Tato smlouva o zpracování osobních údajů (dále „DPA“) je součástí Všeobecných obchodních podmínek služby Zmínka a uzavírá se mezi uživatelem služby jednajícím v rámci své podnikatelské činnosti (dále „správce“) a společností EcoTech Future s.r.o., IČO 09489878, se sídlem Čechova 236/17, Bubeneč, 170 00 Praha 7, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 363058 (dále „zpracovatel“). DPA se uplatní v rozsahu, ve kterém zpracovatel při poskytování služby zpracovává osobní údaje jménem správce ve smyslu čl. 28 nařízení (EU) 2016/679 (GDPR). Osobní údaje samotného uživatele (e-mail účtu, fakturační údaje) zpracovává poskytovatel jako správce podle Zásad ochrany soukromí.

1. Předmět, povaha a účel zpracování

Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování služby Zmínka správci, tj. analýzy webů správce, měření jejich viditelnosti, návrhu a nasazení úprav, generování obsahu a zasílání reportů, a to automatizovanými prostředky v rozsahu popsaném v obchodních podmínkách.

2. Doba zpracování

Po dobu trvání smlouvy o užívání služby. Po jejím skončení zpracovatel údaje do 30 dnů vymaže nebo na žádost správce vrátí (export ve strojově čitelném formátu přes API nebo e-mailem), s výjimkou údajů, které musí uchovat podle právních předpisů.

3. Typ osobních údajů a kategorie subjektů údajů

Členové týmu správce – e-mailové adresy pozvaných uživatelů pracovního prostoru, jejich role a záznamy o činnosti v aplikaci.
Osoby uvedené na webu správce – jména, pracovní kontakty a další údaje, které správce zveřejnil na svých stránkách a které zpracovatel stáhne při skenu (např. kontaktní osoby, autoři článků, recenze zákazníků).
Data z Google Search Console – vyhledávací dotazy a statistiky; zpravidla neobsahují osobní údaje, mohou však obsahovat jména vyhledávaná uživateli.
Návštěvníci webu správce – při použití Cloudflare Workeru nebo univerzálního skriptu zpracovatel technicky přijímá požadavky na stažení manifestu úprav; při použití odznaku (badge) požadavek na obrázek. Tyto požadavky mohou obsahovat IP adresu návštěvníka, kterou zpracovatel neukládá (jen krátkodobé technické logy poskytovatele hostingu, nejdéle 30 dnů). Plugin pro WordPress komunikuje se službou pouze ze serveru správce, údaje návštěvníků nepředává.
Zvláštní kategorie osobních údajů nejsou předmětem zpracování; správce se zavazuje je do služby nevkládat.

4. Povinnosti zpracovatele

Zpracovatel:

zpracovává osobní údaje pouze na základě doložených pokynů správce, jimiž jsou obchodní podmínky, nastavení v aplikaci a tato DPA, ledaže mu zpracování ukládá právo EU nebo členského státu; v takovém případě správce předem informuje, pokud to právo nezakazuje,
zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti,
přijímá technická a organizační opatření podle článku 6,
dodržuje podmínky pro zapojení dalších zpracovatelů podle článku 5,
je správci nápomocen při plnění povinnosti reagovat na žádosti subjektů údajů (přístup, oprava, výmaz, přenositelnost) – žádosti doručené přímo zpracovateli bez odkladu předá správci,
je správci nápomocen při zajišťování souladu s čl. 32–36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu) s přihlédnutím k povaze zpracování a informacím, které má k dispozici,
ohlásí správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl, včetně dostupných informací o povaze porušení, dotčených údajích a přijatých opatřeních,
po skončení poskytování služby údaje vymaže nebo vrátí podle článku 2,
poskytne správci informace nezbytné k doložení plnění povinností podle čl. 28 GDPR a umožní audit podle článku 7.

5. Dílčí zpracovatelé

Správce uděluje obecné povolení k zapojení dílčích zpracovatelů. Aktuální seznam je uveden níže a na zminka.cz/zpracovani-udaju. O zamýšlené změně (přidání nebo nahrazení) zpracovatel správce informuje e-mailem nejméně 14 dnů předem; správce může do dne účinnosti změny vznést odůvodněnou námitku. Nedojde-li k dohodě, může správce smlouvu o užívání služby vypovědět s účinností ke dni změny. Zpracovatel uzavírá s dílčími zpracovateli smlouvy ukládající jim stejné povinnosti v oblasti ochrany údajů a odpovídá správci za jejich plnění.

Vercel Inc. (USA) – hosting aplikace a běh serverových funkcí. Umístění dat: EU (Frankfurt) a globální CDN. Nástroj předání: EU-U.S. Data Privacy Framework a standardní smluvní doložky.
Supabase Inc. (USA / Singapur) – databáze účtů, webů a reportů. Umístění dat: EU (Irsko, AWS eu-west-1). Nástroj předání: standardní smluvní doložky pro podporu mimo EU.
Stripe Payments Europe, Ltd. (Irsko) – platby kartou, předplatné, daňové doklady. Umístění dat: EU, USA. Nástroj předání: EU-U.S. Data Privacy Framework.
Resend, Inc. (USA) – odesílání transakčních e-mailů. Umístění dat: USA. Nástroj předání: standardní smluvní doložky.
Cloudflare, Inc. (USA) – ochrana formulářů proti robotům (Turnstile) a volitelný Worker pro nasazení úprav. Umístění dat: EU, globální síť. Nástroj předání: EU-U.S. Data Privacy Framework.
Anthropic, PBC (USA) – jazykový model Claude – otázky pro reporty, návrhy úprav a koncepty. Umístění dat: USA. Nástroj předání: standardní smluvní doložky; dotazy neobsahují údaje o uživateli.
OpenAI, L.L.C. (USA) – jazykový model ChatGPT – měření odpovědí. Umístění dat: USA. Nástroj předání: EU-U.S. Data Privacy Framework; dotazy neobsahují údaje o uživateli.
Google Ireland Ltd. (Irsko) – Gemini – měření odpovědí; Search Console API po napojení uživatelem. Umístění dat: EU, USA. Nástroj předání: EU-U.S. Data Privacy Framework.
Perplexity AI, Inc. (USA) – měření odpovědí Perplexity. Umístění dat: USA. Nástroj předání: standardní smluvní doložky; dotazy neobsahují údaje o uživateli.

6. Technická a organizační opatření

šifrování přenosu (TLS 1.2+) a šifrování dat v klidu u poskytovatele databáze,
přihlášení bez hesla jednorázovými podepsanými odkazy; přístupové tokeny s omezenou platností; oddělené klíče pro API a plugin s možností okamžité obnovy,
řízení přístupu podle rolí v pracovním prostoru; přístup zaměstnanců a spolupracovníků zpracovatele k produkčním datům jen v nezbytném rozsahu, s vícefaktorovým ověřením a logováním,
oddělení dat jednotlivých zákazníků na úrovni aplikace (každý požadavek ověřuje vlastnictví webu),
ochrana proti zneužití (limity požadavků, ochrana proti robotům, ochrana proti SSRF při stahování stránek),
pravidelné zálohy databáze poskytovatelem hostingu, možnost obnovy,
aktualizace závislostí a bezpečnostní revize kódu před nasazením,
smluvní závazek mlčenlivosti osob s přístupem k datům.

7. Audit

Správce může nejvýše jednou ročně (nebo po porušení zabezpečení) požádat o písemné doložení plnění této DPA; zpracovatel odpoví do 30 dnů. Audit na místě je možný po dohodě termínu, v pracovní době, na náklady správce, prostřednictvím auditora vázaného mlčenlivostí a bez přístupu k datům jiných zákazníků.

8. Předávání do třetích zemí

Údaje jsou primárně ukládány v Evropské unii. K předání do USA dochází u dílčích zpracovatelů uvedených v článku 5, a to na základě rozhodnutí Komise o odpovídající ochraně (EU-U.S. Data Privacy Framework) u certifikovaných společností, jinak na základě standardních smluvních doložek (rozhodnutí Komise 2021/914) doplněných o posouzení a dodatečná opatření.

9. Povinnosti správce

Správce odpovídá za to, že má právní základ ke zpracování osobních údajů, které do služby vkládá nebo které jsou na jeho webu, že informoval subjekty údajů podle čl. 13 a 14 GDPR a že jeho pokyny neporušují právní předpisy. Správce nesmí do služby vkládat zvláštní kategorie osobních údajů.

10. Odpovědnost a závěrečná ustanovení

Odpovědnost stran se řídí čl. 82 GDPR a omezením odpovědnosti v obchodních podmínkách v rozsahu, v jakém to GDPR připouští. Tato DPA se řídí právem České republiky. V případě rozporu mezi DPA a obchodními podmínkami má ve věcech ochrany osobních údajů přednost DPA. DPA je účinná od 17. 9. 2026 a zaniká spolu se smlouvou o užívání služby. Dotazy: info@zminka.cz.

Smlouva o zpracování osobních údajů