This agreement is concluded in Czech, and the Czech text below is the binding version. No translation is provided — if you need one, have the Czech text translated before you accept it.
Data Processing Agreement
Annex 1 to the Commercial Terms. It governs the processing of personal data carried out by the Operator on the Customer's behalf — the data of End Customers and of the persons to whom the Customer has granted access to the admin. The Customer is the controller; the Operator is the processor.
Annex 1 to the Commercial Terms, version: 2026-08-30
The current list of sub-processors forms part of this agreement:
View sub-processors1. Úvodní ustanovení
- Tato Smlouva o zpracování osobních údajů (dále jen „Smlouva“) tvoří Přílohu č. 1 Obchodních podmínek služby Admin Base (dále jen „Podmínky“) a uzavírá se současně s nimi. Pojmy psané s velkým počátečním písmenem mají význam podle Podmínek.
- Zpracovatelem je Yevhenii Palapa, IČO 21725209, se sídlem Bělohorská 209/133, Břevnov, 169 00 Praha 6, fyzická osoba zapsaná v živnostenském rejstříku vedeném Úřad městské části Praha 6.
- Správcem je Zákazník. Zpracovává-li Zákazník osobní údaje sám jako zpracovatel pro třetí osobu, vystupuje Provozovatel jako další zpracovatel a Zákazník odpovídá za to, že k jeho zapojení má potřebné pověření.
- Smlouva se uzavírá podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR) a řídí se jím i zákonem č. 110/2019 Sb.
2. Předmět, povaha, účel a doba zpracování
3. Pokyny Správce
- Provozovatel zpracovává osobní údaje pouze na základě doložených pokynů Zákazníka, a to včetně předávání osobních údajů do třetí země nebo mezinárodní organizaci. Za doložené pokyny se považují Podmínky, tato Smlouva, nastavení a konfigurace Služby provedená Zákazníkem a jednotlivé požadavky, které Zákazník uplatní prostřednictvím podpory.
- Výjimkou je zpracování, které Provozovateli ukládá právo Evropské unie nebo členského státu, jemuž Provozovatel podléhá — zejména vyhovění zákonnému požadavku orgánu veřejné moci. V takovém případě Provozovatel Zákazníka o tomto právním požadavku informuje ještě před zpracováním, ledaže mu to dotčený předpis ze závažných důvodů veřejného zájmu zakazuje.
- Takový požadavek Provozovatel přezkoumá, vyhoví mu pouze v rozsahu, který je právně vymáhán, a je-li to možné, odkáže žadatele přímo na Zákazníka jako správce.
- Má-li Provozovatel za to, že pokyn Zákazníka porušuje GDPR nebo jiný předpis o ochraně osobních údajů, neprodleně jej o tom informuje. Do vyjasnění je oprávněn provedení pokynu odložit.
- Nad rámec předchozích odstavců Provozovatel osobní údaje nepředává třetím osobám s výjimkou zpracovatelů podle článku 6 a nepoužívá je pro vlastní účely, zejména je neužívá k trénování modelů umělé inteligence ani je neprodává.
- Zákazník odpovídá za zákonnost zpracování, za existenci právního titulu a za splnění informační povinnosti vůči subjektům údajů podle čl. 13 a 14 GDPR.
4. Mlčenlivost
- Provozovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.
- Ke dni uzavření této Smlouvy má k produkčnímu prostředí přístup pouze Provozovatel jako fyzická osoba. Přístup k Datům Zákazníka využívá výhradně v rozsahu nezbytném pro provoz Služby, pro řešení požadavků podpory a pro splnění právní povinnosti.
- Rozšíří-li Provozovatel okruh osob s přístupem k produkčnímu prostředí, zaváže je k mlčenlivosti ve stejném rozsahu ještě před udělením přístupu.
5. Zabezpečení zpracování
- Provozovatel přijal technická a organizační opatření podle čl. 32 GDPR popsaná v Příloze B této Smlouvy.
- Provozovatel je oprávněn opatření v Příloze B průběžně měnit a doplňovat za podmínky, že tím nedojde ke snížení dosažené úrovně zabezpečení.
- Služba není určena ke zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR. Zákaz jejich vkládání do Služby vyplývá z článku 9 Podmínek. Zpracování takových údajů je možné pouze na základě zvláštní písemné dohody, která upraví odpovídající úroveň zabezpečení a doplní Přílohu A.
6. Zapojení dalších zpracovatelů
- Zákazník uděluje Provozovateli obecné povolení k zapojení dalších zpracovatelů.
- Aktuální seznam zapojených zpracovatelů je zveřejněn na adrese /legal/subprocessors a je nedílnou součástí této Smlouvy.
- Zamýšlené zapojení nového zpracovatele oznámí Provozovatel Zákazníkovi nejméně 30 dní předem, a to postupem podle článku 18 Podmínek.
- Zákazník je oprávněn vznést proti novému zpracovateli odůvodněnou námitku z důvodů ochrany osobních údajů do 10 dnů od doručení oznámení. Nedohodnou-li se strany a trvá-li Provozovatel na zapojení, je Zákazník oprávněn dotčené předplatné ukončit bez sankce a s poměrným vrácením ceny za nevyužité období.
- Provozovatel uloží každému dalšímu zpracovateli stejné povinnosti v oblasti ochrany osobních údajů, jaké má sám podle této Smlouvy, a odpovídá Zákazníkovi za plnění jejich povinností.
7. Předávání do třetích zemí
- Část zpracování probíhá mimo Evropský hospodářský prostor. U každého takového zpracovatele je v seznamu podle článku 6 uvedena záruka podle čl. 46 GDPR, na jejímž základě k předání dochází — zpravidla standardní smluvní doložky, případně certifikace v rámci EU–US Data Privacy Framework.
- Provozovatel neprovede předání do třetí země bez odpovídající záruky.
- Provozovatel usiluje o postupné omezení zpracování na území Evropského hospodářského prostoru. Změny v tomto směru se promítnou do seznamu podle článku 6.
8. Součinnost Správci
- Provozovatel je Zákazníkovi nápomocen vhodnými technickými a organizačními opatřeními při plnění povinnosti reagovat na žádosti subjektů údajů o výkon jejich práv podle kapitoly III GDPR.
- Obrátí-li se subjekt údajů se žádostí přímo na Provozovatele, Provozovatel ji sám nevyřizuje; bez zbytečného odkladu ji předá Zákazníkovi a subjekt údajů o tom vyrozumí.
- Provozovatel je Zákazníkovi nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR, a to s ohledem na povahu zpracování a na informace, jež má k dispozici.
- Součinnost nad rámec běžného rozsahu, zejména opakované rozsáhlé exporty nebo zpracování znaleckých podkladů, může Provozovatel poskytnout za úhradu účelně vynaložených nákladů, na kterou Zákazníka předem upozorní.
9. Porušení zabezpečení osobních údajů
- Zjistí-li Provozovatel porušení zabezpečení osobních údajů, ohlásí je Zákazníkovi bez zbytečného odkladu poté, co se o něm dozvěděl, postupem podle článku 18 Podmínek.
- Ohlášení obsahuje, v rozsahu, v jakém jsou informace dostupné: popis povahy porušení, dotčené kategorie a přibližný počet subjektů údajů a záznamů, pravděpodobné důsledky, přijatá a navrhovaná opatření a kontaktní údaje pro další informace. Nelze-li poskytnout všechny informace současně, poskytuje je Provozovatel postupně bez dalšího zbytečného odkladu.
- Lhůta 72 hodin pro ohlášení dozorovému úřadu podle čl. 33 odst. 1 GDPR a povinnost oznámení subjektům údajů podle čl. 34 GDPR svědčí Zákazníkovi jako správci. Provozovatel mu poskytne součinnost potřebnou k jejich splnění.
- Provozovatel vede záznamy o porušeních zabezpečení a na žádost je Zákazníkovi zpřístupní v rozsahu, který se týká jeho Dat.
10. Výmaz a vrácení osobních údajů
- Po ukončení poskytování Služby zůstanou Data Zákazníka po dobu 90 dní zachována v režimu pouze pro čtení a export, aby si je Zákazník mohl převzít. Po uplynutí této doby budou z produkčních systémů trvale smazána.
- Zálohy se rotují automaticky; smazaná Data z nich mohou být odstraněna nejpozději do dalších 35 dní. Po tuto dobu k nim není přistupováno jinak než při obnově po havárii.
- Zákazník je oprávněn zvolit místo výmazu vrácení Dat a je oprávněn požádat o výmaz i před uplynutím uvedené doby.
- Provozovatel je oprávněn uchovat osobní údaje po dobu a v rozsahu, v jakém mu to ukládá právní předpis; po tuto dobu je zpracovává výhradně za účelem splnění této povinnosti.
11. Doložení souladu a audit
- Provozovatel umožní Zákazníkovi ověření souladu s povinnostmi podle čl. 28 GDPR a poskytne mu součinnost při auditech podle čl. 28 odst. 3 písm. h) GDPR, a to postupem podle tohoto článku.
- Zákazník je oprávněn vyžádat si informace potřebné k doložení tohoto souladu. Provozovatel je poskytne bez zbytečného odkladu, nejpozději do 30 dnů, zejména vyplněním bezpečnostního dotazníku, popisem přijatých opatření a předložením zpráv a osvědčení, která má k dispozici.
- Nepostačují-li poskytnuté informace k doložení souladu a vyžaduje-li to vůči Zákazníkovi dozorový úřad, anebo došlo-li k porušení zabezpečení osobních údajů, které se dotklo Dat Zákazníka, je Zákazník oprávněn provést kontrolu, a to nejvýše jednou za dvanáct měsíců, po předchozím oznámení nejméně 30 dní předem a způsobem, který nenaruší provoz Služby.
- Provozovatel neprovozuje vlastní datová centra ani samostatné provozní prostory; produkční prostředí je provozováno u zpracovatelů podle článku 6. Kontrola se proto provádí dálkově, popřípadě v místě, na kterém se strany dohodnou.
- Kontrola se týká výhradně zpracování Dat Zákazníka. Nezahrnuje přístup k datům jiných zákazníků, ke zdrojovému kódu Služby ani k těm bezpečnostním konfiguracím, jejichž zpřístupnění by ohrozilo zabezpečení ostatních zákazníků.
- Ve vztahu k dalším zpracovatelům plní Provozovatel povinnost součinnosti předáním zpráv, certifikací a osvědčení, která mu tito zpracovatelé poskytují. K provedení kontroly v jejich prostorách není oprávněn a nemůže ji Zákazníkovi zajistit.
- Kontrolu provádí Zákazník nebo jím pověřený auditor zavázaný k mlčenlivosti. Provozovatel je oprávněn odmítnout auditora, který je jeho soutěžitelem nebo u něhož je důvodná pochybnost o nezávislosti.
- Náklady kontroly, včetně účelně vynaložených nákladů Provozovatele, nese Zákazník. To neplatí, prokáže-li kontrola podstatné porušení povinností na straně Provozovatele.
12. Odpovědnost a závěrečná ustanovení
- Odpovědnost stran podle této Smlouvy podléhá vyloučením a omezením odpovědnosti podle článku 13 Podmínek. Limit náhrady je pro nároky z Podmínek i z této Smlouvy společný.
- Tato Smlouva nabývá účinnosti současně s Podmínkami a trvá po dobu jejich trvání a dále po dobu, po kterou Provozovatel zpracovává osobní údaje podle článku 10.
- Smlouva se řídí právním řádem České republiky. Závazným zněním je znění v českém jazyce.
- Přílohami této Smlouvy jsou Příloha A (Popis zpracování) a Příloha B (Technická a organizační opatření).
Annexes
Příloha A — Popis zpracování
- Předmět zpracování: provoz administrační platformy a veřejného rozhraní, jejichž prostřednictvím Zákazník provozuje svůj Obchod.
- Povaha a účel zpracování: ukládání, organizace, vyhledávání, úprava, zpřístupnění a výmaz osobních údajů za účelem poskytování funkcí Služby, které Zákazník využívá — zejména evidence zákazníků, zpracování objednávek, prodej na prodejně, správa médií a doručování souvisejících sdělení.
- Součástí zpřístupnění je i dočasné zpřístupnění údajů pracovníkovi Provozovatele za účelem podpory. Děje se tak pouze na podkladě a za podmínek podle Přílohy B.
- Doba zpracování: po dobu trvání Podmínek a dále po dobu podle článku 10 této Smlouvy.
- Kategorie subjektů údajů: (a) koncoví zákazníci Obchodu Zákazníka; (b) návštěvníci Obchodu; (c) osoby, kterým Zákazník udělil přístup do administrace, zejména jeho zaměstnanci a spolupracovníci včetně obsluhy pokladny.
- Kategorie osobních údajů koncových zákazníků a návštěvníků: jméno a příjmení, e-mailová adresa, telefonní číslo, doručovací a fakturační adresa, historie objednávek a jejich obsah, poznámky vložené Zákazníkem, identifikátory přiřazené Zákazníkem (např. čárový kód zákaznické karty), IP adresa a údaje o zařízení, obsah souborů nahraných do Služby.
- Kategorie osobních údajů osob s přístupem do administrace: jméno, e-mailová adresa, profilový obrázek, přidělená role a oprávnění, záznamy o přihlášení a relacích, záznamy o obsluze pokladny a o otevření a uzavření pokladních směn.
- Zvláštní kategorie osobních údajů podle čl. 9 GDPR: žádné. Jejich vkládání do Služby je podle článku 9 Podmínek zakázáno, a to včetně údajů shromážděných prostřednictvím kontaktních, objednávkových a rezervačních formulářů v Obchodě. Dohodnou-li se strany písemně jinak podle článku 5 této Smlouvy, vymezí taková dohoda dotčené kategorie a doplní tuto Přílohu; do té doby Provozovatel žádné takové údaje nezpracovává.
- Osobní údaje dětí: Služba není určena ke zpracování osobních údajů osob mladších 15 let.
Příloha B — Technická a organizační opatření
- Šifrování přenosu: veškerá komunikace se Službou i s jejími zpracovateli probíhá výhradně přes TLS.
- Šifrování citlivých hodnot: vybrané citlivé hodnoty jsou v úložišti chráněny autentizovaným šifrováním se samostatně spravovaným klíčem. IP adresy, které Provozovatel uchovává pro omezování četnosti a prevenci zneužití, ukládá v hashované podobě.
- Oddělení dat zákazníků: údaje každého Obchodu jsou vedeny odděleně. Vazba údaje na Obchod je součástí databázového schématu a je vynucena na úrovni databáze, takže údaje jednoho Obchodu lze vymazat samostatně a beze zbytku. Přístup k nim se řídí odstavcem o řízení přístupu.
- Řízení přístupu: přístup do administrace je řízen rolemi a členstvím v konkrétním Obchodě. Změna oprávnění zneplatní existující relace uživatele bez zbytečného odkladu.
- Autentizace: přihlášení probíhá bez hesla, jednorázovým odkazem nebo kódem s krátkou platností. Uplatňuje se omezování četnosti pokusů.
- Oprávnění pracovníků Provozovatele: pracovníci nemají jedinou souhrnnou roli správce. Jednotlivá oprávnění se přidělují jmenovitě a odděleně; oprávnění číst auditní záznamy je samostatné a nezahrnuje oprávnění cokoli měnit.
- Přístup podpory do Obchodu není trvalý. Vstup je možný pouze na základě časově omezeného oprávnění vázaného na jediný Obchod, které schválí uživatel Zákazníka. Zákazník schvaluje konkrétní uvedený důvod a konkrétní dobu trvání, nikoli přístup obecně; bez jeho schválení pracovník Provozovatele do administrace Obchodu nevstoupí.
- Odvolání přístupu: Zákazník může udělený přístup kdykoli ukončit jedním úkonem v administraci, s okamžitým účinkem.
- Nouzový přístup: použije se pouze v případech, kdy by vyčkávání na schválení prohloubilo hrozící újmu, zejména při výpadku nebo probíhajícím zneužití. Zákazník je o něm informován neprodleně. Použití nouzového přístupu podléhá následnému písemnému odůvodnění, které přezkoumá jiná osoba než ta, která přístup použila, a je v auditním záznamu zvlášť označeno.
- Záznam přístupů (auditní log): žádost o přístup, její schválení nebo zamítnutí, začátek a konec relace, každý jednotlivý vstup do Obchodu i každé přidělení a odebrání oprávnění pracovníkovi Provozovatele se zapisují do samostatné evidence. Záznamy jsou vedeny způsobem, který znemožňuje jejich dodatečnou změnu nebo odstranění a umožňuje ověřit jejich neporušenost.
- Zákazník vidí záznamy týkající se svého Obchodu přímo v administraci, bez nutnosti o ně žádat. Údaje identifikující zařízení pracovníka Provozovatele mu zpřístupněny nejsou. Záznamy se uchovávají po dobu nezbytnou k doložení souladu a po jejím uplynutí se odstraňují.
- Informování o přístupu: o žádosti o přístup i o jeho udělení je Zákazník informován e-mailem, a to postupem podle článku 18 Podmínek.
- Zálohování: databáze i konfigurace aplikace jsou pravidelně zálohovány do odděleného objektového úložiště.
- Organizační opatření: k produkčnímu prostředí má přístup jediná osoba vázaná mlčenlivostí. Přístupové údaje ke Službě a k jejím zpracovatelům jsou uchovávány odděleně od aplikace.
- Přístup k databázi a zálohám na úrovni infrastruktury, nezbytný pro provoz Služby, její aktualizace a obnovu ze zálohy, se řídí organizačními opatřeními podle předchozího odstavce a nepodléhá schvalování podle odstavců o přístupu podpory.
- Podrobnější popis jednotlivých opatření poskytne Provozovatel Zákazníkovi na žádost postupem podle článku 11.
The procedure for support access to a Store — its grounds, time limits and record — is described separately:
Support access to your store admin