Smlouva o zpracování osobních údajů

1. Smluvní strany a postavení

1.1. Zpracovatel:

WEBZI s.r.o.
Sídlo: Krásova 2919/31a, Žižkov, 130 00 Praha 3
IČO: 24602175
Zapsána v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 442677
Kontakt pro ochranu osobních údajů: gdpr@shopzi.cz

1.2. Správce: obchodník, tedy fyzická nebo právnická osoba, která si na platformě SHOPZI zaregistrovala obchod a je jeho provozovatelem. Identifikace správce je dána údaji uvedenými při registraci a v nastavení obchodu.

1.3. Správce určuje účely a prostředky zpracování osobních údajů svých zákazníků (čl. 4 bod 7 GDPR). Zpracovatel zpracovává tyto údaje výhradně jeho jménem a na jeho pokyn (čl. 4 bod 8 GDPR).

1.4. Zpracovatel nejmenoval pověřence pro ochranu osobních údajů, neboť nesplňuje podmínky čl. 37 odst. 1 GDPR. Kontaktním místem pro veškerou agendu ochrany osobních údajů je adresa uvedená v odst. 1.1.

1.5. Tato smlouva se nevztahuje na osobní údaje samotného správce (jméno, e-mail, fakturační údaje a údaje o používání administrace). Ve vztahu k nim je WEBZI s.r.o. správcem a zpracování popisují Zásady ochrany osobních údajů SHOPZI.

2. Uzavření, účinnost a přednost

2.1. Tato smlouva je nedílnou součástí obchodních podmínek platformy SHOPZI a uzavírá se současně s nimi, tedy okamžikem dokončení registrace obchodu. Splňuje požadavek písemné (elektronické) formy dle čl. 28 odst. 9 GDPR.

2.2. Trvá po celou dobu trvání smlouvy o poskytování služeb a končí spolu s ní, s výjimkou ustanovení, která svou povahou přetrvávají (mlčenlivost, výmaz údajů, odpovědnost).

2.3. V otázkách zpracování osobních údajů zákazníků obchodu má tato smlouva přednost před obchodními podmínkami.

2.4. Uzavření této smlouvy nevyžaduje žádný samostatný úkon, podpis ani platbu. Správce si ji může kdykoli vytisknout nebo uložit z této stránky; datum účinnosti verze je uvedeno v jejím záhlaví.

3. Předmět a doba zpracování

3.1. Předmětem zpracování je zpracování osobních údajů, které správce nebo jeho zákazníci vloží do obchodu provozovaného na platformě SHOPZI, případně které v obchodě vzniknou při jeho běžném provozu.

3.2. Doba zpracování odpovídá době, po kterou obchod na platformě existuje, prodloužené o lhůtu pro export dat dle čl. 12 této smlouvy. Zpracování tedy neskončí koncem placeného předplatného, ale až zrušením obchodu; podrobně čl. 12. Po uplynutí lhůty pro export zpracovatel údaje smaže, s výjimkou údajů, jejichž uchování mu ukládá právní předpis.

3.3. Zpracovatel nezpracovává osobní údaje pro vlastní účely, s jedinou výjimkou: agregované, neidentifikující statistiky o zatížení a využití platformy pro zajištění jejího provozu a kapacitního plánování. Tyto statistiky neobsahují osobní údaje zákazníků správce a nejsou předávány třetím stranám.

4. Povaha a účel zpracování

4.1. Povahou zpracování je automatizované zpracování prostředky výpočetní techniky: ukládání, uchovávání, vyhledávání, třídění, zobrazování, úprava, zálohování, přenos a výmaz.

4.2. Účelem zpracování je technické zajištění provozu obchodu správce, konkrétně:

• provoz internetového obchodu, katalogu, košíku a objednávkového procesu,
• zpracování a evidence objednávek, vratek, reklamací a poptávek,
• vystavování a uchovávání daňových dokladů a dobropisů podle pokynů správce,
• předání údajů platební bráně a dopravci, které si správce ve svém obchodě aktivoval,
• odesílání transakčních e-mailů a SMS zákazníkům správce a odesílání obchodních sdělení, které správce sám vytvoří a odešle,
• vedení zákaznických účtů, adresáře, recenzí a věrnostních mechanik obchodu,
• zajištění bezpečnosti provozu, ochrana proti zneužití a zálohování,
• poskytnutí zákaznické podpory správci, je-li k jejímu poskytnutí nezbytný přístup k datům obchodu.

4.3. Zpracovatel osobní údaje zákazníků správce nepoužívá k trénování modelů umělé inteligence, neprodává je, nepronajímá a nespojuje je napříč obchody různých správců. Vyhodnocení jednoho obchodu se nikdy nepromítne do jiného.

5. Kategorie subjektů údajů a kategorie osobních údajů

5.1. Kategorie subjektů údajů

• zákazníci a návštěvníci obchodu správce,
• registrovaní uživatelé zákaznických účtů obchodu,
• odběratelé newsletteru a příjemci obchodních sdělení správce,
• kontaktní osoby velkoobchodních (B2B) odběratelů správce,
• autoři recenzí a osoby komunikující se správcem přes obchod,
• zaměstnanci a spolupracovníci správce s přístupem do administrace.

5.2. Kategorie osobních údajů

5.3. Údaje, které platforma nezpracovává

Platforma neukládá čísla platebních karet ani jejich ověřovací kódy. Platební údaje zadává zákazník přímo na straně platební brány (Stripe nebo Comgate) a platforma pracuje jen s identifikátorem transakce a jejím stavem.

6. Pokyny správce (čl. 28 odst. 3 písm. a)

6.1. Zpracovatel zpracovává osobní údaje výhradně na doložené pokyny správce, včetně předání do třetí země. Doloženým pokynem se rozumí:

• tato smlouva a obchodní podmínky,
• nastavení a úkony správce v administraci obchodu (aktivace platební brány, dopravce, AI funkcí, SMS, feedů, marketingových nástrojů, export dat, smazání zákazníka),
• písemný požadavek správce zaslaný z e-mailové adresy vlastníka obchodu.

6.2. Zapnutí volitelné integrace v administraci je pokynem k předání údajů příslušnému sub-zpracovateli. Dokud ji správce nezapne, žádné údaje se do dané služby nepředávají. Je-li příjemcem někdo, koho si správce zapojuje vlastním jménem (jeho účetní program, jeho účetní nebo daňový poradce, externí klient s přístupovým klíčem), je zapnutí pokynem k předání údajů tomuto příjemci správce; takový příjemce není sub-zpracovatelem WEBZI s.r.o. (odst. 9.4, poznámky pod tabulkou).

6.3. Zpracovatel je oprávněn zpracovat údaje i bez pokynu tam, kde mu to ukládá právo Unie nebo České republiky. V takovém případě správce o tomto požadavku předem informuje, ledaže to dané právo zakazuje z důležitých důvodů veřejného zájmu.

6.4. Domnívá-li se zpracovatel, že určitý pokyn porušuje GDPR nebo jiný předpis o ochraně osobních údajů, neprodleně na to správce upozorní a je oprávněn provedení takového pokynu odložit do vyjasnění (čl. 28 odst. 3 poslední pododstavec GDPR).

7. Mlčenlivost (čl. 28 odst. 3 písm. b)

7.1. Zpracovatel zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti, nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Závazek trvá i po skončení jejich spolupráce se zpracovatelem.

7.2. Přístup k datům obchodu má pouze omezený okruh osob a pouze v rozsahu nezbytném pro provoz platformy a pro poskytnutí podpory (princip need-to-know).

7.3. Platforma provozuje samostatný účet podpory s vlastní rolí, chráněný heslem a dvoufaktorovým ověřením. Přístup podpory do konkrétního obchodu je zaznamenáván v protokolu činností a je určen výhradně k řešení požadavků správce.

8. Zabezpečení zpracování (čl. 28 odst. 3 písm. c, čl. 32)

8.1. Zpracovatel zavedl s ohledem na stav techniky, náklady, povahu, rozsah a účely zpracování a na rizika pro práva a svobody fyzických osob zejména tato technická a organizační opatření:

8.2. Zpracovatel opatření průběžně přezkoumává a je oprávněn je měnit, nesmí však snížit úroveň zabezpečení pod stav ke dni účinnosti této smlouvy.

8.3. Za nastavení na své straně odpovídá správce: za sílu a utajení vlastních hesel, za rozsah oprávnění, která udělí členům svého týmu, za bezpečné uložení API klíčů a za obsah, který do obchodu vloží.

9. Sub-zpracovatelé (čl. 28 odst. 2 a 4)

9.1. Správce uděluje zpracovateli obecné písemné povolení zapojit do zpracování další zpracovatele (sub-zpracovatele) uvedené v odst. 9.4.

9.2. Zpracovatel uloží každému sub-zpracovateli stejné povinnosti ochrany údajů, jaké má sám dle této smlouvy, a to smlouvou nebo jiným právním aktem. Neplní-li sub-zpracovatel své povinnosti, odpovídá správci za plnění jeho povinností zpracovatel v plném rozsahu.

9.3. Oznámení změny. Zapojení nového sub-zpracovatele nebo nahrazení stávajícího zpracovatel oznámí e-mailem na adresu vlastníka obchodu a aktualizací seznamu na této stránce, a to nejméně 30 dnů předem. Ve stejné lhůtě může správce vznést odůvodněnou námitku. Nepodaří-li se námitku vypořádat, je správce oprávněn smlouvu o poskytování služeb vypovědět bez sankce a s vrácením poměrné části předplaceného období.

9.4. Seznam sub-zpracovatelů

Sub-zpracovatelé označení jako volitelní se do zpracování zapojí až tehdy, aktivuje-li správce příslušnou funkci nebo integraci ve své administraci. Do té doby jim nejsou předávány žádné údaje.

Marketingové a analytické nástroje, které si správce nastaví ve svém obchodě sám (Google Analytics, Google Tag Manager, Meta Pixel, Sklik, Glami, Snapchat, srovnávače zboží), nejsou sub-zpracovateli WEBZI s.r.o. Správce je zapojuje vlastním jménem, na základě vlastního právního titulu a na vlastní odpovědnost; platforma pouze vloží jím zadaný měřicí kód a respektuje souhlas návštěvníka.

Totéž platí pro vlastní skript, který si správce vloží do hlavičky nebo patičky svého obchodu. Platforma jej pouze vykoná po udělení marketingového souhlasu a nemá kontrolu nad tím, komu takový skript údaje odešle. Příjemce zapojený tímto způsobem není sub-zpracovatelem WEBZI s.r.o.: správce jej zapojuje vlastním jménem a odpovídá za právní titul, za smlouvu s ním i za informační povinnost vůči svým zákazníkům.

Ze stejného důvodu je externí klient, kterému správce vydá přístupový klíč k API nebo k serveru MCP (například automatizační nástroj nebo AI asistent třetí strany), příjemcem, kterého si zapojuje sám. Platforma mu na základě klíče vydá data obchodu v rozsahu oprávnění toho klíče, ale nemá kontrolu nad tím, kde je takový klient zpracuje ani komu je dál předá. Jeho provozovatel proto není sub-zpracovatelem WEBZI s.r.o. a smlouvu s ním uzavírá správce. Právě proto se externí přístup nezapíná sám: zapíná jej správce v administraci obchodu a při zapnutí potvrzuje, že klienta, kterému vydá klíč, zapojuje vlastním jménem a na vlastní odpovědnost. Zpracovatel vede záznam o tom, kdo a kdy přístup zapnul, a u každého klíče jeho název, rozsah oprávnění a použití.

Stejně je tomu u účetního programu, do kterého správce nechá odesílat vystavené doklady (například ABRA Flexi), a u účetní nebo daňového poradce, kterým správce nechá jednou měsíčně posílat odkaz na doklady obchodu. Oba jsou příjemci, které si správce zapojuje vlastním jménem: smluvní vztah s dodavatelem účetního programu i s účetní uzavírá správce. Předávají se jen údaje, které jsou na dokladu (u odběratele jméno nebo firma, adresa, IČO a DIČ; e-mail ani telefon ne). Adresu účetní je nejprve nutné potvrdit z ní samotné; chodí na ni odkaz s omezenou platností, který lze odvolat. Zpracovatel vede záznam o tom, kdo a kdy předávání zapnul a podle jakého znění pokynu.

10. Součinnost při výkonu práv subjektů údajů (čl. 28 odst. 3 písm. e)

10.1. Zpracovatel je správci povinen být nápomocen při plnění povinnosti správce reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR, a to vhodnými technickými a organizačními opatřeními, pokud je to možné.

10.2. Tuto součinnost poskytuje zpracovatel především jako funkci platformy, kterou správce obsluhuje sám a bez čekání:

• Přístup a přenositelnost (čl. 15 a 20): export údajů o konkrétním zákazníkovi z administrace,
• Oprava (čl. 16): úprava údajů zákazníka a jeho objednávek,
• Výmaz (čl. 17): fronta žádostí o výmaz v administraci a řízené smazání údajů zákazníka,
• Námitka a odvolání souhlasu (čl. 21 a čl. 7 odst. 3): odhlášení z newsletteru a evidence souhlasů s cookies,
• Omezení zpracování (čl. 18): deaktivace zákaznického účtu a zastavení rozesílek.

10.3. Obrátí-li se subjekt údajů se žádostí přímo na zpracovatele, zpracovatel ji sám nevyřídí, bez zbytečného odkladu ji předá správci a subjekt údajů na správce odkáže.

10.4. Součinnost nad rámec funkcí platformy (například ruční dohledání dat v zálohách) poskytuje zpracovatel v přiměřeném rozsahu; je oprávněn si za ni účtovat účelně vynaložené náklady, pokud potřeba takové součinnosti nevznikla porušením povinností na jeho straně.

10.5. Zákonné výjimky z výmazu. Zpracovatel neprovede výmaz údajů, jejichž uchování ukládá právní předpis, zejména vystavených daňových dokladů a jejich rozpisů daně, které se dle § 35 zákona č. 235/2004 Sb. uchovávají 10 let od konce zdaňovacího období, ve kterém se plnění uskutečnilo. Údaje na objednávce, které nejsou náležitostí daňového dokladu, se anonymizují.

11. Součinnost dle čl. 32 až 36 a ohlašování porušení (čl. 28 odst. 3 písm. f)

11.1. Zpracovatel je správci nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR, a to s ohledem na povahu zpracování a na informace, které má k dispozici. Na žádost správce poskytne podklady pro posouzení vlivu na ochranu osobních údajů (čl. 35) a pro předchozí konzultaci s dozorovým úřadem (čl. 36), zejména popis architektury, umístění dat, sub-zpracovatelů a bezpečnostních opatření.

11.2. Ohlášení porušení zabezpečení. Zjistí-li zpracovatel porušení zabezpečení osobních údajů, ohlásí je správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl. Lhůta je záměrně kratší než 72hodinová lhůta správce vůči dozorovému úřadu podle čl. 33 odst. 1 GDPR, aby ji správce stihl dodržet.

11.3. Ohlášení obsahuje alespoň:

• popis povahy porušení,
• kategorie a přibližný počet dotčených subjektů údajů a záznamů,
• kontaktní místo pro další informace,
• popis pravděpodobných důsledků,
• popis přijatých nebo navrhovaných opatření k nápravě a ke zmírnění nepříznivých dopadů.

11.4. Nejsou-li všechny informace dostupné najednou, poskytne je zpracovatel postupně, bez dalšího zbytečného odkladu.

11.5. Ohlášení dozorovému úřadu a subjektům údajů činí správce, nikoli zpracovatel. Zpracovatel k němu poskytne potřebnou součinnost.

12. Výmaz nebo vrácení údajů (čl. 28 odst. 3 písm. g)

12.1. Po ukončení poskytování služeb si správce volí mezi vrácením a výmazem osobních údajů.

12.3. Výmaz. Požádá-li správce písemně o zrušení obchodu, vyzve jej zpracovatel k exportu dat a poskytne mu k tomu nejméně 30 dnů. Po uplynutí této lhůty osobní údaje smaže včetně kopií. Totéž platí, ukončí-li smlouvu zpracovatel z důvodu jejího závažného porušení správcem. Výmaz je nevratný.

12.4. Vrácení údajů. Vrácením se rozumí export dat, který si správce provede sám v administraci ve strojově čitelných formátech (produkty, zákazníci, objednávky, doklady). Požádá-li o to správce ve lhůtě dle odst. 12.3, poskytne zpracovatel jednorázový úplný export dat obchodu; za jeho zpracování je oprávněn účtovat účelně vynaložené náklady.

12.5. Zálohy. Osobní údaje mohou po výmazu z provozní databáze přetrvat v šifrovaných zálohách po dobu jejich rotace, nejdéle však 30 dnů. Zálohy (historii změn pro obnovení do bodu v čase) drží poskytovatel databáze Neon (Neon, LLC ze skupiny Databricks, Inc.) v regionu AWS eu-central-1 (Frankfurt, Německo). Po tuto dobu se s nimi nepracuje jinak než pro účely obnovy po havárii a vztahují se na ně veškerá bezpečnostní opatření dle čl. 8.

12.6. Výjimka. Zpracovatel je oprávněn a povinen ponechat si údaje, jejichž uchování mu ukládá právo Unie nebo České republiky, a to po nezbytnou dobu a pouze k danému účelu (viz odst. 10.5).

12.7. Na žádost správce vydá zpracovatel po dokončení výmazu písemné potvrzení o jeho provedení.

13. Doložení souladu a audit (čl. 28 odst. 3 písm. h)

13.1. Zpracovatel poskytne správci veškeré informace potřebné k doložení, že jsou plněny povinnosti stanovené v čl. 28 GDPR, a umožní audity, včetně inspekcí, prováděné správcem nebo jiným auditorem, kterého správce pověřil.

13.2. Zpracovatel splní tuto povinnost přednostně tím, že:

• zveřejňuje a udržuje aktuální tuto stránku, včetně seznamu sub-zpracovatelů a popisu bezpečnostních opatření,
• na písemnou žádost správce zodpoví dotazník k ochraně osobních údajů a poskytne dostupnou bezpečnostní dokumentaci a doklady svých sub-zpracovatelů.

13.3. Nepostačují-li podklady dle odst. 13.2, má správce právo na audit na místě za těchto podmínek: oznámení nejméně 30 dnů předem, nejvýše jednou za 12 měsíců (mimo případ, kdy k němu dá podnět prokázané porušení zabezpečení nebo výzva dozorového úřadu), v pracovní době, po uzavření dohody o mlčenlivosti a bez narušení provozu platformy a bez přístupu k datům jiných správců. Náklady auditu nese správce, ledaže audit prokáže podstatné porušení povinností zpracovatele.

13.4. Zpracovatel neprodleně informuje správce, má-li za to, že pokyn k auditu nebo jiný pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.

14. Předávání do třetích zemí

14.1. Základní úložiště dat obchodu je v Evropské unii (Frankfurt, Německo). K předání do třetí země dochází pouze u sub-zpracovatelů uvedených v odst. 9.4 a vždy na základě některé ze záruk dle kapitoly V GDPR.

• Rozhodnutí o odpovídající ochraně (čl. 45 GDPR): EU-US Data Privacy Framework, prováděcí rozhodnutí Evropské komise ze dne 10. 7. 2023, u certifikovaných amerických poskytovatelů.
• Standardní smluvní doložky (čl. 46 odst. 2 písm. c): u poskytovatelů bez certifikace DPF, doplněné o posouzení dopadu přenosu.

14.2. Zpracovatel průběžně sleduje platnost použitých záruk. Pozbude-li některá z nich platnosti, bez zbytečného odkladu zajistí náhradní záruku, nebo zpracování u daného sub-zpracovatele ukončí, a správce o tom informuje.

15. Odpovědnost

15.1. Odpovědnost za škodu způsobenou zpracováním se řídí čl. 82 GDPR. Zpracovatel odpovídá za škodu způsobenou zpracováním zejména tehdy, nesplnil-li povinnosti uložené GDPR výslovně zpracovatelům, nebo jednal-li nad rámec pokynů správce či v rozporu s nimi.

15.2. Omezení odpovědnosti sjednané v obchodních podmínkách se nevztahuje na nároky subjektů údajů dle čl. 82 GDPR ani na pokuty uložené dozorovým úřadem, ani na újmu způsobenou úmyslně nebo z hrubé nedbalosti.

15.3. Správce odpovídá za zákonnost zpracování, které zpracovateli zadal, zejména za právní titul, za splnění informační povinnosti vůči svým zákazníkům a za obsah, který do obchodu vloží.

16. Změny této smlouvy

16.1. Zpracovatel je oprávněn tuto smlouvu změnit, vyžádá-li si to změna právní úpravy, rozhodovací praxe dozorových úřadů nebo technické řešení platformy. O změně informuje správce e-mailem a oznámením v administraci nejméně 30 dnů před její účinností, s výjimkou změn, které správci výhradně prospívají nebo jsou vynuceny bezprostředně účinným právním předpisem.

16.2. Nesouhlasí-li správce se změnou, je oprávněn smlouvu o poskytování služeb vypovědět před nabytím účinnosti změny. Pokračování v užívání platformy po nabytí účinnosti se považuje za souhlas se změněným zněním.

16.3. Změna seznamu sub-zpracovatelů se řídí odst. 9.3, nikoli tímto článkem.

17. Závěrečná ustanovení

17.1. Tato smlouva se řídí právním řádem České republiky, zejména nařízením (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

17.2. Je-li některé ustanovení neplatné nebo nevymahatelné, nemá to vliv na ostatní ustanovení; neplatné ustanovení se nahradí ustanovením, které se nejvíce blíží jeho účelu a je v souladu s GDPR.

17.3. Dozorovým úřadem pro obě strany je Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz, datová schránka qkbaa2n.

17.4. Předchozí verze tohoto dokumentu poskytne zpracovatel na vyžádání na adrese gdpr@shopzi.cz.