Smlouva o zpracování osobních údajů (DPA)

AI Prezentér · verze 2026-10-16 · připraveno 16. 10. 2026 · účinnost od doloženého přijetí

Tuto smlouvu podle čl. 28 GDPR uzavírají zákazník jako správce a Sales Robots s.r.o., IČO 09586563, Generála Šišky 2082/26, 143 00 Praha, info@salesrobots.cz, jako zpracovatel. Je součástí obchodních podmínek a v otázkách ochrany údajů má přednost. Pro účetní, smluvní a vlastní zákaznické údaje je Sales Robots samostatným správcem podle zásad. Elektronické přijetí identifikuje jednající osobu, společnost, čas a přesné verze dokumentů. Pouhé zveřejnění DPA ani starší souhlas s jinými podmínkami ji nenahrazují.

1. Pokyny a rozdělení povinností

Zpracovatel zpracovává údaje pouze na doložené pokyny správce v rozsahu přílohy 1. Pokyny zahrnují konfiguraci v administraci a písemné pokyny na info@salesrobots.cz: podklady, sběr kontaktů, text dobrovolného souhlasu, příjemce souhrnů, přístupy a kratší dobu uchování. Funkce, která není dostupná v administraci, se řeší doloženým požadavkem; tento text nedeklaruje nasazení nových ovládacích prvků. Jiný účel ani předání do třetí země nepřidá bez pokynu, ledaže to vyžaduje právo EU nebo členského státu; správce o tom předem informuje, pokud to právo nezakazuje. Protiprávní pokyn bez zbytečného odkladu oznámí a jeho provedení odloží do vyjasnění.

Správce určuje účel a právní základ, plní informační povinnost a pravidla obchodních sdělení. Zpracovatel poskytuje informační rozhraní, vzor a evidenci; správce odpovídá za obsah své informace a souhlasu. Potvrzení přečtení informace není souhlasem s dalším kontaktováním. Vyžádaný souhrn musí být dostupný bez takového souhlasu. Tím není vyloučena vlastní odpovědnost zpracovatele podle GDPR.

2. Mlčenlivost, bezpečnost a zákaz vlastního využití

Přístup mají pouze oprávněné osoby vázané mlčenlivostí. Zpracovatel uplatňuje přiměřená opatření podle čl. 32 GDPR uvedená v příloze 2 a pravidelně je přezkoumává. Správce řídí přístupy svých uživatelů a pokyny.

Zpracovatel nepoužívá osobní údaje správce ani konverzace pro vlastní účely, marketing, trénink obecných modelů nebo zlepšování služby napříč klienty. Pro údaje správce zapojí pouze smluvní režimy AI poskytovatelů bez tréninku na vstupech a výstupech. Technická kontrola konkrétního provozu probíhá pouze v nezbytném rozsahu pro poskytování služby správci. Zákaz tréninku neznamená nulovou bezpečnostní retenci dodavatele.

3. Podzpracovatelé a zahraniční přenosy

Správce obecně písemně povoluje podzpracovatele v příloze 3. Zpracovatel jim uloží stejné povinnosti ochrany a odpovídá za jejich plnění vůči správci. Přidání nebo nahrazení oznámí alespoň 15 dní předem. Správce může podat odůvodněnou námitku; nepodaří-li se nalézt řešení, může dotčenou službu před změnou ukončit bez sankce. D-ID ani HeyGen nejsou touto přílohou schváleni jako aktivní poskytovatelé.

Přenos mimo EHP musí splňovat kapitolu V GDPR: odpovídající ochrana podle rozhodnutí Komise, u USA DPF pouze pro konkrétní aktuálně certifikovaný subjekt, nebo standardní smluvní doložky s potřebnými doplňujícími opatřeními. Samotný region databáze nezaručuje výhradně evropské zpracování. Zpracovatel před zapojením ověří smlouvu, relevantní příjemce a přenosový mechanismus a na žádost poskytne jejich přehled.

4. Součinnost, incidenty a audit

Zpracovatel pomáhá vyřizovat žádosti subjektů údajů a povinnosti podle čl. 32 až 36 GDPR, včetně posouzení vlivu a konzultace. Žádost přijatou přímo postoupí správci bez zbytečného odkladu; sám nerozhoduje o jejím obsahu bez pokynu nebo zákonné povinnosti.

Porušení zabezpečení oznámí správci bez zbytečného odkladu, smluvně nejpozději do 48 hodin od zjištění, s dostupnými informacemi o rozsahu, důsledcích, kontaktní osobě a opatřeních. Zbytek doplní postupně. Tato smluvní hranice neodkládá povinnost jednat bezodkladně ani nemění povinnosti správce vůči úřadu.

Poskytne informace k doložení čl. 28 GDPR a umožní přiměřený audit správcem nebo jím pověřeným nezávislým auditorem. Běžný audit lze provést nejvýše jednou za 12 měsíců na základě písemného oznámení doručeného nejméně 30 dní předem, způsobem chránícím údaje ostatních zákazníků a bezpečnost systému; doložení dokumentace může předcházet místní kontrole. Mimořádný audit při důvodném podezření na závažné porušení, incidentu nebo požadavku dozorového úřadu tím není omezen. Každá strana nese své běžné náklady, není-li sjednáno jinak; zákonná práva správce tím nejsou dotčena.

Vznikne-li zpracovateli újma v příčinné souvislosti s protiprávním pokynem nebo porušením povinností správce, zejména chybějícím právním titulem ke zpracování nebo kontaktování, nahradí ji správce v rozsahu, v němž je přičitatelná jeho porušení a její náhradu právo připouští. Náhrada zahrnuje také přiměřené náklady řízení a právního zastoupení, náhrady vyplacené subjektům údajů nebo třetím osobám a pravomocně uložené pokuty, pokud a v rozsahu, v jakém jejich náhradu nevylučuje kogentní právo. Zpracovatel vznik, výši a souvislost nároku doloží a učiní přiměřená opatření k omezení újmy. Správce nehradí část újmy přičitatelnou vlastnímu porušení povinností zpracovatele. Tím nejsou dotčena práva subjektů údajů, pravomoci dozorových úřadů ani vlastní odpovědnost zpracovatele podle GDPR; ujednání nepřenáší veřejnoprávní odpovědnost za pokutu na jinou osobu.

5. Doba, konec zpracování a odpovědnost

Zpracování trvá po dobu služby, nejdéle podle přílohy 1. Po skončení zpracovatel podle volby správce údaje vrátí nebo vymaže včetně kopií, pokud právo neukládá další uchování. Export je dostupný před skončením; produkční výmaz se provede nejpozději do 14 dní. Zálohy jsou do odstranění izolovány od běžného použití a vyřadí se v příslušném cyklu; při obnově se znovu uplatní výmazy. Přesný aktivní cyklus poskytne zpracovatel na vyžádání.

Smluvní a účetní důkazy, které Sales Robots uchovává jako samostatný správce, nejsou oprávněním uchovávat klientské konverzace.

Celková povinnost zpracovatele nahradit správci újmu podle této DPA je omezena částkou odpovídající platbám přijatým od správce za službu AI Prezentér za 12 měsíců před vznikem škodní události. Omezení se nevztahuje na újmu způsobenou úmyslně nebo z hrubé nedbalosti, na práva subjektů údajů podle čl. 82 GDPR ani na další odpovědnost, kterou podle kogentního práva nelze omezit, včetně ochrany přirozených práv člověka a práv slabší strany podle § 2898 občanského zákoníku. Tím nejsou omezeny pravomoci dozorových úřadů ani zákonné regresní nároky v rozsahu, v němž je nelze smluvně omezit. Toto ujednání se použije i přes přednost DPA před obchodními podmínkami. Změny se oznamují alespoň 15 dní předem, změny vyžadující přijetí platí až po doloženém přijetí. České znění je rozhodné. Archiv verzí.

Příloha 1: AI Prezentér

• Subjekty: návštěvníci klientské prezentace a potenciální zákazníci správce.
• Údaje: přepis textové nebo hlasové konverzace, témata a zájmy, dobrovolně zadané jméno, e-mail, telefon a firma, záznam potvrzení informací a samostatného souhlasu, technické údaje, pseudonym IP a údaje prohlížeče. Zvláštní kategorie údajů nejsou zamýšleny.
• Účel: interaktivní prezentace, odpovědi, vyžádaný souhrn nebo nabídka a předání kontextu správci; další kontaktování podle samostatného právního základu správce.
• Operace: přenos, uložení, LLM zpracování, hlasové zpracování a TTS, zobrazení, vyhodnocení a zaslání e-mailu, export a výmaz.
• Doba: do skončení smlouvy, nejvýše 12 měsíců od relace; správce může doloženým pokynem stanovit kratší dobu. Současný automatický provoz odstraňuje přepisy a podrobné události po 90 dnech, nikoli samotné kontakty a všechny související záznamy. Zpracovatel zajistí výmaz zbývajících osobních údajů samostatně podle pokynu a smluvní lhůty; nejde o prohlášení, že již běží automatický 12měsíční výmaz kontaktů. Pozdější vložení kontaktu maximální dobu od relace neprodlužuje. Po skončení platí článek 5.
• Hlas: v aktuálním hlasovém režimu jde zvuk přes serverové rozhraní do Google Gemini, které vrací odpověď a přepis; nejde jen o místní přepis v prohlížeči. Aplikace neukládá nahrávky mikrofonu jako zvukový archiv; přepis ukládá. Bezpečnostní uchovávání u Google se řídí jeho smluvním režimem. Psaní je alternativa bez zapnutí mikrofonu.

Příloha 2: Technická a organizační opatření

Komunikace používá HTTPS/WSS. Úložiště a databázi šifruje infrastrukturní poskytovatel; nejde o vlastní šifrování jednotlivých polí. Hesla spravuje Supabase Auth. Klíče AI a privilegované databázové přístupy nejsou v návštěvnickém kódu.

Data Prezentéru jsou v odděleném databázovém schématu s RLS a přístupem přes serverové funkce. Ty ověřují oprávnění správce nebo výslovně přiděleného operátora ke konkrétní prezentaci. Personalizované odkazy a pozvánky používají omezené podepsané tokeny; IP se pro limity pseudonymizuje. Ochrana není tvrzením absolutní bezpečnosti.

Provoz používá omezení délky a četnosti relací, kontrolu vstupů a ochranu proti automatizovanému zneužití. Doložení přijetí smlouvy musí být oddělené od dobrovolného souhlasu návštěvníka; samotný starší souhlas s jinými podmínkami nepředstavuje přijetí této DPA. Přístupy, zálohy, retenční úlohy a jejich obnovitelnost podléhají provoznímu ověření; konkrétní plán záloh musí být doložen u aktivního účtu. Dvoufaktorové přihlášení koncového operátora ani nová automatická evidence souhlasů zde nejsou deklarovány jako nasazené.

Příloha 3: Podzpracovatelé

Aktuální smlouvy dodavatelů: Supabase, Vercel, Google Gemini, Google Cloud (reCAPTCHA Enterprise), Resend. Veřejný odkaz nenahrazuje ověření přijetí DPA v konkrétním účtu. Region a přesná bezpečnostní retence Google závisejí na používané službě a konfiguraci; nulová retence ani EU-only režim nejsou touto smlouvou slibovány.