Zpracovatelská smlouva

Smlouva o zpracování osobních údajů podle čl. 28 GDPR · verze 1.0 · účinná od 20. 10. 2026

1. Smluvní strany a předmět
2. Povinnosti zpracovatele
3. Další zpracovatelé
4. Předání mimo EU
5. Odpovědnost a trvání
6. Příloha A: popis zpracování
7. Příloha B: technická a organizační opatření
8. Příloha C: další zpracovatelé

1. Smluvní strany a předmět

Správce je zákazník služby Zvonia, jak je uveden v jeho účtu a ve smlouvě o poskytování služby. Zpracovatel je Julius Joska, IČO 24409979, sídlo Rosovice 98, 262 11 Rosovice, obchodní značka ajtak.it, kontakt podpora@zvonia.cz.

Smlouva upravuje zpracování osobních údajů, které zpracovatel provádí pro správce při poskytování služby Zvonia podle obchodních podmínek (dále „hlavní smlouva“). Rozsah zpracování popisuje Příloha A. V otázkách ochrany osobních údajů má tato smlouva přednost před hlavní smlouvou.

Smlouvu uzavírá za správce jeho vlastník v účtu zaškrtnutím souhlasu spolu s obchodními podmínkami; zpracovatel uchovává záznam, kdo a kdy souhlas udělil, k jaké verzi a z jaké IP adresy.

Správce odpovídá za zákonnost zpracování, za právní základ a za informování svých volajících. Zpracovatel mu k tomu poskytuje text pro volající v zásadách ochrany osobních údajů a upozornění na nahrávání v pozdravu asistentky. Správce nebude službou bez předchozí písemné dohody zpracovávat zvláštní kategorie údajů podle čl. 9 GDPR ani údaje podle čl. 10 GDPR nad rámec toho, co volající v hovoru sami sdělí.

2. Povinnosti zpracovatele

1. Pokyny. Zpracovává údaje jen na doložené pokyny správce. Doloženými pokyny jsou tato smlouva, hlavní smlouva a nastavení, které správce provede v účtu (profil, přepojení, nahrávání, SMS). Jiné pokyny se dávají e-mailem. Má-li zpracovatel za to, že pokyn porušuje předpisy, správce na to upozorní a pokyn do vyjasnění pozastaví.
2. Mlčenlivost. Zpracovatel je vázán mlčenlivostí a zaváže k ní každého, koho do zpracování zapojí, i po skončení smlouvy.
3. Zabezpečení. Udržuje technická a organizační opatření podle čl. 32 GDPR, nejméně v rozsahu Přílohy B.
4. Práva subjektů. Pomáhá správci vyřizovat žádosti volajících o přístup, opravu, výmaz, omezení a námitku. Žádost, která přijde přímo zpracovateli, bez odkladu předá správci a sám na ni věcně neodpovídá.
5. Porušení zabezpečení. Ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 24 hodin od zjištění, s informacemi podle čl. 33 odst. 3 GDPR, které má v tu chvíli k dispozici. Je-li zasažena e-mailová infrastruktura, použije jiný kanál (telefon, SMS).
6. Součinnost. Pomáhá správci s posouzením vlivu a konzultací s dozorovým úřadem podle čl. 35 a 36 GDPR v rozsahu, který odpovídá povaze služby.
7. Audit. Poskytne informace potřebné k doložení plnění této smlouvy, přednostně dokumentací (popis opatření, prohlášení o aplikovatelnosti, bezpečnostní dotazník). Inspekci na místě lze provést nejvýše jednou za 12 měsíců, s oznámením 30 dnů předem a na náklady správce, ledaže odhalí porušení na straně zpracovatele.
8. Konec zpracování. Po skončení hlavní smlouvy údaje podle volby správce vrátí v běžném strojově čitelném formátu, nebo je smaže z provozu do 30 dnů a ze záloh v rámci jejich běžného cyklu, nejpozději do 120 dnů, a výmaz potvrdí. Bez volby správce je smaže.

3. Další zpracovatelé

Správce uděluje obecné povolení zapojit další zpracovatele uvedené v Příloze C. Zamýšlenou změnu zpracovatel oznámí nejméně 30 dnů předem e-mailem; správce může z důvodů ochrany osobních údajů vznést námitku, a nedohodnou-li se strany, hlavní smlouvu vypovědět. Každého dalšího zpracovatele zaváže ke stejným povinnostem a za jejich plnění správci odpovídá.

4. Předání mimo EU

Údaje jsou uložené a zálohované v EU (Německo, Finsko) a v České republice. Do třetích zemí se dostávají jen u dalších zpracovatelů v Příloze C, kteří je k poskytování služby potřebují: hlas a text hovoru zpracovává jazykový model OpenAI v USA. Pro každé takové předání platí záruka podle kapitoly V GDPR: rozhodnutí o odpovídající ochraně (EU-US Data Privacy Framework), jinak standardní smluvní doložky Evropské komise.

5. Odpovědnost a trvání

Strany odpovídají za škodu podle GDPR a právních předpisů. Pokuty dozorového úřadu nese ta strana, které byly uloženy.

Celková odpovědnost zpracovatele podle této smlouvy a hlavní smlouvy dohromady je omezena na částku, kterou správce zpracovateli zaplatil za posledních 12 měsíců před vznikem škody. Omezení se nevztahuje na škodu způsobenou úmyslně nebo z hrubé nedbalosti.

Smlouva platí po dobu hlavní smlouvy a do vrácení nebo výmazu údajů. Mlčenlivost a ustanovení o konci zpracování trvají i po jejím skončení. Řídí se českým právem; rozhodným jazykem je čeština. Změnu Přílohy C postupem podle článku 3 lze provést bez dodatku.

Příloha A: popis zpracování

Příloha B: technická a organizační opatření

Úplný popis opatření zpracovatel na vyžádání poskytne. Pro službu Zvonia platí zejména:

• disky serverů s daty jsou šifrované (ZFS, AES-256-GCM); vrácený nebo vyměněný disk je nečitelný;
• každý uživatel účtu vidí jen data své firmy; oddělení vynucuje databáze pravidly na úrovni řádků (row-level security), ne jen aplikace;
• spojení s webem, účtem a jazykovým modelem je šifrované (TLS); nahrávky se z účtu přehrávají přes časově omezené podepsané odkazy;
• databáze se průběžně replikují do druhého datového centra a zálohují šifrovaně mimo produkci;
• přepisy a nahrávky se po uplynutí lhůty mažou automaticky;
• přístup k produkčním systémům má jen zpracovatel; asistentka nikdy nepřijímá ani nesděluje hesla a přístupové kódy.

Příloha C: další zpracovatelé

Telefonní operátor miniTEL s.r.o., IČO 27718808, Nové sady 603/39, Brno (Odorik.cz), není dalším zpracovatelem: jako operátor veřejně dostupné služby elektronických komunikací hovory a SMS jen přenáší a provozní údaje o spojení zpracovává jako samostatný správce podle zákona č. 127/2005 Sb., o elektronických komunikacích. Přepis, vzkaz a nahrávka vznikají až na ústředně zpracovatele.