Smlouva o zpracování osobních údajů (DPA)

dle čl. 28 a 26 GDPR (EU) 2016/679

VERZE 2026-05-14 — DRAFT. Tento dokument je upravená pracovní verze čekající na finální právní review. Změny vůči předchozí verzi: zcela nová retention tabulka per typ dat (2 roky pro kontakty s anonymizací místo „po dobu trvání smlouvy"), nová sekce 6 Joint Controllership dle čl. 26 GDPR, sjednocení breach SLA na 72 hodin (původně chybně 48 h), transparentně uvedená retence záloh (Supabase PITR 30 dní), rozšířená audit práva (15denní lhůta, NDA), 30denní lhůta pro mazání dat po ukončení smlouvy, aktualizovaný a auditovaný seznam podpracovatelů (přidán SMS manager, Anthropic, Google Business Profile API), formalizovaný 30denní notifikační mechanismus pro změny podpracovatelů.

Poslední aktualizace: 14. 5. 2026 Účinnost od: 14. 5. 2026

---

Smluvní strany

Správce (dále jen „Správce" nebo „Klient"): Podnikatel registrovaný ke službě Reputive na app.reputive.cz, který do platformy nahrává nebo synchronizuje kontaktní údaje svých zákazníků za účelem zasílání žádostí o recenzi.

Zpracovatel (dále jen „Zpracovatel" nebo „Reputive"): Digifox s.r.o., IČO: 23894865, sídlem Kostice, Česká republika, Datová schránka: pq4uk35, e-mail: info@reputive.app

Tato DPA je nedílnou součástí Obchodních podmínek a nabývá účinnosti registrací ke službě. Pro vybraná zpracování (zejména odesílání žádostí o recenzi z vlastní domény Reputive) Strany jednají rovněž jako spolusprávci ve smyslu čl. 26 GDPR — viz sekce 6.

---

0. Definice

• GDPR — Nařízení Evropského parlamentu a Rady (EU) 2016/679.
• Osobní údaj, zpracování, správce, zpracovatel, podpracovatel, subjekt údajů — význam dle čl. 4 GDPR.
• Spolusprávci — situace dle čl. 26 GDPR, kdy dva či více správců společně určují účely a prostředky zpracování.
• Anonymizace — nevratné přepsání osobních údajů hodnotou NULL nebo neurčitelnou zástupnou hodnotou tak, aby subjekt údajů nebyl identifikovatelný.
• Suppression list — interní seznam (uložený jako SHA-256 hash) kontaktů, na které se nesmí znovu odeslat zpráva (po odhlášení, bounce nebo žádosti o výmaz).
• Subprocesor / podpracovatel — třetí strana, kterou Zpracovatel zapojuje do zpracování ve smyslu čl. 28 odst. 2 GDPR.

---

1. Předmět a účel zpracování

1.1 Účel

Zpracovatel zpracovává osobní údaje zákazníků Správce za účelem:

• Zasílání automatizovaných e-mailových a SMS žádostí o Google recenzi
• Sledování stavu komunikace (odesláno, doručeno, kliknuto, recenze napsána)
• Deduplikace zákazníků a kontrola proti suppression listu
• Generování návrhů odpovědí na recenze pomocí AI (Google Gemini, Anthropic Claude jako fallback)
• Provoz související infrastruktury (autentizace, audit log, fakturace klienta)

1.2 Typy zpracovávaných dat

• Identifikační údaje: jméno, příjmení
• Kontaktní údaje: e-mailová adresa, telefonní číslo
• Komunikační metadata: datum odeslání, doručení, kliknutí, stav sekvence
• Pseudonymizované údaje: SHA-256 hash e-mailu v suppression listu
• Veřejné obsahy z Google Business Profile: jméno recenzenta, text recenze, hodnocení

1.3 Subjekty údajů

• Zákazníci provozoven Správce — fyzické osoby, které navštívily provozovnu nebo využily služeb Správce.
• Recenzenti Google Business Profile Správce (data jsou veřejně dostupná na Google Maps).

1.4 Trvání zpracování

Po dobu trvání Smlouvy o poskytování služby Reputive. Po jejím ukončení postupuje Zpracovatel dle sekce 4.8.

---

2. Retence dat (doba uchování)

Zpracovatel vede následující retenční politiku per typ dat. Klient může v budoucnu individuálně upravit retenci kontaktů zákazníků v rozsahu 30–1095 dní (funkce v aplikaci se zpřístupní v rámci Pro/Business tarifů).

Anonymizace probíhá denním automatizovaným procesem (cron). První spuštění v ostrém režimu předchází týdenní dry-run s reportem do auditního logu klienta.

---

3. Povinnosti Zpracovatele

3.1 Zpracovávat pouze na pokyn Správce

Zpracovatel zpracovává osobní údaje pouze na základě pokynů Správce (konfigurace v Reputive a tato DPA) a v rozsahu nezbytném pro poskytování služby. O povinném zpracování dle práva EU nebo ČR informuje Správce předem, ledaže by takové informování bylo zákonem zakázáno.

3.2 Mlčenlivost

Osoby zpracovávající data jsou vázány mlčenlivostí, a to i po skončení jejich pracovního vztahu se Zpracovatelem.

3.3 Technická a organizační opatření (čl. 32 GDPR)

Technická opatření:

• Šifrování přenosu (TLS 1.3) a šifrování hesel (bcrypt)
• Row Level Security (RLS) v databázi — izolace dat jednotlivých Správců
• Princip nejmenšího privilegia pro servisní účty
• Automatický monitoring bezpečnostních incidentů (Sentry)
• Zálohování s Point-in-Time Recovery (Supabase PITR, retence max. 30 dní)
• Defenzivní validace vstupů a ochrana proti zneužití API (rate limiting)

Organizační opatření:

• Přístup zaměstnanců a dodavatelů Zpracovatele pouze v nezbytném rozsahu
• Pravidelné bezpečnostní audity kódu před nasazením
• Auditní log administrátorských akcí (včetně impersonace klientského účtu, viz Privacy Policy, sekce 9)
• Dvoufaktorové ověření pro administrátorské účty
• Default-deny pro změnové akce v režimu impersonace klienta

3.4 Podpracovatelé

Správce uděluje obecné povolení pro níže uvedené podpracovatele. O změnách v seznamu podpracovatelů (přidání nového, výměna stávajícího) Zpracovatel Správce informuje e-mailem na adresu administrativního kontaktu uvedenou v účtu nebo prostřednictvím oznámení v aplikaci, a to nejméně 30 dní předem. Pokud Správce s navrženou změnou nesouhlasí, je oprávněn Smlouvu vypovědět bez sankce s účinností k datu plánované změny; v takovém případě Zpracovatel poskytne součinnost s exportem dat.

Aktuální seznam podpracovatelů k datu poslední aktualizace:

Aktuální seznam je rovněž dostupný na reputive.cz/subprocessors a v aplikaci v sekci /dashboard/compliance.

3.5 Pomoc s právy subjektů údajů

Zpracovatel poskytne Správci součinnost při vyřizování žádostí subjektů údajů dle čl. 12 až 22 GDPR. Konkrétní funkce jsou dostupné v aplikaci:

• Právo na přístup a přenositelnost (čl. 15, 20): export dat zákazníka i celého účtu (JSON/CSV) přímo v aplikaci v /dashboard/compliance.
• Právo na opravu (čl. 16): editace záznamu zákazníka v /dashboard/customers/[id].
• Právo na výmaz (čl. 17): tlačítko „Smazat zákazníka na jeho žádost" v /dashboard/customers (jednoduchá akce klienta), případně endpoint POST /api/customers/erase-by-email nebo POST /api/customers/erase-by-id.
• Hromadné akce: „Smazat všechny mé kontakty" a „Stáhnout veškerá data mého účtu" v /dashboard/compliance.
• Historie všech compliance akcí je dostupná v auditním logu klienta (/dashboard/compliance).

Pokud subjekt údajů kontaktuje přímo Zpracovatele, předáme žádost neprodleně Správci. Pro zpracování, ve kterých Strany vystupují jako spolusprávci (viz sekce 6), může subjekt údajů uplatnit svá práva u kterékoli ze Stran.

3.6 Hlášení bezpečnostních incidentů

Bezpečnostní incidenty hlásí Zpracovatel Správci bez zbytečného odkladu, nejpozději do 72 hodin od zjištění (čl. 33 odst. 2 GDPR). Oznámení obsahuje:

• Povahu porušení (kategorie a přibližný počet dotčených subjektů, kategorie a přibližný počet záznamů)
• Kontaktní místo pro získání dalších informací
• Pravděpodobné důsledky porušení
• Přijatá nebo navržená opatření k řešení a zmírnění následků

Pokud nejsou všechny informace dostupné v okamžiku oznámení, jsou doplňovány průběžně. Souhrn nahlášených incidentů je dostupný v /dashboard/compliance.

3.7 Audit

Správce je oprávněn provést audit u Zpracovatele za účelem ověření souladu s GDPR a touto DPA, a to za následujících podmínek:

• Lhůta: Audit Správce písemně oznámí Zpracovateli nejméně 15 dní předem.
• Frekvence: Standardně nejvýše jednou ročně; mimořádný audit lze provést po bezpečnostním incidentu.
• NDA: Auditor (Správce nebo jím pověřená třetí strana, která není konkurentem Zpracovatele) podepíše dohodu o mlčenlivosti.
• Rozsah: Předmětem auditu jsou organizační a technická opatření, podpracovatelé, retenční politika a auditní logy. Předmětem auditu nejsou zdrojový kód, data jiných Správců, ani provozní tajemství Zpracovatele.
• Náklady: Každá strana nese vlastní náklady; pokud audit odhalí podstatné porušení DPA na straně Zpracovatele, hradí Zpracovatel přiměřené externí náklady auditu.

Žádost o audit lze podat e-mailem na info@reputive.app nebo formulářem v /dashboard/compliance.

3.8 Smazání dat po ukončení Smlouvy

Po ukončení Smlouvy Zpracovatel:

1. Po dobu 30 dní (grace period) zachová data Správce v read-only režimu — Správce si v této době může v /dashboard/compliance stáhnout kompletní export svého účtu.
2. Po uplynutí 30 dní Zpracovatel veškerá osobní data Správce a jeho zákazníků anonymizuje (případně smaže tam, kde anonymizace není možná).
3. Faktury a daňové doklady Zpracovatel uchová v souladu se zákonem (§ 35 zák. č. 235/2004 Sb. — 10 let).
4. Compliance audit log se ponechává po dobu uvedenou v sekci 2.
5. Provedení dokumentuje záznam v compliance_audit_log s časovým razítkem.

3.9 Zálohy a obnova

Zpracovatel využívá funkci Point-in-Time Recovery poskytovatele Supabase. Retence záloh je maximálně 30 dní a je rotována automaticky poskytovatelem. Anonymizace a mazání dat na produkčních systémech se tak v zálohách projeví s prodlevou až 30 dní; po této době jsou dotčená data nedostupná i ze záloh. Tento mechanismus je v souladu se stanoviskem EDPB k retenci v zálohách (subject erasure se aplikuje na živá data okamžitě, na zálohy nejpozději při příští rotaci).

---

4. Povinnosti Správce

• Zpracovávat zákaznická data na základě platného právního základu (typicky oprávněný zájem dle čl. 6 odst. 1 písm. f) GDPR, případně souhlasu).
• Informovat zákazníky o zpracování dle čl. 13 GDPR (v podmínkách prodeje, v cookie liště své provozovny, případně samostatným oznámením). Vzor doložky najde Správce v /dashboard/compliance.
• Neposkytovat zvláštní kategorie osobních údajů dle čl. 9 GDPR ani údaje o trestných činech dle čl. 10 GDPR.
• Udržovat aktuální administrativní kontakt v účtu — na něj Zpracovatel zasílá oznámení o změnách podpracovatelů, bezpečnostních incidentech a změnách DPA.
• Bez zbytečného odkladu předávat Zpracovateli žádosti subjektů údajů, které se týkají zpracování provedeného Zpracovatelem.

---

5. Přenos dat mimo EU/EHP

Přenosy do USA jsou zajištěny Standardními smluvními doložkami (SCCs) dle rozhodnutí Komise 2021/914 a v relevantních případech rámcem EU‑U.S. Data Privacy Framework. Hlavní databáze Supabase je fyzicky v EU (Frankfurt) — data zákazníků mimo EU neopouštějí, s výjimkou ad hoc zpracování při generování AI návrhu odpovědi v Google Gemini nebo Anthropic Claude.

---

6. Spolusprávcovství (čl. 26 GDPR)

6.1 Rozsah spolusprávcovství

Pro účel odesílání žádostí o recenzi z vlastní domény Reputive (recenze@reputive.app) a pro provoz souvisejících funkcí (suppression list napříč klienty, deduplikace mezi pobočkami) Strany jednají jako spolusprávci ve smyslu čl. 26 GDPR, neboť společně určují podstatné prostředky zpracování (kanál a doménu odeslání, identitu odesílatele, mechanismus odhlášení, suppression list).

Pro veškerá ostatní zpracování (uložení kontaktů v databázi, sledování stavu komunikace, AI generování návrhů odpovědí, synchronizace recenzí) zůstává vztah klasický správce – zpracovatel dle čl. 28 GDPR.

6.2 Dělba odpovědností

6.3 Kontaktní místo pro subjekty údajů

V souladu s čl. 26 odst. 1 GDPR subjekty údajů mohou uplatnit svá práva u kterékoli ze Stran. Bez ohledu na to, kterou Stranu kontaktují, mají právo na vyřízení své žádosti.

• Kontakt na Reputive: info@reputive.app (předmět: „GDPR žádost"), Datová schránka pq4uk35.
• Kontakt na Klienta je vždy uveden v patičce odeslané žádosti o recenzi.

6.4 Zveřejnění podstaty ujednání

Podstata tohoto ujednání (čl. 26 odst. 2 GDPR) je veřejně dostupná v této DPA a v patičce každé odeslané žádosti o recenzi, kde je uvedeno, že zprávu zasílá konkrétní Klient prostřednictvím služby Reputive jako spolusprávce.

6.5 Solidární odpovědnost

V rozsahu spolusprávcovství dle této sekce platí ustanovení čl. 82 odst. 4 GDPR o solidární odpovědnosti. Vzájemné nároky mezi Stranami z titulu náhrady škody se řídí pravidlem, že každá Strana nese odpovědnost za škodu způsobenou porušením povinností, které jí připadly dle sekce 6.2.

---

7. Rozhodné právo

Tato DPA se řídí právem České republiky a obecně závaznými předpisy EU, zejména GDPR.

---

8. Kontakt

Digifox s.r.o. — provozovatel Reputive E-mail: info@reputive.app Datová schránka: pq4uk35 Web: reputive.cz

Pověřence pro ochranu osobních údajů (DPO) nemáme jmenovaného — povinnost dle čl. 37 GDPR se na nás v současnosti nevztahuje. Pro veškeré dotazy ohledně této DPA použijte výše uvedený e-mail; reagujeme do 30 dnů.