Smlouva o zpracování osobních údajů

podle čl. 28 nařízení (EU) 2016/679 (GDPR) · Šablona verze 2026-10-17 · identifikátor dpa-cs@2026-10-17

Smluvní strany

Zákazník: [NÁZEV], IČO [IČO], sídlo [ADRESA], zastoupený [JMÉNO, FUNKCE] (dále „Zákazník“)

Zpracovatel: Verduona s.r.o., IČO 04013751, sídlo Varšavská 715/36, 120 00 Praha 2, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 241007, zastoupená [JMÉNO, FUNKCE] (dále „Zpracovatel“)

Role Zákazníka (zaškrtněte):

Smlouva doplňuje Podmínky použití aplikací Verduona nebo jinou smlouvu o poskytování služeb (dále „Hlavní smlouva“). Lze ji uzavřít podpisem nebo elektronicky (přijetím při objednávce či v aplikaci).

1. Předmět

1.1 Zpracovatel zpracovává pro Zákazníka osobní údaje při poskytování aplikací podle Hlavní smlouvy. Předmět, dobu, povahu a účel zpracování, typy údajů a kategorie subjektů popisuje Příloha 1.

1.2 Smlouva platí po dobu Hlavní smlouvy a dále, dokud Zpracovatel údaje Zákazníka zpracovává.

2. Pokyny

2.1 Zpracovatel zpracovává údaje jen na doložené pokyny Zákazníka. Pokyny jsou Hlavní smlouva, tato smlouva, nastavení aplikace provedené Zákazníkem a další pokyny zaslané e-mailem.

2.2 Ukládá-li Zpracovateli jiné zpracování právo EU nebo ČR, informuje o tom Zákazníka předem, pokud to právo nezakazuje.

2.3 Je-li podle Zpracovatele pokyn v rozporu s GDPR nebo jiným předpisem, neprodleně Zákazníka upozorní a do vyjasnění pokyn nemusí provést.

3. Povinnosti Zpracovatele

Zpracovatel:

a) zajistí, aby osoby oprávněné zpracovávat údaje byly zavázány mlčenlivostí; b) přijme technická a organizační opatření podle čl. 32 GDPR, nejméně v rozsahu Přílohy 2; c) dodržuje podmínky pro zapojení dalších zpracovatelů (čl. 4); d) pomáhá Zákazníkovi vyřizovat žádosti subjektů údajů; žádost, která přijde přímo jemu, předá Zákazníkovi do 5 pracovních dnů a sám na ni věcně neodpovídá, pokud se nedohodnou jinak; odhlášení „STOP“ v SMS provede ihned automaticky; e) pomáhá Zákazníkovi plnit povinnosti podle čl. 32–36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace); f) porušení zabezpečení osobních údajů oznámí Zákazníkovi bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s informacemi podle čl. 33 odst. 3 GDPR, které má k dispozici, a průběžně je doplňuje; g) po skončení služeb údaje podle volby Zákazníka vrátí (export) nebo vymaže, nejpozději do 30 dní; ze záloh do 90 dní; to neplatí, ukládá-li uchování zákon; h) poskytne Zákazníkovi informace potřebné k doložení plnění této smlouvy a umožní audit (čl. 6); i) vede záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR.

4. Další zpracovatelé

4.1 Zákazník uděluje obecné povolení zapojit další zpracovatele. Aktuální seznam je v Příloze 3.

4.2 O zamýšleném přidání nebo nahrazení dalšího zpracovatele Zpracovatel Zákazníka informuje e-mailem nebo v aplikaci nejméně 14 dní předem. Zákazník může v této lhůtě z oprávněných důvodů týkajících se ochrany údajů vznést námitku. Nedohodnou-li se, může Zákazník dotčenou službu bez sankce vypovědět.

4.3 Zpracovatel uloží každému dalšímu zpracovateli smluvně stejné povinnosti ochrany údajů jako tato smlouva a za jeho plnění odpovídá Zákazníkovi.

4.4 BYOK: Používá-li Zákazník vlastní klíč nebo účet u poskytovatele AI či jiné služby, je tento poskytovatel dodavatelem Zákazníka, ne dalším zpracovatelem Zpracovatele, a Zpracovatel za něj neodpovídá.

4.5 Instance na serveru Zákazníka: hosting a zálohy zajišťuje Zákazník; Zpracovatel zpracovává údaje jen při podpoře a aktualizacích s přístupem, který mu Zákazník udělí.

5. Předávání mimo EHP

5.1 Do třetích zemí předává Zpracovatel údaje jen podle kapitoly V GDPR: na základě rozhodnutí o odpovídající ochraně (včetně EU-US Data Privacy Framework u certifikovaných příjemců) nebo standardních smluvních doložek (rozhodnutí Komise 2021/914) s doplňkovými opatřeními, jsou-li potřeba.

5.2 Předávání podle Přílohy 3 Zákazník schvaluje.

6. Audit

6.1 Zpracovatel na žádost předloží dokumentaci opatření, případně certifikace a audity svých dodavatelů.

6.2 Zákazník nebo jím pověřený auditor vázaný mlčenlivostí může provést audit nejvýše jednou za 12 měsíců (a kdykoli po porušení zabezpečení), s ohlášením nejméně 14 dní předem, v pracovní době a bez narušení provozu a údajů jiných zákazníků. Náklady auditu nese Zákazník, ledaže audit prokáže podstatné porušení této smlouvy.

7. Povinnosti Zákazníka

7.1 Zákazník odpovídá za to, že zpracování má právní základ, že subjektům údajů poskytl informace podle čl. 13–14 GDPR a že pokyny jsou v souladu s právem.

7.2 U Siphone Zákazník zejména odpovídá za to, že:

  • kontaktování leadů SMS a hovorem je oprávněné (lead o kontakt požádal ve formuláři nebo dal souhlas, který Zákazník umí doložit);
  • obchodní sdělení splňují zákon č. 480/2004 Sb. a hovory zákon č. 127/2005 Sb. (včetně požadavku předchozího souhlasu u marketingových hovorů);
  • informační text ve formuláři Meta odkazuje na zásady ochrany údajů správce a uvádí, že kontakt může provést automatizovaný systém / AI;
  • záznam hovorů (je-li zapnut) je dotčeným osobám oznámen na začátku hovoru.

8. Odpovědnost

Odpovědnost stran se řídí čl. 82 GDPR a Hlavní smlouvou, včetně jejího omezení odpovědnosti, pokud ho zákon připouští.

9. Závěrečná ustanovení

9.1 Při rozporu má tato smlouva v otázkách ochrany osobních údajů přednost před Hlavní smlouvou.

9.2 Řídí se českým právem; spory řeší věcně příslušný soud v Praze.

9.3 Změny Příloh 2 a 3 provádí Zpracovatel postupem podle čl. 4.2; úroveň ochrany přitom nesmí snížit.

V [MÍSTO] dne [DATUM]

Zákazník: ______________________ Zpracovatel: ______________________

Příloha 1 — Popis zpracování

Vyplňte pro každou službu, kterou Zákazník používá.

1A. Siphone (leady z Meta reklam)

Správce [Zákazník / klient Zákazníka]
Účel kontaktování osob, které vyplnily formulář reklamy, vyřízení jejich poptávky, předání do CRM správce
Povaha příjem leadů z Meta, automatizované SMS a hovory (i s AI), příjem odpovědí, zpracování odhlášení „STOP“, zápis do CRM RayNet, reporty
Subjekty údajů osoby, které vyplnily formulář reklamy (potenciální zákazníci)
Typy údajů jméno, telefon, e-mail, odpovědi z formuláře (zájem, prodejna/lokalita, termín), fotografie, které zákazník sám pošle, obsah SMS a zpráv (Messenger, Instagram, WhatsApp), veřejné komentáře u reklam a odpovědi na ně, metadata hovorů, záznam hovoru, přepis hovoru, rezervace termínu, stav v CRM, souhlasy a jejich verze, záznam o odhlášení
Záznam a přepis hovoru ano; hovory se nahrávají a přepisují zpracováním Zpracovatele (přepis přes Groq Whisper); na začátku hovoru zazní oznámení, že volá automatický asistent a hovor se nahrává
Zvláštní kategorie ne
Doba po dobu Hlavní smlouvy; leady 12 měsíců od posledního kontaktu, poté výmaz nebo anonymizace, případně předání správci na jeho žádost; nahrávky hovorů (audio) 90 dní od hovoru, přepis a výsledek hovoru se uchovávají s leadem; fotografie od zákazníka 30 dní od obdržení, nebo do skončení poptávky, je-li dříve
Odhlášení „STOP“ po odhlášení se uchovává jen identifikátor kontaktu (s datem a kanálem) v rozsahu nutném pro blokaci dalších kontaktů, i po výmazu leadu; ostatní údaje se mažou s leadem
Místo EU; SMS přes Twilio region US1 (USA)

1B. Agent Jack (firemní pracovní prostor)

Účel provoz agentního asistenta pro zaměstnance Zákazníka
Subjekty zaměstnanci a spolupracovníci Zákazníka, osoby, jejichž údaje jsou v obsahu (kontakty, klienti)
Typy údajů identifikační a kontaktní údaje, obsah konverzací a souborů, údaje z napojených systémů, logy akcí
Doba po dobu Hlavní smlouvy + 30 dní; zálohy 90 dní

1C. Tržnice a SIMS

Účel interní tržiště zakázek a intranet / systém řízení Zákazníka
Subjekty zaměstnanci a spolupracovníci Zákazníka
Typy údajů jméno, pracovní kontakt, role, zakázky, výkony a hodnocení práce, interní dokumenty
Doba po dobu Hlavní smlouvy + 30 dní; zálohy 90 dní

Příloha 2 — Technická a organizační opatření

Tato příloha stanoví smluvní požadavky na technická a organizační opatření. Jejich konkrétní provedení odpovídá dohodnutému způsobu provozu a rozdělení odpovědností; u instance na serveru Zákazníka zajišťuje hosting a zálohy Zákazník podle čl. 4.5. Dokumentaci zavedených opatření Zpracovatel předkládá podle čl. 6.

  1. Šifrování: přenos přes TLS; uložená data a zálohy šifrované.
  2. Oddělení: data každého Zákazníka logicky oddělena (tenant); instance na serveru Zákazníka fyzicky oddělena.
  3. Řízení přístupu: jednotné přihlášení (Zitadel) s dvoufázovým ověřením pro personál; přístup jen pro osoby, které ho potřebují; pravidelná revize oprávnění; odebrání přístupu při odchodu.
  4. Tajemství: hesla, klíče a tokeny v trezoru, ne v kódu ani v logech.
  5. Logování: záznam přístupů a administrátorských akcí; uchování 90 dní.
  6. Dostupnost: pravidelné zálohy, test obnovy, monitoring a automatické obnovení služeb.
  7. Vývoj: revize kódu, oddělené testovací prostředí, testovací data místo produkčních tam, kde je to možné, včasné bezpečnostní aktualizace.
  8. AI: do modelů jde jen obsah potřebný pro úkol; poskytovatelé bez trénování na datech zákazníků; oprávnění agentů nastavitelná Zákazníkem.
  9. Siphone: automatické zpracování „STOP“ a blokace čísla; omezení času odesílání SMS a hovorů; oznámení AI.
  10. Incidenty: postup pro zjištění, omezení, oznámení (do 48 h Zákazníkovi) a nápravu.
  11. Personál: mlčenlivost, poučení o ochraně údajů.
  12. Výmaz: výmaz po skončení podle čl. 3 g); bezpečné vyřazení nosičů.

Příloha 3 — Další zpracovatelé

Pro každého Zákazníka se zaškrtnou jen další zpracovatelé, kteří jsou u něj skutečně zapnutí; nezaškrtnutí se pro jeho data nepoužívají. Zapnutí dalšího zpracovatele oznámí Zpracovatel podle čl. 4. Položky označené „jen pokud je zapnuto“ jsou v aplikaci připravené, ale ve výchozím stavu vypnuté.

Zapnuto (☐/☒) Další zpracovatel Činnost Služba Umístění Záruka
☐ Hetzner Online GmbH servery, zálohy všechny DE / FI EU
☐ vlastní servery Verduony provoz, zálohy všechny ČR EU
☐ Cloudflare, Inc. DNS, tunel, ochrana všechny globálně / USA EU-US DPF, SCC
☐ Google (Ireland Ltd. / LLC) přihlášení účtem Google všechny EU / USA EU-US DPF
☐ Anthropic PBC modely AI Agent Jack, Siphone, Tržnice, SIMS USA DPF, je-li certifikován, jinak SCC
☐ OpenAI (Ireland Ltd. / L.L.C.) modely AI Agent Jack, Siphone, Tržnice, SIMS EU / USA DPF, je-li certifikován, jinak SCC
☐ OpenRouter, Inc. směrování na další modely AI pouze při použití překlenovacího starter klíče Agent Jack, Siphone USA + země hostitele modelu standardní podmínky OpenRouter; bez podepsané podnikové DPA a bez sjednaných SCC s OpenRouter; preference bez trénování, s nulovým uchováváním a bez náhradního poskytovatele nejsou smluvní zárukou předávání
☐ Twilio Inc. SMS, region US1 Siphone USA EU-US DPF, SCC
☐ OptimSys s.r.o. (OptimCall) hovory Siphone ČR EU
☐ Odorik (operátor) telefonní spojení Siphone ČR EU
☐ SMSbrána (SMSbrana.cz) SMS přes ústřednu OptimCall Siphone ČR EU
☐ Raynet s.r.o. CRM Siphone ČR EU
☐ Groq, Inc. přepis nahrávek hovorů (Whisper) Siphone USA DPF, je-li certifikován, jinak SCC
☐ Google (Vertex AI / Gemini) hlasový AI asistent v hovoru; jen pokud je zapnuto Siphone EU / USA (dle regionu projektu) EU-US DPF, SCC
☐ Plus Five Five, Inc. (Resend) e-mailové odpovědi a potvrzení; jen pokud je zapnuto Siphone USA EU-US DPF, SCC
☐ Postmark (ActiveCampaign) e-mailové odpovědi a potvrzení; jen pokud je zapnuto Siphone podle aktuálních podmínek Postmark pro sjednanou službu před zapnutím musí být doložena použitelná záruka případného předávání mimo EHP podle čl. 5

Meta (lead ads) není další zpracovatel Zpracovatele: smluvní vztah s Meta má správce / Zákazník a Zpracovatel jen přebírá leady přes API jeho účtu. Sphere a Zitadel (identity.verduona.dev) provozuje Zpracovatel sám na serverech výše.

Při použití vlastního klíče OpenRouter (BYOK) se zpracování řídí vlastní smlouvou Zákazníka s OpenRouter, nikoli smlouvou Verduony. Starter klíč Verduony slouží jen k překlenutí do vložení vlastního klíče a používá se podle standardních podmínek OpenRouter. Verduona nemá s OpenRouter podepsanou podnikovou DPA ani sjednané SCC. Agent Jack a Siphone posílají preference bez trénování, s nulovým uchováváním dat a bez automatického náhradního poskytovatele.

conversion.al (Conversional GmbH) je nástroj používaný v účtu Zákazníka podle jeho vlastní smlouvy s Conversional. Verduona nemá s Conversional uzavřenou DPA a neuvádí ji jako svého smluvního dalšího zpracovatele.

Zákazník může zvolit, které AI modely se pro jeho data použijí; u BYOK viz čl. 4.4.