Smlouva o zpracování osobních údajů

podle čl. 28 nařízení (EU) 2016/679 (GDPR) · verze · platná od

Když e-shop používá Sellu, zpracovává Sella osobní údaje jeho návštěvníků. Tato smlouva určuje, jak: jen podle pokynů e-shopu, bezpečně a jen po nezbytnou dobu.

Zpracovatel: , IČO , se sídlem , , e-mail , kontakt pro podporu a ochranu údajů (dále „Zpracovatel“).
Správce: podnikatel, který si Sellu objednal a s touto smlouvou souhlasil při založení účtu (dále „Správce“).

1. Předmět a uzavření

1. Zpracovatel poskytuje Správci službu Sella podle Obchodních podmínek (dále „Podmínky“). Při tom zpracovává osobní údaje návštěvníků webu Správce jeho jménem.
2. Smlouva je součástí smlouvy o poskytování služby, uzavírá se elektronicky souhlasem Správce při založení účtu a trvá, dokud Zpracovatel pro Správce osobní údaje zpracovává.

2. Rozsah zpracování

3. Povinnosti Zpracovatele

1. Zpracovatel zpracovává osobní údaje jen na doložené pokyny Správce, včetně předání do třetích zemí. Pokyny jsou tato smlouva, Podmínky a nastavení služby Správcem. Považuje-li pokyn za protiprávní, Správce na to bez odkladu upozorní.
2. Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo jí byly vázány ze zákona.
3. Zpracovatel přijme technická a organizační opatření podle čl. 32 GDPR uvedená v příloze 1.
4. Zpracovatel nepoužije osobní údaje pro vlastní účely, neprodává je a nepoužívá je k trénování modelů umělé inteligence; totéž uloží svým poddodavatelům.
5. Zpracovatel pomáhá Správci plnit povinnosti vůči subjektům údajů (přístup, oprava, výmaz, omezení, námitka, přenositelnost) a povinnosti podle čl. 32–36 GDPR, s ohledem na povahu zpracování a informace, které má. Žádost subjektu údajů, která dojde Zpracovateli, předá Správci bez zbytečného odkladu.
6. Porušení zabezpečení osobních údajů ohlásí Zpracovatel Správci bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, s informacemi podle čl. 33 odst. 3 GDPR, které má k dispozici.
7. Po skončení poskytování služby Zpracovatel osobní údaje do 30 dní vymaže, nepožádá-li Správce dříve o jejich vrácení (export statistik), ledaže je právo vyžaduje uchovat.
8. Zpracovatel poskytne Správci informace potřebné k doložení plnění této smlouvy a umožní audit, a to po oznámení nejméně 30 dní předem, nejvýše jednou ročně (s výjimkou auditu po porušení zabezpečení nebo na žádost úřadu) a na náklady Správce.

4. Poddodavatelé (další zpracovatelé)

1. Správce dává obecné povolení zapojit poddodavatele uvedené v příloze 2.
2. O zamýšlené změně poddodavatele informuje Zpracovatel Správce e-mailem nejméně 30 dní předem. Správce může z oprávněných důvodů vznést námitku; nedohodnou-li se, může Správce smlouvu o poskytování služby bez sankce ukončit.
3. Zpracovatel uloží poddodavatelům smluvně stejné povinnosti ochrany osobních údajů a odpovídá za jejich plnění.
4. Do zemí mimo Evropský hospodářský prostor předává Zpracovatel osobní údaje jen na základě rozhodnutí Komise o odpovídající ochraně (včetně rámce EU–USA pro ochranu osobních údajů) nebo standardních smluvních doložek EU.

5. Povinnosti Správce

1. Správce odpovídá za právní základ zpracování, zejména za získání souhlasu návštěvníků s analytikou a jeho předání službě (Podmínky, čl. 7.2).
2. Správce informuje návštěvníky o zpracování podle čl. 13 GDPR; může odkázat na informace pro návštěvníky nebo převzít jejich obsah do vlastních zásad.
3. Správce nezadává do služby osobní údaje, které k jejímu fungování nejsou potřeba.

6. Závěrečná ustanovení

1. Odpovědnost stran se řídí čl. 82 GDPR a Podmínkami. Při rozporu s Podmínkami ve věcech ochrany osobních údajů má přednost tato smlouva.
2. Smlouva se řídí právem České republiky. Změny se oznamují a nabývají účinnosti stejně jako změny Podmínek.

Příloha 1: Technická a organizační opatření

• Šifrované spojení (HTTPS/TLS) mezi webem, serverem a všemi poddodavateli.
• Databáze přístupná jen serveru služby přes tajný klíč; veřejný přístup vypnutý (row level security). Data jednotlivých Správců oddělena identifikátorem a přístupovými pravidly.
• Přehled Správce chráněn heslem uloženým jen jako otisk (scrypt), přihlášení přes podepsanou HttpOnly cookie, omezení počtu pokusů o přihlášení.
• Widget odpovídá jen na doménách Správce; omezení počtu požadavků proti zneužití.
• Bez souhlasu návštěvníka se neukládá jeho chování ani text dotazů; v uložených dotazech se automaticky skrývají e-maily, telefonní čísla a čísla platebních karet.
• Automatický výmaz záznamů po 90 dnech; identifikátor návštěvy je náhodný a bez vazby na identitu návštěvníka.
• Přístup k produkčním systémům mají jen pověřené osoby Zpracovatele vázané mlčenlivostí, s dvoufázovým ověřením u poskytovatelů, kde je dostupné.
• Monitoring chyb a dostupnosti, záznamy o bezpečnostních incidentech, pravidelné aktualizace software.

Příloha 2: Poddodavatelé

Data Processing Agreement

under Article 28 of Regulation (EU) 2016/679 (GDPR) · version · effective from

This is an English translation for convenience. The Czech version is legally binding.

When an online shop uses Sella, Sella processes the personal data of the shop's visitors. This agreement sets out how: only on the shop's instructions, securely and only for as long as necessary.

Processor: , Company ID , registered address , , e-mail , support and data protection contact ("Processor").
Controller: the business that ordered Sella and agreed to this agreement when creating its account ("Controller").

1. Subject and conclusion

1. The Processor provides the Controller with the Sella service under the Terms of Service ("Terms"). In doing so it processes personal data of visitors to the Controller's website on the Controller's behalf.
2. This agreement forms part of the service contract, is concluded electronically by the Controller's consent when creating the account, and lasts as long as the Processor processes personal data for the Controller.

2. Scope of processing

3. Processor obligations

1. The Processor processes personal data only on the Controller's documented instructions, including transfers to third countries. The instructions are this agreement, the Terms and the Controller's service settings. If an instruction appears unlawful, the Processor informs the Controller without delay.
2. The Processor ensures that persons authorised to process personal data are bound by confidentiality.
3. The Processor implements the technical and organisational measures under Article 32 GDPR listed in Annex 1.
4. The Processor does not use personal data for its own purposes, does not sell it and does not use it to train artificial intelligence models, and imposes the same on its sub-processors.
5. The Processor assists the Controller in meeting obligations towards data subjects (access, rectification, erasure, restriction, objection, portability) and under Articles 32–36 GDPR, taking into account the nature of processing and the information available to it. It forwards any data subject request it receives to the Controller without undue delay.
6. The Processor notifies the Controller of a personal data breach without undue delay and no later than 48 hours after becoming aware of it, with the information under Article 33(3) GDPR available to it.
7. After the service ends, the Processor deletes the personal data within 30 days unless the Controller requests its return (an export of statistics) earlier, or the law requires it to be kept.
8. The Processor provides the Controller with the information needed to demonstrate compliance and allows audits, with at least 30 days' notice, at most once a year (except audits after a breach or at an authority's request) and at the Controller's expense.

4. Sub-processors

1. The Controller gives general authorisation to engage the sub-processors listed in Annex 2.
2. The Processor informs the Controller by e-mail of any intended change of sub-processors at least 30 days in advance. The Controller may object on reasonable grounds; if the parties do not agree, the Controller may end the service contract without penalty.
3. The Processor imposes the same data protection obligations on sub-processors by contract and remains responsible for their performance.
4. The Processor transfers personal data outside the European Economic Area only on the basis of a Commission adequacy decision (including the EU–US Data Privacy Framework) or the EU standard contractual clauses.

5. Controller obligations

1. The Controller is responsible for the legal basis of processing, in particular obtaining visitors' consent to analytics and passing it to the service (Terms, section 7.2).
2. The Controller informs visitors about processing under Article 13 GDPR; it may link to the information for visitors or adopt its content in its own policy.
3. The Controller does not enter personal data into the service that it does not need to work.

6. Final provisions

1. The parties' liability is governed by Article 82 GDPR and the Terms. In case of conflict with the Terms on data protection matters, this agreement prevails.
2. This agreement is governed by Czech law. Changes are announced and take effect in the same way as changes to the Terms.

Annex 1: Technical and organisational measures

• Encrypted connections (HTTPS/TLS) between the website, server and all sub-processors.
• Database accessible only to the service's server via a secret key; public access disabled (row level security). Each Controller's data separated by identifier and access rules.
• Controller dashboard protected by a password stored only as a hash (scrypt), sign-in via a signed HttpOnly cookie, limited login attempts.
• The widget answers only on the Controller's domains; request limits against abuse.
• Without the visitor's consent, neither their behaviour nor question text is stored; e-mails, phone numbers and card numbers are masked automatically in stored questions.
• Automatic deletion of records after 90 days; the visit identifier is random and not linked to the visitor's identity.
• Access to production systems only for authorised persons of the Processor bound by confidentiality, with two-factor authentication where providers offer it.
• Error and availability monitoring, security incident records, regular software updates.

Annex 2: Sub-processors