WEB STUDIO

Zpracovatelská smlouva

Zpracování osobních údajů zákazníků obchodů na platformě (čl. 28 GDPR) · Verze 2.1, platná od 29. 10. 2026

Tato smlouva o zpracování osobních údajů („Zpracovatelská smlouva“) je přílohou Podmínek užívání WEB STUDIO („Podmínky“) a uzavírá se spolu s nimi mezi provozovatelem obchodu jako správcem („Klient“) a společností AVITONA s.r.o., se sídlem Na Folimance 2155/15, 120 00 Praha 2, IČO 24075051, DIČ CZ24075051, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 438333, e-mail eshopstudio@avitona.cz, telefon +420 245 008 628 jako zpracovatelem („Poskytovatel“). Uzavírá se podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 („GDPR“) a zákona č. 110/2019 Sb., o zpracování osobních údajů. Platí jen pro obchody provozované na platformě Poskytovatele; obchod na vlastním hostingu Klienta zpracovává osobní údaje výhradně na serveru Klienta.

1. Předmět a účel zpracování

1.1 Poskytovatel pro Klienta zpracovává osobní údaje, které Klient nebo jeho zákazníci uloží do obchodu na platformě WEB STUDIO, a to jen v rozsahu nutném k poskytování Služby podle Podmínek: uložení a zálohování dat obchodu, jejich zobrazení v obchodě a v administraci, odesílání e-mailů obchodu jménem Klienta, zabezpečení a technická podpora.

1.2 Poskytovatel osobní údaje nepoužívá pro vlastní účely, neprodává je, nepředává je dalším osobám kromě schválených dalších zpracovatelů (čl. 5) a neprovádí nad nimi profilování ani marketing.

2. Kategorie subjektů a osobních údajů, doba zpracování

2.1 Subjekty údajů: zákazníci a návštěvníci obchodu, odběratelé novinek, osoby, které obchod kontaktují (dotazy, reklamace, odstoupení, hodnocení), a uživatelé administrace obchodu (správci Klienta).

2.2 Osobní údaje: identifikační a kontaktní údaje (jméno, adresa, e-mail, telefon, u firem IČO a DIČ), údaje o objednávkách, platbách a dopravě (bez čísel platebních karet – platby kartou zpracovává platební brána, kterou si Klient zvolí), obsah komunikace včetně příloh (např. fotky vad u reklamace), hodnocení, souhlasy (např. s odběrem novinek) a technické údaje (IP adresa v záznamech o přihlášení a činnosti, údaje relace).

2.3 Zvláštní kategorie osobních údajů (čl. 9 GDPR) Služba nezpracovává a Klient je do obchodu nesmí ukládat bez předchozí písemné dohody s Poskytovatelem.

2.4 Zpracování trvá po dobu trvání Podmínek a dále po dobu potřebnou k vrácení a výmazu údajů podle čl. 8.

3. Pokyny Klienta

3.1 Poskytovatel zpracovává osobní údaje jen na základě doložených pokynů Klienta. Pokyny jsou tato smlouva, Podmínky a nastavení a úkony, které Klient nebo jeho správci provedou v administraci obchodu (např. smazání zákazníka, export údajů, nastavení doby uchování). Další pokyny dává Klient e-mailem na eshopstudio@avitona.cz.

3.2 Pokud by podle názoru Poskytovatele pokyn porušoval právní předpisy, Poskytovatel na to Klienta bez zbytečného odkladu upozorní a do vyjasnění nemusí pokyn provést. Zpracování, které Poskytovateli ukládá právní předpis, Poskytovatel Klientovi oznámí, pokud to předpis nezakazuje.

4. Povinnosti Poskytovatele

4.1 Poskytovatel zajistí, aby se k mlčenlivosti zavázaly všechny osoby, které mají k osobním údajům přístup, a aby k nim měly přístup jen osoby, které ho potřebují k plnění Služby.

4.2 Poskytovatel přijme technická a organizační opatření podle čl. 32 GDPR uvedená v příloze této smlouvy a bude je přiměřeně stavu techniky udržovat a zlepšovat.

4.3 Do administrace konkrétního obchodu vstupuje Poskytovatel jen kvůli podpoře, údržbě, bezpečnosti nebo na žádost Klienta; každý takový vstup se zaznamenává.

4.4 Poskytovatel Klientovi pomůže splnit povinnosti vůči subjektům údajů (přístup, oprava, výmaz, přenositelnost, námitka). K tomu slouží především funkce administrace (vyhledání, úprava, export a smazání údajů); pokud nestačí, Poskytovatel pomůže na žádost Klienta v přiměřené lhůtě. Žádost subjektu, která přijde přímo Poskytovateli, předá Klientovi.

4.5 Poskytovatel Klientovi poskytne součinnost při plnění povinností podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace) v rozsahu informací, které má k dispozici.

4.6 Porušení zabezpečení osobních údajů Poskytovatel ohlásí Klientovi bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, s popisem povahy porušení, pravděpodobných důsledků, dotčených kategorií a přibližného počtu subjektů a přijatých opatření. Ohlášení dozorovému úřadu a subjektům údajů provádí Klient jako správce.

4.7 Poskytovatel Klientovi zpřístupní informace potřebné k doložení plnění této smlouvy a umožní audit nebo kontrolu prováděnou Klientem nebo jím pověřeným auditorem vázaným mlčenlivostí, a to po oznámení nejméně 30 dní předem, nejvýše jednou za kalendářní rok (častěji jen po porušení zabezpečení nebo na žádost dozorového úřadu) a tak, aby nebyl ohrožen provoz ani data ostatních klientů. Náklady auditu nese Klient.

5. Další zpracovatelé

5.1 Klient uděluje Poskytovateli obecné povolení zapojit další zpracovatele, kteří pro Poskytovatele zajišťují provoz Služby. Poskytovatel s nimi uzavře smlouvu se stejnými povinnostmi ochrany osobních údajů, jaké má podle této smlouvy, a za jejich plnění odpovídá jako za své.

5.2 Aktuální další zpracovatelé: provozovatel serveru a datového centra, na kterém platforma běží – [doplní AVITONA: název, sídlo, země umístění serveru].

5.3 O zamýšleném přidání nebo výměně dalšího zpracovatele Poskytovatel Klienta informuje e-mailem nebo v administraci nejméně 30 dní předem. Klient může ze závažných důvodů souvisejících s ochranou osobních údajů vznést námitku; pokud se strany nedohodnou, může Klient Podmínky vypovědět bez sankce.

5.4 Za další zpracovatele Poskytovatele se nepovažují služby, které si Klient v obchodě zapne a se kterými má vlastní smluvní vztah (např. platební brány, dopravci, banka, vlastní SMTP server pro odesílání e-mailů, srovnávače zboží). Údaje jim obchod předává na pokyn Klienta a Klient odpovídá za smluvní vztah s nimi.

6. Předávání mimo EU

Osobní údaje se ukládají a zpracovávají v Evropské unii nebo v Evropském hospodářském prostoru. Mimo ně je Poskytovatel předá jen s předchozím souhlasem Klienta a za podmínek kapitoly V GDPR.

7. Povinnosti Klienta

7.1 Klient jako správce odpovídá za to, že osobní údaje zpracovává zákonně (má k tomu právní titul), že subjekty údajů řádně informoval (zásady ochrany osobních údajů obchodu) a že jeho pokyny jsou v souladu s právními předpisy.

7.2 Klient nastaví a dodržuje přiměřenou dobu uchování osobních údajů a nepotřebné údaje maže nebo anonymizuje (administrace k tomu nabízí funkce).

7.3 Klient chrání přístupové údaje do administrace, přiděluje oprávnění jen osobám, které je potřebují, a odpovídá za činnost svých správců.

8. Ukončení zpracování

8.1 Po skončení Podmínek si Klient může ještě 30 dní stáhnout úplnou zálohu obchodu včetně osobních údajů (administrace › Zálohy) nebo o ni požádat.

8.2 Poté Poskytovatel data obchodu včetně osobních údajů smaže; ze záloh platformy zmizí nejpozději po uplynutí doby jejich uchovávání, nejdéle do dalších 30 dní. Uchovat je smí jen tehdy, pokud to vyžaduje právní předpis.

9. Závěrečná ustanovení

9.1 Odpovědnost stran za škodu se řídí Podmínkami a GDPR. Tato smlouva trvá po dobu trvání Podmínek a do splnění povinností podle čl. 8.

9.2 Při rozporu mezi touto smlouvou a Podmínkami má ve věcech ochrany osobních údajů přednost tato smlouva.

9.3 Změny této smlouvy se řídí stejně jako změny Podmínek (čl. 12 Podmínek).

Příloha: technická a organizační opatření