SMLOUVA O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ Marketing Express — Tradix app s.r.o. Verze 2026-10-04, účinná od 4. 10. 2026 1. SMLUVNÍ STRANY A UZAVŘENÍ 1.1 Tato smlouva se uzavírá mezi zákazníkem, který je podnikatelem a správcem osobních údajů obsažených v podkladech (dále jen „správce“), a společností Tradix app s.r.o., IČO 24926370, se sídlem Jana Zajíce 924/16, Bubeneč, 170 00 Praha 7, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 446092 (dále jen „zpracovatel“). 1.2 Smlouva je součástí smlouvy o poskytování služeb podle obchodních podmínek (https://marketingexpress.app/legal/terms) a uzavírá se spolu s ní, tedy odesláním první objednávky zákazníkem-podnikatelem. Ve věcech ochrany osobních údajů má tato smlouva přednost před obchodními podmínkami. 2. PŘEDMĚT, POVAHA, ÚČEL A DOBA ZPRACOVÁNÍ 2.1 Zpracovatel zpracovává osobní údaje obsažené v podkladech, zadání a informacích o značce, které mu správce svěří, a to výhradně za účelem vytvoření, úprav a dodání výsledků podle objednávek správce. 2.2 Zpracování zahrnuje uložení, prohlížení, úpravu, analýzu a zpracování nástroji AI, zahrnutí do výsledku, zpřístupnění správci a výmaz. 2.3 Zpracování trvá po dobu trvání smlouvy o službách a dále do výmazu údajů podle článku 8. 3. KATEGORIE ÚDAJŮ A SUBJEKTŮ ÚDAJŮ 3.1 Kategorie osobních údajů: podoba (fotografie, video), hlas, jméno a další údaje, které se v podkladech objeví, například kontaktní údaje nebo informace o pracovní pozici. 3.2 Kategorie subjektů údajů: zaměstnanci a spolupracovníci správce, jeho zákazníci, obchodní partneři a další osoby zachycené v podkladech. 3.3 Zvláštní kategorie osobních údajů (čl. 9 GDPR) ani údaje o trestných činech zpracovatel zpracovávat nemá. Správce je do podkladů vkládá jen tehdy, je-li to nezbytné a má-li k tomu právní základ. 4. POKYNY A POVINNOSTI SPRÁVCE 4.1 Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů správce. Pokynem je zejména objednávka, její zadání a zprávy u zakázky. Má-li zpracovatel za to, že pokyn porušuje právní předpisy o ochraně osobních údajů, správce o tom bez zbytečného odkladu informuje. 4.2 Správce odpovídá za to, že má ke zpracování osobních údajů právní základ, splnil vůči subjektům údajů informační povinnost a má jejich souhlas s užitím podoby a hlasu, je-li potřeba. 5. POVINNOSTI ZPRACOVATELE 5.1 Zpracovatel: a) zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti; b) přijme technická a organizační opatření podle čl. 32 GDPR uvedená v článku 10; c) pomáhá správci vhodnými opatřeními plnit povinnost reagovat na žádosti o výkon práv subjektů údajů; d) pomáhá správci plnit povinnosti podle čl. 32 až 36 GDPR, zejména při ohlašování porušení zabezpečení a při posouzení vlivu, s ohledem na povahu zpracování a informace, které má k dispozici; e) poskytne správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audit nebo kontrolu prováděnou správcem nebo jím pověřeným auditorem vázaným mlčenlivostí, a to po předchozím oznámení alespoň 30 dní předem, v pracovní době a na náklady správce. 6. DALŠÍ ZPRACOVATELÉ 6.1 Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Jejich aktuální seznam je v zásadách zpracování osobních údajů (https://marketingexpress.app/legal/privacy) v článku 5. 6.2 O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje zpracovatel správce e-mailem nebo na webu alespoň 14 dní předem. Správce může proti změně z oprávněných důvodů vznést námitku; nedohodnou-li se strany, může správce smlouvu o službách vypovědět bez sankce. 6.3 Dalším zpracovatelům ukládá zpracovatel stejné povinnosti ochrany údajů, jaké má sám podle této smlouvy, a odpovídá za jejich plnění. 7. PŘEDÁVÁNÍ DO TŘETÍCH ZEMÍ 7.1 Některé další zpracovatele zpracovávají údaje mimo EU, zejména v USA. Předání je zajištěno rozhodnutím Komise o odpovídající ochraně (EU–US Data Privacy Framework) nebo standardními smluvními doložkami podle prováděcího rozhodnutí (EU) 2021/914, jak uvádějí zásady zpracování osobních údajů. 8. PORUŠENÍ ZABEZPEČENÍ A VÝMAZ 8.1 Zjistí-li zpracovatel porušení zabezpečení osobních údajů, ohlásí je správci bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění. Uvede povahu porušení, dotčené kategorie a přibližný počet údajů a subjektů, pravděpodobné důsledky a přijatá opatření. 8.2 Po skončení poskytování služeb nebo na pokyn správce zpracovatel osobní údaje vymaže. Správce si výsledky a podklady může předtím stáhnout ze svého účtu. Smazáním účtu se údaje vymažou okamžitě; kopie v zálohách poskytovatelů zanikají v jejich běžném cyklu. Uchovat lze jen údaje, které zpracovatel musí uchovat podle právních předpisů. 9. ODPOVĚDNOST 9.1 Odpovědnost stran se řídí čl. 82 GDPR a ustanoveními obchodních podmínek pro podnikatele. 10. TECHNICKÁ A ORGANIZAČNÍ OPATŘENÍ – šifrování veškeré komunikace (HTTPS/TLS) a neveřejné úložiště souborů s přístupem vázaným na účet; – hesla uložená jen jako kryptografický otisk se solí (scrypt); oddělené heslo administrace; blokace opakovaných pokusů o přihlášení; – přístup k údajům jen pro osoby, které je ke zpracování zakázky nezbytně potřebují; – pracovní kopie podkladů na zpracovatelském počítači se po dokončení každé zakázky mažou; soubory u poskytovatele generativních modelů (fal.ai) se automaticky mažou do 24 hodin; – výběr dodavatelů s odpovídajícími zárukami ochrany údajů a smlouvami podle čl. 28 GDPR; – zákazník může svá data kdykoliv exportovat a účet i s daty smazat. 10.1 Kontakt ve věcech ochrany osobních údajů: support@tradixapp.com. Tato smlouva je účinná od 4. 10. 2026 (verze 2026-10-04).