Interní pracovní dokument. Slouží jako referenční podklad pro odpovídání na dotazníky dodavatelského due diligence od klientů/tenantů a pro interní přehled o zpracování osobních údajů na platformě Sokordia iSpis. Doplňuje, nenahrazuje formální Evidenci zpracování dle čl. 30 GDPR (gdpr-zaznamy.md) a veřejnou Privacy Policy (ispis.cz/onas/privacy-policy).
Verze: 1.0 | Datum: 2026-01-01 | Zpracoval: Mgr. Martin Šárfy
Pověřenec pro ochranu osobních údajů (DPO): Mgr. Milan Kvasnica, advokát (milan@kvasnica.cz). Pověření potvrzeno jako aktuálně platné.
Sokordia provozuje multi-tenantní SaaS platformu Sokordia iSpis pro klienty (tenanty) působící zejména v oblasti poskytování spotřebitelských úvěrů, správy a vymáhání pohledávek, prověřování osob (screening) a komunikace s orgány veřejné moci (datové schránky, soudy, exekutorské a insolvenční rejstříky).
Ve vztahu k osobním údajům koncových zákazníků, dlužníků a prověřovaných osob jednotlivých tenantů vystupuje Sokordia zpravidla jako zpracovatel — účel a prostředky zpracování určuje tenant (správce) na základě smlouvy o zpracování osobních údajů/obchodních podmínek. Sokordia jako samostatný správce zpracovává pouze vlastní administrativní údaje (fakturace, přístupové účty uživatelů systému, provozní logy).
"Tenant" v tomto dokumentu = obchodní klient Sokordia provozující vlastní logicky oddělenou instanci na platformě, identifikovaný interním kódem (ak).
Podrobný výčet jednotlivých zpracování a jejich právních titulů je veden v Evidenci zpracování (gdpr-zaznamy.md). Souhrnně jde zejména o:
Právním titulem je zejména smlouva mezi tenantem a subjektem údajů (úvěrová smlouva, smlouva o vymáhání pohledávek), oprávněný zájem (ochrana majetku, vymáhání nároků) a plnění zákonných povinností; u veřejných rejstříků jde o zákonem stanovenou veřejnost údajů.
Napříč tenanty jde zejména o:
Přesný datový model je specifický pro každou entitu (tabulku) systému — viz Evidence zpracování, bod 4, pro plný výčet.
Platforma je navržena tak, aby data jednotlivých tenantů byla vzájemně logicky oddělená a nedostupná mezi tenanty navzájem (oddělení na úrovni databáze/aplikace dle identifikátoru tenanta). Přístup uživatelů je omezen výhradně na data tenanta, ke kterému náleží.
| Oblast | Dodavatel | Poznámka |
|---|---|---|
| Hosting produkčních serverů | vlastní server ve vlastním racku v budově českého poskytovatele internetových služeb | budova se stálou fyzickou ostrahou a kamerovým systémem; ČR/EU |
| Cloud storage | Google Cloud Platform — Google Ireland Limited | pouze region EHP (Irsko) |
| SMS brána | ATS Praha s.r.o., Garden Eleven, Kubánské náměstí 11, 100 00 Praha, IČO 27635007 | |
| Doručování listovních zásilek | Česká pošta, s.p. | potvrzeno, aktuálně používáno |
| Účetnictví | Marta Vránová, Brušperská 657, 739 23 Stará Ves nad Ondřejníkem, IČ 13599275, DIČ CZ5756110613 | |
| Přístup do veřejných rejstříků | Exekutorská komora ČR, Slovenská komora exekútorov | potvrzeno fakturou v evidenci nákladů |
| Hostingové služby | Web4U, s.r.o. | potvrzeno fakturou v evidenci nákladů |
| Odesílání a příjem SMS | Interactive Marketing, s.r.o. | potvrzeno fakturou v evidenci nákladů |
Se všemi subdodavateli zpracovávajícími osobní údaje jsou uzavřeny smlouvy o zpracování osobních údajů (písemně nebo formou odsouhlasených obchodních podmínek).
Veškerá infrastruktura zpracovávající osobní údaje tenantů je provozována výhradně na území Evropského hospodářského prostoru (ČR — vlastní server; Irsko — Google Cloud Platform). Mimo EHP nejsou osobní údaje přenášeny ani zpřístupňovány, s výjimkou veřejně dostupných výstupů z lustrací ve veřejných rejstřících, které jsou veřejné ze zákona.
Formální certifikace (např. ISO 27001) a pravidelné externí penetrační testy jsou v přípravě. Bezpečnost je zatím řešena průběžně interním code review a sledováním doporučení v oblasti kybernetické bezpečnosti.
Retenční doby se řídí individuálně požadavky konkrétního tenanta a jsou dány zejména zákonnými archivačními lhůtami pro úvěrové a vymáhací účely, případně skartačním řádem tenanta. Po uplynutí retenční doby, resp. na žádost tenanta, jsou osobní údaje nevratně likvidovány (nikoli pouze deaktivovány).
Žádosti subjektů údajů (přístup, oprava, výmaz, přenositelnost aj.) lze podat e-mailem na info@sokordia.cz. Žádosti jsou standardně vyřizovány bez zbytečného odkladu, typicky do několika pracovních dnů, s ohledem na povahu žádosti a součinnost dotčeného tenanta (v roli správce).
Společnost má zaveden formální Incident Response plán (incident-response-plan.md). V případě zjištění bezpečnostního incidentu týkajícího se osobních údajů je incident interně řešen dle tohoto plánu a dotčený tenant je o něm informován bez zbytečného odkladu, tak aby mohl případně splnit svou oznamovací povinnost dle čl. 33/34 GDPR.
Přístup k osobním údajům tenantů je omezen na nezbytný okruh osob podílejících se na vývoji a provozu platformy. Zaměstnanci a spolupracovníci mající potenciální přístup k datům jsou smluvně vázáni mlčenlivostí.
Sokordia jako zpracovatel informuje dotčeného klienta (tenanta, v roli správce) na kontakt uvedený v příslušné smlouvě, zejména o:
Informování probíhá písemně (e-mailem na kontaktní osobu klienta) a je dokumentováno.
/onas/doc/gdpr-zaznamy/onas/doc/privacy-policy/onas/doc/incident-response-plan/onas/gdpr