Datum poslední aktualizace: 31. srpna 2026
SMLOUVA O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
1. ÚČEL A ROZSAH
1.1 Účel této Smlouvy o zpracování osobních údajů. Tato Smlouva o zpracování osobních údajů ("DPA") tvoří součást smluvního vztahu založeného Podmínkami služby upravujícími užívání platformy Macaly a Služeb poskytovaných společností LANGTAIL.COM s.r.o., IČO: 198 68 987, se sídlem Záhřebská 562/41, Vinohrady, 120 00 Praha 2, Česká republika, zapsanou v obchodním rejstříku vedeném Městským soudem v Praze pod sp. zn. C 393016 ("Zpracovatel", "my", "nás" nebo "naše"), a zákazníkem uvedeným v příslušné Objednávce, předplatném nebo jiné smlouvě upravující užívání Služeb ("Zákazník" nebo "Správce").
1.2 Rozsah této DPA. Tato DPA upravuje zpracování Osobních údajů Zákazníka prováděné Zpracovatelem jménem Zákazníka v souvislosti s poskytováním Služeb. Tato DPA se použije pouze tehdy, pokud Zpracovatel zpracovává Osobní údaje Zákazníka jako zpracovatel ve smyslu Příslušných právních předpisů o ochraně osobních údajů. Zpracování osobních údajů prováděné Zpracovatelem v postavení samostatného Správce se řídí Zásadami ochrany osobních údajů.
1.3 Použitelnost. Tato DPA se použije v případech, kdy Zpracovatel zpracovává Osobní údaje Zákazníka jménem Zákazníka ve smyslu článku 28 Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) ("GDPR") nebo jiných Příslušných právních předpisů o ochraně osobních údajů.
1.4 Zpracování v postavení samostatného Správce. Pokud Zpracovatel zpracovává osobní údaje jako samostatný Správce, zejména pro účely správy uživatelských účtů, fakturace, zabezpečení, předcházení podvodům, plnění právních povinností nebo provozu Služeb, řídí se takové zpracování Zásadami ochrany osobních údajů, nikoliv touto DPA.
1.5 Přednost této DPA. V případě rozporu mezi touto DPA a Podmínkami služby ve vztahu ke zpracování Osobních údajů Zákazníka má přednost tato DPA v rozsahu takového rozporu.
2. DEFINICE
2.1 Není-li v této DPA stanoveno jinak, mají pojmy s velkým počátečním písmenem význam uvedený v Podmínkách služby nebo v Zásadách ochrany osobních údajů.
2.2 Pro účely této DPA mají následující pojmy tento význam:
"Příslušné právní předpisy o ochraně osobních údajů" znamenají veškeré právní předpisy upravující zpracování Osobních údajů Zákazníka podle této DPA, zejména GDPR, UK GDPR, švýcarský spolkový zákon o ochraně osobních údajů ("FADP") a veškeré vnitrostátní právní předpisy provádějící nebo doplňující uvedené právní předpisy.
"Správce" znamená fyzickou nebo právnickou osobu, která sama nebo společně s jinými určuje účely a prostředky zpracování Osobních údajů.
"Osobní údaje Zákazníka" znamenají jakékoli Osobní údaje, které Zpracovatel zpracovává jménem Zákazníka v souvislosti s poskytováním Služeb, včetně Osobních údajů obsažených v Datech Zákazníka, Osobních údajů týkajících se Koncových uživatelů Zákaznických aplikací, Osobních údajů získaných jménem Zákazníka od poskytovatelů identity třetích stran nebo z Propojených služeb třetích stran a Osobních údajů jinak zpracovávaných prostřednictvím Zákaznických aplikací v rozsahu, v jakém je takové zpracování prováděno Zpracovatelem jménem Zákazníka.
"Subjekt údajů" znamená identifikovanou nebo identifikovatelnou fyzickou osobu, jíž se Osobní údaje týkají.
"GDPR" znamená Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů.
"Osobní údaje", "Porušení zabezpečení osobních údajů", "zpracování", "zpracovávat" a "Zpracovatel" mají význam stanovený v GDPR nebo jiných Příslušných právních předpisech o ochraně osobních údajů.
"Subzpracovatel" znamená jakoukoli třetí osobu pověřenou Zpracovatelem ke zpracování Osobních údajů Zákazníka jménem Zákazníka v souvislosti s poskytováním Služeb.
2.3 Výklad. Odkazy na články nebo kapitoly uvedené v této DPA představují odkazy na příslušná ustanovení GDPR, není-li výslovně uvedeno jinak.
3. ROZDĚLENÍ ROLÍ
3.1 Správce. Zákazník vystupuje jako Správce Osobních údajů Zákazníka a určuje účely a prostředky jejich zpracování.
3.2 Zpracovatel. Zpracovatel zpracovává Osobní údaje Zákazníka výhradně jménem Zákazníka a v souladu s touto DPA, Podmínkami služby a doloženými pokyny Zákazníka, pokud Příslušné právní předpisy o ochraně osobních údajů nestanoví jinak. Pokud je Zpracovatel podle práva Evropské unie nebo členského státu povinen zpracovávat Osobní údaje Zákazníka jinak než na základě zdokumentovaných pokynů Zákazníka, Zpracovatel informuje Zákazníka o tomto právním požadavku před zahájením takového zpracování, ledaže příslušný právní předpis takové informování zakazuje z důležitých důvodů veřejného zájmu.
3.3 Zpracování v postavení samostatného Správce. Nic v této DPA neomezuje ani neovlivňuje zpracování osobních údajů prováděné Zpracovatelem jako samostatným Správcem, pokud Zpracovatel určuje účely a prostředky zpracování pro své vlastní oprávněné obchodní účely, zejména pro správu uživatelských účtů, fakturaci, zabezpečení, předcházení podvodům, plnění právních povinností a provoz Služeb, jak je popsáno v Zásadách ochrany osobních údajů.
4. PODROBNOSTI ZPRACOVÁNÍ
4.1 Podrobnosti zpracování. Podrobnosti o zpracování Osobních údajů Zákazníka prováděném Zpracovatelem jménem Zákazníka, zejména předmět, dobu trvání, povahu a účel zpracování, kategorie Osobních údajů Zákazníka a kategorie Subjektů údajů, jsou uvedeny v Příloze I, která tvoří nedílnou součást této DPA.
5. POKYNY ZÁKAZNÍKA
5.1 Doložené pokyny. Zpracovatel zpracovává Osobní údaje Zákazníka pouze na základě doložených pokynů Zákazníka, zejména pokynů obsažených v Podmínkách služby, této DPA nebo jiných písemných pokynů poskytnutých Zákazníkem, pokud Příslušné právní předpisy o ochraně osobních údajů nestanoví jinak. Zákazník bere na vědomí a souhlasí s tím, že jeho nastavení a používání Služeb, včetně pokynů zadávaných prostřednictvím Platformy jeho Oprávněnými uživateli, představují doložené pokyny Zákazníka pro účely této DPA. Zákazník bere na vědomí a souhlasí s tím, že jeho konfigurace, aktivace a používání Služeb, včetně konfigurace Zákaznických aplikací a funkcionalit zpřístupněných Koncovým uživatelům, společně s úkony provedenými Oprávněnými uživateli nebo Koncovými uživateli v rámci funkcionalit a oprávnění povolených Zákazníkem, představují pro účely tohoto DPA zdokumentované pokyny Zákazníka udělené Zpracovateli.
5.2 Poskytování Služeb. Zákazník uděluje Zpracovateli pokyn ke zpracování Osobních údajů Zákazníka v rozsahu nezbytném pro poskytování, provoz, údržbu, zabezpečení a podporu Služeb v souladu s Podmínkami služby, touto DPA a způsobem využívání Služeb Zákazníkem.
5.3 Funkcionality využívající AI. Pokud Zákazník nebo jeho Oprávnění uživatelé využívají funkcionality využívající AI zpřístupněné prostřednictvím Služeb, Zákazník bere na vědomí a souhlasí s tím, že zadání promptů, pokynů, Zákaznických dat, Generovaného obsahu nebo jiných informací do Služeb představuje pokyn Zákazníka ke zpracování těchto informací v rozsahu nezbytném pro poskytnutí požadované AI funkcionality.
5.4 Propojené služby třetích stran. Připojením, aktivací nebo zpřístupněním funkcionality zahrnující Propojenou službu třetí strany Zákazník uděluje Zpracovateli pokyn ke Zpracování Osobních údajů Zákazníka v rozsahu nezbytném pro zřízení, zachování, provozování nebo podporu příslušné funkcionality nebo integrace, včetně, je-li to relevantní, přijímání Osobních údajů Zákazníka z příslušné Propojené služby třetí strany nebo umožnění jejich přenosu či zpřístupnění této Propojené službě třetí strany, a to v souladu s funkcionalitou a oprávněními nastavenými Zákazníkem a případnou autorizací udělenou Koncovým uživatelem v rámci takové funkcionality. Pokud Zákaznická aplikace komunikuje přímo s Propojenou službou třetí strany, aniž by příslušná komunikace byla směrována prostřednictvím systémů provozovaných Zpracovatelem, použije se tento článek pouze na Zpracování Osobních údajů Zákazníka prováděné Zpracovatelem nebo jeho Subzpracovateli v souvislosti s umožněním, hostingem nebo podporou takové funkcionality.
5.5 Oprávnění uživatelé. Zpracovatel je oprávněn spoléhat se na jakýkoli pokyn nebo úkon přijatý prostřednictvím Služeb od Oprávněného uživatele jednajícího v rámci oprávnění udělených Zákazníkem. Pokud Zákazník v rámci Zákaznické aplikace aktivuje funkcionalitu, která umožňuje Koncovému uživateli provést autentizaci, autorizovat připojení, udělit oprávnění nebo jiným způsobem iniciovat Zpracování, je Zpracovatel oprávněn spoléhat se na takový úkon v rozsahu, v jakém odpovídá funkcionalitě a oprávněním povoleným Zákazníkem, aniž by byl povinen samostatně ověřovat oprávnění Koncového uživatele k takovému úkonu nebo jeho zákonnost.
5.6 Odpovědnost Zákazníka. Zákazník odpovídá zejména za:
- určení účelů a právních titulů zpracování Osobních údajů Zákazníka;
- zajištění všech nezbytných práv, oprávnění a souhlasů potřebných k poskytnutí Osobních údajů Zákazníka Zpracovateli a k jejich zpracování prostřednictvím Služeb, včetně funkcionalit využívajících AI a Propojených služeb třetích stran;
- poskytnutí všech oznámení a získání všech souhlasů vyžadovaných Příslušnými právními předpisy o ochraně osobních údajů;
- zajištění správnosti, kvality a zákonnosti Osobních údajů Zákazníka;
- zajištění toho, aby Koncovým uživatelům Zákaznických aplikací byly poskytnuty veškeré informace a oznámení vyžadované Příslušnými právními předpisy na ochranu osobních údajů ve vztahu ke zpracování jejich Osobních údajů prostřednictvím funkcionalit aktivovaných Zákazníkem, včetně autentizace a Propojených služeb třetích stran;
- nastavení Zákaznických aplikací, integrací, přístupových práv a rozsahu oprávnění v rozsahu, v jakém jsou tyto prvky nastavitelné nebo pod kontrolou Zákazníka, tak aby Koncoví uživatelé mohli přistupovat pouze k těm Osobním údajům Zákazníka nebo zpřístupňovat pouze ty Osobní údaje Zákazníka, ke kterým jsou oprávněni přistupovat nebo které jsou oprávněni zpřístupnit; a
- určení kategorií Osobních údajů Zákazníka předávaných prostřednictvím Služeb, včetně rozhodnutí, zda budou předávány zvláštní kategorie osobních údajů nebo jiné citlivé informace.
Odpovědnost Zákazníka podle tohoto článku se vztahuje na záležitosti, které jsou pod kontrolou Zákazníka jako Správce, a neomezuje povinnosti Zpracovatele podle tohoto DPA nebo Příslušných právních předpisů na ochranu osobních údajů ve vztahu ke Zpracování prováděnému Zpracovatelem nebo jeho Subzpracovateli ani ve vztahu k technickým komponentám provozovaným nebo kontrolovaným Zpracovatelem.
5.7 Zákonnost pokynů. Pokud se Zpracovatel domnívá, že doložený pokyn porušuje Příslušné právní předpisy o ochraně osobních údajů, bez zbytečného odkladu o tom informuje Zákazníka. Pokud tomu nebrání Příslušné právní předpisy o ochraně osobních údajů, může Zpracovatel příslušné zpracování pozastavit do doby, než Zákazník příslušný pokyn potvrdí, změní nebo odvolá.
5.8 Spoléhání na pokyny Zákazníka. Není-li Příslušnými právními předpisy o ochraně osobních údajů stanoveno jinak, je Zpracovatel oprávněn spoléhat na doložené pokyny a prohlášení Zákazníka týkající se zákonnosti zpracování a není povinen samostatně ověřovat soulad činností Zákazníka s Příslušnými právními předpisy o ochraně osobních údajů. Nic v této DPA nezbavuje Zpracovatele povinnosti podle čl. 28 odst. 3 GDPR informovat Zákazníka, pokud se podle jeho názoru některý pokyn dostane do rozporu s Příslušnými právními předpisy o ochraně osobních údajů.
6. POVINNOSTI ZPRACOVATELE
6.1 Zpracování v souladu s touto DPA. Zpracovatel zpracovává Osobní údaje Zákazníka pouze v souladu s touto DPA, Podmínkami služby, doloženými pokyny Zákazníka a Příslušnými právními předpisy o ochraně osobních údajů.
6.2 Dodržování Příslušných právních předpisů o ochraně osobních údajů. Zpracovatel dodržuje povinnosti vztahující se na zpracovatele podle Příslušných právních předpisů o ochraně osobních údajů při zpracování Osobních údajů Zákazníka.
6.3 Důvěrnost. Zpracovatel zajistí, aby všechny osoby oprávněné zpracovávat Osobní údaje Zákazníka byly vázány odpovídající smluvní nebo zákonnou povinností mlčenlivosti a byly přiměřeně proškoleny v oblasti ochrany osobních údajů.
6.4 Osoby oprávněné ke zpracování. Zpracovatel zajistí, aby přístup k Osobním údajům Zákazníka měly pouze zaměstnanci, smluvní partneři a jiné oprávněné osoby, kteří takový přístup potřebují pro poskytování Služeb a kteří jsou vázáni odpovídajícími povinnostmi mlčenlivosti a zabezpečení.
6.5 Oznámení o nezákonných pokynech. Domnívá-li se Zpracovatel, že doložený pokyn porušuje Příslušné právní předpisy o ochraně osobních údajů, informuje o tom Zákazníka bez zbytečného odkladu v souladu s článkem 5 této DPA.
6.6 Žádná samostatná práva k Osobním údajům Zákazníka. Není-li v této DPA, Podmínkách služby nebo Příslušných právních předpisech o ochraně osobních údajů výslovně stanoveno jinak, Zpracovatel nezískává k Osobním údajům Zákazníka žádná vlastnická ani obdobná práva ani je nezpracovává pro své vlastní účely.
6.7 Informace prokazující soulad. Zpracovatel poskytne Zákazníkovi informace přiměřeně nezbytné k prokázání souladu se svými povinnostmi podle této DPA a Příslušných právních předpisů o ochraně osobních údajů, a to za podmínek stanovených v článku 12 (Audity).
7. BEZPEČNOSTNÍ OPATŘENÍ
7.1 Přiměřená bezpečnostní opatření. Zpracovatel zavede a bude udržovat odpovídající technická a organizační opatření určená k ochraně Osobních údajů Zákazníka před náhodným nebo protiprávním zničením, ztrátou, změnou, neoprávněným zpřístupněním nebo neoprávněným přístupem, s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i rizikům pro práva a svobody fyzických osob.
7.2 Program informační bezpečnosti. Zpracovatel udržuje program informační bezpečnosti zaměřený na zajištění průběžné důvěrnosti, integrity, dostupnosti a odolnosti systémů a Služeb používaných ke zpracování Osobních údajů Zákazníka.
7.3 Příklady bezpečnostních opatření. V závislosti na povaze zpracování mohou tato opatření zahrnovat zejména:
- šifrování Osobních údajů Zákazníka při přenosu a případně i při jejich ukládání;
- bezpečné ověřování uživatelů a řízení přístupových oprávnění;
- správu přístupových oprávnění podle principu minimálních oprávnění;
- bezpečnou správu API klíčů, autentizačních tokenů a dalších přístupových údajů používaných pro Propojené služby třetích stran;
- zaznamenávání a monitorování přístupu k systémům a Službám;
- správu zranitelností a pravidelné bezpečnostní aktualizace;
- postupy pro detekci a řešení bezpečnostních incidentů;
- zálohování a opatření pro obnovu po havárii; a
- odpovídající smluvní, technická a organizační opatření při zapojení Subzpracovatelů.
7.4 Aktualizace bezpečnostních opatření. Zpracovatel je oprávněn technická a organizační opatření průběžně měnit nebo aktualizovat za předpokladu, že tím nebude podstatně snížena celková úroveň zabezpečení Osobních údajů Zákazníka.
7.5 Odpovědnost Zákazníka. Zákazník bere na vědomí, že účinnost bezpečnostních opatření závisí rovněž na bezpečné konfiguraci a používání Služeb a Zákaznických aplikací ze strany Zákazníka a jeho Oprávněných uživatelů, včetně správy přístupu Koncových uživatelů, autentizačních mechanismů, přihlašovacích údajů, Propojených služeb třetích stran, API nebo přístupových tokenů, rozsahu oprávnění a funkcí zpřístupněných prostřednictvím Zákaznických aplikací.
8. SUBZPRACOVATELÉ
8.1 Obecné pověření. Zákazník tímto uděluje Zpracovateli obecné oprávnění zapojovat Subzpracovatele ke zpracování Osobních údajů Zákazníka v souvislosti s poskytováním Služeb.
8.2 Stávající Subzpracovatelé. Zákazník bere na vědomí a souhlasí s tím, že Zpracovatel může využívat Subzpracovatele uvedené v Příloze III, ve znění jejích pozdějších změn. Zpracovatel vede aktuální seznam Subzpracovatelů v Příloze III nebo jej jiným způsobem zpřístupňuje prostřednictvím svých internetových stránek.
8.3 Jmenování nových Subzpracovatelů. Zpracovatel je oprávněn podle potřeby zapojovat nebo nahrazovat Subzpracovatele za účelem poskytování, provozu, údržby, zabezpečení nebo rozvoje Služeb. Vyžadují-li to Příslušné právní předpisy o ochraně osobních údajů, informuje Zpracovatel Zákazníka o jmenování nebo nahrazení Subzpracovatele aktualizací Přílohy III nebo jiným přiměřeným způsobem před tím, než změna nabude účinnosti. Zpracovatel poskytne Zákazníkovi přiměřené předchozí oznámení o zamýšleném přidání nebo nahrazení Subzpracovatele. Zákazník může proti navrhovanému Subzpracovateli vznést námitku z přiměřených důvodů souvisejících s ochranou Osobních údajů Zákazníka, a to během příslušné lhůty pro oznámení.
8.4 Povinnosti Subzpracovatelů. Zpracovatel uloží každému Subzpracovateli stejné povinnosti v oblasti ochrany osobních údajů, jaké jsou stanoveny v tomto DPA, v rozsahu relevantním pro zpracování prováděné daným Subzpracovatelem. Zpracovatel zůstává vůči Zákazníkovi plně odpovědný za plnění povinností Subzpracovatele v oblasti ochrany osobních údajů.
8.5 Poskytovatelé třetích stran, kteří nejsou zapojeni jako Subzpracovatelé. Poskytovatel třetí strany vybraný, připojený nebo autorizovaný Zákazníkem, Oprávněným uživatelem nebo Koncovým uživatelem se nepovažuje za Subzpracovatele pouze z toho důvodu, že Služby nebo Zákaznická aplikace umožňují či podporují připojení k takovému poskytovateli. To zahrnuje AI asistenty nebo AI služby třetích stran připojené přímo k Zákaznické aplikaci a případně také poskytovatele identity třetích stran, kteří zpracovávají Osobní údaje jako samostatní Správci. Pro vyloučení pochybností platí, že Google jedná v souvislosti s funkcí Google Sign-In a standardní autentizační funkcionalitou Google OAuth jako samostatný Správce podle svých příslušných podmínek a není Zpracovatelem zapojen jako Subzpracovatel pro účely tohoto autentizačního procesu. Nic v tomto článku neomezuje povinnosti Zpracovatele podle tohoto DPA nebo Příslušných právních předpisů na ochranu osobních údajů ve vztahu k Osobním údajům Zákazníka zpracovávaným Zpracovatelem nebo jeho Subzpracovateli.
9. MEZINÁRODNÍ PŘEDÁVÁNÍ OSOBNÍCH ÚDAJŮ ZÁKAZNÍKA
9.1 Mezinárodní předávání. Zákazník bere na vědomí a souhlasí s tím, že Zpracovatel a jeho Subzpracovatelé mohou v souvislosti s poskytováním, provozem, údržbou, zabezpečením a podporou Služeb zpracovávat Osobní údaje Zákazníka v zemích mimo Evropský hospodářský prostor ("EHP"), Spojené království nebo Švýcarsko.
9.2 Mechanismy předávání. Jsou-li Osobní údaje Zákazníka předávány do země, která neposkytuje odpovídající úroveň ochrany podle Příslušných právních předpisů o ochraně osobních údajů, Zpracovatel zajistí, aby takové předání proběhlo na základě vhodného mechanismu uznaného těmito právními předpisy, zejména:
- rozhodnutí Evropské komise o odpovídající ochraně;
- standardních smluvních doložek Evropské unie;
- rámce EU-USA pro ochranu osobních údajů (EU-U.S. Data Privacy Framework) nebo jeho nástupce; nebo
- jiného zákonného mechanismu předávání uznaného Příslušnými právními předpisy o ochraně osobních údajů.
9.3 Subzpracovatelé. Zákazník bere na vědomí, že předávání Osobních údajů Zákazníka uskutečněná schválenými Subzpracovateli v souladu s touto DPA se považují za předání schválená Zákazníkem.
10. SOUČINNOST
10.1 Součinnost. S přihlédnutím k povaze zpracování a informacím, které má Zpracovatel k dispozici, poskytne Zpracovatel Zákazníkovi přiměřenou součinnost nezbytnou k tomu, aby Zákazník mohl splnit své povinnosti podle Příslušných právních předpisů o ochraně osobních údajů týkající se práv Subjektů údajů, bezpečnosti zpracování, Porušení zabezpečení osobních údajů, posouzení vlivu na ochranu osobních údajů a případných předchozích konzultací s příslušnými dozorovými úřady, a to v rozsahu vyžadovaném Příslušnými právními předpisy o ochraně osobních údajů.
10.2 Odpovědnost Zákazníka. Zákazník zůstává výhradně odpovědný za plnění svých povinností jako Správce podle Příslušných právních předpisů o ochraně osobních údajů.
11. PORUŠENÍ ZABEZPEČENÍ OSOBNÍCH ÚDAJŮ
11.1 Oznámení o Porušení zabezpečení osobních údajů. Zpracovatel oznámí Zákazníkovi bez zbytečného odkladu poté, co se o něm dozví, každé Porušení zabezpečení osobních údajů, které se týká Osobních údajů Zákazníka, v rozsahu vyžadovaném Příslušnými právními předpisy o ochraně osobních údajů.
11.2 Součinnost. S přihlédnutím k povaze zpracování a informacím, které má Zpracovatel k dispozici, poskytne Zpracovatel Zákazníkovi přiměřenou součinnost v souvislosti s takovým Porušením zabezpečení osobních údajů v rozsahu vyžadovaném Příslušnými právními předpisy o ochraně osobních údajů.
12. AUDITY
12.1 Právo na audit. V rozsahu vyžadovaném Příslušnými právními předpisy o ochraně osobních údajů poskytne Zpracovatel Zákazníkovi veškeré informace přiměřeně nezbytné k prokázání souladu s touto DPA a Příslušnými právními předpisy o ochraně osobních údajů a umožní provedení auditů, včetně inspekcí, prováděných Zákazníkem nebo auditorem pověřeným Zákazníkem, přičemž se na jejich provádění přiměřeně podílí.
12.2 Podmínky auditu. Audit bude proveden na základě přiměřeného předchozího písemného oznámení, během běžné pracovní doby, způsobem, který co nejméně narušuje provozní činnost Zpracovatele, a v souladu s pravidly Zpracovatele týkajícími se důvěrnosti informací, bezpečnosti a přístupu do jeho prostor a systémů.
12.3 Alternativní prokázání souladu. Zpracovatel může splnit požadavek Zákazníka na audit poskytnutím příslušných certifikací, auditorských zpráv, bezpečnostní dokumentace nebo jiných podkladů prokazujících soulad, pokud takové podklady přiměřeně naplňují účel požadovaného auditu.
13. VRÁCENÍ A VÝMAZ OSOBNÍCH ÚDAJŮ ZÁKAZNÍKA
13.1 Vrácení nebo výmaz. Po ukončení nebo zániku poskytování Služeb Zpracovatel podle volby Zákazníka Osobní údaje Zákazníka vrátí nebo vymaže, pokud Příslušné právní předpisy o ochraně osobních údajů nevyžadují jejich další uchovávání.
13.2 Uchovávání. Bez ohledu na předchozí ustanovení je Zpracovatel oprávněn uchovávat Osobní údaje Zákazníka po dobu a v rozsahu vyžadovaném Příslušnými právními předpisy o ochraně osobních údajů nebo v rozsahu nezbytném ke splnění svých právních povinností, řešení sporů, ochraně nebo výkonu svých práv nebo v souladu se svými standardními postupy pro zálohování a zajištění kontinuity provozu, přičemž po celou dobu uchovávání budou tyto údaje podléhat povinnostem důvěrnosti a zabezpečení stanoveným touto DPA. V rozsahu, v jakém jsou Osobní údaje Zákazníka uchovávány pro účely určení, výkonu nebo obhajoby vlastních právních nároků Zpracovatele, vystupuje Zpracovatel ve vztahu k takovému Zpracování jako samostatný Správce; na takové Zpracování se použijí Zásady ochrany osobních údajů a Příslušné právní předpisy na ochranu osobních údajů. Zpracovatel tyto uchovávané Osobní údaje Zákazníka vymaže po uplynutí příslušné doby uchovávání, pokud další uchovávání nevyžadují Příslušné právní předpisy o ochraně osobních údajů.
13.3 Výmaz prostřednictvím Služeb. Umožňují-li Služby Zákazníkovi samostatně získat nebo vymazat Osobní údaje Zákazníka, bere Zákazník na vědomí, že odpovídá za export nebo výmaz těchto údajů před ukončením využívání Služeb, je-li to možné.
14. ODPOVĚDNOST
14.1 Odpovědnost. Odpovědnost každé Smluvní strany vznikající na základě této DPA nebo v souvislosti s ní se řídí omezeními a vyloučeními odpovědnosti stanovenými v Podmínkách služby, pokud Příslušné právní předpisy o ochraně osobních údajů nestanoví jinak.
15. ZÁVĚREČNÁ USTANOVENÍ
15.1 Doba trvání. Tato DPA zůstává v platnosti po celou dobu, po kterou Zpracovatel zpracovává Osobní údaje Zákazníka jménem Zákazníka v souvislosti s poskytováním Služeb.
15.2 Vztah k Podmínkám služby. Není-li v této DPA výslovně stanoveno jinak, zůstávají Podmínky služby v plném rozsahu účinné. Tato DPA tvoří jejich nedílnou součást.
15.3 Změny. Zpracovatel je oprávněn tuto DPA čas od času změnit s ohledem na změny Příslušných právních předpisů o ochraně osobních údajů, regulatorních požadavků, Služeb nebo způsobu zpracování prováděného Zpracovatelem. Vyžadují-li to Příslušné právní předpisy o ochraně osobních údajů, oznámí Zpracovatel Zákazníkovi podstatné změny této DPA v přiměřeném předstihu.
15.4 Oddělitelnost. Pokud bude některé ustanovení této DPA shledáno neplatným nebo nevymahatelným, nebude tím dotčena platnost ani vymahatelnost ostatních ustanovení této DPA.
15.5 Rozhodné právo. Tato DPA se řídí právem a ustanoveními o příslušnosti soudů uvedenými v Podmínkách služby, pokud Příslušné právní předpisy o ochraně osobních údajů nestanoví jinak.
PŘÍLOHA I - PODROBNOSTI O ZPRACOVÁNÍ
| Popis | Podrobnosti |
|---|---|
| Předmět zpracování | Poskytování, provoz, hosting, údržba, podpora a zabezpečení Služeb poskytovaných podle Podmínek poskytování služeb, včetně funkcionalit poskytovaných v souvislosti se Zákaznickými aplikacemi, jako je autentizace, správa identity a integrace aktivované Zákazníkem. |
| Doba trvání zpracování | Po dobu, po kterou Zákazník využívá Služby, a následně po dobu stanovenou v Podmínkách poskytování služeb, tomto DPA a Příslušných právních předpisech na ochranu osobních údajů. Osobní údaje Zákazníka zpracovávané výlučně za účelem dokončení autentizace nebo obdobné dočasné transakce jsou zpracovávány pouze po dobu nezbytnou k dokončení příslušné transakce, s ohledem na příslušná technická nastavení doby uchovávání. |
| Povaha zpracování | Shromažďování, přijímání, zaznamenávání, uspořádávání, strukturování, uchovávání, hosting, vyhledávání, nahlížení, používání, autentizace, generování identifikátorů specifických pro jednotlivé aplikace, přenos, zpřístupnění přenosem, seřazování, kombinování, omezení, výmaz nebo zničení Osobních údajů Zákazníka, včetně: přijímání a Zpracování identifikačních údajů od poskytovatelů identity třetích stran, pokud Zákazník aktivoval autentizační funkcionalitu; Zpracování Osobních údajů v rámci Zákaznických aplikací hostovaných nebo provozovaných prostřednictvím Služeb; Zpracování nezbytného k umožnění integrací a připojení nakonfigurovaných Zákazníkem nebo autorizovaných Koncovými uživateli v rámci funkcionality aktivované Zákazníkem; a Zpracování za využití AI, pokud bylo iniciováno Zákazníkem prostřednictvím Služeb. |
| Účel zpracování | Poskytování, provoz, hosting, údržba, podpora a zabezpečení Služeb v souladu se zdokumentovanými pokyny Zákazníka, včetně: poskytování autentizační funkcionality a funkcionality správy identity pro Zákaznické aplikace; umožnění provozu Zákaznických aplikací a zpracování údajů Koncových uživatelů v rámci těchto aplikací; umožnění integrací a připojení vybraných nebo nakonfigurovaných Zákazníkem, včetně funkcionalit umožňujících Koncovým uživatelům autorizovat přístup Propojených služeb třetích stran; a poskytování dalších funkcionalit dostupných podle Podmínek poskytování služeb. Pro vyloučení pochybností platí, že Osobní údaje Zákazníka nejsou používány k trénování AI modelů Zpracovatele ani ke zlepšování Služeb, ledaže je takové použití výslovně sjednáno v Podmínkách poskytování služeb nebo k němu Zákazník jinak udělí pokyn. |
| Kategorie Osobních údajů Zákazníka | Kategorie Osobních údajů Zákazníka jsou určovány a kontrolovány Zákazníkem a mohou zahrnovat: údaje o účtu, identifikační a kontaktní údaje; autentizační a identifikační údaje, včetně ověřené e-mailové adresy, jména, profilové fotografie, identifikátorů poskytovatele identity, pseudonymních identifikátorů specifických pro jednotlivé aplikace a dočasných autentizačních údajů; Data Zákazníka a Osobní údaje uložené nebo jinak zpracovávané v rámci Zákaznických aplikací; Osobní údaje, ke kterým je přistupováno, které jsou získávány nebo zpřístupňovány prostřednictvím funkcí, integrací nebo Propojených služeb třetích stran aktivovaných Zákazníkem; prompty, Zprávy a Generovaný obsah obsahující Osobní údaje; údaje o používání, technické identifikátory, autentizační údaje a informace o přístupu; a jakékoli další Osobní údaje zpracovávané Zpracovatelem jménem Zákazníka prostřednictvím Služeb. |
| Kategorie Subjektů údajů | Kategorie Subjektů údajů jsou určovány Zákazníkem a mohou zahrnovat zaměstnance, dodavatele, zástupce a Oprávněné uživatele Zákazníka, jeho zákazníky, potenciální zákazníky, Koncové uživatele Zákaznických aplikací, návštěvníky webových stránek a další fyzické osoby, jejichž Osobní údaje jsou prostřednictvím Služeb zpracovávány jménem Zákazníka. |
| Zvláštní kategorie Osobních údajů | Zpracovatel nevyžaduje ani úmyslně neusiluje o zpracování zvláštních kategorií Osobních údajů. Zákazník zůstává výhradně odpovědný za rozhodnutí, zda budou takové údaje do Služeb předávány, a za zajištění odpovídajícího právního základu pro jejich zpracování, vyžadují-li to Příslušné právní předpisy o ochraně osobních údajů. |
PŘÍLOHA II - TECHNICKÁ A ORGANIZAČNÍ OPATŘENÍ
Zpracovatel zavádí a udržuje přiměřená technická a organizační opatření určená k ochraně Osobních údajů Zákazníka v souladu s článkem 32 GDPR. Tato opatření mohou podle povahy zpracování zahrnovat zejména:
| Oblast | Popis |
|---|---|
| Řízení bezpečnosti | Interní bezpečnostní politiky, povinnost mlčenlivosti, školení zaměstnanců a bezpečnostní postupy. |
| Řízení přístupů | Řízení přístupových oprávnění podle rolí, mechanismy ověřování uživatelů a přístup založený na principu minimálních oprávnění. |
| Šifrování | Šifrování Osobních údajů Zákazníka při přenosu a podle potřeby také při jejich ukládání. |
| Zabezpečení infrastruktury | Monitorování, protokolování, správa zranitelností, bezpečnostní aktualizace a ochrana produkčních systémů. |
| Dostupnost a odolnost | Zálohování, opatření pro obnovu po havárii a postupy zajišťující kontinuitu provozu. |
| Řízení bezpečnostních incidentů | Postupy pro detekci, vyšetřování, řešení a dokumentaci bezpečnostních incidentů a Porušení zabezpečení osobních údajů. |
| Řízení Subzpracovatelů | Smluvní, technická a organizační opatření uplatňovaná při zapojení Subzpracovatelů. |
| Mezinárodní předávání údajů | Zavedení odpovídajících záruk při předávání Osobních údajů Zákazníka mimo Evropský hospodářský prostor, Spojené království a Švýcarsko v souladu s Příslušnými právními předpisy o ochraně osobních údajů. |
| Propojené služby třetích stran | Opatření určená k ochraně Osobních údajů Zákazníka předávaných Propojeným službám třetích stran autorizovaným Zákazníkem, včetně bezpečného ověřování a správy oprávnění, je-li to relevantní. |
Zpracovatel je oprávněn tato technická a organizační opatření průběžně měnit nebo aktualizovat, pokud tím nedojde k podstatnému snížení celkové úrovně ochrany Osobních údajů Zákazníka.
PŘÍLOHA III - SEZNAM SUBZPRACOVATELŮ
Zpracovatel je oprávněn zapojit při poskytování Služeb následující Subzpracovatele. Tato Příloha může být průběžně aktualizována v souladu s článkem 8 této DPA.
| Subzpracovatel | Účel zpracování | Umístění |
|---|---|---|
| Anthropic PBC | Poskytovatel AI modelů (modely Claude a související API) | Spojené státy americké |
| Apify Technologies s.r.o. | Služby web scrapingu a extrakce dat | Česká republika |
| Amazon Web Services, Inc. | Cloudová infrastruktura a hostingové služby | Spojené státy americké / EHP |
| Browserbase, Inc. | Automatizace prohlížeče a infrastruktura headless prohlížečů | Spojené státy americké |
| Clerk, Inc. | Ověřování uživatelů a správa identit | Spojené státy americké |
| Cloudflare, Inc. | Síť pro doručování obsahu (CDN), objektové úložiště, síťová bezpečnost a vykreslování v prohlížeči | Spojené státy americké |
| Code.storage | Úložiště zdrojového kódu a projektů | Spojené státy americké / EHP |
| Cohere Inc. | AI embeddingy a služby přehodnocování výsledků (reranking) | Kanada |
| Composio | Platforma pro integraci aplikací třetích stran | Spojené státy americké |
| Convex, Inc. | Realtime backend infrastruktura | Spojené státy americké |
| Crisp IM SAS | Zákaznická podpora a live chat | Francie |
| Dash0 GmbH | Observabilita, telemetrie a monitoring | Německo |
| Datadog, Inc. | Monitoring infrastruktury, logování a monitoring výkonu | Spojené státy americké |
| E2B Technologies | Infrastruktura pro bezpečné sandboxové spouštění kódu | Spojené státy americké |
| Figma, Inc. | Platforma pro návrh a spolupráci při tvorbě designu | Spojené státy americké |
| Firecrawl | Služby web crawlování a web scrapingu | Spojené státy americké |
| Freestyle | Sandboxové služby pro spouštění kódu | Spojené státy americké |
| GitHub, Inc. | Hosting zdrojového kódu a správa repozitářů | Spojené státy americké |
| Google LLC | AI služby, cloudová infrastruktura, Google Workspace a související technické služby | Spojené státy americké / EHP |
| Greptile | AI asistovaná kontrola zdrojového kódu | Spojené státy americké |
| Langtail | Platforma pro správu promptů | Česká republika |
| Linear Orbit, Inc. | Sledování úkolů a řízení projektů | Spojené státy americké |
| Loops | Rozesílání marketingových e-mailů | Spojené státy americké |
| Morph LLM | AI asistované úpravy zdrojového kódu | Spojené státy americké |
| MusicGPT | Služby generování hudby pomocí AI | Spojené státy americké |
| Neon, Inc. | Spravované hostování databází PostgreSQL | Spojené státy americké |
| Notion Labs, Inc. | Dokumentace a správa znalostní báze | Spojené státy americké |
| OpenAI, LLC | Poskytovatel AI modelů a služeb převodu řeči na text | Spojené státy americké |
| OpenRouter | Brána pro přístup k AI modelům | Spojené státy americké |
| Pexels GmbH | Služby poskytování stock fotografií | Německo |
| PostHog, Inc. | Produktová analytika | Spojené státy americké |
| RapidAPI | API tržiště a integrace rozhraní API | Spojené státy americké |
| Relace | AI asistované úpravy zdrojového kódu | Spojené státy americké |
| Replicate, Inc. | Hosting AI modelů a služby AI inference | Spojené státy americké |
| Astrodon Corporation (Resend) | Doručování transakčních e-mailů | Spojené státy americké |
| Revolut Bank UAB | Platební a fakturační služby | Litva |
| ScreenshotOne | Služby pořizování snímků webových stránek | Spojené státy americké |
| Functional Software, Inc. (Sentry) | Monitoring chyb a diagnostika | Spojené státy americké |
| Slack Technologies, LLC | Interní komunikace a provozní oznámení | Spojené státy americké |
| Streamline | Knihovna ikon a grafických prvků | Nizozemsko |
| Stripe, Inc. | Zpracování plateb | Spojené státy americké |
| WhatsApp LLC / WhatsApp Ireland Limited | Komunikační platforma a integrace pro zasílání zpráv | Spojené státy americké / Irsko |
| Telnyx LLC | Telekomunikační a messaging infrastruktura | Spojené státy americké |
| Upstash, Inc. | Redis databáze, cache a messaging infrastruktura | Spojené státy americké |
| Vercel Inc. | Cloud hosting, infrastruktura pro nasazování aplikací a edge služby | Spojené státy americké |
Poznámka: Seznam Subzpracovatelů může být průběžně aktualizován v souladu s článkem 8 tohoto DPA. Nejaktuálnější verzi této Přílohy Zpracovatel zpřístupní prostřednictvím svých webových stránek nebo jiným způsobem na vyžádání.
Poskytovatel uvedený v této Příloze se považuje za Subzpracovatele pouze ve vztahu ke službám a účelům, pro které byl Zpracovatelem zapojen ke Zpracování Osobních údajů Zákazníka jménem Zákazníka. Samostatné připojení téhož poskytovatele k Zákaznické aplikaci ze strany Zákazníka, Oprávněného uživatele nebo Koncového uživatele samo o sobě nepředstavuje zapojení Subzpracovatele. Pro vyloučení pochybností platí, že Google Sign-In a standardní autentizační funkcionalita Google OAuth nejsou součástí zapojení Google LLC jako Subzpracovatele uvedeného v této Příloze; v rámci tohoto autentizačního procesu vystupuje Google jako nezávislý správce údajů, jak je popsáno v oddílu 8.5.