Smlouva o zpracování osobních údajů

Tento dokument je zveřejněn v několika jazycích. V případě rozporu mezi jazykovými verzemi je závazná polská verze.

Verze 2.2 · Poslední aktualizace: 29. října 2026

Smlouva o zpracování osobních údajů jménem správce podle čl. 28 obecného nařízení o ochraně osobních údajů (GDPR)

mezi zákazníkem formexposed jako správcem (dále jen „Zákazník“) a LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polsko, NIP (polské daňové identifikační číslo) 7252266190, jako zpracovatelem (dále jen „my“).

Úvodní ustanovení: o čem tato Smlouva je

formexposed kontroluje kontaktní formuláře webů z hlediska jejich ochrany proti spamu a zneužití, monitoruje je a hlásí změny. U většiny údajů, které přitom vznikají, jsme správcem sami: u zákaznického účtu, fakturace, zabezpečení Služby, protokolů a u kontrol bez účtu. Toto zpracování popisují naše Zásady ochrany osobních údajů; tato Smlouva se na ně nevztahuje.

Některé funkce však do Služby přinášejí osobní údaje třetích osob a o těchto údajích rozhoduje Zákazník: kopie skutečných dotazů návštěvníků jeho webu, adresy osob, které dostávají jeho upozornění, přihlašovací údaje testovacího účtu, kód, který nám předá ke zpracování. Tyto údaje zpracováváme pouze jménem Zákazníka. Na ně se tato Smlouva vztahuje. O které funkce jde v podrobnostech, stanoví příloha 1 na konci této Smlouvy.

Smlouva vychází z čl. 28 odst. 3 GDPR a strukturou i obsahem se řídí standardními smluvními doložkami Evropské komise mezi správci a zpracovateli (prováděcí rozhodnutí (EU) 2021/915). Nepřebírá je doslovně, ale popisuje skutečnou Službu. Pokud některou povinnost podle čl. 28 GDPR upřesňujeme, nesmí být úroveň ochrany podle nařízení snížena.

§ 1 Předmět, rozsah a role

(1) Předmětem této Smlouvy je zpracování osobních údajů námi jménem Zákazníka při poskytování Služby podle našich Obchodních podmínek. Předmět, povaha a účel zpracování, typy osobních údajů a kategorie subjektů údajů jsou pro každou funkci uvedeny v příloze 1.

(2) Tato Smlouva se nevztahuje na zpracování, u něhož jsme správcem sami, zejména na zákaznický účet a členy pracovního prostoru, přihlašování a zabezpečení účtu, fakturaci, podporu, protokoly, zálohy těchto našich vlastních údajů, bezplatnou kontrolu bez účtu, kontroly domén v účtu, u nichž Zákazník dosud neprokázal kontrolu nad doménou, kontrolu potenciálního klienta, studii, odznak a to, co předávají plugin pro WordPress a rozšíření pro TYPO3: denní čísla, soupis pluginů a u připojeného pluginu pro WordPress domény odkazů ze zablokovaných zpráv pro rojovou ochranu (ve výchozím nastavení zapnuto). Jinak tyto údaje vzhledem ke konstrukci těchto rozšíření neobsahují žádný obsah, jména, adresy ani IP adresy návštěvníků. Naopak zálohy, pokud obsahují Údaje Zákazníka, a přístup k Údajům Zákazníka pro provoz, odstraňování chyb a zabezpečení jsou součástí zpracování jménem Zákazníka; vztahují se na ně § 7 odst. 3 a § 15 odst. 5.

(3) Zákazník je pro údaje v příloze 1 správcem ve smyslu čl. 4 bodu 7 GDPR. Jedná-li Zákazník sám jako zpracovatel pro třetí osobu, například agentura pro své klienty, jsme pro tyto údaje dalším zpracovatelem. Zákazník pak zajistí, aby tato Smlouva byla slučitelná s povinnostmi z jeho vlastní smlouvy, a pokyny třetí osoby nám předává pouze prostřednictvím sebe.

(4) Uzavření: Smlouva se uzavírá při registraci spolu s Obchodními podmínkami, s každým Zákazníkem, i když nevyužívá žádnou z funkcí v příloze 1. Uzavírá se elektronicky; tím je splněn čl. 28 odst. 9 GDPR. Za tímto účelem ukládáme zobrazenou verzi, její kontrolní součet a čas, IP adresu a identifikátor prohlížeče při přijetí.

§ 2 Definice

Pojmy jako „osobní údaje“, „zpracování“, „správce“, „zpracovatel“ a „porušení zabezpečení osobních údajů“ mají význam uvedený v čl. 4 GDPR. Dále:

• Údaji Zákazníka se rozumějí osobní údaje, které zpracováváme jménem Zákazníka podle přílohy 1.
• Dalším zpracovatelem se rozumí další zpracovatel, kterého zapojíme a který přitom zpracovává Údaje Zákazníka (čl. 28 odst. 2 a 4 GDPR).
• Pracovním prostorem se rozumí oblast ve Službě, v níž Zákazník spravuje své domény, nastavení a členy. Všechny Údaje Zákazníka jsou přiřazeny k pracovnímu prostoru.
• Textovou podobou se rozumí jakýkoli čitelný projev na trvalém nosiči dat, zejména e-mail.
• Dny se rozumějí kalendářní dny. Připadne-li konec lhůty na sobotu, neděli nebo státní svátek v Polsku, končí lhůta nejbližší následující pracovní den.

§ 3 Doba trvání

(1) Smlouva platí, dokud zpracováváme Údaje Zákazníka. Začíná registrací a nekončí pouhým ukončením placeného tarifu: po výpovědi pokračuje účet jako bezplatný účet a s ním případně i Údaje Zákazníka. Končí, jakmile je účet smazán a nemáme již žádné Údaje Zákazníka, s výjimkou záloh do jejich vypršení (§ 15).

(2) Povinnosti, které mají svou povahou trvat i nadále, ukončení přetrvávají, zejména mlčenlivost, výmaz, dokazování a odpovědnost.

(3) Řádná výpověď samotné této Smlouvy je vyloučena, protože bez ní by po dobu existence účtu nebylo možné zpracovávat žádné Údaje Zákazníka. Chce-li ji Zákazník ukončit, smaže svůj účet (§ 15 odst. 3). Práva na výpověď podle § 9 odst. 3 a § 16 a práva na výpověď podle Obchodních podmínek zůstávají nedotčena.

§ 4 Pokyny

(1) Údaje Zákazníka zpracováváme pouze na základě doložených pokynů Zákazníka, a to i pokud jde o předání do třetí země nebo mezinárodní organizaci. To neplatí, pokud nám zpracování ukládá právo Unie nebo členského státu, které se na nás vztahuje. V takovém případě Zákazníka o tomto právním požadavku informujeme před zpracováním, ledaže toto právo takové informování zakazuje z důležitých důvodů veřejného zájmu (čl. 28 odst. 3 druhá věta písm. a) GDPR).

(2) Pokyny Zákazníka jsou vyčerpávajícím způsobem doloženy v této Smlouvě, v Obchodních podmínkách a v nastaveních, která Zákazník provede ve Službě. Příklady: nastavení kontroly doručení je pokynem přijímat a vyhodnocovat kopie e-mailů z formulářů; vytvoření cíle upozornění je pokynem posílat tam oznámení; uložení testovacího účtu je pokynem přihlašovat se jím pro kontrolu za přihlášením. Služba je postavena tak, aby dělala pouze to, co tato nastavení stanoví.

(3) Další pokyny dává Zákazník v textové podobě na contact@lukaswojcik.com nebo prostřednictvím okna podpory. Oprávněni dávat pokyny jsou vlastník a administrátoři pracovního prostoru; pokyny prostřednictvím nastavení ve Službě dává ten, komu jeho role dané nastavení dovoluje. Ústní pokyn Zákazník bez zbytečného odkladu potvrdí v textové podobě; do té doby můžeme s jeho provedením vyčkat, ledaže se pokyn týká výmazu nebo omezení údajů. Pokyn, který přesahuje sjednaný rozsah služeb, považujeme za žádost o změnu služeb; můžeme jej odmítnout nebo podmínit odměnou, kterou předem uvedeme v textové podobě. Z tohoto důvodu neodmítneme pokyn, který se týká povinnosti podle GDPR, například výmazu.

(4) Pokud podle našeho názoru pokyn porušuje právo, neprodleně o tom Zákazníka informujeme (čl. 28 odst. 3 druhý pododstavec GDPR). Jeho provedení můžeme pozastavit, dokud Zákazník pokyn nepotvrdí nebo nezmění. Zjevně protiprávní pokyn neprovedeme. Nejsme povinni provádět komplexní právní přezkum každého pokynu; odpovědnost za jeho zákonnost zůstává na Zákazníkovi.

§ 5 Účelové omezení a co s Údaji Zákazníka neděláme

(1) Údaje Zákazníka zpracováváme pouze pro účely uvedené v příloze 1 a pouze v rozsahu, který daná funkce vyžaduje.

(2) Údaje Zákazníka nepoužíváme pro vlastní účely. Zejména je neanalyzujeme pro reklamu, neprodáváme je, nespojujeme je s údaji jiných zákazníků do profilů a nepoužíváme je k trénování jazykových modelů. Jazykový model, který pomáhá u jednotlivých funkcí, běží na našem vlastním serveru; nic se neposílá žádné externí službě AI.

(3) Zákazník nám dovoluje sestavovat z Údajů Zákazníka souhrnná čísla, která již nelze přiřadit žádné osobě, žádnému zákazníkovi ani žádné doméně, například o doručeních, chybách nebo výsledcích kontrol. Agregace je zpracováním podle této Smlouvy; výsledná čísla již nejsou osobními údaji ani Údaji Zákazníka. Nepokoušíme se z nich osoby znovu identifikovat.

§ 6 Povinnosti Zákazníka

(1) Zákazník odpovídá za zákonnost zpracování, jehož provedením nás pověřuje. To zahrnuje, že má pro ně právní základ a že informuje subjekty údajů podle čl. 13 a 14 GDPR.

(2) Využívá-li Zákazník kontrolu doručení, informuje návštěvníky svého webu ve svých zásadách ochrany osobních údajů, že nám je zasílána kopie e-mailu z formuláře. Služba pro to na stránce domény zobrazuje navrhovaný text; další textové bloky jsou k dispozici na stránce Text o ochraně osobních údajů pro váš web. Návrh nenahrazuje vlastní posouzení Zákazníka.

(3) Pro kontrolu za přihlášením vytvoří Zákazník samostatný testovací účet, který má pouze práva potřebná ke čtení zadaných stránek a nezobrazuje žádné skutečné údaje zákazníků, pacientů, členů nebo zaměstnanců. Neukládá přihlašovací údaje skutečné osoby ani přihlašovací údaje, které není oprávněn používat. Pravidla užívání jsou rovněž uvedena v dokumentu Přípustné užívání a zneužití.

(4) Zákazník prostřednictvím Služby nenechává zpracovávat zvláštní kategorie osobních údajů (čl. 9 GDPR) ani osobní údaje týkající se rozsudků v trestních věcech (čl. 10 GDPR), pokud se tomu může vyhnout. Při použití funkce „Fix it for me“ nevkládá kód obsahující skutečné osobní údaje a klientské portály zřizuje pouze pro osoby, které si zprávu objednaly.

(5) Klientské portály: u měsíční zprávy pro odběratele je správcem Zákazník, zpravidla agentura. Služba si od každého odběratele vyžádá potvrzení prostřednictvím potvrzovacího odkazu (double opt-in) a v každém e-mailu nabízí odhlášení. Zda souhlas pokrývá obsah zprávy, posuzuje Zákazník.

(6) Zjistí-li Zákazník při zpracování chyby nebo nesrovnalosti, bez zbytečného odkladu nás informuje.

(7) Vloží-li Zákazník odznak, nejde o zpracování jeho jménem; související zpracování popisují naše Zásady ochrany osobních údajů. Zákazník to uvede ve svých zásadách ochrany osobních údajů.

§ 7 Mlčenlivost

(1) Přístup k Údajům Zákazníka poskytujeme pouze osobám, které jej potřebují pro své úkoly a které se zavázaly k mlčenlivosti nebo podléhají přiměřené zákonné povinnosti mlčenlivosti (čl. 28 odst. 3 druhá věta písm. b) GDPR). Závazek trvá i po skončení jejich činnosti.

(2) V současnosti provozuje Službu vlastník sám. Pokud se připojí další osoby, budou před prvním přístupem zavázány k mlčenlivosti a poučeny o zacházení s osobními údaji.

(3) Do pracovního prostoru nahlížíme pouze v rozsahu nezbytném pro provoz, odstraňování chyb, podporu nebo předcházení zneužití. Funkce podpory „zobrazit jako zákazník“ je omezena na jednu hodinu, blokuje změny hesla, adresy, druhého faktoru, předplatného, exportu a smazání a je protokolována; Zákazník přístup vidí ve svém exportu dat.

§ 8 Zabezpečení zpracování

(1) Přijímáme technická a organizační opatření podle čl. 32 GDPR, která zajišťují úroveň zabezpečení odpovídající riziku. Jsou popsána na stránce Technická a organizační opatření. Tato stránka je součástí této Smlouvy (příloha 2) ve znění, které je tam v danou dobu zveřejněno. Zákazník se mohl s popisem seznámit před uzavřením Smlouvy. Zda opatření poskytují odpovídající úroveň zabezpečení pro zpracování, které nám Zákazník svěřuje, posuzuje Zákazník na vlastní odpovědnost (čl. 28 odst. 1 GDPR), zejména před zapnutím některé funkce z přílohy 1.

(2) Stránka popisuje pouze opatření, která byla skutečně zavedena. Cokoli plánovaného, ale dosud nezavedeného, je tam výslovně označeno jako „plánováno“ a do svého zavedení není součástí opatření, k nimž se zavazujeme.

(3) Opatření můžeme přizpůsobovat technickému pokroku a vývoji Služby, pokud celková úroveň ochrany neklesne. Každou změnu zveřejňujeme s novým číslem verze a datem na stránce a v přehledu Změny smluvních dokumentů. Pokud změna dříve popsané opatření bez náhrady odstraňuje nebo oslabuje, oznámíme ji Zákazníkovi navíc v textové podobě nejméně 30 dní předem; Zákazník pak může vznést námitku jako v případě nového dalšího zpracovatele (§ 9 odst. 3). Musí-li být opatření nahrazeno v krátké lhůtě, aby se čelilo hrozbě, může se tak stát bez předchozího oznámení, pokud tím úroveň ochrany neklesne; oznámení pak následuje bez zbytečného odkladu.

§ 9 Další zpracovatelé

(1) Zákazník nám uděluje obecné písemné povolení zapojovat další zpracovatele (čl. 28 odst. 2 GDPR). Další zpracovatelé, které v současnosti zapojujeme, s jejich sídlem, účelem, údaji, místem zpracování a základem případného předání do třetí země, jsou uvedeni na stránce Další zpracovatelé. Tento seznam je součástí této Smlouvy (příloha 3) ve znění, které je tam zveřejněno. Pro další zpracovatele tam uvedené se povolení považuje za udělené.

(2) O každém zamýšleném přidání nebo nahrazení dalšího zpracovatele informujeme Zákazníka nejméně 30 dní předem e-mailem na adresu držitele účtu. Oznámení uvádí dalšího zpracovatele, jeho sídlo, dotčenou funkci, údaje, místo zpracování a základ případného předání. Současně se ohlášená změna zobrazí na stránce dalších zpracovatelů a v přehledu změn.

(3) Zákazník může v těchto 30 dnech vznést námitku v textové podobě, má-li objektivní důvod týkající se ochrany osobních údajů; důvod v námitce uvede. Poté hledáme se Zákazníkem řešení, například tím, že pro Zákazníka dotčenou funkci dále provozujeme bez nového dalšího zpracovatele nebo ji vypneme. Dokud není řešení nalezeno, nového dalšího zpracovatele pro Údaje Zákazníka tohoto Zákazníka nepoužíváme; není-li to technicky možné, je dotčená funkce pro Zákazníka pozastavena. Nenalezne-li se řešení, může Zákazník vypovědět smlouvu o Službě nebo o dotčené službě s účinností ke dni změny, a pokud mu teprve po tomto dni sdělíme, že řešení není možné, s okamžitou účinností do 14 dnů od tohoto sdělení. Za předplacené období, které tím již nemůže využít, vrátíme poměrnou částku. Naše právo na řádnou výpověď podle Obchodních podmínek zůstává nedotčeno.

(4) Každému dalšímu zpracovateli smluvně ukládáme stejné povinnosti v oblasti ochrany osobních údajů, jaké tato Smlouva ukládá nám, zejména poskytnutí dostatečných záruk zavedení vhodných technických a organizačních opatření (čl. 28 odst. 4 první věta GDPR). Každého dalšího zpracovatele pečlivě vybíráme a kontrolujeme, zda tyto záruky existují, před jeho zapojením, znovu při podstatné změně jeho podmínek a jinak při každoročním přezkumu našich opatření. Poskytuje-li další zpracovatel doklady pouze ve formě certifikátu, zprávy z auditu nebo svých zveřejněných podmínek, opíráme svou kontrolu o tyto doklady, jsou-li aktuální a vypovídající. Na požádání zašleme Zákazníkovi kopii smlouvy s dalším zpracovatelem nebo jeho podmínek ochrany osobních údajů; obchodní tajemství a jiné důvěrné informace, například ceny, můžeme předtím začernit.

(5) Nesplní-li další zpracovatel své povinnosti v oblasti ochrany osobních údajů, odpovídáme Zákazníkovi za plnění jeho povinností jako za vlastní jednání (čl. 28 odst. 4 druhá věta GDPR). Naším výběrem dalšího zpracovatele na Zákazníka nepřechází žádná odpovědnost. Neplní-li další zpracovatel své smluvní povinnosti a týká-li se to Údajů Zákazníka, informujeme Zákazníka bez zbytečného odkladu. Pokud bychom fakticky zanikli, právně přestali existovat nebo se stali insolventními, aniž by naše povinnosti převzal právní nástupce, má Zákazník mít možnost požadovat po dalším zpracovateli výmaz nebo vrácení Údajů Zákazníka; to sjednáváme s každým dalším zpracovatelem, pokud to umožňuje (srov. doložku 7.7 písm. e) standardních smluvních doložek 2021/915).

(6) Dalšími zpracovateli nejsou příjemci, jimž jsou údaje zasílány pouze proto, že je Zákazník sám nastavil jako cíl ve Službě: chatovací služby (například Slack, Discord, Microsoft Teams, Google Chat) a adresy webhooků pro upozornění. Nastavení cíle je pokynem zaslat tam oznámení; smluvní vztah s těmito poskytovateli a případný základ potřebný pro předání do třetí země jsou odpovědností Zákazníka. Naše vlastní povinnosti podle této Smlouvy až do okamžiku předání oznámení zůstávají nedotčeny. Telegram je rovněž cíl zvolený Zákazníkem, funguje však jinak: zprávu posíláme prostřednictvím našeho vlastního bota do chatu, který příjemce s botem sám propojil, a Telegram ji zpracovává mimo Evropský hospodářský prostor. Volbou Telegramu dává Zákazník výslovný pokyn k předávání oznámení tam (čl. 28 odst. 3 druhá věta písm. a) GDPR); pokud by měl být Telegram v tomto ohledu kvalifikován jako náš další zpracovatel, považuje se volba tohoto cíle zároveň za konkrétní povolení podle čl. 28 odst. 2 GDPR pro tento účel. Na jakém základě podle kapitoly V GDPR toto předání probíhá, dosud nebylo s konečnou platností vyjasněno; kdo se chce vyhnout předání bez vyjasněného základu, zvolí jiný cíl. Dalšími zpracovateli rovněž nejsou poskytovatelé služeb, kteří údaje pouze přenášejí, například náš poskytovatel internetového připojení.

(7) Servery, databázi a výpočetní kapacitu, včetně kapacity pro jazykový model, provozujeme sami v Polsku. Žádný poskytovatel hostingu ani cloudu není zapojen.

§ 10 Předávání do třetích zemí

(1) Naše vlastní servery, na nichž zpracováváme Údaje Zákazníka, se nacházejí v Polsku; zpracovává-li Údaje Zákazníka další zpracovatel, uvádí příloha 3 místo. K předání do země mimo Evropský hospodářský prostor dochází pouze tehdy, jsou-li splněny podmínky čl. 44 až 49 GDPR, a pouze na pokyn Zákazníka podle § 4 nebo dalšímu zpracovateli povolenému podle § 9.

(2) Základ pro každého dalšího zpracovatele (rozhodnutí o odpovídající ochraně, například rozhodnutí pro EU-U.S. Data Privacy Framework u certifikovaných příjemců, nebo standardní smluvní doložky podle čl. 46 odst. 2 písm. c) GDPR) je uveden v seznamu dalších zpracovatelů. Je-li u příjemce v seznamu uvedeno „k ověření“, Údaje Zákazníka se mu nezasílají, dokud není základ zdokumentován. Zapojíme-li dalšího zpracovatele mimo Evropský hospodářský prostor, aniž by se uplatnilo rozhodnutí o odpovídající ochraně, sjednáme s ním standardní smluvní doložky podle prováděcího rozhodnutí (EU) 2021/914 (modul 3: zpracovatel–zpracovatel), předem posoudíme, zda právo a praxe země určení umožňují jejich dodržování, přijmeme případná nezbytná doplňková opatření a výsledek zaznamenáme. Zákazník na požádání obdrží shrnutí tohoto posouzení.

(3) Za základ předání do cílů, které si Zákazník zvolil sám (§ 9 odst. 6), odpovídá Zákazník.

§ 11 Součinnost při uplatňování práv subjektů údajů

(1) S přihlédnutím k povaze zpracování Zákazníkovi pomocí vhodných technických a organizačních opatření, pokud je to možné, napomáháme při plnění jeho povinnosti reagovat na žádosti subjektů údajů podle kapitoly III GDPR (čl. 28 odst. 3 druhá věta písm. e) GDPR).

(2) Mnohé z toho může Zákazník ve Službě udělat sám: měnit nebo mazat cíle upozornění, testovací přihlášení a vlastní branding; měnit nebo vypínat průchody formuláři; rušit klientské portály (jejich odběratelé zůstávají uloženi až do smazání pracovního prostoru); odebrat doménu včetně jejích údajů; stáhnout export dat. Pokud to nestačí, pomůžeme na žádost v textové podobě.

(3) Obrátí-li se na nás subjekt údajů se žádostí týkající se Údajů Zákazníka, nevyřizujeme ji sami věcně, ale bez zbytečného odkladu, nejpozději do sedmi dnů od obdržení, ji předáme Zákazníkovi, pokud jej dokážeme identifikovat, a sdělíme dotyčné osobě, že jsme tak učinili. Nedokážeme-li Zákazníka identifikovat, sdělíme osobě, jaké informace potřebujeme, abychom jej našli.

(4) Jedno omezení uvádíme otevřeně: kopie e-mailů z formulářů z kontroly doručení neukládáme do databáze a e-mail je po úspěšném zpracování ze schránky smazán, v případě chyby načtení nebo mazání se zpožděním. Ve vztahu ke konkrétnímu návštěvníkovi proto zpravidla můžeme pouze sdělit, že již žádný obsah neuchováváme.

(5) Zjistíme-li, že Údaje Zákazníka jsou nepřesné nebo zastaralé, informujeme Zákazníka bez zbytečného odkladu. Zákazník je pak může sám opravit, vymazat nebo omezit ve Službě nebo pokynem nám.

§ 12 Součinnost při zabezpečení, posouzení vlivu a konzultaci

(1) S přihlédnutím k povaze zpracování a informacím, které máme k dispozici, napomáháme Zákazníkovi při plnění jeho povinností podle čl. 32 až 36 GDPR: zabezpečení zpracování, ohlašování a oznamování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace s dozorovým úřadem (čl. 28 odst. 3 druhá věta písm. f) GDPR).

(2) Za tímto účelem poskytujeme zejména popis opatření, seznam dalších zpracovatelů a na požádání další informace o tocích údajů a dobách uložení. Naše vlastní posouzení rizik Služby zveřejňujeme v dokumentu Posouzení vlivu na ochranu osobních údajů; Zákazník jej může využít pro své vlastní posouzení.

(3) Za součinnost podle § 11 a 12, kterou si Zákazník nemůže zajistit sám pomocí funkcí Služby nebo zveřejněných dokumentů, která vyžaduje více než čtyři hodiny práce za kalendářní rok a která není způsobena naším porušením této Smlouvy nebo GDPR, můžeme za čas nad tento rámec účtovat odměnu podle hodinové sazby, kterou předem uvedeme v textové podobě. Předávání žádostí a ohlašování porušení jsou vždy bezplatné. Součinnost, kterou dlužíme ze zákona, nepodmiňujeme platbou ani dohodou o odměně.

§ 13 Porušení zabezpečení osobních údajů

(1) Zjistíme-li porušení zabezpečení osobních údajů, které se týká Údajů Zákazníka, ohlásíme je Zákazníkovi bez zbytečného odkladu, je-li to možné do 48 hodin, e-mailem na adresu držitele účtu (čl. 33 odst. 2 GDPR). Účelem je nezkracovat lhůtu 72 hodin, kterou musí Zákazník dodržet vůči dozorovému úřadu. O porušení víme, jakmile s přiměřenou jistotou zjistíme, že bezpečnostní incident se týká Údajů Zákazníka; každé podezření prošetřujeme bez zbytečného odkladu. Totéž platí pro porušení u dalšího zpracovatele, jakmile nám je ohlásí.

(2) Ohlášení obsahuje, pokud jsou známy, informace podle čl. 33 odst. 3 GDPR: povahu porušení včetně doby nebo období, kdy k němu došlo, pokud možno s kategoriemi a přibližným počtem dotčených subjektů údajů a záznamů, kontaktní místo pro další informace, pravděpodobné důsledky a přijatá nebo navrhovaná opatření. Co v okamžiku prvního ohlášení ještě není zjištěno, doplníme bez dalšího zbytečného odkladu.

(3) Neprodleně přijímáme opatření potřebná k nápravě porušení a zmírnění jeho důsledků a další kroky dohodneme se Zákazníkem. Každé porušení dokumentujeme se skutečnostmi, jeho účinky a přijatými nápravnými opatřeními a dokumentaci na požádání zpřístupníme Zákazníkovi.

(4) Ohlášení dozorovému úřadu nebo oznámení subjektům údajů provádí Zákazník. My tak činíme pouze na jeho pokyn.

(5) Hlášení bezpečnostních zranitelností, které ve Službě najdou třetí strany, přijímáme na stránce Zabezpečení.

(6) Ohlášení a naše součinnost podle tohoto paragrafu nepředstavují uznání porušení povinnosti ani odpovědnosti. Týká-li se porušení také údajů, u nichž jsme správcem sami, plníme pro tyto údaje své vlastní povinnosti podle čl. 33 a 34 GDPR; Údaje Zákazníka přitom zpřístupňujeme pouze v rozsahu nezbytném pro tento účel.

§ 14 Doklady a audity

(1) Zpřístupňujeme Zákazníkovi veškeré informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožňujeme audity, včetně inspekcí, prováděné Zákazníkem nebo jím pověřeným auditorem, a k těmto auditům přispíváme (čl. 28 odst. 3 druhá věta písm. h) GDPR).

(2) Splnění povinností dokládáme především dokumenty: popisem opatření, seznamem dalších zpracovatelů, Záznamy o činnostech zpracování pokrývajícími zpracování jménem zákazníků (čl. 30 odst. 2 GDPR), písemnými odpověďmi na dotazníky a na požádání výpisy z protokolů nebo z výsledků testu obnovy. Na dotazníky odpovídáme do 30 dnů od obdržení, a je-li dán důvod podle odstavce 4, tak rychle, jak tento důvod vyžaduje. Externí zprávy z auditu ani certifikace v současnosti neexistují; uvádíme to, aby nikdo nepředpokládal opak.

(3) Nestačí-li dokumenty, může Zákazník požadovat audit, a to i na místě. Běžný audit Zákazník ohlásí nejméně 30 dní předem v textové podobě s uvedením jeho předmětu, předpokládané doby trvání a auditora; probíhá v běžné pracovní době v Polsku a je naplánován tak, aby provoz nebyl zbytečně narušen. Běžné audity na místě probíhají nejvýše jednou za kalendářní rok; odstavec 4 zůstává nedotčen.

(4) Žádná pevná čekací lhůta při naléhavém důvodu. V případě porušení zabezpečení osobních údajů, při konkrétních náznacích porušení této Smlouvy nebo GDPR a požaduje-li audit dozorový úřad, neplatí ani 30denní lhůta pro ohlášení, ani omezení na jeden audit ročně. Audit pak proběhne, jakmile to důvod vyžaduje a jakmile je to organizačně možné.

(5) Zákazník může pověřit auditora, který je vázán mlčenlivostí a který nenabízí službu srovnatelnou s formexposed ani pro takového poskytovatele nepracuje. Od auditorů můžeme požadovat, aby si neodnášeli ani nezaznamenávali tajemství jiných zákazníků, přihlašovací údaje nebo bezpečnostní údaje. Zákazník a jeho auditor zachovávají důvěrnost toho, co se při auditu dozvědí o našem provozu, a používají to pouze k ověření dodržování této Smlouvy a GDPR; mohou to zpřístupnit příslušnému dozorovému úřadu, poradcům vázaným mlčenlivostí a v rozsahu vyžadovaném zákonem. Taková ujednání nesmějí mařit zákonná práva na audit.

(6) Každá strana nese své vlastní náklady na audit. Přesáhne-li naše celková práce na auditech a dotaznících jednoho Zákazníka osm hodin za kalendářní rok, můžeme za čas nad tento rámec účtovat odměnu podle hodinové sazby, kterou předem uvedeme v textové podobě, nikoli však, odhalí-li audit porušení na naší straně nebo probíhá-li z důvodu podle odstavce 4, za který odpovídáme. Samotný audit nepodmiňujeme platbou.

(7) Pravomoci dozorových úřadů zůstávají nedotčeny. Dozorovým úřadem příslušným pro nás je předseda Úřadu pro ochranu osobních údajů (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Obě strany na požádání zpřístupní informace podle tohoto paragrafu, včetně výsledků auditů, příslušnému dozorovému úřadu.

§ 15 Výmaz a vrácení

(1) Během doby trvání platí doby uložení uvedené v příloze 1. Prosazuje je noční běh, který maže podle stejných nastavení, jaká jsou uvedena i v textech.

(2) Volba mezi vrácením a výmazem. Po ukončení zpracování rozhodne Zákazník, zda Údaje Zákazníka vrátíme, nebo vymažeme (čl. 28 odst. 3 druhá věta písm. g) GDPR). Vrácení probíhá prostřednictvím exportu dat, který si Zákazník může sám stáhnout v nastavení jako strojově čitelný soubor, nebo námi na žádost v textové podobě do 30 dnů, přičemž pak zahrnuje i Údaje Zákazníka, které export neobsahuje, pokud je lze vrátit (odstavec 4). Výmaz probíhá odebráním domény, čímž se vymažou její údaje, nebo smazáním účtu, které Zákazník spustí sám. Chce-li Zákazník vrácení i výmaz, nejprve stáhne export a poté maže.

(3) Neprovede-li Zákazník volbu a smaže svůj účet, považuje se to za volbu výmazu. Při smazání účtu se pracovní prostory, jejichž jediným vlastníkem je Zákazník, v živém systému okamžitě smažou včetně všech Údajů Zákazníka. Má-li pracovní prostor další členy, přechází na člena, který k němu patří nejdéle, přičemž administrátoři mají přednost před čtenáři, a nesmaže se; tento člen se tím stává Zákazníkem pro tento pracovní prostor. Kdo si to nepřeje, odebere před smazáním ostatní členy nebo domény. Skončí-li smlouva o účtu jiným způsobem, například naší výpovědí podle Obchodních podmínek, upozorníme Zákazníka spolu s výpovědí na export a Zákazník si jej může stáhnout až do skončení smlouvy. Nejpozději 30 dní po skončení smlouvy smažeme účet včetně Údajů Zákazníka; v současnosti se tak děje ručně.

(4) Předem uvádíme, co nelze vrátit: přihlašovací údaje pro kontrolu za přihlášením nejsou součástí exportu, protože je webový server nedokáže dešifrovat (příloha 1, bod 5); kopie z kontroly doručení po zpracování již neexistují; kód z „Fix it for me“ se vůbec neukládá.

(5) Zálohy. Databáze se zálohuje každou noc. Každá záloha se smaže po 14 dnech. Údaje Zákazníka smazané v živém systému do té doby zůstávají ve starších zálohách; jednotlivé záznamy se v záloze selektivně nemažou, protože záloha musí být nezměněným obrazem určitého okamžiku. Do svého vypršení jsou zálohy chráněny stejně jako samotná databáze a používají se pouze k obnově a k testování obnovy; neprohledávají se ani neanalyzují. Musíme-li zálohu obnovit, provedeme před opětovným uvedením Služby do provozu znovu žádosti o výmaz podané po jejím datu, pokud o nich víme. Záznam tak zmizí i ze záloh nejpozději 14 dní po jeho smazání v živém systému.

(6) Podle současného stavu nemáme žádnou povinnost Údaje Zákazníka uchovávat. Vznikne-li zákonná povinnost uchovávání podle práva Unie nebo polského práva, dotčené údaje místo výmazu omezíme, použijeme je pouze k tomuto účelu a vymažeme je, jakmile povinnost zanikne.

(7) Na požádání výmaz potvrdíme v textové podobě do 30 dnů s uvedením, co podle odstavců 5 a 6 ještě existuje a do kdy.

§ 16 Porušení, pozastavení a ukončení

(1) Nemůžeme-li z jakéhokoli důvodu splnit povinnost podle této Smlouvy, informujeme Zákazníka bez zbytečného odkladu.

(2) Porušíme-li tuto Smlouvu nebo GDPR, může Zákazník požadovat, abychom zpracování dotčených Údajů Zákazníka pozastavili, dokud porušení nebude napraveno. Trvá-li porušení nebo je-li závažné, může Zákazník vypovědět smlouvu o Službě z důležitého důvodu, zejména pokud porušení nenapravíme do jednoho měsíce od upozornění na ně nebo pokud nevyhovíme rozhodnutí soudu či dozorového úřadu, které se ho týká. Poplatky zaplacené předem za období po skončení smlouvy poměrně vrátíme.

(3) Trvá-li Zákazník na pokynu, který podle § 4 odst. 4 považujeme za protiprávní, můžeme vypovědět smlouvu o dotčené službě, pokud jsme na to Zákazníka předem upozornili a on pokyn do jednoho měsíce nezmění.

(4) Po ukončení platí § 15.

§ 17 Odpovědnost

(1) Pro újmu vzniklou subjektu údajů platí čl. 82 GDPR. Tato odpovědnost není omezena žádným smluvním omezením odpovědnosti, ani omezením v Obchodních podmínkách.

(2) Zaplatila-li některá strana subjektu údajů náhradu podle čl. 82 GDPR, může po druhé straně požadovat zpět tu část, která odpovídá podílu druhé strany na odpovědnosti za újmu (čl. 82 odst. 4 a 5 GDPR). Ani tento regres není omezen omezeními odpovědnosti v Obchodních podmínkách.

(3) Pro všechny ostatní nároky mezi Zákazníkem a námi podle této Smlouvy, například na náhradu vlastní škody nebo nákladů strany, platí pravidla odpovědnosti podle Obchodních podmínek, pokud to zákon dovoluje. Za další zpracovatele odpovídáme podle § 9 odst. 5 jako za vlastní jednání. Pokutu, kterou dozorový úřad uloží straně za její vlastní porušení, nese tato strana sama.

(4) Uplatní-li vůči některé straně nárok subjekt údajů nebo dozorový úřad, informuje tato strana druhou stranu bez zbytečného odkladu a obě spolupracují při objasnění věci. Žádná strana neuzná bez souhlasu druhé strany nárok, ohledně něhož hodlá uplatnit regres vůči druhé straně; souhlas nelze odepřít bez objektivního důvodu.

§ 18 Kontaktní místo a pověřenec pro ochranu osobních údajů

(1) Dotazy týkající se ochrany osobních údajů v souvislosti s touto Smlouvou, pokyny a oznámení zasílá Zákazník na contact@lukaswojcik.com nebo prostřednictvím okna podpory a stránky Kontakt. Naše oznámení podle této Smlouvy se zasílají na e-mailovou adresu držitele účtu; Zákazník ji udržuje aktuální.

(2) Pověřence pro ochranu osobních údajů jsme nejmenovali, protože podle našeho posouzení nejsou splněny podmínky čl. 37 odst. 1 GDPR. Pokud se to změní, jmenování oznámíme v této Smlouvě.

§ 19 Závěrečná ustanovení

(1) Přednost. Je-li ustanovení Obchodních podmínek nebo jiné dohody v rozporu s touto Smlouvou, má tato Smlouva ve všech otázkách týkajících se zpracování Údajů Zákazníka přednost; vlastní obchodní podmínky Zákazníka se nepoužijí. Změny a doplňky této Smlouvy v jednotlivém případě vyžadují textovou podobu a musí na ni výslovně odkazovat; stávají se součástí této Smlouvy a v rozsahu svých ustanovení mají před ní přednost. Je-li tato Smlouva v rozporu s kogentními ustanoveními GDPR, mají tato ustanovení přednost.

(2) Změny. Tuto Smlouvu měníme pouze z některého z těchto objektivních důvodů: změna právních předpisů nebo jejich výkladu soudy a orgány, včetně nových standardních smluvních doložek Evropské komise; změna Služby, jejích funkcí nebo její technické základny; změna u třetí strany nezbytná pro poskytování Služby; předcházení zneužití nebo bezpečnostním rizikům; nebo oprava chyb a nejasností. Změny oznamujeme s uvedením změněného znění, důvodu a plánovaného data nejméně 30 dní předem e-mailem na adresu držitele účtu a v přehledu změn. Bez této lhůty měníme pouze to, co je výhradně ve prospěch Zákazníka, má čistě jazykovou povahu nebo opravuje zjevné chyby, co zákon, soud nebo orgán vyžaduje v kratší lhůtě a co je nezbytné k odvrácení bezprostředního bezpečnostního rizika; i v těchto případech změnu sdělíme co nejdříve a uvedeme důvod. Mlčení neznamená souhlas. Vyžaduje-li změna souhlas Zákazníka, získáme jej výslovně; bez něj platí nadále dosavadní znění a zákonná i smluvní práva na výpověď zůstávají zachována. Zákazník může proti ohlášené změně vznést námitku v textové podobě až do nabytí její účinnosti; důsledky se řídí ustanoveními Obchodních podmínek o námitkách proti změně. Změny příloh 2 a 3 se řídí § 8 odst. 3 a § 9 odst. 2 a 3. Všechna znění jsou zaznamenána v přehledu Změny smluvních dokumentů.

(3) Rozhodné právo a místo soudní příslušnosti. Použije se právo určené Obchodními podmínkami; kogentní ustanovení GDPR zůstávají nedotčena. Místo soudní příslušnosti se řídí Obchodními podmínkami.

(4) Jazyk. Smlouva je k dispozici ve všech úředních jazycích Evropské unie. V případě rozporů má přednost polské znění.

(5) Je-li některé ustanovení neplatné, zbytek Smlouvy zůstává platný. Neplatné ustanovení se nahrazuje zákonným ustanovením, které se nejvíce blíží jeho účelu; v případě pochybností ustanovením, které splňuje požadavky čl. 28 odst. 3 GDPR.

Příloha 1 – Zpracování jménem Zákazníka

Tato příloha popisuje pro každou funkci předmět, povahu a účel zpracování, typ osobních údajů, kategorie subjektů údajů a výmaz (čl. 28 odst. 3 první věta GDPR). Není-li uvedeno jinak, povaha zpracování je: shromažďování, uložení, vyhledání, srovnání, předání do cílů určených Zákazníkem a výmaz. Místem zpracování jsou naše vlastní servery v Polsku; je-li zapojen další zpracovatel, je to uvedeno. Lhůty ve složených závorkách jsou nastavení, podle nichž noční běh mazání skutečně pracuje. Doba trvání zpracování je doba trvání této Smlouvy (§ 3); v jejím rámci platí lhůty pro výmaz uvedené u každé funkce. Zpracování probíhá průběžně, dokud Zákazník funkci využívá. Zvláštní kategorie osobních údajů nejsou předmětem zpracování; pokud se přesto do Služby dostanou prostřednictvím e-mailů z formulářů, platí § 6 odst. 4.

1. Kontrola doručení

Účel: kontrola, zda e-maily z formuláře Zákazníka dorazí a zda jsou pravé (SPF, DKIM, DMARC).

Jak to funguje: funkce je volitelná. Zákazník do svého formuláře zadá adresu kontrolní schránky jako skrytou kopii (Bcc). V důsledku toho je nám zasílána kopie každého e-mailu z formuláře, nejen kopie našich testovacích odeslání, ale i kopie skutečných dotazů jeho návštěvníků. Automatické načítání přečte přes IMAP hlavičky a nejvýše prvních 8 KB textu, přiřadí e-mail k doméně a případně k testovacímu odeslání a zkontroluje znaky pravosti. Po úspěšném zpracování se e-mail ze schránky smaže. V případě chyby načtení nebo mazání může ve schránce zůstat až do dalšího úspěšného běhu.

Údaje: obsah a hlavičky e-mailů z formulářů se vším, co návštěvníci zadají, například jménem, e-mailovou adresou, telefonním číslem a zprávou, a dále adresy odesílatele a příjemce a technické informace o zapojených poštovních serverech.

Subjekty údajů: návštěvníci webu Zákazníka, kteří formulář odešlou; příjemci e-mailů z formulářů u Zákazníka.

Uložení a výmaz: v databázi se ukládá pouze čas, přiřazení k doméně, případně identifikátor testovacího odeslání a výsledky kontroly pravosti. Čas a přiřazení se uchovávají 180 dní; nejnovější výsledek kontroly pravosti se uchovává u domény, dokud jej nenahradí další e-mail nebo dokud není doména smazána. Výsledek kontroly pravosti obsahuje IP adresu doručujícího poštovního serveru a doménu adresy odesílatele; upozornění tuto doménu uvádí pouze tehdy, nepatří-li k webu. Obsah a úplné adresy odesílatelů z řad návštěvníků se do databáze neukládají. Samotný e-mail se ze schránky smaže po úspěšném zpracování, v případě chyby načtení nebo mazání se zpožděním.

Zapojeni: poskytovatel e-mailové služby (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) pro schránku; kopie k němu dorazí přímo prostřednictvím MX záznamů naší domény, nikoli přeposíláním, viz Další zpracovatelé.

Omezení: shoda potvrzuje pouze to, že příslušná kopie dorazila do kontrolní schránky, nikoli přijetí skutečným příjemcem nebo zápis do CRM. Bez kontrolní schránky není funkce k dispozici. Kopie by neměly obsahovat žádné zvláštní kategorie osobních údajů (§ 6 odst. 4).

2. Klientský portál a měsíční zpráva pro odběratele

Účel: zasílání měsíční zprávy o formulářích webu jménem Zákazníka, typicky agentury jejím vlastním klientům, a poskytování portálu s těmito zprávami.

Údaje: e-mailová adresa, jazyk, čas a IP adresa přihlášení k odběru, čas potvrzení (double opt-in) a odhlášení; obsah zprávy (doména, výsledky kontrol, čísla).

Subjekty údajů: klienti a kontaktní osoby Zákazníka, kteří se k odběru zprávy přihlásí.

Výmaz: nepotvrzená přihlášení k odběru po 30 dnech. Po odhlášení se záznam o přihlášení, potvrzení a odhlášení uchovává tři roky, aby Zákazník mohl prokázat souhlas. Vše se smaže nejpozději spolu s pracovním prostorem; samotné zrušení portálu jeho odběratele nesmaže.

Zapojeni: poskytovatel e-mailové služby (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) pro odesílání.

3. Upozornění, zprávy a incidenty

Účel: doručování upozornění, přehledů a zpráv do cílů, které Zákazník nastaví, a správa incidentů.

Údaje: e-mailové adresy, adresy webhooků a chatovacích kanálů, ID chatu v Telegramu poté, co jej příjemce propojil; obsah oznámení (doména, událost, čas, odkaz do Služby, u upozornění z kontrol odkaz na zprávu, přes který jsou výsledky a snímky obrazovky dostupné bez přihlášení; Telegram místo odkazu na zprávu obdrží pouze odkaz na stránku domény v účtu, který vyžaduje přihlášení); protokol odeslání; pokusy o doručení eskalace pro každý incident a cíl (počet, časy, výsledek, chyba); jméno nebo e-mailová adresa osoby, která incident potvrdí, a odpovědná osoba s termínem.

Subjekty údajů: zaměstnanci a poskytovatelé služeb Zákazníka, kteří dostávají upozornění nebo řeší incidenty.

Výmaz: cíle, dokud je Zákazník neodebere nebo nesmaže doménu; protokol odeslání po 90 dnech; shromážděná oznámení 30 dní po odeslání; incidenty po dobu, kdy nejsou vyřešeny, a 180 dní po vyřešení, spolu s jejich pokusy o doručení eskalace.

Zapojeni: poskytovatel e-mailové služby (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) pro e-maily; pro chatovací služby a webhooky poskytovatelé zvolení Zákazníkem (§ 9 odst. 6).

4. Kontrola webů Zákazníka: osoby, které jsou náhodně viditelné

Účel: kontrola a monitorování formulářů a jejich ochrany na doménách Zákazníka, u nichž prokázal kontrolu nad doménou. Dokud u domény prokázání chybí, kontrolujeme ji pouze pasivně a za tyto kontroly jsme správcem sami; to popisují Zásady ochrany osobních údajů.

Údaje: kontrola čte veřejné stránky domény: adresy stránek, strukturu formulářů (názvy polí, typy, popisky, atributy povinnosti a viditelnosti, žádné hodnoty; začátky předvyplněných skrytých polí a datových atributů skener čte pouze během kontroly a neukládá je), vložené skripty, ochranná opatření. Pořizuje snímky obrazovky viditelné oblasti domovské stránky a formulářů a při aktivních testovacích odesláních také stránky s odpovědí; nejsou začerněny. Tyto snímky a přečtený obsah stránek mohou obsahovat osobní údaje, které Zákazník sám zveřejňuje, například jména a kontaktní údaje kontaktních osob, fotografie nebo recenze. Adresy příjemců formulářů ukládáme pouze jako doménu. Pro každou kontrolu Služba vytvoří zprávu pod náhodným odkazem, přes který jsou výsledky a snímky obrazovky dostupné bez přihlášení, dokud není kontrola smazána; odkaz se zobrazuje v účtu a v upozorněních (bod 3). Kdo odkaz předá dál, předává dál i zprávu.

Subjekty údajů: osoby, jejichž údaje jsou viditelné na webu Zákazníka.

Výmaz: výsledky kontrol včetně snímků obrazovky nejdéle po dobu 13 měsíců; nejnovější kontrola se uchovává, dokud je doména v účtu. Při odebrání domény se smažou údaje domény včetně kontrol, zjištění a snímků obrazovky.

Poznámka: jazykový model na našem vlastním serveru pomáhá klasifikovat formuláře, jejichž účel samotná pravidla nedokážou rozpoznat. Takto klasifikované formuláře se nikdy neodesílají a nezapočítávají se do skóre ani do verdiktu. Aktivní testovací odeslání (nejvýše pět na kontrolu) obsahují pouze označené testovací texty bez osobních údajů.

5. Přihlašovací údaje testovacího účtu pro kontrolu za přihlášením

Účel: čtení formulářů na až pěti stránkách za přihlášením určených Zákazníkem. Pouze u ověřených domén, pouze vlastníky a administrátory pracovního prostoru, pouze v placených tarifech. Testovací účet se používá pouze při úplné kontrole, nikoli při kontrolách v prohlížeči (bod 6).

Údaje: přihlašovací adresa, uživatelské jméno a heslo testovacího účtu, informace o přihlašovacích polích; cokoli, co je tomuto účtu na čtených stránkách viditelné, pokud se to týká struktury formulářů.

Subjekty údajů: osoba, na jejíž jméno je testovací účet veden, je-li přiřazen osobě; osoby, jejichž údaje jsou v testovacím účtu viditelné.

Ochrana: uživatelské jméno a heslo se na webovém serveru šifrují veřejným klíčem skenovacího serveru a jsou vázány na doménu. Dešifrovat je může pouze skenovací server, a to během kontroly; webový server, databáze a zálohy obsahují pouze šifrový text. Přihlašovací údaje se nikdy nezobrazují, nikdy neprotokolují a nikdy nevydávají přes rozhraní; uživatelské rozhraní ukazuje pouze první znak a délku uživatelského jména. Za přihlášením se nic neodesílá, neprovádí se žádný aktivní test a nepořizuje se žádný snímek obrazovky; stránky pro odhlášení, smazání nebo zrušení se nenavštěvují.

Výmaz: dokud Zákazník přihlašovací údaje neodebere nebo nesmaže doménu; odebrání přepíše šifrový text a vyčistí čekající úlohy. Kopie připojená k jednotlivé úloze kontroly se po běhu vymaže, případné zbytky nejpozději po jedné hodině.

6. Průchody formuláři a kontroly v prohlížeči

Účel: opakované kontroly, zda nastavené formuláře fungují ve skutečném prohlížeči až do okamžiku před odesláním.

Údaje: adresy formulářů, selektory, předcházející kliknutí a kroky kontroly, volba prohlížeče, odpovědná osoba a termín; výsledky se stavem, technickými kategoriemi chyb, očištěnými chybovými hlášeními, časy a snímkem obrazovky formuláře, na němž jsou vstupní pole zakryta. Vztah k osobě vzniká především prostřednictvím odpovědné osoby a obsahu, který Zákazník sám zapíše do kroků nebo popisků.

Subjekty údajů: zaměstnanci Zákazníka, jimž jsou formuláře přiřazeny.

Výmaz: konfigurace do smazání domény; Zákazník je může jednotlivě měnit nebo vypínat, v současnosti je však nemůže jednotlivě odebrat. Výsledky po 13 měsících.

Omezení: kontroly v prohlížeči nic neodesílají. Nezávislá druhá sonda je ve Službě předvídána, v současnosti však není zřízena; bez ní neexistuje potvrzení z druhého umístění. Bude-li zřízena u třetí strany, platí § 9.

7. „Fix it for me“

Účel: vložení ochranné komponenty do kódu formuláře, který Zákazník vloží.

Údaje: vložený kód, pokud obsahuje osobní údaje, například v komentářích, ukázkových hodnotách nebo pevně zapsaných adresách.

Subjekty údajů: osoby, jejichž údaje se v kódu vyskytují.

Zpracování a výmaz: komponentu vkládá jazykový model na našem vlastním serveru. Kód se zpracovává pouze po dobu trvání požadavku a neukládá se. Služba pracuje bez přihlašovacích údajů k systémům Zákazníka a na jeho servery nic neinstaluje.

8. Vlastní branding (white-label)

Účel: zobrazení značky Zákazníka ve zprávách a v klientském portálu.

Údaje: název společnosti, web, kontaktní údaje a logo, případně jméno a kontaktní údaje kontaktní osoby.

Subjekty údajů: kontaktní osoby Zákazníka.

Výmaz: dokud Zákazník údaje nezmění nebo nesmaže, nejpozději spolu s pracovním prostorem.

9. Doplňková čísla bez vztahu k osobě

Volitelná čísla o chybách formulářů a polí z rozšíření pro WordPress neobsahují žádné zadané hodnoty, názvy polí ani identifikátory návštěvníků a uchovávají se 13 měsíců. Záznamník průchodů formuláři uchovává kroky v prohlížeči Zákazníka nejdéle 15 minut; místní denní počítadla zůstávají na jeho webu nejdéle 14 dní. Uvádíme je zde pro úplnost obrazu; vzhledem ke své konstrukci nejsou Údaji Zákazníka.

10. Ochrana formulářů (formconfirmed)

Tento bod platí pouze tehdy, zapne-li Zákazník ochranu formulářů (obchodní podmínky, bod 5.7).

Účel: hodnocení odeslání prostřednictvím formulářů na webech Zákazníka za účelem rozpoznání automatizovaných odeslání.

Jak to funguje: Při otevření stránky s chráněným formulářem si skript v prohlížeči návštěvníka vyžádá z našeho serveru podepsanou úlohu a vyřeší ji (výpočetní důkaz). Při odeslání předloží server Zákazníka výsledek našemu kontrolnímu rozhraní. Ověřujeme podpis, stáří, jednorázové použití a doménu kontrolního tokenu a další signály, jako je doba vyplňování, neviditelné pole-past a opakované požadavky ze stejné zkrácené adresy. Zapne-li Zákazník kontrolu obsahu, vyhodnotí jazykový model text zprávy, který server Zákazníka zašle spolu s požadavkem. Vrací se skóre s doporučenou akcí a důvody; o tom, co se s odesláním stane, rozhoduje Zákazník. Nepoužívají se žádné cookies, žádné ukládání v prohlížeči ani otisk zařízení.

Údaje: IP adresa návštěvníka při vyžádání úlohy a při kontrole, adresa a doména stránky, časové údaje a doba vyplňování, informace, zda bylo vyplněno pole-past, identifikace prohlížeče v protokolu webového serveru; pouze při zapnuté kontrole obsahu text zprávy.

Subjekty údajů: návštěvníci webů Zákazníka, kteří otevřou stránku s chráněným formulářem nebo takový formulář odešlou.

Ukládání a výmaz: IP adresa se ukládá pouze zkrácená (IPv4 bez posledního bajtu, IPv6 prvních 48 bitů) a jako hash s denně měněným klíčem, a to po dobu jedné hodiny; použité kontrolní tokeny nejvýše jedenáct minut; výsledky kontrol bez IP adresy a bez textu (akce, skóre, důvody, doména, kategorie kontroly obsahu) 30 dní; denní čísla bez vztahu k osobě 400 dní; protokol webového serveru 14 dní. Text zprávy se zpracovává pouze v operační paměti a není ukládán, protokolován ani používán k trénování.

Kde: na našich vlastních serverech v Polsku, jazykový model na vlastním hardwaru; další zpracovatelé se nepoužívají.

Příloha 2 – Technická a organizační opatření

Opatření jsou uvedena na stránce Technická a organizační opatření. Je součástí této Smlouvy ve znění zveřejněném v danou dobu; změny se řídí § 8 odst. 3.

Příloha 3 – Další zpracovatelé

Povolení další zpracovatelé jsou uvedeni na stránce Další zpracovatelé. Je součástí této Smlouvy ve znění zveřejněném v danou dobu; změny se řídí § 9 odst. 2 a 3.

Otevřené před spuštěním: zamýšleným poskytovatelem e-mailové služby je Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Smlouvu o zpracování osobních údajů použitelnou pro toto využití, skutečná místa zpracování a vhodný základ předání je ještě třeba zdokumentovat. Toto znění nepotvrzuje uzavřenou smlouvu ani certifikaci podle Data Privacy Framework.

Verze

Verze 2.2 ze dne 29. října 2026, nahrazuje verzi 2.1. Změněno: nový bod 10 v příloze 1 o ochraně formulářů formconfirmed; platí pouze tehdy, zapne-li ji Zákazník. Žádné jiné ustanovení se nemění.

Verze 2.1 ze dne 22. října 2026, nahrazuje verzi 2.0. Změněno: v případě rozporů má nyní přednost polské znění namísto německého; Smlouva je k dispozici ve všech úředních jazycích Evropské unie (jazyková doložka). Žádné jiné ustanovení se nemění.

Verze 2.0 ze dne 11. října 2026, nahrazuje znění ze dne 9. října 2026. Změněno: struktura podle čl. 28 odst. 3 GDPR s odkazem na standardní smluvní doložky 2021/915; příloha 1 úplná pro každou funkci, nově včetně přihlašovacích údajů pro kontrolu za přihlášením, průchodů formuláři a omezení kontroly doručení; technická a organizační opatření a seznam dalších zpracovatelů jsou samostatné stránky a jsou součástí Smlouvy jako přílohy 2 a 3; volba mezi vrácením a výmazem, zálohy s vypršením a opětovným provedením žádostí o výmaz, žádná pevná čekací lhůta pro naléhavé audity, odpovědnost za další zpracovatele jako za vlastní jednání.