Zpracovatelská smlouva

1. Smluvní strany

Správce: zákazník služby NexiFlow, který si zřídil účet v aplikaci app.nexiflow.cz (dále „zákazník").

Zpracovatel: Jindřich Skalník, IČ 09965360, se sídlem Otín 210, 377 01 Jindřichův Hradec, provozovatel služby NexiFlow (dále „zpracovatel").
E-mail: info@nexiflow.cz

2. Předmět, povaha a účel zpracování

Zpracovatel pro zákazníka provozuje chatbota a chatový widget na jeho webu a související dashboard. Osobní údaje zpracovává výhradně za účelem poskytování služby podle obchodních podmínek: přijímání a ukládání konverzací, generování odpovědí umělou inteligencí, předání konverzace operátorovi zákazníka, zobrazení dat v dashboardu, analytika pro zákazníka a funkce, které si zákazník zapne (např. nahrávání relací nebo sledování košíku).

3. Kategorie subjektů a osobních údajů

Subjekty údajů: návštěvníci webu zákazníka, kteří používají widget, a operátoři, které zákazník pozve do svého týmu.

Kategorie údajů	Kdy se zpracovává
Obsah konverzací a nahrané přílohy	Vždy, když návštěvník píše do chatu
Jméno, e-mail, telefon	Když je návštěvník sám zadá (formulář před chatem, kontaktní brána, zpráva mimo provozní dobu)
IP adresa, identifikátor relace, prohlížeč, zdroj návštěvy (UTM, referrer), navštívené stránky webu zákazníka	Při použití widgetu a při sledování návštěvníků
Obsah a hodnota košíku	Jen na e-shopech, kde je widget propojen s košíkem
Záznam průběhu návštěvy (nahrávka relace)	Jen pokud zákazník funkci nahrávání relací zapne
Hodnocení konverzace (CSAT, NPS)	Když návštěvník konverzaci ohodnotí
Identifikátor zákazníka e-shopu	Jen pokud jej web zákazníka widgetu předá

Zákazník nesmí prostřednictvím služby záměrně shromažďovat zvláštní kategorie osobních údajů (čl. 9 GDPR), například zdravotní údaje, ani údaje o dětech mladších 15 let.

4. Doba zpracování

Zpracování trvá po dobu trvání smlouvy o poskytování služby. Zákazník může data jednotlivých konverzací kdykoli smazat v dashboardu. Po zrušení účtu jsou všechna data zákazníka nevratně smazána do 30 dnů. Zálohy databáze se přepisují v cyklu poskytovatele databáze a nejsou používány k jinému účelu než obnově po havárii.

5. Povinnosti zpracovatele

• Zpracovává osobní údaje pouze na základě doložených pokynů zákazníka. Pokyny jsou dány těmito podmínkami a nastavením, které zákazník provede v dashboardu. Pokud by podle zpracovatele pokyn porušoval právní předpisy, zákazníka na to upozorní.
• Zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí.
• Přijme technická a organizační opatření podle čl. 32 GDPR, uvedená v článku 7.
• Nezapojí dalšího zpracovatele jinak než podle článku 6.
• Pomůže zákazníkovi vyřizovat žádosti subjektů údajů (přístup, oprava, výmaz, přenositelnost). Export kontaktů a konverzací je k dispozici přímo v dashboardu.
• Pomůže zákazníkovi plnit povinnosti podle čl. 32 až 36 GDPR, zejména poskytne informace potřebné pro posouzení vlivu na ochranu osobních údajů.
• Oznámí zákazníkovi porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s informacemi, které má v tu chvíli k dispozici.
• Po skončení smlouvy osobní údaje vymaže podle článku 4; před zrušením účtu si je zákazník může exportovat.
• Poskytne zákazníkovi informace potřebné k doložení splnění těchto povinností a umožní audit, a to po předchozí písemné dohodě o termínu a rozsahu, nejvýše jednou ročně, pokud nejde o šetření dozorového úřadu nebo o porušení zabezpečení.

6. Další zpracovatelé

Zákazník uděluje obecné povolení k zapojení níže uvedených dalších zpracovatelů. O zamýšleném přidání nebo nahrazení dalšího zpracovatele zpracovatel zákazníka informuje e-mailem nebo v dashboardu nejméně 14 dní předem. Zákazník může ze závažného důvodu vznést námitku; pokud se strany nedohodnou, může smlouvu vypovědět a poměrná část předplaceného období mu bude vrácena. Zpracovatel ukládá dalším zpracovatelům stejné povinnosti ochrany údajů, jaké má sám.

Další zpracovatel	Činnost	Umístění
Supabase Inc.	Databáze, přihlašování, úložiště souborů	EU (Frankfurt)
Hetzner Online GmbH	Server aplikace	EU (Německo)
Google Ireland Ltd. (Gemini API)	Generování odpovědí AI a vyhledávání ve znalostní bázi	EU/USA – předání na základě standardních smluvních doložek a rámce EU–USA
Resend Inc.	Odesílání e-mailových notifikací a přepisů konverzací	USA – standardní smluvní doložky

Obsah konverzací se k AI poskytovateli odesílá jen v rozsahu potřebném pro vytvoření odpovědi a poskytovatel jej podle svých podmínek pro placené API nepoužívá k trénování modelů.

7. Technická a organizační opatření

• Šifrování veškeré komunikace (HTTPS/TLS) a šifrování dat v databázi a úložišti u poskytovatele.
• Oddělení dat jednotlivých zákazníků na úrovni databáze (Row Level Security) a kontrola příslušnosti ke zákazníkovi v každém požadavku aplikace.
• Konverzace ve widgetu jsou chráněny podepsaným tokenem, takže je nemůže číst nikdo jiný než návštěvník, který je vedl, a operátoři zákazníka.
• Přístup k produkčním datům mají jen osoby, které jej nezbytně potřebují, s individuálními účty.
• Omezení počtu požadavků (rate limiting) a ochrana proti podvrženým požadavkům na servery třetích stran.
• Pravidelné zálohy v EU a automatické trvalé mazání dat zrušených účtů.

8. Povinnosti zákazníka

Zákazník odpovídá za to, že má pro zpracování osobních údajů svých návštěvníků právní základ, že je o zpracování informuje (například ve svých zásadách ochrany osobních údajů a v cookie liště) a že funkce, které si zapne, používá v souladu s právními předpisy. To platí zejména pro nahrávání relací a sledování návštěvníků, které mohou vyžadovat souhlas návštěvníka.

9. Závěrečná ustanovení

Tato smlouva se řídí právem České republiky a nařízením (EU) 2016/679 (GDPR). V otázkách ochrany osobních údajů má přednost před obchodními podmínkami. Zpracovatel může smlouvu změnit, pokud to vyžadují právní předpisy nebo změna služby; o změně zákazníka informuje nejméně 14 dní předem. Informace o tom, jak zpracováváme osobní údaje samotných zákazníků, najdete v zásadách ochrany osobních údajů.