Smlouva o zpracování osobních údajů
Tahle smlouva se vás týká, jakmile přes svůj web sbíráte údaje o svých zákaznících — formulářem, chatbotem, rezervacemi nebo v CRM. Vy jste jejich správce, my zpracovatel: data jsou vaše, my s nimi děláme jen to, co nám zadáte.
1. Smluvní strany
Správce: klient, který má u Arwebia web na předplatné s některým z modulů uvedených v čl. 3. Identifikační údaje správce jsou v objednávce.
Zpracovatel: David Kundrát, IČO: 29856221, se sídlem Nádražní 285, 664 41 Omice, a Oliver Plíšek, IČO: 29928966, se sídlem U Studánky 372, 664 24 Drásov, podnikající společně pod označením Arwebia, odpovědní společně a nerozdílně. Kontakt ve věcech ochrany údajů: info@arwebia.cz.
Smlouva je nedílnou součástí Všeobecných obchodních podmínek a uzavírá se spolu s objednávkou. Bez ní rezervace ani CRM nezapínáme.
2. Proč to existuje
Když přes váš web napíše zákazník chatbotovi nebo si rezervuje termín, jeho osobní údaje se uloží na naší infrastruktuře. Podle GDPR musí být písemně dané, co s nimi smíme dělat. Tohle je ten dokument.
3. Co zpracováváme a proč
| Modul | Údaje | Subjekty údajů |
|---|---|---|
| Kontaktní formulář | Jméno, e-mail, telefon, text zprávy | Zájemci a zákazníci správce |
| AI chatbot | Obsah konverzace, kontakt, který v ní návštěvník sám uvede | Návštěvníci webu správce |
| Rezervace | Jméno, e-mail, telefon, termín, objednaná služba, poznámka | Zákazníci správce |
| Zákazníci (CRM) | Jméno, kontakt, historie návštěv, poznámky, souhlas s marketingem | Zákazníci správce |
| Newsletter | E-mail, datum a zdroj souhlasu | Odběratelé správce |
Účel: provoz webu a modulů, které si správce zapnul. Nic víc. Údaje nepoužíváme pro sebe, neprodáváme je a nepoužíváme je k trénování modelů umělé inteligence.
Doba: po dobu trvání předplatného a pak 90 dnů, jak popisuje čl. 7 VOP. Nezávisle na tom mažeme průběžně to, co už k ničemu neslouží: konverzace s chatbotem po 12 měsících, vyřízené rezervace po 24 měsících a IP adresy návštěvníků po 30 dnech. Dřív, když si o to řeknete. Ze záloh data zmizí s jejich běžnou obměnou, nejpozději do 30 dnů.
4. Zvláštní kategorie údajů
Moduly nejsou stavěné na údaje o zdraví, náboženství, politických názorech a další zvláštní kategorie podle čl. 9 GDPR. Nezadávejte je do karet zákazníků. Když je potřebujete kvůli konkrétní návštěvě (třeba alergie před ošetřením), napište je do poznámky u konkrétní rezervace, ne do trvalé karty zákazníka — poznámka zanikne spolu s rezervací.
5. Naše povinnosti
- Zpracováváme údaje jen podle vašich pokynů. Pokyn dáváte tím, že modul používáte; zvláštní pokyn nám můžete kdykoli poslat e-mailem. Když by byl pokyn v rozporu s právem, řekneme to a neprovedeme ho.
- Vážeme mlčenlivostí každého, kdo se k údajům dostane, a přístup má jen ten, kdo ho ke své práci potřebuje.
- Držíme přiměřená bezpečnostní opatření podle čl. 6.
- Pomůžeme vám vyřídit žádost subjektu údajů (přístup, oprava, výmaz, přenositelnost, námitka) i splnit povinnosti podle čl. 32–36 GDPR. Vaše data vám vyexportujeme na požádání, bez příplatku a nejpozději do 30 dnů; jakmile spustíme portál, zvládnete to i sami.
- Nahlásíme vám porušení zabezpečení bez zbytečného odkladu, nejpozději do 24 hodin od chvíle, kdy se o něm dozvíme, se vším, co potřebujete k vlastnímu hlášení úřadu.
- Po skončení smlouvy údaje podle vaší volby smažeme, nebo vám je předáme a pak smažeme — vyjma toho, co musíme ze zákona uchovat.
- Na vyžádání vám doložíme, že tyhle povinnosti plníme, a umožníme audit. Audit ohlaste aspoň 14 dní předem, ať vám na něj máme čas.
6. Jak data chráníme
- Přenos šifrovaný (HTTPS/TLS), data v databázi šifrovaná i v klidu.
- Data každého klienta jsou oddělená a klient se dostane jen ke svým — vynucuje to databáze, ne jen aplikace.
- Přístup k administraci přes jméno a heslo, u našich vlastních účtů navíc druhý faktor.
- Denní zálohy, 7 dnů zpětně; obnovu zálohy umíme vyzkoušet.
- Vedeme záznamy o přístupu do administrace a o změnách v datech.
- Servery i zálohy jsou v Evropské unii (region Frankfurt).
7. Další zpracovatelé
Souhlasíte s tím, že využíváme tyto dodavatele. Máme s nimi uzavřené odpovídající smlouvy a odpovídáme vám za ně jako za sebe.
| Kdo | K čemu | Kde |
|---|---|---|
| Vercel Inc. | Provoz webu a aplikace | EU |
| Supabase Inc. | Databáze a úložiště | EU (Frankfurt) |
| Stripe Payments Europe | Platby předplatného | EU |
| Resend | Odesílání e-mailů | EU / USA |
| Google Ireland (Kalendář) | Zápis rezervací do kalendáře, pokud si ho zapnete | EU |
| Google Ireland Ltd. (modely Gemini, přes Vercel AI Gateway) | Odpovědi chatbota | EU / USA |
Kde se data dostanou mimo EU, děje se to na základě standardních smluvních doložek Evropské komise.
Změnu dodavatele vám oznámíme nejméně 30 dní předem. Můžete proti ní z vážného důvodu vznést námitku; když se nedohodneme, můžete předplatné vypovědět podle čl. 7 VOP bez sankce.
8. Co je na vás
- Mít právní důvod pro zpracování a informovat své zákazníky, jak s jejich údaji nakládáte — k tomu patří i vlastní zásady ochrany osobních údajů na vašem webu. Připravíme vám je, ale obsah je na vás.
- Sbírat souhlas s marketingem odděleně od rezervace. Rezervace není souhlas s newsletterem.
- Nedávat do systému údaje, které tam nepatří (čl. 4).
- Chránit si přístupové údaje do portálu a neposílat je dál.
9. Odpovědnost a závěr
Každá strana odpovídá za porušení svých povinností podle GDPR. Omezení odpovědnosti podle čl. 12 VOP platí i tady, s výjimkou pokut uložených dozorovým úřadem za porušení, které způsobíme my.
Smlouva trvá po dobu předplatného. Řídí se právem České republiky. Když některé ustanovení přestane platit, ostatní platí dál.
Máte k tomu otázku, nebo potřebujete smlouvu podepsanou zvlášť pro svoje složky? Napište na info@arwebia.cz a pošleme vám ji v PDF.
Související: Obchodní podmínky · Ochrana osobních údajů · Cookies