English

Smlouva o zpracování osobních údajů

Příloha obchodních podmínek · účinné od 2026-10-06

Tato smlouva podle čl. 28 nařízení (EU) 2016/679 (dále jen „GDPR“) se uzavírá mezi Organizací, která užívá platformu Negotiq (dále jen „Správce“), a SynQflows, s.r.o., IČO 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (dále jen „Zpracovatel“), a je součástí Obchodních podmínek. Uzavírá se přijetím Obchodních podmínek a trvá po dobu trvání Smlouvy. Pojmy s velkým počátečním písmenem mají význam podle Obchodních podmínek.

1. Předmět a rozsah zpracování

Předmětzpracování osobních údajů, které Správce nebo jeho Uživatelé vkládají na Platformu nebo které Platforma na jejich pokyn přijímá či odesílá: Obsah Uživatele (Poptávky, specifikace, přílohy, ceníky, údaje kolegů a kontaktních osob), zprávy zaslané na Adresu pro příjem e-mailů, přístupové údaje k napojeným systémům a údaje z nich stažené a údaje odesílané na Webhooky Správce
Povaha a účeluložení, zpřístupnění oprávněným osobám a protistranám jednání, import a převod ceníků, přijetí a vyhodnocení e-mailových zpráv, stažení údajů z napojených systémů, export objednávek, odeslání oznámení na Webhooky, zálohování a další technické zpracování nutné k poskytování Platformy
Kategorie subjektů údajůzaměstnanci a spolupracovníci Správce; kontaktní osoby jeho obchodních partnerů; odesílatelé zpráv na Adresu pro příjem e-mailů; osoby, jejichž údaje jsou obsaženy v ceníku staženém z napojeného systému
Kategorie údajůidentifikační a kontaktní údaje (jméno, pracovní e-mail, telefon, funkce); údaje o e-mailových zprávách (odesílatel, adresát, předmět, čas přijetí, výsledky ověření odesílatele) a jejich přílohy; přihlašovací údaje k napojeným systémům; další údaje, které Správce do obsahu vloží. Zvláštní kategorie údajů ani údaje o rozsudcích v trestních věcech Správce nevkládá
Dobapo dobu trvání Smlouvy a do výmazu podle článku 8; zprávy přijaté na Adresu pro příjem e-mailů 90 dní od přijetí; záznamy o doručení Webhooků nejvýše 90 dní

2. Pokyny Správce

  1. Zpracovatel zpracovává osobní údaje jen na základě doložených pokynů Správce, a to i pokud jde o předání do třetích zemí. Pokyny jsou dány Obchodními podmínkami, touto smlouvou a nastavením Platformy; nastavením Integrace (Adresa pro příjem e-mailů, napojení ERP, Webhook, API klíč pro agenta třetí strany) dává Správce pokyn ke zpracování v rozsahu, který Integrace vyžaduje. Další pokyny dává Správce Organizace v textové podobě.
  2. Má-li Zpracovatel za to, že pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů, Správce o tom neprodleně informuje a do jeho vyjádření nemusí pokyn provést.
  3. Ukládá-li Zpracovateli zpracování právo Unie nebo členského státu, informuje o tom Správce předem, ledaže to tento předpis zakazuje (čl. 28 odst. 3 písm. a) GDPR).
  4. Zpracovatel nezpracovává osobní údaje Správce pro vlastní účely. Anonymizované a agregované statistiky (čl. 11 odst. 2 Obchodních podmínek) osobní údaje neobsahují. Záznamy Auditního řetězce, Potvrzení a Záznamy AP2 zpracovává Zpracovatel jako samostatný správce podle Zásad ochrany osobních údajů, nikoli podle této smlouvy.
  5. Správce odpovídá za zákonnost zpracování, za informování subjektů údajů a za to, že je oprávněn osobní údaje na Platformu vložit a udělit přístup do napojených systémů.

3. Povinnosti Zpracovatele

  1. Zpracovatel zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.
  2. Zpracovatel přijme technická a organizační opatření podle čl. 32 GDPR uvedená v Příloze 1. Opatření může měnit, pokud tím nesníží celkovou úroveň zabezpečení.
  3. Zpracovatel Správci pomáhá vyřizovat žádosti subjektů údajů, a to především nástroji Platformy (export dat ve formátu JSON, oprava údajů, zrušení účtu Uživatele nebo Organizace). Žádost, kterou obdrží přímo od subjektu údajů, předá Správci bez zbytečného odkladu a sám na ni věcně neodpoví.
  4. Zpracovatel Správci pomáhá plnit povinnosti podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu a předchozí konzultace), a to s ohledem na povahu zpracování a informace, které má k dispozici.

4. Další zpracovatelé

  1. Správce uděluje Zpracovateli obecné povolení k zapojení dalších zpracovatelů. Aktuální seznam:
    Další zpracovatelČinnostUmístění, záruky
    Railway Corporationhosting aplikace a databáze, zálohyUSA / EU; standardní smluvní doložky (modul 3) nebo EU-U.S. Data Privacy Framework
    Anthropic, PBCpřevod nestrukturovaných ceníků do tabulky (jen při použití funkce)USA; standardní smluvní doložky (modul 3); bez trénování modelů na datech
    poskytovatel příjmu e-mailů (konkrétní poskytovatel bude doplněn do seznamu před spuštěním funkce)příjem zpráv zaslaných na Adresy pro příjem e-mailů a jejich předání Platforměbude uvedeno spolu s poskytovatelem; předání mimo EHP jen se zárukami podle článku 7
    poskytovatel e-mailové služby (SMTP)doručování faktur, upomínek a provozních zpráv (adresa příjemce a obsah zprávy)EU
  2. O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje Zpracovatel Správce nejméně 14 dní předem na Platformě nebo e-mailem Správci Organizace. Správce může v této lhůtě z odůvodněných důvodů týkajících se ochrany osobních údajů vznést námitku. Strany se pokusí nalézt řešení; nenaleznou-li je, může Správce Smlouvu bez sankce vypovědět s účinností před zapojením dalšího zpracovatele.
  3. Zpracovatel uloží dalším zpracovatelům smlouvou stejné povinnosti na ochranu osobních údajů, jaké má podle této smlouvy, včetně dostatečných záruk zavedení technických a organizačních opatření, a odpovídá Správci za plnění jejich povinností (čl. 28 odst. 4 GDPR).
  4. Systémy, které zvolí sám Správce (napojené systémy ERP, produktové feedy, koncové body Webhooků a agenti třetích stran), nejsou dalšími zpracovateli Zpracovatele; údaje jim Zpracovatel předává na pokyn Správce.

5. Porušení zabezpečení osobních údajů

  1. Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, na e-mail Správce Organizace a na Platformě.
  2. Ohlášení obsahuje informace podle čl. 33 odst. 3 GDPR, které má Zpracovatel k dispozici (povaha porušení, kategorie a přibližný počet subjektů a záznamů, kontaktní místo, pravděpodobné důsledky a přijatá nebo navrhovaná opatření); informace, které nejsou známy, doplňuje postupně.
  3. Zpracovatel neprodleně přijme opatření k odstranění porušení a zmírnění jeho následků, se Správcem spolupracuje a porušení dokumentuje. Ohlášení není uznáním odpovědnosti.

6. Informace a audity

  1. Zpracovatel poskytne Správci informace nezbytné k doložení plnění povinností podle čl. 28 GDPR, především prostřednictvím dokumentu Bezpečnost a důvěra a odpovědí na přiměřený bezpečnostní dotazník.
  2. Nepostačují-li tyto informace, umožní Zpracovatel audit Správcem nebo nezávislým auditorem, který je vázán mlčenlivostí a není konkurentem Zpracovatele, a to po oznámení nejméně 30 dní předem, nejvýše jednou za kalendářní rok (s výjimkou porušení zabezpečení nebo požadavku dozorového úřadu), na náklady Správce a bez přístupu k údajům ostatních zákazníků a bez ohrožení jejich bezpečnosti.
  3. Kontrolní pravomoci dozorových úřadů nejsou dotčeny.

7. Předávání mimo EHP

  1. Předávání do třetích zemí probíhá jen se zárukami podle kapitoly V GDPR.
  2. Předává-li Zpracovatel osobní údaje dalšímu zpracovateli v třetí zemi, pro kterou neexistuje rozhodnutí o odpovídající ochraně (nebo příjemce není certifikován v rámci EU-U.S. Data Privacy Framework), uzavře s ním standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914, modul 3 (předání mezi zpracovateli), posoudí právní prostředí země příjemce a přijme doplňující opatření (zejména šifrování při přenosu i uložení a minimalizaci údajů).
  3. Správce taková předání tímto povoluje. Kopii záruk poskytne Zpracovatel Správci na požádání; obchodní ujednání v ní může znečitelnit.

8. Výmaz a vrácení údajů

  1. Po dobu trvání Smlouvy může Správce data Organizace kdykoli exportovat ve formátu JSON a údaje sám vymazat.
  2. Po skončení Smlouvy Zpracovatel podle volby Správce osobní údaje vrátí (export) nebo vymaže, a to do 30 dní včetně kopií, ledaže právní předpis vyžaduje jejich další uložení. Zálohy se přepíší v běžném cyklu nejpozději do 90 dní; do té doby jsou chráněny a nepoužívají se.
  3. Zprávy přijaté na Adresu pro příjem e-mailů se mažou automaticky po 90 dnech. Přístupové údaje k napojenému systému Zpracovatel přestane používat okamžitě po zrušení napojení a vymaže je nejpozději podle odstavce 2.
  4. Na záznamy podle čl. 2 odst. 4 věty druhé a třetí se tento článek nevztahuje.

9. Odpovědnost, přednost a rozhodné právo

Odpovědnost stran se řídí čl. 82 GDPR a Obchodními podmínkami, včetně jejich omezení v rozsahu, v jakém je zákon připouští. Ve věcech ochrany osobních údajů má tato smlouva přednost před Obchodními podmínkami. Smlouva se řídí právem České republiky.

Příloha 1 — Technická a organizační opatření

Podrobnější popis uvádí dokument Bezpečnost a důvěra.