Smlouva o zpracování osobních údajů
Verze 1.0, účinná od 12. 10. 2026
1. Smluvní strany a uzavření
1.1 Tuto smlouvu o zpracování osobních údajů (dále jen „smlouva o zpracování“) uzavírá podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679, obecného nařízení o ochraně osobních údajů (dále jen „GDPR“), zákazník jako správce se zpracovatelem, kterým je společnost deriverge s.r.o., IČO 19456361, DIČ CZ19456361, se sídlem č.p. 201, 687 52 Korytná, Česká republika, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, oddíl C, vložka 134680 (dále jen „zpracovatel“).
1.2 Smlouva o zpracování je součástí smlouvy o poskytování služby Poštárna (dále jen „hlavní smlouva“). Uzavírá se spolu s ní přijetím obchodních podmínek při registraci a zákazník ji znovu potvrzuje při objednávce placeného tarifu. Pojmy mají význam podle GDPR a obchodních podmínek.
1.3 Pokud zákazník zpracovává osobní údaje jako zpracovatel pro jiného správce, prohlašuje, že je oprávněn zapojit zpracovatele jako dalšího zpracovatele. Smlouva o zpracování se pak použije přiměřeně a pokyny správce předává zpracovateli zákazník.
1.4 Ve věcech ochrany osobních údajů má smlouva o zpracování přednost před obchodními podmínkami.
2. Předmět a doba zpracování
2.1 Předmětem je zpracování osobních údajů, které zákazník do služby Poštárna nahraje, získá jejími formuláři, skripty na svém webu nebo připojením svého e-shopu, nebo které služba vytvoří při jejich používání.
2.2 Zpracování trvá po dobu trvání hlavní smlouvy a dále do výmazu nebo předání údajů podle článku 13.
3. Povaha a účel zpracování
3.1 Účelem zpracování je poskytovat zákazníkovi službu Poštárna: správu kontaktů a jejich souhlasů, odesílání e-mailových kampaní a automatizací, získávání kontaktů formuláři, sledování doručení, otevření a prokliků, propojení s daty e-shopu a statistiky.
3.2 Zpracování zahrnuje zejména shromáždění údajů (import souboru, formuláře, landing page, dotazníky, vyskakovací formuláře a sledování košíku na webu zákazníka, API, konektor e-shopu a produktový feed a na pokyn zákazníka převod z jiné služby e-mail marketingu), uložení, uspořádání do seznamů a segmentů, úpravy, vyhledávání, použití k odeslání e-mailů (včetně personalizace a slevových kódů), sledování doručení, otevření a prokliků, hodnocení angažovanosti kontaktů, párování objednávek s e-maily, export, omezení (seznam potlačených adres) a výmaz.
3.3 Na pokyn zákazníka zpracovatel údaje také předává příjemcům, které zákazník sám určí: na adresy, které nastaví v automatizacích (webhooky), asistentovi umělé inteligence, kterého připojí přes protokol MCP, a skriptům, které k datům přistupují jeho klíčem API.
3.4 Zpracování probíhá automatizovaně v systémech zpracovatele a dalších zpracovatelů uvedených v příloze 1.
4. Kategorie údajů a subjektů údajů
4.1 Kategorie osobních údajů podle toho, co zákazník do služby vloží nebo zapne:
a) identifikační a kontaktní údaje: e-mail, jméno, příjmení, tituly, oslovení, pohlaví, jazyk, telefon, adresa, země, firma a IČO,
b) další údaje kontaktu: datum narození, jmeniny, poznámky, aktivity, vlastní pole vytvořená zákazníkem a odpovědi v jeho dotaznících,
c) údaje o odběru: seznamy, stav odběru, souhlasy a účely zpracování a záznam o nich (čas, IP adresa, typ prohlížeče a stránka, na které byl souhlas udělen nebo odvolán) a důvod odhlášení,
d) údaje o komunikaci: odeslané e-maily, doručení, nedoručení, stížnosti, odhlášení a, pokud má zákazník sledování zapnuté, otevření a prokliky (čas a odkaz) a z nich odvozená angažovanost,
e) údaje z e-shopu, pokud ho zákazník připojí: zákaznické záznamy (jméno, firma, IČO, DIČ, telefon, adresa, datum registrace), objednávky (číslo, datum, stav, částky, položky, údaje o doručení, IČO a e-mail kupujícího) a přidělené slevové kódy,
f) obsah košíku přihlášeného zákazníka e-shopu (kódy, názvy, množství a ceny položek), pokud zákazník na svůj web vloží skript sledování košíku a má zapnutou automatizaci opuštěného košíku.
4.2 Subjekty údajů jsou zákazníci a potenciální zákazníci zákazníka, odběratelé jeho obchodních sdělení, osoby, které vyplní jeho formuláře a dotazníky, kontaktní osoby jeho obchodních partnerů a jeho zaměstnanci, jejichž adresy zákazník používá například pro testovací e-maily.
4.3 Služba není určena ke zpracování zvláštních kategorií osobních údajů ani údajů o trestných činech (čl. 9 a 10 GDPR). Zákazník je do služby nevloží bez předchozí písemné dohody se zpracovatelem.
5. Povinnosti zákazníka
5.1 Zákazník odpovídá za to, že má pro zpracování platný právní základ, že subjektům údajů poskytl informace podle čl. 13 a 14 GDPR, že má souhlasy s ukládáním údajů v zařízení návštěvníků svého webu tam, kde je předpisy vyžadují, a že dodržuje Zásady používání a pravidla rozesílání.
5.2 Zákazník dává pokyny v souladu s právními předpisy a do služby vkládá přesné a aktuální údaje.
5.3 Zákazník odpovídá za nastavení služby, které ovlivňuje zpracování, například zda sleduje otevření a prokliky, jaké údaje o kontaktech ukládá, kam je předává a kdy je maže.
6. Pokyny zákazníka
6.1 Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů zákazníka, a to i pokud jde o předání do třetích zemí. Pokyny jsou tato smlouva o zpracování, hlavní smlouva, nastavení a úkony, které zákazník provede v aplikaci nebo přes API, a pokyny, které správce účtu pošle e-mailem na podpora@postarna.cz.
6.2 Pokud zpracovateli ukládá zpracování právní předpis Evropské unie nebo členského státu, informuje o tom zákazníka předem, ledaže to tento předpis zakazuje.
6.3 Pokud je podle zpracovatele pokyn v rozporu s GDPR nebo jiným předpisem o ochraně osobních údajů, bez zbytečného odkladu na to zákazníka upozorní a do vyjasnění ho nemusí provést.
6.4 Zpracovatel nepoužije osobní údaje pro vlastní účely, neprodává je a nepoužívá je k reklamě ani k trénování modelů umělé inteligence.
7. Mlčenlivost a přístup osob
7.1 Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti. Povinnost trvá i po skončení smlouvy o zpracování.
7.2 K osobním údajům mají přístup jen osoby, které ho potřebují k provozu, podpoře nebo řešení incidentů, a jen v nezbytném rozsahu. Nahlédnutí podpory do účtu zákazníka je jen pro čtení, časově omezené a zaznamenané.
8. Zabezpečení
8.1 Zpracovatel přijímá technická a organizační opatření podle čl. 32 GDPR. Jejich přehled je v příloze 2.
8.2 Opatření pravidelně přezkoumává a upravuje podle vývoje techniky a rizik, aniž by snížil celkovou úroveň ochrany.
9. Další zpracovatelé
9.1 Zákazník uděluje zpracovateli obecné povolení zapojit další zpracovatele. Ke dni účinnosti smlouvy o zpracování jsou to zpracovatelé uvedení v příloze 1.
9.2 Zpracovatel uloží každému dalšímu zpracovateli smlouvou stejné povinnosti ochrany osobních údajů, jaké má sám podle smlouvy o zpracování, a odpovídá zákazníkovi za jejich plnění. Své vlastní další zpracovatele uvádějí tito poskytovatelé na svých webech.
9.3 Zamýšlené přidání nebo nahrazení dalšího zpracovatele oznámí zpracovatel nejméně 30 dní předem e-mailem správcům účtu a oznámením v aplikaci a aktualizuje přílohu 1. Zákazník může v této lhůtě vznést odůvodněnou námitku z důvodu ochrany osobních údajů.
9.4 Pokud zpracovatel námitce nevyhoví, může zákazník hlavní smlouvu vypovědět s okamžitou účinností, nejpozději ke dni zapojení nového dalšího zpracovatele; zaplacenou cenu za období po skončení smlouvy mu zpracovatel vrátí.
9.5 Pokud zákazník po dohodě se zpracovatelem odesílá e-maily přes vlastní účet u Amazon Web Services, je Amazon Web Services pro toto odesílání zpracovatelem zákazníka podle jeho vlastní smlouvy, nikoli dalším zpracovatelem zpracovatele.
9.6 Příjemci podle odstavce 3.3, služba e-mail marketingu, ze které zákazník převádí data, a jeho e-shop nejsou dalšími zpracovateli zpracovatele; vztah k nim si upravuje zákazník.
10. Předávání do třetích zemí
10.1 Osobní údaje se ukládají v Evropské unii. Další zpracovatelé patří do skupin se sídlem v USA a mohou k údajům přistupovat i z USA nebo z jiných třetích zemí, například při podpoře, správě infrastruktury nebo zpracování technických záznamů. Schránka Google Workspace může být uložena i mimo EU.
10.2 Předání do USA se opírá o prováděcí rozhodnutí Komise (EU) 2023/1795, podle kterého rámec EU-USA pro ochranu údajů (Data Privacy Framework) zajišťuje odpovídající úroveň ochrany; Render Services, Inc., Amazon.com, Inc. (včetně Amazon Web Services, Inc.) a Google LLC jsou do tohoto rámce zapojeny. Pro předání do jiných třetích zemí a pro případ, že by rozhodnutí o odpovídající ochraně přestalo platit, slouží standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914, které jsou součástí smluv zpracovatele s těmito poskytovateli.
10.3 Zákazník dává pokyn k předání v tomto rozsahu. Jiné předání do třetí země zpracovatel provede jen s odpovídajícími zárukami podle kapitoly V GDPR a po oznámení podle odstavce 9.3.
11. Součinnost
11.1 Většinu žádostí subjektů údajů vyřídí zákazník sám v aplikaci: najde a upraví kontakt, vyexportuje všechny jeho údaje (přístup a přenositelnost), vymaže jeho údaje volbou Výmaz na žádost, přidá jeho adresu na blacklist nebo zaznamená odvolání souhlasu. Po výmazu na žádost zůstane adresa jen na seznamu potlačených adres, pokud na něm už byla (například po odhlášení, nedoručitelnosti nebo stížnosti), aby už nikdy nedostala e-mail, a v exportech vytvořených před výmazem, dokud po 7 dnech nevyprší. Ze záloh zmizí nejpozději do 30 dnů. Volba Smazat kontakt naproti tomu ponechá historii odeslaných e-mailů a záznamy o souhlasech.
11.2 Adresát se může sám odhlásit odkazem v e-mailu; služba odhlášení zaznamená a adresu už neobešle.
11.3 Žádost subjektu údajů, která přijde zpracovateli, předá zpracovatel bez zbytečného odkladu zákazníkovi. Sám na ni věcně odpoví, jen pokud ho o to zákazník požádá.
11.4 Zpracovatel poskytne zákazníkovi informace, které má k dispozici a které zákazník potřebuje k zajištění bezpečnosti, ohlášení porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a předchozí konzultaci s dozorovým úřadem (čl. 32 až 36 GDPR).
11.5 Součinnost v rozsahu funkcí aplikace a běžně dostupných informací je bezplatná. Za mimořádnou součinnost, například ruční zpracování rozsáhlých dat, může zpracovatel po předchozí dohodě účtovat přiměřené náklady.
12. Porušení zabezpečení
12.1 Zpracovatel ohlásí zákazníkovi porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, nejpozději do 48 hodin, a to e-mailem správcům účtu.
12.2 Ohlášení obsahuje informace podle čl. 33 odst. 3 GDPR, které má zpracovatel k dispozici: popis porušení, kategorie a přibližný počet dotčených osob a záznamů, pravděpodobné důsledky, přijatá nebo navržená opatření a kontakt. Informace, které zatím nemá, doplňuje postupně.
12.3 Zpracovatel bez odkladu přijme opatření ke zmírnění následků a poskytne zákazníkovi součinnost při ohlášení dozorovému úřadu a informování subjektů údajů. Ohlášení dozorovému úřadu a informování subjektů údajů je povinností zákazníka jako správce.
12.4 Zpracovatel vede záznamy o porušeních zabezpečení.
13. Ukončení zpracování
13.1 Po skončení hlavní smlouvy zpracovatel osobní údaje nezpracovává jinak než jejich uložením do výmazu.
13.2 Do 30 dnů od skončení hlavní smlouvy může zákazník požádat o předání údajů. Zpracovatel je předá bezplatně ve strojově čitelném formátu, včetně záznamů o souhlasech a odhlášeních, do 30 dnů od žádosti.
13.3 Zpracovatel osobní údaje smaže nejpozději do 60 dnů od skončení hlavní smlouvy, ledaže právní předpis ukládá jejich další uložení. Ze záloh zmizí nejpozději do 30 dnů od výmazu. Na žádost zpracovatel zákazníkovi výmaz písemně potvrdí.
13.4 Pokud zákazník potřebuje doklady o souhlasech uchovat déle, například podle § 116 odst. 5 slovenského zákona č. 452/2021 Z. z., o elektronických komunikacích (nejméně 4 roky od odvolání souhlasu), vyžádá si je před výmazem.
14. Informace a kontroly
14.1 Zpracovatel na žádost do 30 dnů poskytne zákazníkovi informace potřebné k doložení plnění povinností podle čl. 28 GDPR, zejména popis opatření a seznam dalších zpracovatelů.
14.2 Pokud tyto informace nestačí, umožní zpracovatel audit nebo kontrolu, kterou provede zákazník nebo jím pověřený auditor vázaný mlčenlivostí, který není konkurentem zpracovatele. Zákazník audit oznámí nejméně 30 dní předem. Audit se koná nejvýše jednou za kalendářní rok, v pracovní době, bez narušení provozu a bez přístupu k datům jiných zákazníků. Častěji lze audit provést po porušení zabezpečení údajů zákazníka nebo na žádost dozorového úřadu.
14.3 Náklady auditu nese zákazník. Pokud audit odhalí podstatné porušení smlouvy o zpracování zpracovatelem, nese zpracovatel přiměřené náklady auditu.
14.4 Plnění povinností dalších zpracovatelů se prokazuje jejich certifikacemi a zprávami nezávislých auditorů, například podle ISO/IEC 27001 nebo SOC 2, které zpracovatel na žádost zpřístupní, pokud to podmínky poskytovatelů dovolují.
14.5 Zpracovatel vede záznamy o činnostech zpracování podle čl. 30 odst. 2 GDPR.
15. Závěrečná ustanovení
15.1 Odpovědnost stran se řídí obchodními podmínkami a čl. 82 GDPR. Omezení náhrady škody v obchodních podmínkách se nepoužije v rozsahu, ve kterém ho právní předpisy nedovolují.
15.2 Smlouva o zpracování trvá po dobu trvání hlavní smlouvy a do splnění povinností podle článku 13.
15.3 Smlouva o zpracování se mění postupem podle článku 17 obchodních podmínek: změnu zpracovatel oznámí nejméně 30 dní předem e-mailem správcům účtu a oznámením v aplikaci a zákazník ji může odmítnout a hlavní smlouvu vypovědět. Seznam dalších zpracovatelů se mění podle článku 9.
15.4 Smlouva o zpracování se řídí právem České republiky.
15.5 Tato smlouva o zpracování ve verzi 1.0 je účinná od 12. 10. 2026.
Příloha 1: Další zpracovatelé
1. Ke dni účinnosti smlouvy o zpracování zapojuje zpracovatel tyto další zpracovatele:
a) Render Services, Inc., 525 Brannan Street, Suite 300, San Francisco, CA 94107, USA: hosting aplikace, databáze a souborů (správce souborů), zpracování požadavků veřejných stránek a skriptů; místo zpracování: datové centrum ve Frankfurtu nad Mohanem, Německo (EU).
b) Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg: odesílání e-mailů službou Amazon SES a příjem hlášení o doručení, nedoručení a stížnostech (Amazon SNS); místo zpracování: region eu-north-1, Stockholm, Švédsko (EU).
c) Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Ireland: e-mailová schránka podpory podpora@postarna.cz a podpora@postarna.sk (Google Workspace); osobní údaje kontaktů se do ní dostanou, jen když je podpoře pošle zákazník nebo sám adresát; místo zpracování: datová centra Google v EU i mimo ni.
2. Služba dále načítá fotografie z obrazové banky Pixabay (Pixabay GmbH, Berlín, Německo): vyhledávání probíhá ze serveru bez osobních údajů kontaktů a vybraný snímek se uloží do správce souborů zákazníka. Pixabay proto není dalším zpracovatelem.
3. Aktuální seznam je vždy v této příloze. Změny se oznamují podle článku 9.3; dotazy na podpora@postarna.cz.
Příloha 2: Technická a organizační opatření
1. Šifrování přenosu: aplikace, API, veřejné stránky odběru a odkazy v e-mailech fungují přes HTTPS; přihlašovací cookie se posílá jen šifrovaně.
2. Přístup k účtu: heslo o délce nejméně 10 znaků uložené jako otisk scrypt, jednorázový kód z e-mailu při každém přihlášení, volitelné ověření aplikací v telefonu, omezení počtu chybných pokusů, relace platná nejdéle 14 dní a ukončená po 3 dnech nečinnosti, přehled a ukončení aktivních relací, ukončení ostatních relací při změně hesla a ochrana proti podvrženým požadavkům.
3. Řízení oprávnění: role uživatelů s rozdílnými oprávněními; klíče API s rolemi, uložené jen jako otisk a neplatné po 180 dnech bez použití; připojení asistentů umělé inteligence jen se souhlasem uživatele, s omezeným rozsahem a možností kdykoli je odpojit; administrace platformy jen pro určené osoby provozovatele s ověřením aplikací v telefonu a záznamem každého vstupu a změny.
4. Oddělení dat zákazníků: každý záznam nese identifikátor zákazníka a databáze vynucuje oddělení na úrovni řádků; automatické testy ověřují oddělení u každého koncového bodu API.
5. Databáze a tajemství: databáze přijímá jen spojení z vnitřní sítě hostingu a přístup zvenčí se povoluje jen dočasně pro správu; aplikace k ní přistupuje rolemi s omezenými oprávněními; tajné klíče jsou jen v proměnných prostředí hostingu, nikdy ve zdrojovém kódu; tajné klíče pro ověření aplikací v telefonu jsou šifrované.
6. Integrita a doklady: záznamy o souhlasech a odhlášeních, záznamy o důležitých úkonech v účtu a záznamy o přijetí dokumentů nelze dodatečně měnit (výmaz kontaktu na žádost ze záznamů o souhlasech jen odstraní jeho adresu a doklady); seznam potlačených adres nelze hromadně mazat.
7. Veřejné stránky (odhlášení, nastavení odběru, potvrzení odběru, formuláře) a skripty na webech zákazníků používají podepsané odkazy nebo ověření původu požadavku, nepoužívají cookies a omezují počet požadavků. Skript sledování košíku nikdy nezakládá nové kontakty.
8. Obsah: HTML e-mailů se před uložením čistí od skriptů a nebezpečných prvků; u nahraných souborů se typ ověřuje podle obsahu a soubory SVG se nepřijímají.
9. Zálohy a obnova: průběžné zálohy databáze u poskytovatele hostingu s obnovou k okamžiku, zálohy uchovávané nejvýše 30 dní a zdokumentovaný postup obnovy.
10. Vývoj a provoz: automatické testy před každou změnou kódu, žádné osobní údaje zákazníků ve vývojovém prostředí ani v repozitáři kódu; osobní údaje se nepředávají žádné službě, která není uvedena jako další zpracovatel, ani nástrojům umělé inteligence.
11. Organizace: přístup k produkčním datům jen pro oprávněné osoby zpracovatele, mlčenlivost a postup pro řešení bezpečnostních incidentů.
Verze a historie změn
Verze 1.0, účinná od 12. 10. 2026: První znění smlouvy o zpracování osobních údajů s přílohou 1 (další zpracovatelé) a přílohou 2 (technická a organizační opatření).