Smlouva o zpracování osobních údajů

1.1Zpracovatel pro správce zajišťuje uložení, uspořádání, výběr, rešerši a zpracování jeho podkladů a kontaktů, přípravu a revize obchodních dopisů, evidenci schvalování, export a výmaz. Tisk, poštovní podání a vyřizování reakcí se provádějí v rozsahu potvrzené objednávky a doložených pokynů správce.

1.2Účelem je poskytování konkrétně objednané služby správci. Dotčenými osobami jsou zástupci a pracovníci správce, jeho obchodní kontakty a příjemci kampaní včetně OSVČ, osoby v předaných dokumentech a případní zájemci reagující na kampaň. Údaje zahrnují jméno, profesní roli, vazbu na firmu, IČO a firemní adresu, obchodní e-mail a telefon, oslovení, texty podkladů a dopisů, události kampaně, odpovědi a doklady žádostí nebo souhlasů v nezbytném rozsahu.

1.3Zvláštní kategorie údajů, údaje o trestních odsouzeních a údaje dětí nejsou běžně sjednaným předmětem zpracování. Jejich zamýšlené použití vyžaduje předchozí samostatnou dohodu a splnění zákonných podmínek. Doba zpracování odpovídá trvání služby a třicetidenní exportní lhůtě; omezené zálohy se vypořádají podle posledního článku přílohy.

2.1Správce určuje účel a obsah vlastní kampaně, cílové firmy, použití svých podkladů a následnou komunikaci s příjemci. Odpovídá za právní základ, relevantnost oslovení a splnění vlastní informační povinnosti. Zpracovatel provádí tento rozsah pouze podle doložených pokynů správce a nevyužije jeho neveřejné podklady pro kampaně jiných zákazníků.

2.2Vlastní platformní databázi veřejných profesních informací, její získávání, ověřování a zpřístupnění pro kampaně zajišťuje Delegating Systems s.r.o. jako samostatný správce. Po výběru údajů do kampaně je zákazník samostatným správcem svého použití; předání mezi správci vyžaduje vlastní právní základ a transparentní informování. Tato DPA sama nezakládá oprávnění k takovému předání.

2.3Delegating Systems s.r.o. jako samostatný správce vede i minimální platformní stopky a doklady o jejich vyřízení, aby zabránil opětovnému oslovení napříč zákazníky. Obsah cizí kampaně ani podrobnosti námitky nesděluje jinému zákazníkovi. Smluvní označení role nemění skutečnou odpovědnost podle GDPR; ukáže-li se, že konkrétní operace znamená společné správcovství, nesmí být takto provozována bez dohody podle čl. 26 a odpovídající informace osobám.

3.1Dokumentovanými pokyny jsou přijatá objednávka, tato DPA a oprávněným uživatelem zadaná nastavení a úkony ve službě. Další pokyny se předávají prokazatelně na podpora@delegat.ing. Zpracovatel sdělí, pokud podle jeho názoru pokyn porušuje předpisy, a nezákonný pokyn neprovede. Zpracování uložené právním předpisem oznámí předem, pokud tomu zákon nebrání.

3.2Osoby s přístupem k údajům musí být vázány mlčenlivostí a smí používat údaje jen v rozsahu přidělených oprávnění. Zpracovatel neposkytne zákazníkovy podklady k trénování obecných AI modelů ani je nezveřejní. Použije pouze smluvně odpovídající komerční režim AI. Zákazník může žádat omezení konkrétního předání; není-li bez něj možné objednanou funkci poskytovat, strany dohodnou omezení služby nebo její ukončení.

3.3Správce poskytuje přesné pokyny a součinnost, řeší zákonnost a rozsah vstupů a určuje osoby oprávněné jednat. Zpracovatel mu poskytne přiměřenou součinnost pro práva subjektů údajů, zabezpečení, posouzení vlivu a případné konzultace s úřadem; vlastní zákonné povinnosti zpracovatele tím nezanikají.

4.1Zpracovatel udržuje řízení oprávnění podle rolí, oddělení pracovních prostorů v databázi a úložišti, ochranu privilegovaných účtů vícefaktorovým ověřením a řízení přístupu k provozním klíčům. Pro přenos používá šifrované spojení. U cloudových systémů zajistí smluvně odpovídající ochranu dat v klidu a správu bezpečnostních aktualizací.

4.2Schvalování a významné operace se evidují. Obsah zákazníkových dokumentů a celé prompty nepatří do běžných diagnostických logů; pokud je vlastní kopie AI vstupu nezbytná pro dohledání chyby, přístup se omezí a obsah se odstraní do třiceti dnů. Pro vývoj a testování se používají syntetická data, pokud není konkrétní použití skutečných údajů samostatně oprávněné.

4.3Zpracovatel udržuje postup pro incidenty, výmaz a obnovu, pravidelně posuzuje přiměřenost opatření a obnovitelnost záloh a omezuje kopie mimo produkční systémy. Bezpečnostní opatření může upravit, nesmí tím snížit sjednanou celkovou ochranu. Tato ustanovení jsou smluvními povinnostmi; jednotlivá certifikace dodavatele není certifikací celé služby DELEGAT.ING.

5.1Správce uděluje obecné písemné oprávnění zapojit Supabase Pte. Ltd. (Singapur; databáze, soubory a přihlášení v regionu EU Frankfurt), Vercel Inc. (USA; provoz webu a funkcí v EU s globální podpůrnou infrastrukturou), Anthropic Ireland, Limited (Irsko; komerční AI API s možným zpracováním v USA a dalších zemích) a Plus Five Five, Inc., vystupující jako Resend (USA; provozní e-maily, odesílací region podle konfigurace EU Irsko). Zapojení se omezuje na údaje potřebné pro příslušnou funkci.

5.2Pro objednaný tisk a kompletaci lze zapojit Českou poštu, s.p., IČO 47114983, jako dalšího zpracovatele v příslušném smluvním režimu. Při vlastním poskytování poštovní služby vystupuje pošta jako samostatný správce. Odlišné role se u konkrétní služby musí řídit skutečnými podmínkami; samostatný správce se nevydává za dalšího zpracovatele.

5.3Zpracovatel s dalšími zpracovateli sjedná povinnosti podle čl. 28 GDPR, včetně omezení účelu, zabezpečení, součinnosti a výmazu, a odpovídá za jejich plnění ve vztahu ke správci. U navazujících dodavatelů těchto služeb eviduje relevantní seznamy a verze. Přehledy navazujících dodavatelů a konkrétní přijatá znění DPA zpracovatel správci na žádost doloží.

5.4O novém nebo nahrazujícím dalším zpracovateli, včetně relevantní změny navazujícího dodavatele, zpracovatel informuje nejméně patnáct dnů před jeho zapojením. Správce může do deseti dnů vznést důvodnou námitku z hlediska ochrany údajů. Strany se pokusí najít řešení; nevyřeší-li se námitka před zapojením, dotčené zpracování se omezí nebo ukončí a vypořádá se cena neposkytnuté části služby.

5.5Předání mimo EHP se uskuteční pouze při platném mechanismu podle kapitoly V GDPR. Pro navazující předání se použijí zejména příslušné standardní smluvní doložky rozhodnutí Komise (EU) 2021/914, případně rozhodnutí o odpovídající ochraně tam, kde skutečně platí pro konkrétního příjemce. Zpracovatel doloží posouzení předání a doplňková opatření, je-li to potřebné, a na žádost zpřístupní kopii záruk při ochraně důvěrných informací. Pouhé svolení zákazníka s dodavatelem chybějící mechanismus nenahrazuje.

6.1Žádost osoby týkající se zákazníkovy kampaně zpracovatel předá správci bez zbytečného odkladu, nejpozději do tří pracovních dnů. Bez pokynu správce ji nevyřídí jeho jménem, ledaže mu zákon ukládá vlastní úkon. Námitku proti přímému marketingu neodkládá: bezodkladně zajistí přiměřené zastavení dalšího zpracování a ochrannou stopku. O vlastní platformní databázi rozhoduje ve své roli správce.

6.2Zjistí-li porušení zabezpečení zákazníkových osobních údajů, zpracovatel informuje správce bez zbytečného odkladu, nejpozději do 24 hodin od zjištění. První oznámení může být předběžné; postupně doplní povahu incidentu, kategorie a přibližný rozsah dotčených osob a údajů, kontaktní místo, pravděpodobné následky a přijatá nebo navržená opatření. Lhůta se počítá od zjištění incidentu, nikoli od dokončení šetření.

6.3Ohlášení incidentu dozorovému úřadu a informování osob zajišťuje správce v zákonných lhůtách, pokud zpracovatel nemá samostatnou povinnost. Zpracovatel dokumentuje incident a poskytne dostupné informace pro posouzení rizika, obnovu a splnění povinností správce.

7.1Zpracovatel zpřístupní informace potřebné k doložení plnění čl. 28 GDPR. Správci nebo jím pověřenému nezávislému auditorovi umožní přiměřený audit vztahující se k jeho zpracování, včetně kontroly, je-li potřebná. Běžný audit se ohlašuje alespoň třicet dnů předem a plánuje zpravidla nejvýše jednou ročně; tato omezení neplatí pro důvodné podezření na porušení, incident nebo požadavek úřadu.

7.2Audit nesmí neoprávněně zpřístupnit data jiných zákazníků, tajemství nebo narušit provoz. Dostatečné zprávy nezávislého auditu lze použít jako první podklad, nelze jimi vyloučit potřebnou kontrolu podle GDPR. Zpracovatel neúčtuje plnění vlastní zákonné povinnosti; případné mimořádné služby nad tento rozsah mají předem dohodnutou cenu.

8.1Po skončení služby správce během třicetidenní exportní lhůty zvolí vrácení nebo výmaz pracovních údajů. První standardní export je součástí služby. Po exportní lhůtě se údaje vymažou z aktivní databáze, souborových úložišť, pracovních kopií a nepotřebných účtů; nečinnost správce znamená pokyn k výmazu po uplynutí této lhůty. Provedení se doloží záznamem a na žádost potvrzením.

8.2Kopie v bezpečnostních zálohách se do jejich obměny izolují od běžného použití a odstraní nejpozději do devadesáti dnů od výmazu aktivních dat. U obnovy ze zálohy se znovu provede evidence dřívějších výmazů a stopek. Zpracovatel obdobný postup zajistí u dalších zpracovatelů; nutné zákonné uchování se doloží a omezí na nezbytný rozsah.

8.3Nezbytné vlastní účetní doklady, důkazy o smlouvě a minimální platformní stopky se vedou odděleně ve skutečné roli správce podle zásad ochrany osobních údajů. Nelze tím prodlužovat uchování celé kampaně. DPA trvá do vypořádání všech zákazníkových údajů; mlčenlivost a povinnosti u oprávněně zachovaných údajů přetrvávají.