Smlouva o zpracování osobních údajů — OAZEE

Tato smlouva o zpracování osobních údajů (dále jen „Smlouva o zpracování“) je součástí Podmínek užívání OAZEE uzavřených mezi společností Arti Group s.r.o., IČO 27930432, DIČ CZ27930432, se sídlem Schulhoffova 793/3, Háje, 149 00 Praha 4, Česká republika (OAZEE), a zákazníkem, který OAZEE používá ke zpracování osobních údajů svým jménem (Zákazník).

Vztahuje se na případy, kdy OAZEE zpracovává osobní údaje obsažené v obsahu webu, v dotazech návštěvníků nebo v souvisejícím hostingu a doručování výhradně pro Zákazníka. Zákazník je zpravidla správcem; je-li Zákazník agenturou jednající pro správce, je OAZEE jeho dalším zpracovatelem. Zákazník musí být oprávněn dávat příslušné pokyny.

Pojmy správce, zpracovatel, osobní údaje, zpracování a porušení zabezpečení osobních údajů mají význam podle GDPR. V rozsahu zpracování, na které se tato Smlouva o zpracování vztahuje, má přednost před obecnými podmínkami, které jsou s ní v rozporu. Neupravuje vlastní účely, pro které OAZEE jako správce zpracovává údaje o účtech, platbách, zabezpečení a podpoře; ty popisují Zásady ochrany osobních údajů. Použitelné právní předpisy o ochraně osobních údajů mají přednost před jakýmkoli smluvním omezením.

• Předmět: hosting a provoz webu Zákazníka a nakládání s osobními údaji, které Zákazník do webu vloží nebo jejichž sběr prostřednictvím podporovaných funkcí zvolí.
• Povaha a účel: ukládání, vyhledání, zobrazení a zveřejnění obsahu webu podle pokynů; přijetí, kontrola spamu, uložení a doručení dotazů návštěvníků e-mailem; technická podpora, zabezpečení a výmaz nebo vrácení údajů v rozsahu nutném pro tyto funkce.
• Subjekty údajů: návštěvníci webu Zákazníka, potenciální a stávající zákazníci, kontaktní osoby, zaměstnanci a další osoby, jejichž údaje Zákazník oprávněně poskytne.
• Kategorie údajů: texty a obrázky webu podle pokynů, jména, pracovní kontaktní údaje, e-mailové adresy, telefonní čísla, zprávy, údaje o službách či termínech (jsou-li použity), čas odeslání, hashovaná IP adresa, údaje o prohlížeči (user-agent) a příslušné bezpečnostní nebo spamové příznaky. Poskytovatelé infrastruktury a ochrany mohou zpracovávat údaje o připojení potřebné pro doručení a zabezpečení.
• Doba: po dobu trvání příslušné služby zpracování a oprávněných pokynů k uchování, poté následuje vrácení nebo výmaz podle bodu 10. Další uložení v účtu neopravňuje k nesouvisejícímu využití.

Standardní služba není určena ke sběru zvláštních kategorií osobních údajů, údajů o trestných činech, dokladů totožnosti ani jiných vysoce citlivých údajů prostřednictvím obecných formulářů nebo zadání pro AI. Zákazník nesmí takové zpracování nařídit bez právního základu a výslovně sjednaného vhodného režimu. Nevyžádaná citlivá zpráva je i tak chráněným osobním údajem a nesmí být použita pro samostatné účely.

Zákazník pověřuje OAZEE zpracováním údajů pouze za účelem poskytování zvolených funkcí, a to v souladu se smlouvou, zaznamenanými nastaveními a požadavky Zákazníka a touto Smlouvou o zpracování. Požadavek na zveřejnění obsahu webu je pokynem ke zveřejnění tohoto obsahu; soukromý dotaz z formuláře pokynem ke zveřejnění není.

OAZEE zpracovává údaje pouze na základě zákonných doložených pokynů, včetně pokynů k předávání do zahraničí, pokud právo EU nebo členského státu nevyžaduje jinak. V takovém případě OAZEE Zákazníka před zpracováním informuje, pokud to právo nezakazuje. Pokud se zdá, že je pokyn v rozporu s právními předpisy o ochraně osobních údajů, OAZEE na to Zákazníka bez odkladu upozorní a může jeho provedení do vyjasnění pozastavit.

OAZEE nepoužívá údaje návštěvníků, které spravuje Zákazník, pro vlastní reklamu, samostatné trénování modelů, prodej ani nesouvisející vývoj produktů. Oprávnění hostovat formulář neopravňuje k odesílání jeho zpráv poskytovateli AI pro jeho vlastní účely. Zpracování pomocí AI v rámci této Smlouvy o zpracování vyžaduje příslušný pokyn Zákazníka a smluvní úpravu s poskytovatelem, která je s touto Smlouvou o zpracování v souladu.

Zákazník určuje právní základ, poskytuje návštěvníkům potřebné informace, omezuje sběr na nezbytné údaje a dává oprávněné pokyny k uchování. Tyto povinnosti nezbavují OAZEE jeho vlastních povinností zpracovatele.

OAZEE zajišťuje, aby osoby oprávněné zpracovávat údaje byly vázány mlčenlivostí a měly přístup jen v rozsahu potřebném pro svou práci. OAZEE přijímá vhodná technická a organizační opatření podle článku 32 GDPR s ohledem na rizika, rozsah, okolnosti, stav techniky a náklady.

Opatření zahrnují omezení přístupu a ověřování, ochranu údajů při přenosu, bezpečné zacházení s přístupovými údaji, oddělení přístupů zákazníků, přiměřenou ochranu proti zneužití a spamu, vhodné logování a řešení incidentů a opatření k zachování dostupnosti a případné obnově údajů. Ochrana údajů ve spravované infrastruktuře a doby jejich uchování se posuzují s ohledem na konkrétní zpracování. Tato Smlouva o zpracování neobsahuje tvrzení o žádné konkrétní certifikaci, výlučném regionu uložení, pevné době obnovy ze zálohy ani absolutní bezpečnosti.

OAZEE poskytuje Zákazníkovi informace přiměřeně potřebné k posouzení použitých opatření a během služby zpracování podstatně nesnižuje celkovou úroveň ochrany vyžadovanou právem.

Zákazník uděluje obecné písemné povolení k zapojení dalších zpracovatelů řádně uvedených pro příslušné zpracování. Přehled poskytovatelů v bodě 12 musí uvádět skutečné poskytovatele, jejich funkce, místa a použitelná pravidla předávání dříve, než je jim příslušné zpracování svěřeno. Nepoužívaná softwarová integrace sama o sobě neznamená, že poskytovatel údaje Zákazníka dostává.

Před přidáním nebo výměnou dalšího zpracovatele údajů Zákazníka poskytne OAZEE informace o zamýšlené změně na registrovaný kontakt Zákazníka, je-li to možné, alespoň 30 dní předem, aby Zákazník měl skutečnou možnost vznést námitku z důvodů ochrany osobních údajů. O skutečně naléhavé bezpečnostní nebo právní změně informuje co nejdříve; ani taková změna neruší požadavek na zákonné povolení a ochranu.

Zákazník může během lhůty vznést námitku. Strany budou hledat přiměřenou alternativu nebo ochranné opatření. Pokud námitku nelze vyřešit a zákonná alternativa není k dispozici, může Zákazník dotčenou službu zpracování ukončit před účinností změny bez poplatku za předčasné ukončení a budou mu vráceny peníze za nevyužitou část dotčené služby, pokud na jejich vrácení má podle zákona nebo smlouvy nárok. Nejde o příslib dalšího využívání nezákonného nebo nedostupného dodavatele.

OAZEE písemně ukládá dalším zpracovatelům povinnosti zajišťující stejnou úroveň ochrany osobních údajů jako tato Smlouva o zpracování a odpovídá Zákazníkovi za jejich plnění podle článku 28 GDPR. Poskytovatel modelu AI není z těchto povinností vyňat jen proto, že je přístup k němu zprostředkován jinou platformou.

Pokyn Zákazníka nezbavuje OAZEE povinnosti dodržovat omezení stanovená GDPR pro předávání mimo EHP. Před předáním podléhajícím omezení musí OAZEE pro skutečného příjemce a zpracování zajistit a zdokumentovat platný mechanismus včetně případného potřebného posouzení a doplňkových opatření.

Zpracování uvedené v bodě 12 zahrnuje předávání do Spojených států amerických. Toto předávání se opírá o rámec EU-U.S. Data Privacy Framework (DPF), pokud jsou příjemce a činnost kryty platnou certifikací, a/nebo o použitelné standardní smluvní doložky (SCC) podle příslušné smlouvy o zpracování s dodavatelem. Zásady ochrany osobních údajů, bod 6 uvádějí místa zpracování, příjemce a odkazy na jejich podmínky předávání. Uzavření smlouvy s evropským subjektem nevylučuje přístup k údajům ani jejich zpracování ve Spojených státech.

Rozhodnutí o odpovídající ochraně lze použít jen tam, kde jsou splněny jeho podmínky. Spolehnutí na rámec EU-U.S. Data Privacy Framework vyžaduje, aby byli příslušný příjemce a činnost kryti platnou certifikací. Při použití standardních smluvních doložek musí být doplněny příslušné strany, modul, přílohy, popis zpracování a opatření; obecný odkaz v této Smlouvě o zpracování sám o sobě neznamená uzavření doložek pro předávání.

OAZEE na požádání poskytne informace o skutečně použitém mechanismu a přístup k zárukám, s výhradou zákonné ochrany důvěrných informací a osobních údajů třetích osob. Pokud předávání nelze nadále zákonně zajistit, musí být dotčené předávání zastaveno nebo nahrazeno jiným zákonným řešením.

S ohledem na povahu zpracování OAZEE pomáhá Zákazníkovi vhodnými opatřeními vyřizovat žádosti o přístup k údajům, opravu, výmaz, omezení zpracování a přenositelnost údajů a námitky proti zpracování, jsou-li tato práva použitelná. Žádosti lze koordinovat přes Zobrazit e-mail.

Obdrží-li OAZEE žádost týkající se údajů spravovaných Zákazníkem, předá ji Zákazníkovi bez zbytečného odkladu a o odpovědi sám nerozhoduje, ledaže to vyžaduje zákon. Posouzení žádosti zůstává na Zákazníkovi; OAZEE poskytne pomoc včas, aby bylo možné dodržet zákonnou lhůtu. Vrácení údajů lze vyřídit na žádost a neomezuje se na informace viditelné v administraci.

OAZEE oznámí Zákazníkovi porušení zabezpečení osobních údajů zpracovávaných podle této Smlouvy o zpracování bez zbytečného odkladu poté, co se o něm dozví. Oznámení obsahuje, pokud jsou k dispozici, povahu incidentu, dotčené kategorie a přibližný počet, kontaktní místo, pravděpodobné důsledky a přijatá nebo navrhovaná opatření.

Informace lze během zjišťování skutečností poskytovat postupně, vždy bez zbytečného odkladu. OAZEE spolupracuje při omezování a odstraňování následků, posuzování incidentu a plnění ohlašovacích povinností Zákazníka. Případná 72hodinová lhůta správce pro ohlášení dozorovému úřadu není smluvní lhůtou, o kterou by OAZEE mohl informování Zákazníka odložit.

S ohledem na povahu zpracování a dostupné informace OAZEE pomáhá Zákazníkovi plnit povinnosti v oblasti zabezpečení, ohlašování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace, je-li vyžadována.

OAZEE poskytuje informace potřebné k doložení souladu s článkem 28 GDPR a umožňuje audity a přispívá k nim, včetně kontrol prováděných Zákazníkem nebo jím pověřeným nezávislým auditorem. Strany si dohodnou přiměřené oznámení předem, rozsah, mlčenlivost a ochranu údajů ostatních zákazníků; tato ujednání nemohou vyloučit zákonné právo na audit ani bránit příslušnému úřadu. Existující nezávislé zprávy lze použít, jsou-li vhodné, nesmí však být vydávány za certifikace, které OAZEE nemá.

Běžná součinnost je součástí příslušných zákonných povinností. Samostatně sjednaná úhrada za skutečně dodatečnou práci musí být přiměřená a nesmí bránit uplatňování práv, která nelze smluvně vyloučit, ani nápravě porušení povinností ze strany OAZEE.

Po skončení příslušné služby zpracování může Zákazník zvolit vrácení nebo výmaz svých osobních údajů včetně kopií, pokud právo EU nebo členského státu nevyžaduje jejich uložení. Žádosti se podávají přes Zobrazit e-mail; OAZEE pomůže bez zbytečného odkladu a při vrácení poskytne údaje v použitelném, běžně používaném formátu odpovídajícím povaze údajů. Po vrácení OAZEE vymaže zbývající kopie, pokud právo EU nebo členského státu nevyžaduje jejich uchování, s výhradou omezeného cyklu záloh popsaného níže.

Pokud si Zákazník ponechá účet a dá pokyn k dalšímu uložení pro pozdější obnovení, může toto vymezené uložení podle této Smlouvy o zpracování pokračovat. Ukončení placeného hostingu se zachováním obnovitelného obsahu není totéž jako pokyn k výmazu veškerého uloženého obsahu. Provozní doby uchování uvedené v Zásadách ochrany osobních údajů se řídí oprávněnými pokyny Zákazníka a požadavkem nezbytnosti podle GDPR.

Záznamy, které je nutné uchovat ze zákona, jsou odděleny a použity jen k danému účelu. Záložní kopie čekající na příslušný cyklus výmazu zůstávají chráněny, nepoužívají se k novým účelům a jsou vymazány nebo anonymizovány, jakmile jejich omezené uchování přestane být nutné. OAZEE na požádání vysvětlí příslušnou výjimku nebo cyklus uchování.

Kontaktem pro pokyny zpracovateli a záležitosti ochrany osobních údajů je Zobrazit e-mail. Oznámení týkající se údajů Zákazníka zasíláme na aktuální kontakt v jeho účtu, pokud není dohodnut jiný. Zákazník musí tento kontakt udržovat aktuální.

Tato Smlouva o zpracování se řídí ustanovením Podmínek užívání o českém právu; tím není dotčeno uplatňování GDPR, pravomoci příslušných dozorových úřadů, práva subjektů údajů ani další záruky ochrany, které nelze vyloučit. Nenutí spotřebitele obracet se výlučně na český soud v rozporu s použitelným právem.

Zásady ochrany osobních údajů, bod 6 uvádějí příslušné poskytovatele a jejich funkce. Pro skutečné zpracování údajů Zákazníka se rozlišují:

• Vercel Inc. (USA): hosting, úložiště Blob a ochrana BotID, včetně případného zpracování společností Kasada;
• Neon: databáze; aktuální veřejné podmínky uvádějí společnost Databricks, Inc. a její dceřinou společnost Neon, LLC (USA);
• Resend / Plus Five Five, Inc. (USA): doručování dotazů a provozních e-mailů, včetně ukládání zpráv v USA;
• nastavení poskytovatelé AI nebo hlasových funkcí, pokud jsou údaje Zákazníka oprávněně zahrnuty: Google (včetně Google Cloud EMEA Limited, Irsko, pro placené služby Gemini API s českou fakturační adresou), OpenAI, OpenRouter spolu s příslušným navazujícím poskytovatelem nebo Recraft;
• další poskytovatelé jen v rozsahu, v jakém jsou skutečně použiti jménem Zákazníka na základě potřebného povolení.

Samostatné zpracování plateb společností Stripe, předávání údajů registru prostřednictvím Gransy / Subreg nebo příslušného registru domén a vlastní notifikace podpory OAZEE se posuzují podle skutečné role zapojených subjektů; tyto subjekty nejsou automaticky dalšími zpracovateli údajů z formulářů návštěvníků.

Databáze je uložena v regionu AWS US East 1, Severní Virginie, USA (us-east-1). Serverové funkce OAZEE používají výchozí region Vercel Washington, D.C., USA (iad1); statický obsah je doručován prostřednictvím globální sítě CDN. Loga, fotografie a nahrané soubory se ukládají ve službě Vercel Blob; region funkcí neurčuje umístění všech kopií ve službě Blob, v mezipaměti či v zálohách ani místa, odkud je umožněn vzdálený přístup. Resend ukládá e-mailová data v USA; volba regionu odesílání na tom nic nemění.

Příjemci a podmínky předávání uvedené v Zásadách ochrany osobních údajů, bod 6 jsou součástí tohoto přehledu. Pro každého aktivního dalšího zpracovatele poskytne OAZEE na adrese Zobrazit e-mail informace o příslušném smluvním subjektu, jeho funkci, kategoriích údajů, místech zpracování a vzdáleného přístupu a zárukách pro předávání a o změnách informuje podle bodu 5. Další nebo navazující poskytovatelé musí být pro skutečné zpracování uvedeni; uvedené regiony infrastruktury neznamenají, že veškeré zpracování probíhá pouze v nich.