Zpracovatelská smlouva

Když se staráme o váš web v rámci předplatného Care, dostaneme se k osobním údajům lidí, které jste do webu vy nebo vaši zákazníci vložili — odesílatelů formulářů, zákazníků e-shopu, registrovaných uživatelů. Tyhle údaje nejsou naše. Zpracováváme je pro vás a podle vašich pokynů.

Přesně na takovou situaci čl. 28 odst. 3 nařízení GDPR vyžaduje písemnou smlouvu mezi správcem a zpracovatelem. Tento dokument tou smlouvou je. Uzavíráte ji s námi tím, že si objednáte Care — souhlas potvrzujete v pokladně a my si u vašeho předplatného poznamenáme, které znění jste odsouhlasili. Čl. 28 odst. 9 GDPR elektronickou formu výslovně připouští.

Hledáte-li, jak nakládáme s údaji návštěvníků našeho webu — poptávky, newsletter, analytika — to jsou Zásady ochrany osobních údajů. Tam jsme správce my. Tady jste správce vy.

Správce jste vy — objednatel předplatného Care. Rozhodujete, jaké údaje na svém webu sbíráte, proč a jak dlouho je držíte. Odpovídáte za to, že k tomu máte právní titul a že jste lidem řekli, co se s jejich údaji děje.

Zpracovatel jsme my — Matěj Kostka, IČO 29853265, sídlem Dubského 741/13, 108 00 Praha 10 - Malešice, provozovatel značky Wexli. S údaji nakládáme jen v rozsahu, který je potřeba k péči o váš web.

Kontaktním místem pro vše kolem ochrany údajů je info@wexli.cz. Pověřence pro ochranu osobních údajů nemáme jmenovaného — nesplňujeme podmínky čl. 37 GDPR, které by nás k tomu zavazovaly.

Jediným účelem zpracování je poskytovat vám péči o web podle balíčku Care, který máte objednaný. Nic jiného s údaji neděláme — nepoužíváme je pro vlastní marketing, neprodáváme je, nepředáváme je nikomu mimo podzpracovatele z části 9 a netrénujeme na nich žádné modely.

Povahou jde o ukládání, nahlížení, zálohování, obnovu a výmaz — tedy operace, bez kterých se péče o web neobejde. Zpracování probíhá automatizovaně i ručně.

Konkrétní rozsah určuje váš web, ne my. Typicky jde o tyto kategorie:

Zvláštní kategorie údajů podle čl. 9 GDPR — zdravotní stav, biometrika, náboženské vyznání, politické názory a podobně — ani údaje o odsouzeních podle čl. 10 od vás nepotřebujeme a nepočítáme s nimi. Chystáte-li se je na webu zpracovávat, řekněte nám to předem: musíme se dohodnout na dodatečných opatřeních, případně vám takovou práci odmítnout.

Zpracování běží po celou dobu trvání předplatného Care a končí spolu s ním. Výjimkou jsou zálohy, které dobíhají svých 90 dní, a záznamy, které si musíme nechat kvůli zákonným povinnostem (část 14).

S údaji nakládáme výhradně na základě vašich doložených pokynů. Za takový pokyn se považuje samotná objednávka Care a obchodní podmínky (tím je pokryta běžná péče popsaná v části 3) a dále jakýkoliv váš požadavek zaslaný e-mailem nebo jinou dohodnutou cestou.

Pokud bychom měli údaje zpracovat kvůli povinnosti uložené právem EU nebo České republiky, dáme vám o tom vědět předtím, než tak učiníme — ledaže by nám to samo právo zakazovalo z důvodů důležitého veřejného zájmu.

Máme povinnost vás upozornit, pokud podle nás váš pokyn porušuje předpisy o ochraně osobních údajů. Takový pokyn nemusíme provést, dokud si to nevyjasníme.

Každý, kdo se u nás k vašim údajům dostane, je vázán mlčenlivostí — smluvně, nebo ze zákona. Mlčenlivost platí i po skončení spolupráce. Přístup dostávají jen lidé, kteří ho pro péči o váš web opravdu potřebují.

Přijali jsme opatření podle čl. 32 GDPR odpovídající riziku. Konkrétně:

• Šifrování při přenosu — veškerá komunikace i přenos záloh probíhá přes HTTPS/TLS.
• Řízení přístupu — přístupy jsou jmenné, chráněné silnými hesly a dvoufázovým ověřením tam, kde to služba umožňuje. Přístupové tokeny držíme v proměnných prostředí, nikdy v databázi ani v repozitáři.
• Zásada minima — v naší databázi vedeme jen popisné údaje o vašem webu (identifikátor projektu, velikost a výsledek zálohy, odpracované minuty, výpadky), nikoliv kopii obsahu.
• Zálohy a obnovitelnost — zálohy jsou v odděleném úložišti s omezeným přístupem a 90denní retencí. Neúspěšná záloha se vždy zaznamená, aby se nestalo, že data jen zdánlivě někde jsou.
• Oddělené prostředí pro zkoušení — u balíčku Care Pro se změny testují na stagingu, ne na ostrých datech.
• Maskování v záznamech — v technických logech se e-maily, jména, telefony a obsah zpráv maskují, než odejdou do nástroje pro sledování chyb.

Opatření průběžně vyhodnocujeme a můžeme je měnit — vždy jen tak, aby úroveň ochrany neklesla.

Objednáním Care nám dáváte obecné povolení zapojit další zpracovatele v rozsahu níže. Každému z nich ukládáme stejné povinnosti, jaké máme my vůči vám; pokud své povinnosti nesplní, odpovídáme vám za to my.

Tyto zapojujeme vždy:

Tyto jen tehdy, pokud infrastrukturu vašeho webu vedeme my na svých účtech. Vedete-li si hosting a redakční systém sami a nám jen dáváte přístup, nejsou to naši podzpracovatelé — jsou to vaši vlastní zpracovatelé a smlouvu s nimi uzavíráte přímo vy. Které uspořádání platí pro váš web, vám potvrdíme při aktivaci Care.

Změny seznamu vám oznámíme e-mailem nejméně 30 dnů předem. Máte-li proti novému podzpracovateli odůvodněnou námitku, uplatněte ji v této lhůtě — pokusíme se najít jiné řešení, a pokud to nepůjde, můžete Care ukončit k datu účinnosti změny bez sankce a s vrácením poměrné části předplatného.

Někteří podzpracovatelé sídlí v USA nebo tam mají datová centra — jde o Vercel, Sentry, Sanity, Resend. Předávání probíhá na základě rozhodnutí Evropské komise o odpovídající ochraně (rámec EU–U.S. Data Privacy Framework), případně na základě standardních smluvních doložek schválených Evropskou komisí.

Naše databáze s údaji o vašem předplatném běží na serverech v Evropské unii (Frankfurt). Do jiných zemí údaje nepředáváme.

Obrátí-li se na nás přímo někdo z vašich zákazníků nebo uživatelů s žádostí o přístup, opravu, výmaz, omezení zpracování, přenositelnost nebo s námitkou, sami mu neodpovíme — bez zbytečného odkladu vám žádost předáme a vyřídíte ji vy jako správce.

S vyřízením vám pomůžeme vhodnými technickými a organizačními opatřeními: údaje na váš pokyn vyhledáme, opravíme, vyexportujeme nebo smažeme, a to v rozsahu, ve kterém k nim máme přístup. Pomoc v rozsahu běžných dotazů je součástí Care; mimořádně rozsáhlé žádosti mohou spadnout do vyčerpání měsíčního limitu minut.

Zjistíme-li porušení zabezpečení vašich údajů, ohlásíme vám ho bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy jsme se o něm dozvěděli. Ohlášení bude obsahovat vše, co v tu chvíli víme: povahu porušení, dotčené kategorie a přibližný počet záznamů, pravděpodobné důsledky a opatření, která jsme přijali.

Lhůta 24 hodin je schválně kratší než 72hodinová lhůta, kterou má správce vůči Úřadu pro ochranu osobních údajů podle čl. 33 GDPR — abyste měli čas se rozhodnout, jestli ohlašovat. Ohlášení úřadu i vyrozumění dotčených osob je vaše rozhodnutí a vaše povinnost; my vám k němu poskytneme součinnost.

Pomůžeme vám také s posouzením vlivu na ochranu osobních údajů a s předchozí konzultací s úřadem, pokud je budete potřebovat (čl. 35 a 36 GDPR).

Na vyžádání vám poskytneme informace potřebné k doložení, že plníme povinnosti podle čl. 28 GDPR. Vedeme záznamy o kategoriích zpracování prováděných pro vás podle čl. 30 odst. 2.

Máte právo provést audit nebo si ho nechat provést nezávislým auditorem, kterého předem odsouhlasíme. Termín si domluvíme alespoň 30 dnů předem a audit proběhne v pracovní době tak, aby zbytečně nenarušil provoz. Jeden audit ročně je bezplatný; další si můžeme vyúčtovat podle skutečně stráveného času sazbou za práci nad rámec balíčku. Auditor musí být vázán mlčenlivostí a nesmí být naším přímým konkurentem.

Po skončení předplatného si vyberete, co s údaji: buď vám je předáme ve strojově čitelném formátu, nebo je smažeme. Volbu nám sdělte do 30 dnů od skončení. Neozvete-li se, po uplynutí této lhůty údaje smažeme — předpokládáme, že si je nepřejete držet u nás déle, než je nutné.

Smazání se týká i záloh; ty se odstraní nejpozději s koncem své 90denní retence. Ponecháme si jen to, co nám ukládá právo — typicky daňové a účetní doklady, ve kterých ale žádné údaje vašich zákazníků nejsou.

Každá strana odpovídá za porušení svých vlastních povinností. Vy jako správce odpovídáte za zákonnost zpracování, za právní titul, za informování subjektů údajů a za obsah svých pokynů. My odpovídáme za to, že údaje zpracováváme podle této smlouvy a podle GDPR.

Ustanovení čl. 82 GDPR o náhradě újmy vůči subjektům údajů tím není dotčeno. Omezení náhrady újmy sjednané v obchodních podmínkách se nevztahuje na sankce a náhrady podle předpisů o ochraně osobních údajů.

Změny vám oznámíme e-mailem nejméně 30 dnů před účinností — stejně jako u podmínek Care. Nesouhlasíte-li, můžete předplatné před účinností změny ukončit; jinak platí nové znění od prvního obnovení po účinnosti. Změny vynucené změnou právních předpisů nebo rozhodnutím dozorového úřadu mohou nabýt účinnosti dříve, pokud to právo vyžaduje.

U každého předplatného evidujeme, které znění jste odsouhlasili, a dřívější znění nemažeme — každé zůstává dostupné na adrese s datem účinnosti, například /zpracovatelska-smlouva/2026-08-01. Znění platné teď je to na této stránce, účinné od 1. 8. 2026.

Tato smlouva je nedílnou součástí smlouvy o předplatném Care uzavřené podle obchodních podmínek. Trvá po dobu, po kterou pro vás zpracováváme osobní údaje; ustanovení o mlčenlivosti a o naložení s údaji po skončení přetrvávají i poté.

V případě rozporu má tato smlouva přednost před obchodními podmínkami, jde-li o zpracování osobních údajů. Řídí se českým právem a GDPR. Je-li některé ustanovení neplatné, ostatní tím nejsou dotčena.

Dozorovým úřadem je Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.