Návrh – před spuštěním nechat zkontrolovat advokátem.
Zpracovatelská smlouva
1. Strany a uzavření
Smlouva o zpracování osobních údajů podle čl. 28 GDPR (nařízení EU 2016/679) mezi:
- správcem: zákazníkem služby Klára (dále „správce“),
- zpracovatelem: Luňákovi s.r.o., IČ 19820054, DIČ CZ19820054, se sídlem Olbramovice 338, 671 76 Olbramovice (dále „zpracovatel“).
Smlouva je součástí obchodních podmínek a uzavírá se spolu s nimi při registraci. Na požádání ji zašleme i k podpisu.
2. Předmět, účel a doba
- Předmět: zpracování osobních údajů volajících a kontaktů správce při poskytování služby Klára.
- Povaha a účel: přijetí přesměrovaného hovoru, nahrávka a přepis, vedení rozhovoru AI asistentkou, shrnutí a kategorie hovoru, zobrazení v aplikaci, upozornění správci a na jeho pokyn předání do CRM nebo jiného systému.
- Doba: po dobu trvání smlouvy o službě a dále jen po dobu nutnou k výmazu podle čl. 12.
3. Kategorie údajů a subjektů
- Subjekty: volající (zákazníci, zájemci, dodavatelé, obchodníci a další osoby), kontakty v adresáři správce, uživatelé účtu správce.
- Údaje: hlas (nahrávka hovoru), přepis, telefonní číslo, jméno, obsah vzkazu, shrnutí a kategorie hovoru, případně další údaje, které volající sám sdělí (e-mail, adresa, popis požadavku).
- Zvláštní kategorie údajů (např. zdraví) služba nevyžaduje a Klára se na ně neptá. Pokud je volající sám sdělí, zpracují se jako součást nahrávky a přepisu.
4. Pokyny správce
Zpracovatel zpracovává údaje jen na základě doložených pokynů správce. Pokyny jsou tato smlouva, obchodní podmínky a nastavení, které správce provede v aplikaci (scénář, otázky, kontakty, integrace). Pokud by pokyn podle zpracovatele porušoval právo, zpracovatel na to správce bez odkladu upozorní.
Údaje nepoužíváme pro vlastní účely ani k trénování AI modelů.
5. Mlčenlivost
Osoby, které mají u zpracovatele k údajům přístup, jsou vázány mlčenlivostí. Přístup mají jen ty, které ho potřebují k provozu nebo podpoře, a jen v nutném rozsahu. Mlčenlivost trvá i po skončení smlouvy.
6. Zabezpečení
Zpracovatel přijal technická a organizační opatření podle čl. 32 GDPR: šifrovaný přenos (HTTPS), hesla uložená jen jako otisk, oddělení dat jednotlivých firem, role a omezený přístup, šifrování klíčů k integracím a omezení počtu pokusů o přihlášení. Podrobně na stránce Zabezpečení.
7. Subzpracovatelé
Správce uděluje obecné povolení k zapojení těchto subzpracovatelů:
| Subzpracovatel | Činnost | Místo a záruky |
|---|---|---|
| Cloudflare, Inc. | hosting webu a aplikace, databáze | globální síť, USA · DPF / SCC předpoklad |
| ElevenLabs (Eleven Labs, Inc.) | hlas, převod řeči na text, AI model pro vedení hovoru, uložení nahrávky | USA · DPF / SCC předpoklad |
| Google (jazykový model Gemini) | zpracování textu rozhovoru, voláno přes ElevenLabs | USA / EU · DPF / SCC předpoklad |
| VoIPSUN | telefonní čísla a přenos hovorů | Česká republika předpoklad |
| SmartEmailing | e-maily (upozornění a servisní zprávy) | Česká republika / EU |
| FAPI | fakturace a platby; zpracovává jen fakturační údaje zákazníka, ne údaje volajících | Česká republika |
Změnu subzpracovatelů oznámíme e-mailem nejméně 30 dní předem. Správce může do té doby vznést námitku. Pokud ji nevyřešíme, může smlouvu bez sankce ukončit. Se subzpracovateli máme smlouvy se stejnými povinnostmi ochrany údajů.
8. Předávání mimo EU
Údaje se mohou předávat do USA (Cloudflare, ElevenLabs, Google). Předání probíhá na základě rámce EU–USA (Data Privacy Framework) u certifikovaných dodavatelů, jinak na základě standardních smluvních doložek Evropské komise (SCC) a doplňujících opatření.
9. Pomoc správci
- Pomůžeme vyřídit žádosti subjektů (přístup, výmaz, oprava). Žádost, která přijde nám, předáme správci bez zbytečného odkladu.
- Poskytneme informace potřebné k posouzení vlivu (DPIA) a ke konzultaci s dozorovým úřadem.
- Výmaz konkrétní nahrávky nebo přepisu provedeme na žádost správce bez zbytečného odkladu.
10. Porušení zabezpečení
Porušení zabezpečení osobních údajů oznámíme správci bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění. Uvedeme, co se stalo, kterých údajů a osob se to týká, pravděpodobné dopady a přijatá opatření. Informace doplníme, jakmile je budeme mít.
11. Audit
Na požádání správci doložíme splnění povinností z této smlouvy. Audit u zpracovatele je možný po ohlášení nejméně 30 dní předem, nejvýš jednou ročně a na náklady správce, s ohledem na mlčenlivost vůči ostatním zákazníkům.
12. Výmaz po skončení
Po skončení smlouvy údaje do 30 dní vymažeme, pokud jejich uchování nevyžaduje právo. Před koncem si správce může potřebné údaje stáhnout z aplikace. Záložní kopie databáze se přepisují nejpozději do 30 dní předpoklad. Nahrávky a přepisy se mažou i průběžně po 90 dnech od hovoru předpoklad.
13. Závěr
Odpovědnost stran se řídí obchodními podmínkami a GDPR. Smlouva se řídí právem České republiky. V případě rozporu s obchodními podmínkami má ve věcech ochrany osobních údajů přednost tato smlouva.