Smlouva o zpracování osobních údajů
Účinná od 7. 10. 2026. Verze 2026-10-07.
Uzavřená podle čl. 28 odst. 3 nařízení (EU) 2016/679 (GDPR) mezi:
- Správcem — zákazníkem služby Vezmito, tedy firmou, jejíž údaje jsou vedeny u jeho organizace v aplikaci, a
- Zpracovatelem — Drakero Ventures s.r.o., IČO 10923969, Příkop 843/4, 60200 Brno.
Smlouva se uzavírá odsouhlasením v aplikaci a tvoří nedílnou součást obchodních podmínek. Bez ní službu poskytovat nesmíme.
1. Proč tahle smlouva existuje
Volající nechá ve schránce vzkaz. V něm říká své jméno, telefon, adresu — osobní údaje. O tom, proč se ty údaje sbírají a co se s nimi děje, rozhoduje firma, ne my. Firma je proto správcem a my zpracovatelem. GDPR pro takový vztah vyžaduje písemnou smlouvu.
Podrobnosti o tom, co se zpracovává a jak dlouho, jsou v příloze 1. Zabezpečení popisuje příloha 2, seznam dalších zpracovatelů příloha 3.
2. Pokyny správce
Osobní údaje zpracováváme jen podle doložených pokynů správce, včetně pokynů k předání do třetí země. Pokynem se rozumí:
- tato smlouva a obchodní podmínky,
- nastavení, které si správce v aplikaci udělá — zejména text uvítání, doba uchování nahrávek a adresy pro upozornění,
- písemné pokyny zaslané na soukromi@vezmito.cz.
Zpracování nad rámec pokynů provedeme jen tehdy, ukládá-li nám to právo EU nebo členského státu; v takovém případě správce předem vyrozumíme, ledaže to právo zakazuje.
Máme-li za to, že je pokyn v rozporu s GDPR, řekneme to a do vyjasnění ho neprovedeme.
Údaje nepoužíváme pro sebe — k reklamě, k profilování ani k trénování modelů umělé inteligence. Souhrnné statistiky o provozu služby (počty a délky hovorů) používáme k jejímu provozu a rozvoji jen ve formě, ze které nelze určit konkrétní osobu ani konkrétního správce.
3. Mlčenlivost
K osobním údajům pustíme jen ty osoby, které je potřebují ke své práci a které jsou písemně zavázány mlčenlivostí trvající i po skončení spolupráce.
Obsah vzkazů a přepisů nezaznamenáváme do provozních záznamů systému ani do nástrojů pro hlášení chyb.
4. Zabezpečení
Přijali jsme technická a organizační opatření podle čl. 32 GDPR popsaná v příloze 2. Opatření můžeme měnit, nesmí ale klesnout pod úroveň platnou při uzavření smlouvy.
5. Další zpracovatelé
Správce nám tímto uděluje obecné povolení zapojit další zpracovatele. Ti, které používáme dnes, jsou v příloze 3.
Uložíme jim stejné povinnosti, jaké máme my, a odpovídáme za ně jako za sebe.
Než přibereme nového nebo nahradíme stávajícího, oznámíme to nejméně 30 dní předem e-mailem a v aplikaci. Správce může do 30 dnů od oznámení vznést odůvodněnou námitku. Nedohodneme-li se, může smlouvu vypovědět ke dni, kdy má změna nastat, bez sankce a s vrácením poměrné části předplatného.
6. Pomoc s právy subjektů údajů
Obrátí-li se na nás volající se žádostí o přístup, opravu, výmaz nebo s námitkou, sami ji nevyřizujeme — vyřizuje ji správce. Žádost mu bez zbytečného odkladu předáme a dáme mu vědět.
Poskytneme mu součinnost, kterou k vyřízení potřebuje: aplikace umožňuje nahrávku i požadavek zobrazit, exportovat a smazat. Nestačí-li to, pomůžeme technicky. Za běžnou součinnost si nic neúčtujeme.
7. Pomoc s bezpečností a ohlašováním
Pomůžeme správci splnit povinnosti podle čl. 32 až 36 GDPR v rozsahu, který odpovídá povaze zpracování a informacím, které máme.
Zjistíme-li porušení zabezpečení, oznámíme to správci bez zbytečného odkladu, nejpozději do 48 hodin od chvíle, kdy se o něm dozvíme. Oznámení bude obsahovat popis toho, co se stalo, kterých údajů a kolika osob se to týká, jaké mohou být následky a co s tím děláme. Co v tu chvíli nevíme, doplníme postupně.
Ohlášení Úřadu pro ochranu osobních údajů a vyrozumění dotčených osob je věcí správce — my dodáme podklady.
8. Po skončení smlouvy
Po ukončení služby data 30 dní ponecháme přístupná k vyzvednutí. Poté nahrávky i přepisy smažeme, včetně kopií v záloze nejpozději při jejím vypršení.
Správce může místo výmazu požádat o předání dat; učiníme tak ve strojově čitelném formátu.
Neplatí to pro údaje, které musíme uchovat podle práva — zejména účetní doklady a záznam o odsouhlasení právních dokumentů. Ty držíme jen po nezbytnou dobu a chráníme je dál podle přílohy 2.
9. Doložení a kontrola
Na žádost správce poskytneme informace nutné k doložení toho, že povinnosti z této smlouvy plníme.
Správce má právo na audit — vlastní nebo pověřeným auditorem. Termín se domlouvá nejméně 14 dní předem, audit probíhá v pracovní době a nesmí ohrozit provoz ani důvěrnost údajů jiných správců. Jednou za rok si audit neúčtujeme, další v tomtéž roce jen tehdy, vyvolala-li ho naše zjištěná chyba.
10. Trvání
Smlouva trvá po dobu poskytování služby a zaniká s ní. Povinnosti podle článků 3 a 8 trvají i poté.
Příloha 1 — Popis zpracování
| Položka | Obsah |
|---|---|
| Předmět | Provoz hlasové schránky s přepisem vzkazů pro správce. |
| Doba | Po dobu trvání smlouvy o poskytování služby. |
| Povaha a účel | Příjem hovoru, pořízení a uložení nahrávky, automatický převod řeči na text, zpřístupnění správci v aplikaci, rozesílání upozornění na jím zadané adresy, výmaz nahrávek po uplynutí nastavené doby. |
| Kategorie subjektů údajů | Osoby volající na číslo přesměrované správcem — zpravidla jeho zákazníci a zájemci o službu. |
| Kategorie osobních údajů | Telefonní číslo volajícího. Zvukový záznam hlasu. Přepis záznamu do textu. Provozní údaje o hovoru: čas, délka, volané číslo, výsledek. Obsah vzkazu je na volajícím — typicky jméno, popis požadavku, někdy adresa a další údaje, které volající sám ve vzkazu uvede. |
| Zvláštní kategorie údajů | Nejsou předmětem zpracování a služba k nim není určena. Volající je do vzkazu může teoreticky vložit sám; správce na to při nastavení služby myslí. |
| Doba uchování | Nahrávka nejvýše po dobu nastavenou správcem u jeho organizace, ve výchozím stavu 90 dní. Přepis a údaje o hovoru po dobu trvání smlouvy. |
Příloha 2 — Technická a organizační opatření
Přístup k datům
- Oddělení jednotlivých správců vynucuje databáze sama (row level security), ne jen aplikační kód. Dotaz uživatele jedné firmy se k datům jiné nedostane ani při chybě v programu.
- Do aplikace se vstupuje osobním přístupovým kódem nebo jednorázovým odkazem na e-mail. Kód je uložen jen jako otisk. Odkaz platí 15 minut a po použití se maže.
- Přihlášení se kontroluje na jediném místě v aplikaci, takže na nově přidané obrazovce nemůže chybět.
Nahrávky
- Leží na disku serveru mimo webový prostor, nejsou dostupné přímým odkazem.
- Ven se vydají jen proti podepsanému odkazu s platností nejvýš 10 minut, a to přihlášenému uživateli daného správce.
- Kopie u telefonního operátora se maže bezprostředně po stažení k nám.
- Po uplynutí doby uchování je maže automatická úloha a pořizuje o tom auditní záznam.
Přenos a server
- Veškerá komunikace přes HTTPS s certifikátem od důvěryhodné autority.
- Na server lze přistoupit jen klíčem, přihlášení heslem je vypnuté. Databáze naslouchá pouze lokálně a z internetu není dostupná.
- Aplikace běží pod vlastním systémovým účtem s omezeným oprávněním.
- Odchozí pošta jde z vlastního serveru, podepsaná DKIM.
Provoz
- Obsah vzkazů se nezapisuje do provozních záznamů ani do nástrojů pro hlášení chyb.
- Úkony uživatelů v aplikaci se zaznamenávají do auditní stopy, kterou nelze z aplikace smazat.
- Záznam o hovoru se nemaže nikdy — je zároveň důkazem o tom, co se s hovorem stalo.
- Denní záloha databáze, nahrávek i konfigurace; přístup k zálohám má jen správce serveru. Obnova je ověřená zkušebním obnovením a porovnáním dat.
- Přístup k produkčnímu prostředí má jen nezbytný okruh osob vázaných mlčenlivostí.
Příloha 3 — Další zpracovatelé
| Zpracovatel | Co pro nás dělá | Kde zpracovává |
|---|---|---|
| Twilio (telefonní služby) | příjem hovoru, přehrání uvítání, pořízení nahrávky a její předání k nám | EU; zpracování může proběhnout i v USA |
| OpenAI (převod řeči na text) | jednorázový převod nahrávky na text | zpracování může proběhnout i v USA |
| Váš Hosting (server) | provoz serveru, na němž aplikace i data leží; jeho správci mají technický přístup k serveru | Česká republika |
Nahrávka u Twilia neleží déle než po dobu nutnou k jejímu stažení k nám, poté ji u nich mažeme.
Předání mimo EHP je kryto standardními smluvními doložkami Evropské komise, případně rozhodnutím o odpovídající ochraně. Oba zahraniční zpracovatelé se podle svých podmínek zavazují nepoužívat data předaná rozhraním, které používáme, k trénování svých modelů.