnů („lhůta pro převzetí dat“). Po jejím uplynutí Poskytovatel Data Zákazníka vymaže; ze záloh zmizí do dalších 90 dnů. Výjimkou jsou údaje, které Poskytovatel musí uchovat ze zákona (vlastní daňové doklady, záznamy o přijetí VOP), a údaje anonymizované. Certifikáty jsou vymazány ihned po skončení smlouvy. 10.4 Zákazník bere na vědomí, že archivaci účetních a daňových záznamů (§ 35 zákona o DPH, § 31 zákona o účetnictví, daňový řád) zajišťuje sám, zejména exportem. Po dobu trvání smlouvy Poskytovatel uchovává objednávky, účtenky a záznamy o evidenci tržeb nejméně 10 let od konce roku, v němž vznikly, a nikdy je nemění. 10.5 Data Zákazníka jsou uložena výhradně na serverech v Evropské unii (ke dni účinnosti VOP ve Spolkové republice Německo). Poskytovatel zveřejňuje na toki.cz popis datových struktur a formátů exportu a popis opatření proti přístupu orgánů třetích zemí k datům. 10.6 Výmaz Zákazníka salonu na jeho žádost a další zpracování osobních údajů upravuje Zpracovatelská smlouva.

11. Odpovědnost

11.1 Poskytovatel odpovídá za škodu způsobenou porušením smlouvy do výše ceny, kterou Zákazník uhradil za Službu v posledních 12 měsících před vznikem škody, nejvýše však 100 000 Kč. Omezení neplatí pro škodu způsobenou úmyslně nebo z hrubé nedbalosti, pro újmu na přirozených právech člověka a tam, kde to zákon nepřipouští (§ 2898 občanského zákoníku). 11.2 Poskytovatel neodpovídá za ušlý zisk a nepřímé škody ani za škodu vzniklou (a) výpadkem připojení, hardwaru nebo elektřiny u Zákazníka, (b) nesprávnými nebo neúplnými údaji Zákazníka nebo Technika-OSVČ (EIČ, evidenční jednotka, režim, DPH, ceny), (c) chybějícím, neplatným nebo zneužitým certifikátem, nezavinil-li zneužití Poskytovatel, (d) jednáním Uživatelů, (e) službami třetích osob (správce daně, operátoři, poskytovatel terminálu, SMS brána), (f) vyšší mocí. 11.3 Sankce uložené Zákazníkovi nebo Technikovi-OSVČ správcem daně nese Zákazník, ledaže vznikly výlučně porušením smlouvy Poskytovatelem; i pak platí čl. 11.1. 11.4 Zákazník odpovídá Poskytovateli za škodu způsobenou porušením čl. 3.3, 3.9, 5 a 9.3 a za nároky třetích osob z obsahu, který vložil.

12. Trvání a ukončení smlouvy

12.1 Smlouva se uzavírá na dobu neurčitou. 12.2 Zákazník může smlouvu vypovědět kdykoli bez udání důvodu. Výpovědní doba končí posledním dnem kalendářního měsíce následujícího po doručení výpovědi. Při ročním předplatném končí smlouva koncem předplaceného období, nebo dříve na žádost Zákazníka bez nároku na vrácení ceny. 12.3 Poskytovatel může smlouvu vypovědět bez udání důvodu s výpovědní dobou 3 měsíce, nikdy však s účinností v období od 1. prosince do 31. ledna. Ukončení Služby jako celku oznámí Poskytovatel 6 měsíců předem. 12.4 Poskytovatel může smlouvu vypovědět bez výpovědní doby, pokud Zákazník (a) je v prodlení s platbou déle než 30 dnů po upomínce, (b) porušuje čl. 3.3, 5.2 nebo 9, (c) užívá Službu protiprávně nebo k poškození Poskytovatele či třetích osob, (d) vstoupí do likvidace nebo je zjištěn jeho úpadek. 12.5 Ukončením smlouvy nejsou dotčeny čl. 10, čl. 11 a povinnosti podle Zpracovatelské smlouvy.

13. Ochrana osobních údajů

13.1 Pro osobní údaje Zákazníků salonu, Uživatelů a Techniků-OSVČ je Zákazník správcem a Poskytovatel zpracovatelem; práva a povinnosti upravuje Zpracovatelská smlouva (příloha č. 1). 13.2 Pro osobní údaje kontaktních osob Zákazníka, účtů SHOP ADMIN, fakturace a podpory je Poskytovatel správcem; informace jsou v Zásadách ochrany osobních údajů na toki.cz/privacy. 13.3 Zákazník je povinen informovat Zákazníky salonu, Uživatele a Techniky-OSVČ o zpracování jejich údajů. Poskytovatel k tomu poskytuje vzorové texty a zobrazuje je na rezervační stránce salonu.

14. Komunikace

14.1 Poskytovatel komunikuje se Zákazníkem na e-mail a telefon účtu SHOP ADMIN a oznámeními ve Službě. Zákazník komunikuje s Poskytovatelem e-mailem na info@toki.cz nebo telefonicky na čísle uvedeném na toki.cz. Zpráva se považuje za doručenou následující pracovní den. 14.2 Zákazník udržuje své kontaktní údaje aktuální.

15. Závěrečná ustanovení

15.1 Smlouva se řídí právem České republiky. Spory rozhodují soudy České republiky; místně příslušný je soud podle sídla Poskytovatele. 15.2 Zákazník potvrzuje, že se s VOP včetně příloh seznámil. Na ustanovení čl. 3.3, 6.4, 10.3, 11 a 12.4 byl zvlášť upozorněn před zaškrtnutím pole podle čl. 2.1 (§ 1753 občanského zákoníku). 15.3 Je-li některé ustanovení neplatné, ostatní zůstávají v platnosti. 15.4 Zákazník nesmí smlouvu postoupit bez souhlasu Poskytovatele. Poskytovatel může smlouvu postoupit nástupnické společnosti; Zákazníka informuje a Zákazník může do 30 dnů smlouvu vypovědět. 15.5 Tyto VOP nabývají účinnosti dne 15. 10. 2026. Přehled verzí je na toki.cz/terms.

Zpracovatelská smlouva

Příloha č. 1 Všeobecných obchodních podmínek služby toki.cz. Uzavřena podle čl. 28 nařízení (EU) 2016/679 („GDPR“) mezi Zákazníkem jako správcem („Správce“) a Poskytovatelem jako zpracovatelem („Zpracovatel“). Pojmy mají význam podle VOP. 1. Předmět a doba zpracování 1.1 Zpracovatel zpracovává pro Správce osobní údaje v rozsahu, v jakém je Správce, jeho Uživatelé, Technici-OSVČ a Zákazníci salonu vloží do Služby nebo v jakém ve Službě vzniknou, a to po dobu trvání smlouvy a lhůty pro převzetí dat (VOP čl. 10.3). 1.2 Povaha a účel: provoz pokladního, rezervačního a evidenčního systému pro salon Správce, odesílání údajů o tržbách správci daně, vystavování dokladů, rezervace a komunikace se Zákazníky salonu, přehledy pro Správce. 2. Kategorie subjektů údajů a osobních údajů – Zákazníci salonu: jméno, telefon, e-mail, rezervace a jejich výsledky (přišel / zrušil pozdě / nepřišel), příznak opakovaných problémů, souhlas s propagačními zprávami a jeho odvolání, poznámky Správce – Obchodní zákazníci na daňových dokladech: název, IČO, DIČ, adresa – Uživatelé (zaměstnanci, technici): jméno, přihlašovací jméno, e-mail, telefon, fotografie, role, dostupnost, podíl na tržbách, historie typu, objednávky, které obsloužili – Technici-OSVČ: navíc IČO, DIČ a EIČ (u fyzické osoby může obsahovat rodné číslo), evidenční jednotka, adresa, status plátce DPH, pokladní certifikát a heslo (šifrovaně) – Dodavatelé na fotografiích účtenek: údaje na účtence – Správce a jeho kontaktní osoby: v rozsahu, v jakém jsou v datech salonu 2.1 Zpracování nezahrnuje zvláštní kategorie údajů (čl. 9 GDPR). Vloží-li Správce do poznámek takové údaje (např. o zdravotním stavu nebo alergiích), odpovídá za právní základ sám; Zpracovatel s poznámkami nakládá jako s důvěrnými. 2.2 Údaje o platebních kartách Služba nezpracovává; zpracovává je poskytovatel platebního terminálu jako samostatný správce. 3. Pokyny Správce 3.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce. Pokyny jsou tato smlouva, VOP a užívání Služby a jejích nastavení Správcem a jeho Uživateli (např. vytvoření rezervace, odeslání SMS, výmaz zákazníka, export). 3.2 Zpracovatel Správce bez odkladu informuje, pokud má za to, že pokyn porušuje GDPR nebo jiný právní předpis. 3.3 Odeslání údajů o tržbách správci daně a vystavení daňových dokladů jsou plněním právní povinnosti Správce nebo Technika-OSVČ; Zpracovatel je provádí automaticky podle VOP čl. 3.3. 4. Povinnosti Zpracovatele Zpracovatel – (a) zpracovává osobní údaje jen pro účely podle čl. 1 a nikoli pro vlastní účely, s výjimkou anonymizovaných souhrnných údajů ke zlepšování Služby a údajů, u nichž je sám správcem (Zásady ochrany osobních údajů na toki.cz/privacy); – (b) zajistí, že osoby oprávněné zpracovávat osobní údaje jsou zavázány mlčenlivostí; – (c) přijme opatření podle čl. 32 GDPR uvedená v příloze B; – (d) dodržuje podmínky pro zapojení dalších zpracovatelů podle čl. 6; – (e) je Správci nápomocen při plnění práv subjektů údajů podle čl. 7; – (f) je Správci nápomocen při zabezpečení, ohlašování porušení, posouzení vlivu a konzultacích podle čl. 8; – (g) po skončení zpracování vymaže nebo vrátí osobní údaje podle čl. 9; – (h) poskytne Správci informace a umožní audity podle čl. 11. 5. Přístup k údajům 5.1 K datům salonu přistupují u Zpracovatele jen osoby s rolí SUPERADMIN, výhradně pro podporu, odstranění chyby, zálohu a obnovu nebo na pokyn Správce. Každý přístup do salonu je zaznamenán (kdo, kdy, důvod, odkud) a Správce jej vidí ve Službě. 5.2 Ostatní pracovníci Zpracovatele (role ADMIN, vývoj) k datům salonu nepřistupují; vývoj a testování probíhají na datech smyšlených. 5.3 Zpracovatel vede evidenci zpracovatelských činností podle čl. 30 odst. 2 GDPR. 6. Další zpracovatelé 6.1 Správce uděluje obecné povolení k zapojení dalších zpracovatelů uvedených v příloze A a v Zásadách ochrany osobních údajů na toki.cz/privacy. 6.2 Zamýšlenou změnu (nový další zpracovatel, změna umístění) oznámí Zpracovatel nejméně 30 dnů předem e-mailem na účet SHOP ADMIN a ve Službě. Správce může do 30 dnů vznést námitku; nedojde-li k dohodě, může Správce smlouvu vypovědět bez poplatku ke dni, kdy má změna nastat. 6.3 Zpracovatel uloží dalšímu zpracovateli písemnou smlouvou stejné povinnosti ochrany údajů, jaké má sám, a odpovídá Správci za jeho plnění. 7. Práva subjektů údajů 7.1 Správce vykonává práva subjektů údajů nástroji Služby (vyhledání všech údajů k telefonnímu číslu nebo osobě, jejich oprava, export v běžném formátu a výmaz; každé použití je zaznamenáno). Dokud některý nástroj není ve Službě k dispozici, provede úkon Zpracovatel na pokyn Správce do 5 pracovních dnů. 7.2 Výmaz Zákazníka salonu odstraní jeho jméno, telefon, e-mail, rezervace, výsledky a příznak. Dokončené objednávky a doklady zůstávají bez vazby na zákazníka, protože je Správce musí uchovávat ze zákona a nikdy se nemění. 7.3 Žádost subjektu údajů, která dojde Zpracovateli, předá Zpracovatel Správci do 3 pracovních dnů a bez pokynu Správce ji nevyřizuje, s výjimkou jednoduchého vysvětlení, kdo je správcem. 7.4 Další součinnost nad rámec nástrojů Služby poskytne Zpracovatel do 5 pracovních dnů od žádosti Správce. 8. Zabezpečení, porušení zabezpečení, posouzení vlivu 8.1 Zpracovatel udržuje opatření podle přílohy B a aktualizuje je podle stavu techniky; snížení úrovně ochrany oznámí Správci předem. 8.2 Porušení zabezpečení osobních údajů, které se týká dat Správce, oznámí Zpracovatel Správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl, na e-mail účtu SHOP ADMIN a ve Službě. Oznámení obsahuje povahu porušení, dotčené kategorie a přibližný počet subjektů a záznamů, pravděpodobné důsledky, přijatá opatření a kontakt. Informace, které nejsou k dispozici hned, doplní Zpracovatel postupně. 8.3 Zpracovatel vede evidenci všech bezpečnostních incidentů, i těch neohlášených, a je Správci nápomocen při ohlášení Úřadu pro ochranu osobních údajů a subjektům údajů (čl. 33 a 34 GDPR). 8.4 Na žádost poskytne Zpracovatel Správci informace potřebné pro posouzení vlivu na ochranu osobních údajů a předchozí konzultaci (čl. 35 a 36 GDPR). 9. Doby uchování, výmaz a vrácení 9.1 Po dobu trvání smlouvy uplatňuje Zpracovatel doby uchování podle přílohy C jako pokyn Správce; Kratší doby může Správce sjednat se Zpracovatelem písemně. 9.2 Po skončení smlouvy platí VOP čl. 10.3: export dostupný 90 dnů, poté výmaz; ze záloh do dalších 90 dnů; certifikáty ihned; výjimka jen pro údaje, které Zpracovatel musí uchovat ze zákona. 9.3 Na žádost Správce potvrdí Zpracovatel provedení výmazu písemně. 10. Umístění údajů a předávání 10.1 Osobní údaje jsou uloženy a zpracovávány na serverech v Evropské unii (příloha A). Zpracovatel je nepředá do třetí země ani mezinárodní organizaci bez záruk podle kapitoly V GDPR a bez předchozího oznámení Správci podle čl. 6.2. 10.2 Zpracovatel zveřejňuje na toki.cz popis opatření proti neoprávněnému přístupu orgánů třetích zemí k datům a informaci o právním řádu, kterému podléhá jeho infrastruktura (nařízení (EU) 2023/2854, čl. 28). 10.3 Obdrží-li Zpracovatel žádost orgánu veřejné moci o přístup k datům Správce, informuje Správce, pokud to zákon nezakazuje, a poskytne jen nezbytné minimum. 11. Audit 11.1 Zpracovatel poskytne Správci na žádost dokumentaci k plnění této smlouvy (popis opatření, souhrn výsledků bezpečnostních testů, seznam dalších zpracovatelů, záznam přístupů do salonu). 11.2 Nepostačuje-li dokumentace, může Správce nejvýše jednou za 12 měsíců, s oznámením 30 dnů předem, v pracovní době a bez narušení provozu provést audit sám nebo nezávislým auditorem vázaným mlčenlivostí. Náklady nad jeden pracovní den Zpracovatele nese Správce, ledaže audit prokáže podstatné porušení smlouvy. 12. Odpovědnost a závěrečná ustanovení 12.1 Odpovědnost stran se řídí VOP čl. 11; tím není dotčena odpovědnost podle čl. 82 GDPR v rozsahu, v jakém ji nelze smluvně omezit. 12.2 Smlouva trvá, dokud Zpracovatel zpracovává osobní údaje Správce. Řídí se právem České republiky. Při rozporu s VOP má ve věcech ochrany osobních údajů přednost tato smlouva. Příloha A — Další zpracovatelé – Hetzner Online GmbH, Gunzenhausen, DE: provoz serverů, úložiště souborů (loga, fotografie), zálohy (Norimberk, Německo; smlouva o zpracování (EU)) – Neon Inc. (databáze PostgreSQL): databáze Služby (region eu-central-1, Frankfurt, Německo; smlouva o zpracování se standardními smluvními doložkami pro případnou podporu z USA) – Functional Software Inc. (Sentry): sledování chyb aplikace (datová oblast EU; smlouva o zpracování, standardní smluvní doložky) – PostHog Inc.: užívání Služby (události bez údajů Zákazníků salonu) (EU cloud, Frankfurt, Německo; smlouva o zpracování, standardní smluvní doložky) – TOPefekt s.r.o. (BulkGate), Šumperk, CZ: odesílání SMS Zákazníkům salonu (Česká republika; smlouva o zpracování) Poskytovatel e-mailové služby (se zpracováním v EU) bude doplněn před prvním použitím postupem podle čl. 6.2. Nejsou dalšími zpracovateli: poskytovatel platebního terminálu (samostatný správce), správce daně (příjemce ze zákona), Slack a GitHub (bez osobních údajů Správce). Aktuální seznam: toki.cz/privacy. Příloha B — Technická a organizační opatření Stav ke dni 15. 10. 2026. Opatření označená „(zavádí se)“ zavede Zpracovatel nejpozději před zahájením evidence tržeb Zákazníka, nejpozději do 1. 1. 2027; do té doby platí ostatní uvedená opatření. Šifrování a přenos – Veškerý přenos přes HTTPS (TLS 1.2+), HSTS; spojení s databází šifrované (zavádí se). – Pokladní certifikáty a hesla k nim šifrovány na úrovni aplikace klíčem, který není v databázi ani v kódu; oddělený klíč pro ostrá a pro testovací prostředí; klíč uložen u dvou osob ve správci hesel (zavádí se). – Data v databázi a zálohy šifrovány v klidu u poskytovatele úložiště; zálohy šifrovány před uložením (zavádí se). Přístup a identita – Role SUPERADMIN, ADMIN, SHOP ADMIN, SHOP STAFF s oprávněními vynucenými na serveru; data salonu dostupná jen jeho účtům a roli SUPERADMIN. – Oddělení salonů na úrovni databáze (Row-Level Security) (zavádí se). – Hesla ukládána jen jako hash (PBKDF2); přihlášení passkey (WebAuthn); dvoufázové přihlášení pro SUPERADMIN (zavádí se); omezení počtu pokusů o přihlášení (zavádí se). – Relace vázána na doménu salonu (cookie jen pro daný host, HttpOnly, Secure), platnost 14 dnů; vyrovnávací paměť aplikace smazána při odhlášení. – Přístup podpory jen rolí SUPERADMIN, zaznamenán a viditelný Správci. – Produkční databáze oddělena od vývojových; žádné testovací účty v produkci (zavádí se). Provoz a odolnost – Zálohy databáze denně, uchovány 90 dnů, šifrované, uložené v EU; obnova testována čtvrtletně (zavádí se). – Bodová obnova databáze (point-in-time) u poskytovatele databáze (zavádí se). – Monitorování dostupnosti a fronty odesílání tržeb s upozorněním (SMS, Slack) (zavádí se). – Aktualizace systému a závislostí; bezpečnostní hlavičky (HSTS, nosniff, X-Frame-Options, Referrer-Policy); omezení typu a velikosti nahrávaných souborů; security.txt pro hlášení zranitelností. Organizace – Mlčenlivost pracovníků a spolupracovníků Zpracovatele. – Zásada minimalizace: Zákazníci salonu nejsou v telemetrii ani ve sledování chyb; EIČ/DIČ fyzických osob maskováno v seznamech a vyloučeno z logů (zavádí se). – Postup pro bezpečnostní incidenty: kdo rozhoduje, šablona oznámení Správci do 48 hodin, evidence incidentů (zavádí se). – Evidence zpracovatelských činností; roční přezkum těchto opatření. Příloha C — Doby uchování (pokyn Správce) – Objednávky, položky, platby, účtenky, záznamy o evidenci tržeb a pokusy: 10 let od konce roku vzniku (výmaz (po skončení smlouvy podle VOP čl. 10.3)) – Obchodní zákazník na daňovém dokladu: s dokladem (–) – Rezervace: 24 měsíců od data rezervace (výmaz) – Zákazník salonu (jméno, telefon, e-mail), výsledky, příznak: 24 měsíců od poslední rezervace (anonymizace (zůstávají jen počty)) – Souhlas s propagačními zprávami, jeho odvolání: po dobu platnosti + 3 roky od odvolání nebo poslední zprávy (výmaz) – Záznamy o odeslaných SMS: 3 roky (výmaz) – Přihlašovací údaje Uživatele po deaktivaci účtu: 30 dnů (výmaz; jméno zůstává u objednávek) – Daňové údaje Technika-OSVČ: s objednávkami (–) – Pokladní certifikát a heslo: do výmazu na žádost, odvolání, skončení smlouvy, nebo 30 dnů po skončení platnosti (výmaz) – Fotografie účtenek k nákladům: 5 let (výmaz) – Záznamy o změnách (audit) a přístupech podpory: 5 let (výmaz) – Relace, tokeny pro obnovu hesla: 14 dnů; tokeny 24 hodin po vypršení (výmaz) – Zálohy: 90 dnů rotace (přepsání)

Certifikační doložka

Přijímá Zákazník za salon a každý Technik-OSVČ za sebe před vložením certifikátu do Služby. „Poplatník“ je ten, kdo doložku přijímá. 1. Poplatník vkládá do Služby svůj pokladní certifikát vydaný Certifikační autoritou EET (soubor .p12) a heslo k němu. 2. Poplatník bere na vědomí, že podle § 14 ZoET je povinen zabránit zneužití certifikátu a bez zbytečného odkladu oznámit správci daně jeho zneužití nebo hrozící zneužití. Vložením certifikátu Poplatník pověřuje Poskytovatele, aby certifikátem podepisoval datové zprávy o tržbách Poplatníka zaevidovaných ve Službě a odesílal je správci daně. Nejde o pověření podle § 10 ZoET ani o zastoupení; poplatníkem zůstává Poplatník. 3. Poskytovatel se zavazuje: (a) uchovávat certifikát a heslo vždy šifrovaně, s klíčem mimo databázi; (b) nepředat je nikomu, nevydat je rozhraním Služby ani je nezobrazit; (c) nepoužít je k ničemu jinému než k podpisu datových zpráv Poplatníka a k obnově certifikátu, pokud ji Poplatník zapne; (d) vymazat je bez odkladu na žádost Poplatníka, při odvolání certifikátu, při ukončení smlouvy, nebo 30 dnů po skončení platnosti; (e) oznámit Poplatníkovi a Zákazníkovi bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, každé podezření, že klíč mohl být vyzrazen, aby Poplatník mohl certifikát odvolat. 4. Poplatník bere na vědomí, že EIČ obsahuje jeho DIČ, které u fyzické osoby může obsahovat rodné číslo. Souhlasí s jeho využitím ve Službě pro evidenci tržeb a daňové doklady v rozsahu, v jakém to vyžaduje zákon (§ 13c zákona č. 133/2000 Sb.), a bere na vědomí, že je ve Službě zobrazováno jen oprávněným Uživatelům. 5. Poplatník může kdykoli požádat o výmaz certifikátu a o export svých tržeb (VOP čl. 4.3) a může certifikát kdykoli odvolat v portálu MOJE daně. 6. Odpovědnost Poskytovatele za zneužití certifikátu, které zavinil, se řídí VOP čl. 11; omezení podle čl. 11.1 se nepoužije při úmyslu nebo hrubé nedbalosti. 7. Vkládá-li certifikát Uživatel SHOP ADMIN, zní text u zaškrtávacího pole: „Potvrzuji jako správce salonu, že Technik-OSVČ [jméno, IČO] mě pověřil vložením jeho certifikátu a přijetím této doložky jeho jménem, že byl s doložkou seznámen a souhlasí s ní, včetně využití svého rodného čísla v EIČ (bod 4).“ Služba zaznamená, kdo zaškrtl, kdy, za koho a kterou verzi doložky.

Rozsah exportovatelných dat

Export je dostupný ve Službě (Nastavení → Export dat) pro účet SHOP ADMIN, pro Technika-OSVČ v rozsahu jeho tržeb. Formáty: CSV (UTF-8, středník) a JSON; měsíční přehledy PDF. Popis polí poskytne Poskytovatel na vyžádání na info@toki.cz a zveřejní jej na toki.cz. – orders: objednávky: číslo dokladu, datum a čas, poplatník, technik, pokladna, částka, DPH, stav, rozpracované označeny (CSV, JSON) – order_items: položky objednávek: název, množství, cena, sazba a výše DPH (CSV, JSON) – payments: platby: způsob, částka, čas, reference terminálu (CSV, JSON) – receipts: účtenky a daňové doklady: snímek dokladu, typ, číslo, dodavatel, odběratel (JSON, PDF) – eet_records, eet_attempts: záznamy o evidenci tržeb: EIČ, evidenční jednotka, pokladna, pořadové číslo, čas, částka, POK, všechny pokusy včetně odeslané a přijaté XML zprávy (CSV, JSON, XML) – taxpayers: poplatníci salonu: název, IČO, DIČ, EIČ, evidenční jednotka, režim, historie DPH (CSV, JSON) – technicians, users: technici a účty: jméno, role, typ (zaměstnanec / OSVČ) s historií, podíl s historií, kontaktní údaje; bez hesel a passkeys (CSV, JSON) – services, categories: katalog služeb a kategorií včetně vypnutých (CSV, JSON) – bookings, booking_customers: rezervace, zákazníci salonu, výsledky a příznak, souhlasy s propagací (CSV, JSON) – expenses + fotografie: náklady a přiložené fotografie účtenek (CSV, JSON, soubory) – statements: měsíční přehledy za každého poplatníka (PDF, CSV) – audit_log, support_sessions: změny údajů poplatníků, nákladů, podílů; přístupy podpory (CSV, JSON) – settings: nastavení salonu, veřejné stránky a rezervací, otevírací doba, logo (JSON, soubory) Do exportu nepatří: certifikáty a hesla k nim (Poplatník je má z portálu MOJE daně; ve Službě se vymažou), hesla a passkeys Uživatelů, interní provozní logy a konfigurace Poskytovatele, data jiných salonů.