Zpracovatelská smlouva (DPA)

Poslední aktualizace: 30. září 2026

Tato Zpracovatelská smlouva tvoří Přílohu č. 1 Podmínek služby Vibee a upravuje zpracování osobních údajů, jejichž správcem je Zákazník a zpracovatelem Daniel Rataj, IČO 71818871, se sídlem U měšťanského pivovaru 11, 170 00 Praha 7 („Provozovatel“), ve smyslu čl. 28 GDPR. Vytvořením účtu nebo zakoupením rozšíření aplikace Zákazník tuto DPA přijímá společně s Podmínkami služby. Pojmy nedefinované zde mají význam podle Podmínek služby.

1. Předmět a povaha zpracování

Provozovatel pro Zákazníka ukládá, zobrazuje a jinak zpracovává obsah (databázové záznamy, nahrané soubory, uživatele aplikací), který Zákazník nebo jím připojený AI asistent vloží do Služby. Zpracování probíhá automatizovaně prostředky Služby (databáze, souborové úložiště, webový a MCP/API server) po celou dobu trvání účtu nebo dané aplikace. Pro Zákazníka Provozovatel také počítá návštěvnost veřejných stránek jeho aplikací: IP adresu a identifikaci prohlížeče návštěvníka použije jen v okamžiku návštěvy k výpočtu otisku s denně měněnou a poté zahozenou náhodnou hodnotou, nic z toho neukládá a uchovává pouze anonymní denní součty (zobrazení, odhad počtu návštěvníků, stránky, zdroje návštěv) po dobu 400 dní.

2. Účel zpracování

Výhradně poskytování Služby Zákazníkovi podle Podmínek služby – ukládání, zobrazování a zpracování obsahu, který Zákazník vytvoří, a nic jiného.

3. Doba zpracování

Po dobu existence účtu Zákazníka, resp. dané aplikace. Po jejich smazání se zpracování řídí čl. 9 Podmínek služby (zálohy pro obnovu po havárii až 30 dní, poté trvalé odstranění).

4. Kategorie subjektů údajů a osobních údajů

Subjekty údajů jsou osoby, jejichž údaje Zákazník do Služby vloží (typicky jeho zaměstnanci, zákazníci nebo obchodní partneři) a uživatelé aplikací Zákazníka, u návštěvnosti také návštěvníci veřejných stránek jeho aplikací (IP adresa a identifikace prohlížeče, jen po dobu zpracování návštěvy). Kategorie údajů odpovídají obsahu, který Zákazník do svých tabulek a formulářů zadá. Zvláštní kategorie osobních údajů podle čl. 9 GDPR (např. rasový či etnický původ, politické názory, náboženské vyznání, členství v odborech, genetické či biometrické údaje, údaje o zdravotním stavu nebo sexuálním životě či orientaci) nejsou ve Službě povoleny – viz čl. 4 Podmínek služby. Zjistí-li Provozovatel takové údaje ve Službě, je oprávněn obsah odstranit nebo aplikaci pozastavit postupem podle čl. 14 Podmínek služby.

5. Pokyny Zákazníka

Provozovatel zpracovává osobní údaje pouze na základě doložených pokynů Zákazníka, kterými jsou operace prováděné Zákazníkem nebo jeho AI asistentem prostřednictvím administrace, MCP nástrojů nebo API Služby, a dále na základě této DPA a Podmínek služby. Domnívá-li se Provozovatel, že pokyn porušuje GDPR nebo jiný předpis o ochraně údajů, neprodleně o tom Zákazníka informuje.

6. Důvěrnost

Provozovatel zajistí, že osoby oprávněné zpracovávat osobní údaje (on sám a jeho případní subdodavatelé) se zavázaly k mlčenlivosti nebo podléhají zákonné povinnosti mlčenlivosti.

7. Zabezpečení

Provozovatel zavádí technická a organizační opatření odpovídající riziku podle čl. 32 GDPR, zejména: šifrování přenosu (TLS), hashování hesel a přístupových tokenů (argon2id), logické oddělení dat jednotlivých zákazníků samostatným databázovým schématem a parametrizované databázové dotazy bránící injekci. Podrobnosti viz čl. 6 Zásad ochrany soukromí.

8. Subzpracovatelé

Zákazník uděluje Provozovateli obecný souhlas se zapojením subzpracovatelů uvedených v čl. 3 Zásad ochrany soukromí (aktuálně Hetzner Online GmbH – servery a úložiště; Stripe Payments Europe, Ltd. – platby; Let's Encrypt – TLS certifikáty; poskytovatel AI asistenta připojeného Zákazníkem – OpenAI nebo Anthropic). Provozovatel na tyto subzpracovatele přenáší stejné povinnosti na ochranu údajů, jaké má sám podle této DPA. O zamýšlené změně subzpracovatele Provozovatel Zákazníka informuje alespoň 15 dní předem oznámením v administraci nebo e-mailem; Zákazník může proti změně vznést odůvodněnou námitku ve stejné lhůtě, jinak se má za to, že se změnou souhlasí.

9. Součinnost

Provozovatel poskytne Zákazníkovi přiměřenou součinnost při vyřizování žádostí subjektů údajů (přístup, oprava, výmaz, přenositelnost) prostřednictvím funkcí administrace a MCP nástrojů popsaných v čl. 5 Zásad ochrany soukromí, a dále při posouzení vlivu na ochranu osobních údajů (DPIA) a konzultacích s dozorovým úřadem, je-li to důvodně vyžadováno.

10. Bezpečnostní incidenty

Zjistí-li Provozovatel porušení zabezpečení osobních údajů zpracovávaných pro Zákazníka, oznámí mu to bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s dostupnými informacemi o povaze incidentu, dotčených kategoriích a přibližném počtu subjektů údajů a záznamů a o přijatých nebo navržených opatřeních.

11. Audit

Provozovatel na žádost Zákazníka nejvýše jednou ročně poskytne informace a dokumentaci přiměřeně prokazující soulad s touto DPA. Fyzickou kontrolu nebo audit provedený Zákazníkem či jím pověřeným auditorem Provozovatel umožní po předchozí dohodě o termínu a rozsahu a na náklady Zákazníka, nejde-li o kontrolu vyžádanou dozorovým úřadem.

12. Předání do třetích zemí

Infrastruktura, na které Provozovatel zpracovává obsah Zákazníka, se nachází v Evropské unii (Německo, Hetzner Online GmbH) – viz Přenositelnost dat a infrastruktura. Dojde-li výjimečně k předání osobních údajů subzpracovateli mimo EU/EHP, zajistí Provozovatel odpovídající záruky podle čl. 46 GDPR (zejména standardní smluvní doložky).

13. Ukončení zpracování

Po skončení poskytování Služby (smazáním účtu nebo aplikace, případně ukončením Služby Provozovatelem podle čl. 14 Podmínek) Provozovatel podle volby Zákazníka zpracovávané osobní údaje vymaže nebo mu je vrátí ve strojově čitelném formátu, ledaže je povinen je uchovávat podle práva EU nebo členského státu. Lhůty pro export a výmaz se řídí čl. 9 Podmínek služby.

14. Vztah k Podmínkám služby

Tato DPA je nedílnou přílohou Podmínek služby. V otázkách zpracování osobních údajů Zákazníka jako správce má tato DPA přednost před Podmínkami služby; ve všem ostatním platí Podmínky služby. Dotazy k této DPA: info@vibee.one.