Zpracovatelská smlouva

Smluvní strany

• Zpracovatel: TPT funding s.r.o. (obchodní značka Top Profit Design), IČO 19067640, se sídlem Kurzova 2222/16, Stodůlky, 155 00 Praha 5, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, spisová značka C 380929, kontakt provozovatele: info@topprofitdesign.cz (dále „zpracovatel“).
• Správce: zákazník služby AutoDM – podnikatel nebo firma, který prostřednictvím služby zpracovává údaje kontaktů ze svých připojených komunikačních kanálů (dále „správce“).

Předmět a doba zpracování

Zpracovatel pro správce zpracovává osobní údaje lidí, kteří správci píší nebo komentují na Instagramu a Facebooku, píší jeho Telegram botovi, do web chatu na jeho webu nebo na jeho e-mailovou schránku připojenou k AutoDM, aby jim služba mohla automaticky odpovídat, upozorňovat správce na poptávky a zobrazovat konverzace v Inboxu.

Zpracování trvá po dobu užívání služby. Po jejím skončení správce rozhodne, zda mají být osobní údaje vráceny v dostupném strojově čitelném formátu, nebo vymazány. O export je třeba požádat před výmazem; zpracovatel poskytne přiměřenou součinnost. Výmaz po zvolení této možnosti provede nejpozději do 30 dní, s výjimkou údajů, jejichž uchování vyžaduje právo. Záložní kopie se odstraňují v rámci jejich retenčního cyklu a nelze je používat k běžnému zpracování.

Kategorie údajů a subjektů

• Subjekty: kontakty správce na sociálních sítích (lidé, kteří správci napsali zprávu nebo komentář), uživatelé, kteří napsali Telegram botovi správce, odesílatelé e-mailů do schránky správce připojené k AutoDM, návštěvníci web chatu na webu správce, případně členové týmu správce.
• Údaje: identifikátor uživatele přidělený společností Meta nebo Telegramem, uživatelské jméno, text zpráv a komentářů a odeslaných odpovědí, čas komunikace, kontaktní údaje, které uživatel sám ve zprávě uvede (e-mail, telefon).
• E-mailová schránka správce: zpracovatel navíc ukládá přístupové údaje ke schránce, kterou správce připojil (u Gmailu a Outlooku přístupové tokeny, u ostatních poskytovatelů přes IMAP/SMTP přihlašovací jméno, adresy serverů a heslo nebo heslo pro aplikace), a to výhradně šifrovaně, a obsah zpráv (adresa a jméno odesílatele, předmět, text příchozích a odeslaných e-mailů; přílohy se neukládají). Přístupové údaje se používají jen k načtení nových zpráv a k odesílání odpovědí z adresy správce a po odpojení schránky se bez zbytečného odkladu mažou. Správce odpovídá za to, že má k připojované schránce oprávnění.
• Web chat navíc: náhodné anonymní ID konverzace uložené v prohlížeči návštěvníka, jméno, e-mail a telefon, které návštěvník sám vyplní do kontaktního formuláře, čas a odkaz na zásady správce, se kterými souhlasil, a otisk IP adresy pro ochranu proti spamu (2 dny). Kontaktní formulář se zobrazí jen tehdy, když správce v nastavení uvede odkaz na své zásady ochrany osobních údajů.
• Účel: automatické odpovědi podle pravidel a nastavení správce, upozornění správce na poptávky, zobrazení konverzací v Inboxu. Právní základ zpracování vůči subjektům určuje správce. Doby uložení: text zpráv 30 dní, záznamy o komunikaci 90 dní, kontakty 12 měsíců od poslední zprávy (podle zásad ochrany osobních údajů zpracovatele), pokud je správce nesmaže dříve.
• Zvláštní kategorie údajů (čl. 9 GDPR) zpracovatel cíleně nezpracovává. Pokud je uživatel sám uvede ve zprávě, zpracují se jen jako součást konverzace.

Povinnosti zpracovatele

• zpracovává údaje jen na základě doložených pokynů správce – pokyny jsou nastavení služby (pravidla, AI, upozornění) a tato smlouva,
• zajistí, aby osoby s přístupem k údajům byly vázány mlčenlivostí,
• přijme technická a organizační opatření podle čl. 32 GDPR: šifrování přístupových tokenů (AES-256-GCM), přenos jen přes HTTPS, hesla jako otisk (argon2id), dvoufázové ověření administrace, oddělení dat zákazníků, auditní log a automatické mazání starých záznamů,
• pomáhá správci plnit povinnosti vůči subjektům údajů (přístup, oprava, výmaz, námitka) a s posouzením vlivu nebo konzultací s úřadem,
• bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, oznámí správci porušení zabezpečení osobních údajů,
• zpřístupní správci informace potřebné k doložení souladu a umožní přiměřené audity nebo kontroly včetně inspekcí podle čl. 28 odst. 3 písm. h) GDPR, prováděné správcem či jím pověřeným auditorem. Běžný postup a úhradu případných přiměřených nákladů si strany dohodnou předem; zákonná práva na kontrolu tím nejsou omezena.

Další zpracovatelé

Správce uděluje obecný souhlas se zapojením dalších zpracovatelů. Aktuálně jsou to:

• Vercel Inc. – hosting aplikace (EU / USA, EU–US Data Privacy Framework),
• Neon Inc. – databáze (EU region),
• Resend – odesílání e-mailových upozornění,
• poskytovatelé AI – jen pokud správce zapne volitelné AI odpovědi (ve výchozím stavu vypnuté), a to ten, kterého si zvolí: Google (Gemini API), OpenAI (OpenAI API), Anthropic (Claude API), Mistral AI (Mistral API) nebo OpenRouter (pouze při použití vlastního klíče zákazníka); předává se obsah relevantní konverzace a znalosti, které správce nahrál,
• Meta Platforms Ireland Ltd. – příjem a odesílání zpráv přes oficiální API (Meta je pro tato data samostatným správcem),
• Google (Gmail) nebo Microsoft (Outlook / Microsoft 365) – jen pokud správce připojí e-mailovou schránku: čtení a odesílání e-mailů přes API poskytovatele (poskytovatel je pro tato data samostatným správcem),
• poskytovatel e-mailové schránky zvolený správcem (např. Seznam.cz, Apple, Yahoo, hostingová firma) – jen pokud správce připojí schránku přes IMAP/SMTP: čtení a odesílání e-mailů na serveru správcem zvoleného poskytovatele,
• Telegram – jen pokud správce připojí Telegram Bot: příjem a odesílání zpráv přes Telegram Bot API (Telegram je pro tato data samostatným správcem),
• služby zvolené správcem v sekci Integrace – Webhook na adresu správce (např. Make, Zapier, n8n), Google Sheets, Ecomail, SmartEmailing, Mailchimp, MailerLite, Flodesk (vlastní klíč; u všech marketingových integrací povinný double opt-in), Slack, Discord a Telegram: údaje se předávají pouze při připojení služby a zapnutí příslušného spouštěče. Podle typu integrace se může předat jméno, e-mail, telefon, štítky, identifikátor kontaktu a případně část textu zprávy (u Webhooku a Google Sheets nejvýše 500 znaků; u týmových upozornění nejvýše 300 znaků). Správce sám určuje tyto příjemce. Calendly a Cal.com jsou pouze externí rezervační odkazy v odpovědích; AutoDM jim prostřednictvím této integrace automaticky nepředává údaje kontaktů.

Změna dalších zpracovatelů

O zamýšlené změně dalších zpracovatelů zpracovatel správce informuje e-mailem nejméně 14 dní předem. Správce může proti změně vznést námitku; pokud se strany nedohodnou, může smlouvu ukončit.

Povinnosti správce

• má pro zpracování platný právní základ a informuje své kontakty o zpracování (např. v zásadách ochrany osobních údajů),
• nastavuje obsah automatických odpovědí v souladu s právem a pravidly Meta,
• oznamuje zpracovateli pokyny a změny včas, nejlépe e-mailem.

Ukončení a výmaz

Po ukončení služby nebo na žádost správce zpracovatel údaje smaže postupem podle stránky Smazání dat. Před smazáním může správce požádat o export svých dat.

Kontakt

Dotazy ke zpracování a hlášení incidentů: info@autodm.cz. Obecné informace najdeš v dokumentu Ochrana osobních údajů.