Zpracovatelská smlouva

Účinnost: 27. 9. 2026

1. Strany a vztah k Obchodním podmínkám

1.1 Tuto smlouvu o zpracování osobních údajů (dále „Smlouva”) uzavírá zákazník služby HypeLead jako správce (dále „Zákazník”) a HypeDigitaly s.r.o., IČO 17665655, se sídlem Velká Hradební 2800/54, 400 01 Ústí nad Labem, jako zpracovatel (dále „Zpracovatel”) podle čl. 28 nařízení (EU) 2016/679 (GDPR).

1.2 Smlouva je součástí Obchodních podmínek služby HypeLead (dále „Podmínky”). Zákazník ji přijímá spolu s Podmínkami při registraci. Ve věcech ochrany osobních údajů má Smlouva před Podmínkami přednost.

1.3 Pokud chcete podepsanou kopii Smlouvy, napište na info@hypedigitaly.ai. Podepsaná kopie má stejný obsah jako tato verze.

1.4 Pojmy mají význam podle GDPR a Podmínek.

2. Předmět, doba, povaha a účel zpracování

2.1 Zpracovatel zpracovává osobní údaje jménem Zákazníka, aby mu poskytoval službu HypeLead (dále „Služba”), zejména: správu kontaktů a firem, přípravu a odesílání kampaní z připojených účtů Zákazníka, správu odpovědí na jednom místě, přípravu návrhů zpráv pomocí umělé inteligence a související podporu.

2.2 Zpracování trvá po dobu trvání Podmínek a po jejich skončení do smazání nebo vrácení údajů podle článku 12.

2.3 Podrobnosti zpracování jsou v Příloze 1.

2.4 Tato Smlouva se nevztahuje na zpracování, pro které je Zpracovatel samostatným správcem, zejména na vyhledávání a doplňování dat o kontaktech, fakturaci a zabezpečení Služby. To popisují Zásady ochrany osobních údajů (/legal/privacy).

3. Pokyny Zákazníka

3.1 Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů Zákazníka, včetně předání do třetích zemí, ledaže mu zpracování ukládá právo EU nebo členského státu. V takovém případě Zákazníka předem informuje, pokud to právo nezakazuje.

3.2 Pokyny jsou tato Smlouva, Podmínky a akce, které Zákazník a jeho uživatelé provádějí ve Službě. Zpracovatel vede záznamy o podstatných akcích (například spuštění kampaně, zapnutí funkcí umělé inteligence, schválení odeslání). Tyto záznamy slouží jako doklad o pokynech.

3.3 Pokud je podle názoru Zpracovatele pokyn v rozporu s GDPR nebo jiným předpisem o ochraně osobních údajů, Zpracovatel na to Zákazníka bez zbytečného odkladu upozorní.

4. Povinnosti Zákazníka

4.1 Zákazník odpovídá za to, že má pro zpracování platný právní základ, že údaje získal v souladu s právem a že splnil informační povinnost vůči subjektům údajů.

4.2 Zákazník do Služby nenahrává a necílí:

• zvláštní kategorie osobních údajů podle čl. 9 GDPR,
• osobní údaje týkající se rozsudků v trestních věcech a trestných činů podle čl. 10 GDPR,
• seznamy spotřebitelů jako příjemce oslovení.

4.3 Zákazník vyplní ve Službě stránku se zásadami ochrany osobních údajů pro své příjemce, než je poprvé osloví.

5. Mlčenlivost

5.1 Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

5.2 Přístup k osobním údajům mají jen osoby, které ho potřebují k plnění svých úkolů.

6. Zabezpečení

6.1 Zpracovatel přijímá technická a organizační opatření podle čl. 32 GDPR. Jsou popsána v Příloze 2.

6.2 Opatření může Zpracovatel měnit, pokud nesníží celkovou úroveň ochrany.

7. Další zpracovatelé

7.1 Zákazník uděluje Zpracovateli obecné písemné povolení zapojit další zpracovatele. Jejich aktuální seznam je na /legal/subprocessors (Příloha 3).

7.2 Zpracovatel oznámí zamýšlené přidání nebo výměnu dalšího zpracovatele nejméně 15 dnů předem, a to aktualizací seznamu a e-mailem Zákazníkům, kteří se k odběru změn přihlásili.

7.3 Zákazník může do 15 dnů od oznámení vznést z oprávněných důvodů ochrany osobních údajů námitku. Strany se pokusí najít řešení.

7.4 Pokud řešení není možné, může Zákazník do 30 dnů ukončit tu část Služby, které se změna týká, případně celé Podmínky. Některé další zpracovatele (například hosting nebo bránu pro umělou inteligenci) nelze nahradit; v takovém případě je řešením jen ukončení dotčené funkce nebo Služby.

7.5 Pokud je nutné dalšího zpracovatele nahradit okamžitě, například kvůli jeho výpadku nebo bezpečnostnímu riziku, může Zpracovatel jednat hned a oznámit změnu bez zbytečného odkladu. Právo na námitku tím není dotčeno.

7.6 Zpracovatel uloží každému dalšímu zpracovateli smluvně stejné povinnosti ochrany osobních údajů, jaké má sám podle této Smlouvy. Za jejich plnění odpovídá Zákazníkovi.

8. Předávání mimo EHP

8.1 Osobní údaje ukládá Zpracovatel v Evropském hospodářském prostoru.

8.2 Pokud další zpracovatel zpracovává údaje mimo EHP, zajistí Zpracovatel vhodné záruky podle kapitoly V GDPR: standardní smluvní doložky (modul 3, zpracovatel dalšímu zpracovateli) s posouzením dopadu předání, nebo rámec EU-USA pro ochranu osobních údajů, pokud je příjemce certifikovaný.

8.3 Pokud Zákazník sídlí mimo EHP a je to potřeba, strany na žádost doplní další záruky, například standardní smluvní doložky modul 4.

9. Pomoc se žádostmi subjektů údajů

9.1 Zpracovatel pomáhá Zákazníkovi plnit povinnost reagovat na žádosti subjektů údajů. Služba k tomu nabízí nástroje pro export, opravu, výmaz a zařazení na seznam odhlášených.

9.2 Pokud Zpracovatel dostane žádost, která se týká údajů Zákazníka, předá ji Zákazníkovi bez zbytečného odkladu a sám na ni věcně neodpoví, ledaže ho k tomu Zákazník pověří.

10. Porušení zabezpečení

10.1 Zpracovatel ohlásí Zákazníkovi porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozvěděl.

10.2 Ohlášení obsahuje, pokud je to v tu chvíli známo: popis porušení, kategorie a přibližný počet dotčených osob a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontakt pro další informace. Informace, které ještě nejsou známé, doplní Zpracovatel postupně.

10.3 Zpracovatel poskytne Zákazníkovi součinnost při ohlášení úřadu a informování dotčených osob.

11. Posouzení vlivu a součinnost s úřady

11.1 Zpracovatel poskytne Zákazníkovi přiměřenou pomoc při posouzení vlivu na ochranu osobních údajů a při předchozí konzultaci s dozorovým úřadem, s ohledem na povahu zpracování a informace, které má k dispozici.

12. Vrácení a výmaz po skončení

12.1 Po skončení Podmínek uchová Zpracovatel data Zákazníka 30 dnů. V této době si je Zákazník může vyexportovat (export ve formátu CSV slouží jako vrácení údajů).

12.2 Po uplynutí 30 dnů Zpracovatel data smaže. Ze záloh zmizí nejpozději po dalších 30 dnech, kdy se zálohy přepíšou.

12.3 Po smazání zůstávají jen údaje, jejichž uchování vyžaduje právo nebo které jsou nutné k ochraně práv subjektů údajů: seznam odhlášených a otisky identifikátorů po výmazu (aby odhlášení platilo i nadále), auditní záznamy (osobní údaje v nich jsou znečitelněné) a záznamy o souhlasech a potvrzeních Zákazníka.

13. Audity

13.1 Zpracovatel poskytne Zákazníkovi informace potřebné k doložení plnění této Smlouvy.

13.2 Audit probíhá nejprve písemně: Zákazník pošle dotazník a Zpracovatel na něj odpoví v přiměřené lhůtě.

13.3 Pokud písemné odpovědi nestačí, může Zákazník nebo jím pověřený auditor, vázaný mlčenlivostí, provést audit na místě. Audit je třeba oznámit nejméně 30 dnů předem, lze ho provést nejvýše jednou za 12 měsíců (ledaže došlo k porušení zabezpečení nebo to požaduje úřad), nesmí narušit provoz ani ohrozit data jiných zákazníků a jeho náklady nese Zákazník.

14. Odpovědnost

14.1 Odpovědnost stran se řídí Podmínkami, včetně jejich omezení, ledaže právo stanoví jinak.

15. Závěrečná ustanovení

15.1 Smlouva se řídí právem České republiky.

15.2 Pokud se změní právní předpisy, strany Smlouvu přiměřeně upraví. Změny Smlouvy se řídí pravidly pro změny Podmínek.

Příloha 1 - Podrobnosti zpracování

Příloha 2 - Technická a organizační opatření

• šifrovaný přenos dat (TLS) mezi prohlížečem, servery a dodavateli,
• šifrované uložení přístupových údajů k připojeným účtům (obálkové šifrování s klíčem uloženým odděleně od databáze),
• oddělení dat jednotlivých zákazníků na úrovni databáze (row-level security),
• hesla uložená pomocí algoritmu argon2id, krátkodobé přístupové tokeny s rotací a detekcí opakovaného použití, omezení počtu pokusů a zamčení účtu po opakovaných neúspěšných pokusech, volitelné dvoufázové ověření,
• výchozí zákaz přístupu: každá část aplikace je nepřístupná, dokud ji výslovně nezpřístupníme,
• šifrované zálohy s možností obnovy k libovolnému okamžiku v posledních 30 dnech,
• auditní záznamy, které nelze přepsat, a výmaz osobních údajů v nich znečitelněním,
• odstraňování hesel, tokenů a osobních údajů ze systémových záznamů a hlášení chyb,
• řízení odchozích spojení ze serverů přes kontrolovanou bránu,
• platební karty zadávané jen do formuláře hostovaného u Stripe, bez přístupu k číslu karty,
• přepis hlasu na text na vlastních serverech, se smazáním zvuku ihned po přepisu,
• přístup zaměstnanců k datům jen v nezbytném rozsahu,
• postup pro řešení bezpečnostních incidentů.

Příloha 3 - Další zpracovatelé

Aktuální seznam dalších zpracovatelů, jejich činnost a místo zpracování je na /legal/subprocessors. Seznam je součástí této Smlouvy ve znění platném v daném okamžiku.