Zpracování osobních údajů

Otto AI, s. r. o.

Účinné od 1. října 2026 · Verze 1.1

Toto je překlad. Právně závazné je znění ve slovenštině.

Tato Smlouva o zpracování osobních údajů (dále jen „DPA“) tvoří nedílnou součást Všeobecných obchodních podmínek (dále jen „VOP“) a Klient ji přijímá spolu s nimi. Uzavírá se ve smyslu čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR“) a zákona č. 18/2018 Z. z., o ochraně osobních údajů.

Smluvní strany:

• Správce: Klient podle VOP (provozovatel webových stránek),
• Zpracovatel: Otto AI, s. r. o., Veľká okružná 17, 010 01 Žilina, IČO: 57 769 354, DIČ: 2123095227, IČ DPH: SK2123095227 (dále jen „Otto“).

Článek 1 - Předmět, povaha, účel a doba zpracování

1.1Otto jako zpracovatel zpracovává osobní údaje jménem Správce výhradně za účelem poskytování Služby (AI prodejní asistent na webových stránkách Správce).

1.2Povaha zpracování: automatizované zpracování údajů Koncových zákazníků při jejich komunikaci s Widgetem.

1.3Doba zpracování: po dobu trvání smlouvy podle VOP; po jejím skončení se postupuje podle čl. 8.

1.4Předmět, kategorie subjektů údajů a typy osobních údajů jsou blíže uvedeny v Příloze A.

Článek 2 - Kategorie subjektů údajů a osobních údajů

2.1Subjekty údajů: Koncoví zákazníci, návštěvníci webových stránek Správce.

2.2Kategorie osobních údajů: kontaktní údaje (jméno, e-mail, telefon, pokud je subjekt údajů poskytne), obsah konverzace a technické údaje (IP adresa, URL stránky, datum a čas, údaje o prohlížeči/zařízení). Podrobnosti v Příloze A.

2.3Otto nezpracovává zvláštní kategorie osobních údajů; Správce se zavazuje takové údaje do Služby nezadávat ani je nevyžadovat.

Článek 3 - Pokyny Správce

3.1Otto zpracovává osobní údaje výhradně na základě doložených pokynů Správce, kterými jsou tato DPA, VOP a nastavení Služby provedená Správcem.

3.2Pokud se Otto domnívá, že pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů, neprodleně o tom informuje Správce.

Článek 4 - Povinnosti Zpracovatele

Otto se ve smyslu čl. 28 odst. 3 GDPR zavazuje:

(a) zpracovávat osobní údaje pouze na základě pokynů Správce, včetně předávání do třetích zemí podle čl. 6;

(b) zajistit, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti;

(c) přijmout vhodná technická a organizační opatření podle čl. 32 GDPR (Příloha C);

(d) zapojovat další zpracovatele (subzpracovatele) pouze za podmínek podle čl. 5;

(e) v rámci možností pomáhat Správci při plnění jeho povinnosti reagovat na žádosti subjektů údajů (právo na přístup, opravu, výmaz, omezení, přenositelnost a právo vznést námitku);

(f) pomáhat Správci při zajišťování plnění povinností podle čl. 32 až 36 GDPR (zabezpečení zpracování, ohlašování a oznamování porušení zabezpečení osobních údajů, posouzení vlivu na ochranu osobních údajů);

(g) po skončení poskytování Služby osobní údaje podle rozhodnutí Správce vymazat nebo vrátit podle čl. 8;

(h) poskytnout Správci informace potřebné k prokázání souladu s čl. 28 GDPR a umožnit audit podle čl. 9.

Článek 5 - Subzpracovatelé

5.1Správce uděluje Ottovi obecné písemné povolení zapojovat subzpracovatele za účelem poskytování Služby.

5.2Aktuální seznam subzpracovatelů je uveden v Příloze B a zveřejněn na ottoai.sk.

5.3Otto informuje Správce o zamýšlené změně subzpracovatelů (přidání nebo nahrazení) předem, a to e-mailem nebo oznámením v administraci. Správce může z oprávněných důvodů vznést proti změně námitku; pokud námitce nelze přiměřeně vyhovět, je Správce oprávněn smlouvu vypovědět podle VOP.

5.4Otto zaváže každého subzpracovatele stejnými povinnostmi v oblasti ochrany údajů, jaké má sám vůči Správci.

Článek 6 - Předávání do třetích zemí

6.1Někteří subzpracovatelé zpracovávají osobní údaje mimo EU/EHP (USA). Takové předání je zajištěno vhodnými zárukami podle čl. 46 GDPR:

• Anthropic PBC (USA): Standardní smluvní doložky (SCC);
• Voyage AI / MongoDB (USA): EU-US Data Privacy Framework (DPF);
• Contabo GmbH (Německo, EU): bez předání do třetí země.

6.2Podrobnosti jsou uvedeny v Příloze B.

Článek 7 - Zabezpečení zpracování

7.1Otto přijímá vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající danému riziku podle čl. 32 GDPR; tato opatření jsou uvedena v Příloze C.

Článek 8 - Výmaz a vrácení osobních údajů

8.1Po skončení poskytování Služby Otto podle rozhodnutí Správce osobní údaje vymaže nebo je vrátí a vymaže existující kopie, pokud právo EU nebo Slovenské republiky nevyžaduje jejich další uchování.

8.2Doba uchovávání osobních údajů činí nejvýše 24 měsíců; na žádost Správce se osobní údaje vymažou dříve.

Článek 9 - Audit a prokázání souladu

9.1Otto na požádání poskytne Správci informace potřebné k prokázání plnění povinností podle čl. 28 GDPR a umožní audit (včetně inspekcí) v přiměřeném rozsahu a čase, při zachování důvěrnosti a bezpečnosti údajů ostatních klientů.

Článek 10 - Porušení zabezpečení osobních údajů

10.1Otto oznámí Správci každé porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, spolu s informacemi potřebnými ke splnění případné povinnosti Správce ohlásit porušení dozorovému úřadu a oznámit je subjektům údajů.

Článek 11 - Povinnosti Správce

11.1Správce odpovídá za zákonnost zpracování a za existenci právního základu zpracování.

11.2Správce informuje své subjekty údajů o zpracování osobních údajů a zajišťuje potřebné souhlasy, zejména souhlas s používáním cookies na svých webových stránkách.

Článek 12 - Závěrečná ustanovení

12.1Tato DPA se řídí právním řádem Slovenské republiky a GDPR; v ostatním platí VOP.

12.2V případě rozporu mezi touto DPA a VOP v otázkách ochrany osobních údajů má přednost tato DPA.

Příloha A - Popis zpracování

• Účel zpracování: poskytování AI prodejního asistenta (odpovědi na dotazy, poradenství při výběru, podpora při reklamacích/vrácení zboží) na webových stránkách Správce.
• Subjekty údajů: návštěvníci (Koncoví zákazníci) Správce.
• Kategorie osobních údajů: jméno, e-mail, telefon (pokud je subjekt údajů poskytne); obsah konverzace; technické údaje (IP adresa, URL stránky, datum a čas, údaje o prohlížeči/zařízení).
• Povaha zpracování: automatizované zpracování za účelem komunikace a poskytnutí odpovědí.
• Doba: po dobu trvání smlouvy; doba uchovávání nejvýše 24 měsíců, případně kratší na žádost Správce.

Příloha B - Seznam subzpracovatelů

Poznámka: Voyage AI se zapojuje pouze při aktivním vektorovém vyhledávání. Pokud Služba běží v lexikálním režimu, embeddings se počítají pouze z produktového katalogu Správce bez osobních údajů Koncových zákazníků.

Příloha C - Technická a organizační opatření (čl. 32 GDPR)

• Šifrování přenosu: veškerá komunikace se Službou probíhá šifrovaně prostřednictvím protokolu HTTPS/TLS.
• Šifrování osobních údajů: kontaktní a identifikační osobní údaje Koncových zákazníků (zejména jméno, e-mail, telefon a související údaje) jsou chráněny aplikačním šifrováním; šifrování se vztahuje i na jejich zálohy včetně kopií v cloudovém úložišti a v offsite úložišti. Obsah konverzací je chráněn řízením přístupu.
• Řízení přístupu: přístup k serverové infrastruktuře a databázi mají výhradně oprávněné osoby prostřednictvím individuálních zabezpečených přístupů; uplatňuje se zásada nejnižších oprávnění.
• Zálohování a obnova: pravidelné (týdenní) automatizované zálohy uchovávané ve více geograficky oddělených lokalitách, a to na primární infrastruktuře, v cloudovém objektovém úložišti (Cloudflare R2) a v sekundárním offsite úložišti; je zajištěna schopnost obnovy údajů ze zálohy.
• Minimalizace údajů: zpracovávají se pouze osobní údaje nezbytné k poskytnutí Služby.
• Provozní logování: provozní záznamy s omezenou dobou uchovávání.
• Umístění údajů: primární zpracování probíhá na infrastruktuře v rámci EU (Německo).