Smlouva o zpracování osobních údajů
Poslední aktualizace: 24. 7. 2026
1. Strany a použitelnost
Tuto smlouvu o zpracování osobních údajů (dále „DPA“) podle čl. 28 GDPR uzavírají David Azarian, K Beranovu 1190/15, Dolní Chabry, 184 00 Praha 8, IČO: 17064619 (dále „Zpracovatel“) a zákazník užívající službu Quizlo (dále „Správce“). DPA tvoří Přílohu č. 1 Obchodních podmínek a použije se automaticky, kdykoli Správce prostřednictvím Služby sbírá či zpracovává osobní údaje respondentů kvízů (dále „Údaje respondentů“). Podpis se nevyžaduje.
2. Popis zpracování
| Předmět | Hosting a zpracování Údajů respondentů odeslaných prostřednictvím kvízů Správce. |
|---|---|
| Doba trvání | Po dobu užívání Služby Správcem, do smazání údajů nebo účtu. |
| Povaha a účel | Sběr přes kvízové formuláře, uložení, zobrazení Správci, agregace analytiky, export (JSON/CSV), doručování webhooků a integrací třetích stran (např. Ecomail, Telegram, Slack, Discord) na místa nastavená Správcem, e-mailová notifikace Správce, výmaz. |
| Typy osobních údajů | Kontaktní údaje dle nastavení Správce (typicky jméno, e-mail, telefon), odpovědi v kvízu, kampaňové (UTM) parametry, kód země odvozený z IP, časové údaje. Zvláštní kategorie údajů (čl. 9 GDPR) jsou zakázány. |
| Kategorie subjektů údajů | Osoby vyplňující kvízy Správce (leady, zákazníci, zájemci). |
3. Povinnosti Správce
Správce prohlašuje, že má pro zpracování právní základ, plní informační povinnost vůči subjektům údajů (vlastní zásady ochrany údajů), uděluje pouze zákonné pokyny a nebude Službu využívat ke sběru zvláštních kategorií údajů, údajů dětí ani čísel platebních karet.
4. Povinnosti Zpracovatele
Zpracovatel:
- zpracovává Údaje respondentů pouze na základě doložených pokynů Správce – jimiž se rozumí funkcionalita Služby tak, jak ji Správce nastaví a užívá – a to i při předávání údajů, ledaže mu zpracování ukládá právo EU či členského státu (v takovém případě Správce informuje, není-li to zakázáno);
- zajišťuje, že osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí;
- zavádí technická a organizační opatření dle Přílohy B (čl. 32 GDPR);
- dodržuje podmínky zapojení subzpracovatelů dle článku 5;
- s přihlédnutím k povaze zpracování je Správci nápomocen při vyřizování žádostí subjektů údajů (Služba nabízí samoobslužný export a mazání; další součinnost na vyžádání);
- je Správci nápomocen při plnění povinností dle čl. 32–36 GDPR (zabezpečení, ohlašování incidentů, posouzení vlivu na ochranu osobních údajů /DPIA/ a předchozí konzultace s dozorovým úřadem) s přihlédnutím k povaze zpracování a dostupným informacím;
- ohlásí Správci porušení zabezpečení Údajů respondentů bez zbytečného odkladu poté, co se o něm dozví, včetně rozumně dostupných informací;
- po ukončení poskytování služeb Údaje respondentů vymaže (smazání leadu, kvízu či účtu je trvale odstraní; zbytkové kopie mizí ze záloh do 30 dnů), ledaže právo EU či členského státu vyžaduje jejich uložení;
- poskytne informace nezbytné k doložení souladu s čl. 28 GDPR a umožní audity dle článku 7.
Zpracovatel Správce informuje, pokud podle jeho názoru určitý pokyn porušuje GDPR.
5. Subzpracovatelé
Správce uděluje obecné povolení k zapojení subzpracovatelů uvedených v Příloze A. O přidání nebo nahrazení subzpracovatele bude Zpracovatel informovat Správce nejméně 14 dní předem e-mailem nebo oznámením v administraci Služby a odpovídajícím způsobem aktualizuje Přílohu A na této stránce. Správce může z rozumných důvodů ochrany údajů vznést námitku; nepodaří-li se ji vyřešit, může dotčené užívání Služby ukončit. Subzpracovatelům Zpracovatel ukládá povinnosti rovnocenné této DPA a za jejich plnění odpovídá.
6. Předávání do třetích zemí
Zahrnuje-li zpracování předání mimo EHP, děje se tak na základě EU-U.S. Data Privacy Framework a/nebo standardních smluvních doložek Evropské komise uzavřených s příslušným subzpracovatelem, doplněných o opatření dle Přílohy B.
7. Audity
Na písemnou žádost, nejvýše jednou ročně, poskytne Zpracovatel dokumentaci rozumně nezbytnou k doložení souladu s touto DPA. Nepostačuje-li to, může Správce (sám či prostřednictvím pověřeného auditora, který není konkurentem) provést audit v pracovní době, s oznámením 30 dní předem, bez narušení provozu a na vlastní náklady. Správce se zavazuje uhradit Zpracovateli veškeré doložené náklady a čas specialistů Zpracovatele strávený poskytováním součinnosti při fyzickém auditu na místě podle aktuálního ceníku Zpracovatele.
8. Odpovědnost a závěrečná ustanovení
Odpovědnost dle této DPA podléhá omezením v Obchodních podmínkách, nestanoví-li GDPR jinak (čl. 82). V otázkách zpracování osobních údajů má DPA před podmínkami přednost. Řídí se českým právem. Existuje v češtině a angličtině; v případě rozporu má přednost česká verze.
Příloha A – Schválení subzpracovatelé
| Subzpracovatel | Zpracování | Umístění / záruky předání |
|---|---|---|
| Cloudflare, Inc. (vč. Cloudflare Workers, D1, R2, Workers AI, Turnstile, Email Sending) | Hosting infrastruktury, databáze a úložiště souborů, doručování transakčních e-mailů, ochrana proti robotům, AI inference | USA / globální síť – EU-U.S. DPF, SCC |
Pozn.: zpracování plateb (Stripe) a přihlášení přes Google se týkají údajů o účtu Správce, u nichž Zpracovatel vystupuje jako správce – viz Zásady ochrany osobních údajů – a nejsou proto subzpracovateli Údajů respondentů podle této DPA.
Příloha B – Technická a organizační opatření
- Šifrování při přenosu (TLS 1.2+) i v klidu (šifrování úložišť spravované poskytovatelem).
- Autentizace s hesly ukládanými jako PBKDF2 otisky se solí; httpOnly, secure session cookies; zneplatnění relací při změně hesla.
- Důsledná izolace zákazníků: každý přístup k datům je vázán na vlastnický účet; veřejné endpointy zpřístupňují pouze publikovaný obsah kvízů.
- Webhooky podepisované HMAC-SHA256 s klíčem pro každý endpoint; cílové adresy webhooků validovány proti interním sítím.
- Ochrana proti robotům (Cloudflare Turnstile), omezení požadavků dle IP, honeypot a časové kontroly veřejných formulářů.
- IP adresy respondentů se k odpovědím neukládají (pouze odvozený kód země).
- Atomické kaskádové mazání leadů, kvízů i účtů; zálohy expirují do 30 dnů.
- Přístup k produkci omezen na oprávněné osoby; tajné klíče v trezoru platformy, nikdy ve zdrojovém kódu.