Smlouva o zpracování osobních údajů
Účinné od 5. prosince 2026. Verze 1.0.
Podle čl. 28 nařízení (EU) 2016/679 (GDPR), verze 1.0. Smlouva je součástí obchodních podmínek Porticanu a klient ji přijímá registrací obchodu. Na požádání pošleme klientovi podepsané vyhotovení.
Účinnost a změny. Tato verze je účinná uplynutím 30 dnů od odeslání oznámení klientům e-mailem. Pro klienta, který se zaregistruje později, je účinná dnem registrace. Každou další změnu oznámíme klientům e-mailem a je účinná uplynutím 30 dnů od odeslání oznámení. Klient, který se změnou nesouhlasí, může smlouvu ukončit ke dni její účinnosti.
1. Strany
Správce: klient Porticanu, který provozuje obchod (dále „klient“), podle údajů zadaných při registraci.
Zpracovatel: Nydrok LLC, 1209 Mountain Road Pl NE, Ste R, Albuquerque, NM 87110, USA, EIN 36-5152970. Zástupce v EU podle čl. 27 GDPR: Matúš Mikčo, Duplín 119, 091 01 Stropkov, Slovenská republika, matus@portican.com.
2. Předmět, povaha a účel
Zpracovatel zpracovává osobní údaje zákazníků klienta výhradně proto, aby klientovi provozoval obchod Portican: zobrazení obchodu, přijímání a vyřizování objednávek, zákaznické účty, komunikaci se zákazníky, dopravu, doklady, zálohování, podporu a asistenta v administraci. Zpracovává jen v rozsahu funkcí, které si klient zapnul.
3. Rozsah
| Subjekty údajů | zákazníci a zájemci obchodu klienta, příjemci zásilek, obsluha obchodu a partneři s přístupem do administrace |
|---|---|
| Kategorie údajů | jméno, kontaktní údaje, fakturační a dodací adresy, objednávky, stav plateb (bez údajů platebních karet), komunikace, přihlašovací a technické údaje |
| Zvláštní kategorie (čl. 9) | klient je do obchodu nevkládá; pokud je potřebuje zpracovávat (například u zdravotnického sortimentu), předem to oznámí a strany se dohodnou na doplňkových opatřeních |
| Doba trvání | po dobu trvání smlouvy a lhůt podle čl. 11 obchodních podmínek |
4. Práva a povinnosti klienta
Klient odpovídá za zákonnost zpracování a za pokyny, které dává. Má právo dávat pokyny, kontrolovat plnění této smlouvy a vznést námitku proti zapojení dalších zpracovatelů podle článku 6.
5. Povinnosti zpracovatele
Zpracovatel:
- zpracovává údaje jen na základě doložených pokynů klienta, a to i při přenosu do třetí země, ledaže mu zpracování ukládá právo Unie nebo členského státu; v takovém případě o tomto požadavku informuje klienta před zpracováním, pokud to toto právo nezakazuje z důležitých důvodů veřejného zájmu. Pokynem jsou tyto podmínky, nastavení obchodu a písemné pokyny klienta. Pokud by pokyn podle něj porušoval právo, bezodkladně na to klienta upozorní;
- zavazuje mlčenlivostí každou osobu, která má k údajům přístup;
- přijímá technická a organizační opatření podle přílohy 1;
- zapojuje další zpracovatele jen podle článku 6;
- pomáhá klientovi plnit povinnosti vůči subjektům údajů podle kapitoly III GDPR (přístup, oprava, výmaz, omezení zpracování, přenositelnost, námitka), a to funkcemi administrace a exportem;
- pomáhá klientovi při zabezpečení, ohlašování porušení zabezpečení osobních údajů, posouzení vlivu a předchozí konzultaci;
- porušení zabezpečení osobních údajů ohlásí klientovi bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s informacemi, které má k dispozici;
- po skončení smlouvy podle volby klienta údaje vymaže, nebo mu je vrátí exportem a poté vymaže, včetně existujících kopií. Lhůty jsou v čl. 11 obchodních podmínek: klient má po skončení smlouvy 90 dnů přístup do administrace s možností exportu, poté se údaje uchovávají ještě 90 dnů bez jeho přístupu a poté se vymažou. Kopie v zálohách zaniknou nejpozději 90 dnů po vymazání. Vymazání se netýká údajů, které musí zpracovatel uchovat podle práva Unie nebo členského státu, zejména dokladů a účetních záznamů;
- poskytne klientovi informace potřebné k doložení souladu a umožní audit včetně kontroly. Audit může provést klient nebo jím pověřený auditor vázaný mlčenlivostí. Provádí se nejprve písemným dotazníkem; prohlídku na místě klient oznámí alespoň 30 dnů předem a hradí ji sám, pokud neodhalí porušení.
6. Další zpracovatelé
Klient dává obecné povolení k zapojení dalších zpracovatelů uvedených v příloze 2. O záměru přidat nebo vyměnit zpracovatele informuje zpracovatel klienta e-mailem alespoň 30 dnů předem. To platí i pro nového poskytovatele jazykového modelu pro asistenta a ostatní nástroje v administraci. Klient může do 14 dnů vznést námitku; pokud se nedohodnou, klient může smlouvu ukončit bez sankce ke dni změny.
Nydrok LLC je povinna mít s každým dalším zpracovatelem, kterému zpřístupňuje osobní údaje zákazníků klienta, smlouvu, která mu ukládá tytéž povinnosti ochrany údajů v rozsahu čl. 28 odst. 4 GDPR, a za její plnění odpovídá klientovi. Nástroje fal.ai uvedené v příloze 2 nejsou určené ke zpracování osobních údajů zákazníků.
7. Přenos mimo Evropskou unii
Server a databáze obchodů jsou v Evropské unii (netcup, Vídeň, Rakousko). Obrázky, soukromé soubory, exporty a kopie záloh ukládá Cloudflare v úložišti R2 (příloha 2). Zpracovatel sídlí v USA a správce platformy přistupuje ke službě na dálku i ze zemí mimo EHP (příloha 2). Jde proto o přenos údajů do třetí země.
- Na přenos od klienta ke zpracovateli se uplatňují standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914, modul 2 (správce zpracovateli), jako vhodná záruka podle čl. 46 odst. 2 písm. c) GDPR. Klient je vývozce, Nydrok LLC dovozce a zpracovatel. Doložky jsou do této smlouvy začleněny odkazem s těmito volbami: doložka 7 (přistoupení) se použije; doložka 9 písm. a) možnost 2 (obecné povolení, oznámení 30 dnů předem); doložka 11 bez nezávislého orgánu pro řešení sporů; doložka 13: příslušný je dozorový úřad členského státu, ve kterém je klient usazen (příloha I.C); doložka 17 možnost 1, právo Slovenské republiky; doložka 18 soudy Slovenské republiky. Přílohy doložek tvoří články 1 až 3 a přílohy 1 a 2 této smlouvy.
- Přenos k dalším zpracovatelům mimo EHP zajišťuje Nydrok LLC certifikací dodavatele v EU-US Data Privacy Framework (prováděcí rozhodnutí Komise (EU) 2023/1795), standardními smluvními doložkami ve smlouvě s dodavatelem, nebo rozhodnutím Komise o odpovídající ochraně v zemi dodavatele.
- Pokud by doložky, rámec nebo rozhodnutí o odpovídající ochraně přestaly platit, zpracovatel bez odkladu přejde na jiný nástroj podle kapitoly V GDPR a klienta o tom informuje.
8. Rozhodné právo
Tato smlouva se řídí právem Slovenské republiky. Spory rozhodují soudy Slovenské republiky.
Příloha 1: Technická a organizační opatření
| Oblast | Opatření |
|---|---|
| Umístění | server a databáze obchodů u netcup GmbH ve Vídni (Rakousko); obrázky, soukromé soubory, exporty a kopie záloh v úložišti Cloudflare R2 |
| Přenos | šifrované spojení HTTPS, ochrana před útoky přes Cloudflare |
| Zálohy | záloha každou noc, ověřená obnovením do dočasné databáze; na serveru 7 denních a 4 týdenní kopie; kopie mimo server v Cloudflare R2, kde se uchovává 90 dnů |
| Tajemství integrací | šifrování AES-256-GCM, v administraci maskovaná |
| Oddělení obchodů | každý obchod má vlastní kanál a oprávnění, export a mazání jen pro daný obchod |
| Přístup | jméno a heslo; dvoufaktorové ověření (TOTP se záložními kódy) povinné pro správce platformy, pro obsluhu obchodu volitelné nebo nařízené obchodem |
| Asistent v administraci | osobní údaje zákazníka dostane jazykový model jen po výslovném souhlasu obsluhy; souhlas se zaznamenává a platí jen pro toho, kdo souhlasil, a pro oznámené místo zpracování (v EU nebo mimo EU); v jednom rozhovoru nejvýše 20 zpřístupnění |
| Mazání | smazání obchodu spouští ručně správce platformy po uplynutí lhůt, s potvrzením vypsáním označení obchodu; doklady a účetní záznamy se uchovávají po dobu podle předpisů |
| Záznamy serveru | přístupové záznamy obchodů nejvýše 7 dnů |
| Platební karty | údaje karet zpracovává jen Stripe, Portican je nemá |
Příloha 2: Další zpracovatelé a země přístupu
| Zpracovatel | Činnost | Místo zpracování | Nástroj přenosu |
|---|---|---|---|
| netcup GmbH, Karlsruhe, Německo | server, databáze, zálohy na serveru | EU, Vídeň (Rakousko) | není potřeba |
| Cloudflare, Inc., USA | doručování webu, ochrana před útoky, úložiště R2 (obrázky, soukromé soubory, exporty obchodů, kopie záloh) | celosvětová síť; úložiště R2 podle jurisdikce nastavené u bucketů | čl. 7 bod 2 |
| Mailgun Technologies, Inc., evropská oblast | odesílání e-mailů obchodů (výchozí poskytovatel) | EU | čl. 7 bod 2 |
| Amazon Web Services, Inc. (Amazon SES) | záložní odesílání e-mailů při výpadku Mailgunu, nebo hlavní, pokud ho správce platformy přepne | oblast podle nastavení, výchozí EU (Frankfurt) | čl. 7 bod 2 |
| OpenAI OpCo, LLC, USA | asistent v administraci: rozhovor s obsluhou, obrázky a soubory, které obsluha přiloží, a po výslovném souhlasu obsluhy i jméno, e-mail, telefon a adresa zákazníka konkrétní objednávky; psaní a překlad obsahu (blog, karty zboží, překlady katalogu); čtení obrázků produktů; hlas podcastu z textu | USA | čl. 7 bod 2 |
| Features & Labels Inc. (fal.ai), USA | generování a úprava obrázků produktů a reklam, hlas podcastu z textu | USA a další země | nástroje nejsou určené pro osobní údaje (viz níže) |
| OpenStreetMap Foundation (služba Nominatim), Spojené království | převod adresy, kterou zákazník zadá v obchodě, na polohu při výpočtu ceny dopravy podle vzdálenosti; jen pokud obchod tuto funkci nastaví | Spojené království | rozhodnutí Komise o odpovídající ochraně |
Stripe zde není: platby zákazníků obchodu přijímá obchodník přes vlastní účet Stripe (platba vzniká klíčem obchodu na jeho účtu), takže Stripe je jeho smluvní partner, ne další zpracovatel Nydrok LLC. Nydrok LLC používá Stripe jen pro platby předplatného a pro výplaty provizí partnerům (Stripe Connect), což se údajů zákazníků obchodů netýká.
OpenAI a fal.ai. Zpracovávají údaje jen tehdy, když obsluha obchodu použije příslušný nástroj. Osobní údaje zákazníků může dostat jen jazykový model asistenta, a jen po výslovném souhlasu obsluhy. Asistent nejprve obsluze oznámí, že údaje půjdou na server jazykového modelu, a zda je v EU, nebo mimo EU. Až po souhlasu může modelu poslat jméno, e-mail, telefon a adresu zákazníka konkrétní objednávky. Souhlas se zaznamenává (kdo a kdy souhlasil, místo zpracování, které údaje a které objednávky) a platí jen pro toho, kdo souhlasil, a jen pro oznámené místo zpracování; při změně místa se ptá znovu. V jednom rozhovoru asistent zpřístupní údaje zákazníků nejvýše 20krát. Nástroje fal.ai jsou určené pro fotky produktů a obrázky reklam; obsluha do nich nemá vkládat údaje zákazníků ani fotky osob.
Země vzdáleného přístupu správce: USA (sídlo Nydrok LLC) a další země mimo EHP, ze kterých správce platformy dočasně přistupuje na dálku. Jejich aktuální seznam vede Nydrok LLC v záznamech o činnostech zpracování a poskytne ho klientovi před zahájením přístupu a při každé změně. Pro tyto země Nydrok LLC vypracuje písemné posouzení dopadu přenosu podle doložky 14.