Zpracovatelská smlouva (DPA)

1. Strany a předmět

Tato zpracovatelská smlouva podle čl. 28 nařízení (EU) 2016/679 (GDPR) je nedílnou součástí smlouvy o poskytování služby Zonepi Chat uzavřené podle obchodních podmínek mezi zákazníkem a společností Zonepi s.r.o., IČO 08139105, se sídlem Plavská 490, 370 07 Roudné (dále „poskytovatel“). Zákazník je správcem osobních údajů návštěvníků svých webů a údajů svých operátorů vložených do služby; poskytovatel je jejich zpracovatelem.

2. Povaha, účel a rozsah zpracování

Účelem zpracování je provoz live chatu na webech zákazníka: přijímání, ukládání, zobrazování a doručování konverzací a offline zpráv, e-mailová avíza a navazující komunikace, statistiky a zabezpečení služby. Kategorie subjektů: návštěvníci webů zákazníka; operátoři a administrátoři zákazníka. Kategorie údajů: obsah konverzací a příloh; kontaktní údaje, které návštěvník sám poskytne (jméno, e-mail, telefon); URL navštívené stránky; technické údaje nezbytné pro bezpečnost (IP adresa v auditním logu); u operátorů jméno, pracovní e-mail a provozní záznamy. Zvláštní kategorie údajů služba systematicky nezpracovává; obsah konverzace určuje návštěvník a zákazník je povinen službu neužívat k cílenému sběru takových údajů.

3. Doba zpracování a pokyny správce

Zpracování trvá po dobu trvání smlouvy. Poskytovatel zpracovává údaje výhradně na základě doložených pokynů správce — těmi se rozumí užívání a konfigurace služby jejími rozhraními (nastavení widgetů, retence, exporty, mazání) — a nikoli pro vlastní účely. Považuje-li poskytovatel pokyn za rozporný s GDPR, bez zbytečného odkladu na to správce upozorní.

4. Mlčenlivost

K osobním údajům mají přístup pouze osoby pověřené poskytovatelem, zavázané mlčenlivostí, a to v rozsahu nezbytném pro provoz a podporu služby.

5. Zabezpečení (čl. 32 GDPR)

Poskytovatel udržuje zejména tato technická a organizační opatření: izolace dat mezi zákazníky vynucovaná na úrovni každého databázového dotazu; TLS na všech spojeních; šifrování citlivých konfigurací v databázi (AES-256-GCM); přístup operátorů chráněný vícefaktorovým ověřením; auditní stopa administrativních akcí a plateb; oddělení interních poznámek od obsahu viditelného návštěvníkům; pravidelné šifrované zálohy s možností obnovy k bodu v čase; princip minimalizace (chatovací widget neukládá do prohlížeče žádné identifikátory a nezakládá návštěvnickou relaci, dokud jej návštěvník sám neotevře).

6. Dílčí zpracovatelé

Správce uděluje obecné povolení k zapojení dílčích zpracovatelů. Ke dni účinnosti jsou jimi: Hetzner Online GmbH (serverová infrastruktura a zálohy, datová centra v EU) a Seznam.cz, a.s. (odesílání a příjem e-mailové komunikace služby). Osobní údaje návštěvníků se zpracovávají v EU. Zamýšlené změny seznamu poskytovatel oznámí nejméně 14 dní předem e-mailem nebo v aplikaci; správce může do účinnosti změny vznést námitku — nedojde-li k dohodě, může smlouvu ukončit ke dni účinnosti změny. S každým dílčím zpracovatelem má poskytovatel uzavřenu smlouvu ukládající povinnosti srovnatelné s touto smlouvou.

7. Součinnost správci

Poskytovatel je správci nápomocen při plnění povinností vůči subjektům údajů (žádosti o přístup, opravu, výmaz — primárně prostřednictvím funkcí služby: export, anonymizace a mazání konverzací s auditním zápisem) a při plnění povinností dle čl. 32–36 GDPR, s přihlédnutím k povaze zpracování a informacím, které má k dispozici. Součinnost nad rámec funkcí služby může být zpoplatněna účelně vynaloženými náklady.

8. Porušení zabezpečení

Porušení zabezpečení osobních údajů týkající se údajů správce ohlásí poskytovatel správci bez zbytečného odkladu po jeho zjištění na e-mail administrátorů organizace, včetně informací dle čl. 33 odst. 3 GDPR, jsou-li dostupné (povahu porušení, pravděpodobné důsledky, přijatá opatření). Ohlášení dozorovému úřadu a subjektům údajů je povinností správce.

9. Výmaz a vrácení údajů

Po celou dobu trvání smlouvy má správce k dispozici export svých dat. Po zániku smlouvy zůstávají data dostupná k exportu 30 dní; poté je poskytovatel oprávněn je smazat a nejpozději do 90 dnů je smaže, nestanoví-li právo Unie nebo členského státu povinnost uchování. Výmaz zahrnuje i zálohy v rámci jejich rotačního cyklu.

10. Audit

Poskytovatel poskytne správci informace nezbytné k doložení souladu s touto smlouvou, primárně formou dokumentace a písemných odpovědí. Audit či inspekci na místě lze provést nejvýše jednou za 12 měsíců, po předchozí dohodě o termínu a rozsahu, na náklady správce a způsobem, který neohrozí bezpečnost a izolaci dat ostatních zákazníků poskytovatele.

11. Závěrečná ustanovení

Odpovědnost stran se řídí obchodními podmínkami včetně sjednaných omezení, nestanoví-li GDPR kogentně jinak. Smlouva se řídí právem České republiky. Zaniká zánikem smlouvy o poskytování služby; povinnosti dle čl. 4, 8 a 9 trvají i po jejím zániku do úplného vypořádání údajů.

Tato smlouva nabývá účinnosti dnem 1. 9. 2026.