Příloha 1: Smlouva o zpracování osobních údajů (DPA)

Verze 2026-10-25 · Účinné od 25. října 2026

Rozhodným zněním je anglická verze, tento text je překlad.

Tato smlouva doplňuje Podmínky užívání služby Opener („Podmínky”) a upravuje zpracování osobních údajů podle čl. 28 nařízení (EU) 2016/679 („GDPR”). Přijímá se spolu s Podmínkami elektronicky (čl. 28 odst. 9 GDPR).

  • Správce: zákazník podle Podmínek.
  • Zpracovatel: AMG Ascenta Management Group s.r.o., IČO 07958749, Radlická 663/28, 150 00 Praha 5, zapsaná u Městského soudu v Praze, oddíl C, vložka 310525 („my”).

Pojmy mají význam podle GDPR a Podmínek.

1. Předmět, povaha a účel

1.1 Zpracováváme osobní údaje obsažené v Datech zákazníka, výhradně abychom zákazníkovi poskytovali Službu podle Podmínek: ukládání, zobrazení, vyhledávání, zpracování funkcemi AI (pokud je zákazník zapne), odesílání e-mailových připomínek uživatelům, zálohování, zabezpečení a podpora.

1.2 Podrobnosti zpracování jsou v Dodatku A.

2. Pokyny správce

2.1 Zpracováváme osobní údaje jen na doložené pokyny zákazníka. Pokyny jsou: Podmínky, tato smlouva, nastavení prostoru (například zapnutí AI, rozšíření, MCP nebo spolupráce s call týmem) a úkony uživatelů ve Službě.

2.2 Pokud by nám právo EU nebo členského státu ukládalo zpracování nad rámec pokynů, předem zákazníka informujeme, pokud to právo nezakazuje.

2.3 Když budeme mít za to, že pokyn porušuje GDPR, zákazníka na to upozorníme.

2.4 Osobní údaje nepoužíváme pro vlastní účely. Zejména je nesdružujeme napříč prostory, nepoužíváme k obohacení dat jiných zákazníků ani k trénování modelů AI. Souhrnné anonymní statistiky podle čl. 6.4 Podmínek nejsou osobními údaji a tato smlouva se na ně nevztahuje.

3. Důvěrnost

Osoby, které u nás mají k osobním údajům přístup, jsou zavázány mlčenlivostí nebo jim ji ukládá zákon. Přístup mají jen v rozsahu nezbytném pro provoz a podporu.

4. Zabezpečení

4.1 Přijímáme technická a organizační opatření podle čl. 32 GDPR popsaná v Dodatku B.

4.2 Opatření můžeme měnit, pokud se úroveň ochrany nesníží.

5. Subzpracovatelé

5.1 Zákazník nám uděluje obecné povolení zapojit subzpracovatele uvedené v Příloze 2 a další podle tohoto článku.

5.2 Záměr přidat nebo vyměnit subzpracovatele oznámíme alespoň 30 dní předem v aplikaci a e-mailem správci prostoru. Zákazník může do té doby vznést odůvodněnou námitku. Když se nedohodneme, může zákazník Smlouvu ukončit bez sankce před účinností změny.

5.3 Se subzpracovatelem uzavíráme smlouvu se stejnými povinnostmi ochrany údajů, jaké má tato smlouva. Za jeho plnění odpovídáme zákazníkovi jako za své.

5.4 Ve výjimečném případě (bezpečnost, výpadek dodavatele) můžeme subzpracovatele vyměnit hned a zákazníka informujeme bez zbytečného odkladu.

5.5 Integrace zapnuté zákazníkem (například AI aplikace připojené přes MCP uživatelem) nejsou naši subzpracovatelé. Předání dat do nich je pokyn zákazníka.

6. Předávání mimo EHP

6.1 Osobní údaje ukládáme v EU (databáze ve Frankfurtu, soubory v úložišti s jurisdikcí EU). Vektory pro hledání podle významu se počítají také ve Frankfurtu.

6.2 Někteří subzpracovatelé mohou údaje zpracovávat mimo EHP (Příloha 2 uvádí kde). Předání proběhne jen se zárukou podle kapitoly V GDPR: rozhodnutí o odpovídající ochraně (včetně rámce EU–USA Data Privacy Framework u certifikovaných příjemců) nebo standardní smluvní doložky Komise (SCC), případně s doplňujícími opatřeními.

7. Pomoc správci

7.1 Žádosti subjektů údajů: Službou poskytujeme nástroje k vyhledání, opravě, exportu a výmazu údajů o kontaktu. Když nám žádost přijde přímo, předáme ji zákazníkovi do 10 pracovních dní a sami na ni věcně neodpovídáme.

7.2 Pomáháme zákazníkovi s plněním povinností podle čl. 32 až 36 GDPR (zabezpečení, incidenty, posouzení vlivu, předchozí konzultace) v rozsahu informací, které máme. Pomoc nad běžný rozsah můžeme účtovat po předchozí dohodě.

8. Porušení zabezpečení

8.1 Porušení zabezpečení osobních údajů v Datech zákazníka oznámíme správci prostoru bez zbytečného odkladu, nejpozději do 48 hodin od chvíle, kdy jsme se o něm dozvěděli.

8.2 Oznámení obsahuje, co víme: povahu porušení, kategorie a přibližný počet dotčených osob a záznamů, pravděpodobné důsledky a přijatá opatření, a kontakt. Další informace doplňujeme průběžně.

8.3 Oznámení dozorovému úřadu a dotčeným osobám dělá zákazník jako správce, pokud se nedohodneme jinak.

9. Konec zpracování

9.1 Po skončení Smlouvy zůstávají Data zákazníka 90 dní v režimu jen čtení; zákazník je může exportovat (čl. 12.3 Podmínek). Totéž platí, když prostor do režimu jen čtení přejde z jiného důvodu podle Podmínek.

9.2 Po uplynutí této lhůty osobní údaje smažeme, včetně kopií u subzpracovatelů. Záložní kopie zaniknou v běžném cyklu nejpozději do 30 dní poté. Výjimkou jsou údaje, jejichž uchování nám ukládá zákon.

9.3 Na žádost potvrdíme smazání písemně.

10. Informace a audit

10.1 Na žádost poskytneme informace potřebné k doložení plnění této smlouvy (zejména popis opatření, seznam subzpracovatelů, výsledky bezpečnostních kontrol).

10.2 Audit nebo kontrolu na místě umožníme po oznámení alespoň 30 dní předem, nejvýš jednou ročně (pokud nejde o incident nebo požadavek dozorového úřadu), v pracovní době, s mlčenlivostí auditora a na náklady zákazníka.

11. Odpovědnost a trvání

11.1 Odpovědnost se řídí Podmínkami a čl. 82 GDPR.

11.2 Tato smlouva trvá po dobu Smlouvy a dále, dokud zpracováváme osobní údaje zákazníka.

Dodatek A: Popis zpracování

Položka Popis
Subjekty údajů kontakty zákazníka (obchodní kontakty, kandidáti, lidé ve firmách), uživatelé zákazníka v rozsahu jejich práce nad kontakty, calleři call týmu zákazníka
Kategorie údajů jméno, oslovení, pracovní pozice a titulek, firma, adresa profilu LinkedIn a jeho identifikátor, lokalita, pracovní e-mail a telefon, příznak „nekontaktovat” a právní základ, historie akcí a stav vztahu, poznámky, follow-upy, úkoly, štítky, vlastní pole, týmové a osobní zprávy, e-maily zapsané přes adresu v kopii, protokoly hovorů a schůzek, podklady (např. CV, PDF profilu) a z nich odvozená kariéra, záznam práce callerů
Zvláštní kategorie nezpracovávají se záměrně; mohou se vyskytnout v obsahu, který zákazník vloží (např. v CV)
Úkony ukládání, uspořádání, vyhledávání (včetně fulltextu a vektorového hledání), zobrazení, úprava, export, zpracování AI na pokyn, předání call týmu na pokyn, připomínky follow-upů e-mailem uživatelům, zálohování, výmaz
Doba po dobu Smlouvy a do smazání podle čl. 9
Místo EU (Frankfurt, R2 EU); subzpracovatelé podle Přílohy 2

Dodatek B: Technická a organizační opatření

Stav k verzi 2026-10-25:

  • Oddělení zákazníků: každý prostor je v databázi oddělen pravidly na úrovni řádků (RLS); aplikace k datům přistupuje rolí bez práva tato pravidla obejít. Soukromí jednotlivých vztahů uvnitř prostoru hlídá jediná kontrolovaná vrstva, testovaná automaticky.
  • Šifrování: přenos jen přes HTTPS (TLS 1.2 a vyšší, vynucené přesměrování); data v klidu šifruje poskytovatel databáze a úložiště.
  • Přístup: přihlášení přes Google nebo jednorázový kód z e-mailu, bez hesel; krátce platné podepsané relace s odvoláním; omezení počtu pokusů; role a oprávnění v prostoru; tokeny rozšíření odvolatelné uživatelem i správcem.
  • Ochrana aplikace: ochrana proti CSRF, přísná politika obsahu (CSP), bezpečnostní hlavičky, parametrizované dotazy, kontrola typů nahraných souborů.
  • Záznamy: audit přihlášení a správních úkonů; záznam každého úkonu callera nad kontaktem; provozní logy bez obsahu Dat zákazníka.
  • Zálohy a obnova: automatická záloha databáze před každou změnou schématu (uchování 30 dní), historie databáze u poskytovatele.
  • Minimalizace: IP adresy se neukládají; rozšíření nečte text zpráv ani stránky na pozadí; AI je ve výchozím stavu vypnutá.
  • Vývoj: kontrola kódu, automatické testy včetně testů izolace prostorů před každým nasazením; pravidelný bezpečnostní audit.
  • Lidé: přístup k produkční databázi má jen omezený okruh osob, přístupové údaje v trezoru.