Zpracovatelská smlouva

Účinnost: 5. 10. 2026

1. Strany a vztah k Obchodním podmínkám

1.1 Tuto smlouvu o zpracování osobních údajů (dále „Smlouva”) uzavírá zákazník služby HypeLead jako správce (dále „Zákazník”) a HypeDigitaly s.r.o., IČO 17665655, se sídlem Velká Hradební 2800/54, 400 01 Ústí nad Labem, jako zpracovatel (dále „Zpracovatel”) podle čl. 28 nařízení (EU) 2016/679 (GDPR).

1.2 Smlouva je součástí Obchodních podmínek služby HypeLead (dále „Podmínky”). Zákazník ji přijímá spolu s Podmínkami při registraci. Ve věcech ochrany osobních údajů má Smlouva před Podmínkami přednost.

1.3 Pokud chcete podepsanou kopii Smlouvy, napište na info@hypedigitaly.ai. Podepsaná kopie má stejný obsah jako tato verze.

1.4 Pojmy mají význam podle GDPR a Podmínek.

2. Předmět, doba, povaha a účel zpracování

2.1 Zpracovatel zpracovává osobní údaje jménem Zákazníka, aby mu poskytoval službu HypeLead (dále „Služba”), zejména: správu kontaktů a firem, přípravu a odesílání kampaní z připojených účtů Zákazníka, správu odpovědí na jednom místě, přípravu návrhů zpráv pomocí umělé inteligence a související podporu.

2.2 Zpracování trvá po dobu trvání Podmínek a po jejich skončení do smazání nebo vrácení údajů podle článku 12.

2.3 Podrobnosti zpracování jsou v Příloze 1.

2.4 Tato Smlouva se nevztahuje na zpracování, pro které je Zpracovatel samostatným správcem, zejména na vyhledávání a doplňování dat o kontaktech, fakturaci a zabezpečení Služby. To popisují Zásady ochrany osobních údajů.

3. Pokyny Zákazníka

3.1 Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů Zákazníka, včetně předání do třetích zemí, ledaže mu zpracování ukládá právo EU nebo členského státu. V takovém případě Zákazníka předem informuje, pokud to právo nezakazuje.

3.2 Pokyny jsou tato Smlouva, Podmínky a akce, které Zákazník a jeho uživatelé provádějí ve Službě. Zpracovatel vede záznamy o podstatných akcích (například spuštění kampaně, zapnutí funkcí umělé inteligence, schválení odeslání). Tyto záznamy slouží jako doklad o pokynech.

3.3 Pokud je podle názoru Zpracovatele pokyn v rozporu s GDPR nebo jiným předpisem o ochraně osobních údajů, Zpracovatel na to Zákazníka bez zbytečného odkladu upozorní.

3.4 Vyhledávání v databázi Prospeo. Pokud Zákazník nechá Službu dohledat e-mailové adresy nebo telefonní čísla ke kontaktům, které nahrál ze souboru, a Služba kontakt vyhledá v databázi dodavatele dat Prospeo (Defastra Tech Inc.), Zpracovatel pošle společnosti Prospeo údaje potřebné k vyhledání: jméno kontaktu, název a webovou adresu firmy a, pokud je Služba už má, odkaz na profil (například LinkedIn) a e-mailovou adresu kontaktu, stránku firmy na LinkedInu a číslo záznamu osoby u Prospeo. Spuštění takového běhu je doloženým pokynem Zákazníka k tomuto předání (čl. 28 odst. 3 písm. a) GDPR). Prospeo údaje přijímá jako příjemce a samostatný správce, nikoli jako další zpracovatel Zpracovatele, a ponechává si je podle svých vlastních podmínek, mimo jiné k údržbě své databáze; článek 7 se na něj nevztahuje. Prospeo sídlí v Kanadě, pro kterou Evropská komise přijala rozhodnutí o odpovídající ochraně; za záruky pro své vlastní servery v USA odpovídá Prospeo jako správce. Zákazník odpovídá za to, že má pro toto předání právní základ a že společnost Prospeo uvede jako příjemce, když informuje subjekty údajů (čl. 14 odst. 1 písm. e) GDPR). Kontaktní údaje, které Prospeo vrátí, se stávají součástí údajů Zákazníka zpracovávaných podle této Smlouvy.

4. Povinnosti Zákazníka

4.1 Zákazník odpovídá za to, že má pro zpracování platný právní základ, že údaje získal v souladu s právem a že splnil informační povinnost vůči subjektům údajů.

4.2 Zákazník do Služby nenahrává a necílí:

• zvláštní kategorie osobních údajů podle čl. 9 GDPR,
• osobní údaje týkající se rozsudků v trestních věcech a trestných činů podle čl. 10 GDPR,
• seznamy spotřebitelů jako příjemce oslovení.

4.3 Zákazník vyplní ve Službě stránku se zásadami ochrany osobních údajů pro své příjemce, než je poprvé osloví.

5. Mlčenlivost

5.1 Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

5.2 Přístup k osobním údajům mají jen osoby, které ho potřebují k plnění svých úkolů.

6. Zabezpečení

6.1 Zpracovatel přijímá technická a organizační opatření podle čl. 32 GDPR. Jsou popsána v Příloze 2.

6.2 Opatření může Zpracovatel měnit, pokud nesníží celkovou úroveň ochrany.

7. Další zpracovatelé

7.1 Zákazník uděluje Zpracovateli obecné písemné povolení zapojit další zpracovatele. Jejich aktuální seznam je na „Seznam dalších zpracovatelů“ (Příloha 3).

7.2 Zpracovatel oznámí zamýšlené přidání nebo výměnu dalšího zpracovatele nejméně 15 dnů předem, a to aktualizací seznamu a e-mailem Zákazníkům, kteří se k odběru změn přihlásili.

7.3 Zákazník může do 15 dnů od oznámení vznést z oprávněných důvodů ochrany osobních údajů námitku. Strany se pokusí najít řešení.

7.4 Pokud řešení není možné, může Zákazník do 30 dnů ukončit tu část Služby, které se změna týká, případně celé Podmínky. Některé další zpracovatele (například hosting nebo bránu pro umělou inteligenci) nelze nahradit; v takovém případě je řešením jen ukončení dotčené funkce nebo Služby.

7.5 Pokud je nutné dalšího zpracovatele nahradit okamžitě, například kvůli jeho výpadku nebo bezpečnostnímu riziku, může Zpracovatel jednat hned a oznámit změnu bez zbytečného odkladu. Právo na námitku tím není dotčeno.

7.6 Zpracovatel uloží každému dalšímu zpracovateli smluvně stejné povinnosti ochrany osobních údajů, jaké má sám podle této Smlouvy. Jedinou výjimkou je dnes dodavatel webového vyhledávání Serper.dev, který takovou smlouvu neuzavřel (viz Příloha 3). Za plnění každého dalšího zpracovatele, včetně Serper.dev, odpovídá Zpracovatel Zákazníkovi.

8. Předávání mimo EHP

8.1 Osobní údaje ukládá Zpracovatel v Evropském hospodářském prostoru. Jedinou výjimkou je kopie záloh uložená u společnosti Google (Příloha 3), kterou Google může ukládat i mimo EHP, včetně USA. Zpracovatel každou zálohu zašifruje na svém serveru ještě před nahráním a klíč má jen on, takže Google obsah přečíst nemůže.

8.2 Pokud další zpracovatel zpracovává údaje mimo EHP, zajistí Zpracovatel vhodné záruky podle kapitoly V GDPR: standardní smluvní doložky (modul 3, zpracovatel dalšímu zpracovateli) s posouzením dopadu předání, nebo rámec EU-USA pro ochranu osobních údajů, pokud je příjemce certifikovaný. Jedinou výjimkou je dnes Serper.dev: nezveřejňuje, kde údaje zpracovává, a žádnou takovou záruku Zpracovateli neposkytl (viz Příloha 3).

8.3 Pokud Zákazník sídlí mimo EHP a je to potřeba, strany na žádost doplní další záruky, například standardní smluvní doložky modul 4.

9. Pomoc se žádostmi subjektů údajů

9.1 Zpracovatel pomáhá Zákazníkovi plnit povinnost reagovat na žádosti subjektů údajů. Služba k tomu nabízí nástroje pro export, opravu, výmaz a zařazení na seznam odhlášených.

9.2 Pokud Zpracovatel dostane žádost, která se týká údajů Zákazníka, předá ji Zákazníkovi bez zbytečného odkladu a sám na ni věcně neodpoví, ledaže ho k tomu Zákazník pověří.

10. Porušení zabezpečení

10.1 Zpracovatel ohlásí Zákazníkovi porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozvěděl.

10.2 Ohlášení obsahuje, pokud je to v tu chvíli známo: popis porušení, kategorie a přibližný počet dotčených osob a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontakt pro další informace. Informace, které ještě nejsou známé, doplní Zpracovatel postupně.

10.3 Zpracovatel poskytne Zákazníkovi součinnost při ohlášení úřadu a informování dotčených osob.

11. Posouzení vlivu a součinnost s úřady

11.1 Zpracovatel poskytne Zákazníkovi přiměřenou pomoc při posouzení vlivu na ochranu osobních údajů a při předchozí konzultaci s dozorovým úřadem, s ohledem na povahu zpracování a informace, které má k dispozici.

12. Vrácení a výmaz po skončení

12.1 Po skončení Podmínek uchová Zpracovatel data Zákazníka 30 dnů. V této době si je Zákazník může vyexportovat (export ve formátu CSV slouží jako vrácení údajů).

12.2 Po uplynutí 30 dnů Zpracovatel data smaže. Nejpozději po dalších 30 dnech smaže i zálohy, které je ještě obsahují. Google, který ukládá šifrovanou kopii záloh (Příloha 3), odstraní smazané kopie ze svých systémů nejpozději do 180 dnů; jejich obsah přečíst nemůže.

12.3 Po smazání zůstávají jen údaje, jejichž uchování vyžaduje právo nebo které jsou nutné k ochraně práv subjektů údajů: seznam odhlášených a otisky identifikátorů po výmazu (aby odhlášení platilo i nadále), auditní záznamy (osobní údaje v nich jsou znečitelněné) a záznamy o souhlasech a potvrzeních Zákazníka.

13. Audity

13.1 Zpracovatel poskytne Zákazníkovi informace potřebné k doložení plnění této Smlouvy.

13.2 Audit probíhá nejprve písemně: Zákazník pošle dotazník a Zpracovatel na něj odpoví v přiměřené lhůtě.

13.3 Pokud písemné odpovědi nestačí, může Zákazník nebo jím pověřený auditor, vázaný mlčenlivostí, provést audit na místě. Audit je třeba oznámit nejméně 30 dnů předem, lze ho provést nejvýše jednou za 12 měsíců (ledaže došlo k porušení zabezpečení nebo to požaduje úřad), nesmí narušit provoz ani ohrozit data jiných zákazníků a jeho náklady nese Zákazník.

14. Odpovědnost

14.1 Odpovědnost stran se řídí Podmínkami, včetně jejich omezení, ledaže právo stanoví jinak.

15. Závěrečná ustanovení

15.1 Smlouva se řídí právem České republiky.

15.2 Pokud se změní právní předpisy, strany Smlouvu přiměřeně upraví. Změny Smlouvy se řídí pravidly pro změny Podmínek.

Příloha 1 - Podrobnosti zpracování

Příloha 2 - Technická a organizační opatření

• šifrovaný přenos dat (TLS) mezi prohlížečem, servery a dodavateli,
• šifrované uložení přístupových údajů k připojeným účtům (obálkové šifrování s klíčem uloženým odděleně od databáze),
• oddělení dat jednotlivých zákazníků na úrovni databáze (row-level security),
• hesla uložená pomocí algoritmu argon2id, krátkodobé přístupové tokeny s rotací a detekcí opakovaného použití, omezení počtu pokusů a zamčení účtu po opakovaných neúspěšných pokusech,
• výchozí zákaz přístupu: každá část aplikace je nepřístupná, dokud ji výslovně nezpřístupníme,
• hodinové zálohy, každá před uložením zašifrovaná na serveru veřejným klíčem, přičemž klíč k rozšifrování má jen Zpracovatel a nikdy není uložen na serveru; každá hodinová záloha uchovávaná 48 hodin a jedna záloha za den 30 dnů; šifrovaná kopie uložená mimo server,
• jednorázová kopie databáze pořízená těsně před každou aktualizací databáze, nešifrovaná, uložená jen na vlastním serveru Zpracovatele, přístupná jen správcům a smazaná do 30 dnů,
• auditní záznamy, které nelze přepsat, a výmaz osobních údajů v nich znečitelněním,
• odstraňování hesel, tokenů a osobních údajů ze systémových záznamů a hlášení chyb,
• odchozí spojení součástí, které načítají webové stránky, vedená přes kontrolovanou bránu, která blokuje přístup do vnitřních sítí,
• platební karty zadávané jen do formuláře hostovaného u Stripe, bez přístupu k číslu karty,
• přepis hlasu na text na vlastních serverech, se smazáním zvuku ihned po přepisu,
• přístup zaměstnanců k datům jen v nezbytném rozsahu,
• postup pro řešení bezpečnostních incidentů.

Příloha 3 - Další zpracovatelé

Aktuální seznam dalších zpracovatelů, jejich činnost a místo zpracování je na „Seznam dalších zpracovatelů“. Seznam je součástí této Smlouvy ve znění platném v daném okamžiku.