Smlouva o zpracování osobních údajů (DPA)

Smluvní strany

Správce:
zákazník služby DAKOTY, tj. právnická osoba nebo fyzická osoba – podnikatel, která si ve službě DAKOTY zřídila organizaci a uzavřela se Zpracovatelem smlouvu o poskytování služby podle Všeobecných obchodních podmínek. Identifikačními údaji Správce jsou údaje uvedené v nastavení organizace ve službě DAKOTY (obchodní firma, sídlo, IČO) v okamžiku akceptace této Smlouvy.
(dále jen „Správce“)

Zpracovatel:
JEDNA TRICAŤ s. r. o.
se sídlem Budatínska 3916/22, 851 06 Bratislava - Petržalka
IČO: 51 773 244, DIČ: 2120848807
zapsaná v obchodním rejstříku Okresního soudu Bratislava I, oddíl: Sro, vložka č. 129497/B
provozovatel služby DAKOTY
kontakt pro ochranu osobních údajů: privacy@dakoty.com
(dále jen „Zpracovatel“ nebo „DAKOTY“)

(Správce a Zpracovatel dále společně jen „smluvní strany“.)

Článek 1 – Vymezení pojmů

1.1 Pojmy „osobní údaje“, „zpracování“, „správce“, „zpracovatel“, „subjekt údajů“, „porušení zabezpečení osobních údajů“, „posouzení vlivu“ a další pojmy mají význam podle čl. 4 GDPR.

1.2 Pro účely této Smlouvy:

• „Služba“ je software jako služba DAKOTY poskytovaný Zpracovatelem podle VOP, zejména moduly CRM, rezervační systém Calendri, e-shop (storefront), fakturace a účetní doklady, elektronická výměna faktur, sklad, komunikace (e-mail, SMS), call centrum a Funkce AI, včetně webové, desktopové a mobilní aplikace a API;
• „VOP“ jsou Všeobecné obchodní podmínky užívání služby DAKOTY v platném znění;
• „Hlavní smlouva“ je smlouva o poskytování Služby uzavřená mezi smluvními stranami podle VOP;
• „Osobní údaje Správce“ jsou osobní údaje, které Zpracovatel zpracovává jménem Správce při poskytování Služby (vymezené v čl. 3);
• „Další zpracovatel“ (subdodavatel) je osoba, kterou Zpracovatel zapojí do zpracování Osobních údajů Správce (čl. 28 odst. 2 a 4 GDPR);
• „Oprávněný uživatel“ je pro účely této Smlouvy fyzická osoba, které Správce zřídil přístup do Služby (pojem „Uživatel“ ve VOP označuje zákazníka, tj. Správce);
• „SCC“ jsou standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914;
• „DPF“ je rámec pro ochranu osobních údajů mezi EU a USA (EU-U.S. Data Privacy Framework) podle prováděcího rozhodnutí Komise (EU) 2023/1795;
• „Funkce AI“ jsou funkce Služby, které ke zpracování údajů využívají jazykové modely nebo jiné modely umělé inteligence (čl. 12);
• „Výstup AI“ je text, údaj, shrnutí, přepis, návrh nebo jiný výsledek vytvořený Funkcí AI;
• „EHP“ je Evropský hospodářský prostor.

Článek 2 – Předmět a doba trvání zpracování

2.1 Předmětem Smlouvy je úprava práv a povinností smluvních stran při zpracování Osobních údajů Správce Zpracovatelem v souvislosti s poskytováním Služby podle Hlavní smlouvy.

2.2 Smlouva se uzavírá na dobu trvání Hlavní smlouvy. Povinnosti Zpracovatele podle čl. 7 (mlčenlivost), čl. 15 (vrácení a výmaz) a čl. 17 (odpovědnost) trvají i po jejím skončení, dokud Zpracovatel nebo Další zpracovatelé zpracovávají jakékoli Osobní údaje Správce.

2.3 Tato Smlouva se nevztahuje na zpracování, při kterém je DAKOTY samostatným správcem, zejména:
a) správa zákaznického účtu, registrace a autentizace Oprávněných uživatelů, fakturace a platby za Službu včetně poplatků platformy při platbách přes Stripe Connect;
b) komunikace zákaznické podpory se Správcem a jeho Oprávněnými uživateli (tikety, e-maily, chat), tj. údaje o tom, kdo podporu kontaktoval, kdy a s jakým požadavkem. Obsahuje-li však požadavek podpory nebo hlášení chyby Osobní údaje Správce (např. snímek obrazovky se záznamem klienta nebo údaje z dokladu), jejich zpracování při řešení požadavku včetně evidence hlášení chyb u Dalšího zpracovatele (Příloha 1, A13) je zpracováním jménem Správce a řídí se touto Smlouvou; to platí i pro přístup k Osobním údajům Správce při řešení požadavku (čl. 6.4);
c) zabezpečení Služby, provozní a bezpečnostní záznamy, prevence podvodů a zneužití a telemetrie o používání aplikace (např. používání funkcí, kliknutí, výkon a chyby aplikace), kterou DAKOTY sleduje fungování a rozvoj Služby;
d) vlastní marketing a analytika webových stránek DAKOTY (např. dakoty.com) na základě souhlasu s cookies;
e) plnění zákonných povinností DAKOTY (např. účetnictví, daňové povinnosti).

Toto zpracování upravují Zásady ochrany osobních údajů DAKOTY.

Článek 3 – Povaha a účel zpracování, kategorie údajů a subjektů údajů

3.1 Povaha zpracování: ukládání, uchovávání, uspořádání, vyhledávání, nahlížení, úprava, strukturování (včetně automatizovaného vytěžování údajů z dokumentů), přenos (odesílání e-mailů, SMS, elektronických faktur, notifikací), zpřístupnění Oprávněným uživatelům, nahrávání, přepis a sumarizace hovorů a schůzek, zálohování, omezení, výmaz a likvidace – vždy výlučně v rozsahu nezbytném pro poskytování Služby.

3.2 Účel zpracování: poskytování Služby Správci podle Hlavní smlouvy, zejména:
a) vedení evidence obchodních kontaktů, klientů, obchodních příležitostí, aktivit a komunikace (CRM);
b) správa rezervací a termínů (Calendri) včetně veřejného rezervačního formuláře a zákaznických účtů koncových zákazníků Správce;
c) provoz e-shopu Správce a zpracování objednávek, plateb a doručení;
d) vystavování, přijímání, evidence a odesílání faktur a dalších dokladů včetně elektronické výměny faktur;
e) odesílání e-mailů, SMS a notifikací jménem Správce;
f) telefonické call centrum a online schůzky (telefonní čísla, směrování hovorů, záznamy o hovorech, nahrávky a přepisy, pokud je Správce zapne);
g) Funkce AI podle čl. 12;
h) technická podpora, údržba, zálohování a zabezpečení Služby.

3.3 Kategorie subjektů údajů:

3.4 Kategorie osobních údajů:

3.5 Zvláštní kategorie osobních údajů (čl. 9 GDPR) a údaje týkající se trestných činů (čl. 10 GDPR) nejsou předmětem Služby jako takové. Pokud je Správce do Služby vloží (např. údaje o zdravotním stavu v poznámce k rezervaci), odpovídá za existenci právního základu a za posouzení, zda jsou opatření podle Přílohy 2 pro takové údaje přiměřená.

Článek 4 – Pokyny Správce

4.1 Zpracovatel zpracovává Osobní údaje Správce pouze na základě doložených pokynů Správce (čl. 28 odst. 3 písm. a) GDPR), a to i pokud jde o předání do třetí země, s výjimkou případu, kdy mu zpracování ukládá právo Unie nebo členského státu. V takovém případě Zpracovatel Správce o tomto právním požadavku informuje před zpracováním, ledaže by tyto právní předpisy takové informování zakazovaly z důležitých důvodů veřejného zájmu.

4.2 Doloženými pokyny jsou:
a) tato Smlouva, Hlavní smlouva a VOP;
b) nastavení a úkony provedené Správcem nebo jeho Oprávněnými uživateli ve Službě (např. zapnutí modulu, importu, integrace, Funkce AI, nahrávání hovorů, odeslání zprávy);
c) písemné pokyny zaslané oprávněnou osobou Správce na privacy@dakoty.com nebo prostřednictvím zákaznické podpory, jsou-li v souladu s rozsahem Služby.

4.3 Pokyn, který přesahuje rozsah Služby, může Zpracovatel podmínit dohodou o rozsahu a odměně.

4.4 Má-li Zpracovatel za to, že pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů, neprodleně na to Správce upozorní (čl. 28 odst. 3 druhý pododstavec GDPR) a do potvrzení nebo změny pokynu jej nemusí provést.

4.5 Zpracovatel nesmí Osobní údaje Správce zpracovávat pro vlastní účely. Zejména je nepoužívá k marketingu, neprodává je třetím osobám a nepoužívá je k trénování modelů umělé inteligence (čl. 12.3). Správce pověřuje Zpracovatele, aby z údajů o užívání Služby vytvářel agregované statistické údaje, z nichž nelze identifikovat subjekty údajů ani Správce, a to pro účely provozu, fakturace, bezpečnosti a zlepšování Služby. Takto vytvořené anonymní údaje nejsou osobními údaji a Zpracovatel je může používat i po skončení Smlouvy. Telemetrie podle čl. 2.3 písm. c) tím není dotčena.

Článek 5 – Povinnosti Správce

5.1 Správce odpovídá za zákonnost zpracování, které Zpracovateli uloží, zejména za:
a) existenci právního základu pro zpracování (čl. 6, případně čl. 9 GDPR);
b) splnění informační povinnosti vůči subjektům údajů (čl. 13 a 14 GDPR), včetně informace o využití Funkcí AI a o nahrávání a přepisu hovorů;
c) získání souhlasů, jsou-li vyžadovány, zejména k nahrávání hovorů (§ 12 zákona č. 40/1964 Zb. Občanský zákoník, § 109 zákona č. 452/2021 Z. z. o elektronických komunikacích), k marketingovým e-mailům a SMS a k automatickým volacím systémům (§ 116 zákona č. 452/2021 Z. z.);
d) správnost a aktuálnost údajů, které do Služby vkládá, a nastavení oprávnění svých Oprávněných uživatelů;
e) rozhodnutí o použití integrací se třetími stranami (čl. 9.8);
f) soulad sledování otevření e-mailů (sledovací pixel), používá-li jej u svých e-mailů, s pravidly ukládání informací do koncového zařízení a přístupu k nim (čl. 5 odst. 3 směrnice 2002/58/ES a předpisy, které ji provádějí), včetně získání souhlasu adresáta, je-li vyžadován.

5.2 Správce nebude Funkce AI používat k účelům, které jsou zakázané nebo vysoce rizikové podle nařízení (EU) 2024/1689 o umělé inteligenci (dále jen „AI Act“), v rozsahu podle čl. 12.7 a VOP.

Článek 6 – Povinnosti Zpracovatele

Zpracovatel zejména:

6.1 zpracovává Osobní údaje Správce pouze podle čl. 4 (čl. 28 odst. 3 písm. a) GDPR);

6.2 zajistí mlčenlivost osob oprávněných zpracovávat Osobní údaje Správce podle čl. 7 (čl. 28 odst. 3 písm. b) GDPR);

6.3 přijme opatření podle čl. 32 GDPR, popsaná v čl. 8 a v Příloze 2 (čl. 28 odst. 3 písm. c) GDPR);

6.4 k Osobním údajům Správce přistupuje prostřednictvím svých zaměstnanců pouze v nezbytném rozsahu, zejména při řešení požadavku podpory, který Správce nebo jeho Oprávněný uživatel zadá, při řešení incidentu nebo poruchy nebo na základě právní povinnosti. Každé podpůrné přihlášení do organizace Správce se zaznamenává a změny provedené v jeho průběhu jsou v záznamu změn označeny jako změny podpory;

6.5 dodržuje podmínky zapojení Dalších zpracovatelů podle čl. 9 (čl. 28 odst. 3 písm. d) GDPR);

6.6 pomáhá Správci při plnění povinnosti reagovat na žádosti subjektů údajů podle čl. 11 (čl. 28 odst. 3 písm. e) GDPR);

6.7 pomáhá Správci při plnění povinností podle čl. 32 až 36 GDPR podle čl. 8, 13 a 14 (čl. 28 odst. 3 písm. f) GDPR);

6.8 po ukončení poskytování Služby Osobní údaje Správce vrátí a vymaže podle čl. 15 (čl. 28 odst. 3 písm. g) GDPR);

6.9 poskytne Správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audity podle čl. 16 (čl. 28 odst. 3 písm. h) GDPR);

6.10 vede záznamy o kategoriích činností zpracování prováděných jménem správců (čl. 30 odst. 2 GDPR);

6.11 neprodleně informuje Správce o žádosti orgánu veřejné moci o zpřístupnění Osobních údajů Správce, nezakazuje-li to právo, a vyhoví jí pouze v rozsahu, který právo vyžaduje;

6.12 spolupracuje s dozorovým úřadem (Úrad na ochranu osobných údajov Slovenskej republiky) při plnění jeho úkolů.

Článek 7 – Mlčenlivost

7.1 Zpracovatel zajistí, aby se osoby oprávněné zpracovávat Osobní údaje Správce (zaměstnanci a jiné osoby jednající na jeho pokyn) zavázaly k zachování důvěrnosti nebo aby je vázala zákonná povinnost mlčenlivosti (§ 79 zákona č. 18/2018 Z. z.).

7.2 Povinnost mlčenlivosti trvá i po skončení pracovního nebo jiného vztahu oprávněné osoby a po skončení této Smlouvy.

7.3 Zpracovatel poučí oprávněné osoby o jejich povinnostech při zpracování osobních údajů. Přístup mají pouze osoby, které jej potřebují k plnění svých úkolů.

Článek 8 – Zabezpečení zpracování

8.1 Zpracovatel přijímá a udržuje technická a organizační opatření uvedená v Příloze 2 tak, aby zajistil úroveň zabezpečení odpovídající riziku (čl. 32 GDPR), s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování a k rizikům pro práva a svobody fyzických osob.

8.2 Zpracovatel může opatření měnit, nebude-li nová úroveň ochrany nižší než úroveň popsaná v Příloze 2. O podstatných změnách informuje Správce aktualizací Přílohy 2.

8.3 Správce odpovídá za bezpečnost na své straně, zejména za správu přístupů a oprávnění Oprávněných uživatelů, ochranu přihlašovacích údajů, zapnutí dvoufaktorového ověření, zabezpečení svých zařízení a za bezpečnost systémů třetích stran, které se Službou propojí.

Článek 9 – Další zpracovatelé

9.1 Obecné povolení. Správce uděluje Zpracovateli obecné písemné povolení zapojit Další zpracovatele (čl. 28 odst. 2 GDPR). Další zpracovatelé zapojení ke dni uzavření Smlouvy jsou uvedeni v Příloze 1, jejíž aktuální znění je zveřejněno na https://dakoty.com/dpa.

9.2 Oznámení změny. Zpracovatel informuje Správce o každé zamýšlené změně týkající se přidání nebo nahrazení Dalšího zpracovatele nejméně 30 dní předem, a to:
a) e-mailem vlastníkovi a administrátorům organizace Správce ve Službě (nebo na e-mail určený Správcem pro oznámení týkající se ochrany údajů) a
b) aktualizací seznamu podle čl. 9.1 s vyznačením změny a data její účinnosti.
Oznámení obsahuje název a sídlo Dalšího zpracovatele, účel, kategorie údajů, místo zpracování a záruku při předání do třetí země.

9.3 Námitka. Správce může proti změně vznést písemnou námitku na privacy@dakoty.com do uplynutí lhůty podle čl. 9.2, má-li k tomu odůvodněné důvody týkající se ochrany osobních údajů. Smluvní strany se v dobré víře pokusí nalézt řešení (např. nevyužívat dotčenou funkci, alternativní nastavení). Nebude-li řešení nalezeno do 30 dní od námitky, může Správce Hlavní smlouvu nebo dotčenou část Služby vypovědět s účinností ke dni, kdy by se změna uplatnila, bez sankce. Zpracovatel mu vrátí poměrnou část předem zaplacené odměny za období po skončení. Nevznese-li Správce ve lhůtě námitku, považuje se změna za povolenou.

9.4 Naléhavá změna. Je-li nahrazení Dalšího zpracovatele nezbytné z důvodu bezpečnosti, ukončení jeho činnosti nebo jiné okolnosti mimo kontrolu Zpracovatele, může Zpracovatel lhůtu podle čl. 9.2 zkrátit. Správce o změně informuje neprodleně s uvedením důvodu a Správce má práva podle čl. 9.3 ve lhůtě 30 dní od oznámení.

9.5 Přenesení povinností (čl. 28 odst. 4 GDPR). Zpracovatel s každým Dalším zpracovatelem uzavře písemnou smlouvu (i v elektronické podobě), která mu uloží v podstatě stejné povinnosti na ochranu údajů, jaké jsou stanoveny v této Smlouvě, zejména poskytnutí dostatečných záruk zavedení vhodných technických a organizačních opatření. Jsou-li podmínky Dalšího zpracovatele standardizované (všeobecné smluvní podmínky velkých poskytovatelů), Zpracovatel posoudí, zda poskytují v podstatě rovnocennou úroveň ochrany.

9.6 Nesplní-li Další zpracovatel své povinnosti na ochranu údajů, odpovídá Zpracovatel Správci za plnění jeho povinností v plném rozsahu (čl. 28 odst. 4 druhá věta GDPR).

9.7 Zpracovatel na žádost Správce poskytne relevantní části smlouvy s Dalším zpracovatelem nebo odkaz na její veřejné znění. Obchodní tajemství může začernit.

9.8 Integrace zvolené Správcem. Dalšími zpracovateli nejsou třetí strany, jejichž služby Správce sám připojí ke Službě a s nimiž má vlastní smluvní vztah, zejména e-mailové schránky (Google, Microsoft a jiné), kalendáře, e-shopové platformy a srovnávače, dopravci, jejichž účet si Správce připojí, platební brány na vlastní účet Správce, nástroje pro měření návštěvnosti nasazené Správcem (např. Google Tag Manager v e-shopu) a AI asistenti třetích stran připojení přes MCP konektor nebo API. Předání údajů do takových služeb se provádí na pokyn Správce a za jejich zpracování DAKOTY neodpovídá. Příklady takových integrací jsou uvedeny v části C Přílohy 1. Dalšími zpracovateli nejsou ani služby, kterým Zpracovatel na pokyn Správce předává údaje a které je zpracovávají jako samostatní správci, zejména zasílatel Pošta bez hranic (FROGMAN s.r.o.) a dopravci při dopravě a doručení zásilek e-shopu (část C Přílohy 1, „Doprava a doručení“). Zapnutím takové funkce dává Správce pokyn k předání údajů potřebných k přepravě a doručení; informování příjemců o tomto předání (čl. 13 GDPR) zajišťuje Správce.

Článek 10 – Předávání do třetích zemí

10.1 Zpracovatel ukládá Osobní údaje Správce v primární databázi a úložišti souborů v datových centrech ve Frankfurtu nad Mohanem (Německo). Někteří Další zpracovatelé však mají sídlo nebo zpracovávají údaje mimo EHP, případně mají přístup k údajům ze třetí země (např. podpora, provoz). Seznam s uvedením místa zpracování a záruky je obsažen v Příloze 1.

10.2 Předání Osobních údajů Správce do třetí země se uskuteční pouze tehdy, je-li splněna některá z podmínek kapitoly V GDPR, zejména:
a) rozhodnutí Komise o odpovídající ochraně (čl. 45 GDPR) včetně DPF pro příjemce v USA, kteří jsou certifikováni podle DPF;
b) SCC (čl. 46 odst. 2 písm. c) GDPR), zpravidla modul 3 (zpracovatel – zpracovatel), uzavřené mezi Zpracovatelem a Dalším zpracovatelem nebo ve smlouvě Dalšího zpracovatele s jeho subdodavatelem, doplněné o posouzení dopadu předání a o doplňková opatření, jsou-li potřebná;
c) obsahují-li standardní podmínky Dalšího zpracovatele pouze SCC modul 2 (správce – zpracovatel), SCC modul 2 začleněné do jeho smlouvy se Zpracovatelem ve spojení s touto Smlouvou, podle níž Zpracovatel jedná na pokyn Správce a jeho pokyny přenáší na Dalšího zpracovatele (čl. 4 a 9.5), doplněné o posouzení dopadu předání a o doplňková opatření, jsou-li potřebná (Příloha 1, B1).

10.3 Správce tímto dává Zpracovateli pokyn k předáním uvedeným v Příloze 1 za podmínek podle čl. 10.2.

10.4 Pozbude-li záruka předání platnosti (např. zrušení DPF), Zpracovatel neprodleně zajistí náhradní záruku (zpravidla SCC) nebo předávání ukončí a Správce o tom informuje.

10.5 Při předáváních na základě SCC Zpracovatel posoudí právo a praxi třetí země a potřebu doplňkových opatření a na žádost poskytne Správci shrnutí tohoto posouzení.

Článek 11 – Součinnost při výkonu práv subjektů údajů

11.1 S přihlédnutím k povaze zpracování Zpracovatel pomáhá Správci prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti reagovat na žádosti o výkon práv subjektu údajů podle kapitoly III GDPR (přístup, oprava, výmaz, omezení, přenositelnost, námitka, práva související s automatizovaným rozhodováním).

11.2 Služba umožňuje Správci vyhledat, opravit, exportovat a vymazat záznamy o subjektech údajů v jednotlivých modulech. Nemůže-li Správce žádost vyřídit sám (např. výmaz napříč více moduly nebo z odvozených údajů), Zpracovatel mu na žádost poskytne součinnost do 10 pracovních dní. Funkce Služby pro vyhledání, opravu, export a výmaz údajů a součinnost Zpracovatele při exportu nebo výmazu, který Správce nemůže provést sám, jsou bezplatné. Jinou součinnost nad rámec funkcí Služby (např. ruční zpracování rozsáhlé žádosti) může Zpracovatel účtovat pouze podle sazby uvedené v platném ceníku Služby (https://dakoty.com/cs/cenik), s výjimkou případů, kdy potřeba součinnosti vznikla porušením této Smlouvy Zpracovatelem.

11.3 Obrátí-li se subjekt údajů se žádostí přímo na Zpracovatele a je-li z ní zřejmé, že se týká Správce, Zpracovatel ji neprodleně, nejpozději do 5 pracovních dní, postoupí Správci a subjektu údajů oznámí, že ji postoupil. Na žádost sám nereaguje, nepověří-li jej Správce.

Článek 12 – Funkce umělé inteligence

12.1 Rozsah. Funkce AI zahrnují zejména:
a) AI asistenta Milan v aplikaci (odpovědi na otázky nad údaji Správce, návrhy textů, provádění úkonů na pokyn Oprávněného uživatele);
b) AI chat v rezervačním systému Calendri pro koncové zákazníky Správce;
c) čtení dokumentů (OCR) – vytěžování údajů z faktur, účtenek, bankovních výpisů a jiných dokumentů, včetně automatického zpracování příloh e-mailů, pokud je Správce zapne;
d) přepis nahrávek hovorů a schůzek, jejich shrnutí a témata, pokud Správce nahrávání a přepis zapne;
e) inteligentní (sémantické) vyhledávání – převod textů záznamů na vektory (embeddingy);
f) návrhy odpovědí v zákaznické komunikaci.

Funkce AI se uplatňují pouze v modulech, které Správce používá. AI asistenta a AI chat v Calendri může Správce vypnout v nastavení organizace.

12.2 Hlasové AI funkce (AI telefonní agent, hlasový asistent) Služba nenabízí a jsou vypnuté.

12.3 Bez trénování. Zpracovatel nepoužívá Osobní údaje Správce k trénování, dolaďování ani jinému zlepšování modelů umělé inteligence – ani vlastních, ani modelů třetích stran. Požadavky na modely odesílá s nastavením, které zakazuje sběr údajů a jejich použití k trénování (u zprostředkovatele směrování OpenRouter s nastavením „data_collection: deny“ a bez uchovávání obsahu požadavků podle čl. 12.4).

12.4 Místo zpracování a uchovávání. Vstupy do modelů a jejich výstupy se zpracovávají v EU:
a) jazykové modely Claude (Anthropic) se volají přes EU endpoint zprostředkovatele směrování OpenRouter (eu.openrouter.ai, režim zpracování pouze v EU) a inference probíhá u Google Cloud (Vertex AI, region Evropa) nebo Amazon Web Services (Amazon Bedrock, region Irsko);
b) embeddingy pro sémantické vyhledávání (Mistral Embed) a přepisy hovorů a schůzek (Mistral Voxtral) se zpracovávají u Mistral AI v EU, rovněž přes EU endpoint OpenRouter.

Požadavky se odesílají bez uchovávání obsahu požadavků (Zero Data Retention), jak ho zaručuje OpenRouter pro zvolené poskytovatele; metadata podle Přílohy 1. Přímé volání API společnosti Anthropic mimo EU se nepoužívá. Metadata požadavků (např. čas požadavku, použitý model, objem) může OpenRouter, Inc. zpracovávat v USA; týkají se účtu DAKOTY, protože Zpracovatel v požadavcích neposílá identifikátory Oprávněných uživatelů ani subjektů údajů (Příloha 1, B1). Výstupy AI (např. shrnutí, přepisy, odpovědi asistenta) ukládá Služba v údajích Správce a řídí se lhůtami podle Přílohy 2.

12.5 Změna modelu nebo poskytovatele. Změnu poskytovatele modelu, která je změnou Dalšího zpracovatele nebo místa zpracování, oznamuje Zpracovatel podle čl. 9.

12.6 Lidský dohled a transparentnost. Funkce AI nečiní rozhodnutí s právními nebo obdobně významnými účinky pro subjekty údajů (čl. 22 GDPR). Výstupy AI jsou návrhy a podklady, které Oprávněný uživatel může zkontrolovat, upravit nebo nepoužít. AI asistent jedná pouze na pokyn Oprávněného uživatele a v rozsahu jeho oprávnění ve Službě. Systémy, které komunikují s fyzickými osobami (AI asistent, AI chat v Calendri), se představují jako AI. Výstupy AI jsou ve Službě označeny a nesou i strojově čitelné označení, že je vytvořila umělá inteligence (čl. 50 AI Act).

12.7 Role podle AI Act. U Funkcí AI je DAKOTY poskytovatelem systému AI postaveného na modelech AI pro obecné účely třetích stran a Správce zavádějícím subjektem. Správce nebude Funkce AI používat k účelům uvedeným v čl. 5 AI Act ani k vysoce rizikovým účelům podle přílohy III AI Act (např. hodnocení nebo monitorování výkonu zaměstnanců, nábor, rozhodování o přístupu k úvěru nebo k základním službám, rozpoznávání emocí). Tento zákaz platí bez výjimky. Podrobnosti upravují VOP.

12.8 MCP konektory a API. Připojí-li Správce ke Službě AI asistenta třetí strany (např. přes MCP konektor), údaje, které tento asistent ze Služby načte, zpracovává jeho dodavatel podle smlouvy se Správcem. Nejde o Dalšího zpracovatele DAKOTY (čl. 9.8).

Článek 13 – Posouzení vlivu a předchozí konzultace

13.1 Zpracovatel poskytne Správci součinnost při posouzení vlivu na ochranu osobních údajů (čl. 35 GDPR) a při předchozí konzultaci s dozorovým úřadem (čl. 36 GDPR) v rozsahu informací, které má k dispozici, zejména:
a) popis operací zpracování Služby a toků údajů včetně Funkcí AI a call centra;
b) seznam Dalších zpracovatelů a míst zpracování (Příloha 1);
c) popis bezpečnostních opatření (Příloha 2).

13.2 Součinnost nad rámec informací podle čl. 13.1 může Zpracovatel účtovat pouze podle sazby uvedené v platném ceníku Služby (https://dakoty.com/cs/cenik, čl. 11.2). Součinnost při porušení zabezpečení osobních údajů podle čl. 14 je bezplatná.

Článek 14 – Porušení zabezpečení osobních údajů

14.1 Zpracovatel ohlásí Správci porušení zabezpečení Osobních údajů Správce bez zbytečného odkladu poté, co se o něm dozvěděl (čl. 33 odst. 2 GDPR), nejpozději do 72 hodin od potvrzení porušení, s cílem ohlásit je do 48 hodin. Ohlášení zašle e-mailem vlastníkovi a administrátorům organizace Správce (případně na kontakt určený Správcem) a podle potřeby i oznámením ve Službě.

14.2 Ohlášení obsahuje v rozsahu, v jakém jsou informace dostupné:
a) popis povahy porušení včetně kategorií a přibližného počtu dotčených subjektů údajů a záznamů;
b) kontaktní místo pro ochranu osobních údajů;
c) popis pravděpodobných důsledků;
d) popis přijatých nebo navrhovaných opatření včetně opatření ke zmírnění možných nepříznivých dopadů.
Není-li možné poskytnout všechny informace současně, Zpracovatel je poskytuje postupně bez zbytečného odkladu.

14.3 Zpracovatel neprodleně přijme přiměřená opatření k zastavení porušení a zmírnění jeho důsledků, porušení zdokumentuje a poskytne Správci bezplatně součinnost při ohlášení dozorovému úřadu (čl. 33 GDPR) a oznámení subjektům údajů (čl. 34 GDPR). Ohlášení dozorovému úřadu a oznámení subjektům údajů je povinností Správce. Zpracovatel je za Správce učiní pouze na jeho výslovný pokyn.

14.4 Šifrování databáze na úrovni poskytovatele infrastruktury samo o sobě nezakládá výjimku z oznámení subjektům údajů podle čl. 34 odst. 3 písm. a) GDPR. O tom, zda se výjimka uplatní, rozhoduje Správce na základě informací od Zpracovatele.

Článek 15 – Vrácení a výmaz po skončení

15.1 Správce může během trvání Hlavní smlouvy kdykoli exportovat své údaje ve standardních formátech (např. CSV, JSON, PDF) prostřednictvím Služby (VOP čl. 7.2).

15.2 Po skončení Hlavní smlouvy nebo zrušení organizace:
a) Zpracovatel zpřístupní údaje Správce k exportu po dobu 30 dní (VOP čl. 9.3); v této lhůtě se organizace ve Službě již nepoužívá, údaje se však ještě nevymazávají;
b) po uplynutí této lhůty Zpracovatel Osobní údaje Správce vymaže nebo nevratně anonymizuje v produkčních systémech nejpozději do 30 dní, tj. zpravidla do 60 dní od skončení;
c) kopie v zálohách databáze zaniknou postupně uplynutím doby uchovávání záloh u poskytovatele databáze (Příloha 2, bod 3.1). Do té doby se zálohy používají pouze k obnově po incidentu a jsou chráněny podle Přílohy 2. Pokud by se ze zálohy obnovovaly údaje, Zpracovatel zajistí, aby vymazané údaje Správce nebyly znovu zpřístupněny;
d) Zpracovatel zajistí výmaz nebo uplynutí retence i u Dalších zpracovatelů podle jejich podmínek (např. záznamy o odeslaných e-mailech a SMS).

15.3 Správce může písemně požádat o dřívější výmaz (i před uplynutím lhůty podle čl. 15.2 písm. a)). Zpracovatel jej provede do 30 dní od doručení žádosti a na požádání výmaz písemně potvrdí.

15.4 Povinnost výmazu se neuplatní, vyžaduje-li právo Unie nebo Slovenské republiky další uchovávání (čl. 28 odst. 3 písm. g) GDPR). V takovém případě Zpracovatel údaje uchová pouze v nezbytném rozsahu, omezí jejich zpracování a po uplynutí zákonné lhůty je vymaže. Za archivaci svých účetních dokladů podle zvláštních předpisů odpovídá Správce (u elektronických faktur VOP čl. 3a.6).

Článek 16 – Audit a informace

16.1 Zpracovatel poskytne Správci na požádání veškeré informace potřebné k doložení splnění povinností podle čl. 28 GDPR, zejména aktuální Přílohu 1 a 2, odpovědi na bezpečnostní dotazník v přiměřeném rozsahu a dostupné zprávy a certifikáty Dalších zpracovatelů.

16.2 Nepostačují-li informace podle čl. 16.1, může Správce nebo jím pověřený auditor, který je vázán mlčenlivostí a není konkurentem Zpracovatele, provést audit včetně kontroly na místě, a to:
a) po písemném oznámení nejméně 30 dní předem s uvedením rozsahu (při podezření na porušení ochrany údajů nebo na žádost dozorového úřadu v kratší lhůtě);
b) zpravidla nejvýše jednou za 12 měsíců;
c) v pracovní době a bez nepřiměřeného narušení provozu, bez přístupu k údajům jiných zákazníků a k obchodnímu tajemství Zpracovatele, které nesouvisí s plněním této Smlouvy.

16.3 Náklady auditu nese Správce. Prokáže-li audit podstatné porušení Smlouvy Zpracovatelem, nese přiměřené náklady auditu Zpracovatel. Audit datových center Dalších zpracovatelů se nahrazuje jejich certifikáty a zprávami (např. ISO/IEC 27001, SOC 2), pokud jej Další zpracovatel neumožňuje jinak.

Článek 17 – Odpovědnost

17.1 Každá smluvní strana odpovídá za škodu způsobenou porušením svých povinností podle této Smlouvy a GDPR. Odpovědnost vůči subjektům údajů se řídí čl. 82 GDPR a tato Smlouva ji neomezuje.

17.2 Rozsah předvídatelné škody. Smluvní strany s ohledem na povahu Služby a výši úplaty prohlašují, že škoda, kterou smluvní strana při uzavření Smlouvy předvídala nebo mohla předvídat jako možný následek porušení svých povinností podle této Smlouvy (§ 379 slovenského Obchodního zákoníku, zákon č. 513/1991 Zb.), nepřesahuje v úhrnu za všechny škodní události v jednom kalendářním roce vyšší z těchto částek:
a) trojnásobek úplaty zaplacené Správcem za 12 měsíců předcházejících škodní události, nebo
b) 25 000 EUR.
Tento rozsah se uplatní samostatně a nezapočítává se do rozsahu podle čl. 8.2 VOP.

17.3 Výjimky. Článek 17.2 se neuplatní:
a) na škodu způsobenou úmyslně nebo z hrubé nedbalosti,
b) pokud Zpracovatel zpracovával Osobní údaje Správce v rozporu se zákonnými pokyny Správce nebo nad jejich rámec (čl. 28 odst. 10 GDPR),
c) na nároky subjektů údajů podle čl. 82 GDPR (čl. 17.1).

17.4 Vnitřní vyrovnání. Pokud smluvní strana nahradila subjektu údajů celou škodu podle čl. 82 odst. 4 GDPR, má vůči druhé smluvní straně nárok na tu část náhrady, která odpovídá jejímu podílu odpovědnosti za škodu (čl. 82 odst. 5 GDPR). Na tento nárok se uplatní čl. 17.2, nejde-li o případ podle čl. 17.3 písm. a) nebo b).

17.5 Náhrada škody ze strany Správce. Správce nahradí Zpracovateli škodu včetně přiměřených nákladů právního zastoupení, která Zpracovateli vznikne v důsledku:
a) pokynu Správce, který je v rozporu s právem, nebo
b) porušení povinností Správce podle čl. 5.
Zpracovatel o uplatnění nároku třetí osoby bez zbytečného odkladu informuje Správce a umožní mu se k němu vyjádřit. Bez souhlasu Správce nárok neuzná ani o něm neuzavře smír. Správce souhlas bezdůvodně neodepře.

17.6 Pokuty. Pokutu uloženou dozorovým úřadem nese smluvní strana, které byla uložena. Byla-li pokuta uložena v příčinné souvislosti s porušením povinností druhé smluvní strany, může ji smluvní strana požadovat po druhé smluvní straně jako náhradu škody podle čl. 17.1 nebo 17.5, a to v rozsahu, v jakém to právo připouští, a v rozsahu podle čl. 17.2.

17.7 Ohlášení porušení zabezpečení osobních údajů ani poskytnutí součinnosti podle této Smlouvy není uznáním odpovědnosti.

Článek 18 – Uzavření Smlouvy, změny a přednost

18.1 Uzavření. Smlouva tvoří součást Hlavní smlouvy a uzavírá se v elektronické podobě:
a) nový zákazník: při registraci a zřízení organizace, kdy osoba jednající za Správce potvrdí souhlas s VOP a s touto Smlouvou s odkazy na jejich aktuální znění; potvrzení není předvyplněné;
b) stávající zákazník: akceptací Smlouvy vlastníkem nebo administrátorem organizace ve Službě po jejím zobrazení;
c) na žádost: Správce může požádat o vyhotovení Smlouvy ve formátu PDF podepsaném zaručeným nebo kvalifikovaným elektronickým podpisem.

18.2 Záznam akceptace. Zpracovatel uchovává záznam o akceptaci: organizace, Oprávněný uživatel, který akceptoval, verze znění, datum a čas a IP adresa. Na žádost Správce mu poskytne záznam a znění akceptované verze ve formátu PDF. Všechny verze Smlouvy jsou dostupné na https://dakoty.com/dpa nebo na žádost. Záznam akceptace zpracovává Zpracovatel jako správce za účelem prokázání uzavření Smlouvy; dobu jeho uchovávání upravují Zásady ochrany osobních údajů DAKOTY.

18.3 Osoba, která Smlouvu akceptuje, prohlašuje, že je oprávněna jednat za Správce.

18.4 Změny. Zpracovatel může Smlouvu změnit, vyžaduje-li to změna právních předpisů, rozhodnutí dozorového úřadu nebo změna Služby. Změnu oznámí nejméně 30 dní před nabytím účinnosti e-mailem a ve Službě. Změna nesmí snížit úroveň ochrany Osobních údajů Správce. Nesouhlasí-li Správce se změnou, může Hlavní smlouvu vypovědět ke dni účinnosti změny. Změny Přílohy 1 se řídí čl. 9, změny Přílohy 2 čl. 8.2.

18.5 Přednost. V otázkách ochrany osobních údajů má Smlouva přednost před VOP a Hlavní smlouvou. Uplatní-li se mezi smluvními stranami SCC, mají přednost před touto Smlouvou.

18.6 Je-li některé ustanovení neplatné nebo neúčinné, ostatní ustanovení zůstávají platná. Smluvní strany jej nahradí ustanovením, které se mu svým účelem nejvíce přibližuje.

18.7 Účinnost. Tato verze Smlouvy je účinná od 1. 11. 2026. Pro Správce, který ji uzavře nebo přijme později (čl. 18.1 a) nebo b)), nabývá účinnosti dnem uzavření nebo přijetí. Pro stávajícího zákazníka, který ji nepřijme dříve, se stává součástí Hlavní smlouvy jako změna VOP uplynutím 30 dnů od jejího oznámení podle VOP (nejdříve 1. 11. 2026); do té doby platí ustanovení o ochraně osobních údajů podle dosavadního znění VOP. Stávající zákazník, který se Smlouvou nesouhlasí, může Hlavní smlouvu vypovědět ke dni, kdy by se pro něj stala účinnou.

Článek 19 – Rozhodné právo a řešení sporů

19.1 Smlouva se řídí právním řádem Slovenské republiky, zejména GDPR, zákonem č. 18/2018 Z. z. o ochraně osobních údajů a zákonem č. 513/1991 Zb. Obchodní zákoník.

19.2 Spory ze Smlouvy se řeší primárně dohodou. Nedojde-li k dohodě, rozhodují příslušné soudy Slovenské republiky. Tím není dotčeno právo podat návrh na zahájení řízení u Úradu na ochranu osobných údajov Slovenskej republiky.

Přílohy

• Příloha 1 – Seznam dalších zpracovatelů
• Příloha 2 – Technická a organizační opatření

Kontakty

A. Další zpracovatelé – infrastruktura a provoz Služby

B. Další zpracovatelé – Funkce AI (čl. 12 Smlouvy)

Modely Claude se nevolají přímo přes API společnosti Anthropic. Hlasové AI funkce Služba nenabízí (čl. 12.2 Smlouvy).

C. Služby třetích stran aktivované Správcem (nejsou Dalšími zpracovateli DAKOTY – čl. 9.8 Smlouvy)

Tyto služby Správce připojuje sám a zpravidla má s jejich poskytovatelem vlastní smlouvu, nebo jde o služby, kterým DAKOTY předává údaje na pokyn Správce a které je zpracovávají jako samostatní správci. Údaje do nich DAKOTY předává na pokyn Správce.

Doprava a doručení

D. Mimo rozsah Smlouvy – DAKOTY jako samostatný správce (informativně)

Tyto služby nezpracovávají Osobní údaje Správce jeho jménem. Upravují je Zásady ochrany osobních údajů DAKOTY.

Notifikace v reálném čase a fronta úloh běží ve vlastní infrastruktuře DAKOTY u A2 a nejsou samostatnými Dalšími zpracovateli.

1. Šifrování a pseudonymizace (čl. 32 odst. 1 písm. a) GDPR)

1.1 Komunikace mezi zařízeními Oprávněných uživatelů a Službou je šifrována protokolem TLS (HTTPS).

1.2 Spojení mezi aplikací a databází je šifrováno (TLS).

1.3 Databáze a její zálohy jsou šifrovány v klidu na úrovni poskytovatele databáze (Příloha 1, A1).

1.4 Soubory v objektovém úložišti jsou šifrovány v klidu na úrovni poskytovatele úložiště (Příloha 1, A2).

1.5 Přístupové údaje k připojeným službám (hesla a OAuth tokeny e-mailových schránek, API klíče a tajemství integrací e-shopů a dalších systémů) jsou navíc šifrovány na aplikační úrovni algoritmem AES-256-GCM samostatným klíčem, odděleným od databáze. Aplikační šifrování se nevztahuje na všechny osobní údaje.

1.6 Hesla Oprávněných uživatelů a zákaznických účtů koncových zákazníků (Calendri) se ukládají výlučně jako jednosměrný hash (bcrypt).

1.7 Záznam obchodních událostí neobsahuje kontaktní údaje ani položky objednávek, pouze identifikátory, stav a částky.

2. Důvěrnost, integrita, dostupnost a odolnost (čl. 32 odst. 1 písm. b) GDPR)

2.1 Řízení přístupu Oprávněných uživatelů

• řízení přístupu na základě rolí a oprávnění s možností individuálních výjimek pro Oprávněného uživatele;
• dvoufaktorové ověření (2FA) a přihlášení pomocí passkeys (WebAuthn);
• při změně nebo obnově hesla se zruší i dlouhodobé přístupy k účtu (osobní API tokeny, oprávnění MCP konektorů, hesla aplikací CalDAV, ICS kanály, push tokeny) a přihlašovací relace;
• omezení počtu požadavků (rate limiting) na veřejném API a při citlivých operacích;
• ochrana veřejných formulářů před roboty (Cloudflare Turnstile).

2.2 Oddělení údajů

• logické oddělení údajů organizací: každý záznam je vázán na organizaci a aplikace při každém požadavku ověřuje, že Oprávněný uživatel má přístup k dané organizaci a k danému záznamu;
• oddělené vývojové, testovací a produkční prostředí.

2.3 Přístup personálu Zpracovatele

• přístup k produkčním systémům a administraci Služby má pouze omezený okruh oprávněných osob;
• podpůrné přihlášení personálu do organizace Správce je technicky odlišeno od běžného přihlášení, jeho zahájení se zaznamenává v auditním záznamu administrace a změny provedené v jeho průběhu jsou v záznamu změn označeny jako změny podpory; podpůrné přihlášení je omezeno počtem pokusů;
• tajemství aplikace (klíče, hesla) jsou uložena mimo zdrojový kód ve správě tajemství infrastruktury.

2.4 Záznamy a monitoring

• auditní záznam změn a úkonů s identifikací Oprávněného uživatele (včetně úkonů přes API a MCP);
• provozní monitoring a zaznamenávání chyb aplikace ve vlastní infrastruktuře, bez služeb třetích stran pro sběr chyb.

2.5 Infrastruktura

• aplikace běží ve spravovaném Kubernetes a databáze ve spravované databázové službě, obě v datových centrech ve Frankfurtu (Příloha 1, A1 a A2);
• z internetu jsou dostupné pouze služby publikované přes vstupní bránu (ingress); interní služby, např. fronta úloh, nejsou veřejně dostupné a přístup k nim je omezen síťovými pravidly.

2.6 Bezpečnost vývoje

• změny kódu procházejí revizí a automatickými testy před nasazením;
• funkce s přístupem k údajům více organizací se testují i na oddělení údajů mezi organizacemi.

3. Obnova dostupnosti (čl. 32 odst. 1 písm. c) GDPR)

3.1 Databáze se zálohuje automaticky u poskytovatele databáze s možností obnovy k bodu v čase v rámci doby uchovávání historie podle nastavení služby. Starší kopie zanikají automaticky.

3.2 Soubory v objektovém úložišti jsou uloženy redundantně v infrastruktuře poskytovatele úložiště.

3.3 Při výpadku fronty úloh se mohou zpozdit nebo zopakovat nezpracované úlohy (např. odeslání notifikace); uložené údaje Správce tím nejsou dotčeny.

4. Testování a hodnocení účinnosti (čl. 32 odst. 1 písm. d) GDPR)

4.1 Bezpečnostní opatření se revidují při vývoji, při změnách infrastruktury a při změnách Dalších zpracovatelů.

4.2 Tato příloha a seznam Dalších zpracovatelů se revidují nejméně jednou ročně a při každé podstatné změně.

5. Organizační opatření

5.1 Určené kontaktní místo pro ochranu osobních údajů (privacy@dakoty.com), které přijímá žádosti, pokyny a hlášení a zajišťuje jejich vyřízení. Zpracovatel posoudil povinnost jmenovat pověřence pro ochranu osobních údajů podle čl. 37 GDPR a § 44 slovenského zákona č. 18/2018 Z. z. a posouzení aktualizuje při podstatné změně rozsahu zpracování.

5.2 Osoby s přístupem k osobním údajům jsou vázány povinností mlčenlivosti a jsou poučeny o svých povinnostech (čl. 7 Smlouvy).

5.3 Školení personálu o ochraně údajů a o používání AI (opatření na podporu gramotnosti v oblasti AI podle čl. 4 AI Act), a to zaměstnanců i externích spolupracovníků, kteří se systémy AI pracují jménem Zpracovatele.

5.4 Postup při porušení zabezpečení osobních údajů: zjištění a zastavení, posouzení rozsahu a rizika, ohlášení Správci bez zbytečného odkladu, nejpozději do 72 hodin od potvrzení porušení (cíl do 48 hodin), dokumentace a analýza příčin.

5.5 Výběr Dalších zpracovatelů s ohledem na záruky ochrany údajů a uzavření smluv o zpracování údajů s nimi.

5.6 Vedení záznamů o kategoriích činností zpracování (čl. 30 odst. 2 GDPR).

6. Funkce AI

6.1 Vstupy do Funkcí AI se odesílají pouze poskytovatelům uvedeným v Příloze 1, části B, přes EU endpoint se zpracováním v EU, bez uchovávání obsahu požadavků (Zero Data Retention), jak ho zaručuje OpenRouter pro zvolené poskytovatele (metadata podle Přílohy 1), a se zákazem použití údajů k trénování. Konfigurace přepisů odmítá odeslání nahrávky na jiný než EU endpoint.

6.2 AI asistent pracuje s oprávněními Oprávněného uživatele, který jej používá – vidí a mění pouze údaje, k nimž má přístup daný Oprávněný uživatel, a jeho úkony se zaznamenávají stejně jako úkony přes MCP. AI chat v Calendri má přístup pouze k údajům rezervačního systému dané provozovny (služby, pracovníci, volné termíny, rezervace), nikoli k ostatním modulům Služby.

6.3 Výstupy AI jsou ve Službě označeny a nesou strojově čitelné označení, že je vytvořila umělá inteligence.

6.4 Správce může AI asistenta a AI chat v Calendri vypnout v nastavení organizace. Nahrávání a přepis schůzek se zapínají pro konkrétní schůzku.

7. Uchovávání údajů