Smlouva o zpracování osobních údajů

Podle čl. 28 nařízení (EU) 2016/679 (GDPR) · platná a účinná od 15. 10. 2026

Tato smlouva doplňuje obchodní podmínky a vztahuje se na uživatele – podnikatele a organizace (dále jen „správce“), kteří prostřednictvím služby ColdHost AI (webové rozhraní, týmové účty nebo API) zpracovávají osobní údaje, za které odpovídají, například údaje svých zákazníků, zaměstnanců nebo uživatelů svých aplikací. Zpracovatelem je Daniel Dibelka, IČO 29522862, Sadová 35, Zdiměřice, 252 42 Jesenice (dále jen „zpracovatel“). Smlouva je uzavřena akceptací obchodních podmínek a začne se uplatňovat okamžikem, kdy správce do služby poprvé vloží takové osobní údaje. Na žádost ji zpracovatel s konkrétním správcem podepíše i v listinné či elektronické podobě.

1. Předmět a doba zpracování

• Předmět a účel: poskytování služby ColdHost AI – zpracování vstupů pomocí modelů umělé inteligence, vytváření výstupů, ukládání konverzací, projektů a souborů a související provoz, zabezpečení a podpora.
• Povaha zpracování: uložení, strukturování, vyhledávání, automatizované zpracování modely AI, předání smluvním dalším zpracovatelům, výmaz.
• Kategorie údajů: jakékoli osobní údaje, které správce vloží do vstupů (zejména identifikační a kontaktní údaje, obsah komunikace, pracovní a technické údaje).
• Kategorie subjektů údajů: osoby, jejichž údaje správce do služby vloží (zákazníci, zaměstnanci, uživatelé aplikací správce aj.).
• Doba: po dobu používání služby správcem; poté do výmazu podle čl. 7.

Zvláštní kategorie osobních údajů (čl. 9 GDPR) a údaje o rozsudcích v trestních věcech (čl. 10 GDPR) smí správce do služby vkládat jen tehdy, má-li k jejich zpracování právní základ a posoudil-li, že úroveň zabezpečení služby je pro ně dostatečná.

2. Povinnosti zpracovatele

• zpracovávat osobní údaje pouze na základě doložených pokynů správce, za které se považují tato smlouva, obchodní podmínky a úkony správce ve službě (včetně volání API); pokud by pokyn podle názoru zpracovatele porušoval předpisy o ochraně údajů, upozorní na to správce;
• nepoužívat osobní údaje správce pro vlastní účely, zejména k trénování obecných modelů AI, ani je neprodávat;
• zajistit, aby se osoby oprávněné k přístupu zavázaly k mlčenlivosti;
• přijmout technická a organizační opatření podle čl. 32 GDPR uvedená v čl. 6 této smlouvy;
• být správci nápomocen při plnění jeho povinností vůči subjektům údajů (čl. 12–22 GDPR), při zabezpečení, ohlašování porušení, posouzení vlivu a předchozí konzultaci (čl. 32–36 GDPR), a to s ohledem na povahu zpracování a dostupné informace;
• poskytnout správci informace potřebné k doložení plnění povinností a umožnit audity podle čl. 8.

3. Další zpracovatelé

Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Zpracovatel v současnosti využívá tyto kategorie dalších zpracovatelů: poskytovatelé technologií umělé inteligence (zpracování vstupů a výstupů modelů), poskytovatelé serverové infrastruktury a záloh, poskytovatel CDN a ochrany proti útokům (Cloudflare, Inc.), poskytovatelé vyhledávání na webu a generování obrázků (pouze obsah dotazu). Aktuální seznam konkrétních dalších zpracovatelů včetně jejich sídla a míst zpracování zpracovatel správci poskytne na žádost zaslanou na [email protected].

O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje zpracovatel správce, který si o seznam požádal nebo se přihlásil k odběru změn, nejméně 14 dní předem. Správce může ze závažných důvodů souvisejících s ochranou údajů vznést námitku; nedojde-li k dohodě, může správce dotčenou službu bez sankce ukončit a obdrží poměrnou část předplaceného plnění. Zpracovatel uloží dalším zpracovatelům stejné povinnosti ochrany údajů, jaké jsou uvedeny v této smlouvě, a za jejich plnění odpovídá.

4. Předávání do třetích zemí

Další zpracovatelé mohou údaje zpracovávat i mimo EHP (zejména v USA a v Čínské lidové republice). Takové předávání probíhá jen za podmínek kapitoly V GDPR – na základě rozhodnutí Komise o odpovídající ochraně, nebo standardních smluvních doložek (rozhodnutí Komise (EU) 2021/914) spolu s posouzením dopadu předání a doplňujícími opatřeními (zejména minimalizace údajů předávaných v požadavcích). Je-li to nutné, uzavírá zpracovatel standardní smluvní doložky jménem správce na základě jeho pověření, které je mu touto smlouvou uděleno.

5. Porušení zabezpečení

Zpracovatel ohlásí správci porušení zabezpečení osobních údajů, které se týká údajů správce, bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, a poskytne informace podle čl. 33 odst. 3 GDPR, jakmile jsou k dispozici. Ohlášení se zasílá na e-mail účtu správce.

6. Technická a organizační opatření

• šifrování přenosu (TLS/HTTPS) a šifrované uložení přístupových údajů k propojeným systémům;
• hesla uložená jako kryptografický hash, ochrana proti hromadnému zkoušení hesel, záznam přihlášení;
• přístup k produkčním systémům pouze pro zpracovatele, se silnou autentizací, princip nejnižších oprávnění;
• oddělení dat jednotlivých účtů na úrovni aplikace;
• ochrana proti útokům (firewall, CDN, omezení počtu požadavků), pravidelné aktualizace systémů;
• pravidelné zálohování s omezenou dobou uchování;
• minimalizace údajů předávaných dalším zpracovatelům (bez přihlašovacích, platebních a síťových identifikátorů);
• možnost výmazu konverzací, paměti AI a celého účtu správcem kdykoli.

7. Výmaz a vrácení údajů

Správce může své údaje kdykoli exportovat a vymazat přímo ve službě. Po ukončení služby zpracovatel osobní údaje správce vymaže z provozních systémů bez zbytečného odkladu a ze záloh nejpozději do 30 dnů, nevyžaduje-li právní předpis jejich další uložení.

8. Audity

Zpracovatel poskytne na žádost správce písemné informace a dokumentaci prokazující plnění této smlouvy. Audit nebo inspekci na místě může správce nebo jím pověřený auditor vázaný mlčenlivostí provést po ohlášení nejméně 30 dní předem, nejvýše jednou ročně (častěji jen při porušení zabezpečení nebo z podnětu dozorového úřadu), v pracovní době a tak, aby nebyl narušen provoz služby. Náklady auditu nese správce.

9. Povinnosti správce

Správce odpovídá za to, že má pro zpracování vkládaných údajů právní základ, že subjekty údajů řádně informoval (včetně informace o využití AI a předávání do třetích zemí) a že jeho pokyny jsou v souladu s právními předpisy.

10. Závěrečná ustanovení

Odpovědnost stran se řídí obchodními podmínkami, nestanoví-li GDPR jinak. V případě rozporu mezi touto smlouvou a obchodními podmínkami má ve věcech ochrany osobních údajů přednost tato smlouva. Smlouva se řídí právem České republiky.