Smlouva o zpracování osobních údajů

Příloha č. 1 Všeobecných obchodních podmínek PNH LIMITLESS s.r.o. | uzavřená podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR)

Verze: 1.0 | Účinnost od: 22. 10. 2026

čl. 1 Smluvní strany

1.1Správce: Objednatel, jak je identifikován ve Smlouvě (dále jen „Správce“).

1.2Zpracovatel: PNH LIMITLESS s.r.o., IČO: 30029805, se sídlem Příčná 1892/4, Nové Město, 110 00 Praha 1, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 456086, kontakt pro ochranu osobních údajů: [email protected] (dále jen „Zpracovatel“).

1.3Tato smlouva (dále jen „DPA“) je Přílohou č. 1 VOP a je uzavřena současně se Smlouvou. Pojmy s velkým počátečním písmenem mají význam podle VOP. Pojmy „osobní údaje“, „zpracování“, „subjekt údajů“, „porušení zabezpečení osobních údajů“ a další mají význam podle čl. 4 GDPR.

1.4Přednost dokumentů: v otázkách ochrany osobních údajů má DPA přednost před VOP a Smlouvou. Strany mohou pro konkrétní zakázku sjednat odchylky v písemné příloze ke Smlouvě.

čl. 2 Předmět a účel zpracování

2.1Zpracovatel zpracovává osobní údaje jménem Správce výhradně za účelem poskytování Služeb podle Smlouvy, v rozsahu a po dobu nezbytnou k jejich poskytnutí.

2.2Konkrétní předmět zpracování je určen Službami, které Správce objednal:

2.3Zpracovatel nezpracovává zvláštní kategorie osobních údajů podle čl. 9 GDPR ani osobní údaje týkající se rozsudků v trestních věcech podle čl. 10 GDPR, ledaže je to výslovně sjednáno v příloze ke Smlouvě s doplněním přiměřených opatření. Správce v oblasti zdravotnictví (např. stomatologie, zdravotní poradenství) je povinen Zpracovatele předem upozornit, mohou-li data ze zdravotnických webů, pixelů nebo formulářů vypovídat o zdravotním stavu, a nastavit měření tak, aby Reklamním platformám nebyla předávána data o zdravotním stavu. U Správců v oblasti zdravotnictví se dále použije Příloha C.

2.4Povaha zpracování: shromažďování, zaznamenávání, uspořádání, strukturování, uložení, přizpůsobení, vyhledání, nahlédnutí, použití, zpřístupnění Reklamním platformám na pokyn Správce, seřazení, kombinování, omezení, výmaz a zničení, a to automatizovaně i manuálně.

čl. 3 Doba trvání

3.1DPA se uzavírá na dobu trvání Smlouvy. Povinnosti, které mají z povahy věci trvat, zejména čl. 6 a čl. 11, trvají i po jejím skončení, dokud Zpracovatel osobní údaje Správce zpracovává.

čl. 4 Pokyny Správce

4.1Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce. Za doložené pokyny se považují Smlouva, VOP, tato DPA, Specifikace a pokyny udělené kontaktní osobou Správce e-mailem nebo v nástroji pro řízení projektu.

4.2Je-li Zpracovatel povinen zpracovat osobní údaje na základě práva EU nebo členského státu, informuje o tom Správce před zpracováním, ledaže to právo zakazuje.

4.3Domnívá-li se Zpracovatel, že pokyn porušuje GDPR nebo jiný předpis o ochraně osobních údajů, neprodleně to Správci oznámí a je oprávněn plnění pokynu pozastavit do jeho potvrzení nebo změny. Zpracovatel neposkytuje Správci právní poradenství a jeho upozornění nezbavuje Správce odpovědnosti.

čl. 5 Povinnosti Správce

5.1Správce odpovídá za to, že:

• (a) má ke zpracování platný právní titul podle čl. 6 GDPR a v případě cookies a obdobných technologií platný souhlas podle § 89 odst. 3 zákona č. 127/2005 Sb., resp. § 109 zákona č. 452/2021 Z. z. pro slovenské uživatele,
• (b) splnil informační povinnost vůči subjektům údajů podle čl. 13 a 14 GDPR, včetně informace o předávání dat Reklamním platformám,
• (c) má se Reklamními platformami uzavřené příslušné smluvní podmínky (např. Meta Business Tools Terms, Google Ads Data Processing Terms, LinkedIn Ads Agreement) a nastavení (např. Consent Mode v2, omezené zpracování dat),
• (d) data, která Zpracovateli předává, jsou přesná a byla získána zákonně.

5.2Vůči Reklamním platformám, e-shopovým platformám a dalším službám, u nichž má Správce vlastní Účet a smluvní vztah (zejména Meta, Google, LinkedIn, TikTok, Shopify), vystupuje Správce v roli správce a příslušná platforma v roli zpracovatele nebo samostatného či společného správce podle jejích podmínek. Tyto platformy nejsou Poddodavateli zpracování Zpracovatele. Zpracovatel v nich jedná jako uživatel s přístupem uděleným Správcem.

čl. 6 Povinnosti Zpracovatele

6.1Zpracovatel se zavazuje:

• (a) zpracovávat osobní údaje jen v souladu s čl. 4,
• (b) zajistit, aby se osoby oprávněné zpracovávat osobní údaje (zaměstnanci, spolupracovníci, Poddodavatelé) zavázaly k mlčenlivosti nebo podléhaly zákonné povinnosti mlčenlivosti, a to i po skončení spolupráce,
• (c) přijmout technická a organizační opatření podle čl. 32 GDPR uvedená v Příloze B,
• (d) dodržovat podmínky pro zapojení dalšího zpracovatele podle čl. 7,
• (e) poskytovat Správci součinnost podle čl. 8 a 9,
• (f) po skončení zpracování osobní údaje vymazat nebo vrátit podle čl. 11,
• (g) poskytnout Správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožnit audity podle čl. 10,
• (h) nepoužívat osobní údaje Správce pro vlastní účely, zejména k vlastnímu marketingu, k trénování AI modelů ani k obohacování jiných datových sad,
• (i) vést záznamy o kategoriích činností zpracování prováděných pro Správce podle čl. 30 odst. 2 GDPR.

6.2Zpracovatel nevkládá osobní údaje Správce do AI systémů, ledaže je to nezbytné pro plnění, AI systém je uveden v Příloze A a jeho poskytovatel se smluvně zavázal data nepoužívat k trénování modelů. Pro tvorbu AI kreativy (obrazy, video) Zpracovatel osobní údaje Správce nepoužívá; podobu skutečných osob zpracovává jen na základě písemného pokynu Správce, který doloží právní titul (zejména souhlas zobrazené osoby).

čl. 7 Další zpracovatelé (Poddodavatelé zpracování)

7.1Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Seznam schválených dalších zpracovatelů ke dni účinnosti tvoří Přílohu A.

7.2Zpracovatel informuje Správce o zamýšleném přidání nebo nahrazení dalšího zpracovatele e-mailem nejméně 14 dní předem. Správce může proti změně vznést z oprávněných důvodů týkajících se ochrany osobních údajů námitku e-mailem do 14 dní od oznámení. Nedohodnou-li se strany na řešení do 30 dní od námitky, může kterákoli strana vypovědět dotčenou Službu s výpovědní dobou 1 měsíc; do té doby Zpracovatel nového dalšího zpracovatele pro data Správce nepoužije, je-li to technicky možné.

7.3Zpracovatel uloží každému dalšímu zpracovateli smluvně stejné povinnosti na ochranu osobních údajů, jaké stanoví tato DPA, zejména povinnost poskytnout dostatečné záruky přijetí technických a organizačních opatření. Za plnění povinností dalšího zpracovatele odpovídá Zpracovatel Správci, jako by jednal sám.

7.4V naléhavých případech (zejména výpadek nebo bezpečnostní incident stávajícího dalšího zpracovatele) může Zpracovatel nahradit dalšího zpracovatele ihned a Správce dodatečně informuje; právo námitky podle čl. 7.2 zůstává zachováno.

čl. 8 Součinnost při výkonu práv subjektů údajů

8.1Zpracovatel s ohledem na povahu zpracování poskytne Správci technickými a organizačními opatřeními součinnost pro splnění povinnosti Správce reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR.

8.2Obdrží-li Zpracovatel žádost subjektu údajů, který se týká zpracování pro Správce, postoupí ji Správci do 3 Pracovních dnů a sám na ni věcně neodpoví, ledaže jej k tomu Správce pověří.

8.3Součinnost v rozsahu přesahujícím 2 hodiny měsíčně je Zpracovatel oprávněn účtovat Hodinovou sazbou, ledaže žádost vznikla v důsledku porušení povinností Zpracovatele.

čl. 9 Bezpečnost a porušení zabezpečení

9.1Zpracovatel pomáhá Správci zajistit soulad s povinnostmi podle čl. 32 až 36 GDPR, a to s ohledem na povahu zpracování a informace, které má k dispozici, včetně součinnosti při posouzení vlivu na ochranu osobních údajů a předchozí konzultaci.

9.2Zjistí-li Zpracovatel porušení zabezpečení osobních údajů zpracovávaných pro Správce, ohlásí je Správci bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, na e-mail kontaktní osoby Správce.

9.3Ohlášení obsahuje, je-li to v daném okamžiku možné: popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů údajů a záznamů, kontaktní osobu, popis pravděpodobných důsledků a popis přijatých nebo navrhovaných opatření. Informace, které nejsou k dispozici, Zpracovatel doplní postupně bez zbytečného odkladu.

9.4Zpracovatel neprodleně přijme přiměřená opatření k omezení následků porušení a dokumentuje všechna porušení. Oznámení dozorovému úřadu a subjektům údajů činí Správce; Zpracovatel je bez pokynu Správce nečiní, ledaže mu to ukládá právní předpis.

čl. 10 Audity a kontrola

10.1Zpracovatel poskytne Správci na jeho žádost do 15 Pracovních dnů informace potřebné k doložení splnění povinností podle čl. 28 GDPR, zejména vyplněný bezpečnostní dotazník, popis opatření a seznam dalších zpracovatelů.

10.2Nepostačují-li informace podle čl. 10.1, může Správce provést audit, a to sám nebo prostřednictvím nezávislého auditora vázaného mlčenlivostí, který není konkurentem Zpracovatele, nejvýše jednou za 12 měsíců (mimo případy porušení zabezpečení nebo kontroly dozorového úřadu), po oznámení nejméně 30 dní předem, v běžné pracovní době a bez narušení provozu Zpracovatele a bez přístupu k datům jiných zákazníků.

10.3Náklady auditu nese Správce, včetně času Zpracovatele účtovaného Hodinovou sazbou, ledaže audit prokáže podstatné porušení DPA Zpracovatelem.

10.4Audit u dalších zpracovatelů (zejména poskytovatelů cloudu) se provádí prostřednictvím jejich certifikací a auditních zpráv (např. ISO/IEC 27001, SOC 2), které Zpracovatel Správci na vyžádání zpřístupní v rozsahu, v jakém je to možné.

čl. 11 Výmaz a vrácení osobních údajů

11.1Po skončení poskytování Služeb, které zahrnují zpracování, Zpracovatel podle volby Správce sdělené e-mailem do 15 dní od skončení osobní údaje vrátí ve strukturovaném, běžně používaném a strojově čitelném formátu, nebo je vymaže. Neučiní-li Správce volbu, Zpracovatel data po uplynutí 30 dní od skončení Služeb vymaže.

11.2Osobní údaje v zálohách budou vymazány v rámci běžného cyklu rotace záloh, nejpozději do 90 dní od skončení Služeb. Do výmazu jsou zálohy chráněny podle Přílohy B a nejsou aktivně zpracovávány.

11.3Zpracovatel je oprávněn uchovat osobní údaje jen v rozsahu, v jakém mu to ukládá právo EU nebo členského státu.

11.4Zpracovatel na žádost Správce potvrdí výmaz e-mailem.

čl. 12 Předávání do třetích zemí

12.1Zpracovatel zpracovává osobní údaje přednostně v Evropském hospodářském prostoru (EHP). Předání do třetí země nebo mezinárodní organizaci provede jen na základě pokynu Správce, kterým je i zapojení dalšího zpracovatele uvedeného v Příloze A, a za podmínek kapitoly V GDPR (čl. 44 až 49).

12.2Předání se uskutečňuje na základě:

• (a) rozhodnutí Komise o odpovídající ochraně (čl. 45 GDPR), zejména rámce EU-U.S. Data Privacy Framework u příjemců v USA, kteří jsou do něj certifikováni, nebo
• (b) standardních smluvních doložek přijatých prováděcím rozhodnutím Komise (EU) 2021/914 (čl. 46 odst. 2 písm. c) GDPR), doplněných posouzením dopadu předání a doplňkovými opatřeními, je-li jich třeba.

12.3Zpracovatel na žádost Správce zpřístupní informace o mechanismu předání u jednotlivých dalších zpracovatelů.

čl. 13 Odpovědnost

13.1Každá strana odpovídá za škodu způsobenou porušením povinností podle GDPR a DPA v rozsahu čl. 82 GDPR. Ve vztahu mezi stranami se použije omezení odpovědnosti podle čl. 19 VOP, s výjimkou škody způsobené úmyslně nebo z hrubé nedbalosti a pokut, které byly uloženy dozorovým úřadem v důsledku porušení povinností výlučně druhou stranou.

13.2Za porušení povinností Správce podle čl. 5 odpovídá výlučně Správce a odškodní Zpracovatele za nároky třetích osob a sankce vzniklé v jeho důsledku.

čl. 14 Závěrečná ustanovení

14.1DPA se řídí právem České republiky, GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů. Spory se řeší podle čl. 27 VOP.

14.2Změny DPA, s výjimkou aktualizace Přílohy A podle čl. 7, se provádějí postupem podle čl. 26 VOP. Zpracovatel je oprávněn DPA změnit bez souhlasu Správce, je-li to nezbytné ke splnění požadavků právních předpisů nebo rozhodnutí dozorového úřadu.

14.3Kontakt pro záležitosti ochrany osobních údajů: [email protected], tel. +420 722 221 445.

Příloha A: Seznam schválených dalších zpracovatelů

Nástroje pro generování AI kreativy (např. Higgsfield, Kling AI) a pro správu sociálních sítí (Buffer) Zpracovatel nepoužívá ke zpracování osobních údajů Správce. Reklamní platformy a Shopify nejsou dalšími zpracovateli podle čl. 5.2. E-shop Správce na platformě Shopify provozuje Správce na svém vlastním účtu.

Příloha B: Technická a organizační opatření (čl. 32 GDPR)

Řízení přístupu

• přístup k osobním údajům jen pro osoby, které je potřebují k plnění (princip nejnižších oprávnění), přidělování a odebírání oprávnění bez zbytečného odkladu při změně role nebo ukončení spolupráce,
• jedinečné uživatelské účty, povinné dvoufázové ověření u e-mailu, repozitářů, cloudových služeb a Účtů Reklamních platforem,
• přístup k Účtům Správce výhradně přes delegované role (Business Manager, MCC, Collaborator), nikoli sdílením hesel; hesla jsou uložena ve správci hesel,
• čtvrtletní revize přístupových práv.

Šifrování a pseudonymizace

• šifrování přenosu (TLS 1.2 a vyšší) u všech webových služeb a API,
• šifrování dat v klidu u cloudových úložišť a šifrování disků pracovních zařízení,
• hašování (SHA-256) kontaktních údajů před nahráním vlastních publik do Reklamních platforem, je-li to platformou podporováno.

Bezpečnost infrastruktury a aplikací

• serverová infrastruktura v datových centrech v EU s certifikací ISO/IEC 27001,
• firewall, omezení administrátorského přístupu na SSH klíče, pravidelné aktualizace operačního systému a závislostí,
• oddělení vývojového, testovacího a produkčního prostředí, testování na anonymizovaných nebo syntetických datech, je-li to proveditelné,
• logování přístupů a administrátorských operací, uchování logů 90 dní,
• revize kódu a kontrola závislostí na známé zranitelnosti.

Dostupnost a obnova

• denní zálohy produkčních databází s uchováním 30 dní, uložené odděleně od produkčního prostředí,
• ověření obnovy ze zálohy nejméně jednou za 6 měsíců,
• monitoring dostupnosti služeb.

Organizační opatření

• smluvní závazky mlčenlivosti všech zaměstnanců a spolupracovníků,
• proškolení osob s přístupem k osobním údajům a k AI systémům (včetně gramotnosti v oblasti AI podle čl. 4 AI Act) při nástupu a jednou ročně,
• zabezpečení pracovních zařízení (šifrování, zámek obrazovky, aktuální operační systém, antivirus),
• postup řešení bezpečnostních incidentů s eskalací a evidencí porušení zabezpečení,
• prověření dalších zpracovatelů před zapojením a uzavření smlouvy podle čl. 28 GDPR,
• výmaz dat po skončení zakázky podle čl. 11 DPA.

Příloha C: Zvláštní podmínky pro Správce v oblasti zdravotnictví

C.1Tato příloha se použije, je-li Správce poskytovatelem zdravotních služeb nebo služeb souvisejících se zdravím (zejména stomatologie, lékařské konzultace a druhé názory, laboratoře, lékárny, wellness s léčebným zaměřením) nebo zpracovává-li Zpracovatel pro Správce údaje, z nichž lze usuzovat na zdravotní stav osob.

C.2Měření a reklama. Zpracovatel nastaví měření a reklamní nástroje tak, aby Reklamním platformám nebyly předávány údaje o zdravotním stavu, zejména:

• adresy URL, názvy stránek a parametry událostí nesmí obsahovat název diagnózy, výkonu, léčby nebo lékaře, pokud by z nich bylo možné usuzovat na zdravotní stav konkrétní osoby; Zpracovatel použije obecné názvy událostí (např. „odeslaný formulář“, „rezervace termínu“),
• obsah formulářů, zpráv a dotazníků se do Reklamních platforem nepředává,
• v Meta se použijí nastavení a omezení pro kategorii zdraví a wellness, v Google Ads pravidla pro reklamu ve zdravotnictví a personalizovanou reklamu,
• záznamy relací (Microsoft Clarity) se na stránkách s formuláři a v rezervačních systémech vypnou nebo se obsah plně maskuje.

C.3Vlastní publika. Seznamy pacientů nebo klientů Správce se do Reklamních platforem nahrávají jen na písemný pokyn Správce, který doloží výslovný souhlas dotčených osob podle čl. 9 odst. 2 písm. a) GDPR a čl. 6 odst. 1 písm. a) GDPR. Bez takového souhlasu Zpracovatel vlastní publika ze seznamů pacientů nevytváří.

C.4Formuláře a rezervace. Formuláře, které mohou obsahovat údaje o zdravotním stavu, Zpracovatel navrhne tak, aby se data ukládala v EHP, byla šifrována při přenosu i v klidu a byla přístupná jen osobám určeným Správcem. Údaje o zdravotním stavu se nevkládají do AI systémů, ledaže to Správce písemně pokyne a doloží právní základ.

C.5Posouzení vlivu. Zpracovatel poskytne Správci součinnost při posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR, zejména popis datových toků mezi webem, měřicími nástroji a Reklamními platformami.

C.6Odpovědnost. Správce odpovídá za právní základ zpracování údajů o zdravotním stavu a za informování pacientů. Zpracovatel odpovídá za to, že nastavení podle čl. C.2 až C.4 provede a udržuje v souladu s pokyny Správce.