Smlouva o zpracování osobních údajů

1.Smluvní strany a uzavření

1.1Tato smlouva se uzavírá mezi zákazníkem, který je podnikatelem a správcem osobních údajů obsažených v podkladech (dále jen „správce“), a společností Tradix app s.r.o., IČO 24926370, se sídlem Jana Zajíce 924/16, Bubeneč, 170 00 Praha 7, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 446092 (dále jen „zpracovatel“).

1.2Smlouva je součástí smlouvy o poskytování služeb podle obchodních podmínek a uzavírá se spolu s ní, tedy odesláním první objednávky zákazníkem-podnikatelem. Ve věcech ochrany osobních údajů má tato smlouva přednost před obchodními podmínkami.

2.Předmět, povaha, účel a doba zpracování

2.1Zpracovatel zpracovává osobní údaje obsažené v podkladech, zadání a informacích o značce, které mu správce svěří, a to výhradně za účelem vytvoření, úprav a dodání výsledků podle objednávek správce.

2.2Zpracování zahrnuje uložení, prohlížení, úpravu, analýzu a zpracování nástroji AI, zahrnutí do výsledku, zpřístupnění správci a výmaz.

2.3Zpracování trvá po dobu trvání smlouvy o službách a dále do výmazu údajů podle článku 8.

3.Kategorie údajů a subjektů údajů

3.1Kategorie osobních údajů: podoba (fotografie, video), hlas, jméno a další údaje, které se v podkladech objeví, například kontaktní údaje nebo informace o pracovní pozici.

3.2Kategorie subjektů údajů: zaměstnanci a spolupracovníci správce, jeho zákazníci, obchodní partneři a další osoby zachycené v podkladech.

3.3Zvláštní kategorie osobních údajů (čl. 9 GDPR) ani údaje o trestných činech zpracovatel zpracovávat nemá. Správce je do podkladů vkládá jen tehdy, je-li to nezbytné a má-li k tomu právní základ.

4.Pokyny a povinnosti správce

4.1Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů správce. Pokynem je zejména objednávka, její zadání a zprávy u zakázky. Má-li zpracovatel za to, že pokyn porušuje právní předpisy o ochraně osobních údajů, správce o tom bez zbytečného odkladu informuje.

4.2Správce odpovídá za to, že má ke zpracování osobních údajů právní základ, splnil vůči subjektům údajů informační povinnost a má jejich souhlas s užitím podoby a hlasu, je-li potřeba.

5.Povinnosti zpracovatele

5.1Zpracovatel:

1. zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti;
2. přijme technická a organizační opatření podle čl. 32 GDPR uvedená v článku 10;
3. pomáhá správci vhodnými opatřeními plnit povinnost reagovat na žádosti o výkon práv subjektů údajů;
4. pomáhá správci plnit povinnosti podle čl. 32 až 36 GDPR, zejména při ohlašování porušení zabezpečení a při posouzení vlivu, s ohledem na povahu zpracování a informace, které má k dispozici;
5. poskytne správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audit nebo kontrolu prováděnou správcem nebo jím pověřeným auditorem vázaným mlčenlivostí, a to po předchozím oznámení alespoň 30 dní předem, v pracovní době a na náklady správce.

6.Další zpracovatelé

6.1Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Jejich aktuální seznam je v zásadách zpracování osobních údajů v článku 5.

6.2O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje zpracovatel správce e-mailem nebo na webu alespoň 14 dní předem. Správce může proti změně z oprávněných důvodů vznést námitku; nedohodnou-li se strany, může správce smlouvu o službách vypovědět bez sankce.

6.3Dalším zpracovatelům ukládá zpracovatel stejné povinnosti ochrany údajů, jaké má sám podle této smlouvy, a odpovídá za jejich plnění.

7.Předávání do třetích zemí

7.1Některé další zpracovatele zpracovávají údaje mimo EU, zejména v USA. Předání je zajištěno rozhodnutím Komise o odpovídající ochraně (EU–US Data Privacy Framework) nebo standardními smluvními doložkami podle prováděcího rozhodnutí (EU) 2021/914, jak uvádějí zásady zpracování osobních údajů.

8.Porušení zabezpečení a výmaz

8.1Zjistí-li zpracovatel porušení zabezpečení osobních údajů, ohlásí je správci bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění. Uvede povahu porušení, dotčené kategorie a přibližný počet údajů a subjektů, pravděpodobné důsledky a přijatá opatření.

8.2Po skončení poskytování služeb nebo na pokyn správce zpracovatel osobní údaje vymaže. Správce si výsledky a podklady může předtím stáhnout ze svého účtu. Smazáním účtu se údaje vymažou okamžitě; kopie v zálohách poskytovatelů zanikají v jejich běžném cyklu. Uchovat lze jen údaje, které zpracovatel musí uchovat podle právních předpisů.

9.Odpovědnost

9.1Odpovědnost stran se řídí čl. 82 GDPR a ustanoveními obchodních podmínek pro podnikatele.

10.Technická a organizační opatření

• šifrování veškeré komunikace (HTTPS/TLS) a neveřejné úložiště souborů s přístupem vázaným na účet;
• hesla uložená jen jako kryptografický otisk se solí (scrypt); oddělené heslo administrace; blokace opakovaných pokusů o přihlášení;
• přístup k údajům jen pro osoby, které je ke zpracování zakázky nezbytně potřebují;
• pracovní kopie podkladů na zpracovatelském počítači se po dokončení každé zakázky mažou; soubory u poskytovatele generativních modelů (fal.ai) se automaticky mažou do 24 hodin;
• výběr dodavatelů s odpovídajícími zárukami ochrany údajů a smlouvami podle čl. 28 GDPR;
• zákazník může svá data kdykoliv exportovat a účet i s daty smazat.

10.1Kontakt ve věcech ochrany osobních údajů: support@tradixapp.com. Tato smlouva je účinná od 4. 10. 2026 (verze 2026-10-04).