Smlouva o zpracování osobních údajů

Účinnost od 16. 8. 2026 · verze 1.0

Příloha č. 1 Obchodních podmínek služby Vraceto (dále jen „Zpracovatelská smlouva")

uzavřená mezi:

Klientem, který se registroval k užívání služby Vraceto (dále jen „Správce"),

a

Shopneme s.r.o., IČO 06391150, se sídlem Na Vozovce 268/36, 779 00 Olomouc, zapsanou v obchodním rejstříku vedeném Krajským soudem v Ostravě, sp. zn. C 71781 (dále jen „Zpracovatel").

Pojmy psané velkým počátečním písmenem mají význam dle Obchodních podmínek služby Vraceto (dále jen „Podmínky"). Zpracovatelská smlouva je uzavřena okamžikem dokončení registrace a trvá po dobu trvání Smlouvy dle Podmínek. Strany jí plní povinnost dle čl. 28 odst. 3 nařízení (EU) 2016/679 (dále jen „GDPR").

1. Předmět a účel zpracování

1.1 Správce pověřuje Zpracovatele zpracováním osobních údajů Koncových zákazníků (a dalších subjektů dle Přílohy A) v rozsahu nezbytném pro poskytování Služby — tedy zejména pro příjem odstoupení od smlouvy a reklamací, jejich evidenci a správu, hlídání lhůt, generování dokumentů, komunikaci s Koncovými zákazníky jménem Správce a provoz Zákaznického portálu.

1.2 Povaha, rozsah, kategorie subjektů a údajů a doba zpracování jsou specifikovány v Příloze A.

2. Pokyny Správce

2.1 Zpracovatel zpracovává osobní údaje výhradně na základě doložených pokynů Správce, a to i v otázce případného předání do třetí země. Doloženými pokyny se rozumí: (a) užívání Služby a její nastavení Správcem v Administraci, (b) tato Zpracovatelská smlouva včetně retenčních pravidel dle čl. 9 a (c) písemné pokyny zaslané z registrační e-mailové adresy Správce.

2.2 Je-li Zpracovatel povinen zpracovávat osobní údaje jinak než podle doloženého pokynu Správce na základě práva Unie nebo členského státu, které se na něj vztahuje, informuje Správce o tomto právním požadavku před zpracováním, ledaže toto právo takovou informaci zakazuje z důležitých důvodů veřejného zájmu.

2.3 Považuje-li Zpracovatel pokyn za rozporný s GDPR nebo jinými předpisy o ochraně osobních údajů, Správce na to bez zbytečného odkladu upozorní.

3. Povinnosti Správce

3.1 Správce odpovídá za zákonnost osobních údajů předaných ke zpracování, za existenci odpovídajícího právního titulu a za splnění informačních povinností vůči subjektům údajů, zejména za zpřístupnění vlastních informací podle čl. 13 GDPR Koncovým zákazníkům při podání prostřednictvím Widgetu.

3.2 Správce odpovídá za zákonnost svých pokynů a za nastavení rozsahu a doby zpracování odpovídající jeho účelům. Tím nejsou dotčeny vlastní povinnosti Zpracovatele podle GDPR a jiných právních předpisů.

4. Mlčenlivost a pověřené osoby

4.1 Zpracovatel zajistí, aby k osobním údajům měly přístup pouze osoby, které je potřebují pro plnění Smlouvy, a aby tyto osoby byly zavázány mlčenlivostí smluvně nebo ze zákona. Mlčenlivost trvá i po skončení Smlouvy.

5. Zabezpečení

5.1 Zpracovatel přijal a udržuje technická a organizační opatření dle čl. 32 GDPR odpovídající riziku zpracování. Přehled opatření je uveden v Příloze B. Zpracovatel opatření průběžně přizpůsobuje stavu techniky; jejich úroveň nesmí bez souhlasu Správce klesnout.

6. Subzpracovatelé

6.1 Správce uděluje Zpracovateli obecné povolení k zapojení dalších zpracovatelů. Aktuální seznam subzpracovatelů je uveden v Příloze C a na webu Zpracovatele.

6.2 Zamýšlené zapojení nového subzpracovatele nebo jeho nahrazení oznámí Zpracovatel Správci e-mailem nebo v Administraci nejméně 14 dnů předem.

6.3 Vznese-li Správce ve lhůtě 14 dnů od oznámení odůvodněnou námitku z důvodů ochrany osobních údajů, Zpracovatel nového subzpracovatele pro zpracování údajů tohoto Správce nezapojí, dokud nebude námitka vyřešena. Nelze-li nalézt přijatelné řešení, může kterákoli strana Smlouvu ukončit před zapojením subzpracovatele; nevyčerpaná předplacená cena se poměrně vrátí do 30 dnů.

6.4 Zpracovatel uloží subzpracovateli smluvně stejné povinnosti ochrany osobních údajů, jaké jsou pro příslušné zpracování stanoveny Zpracovateli touto smlouvou, zejména povinnost poskytnout dostatečné záruky zavedení vhodných technických a organizačních opatření. Za plnění povinností subzpracovatele odpovídá Zpracovatel Správci, jako by plnil sám.

7. Součinnost

7.1 Práva subjektů údajů. Zpracovatel je Správci nápomocen při plnění povinnosti reagovat na žádosti o výkon práv subjektů údajů (čl. 12–22 GDPR), zejména prostřednictvím funkcí Služby (přístup k údajům Případu, oprava, výmaz jednotlivého Případu). Žádost subjektu údajů doručenou přímo Zpracovateli předá Zpracovatel Správci bez zbytečného odkladu, nejpozději do 5 pracovních dnů, a sám na ni bez pokynu Správce věcně neodpovídá.

7.2 Čl. 32–36 GDPR. Zpracovatel je Správci při zohlednění povahy zpracování a informací, jež má k dispozici, nápomocen při zajišťování souladu s povinnostmi dle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace s dozorovým úřadem).

7.3 Zahájí-li Úřad pro ochranu osobních údajů nebo jiný orgán kontrolu či řízení týkající se zpracování dle této smlouvy, informuje o tom Zpracovatel Správce bez zbytečného odkladu.

7.4 Za součinnost jdoucí zjevně nad rámec běžného provozu Služby (např. rozsáhlé rešerše, opakované audity) náleží Zpracovateli náhrada účelně vynaložených nákladů.

8. Porušení zabezpečení

8.1 Zpracovatel ohlásí Správci každé porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozvěděl, podle možností do 24 hodin a nejpozději do 48 hodin, a to na registrační e-mail Správce.

8.2 Oznámení obsahuje informace v rozsahu čl. 33 odst. 3 GDPR: popis povahy porušení včetně dotčených kategorií a přibližného počtu subjektů údajů a záznamů; jméno a kontaktní údaje kontaktního místa Zpracovatele, kde lze získat další informace; popis pravděpodobných důsledků; popis přijatých nebo navrhovaných opatření. Nejsou-li všechny informace v době oznámení k dispozici, poskytne Zpracovatel úvodní oznámení a další informace doplní postupně bez zbytečného odkladu.

8.3 Zpracovatel vede evidenci porušení zabezpečení a přijatých nápravných opatření a poskytne Správci součinnost potřebnou pro plnění jeho povinností dle čl. 33 a 34 GDPR.

9. Doba zpracování a retenční pravidla

9.1 Osobní údaje jsou zpracovávány po dobu trvání Smlouvy a dále dle pravidel tohoto článku. Níže uvedené lhůty jsou výchozími doloženými pokyny Správce, které Správce přijetím této Zpracovatelské smlouvy schvaluje:

• číslo bankovního účtu Koncového zákazníka: výmaz 90 dnů po potvrzení vrácení peněz;
• přílohy a fotografie k Případu: výmaz 12 měsíců od uzavření Případu;
• Případ: anonymizace osobních údajů 3 roky od uzavření Případu (zůstává anonymní statistický záznam).

9.2 Správce je oprávněn prostřednictvím podporovaného nastavení Služby nebo písemným pokynem stanovit lhůty kratší, popřípadě právně odůvodněné lhůty delší; Zpracovatel takový pokyn provede, není-li v rozporu s právem nebo objektivními technickými omezeními Služby. Správce může jednotlivý Případ smazat v Administraci kdykoli.

9.3 Anonymizací se rozumí nevratná úprava údajů, po níž již nelze subjekt údajů identifikovat prostředky, jejichž použití lze rozumně předpokládat.

10. Ukončení zpracování

10.1 Po skončení poskytování služeb zpracování Zpracovatel podle volby Správce:

(a) vrátí Správci veškeré osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu a následně vymaže jejich existující kopie, nebo

(b) osobní údaje a jejich existující kopie vymaže,

ledaže další uložení vyžaduje právo Unie nebo právo členského státu vztahující se na Zpracovatele. Neurčí-li Správce volbu do 30 dnů od ukončení Smlouvy, postupuje Zpracovatel podle písm. b).

10.2 Je-li na ukončení Služby použitelný režim změny poskytovatele podle čl. 15 Podmínek, provede se vrácení nebo výmaz ve lhůtách podle uvedeného článku; osobní údaje nebudou vymazány před uplynutím doby pro získání dat podle čl. 15.7 Podmínek, nedal-li Správce pokyn k dřívějšímu výmazu.

10.3 Osobní údaje, které po výmazu z produkčních systémů dočasně přetrvávají v technických zálohách, jsou izolovány od běžného zpracování, nejsou obnovovány jinak než pro účely obnovy po havárii a jsou definitivně odstraněny běžnou rotací záloh nejpozději do 30 dnů; při obnově zálohy se požadavek na výmaz uplatní znovu.

11. Audit

11.1 Zpracovatel poskytne Správci na žádost informace nezbytné k doložení plnění povinností dle čl. 28 GDPR, primárně formou dokumentace a písemných odpovědí.

11.2 Nepostačuje-li to, umožní Zpracovatel Správci nebo jím pověřenému auditorovi audit, včetně inspekce, nejvýše jednou za 12 měsíců, po písemném oznámení alespoň 30 dnů předem, v běžné pracovní době a na náklady Správce. Auditor musí být zavázán mlčenlivostí; proti auditorovi, který je vůči Zpracovateli v konkurenčním postavení, může Zpracovatel vznést námitku a Správce pověří jiného auditora. Zpřístupněné informace jsou obchodním tajemstvím Zpracovatele.

11.3 Omezení frekvence a oznamovací lhůty podle odst. 11.2 se nepoužijí, vyžaduje-li audit dozorový orgán, došlo-li k porušení zabezpečení týkajícímu se údajů Správce, nebo má-li Správce jiný konkrétní a přiměřený důvod domnívat se, že Zpracovatel porušuje tuto Zpracovatelskou smlouvu nebo předpisy o ochraně osobních údajů.

12. Zvláštní kategorie údajů

12.1 Služba není určena ke zpracování zvláštních kategorií osobních údajů (čl. 9 GDPR) ani údajů týkajících se rozsudků v trestních věcech (čl. 10 GDPR). Správce se zavazuje takové údaje prostřednictvím Služby nezpracovávat bez předchozí písemné dohody se Zpracovatelem a přiměřeně vést své zákazníky k tomu, aby je nevkládali do popisů vad a příloh.

13. Umístění dat

13.1 Osobní údaje jsou uloženy na serverech v Evropské unii. Zpracovatel nepředává osobní údaje mimo Evropský hospodářský prostor ani k nim neumožňuje přístup ze třetích zemí, není-li v Příloze C uvedeno jinak. Případná změna je možná jen v souladu s kapitolou V GDPR a po předchozím oznámení Správci postupem dle čl. 6.2.

14. Závěrečná ustanovení

14.1 Komunikace stran probíhá e-mailem: Správce prostřednictvím registrační e-mailové adresy, Zpracovatel prostřednictvím info@vraceto.cz.

14.2 Zpracovatelská smlouva se řídí právním řádem České republiky. Ukončením Smlouvy dle Podmínek je ukončena i tato Zpracovatelská smlouva; povinnosti dle čl. 4, 10 a 11 trvají i poté.

14.3 Změny Zpracovatelské smlouvy, které mění předmět či účel zpracování, kategorie osobních údajů nebo subjektů údajů anebo podstatně mění pokyny Správce, vyžadují dohodu stran. Aktualizace nezbytné pro soulad s právními předpisy nebo zvyšující úroveň ochrany osobních údajů lze oznámit postupem podle čl. 17 Podmínek. Změny subzpracovatelů se řídí výlučně čl. 6.

14.4 Nedílnou součástí Zpracovatelské smlouvy jsou: Příloha A (specifikace zpracování), Příloha B (technická a organizační opatření), Příloha C (seznam subzpracovatelů).

Příloha A — Specifikace zpracování

Povaha zpracování: automatizované shromažďování, zaznamenávání, ukládání, zpřístupňování Správci, odesílání e-mailových zpráv Koncovým zákazníkům jménem Správce, anonymizace a výmaz.

Účel: umožnit Správci příjem a vyřizování odstoupení od smlouvy, reklamací a souvisejících podání jeho zákazníků (plnění Smlouvy dle Podmínek).

Kategorie subjektů údajů: Koncoví zákazníci Správce; případně osoby jednající za Koncového zákazníka; Uživatelé Správce (v rozsahu provozních záznamů).

Kategorie osobních údajů:

• identifikační údaje: jméno a příjmení;
• kontaktní údaje: e-mail, telefon, adresa;
• údaje o objednávce: číslo objednávky nebo faktury, zakoupené položky, ceny, datum nákupu;
• platební údaje: číslo bankovního účtu pro vrácení peněz;
• údaje o Případu: typ podání, popis vady, zvolený způsob řešení, zprávy a komunikace, přílohy a fotografie, stavy a časové značky;
• technické údaje: IP adresa a časové údaje podání (zabezpečení a prevence zneužití).

Doba zpracování: po dobu trvání Smlouvy a dle retenčních pravidel čl. 9 Zpracovatelské smlouvy.

Příloha B — Technická a organizační opatření

Důvěrnost a integrita:

• šifrovaný přenos veškerých dat (HTTPS/TLS);
• šifrování citlivých polí (zejména čísel bankovních účtů) na úrovni databáze algoritmem AES;
• oddělení dat jednotlivých klientů (multi-tenant izolace) uplatňované na úrovni databázových dotazů;
• ukládání příloh mimo veřejně přístupný adresář, vícestupňová validace typu souboru a opětovné překódování obrázků;
• ochrana veřejných formulářů: omezení počtu požadavků (rate limiting), CSRF ochrana, ošetření vstupů a výstupů, parametrizované dotazy;
• přístup Koncového zákazníka do Zákaznického portálu chráněn PIN kódem a podepsanými odkazy s omezenou platností; PIN se neukládá do provozních záznamů;
• e-maily Koncovým zákazníkům se odesílají až po potvrzeném uložení dat.

Dostupnost a odolnost:

• pravidelné zálohování; servery umístěny v EU;
• postupy pro obnovu dostupnosti osobních údajů po fyzickém nebo technickém incidentu a pravidelné ověřování použitelnosti záloh a procesu obnovy.

Řízení a testování:

• pravidelné testování, posuzování a hodnocení účinnosti technických a organizačních opatření a přiměřená reakce na zjištěné nedostatky;
• sledování a řešení bezpečnostních aktualizací a zranitelností produkčních komponent s prioritou odpovídající riziku;
• personalizované přístupy do Administrace a systémů, oprávnění omezena podle potřeby, pravidelně přezkoumávána a bez zbytečného odkladu odebrána, pomine-li jejich důvod;
• zavedený postup pro identifikaci, evidenci, eskalaci a řešení bezpečnostních incidentů;
• auditní záznamy událostí u Případů;
• mlčenlivost zaměstnanců a spolupracujících osob;
• zásady bezpečného vývoje (privacy by design), oddělení testovacích a produkčních dat;
• automatická minimalizace údajů dle retenčních pravidel (čl. 9).

Příloha C — Seznam subzpracovatelů

Odchozí e-maily jsou odesílány z vlastní infrastruktury Zpracovatele provozované na výše uvedeném serveru; do zpracování není zapojen žádný další poskytovatel e-mailových služeb.