Zpracovatelská smlouva

Tato smlouva upravuje zpracování osobních údajů podle článku 28 nařízení (EU) 2016/679 (GDPR). Je nedílnou součástí obchodních podmínek služby Advertify a klient ji přijímá spolu s nimi.

Smlouva nemá vlastní verzi. Sdílí verzi a účinnost obchodních podmínek, aktuálně verze 2.5, účinná od 6. 10. 2026.

---

1. Smluvní strany

Správce: klient, tedy podnikatel, který užívá službu Advertify. Identifikován je údaji uvedenými ve svém uživatelském účtu.

Zpracovatel: Ondřej Brabec, IČO 19356382, se sídlem Bolevecká 1409/6, 301 00 Plzeň, e-mail ondra@advertify.cz.

2. Předmět a účel zpracování

Zpracovatel zpracovává osobní údaje pro správce výhradně za účelem poskytování služby Advertify, tedy pro analýzu výkonu reklamních kampaní, přípravu doporučení, kontrolu kvality doporučení, zlepšování služby a provádění změn v reklamních účtech správce. Výsledky kontroly kvality a zlepšování služby používá jen v obecné podobě, bez vazby na správce a bez osobních údajů jeho zákazníků.

Zpracování probíhá elektronicky, automatizovaně, na serverech zpracovatele a jeho podzpracovatelů.

3. Doba zpracování

Po dobu trvání smlouvy o užívání služby a dále po dobu 30 dnů po jejím ukončení nebo po vyvolání smazání firmy. Po uplynutí této lhůty se údaje odstraňují podle článku 10.

4. Kategorie subjektů údajů

• Koncoví zákazníci a návštěvníci webu správce, jejichž údaje se promítají do dat reklamních a analytických platforem, zpravidla v agregované nebo pseudonymizované podobě.
• Zaměstnanci a spolupracovníci správce, kteří mají přístup do jeho uživatelského účtu.
• Osoby, jejichž údaje správce sám vloží do služby, například v poznámkách nebo v hlasových zprávách.

5. Kategorie osobních údajů

• Identifikátory a názvy reklamních účtů, kampaní, sestav a reklam.
• Výkonnostní a statistické údaje z reklamních a analytických platforem, včetně údajů o publikách, demografii, geografii a zařízeních.
• Obsah reklamních sdělení a kreativ.
• Přístupové a obnovovací tokeny k propojeným reklamním účtům.
• Údaje o uživatelích účtu správce: e-mail, jméno, název firmy, telefonní číslo pro komunikaci prostřednictvím WhatsApp.
• Obsah komunikace mezi správcem a službou: textové zprávy, hlasové zprávy a jejich přepisy, poznámky vložené správcem.
• Obsah veřejně dostupných webových stránek a profilů, které správce určí ke stažení a vyhodnocení.
• Obsah produktových souborů pro srovnávače zboží.

Zpracovatel nezpracovává zvláštní kategorie osobních údajů podle článku 9 GDPR. Vloží-li je správce do služby, činí tak na vlastní odpovědnost.

6. Povinnosti zpracovatele

Zpracovatel se zavazuje:

a) zpracovávat osobní údaje pouze na základě doložených pokynů správce; za pokyn se považuje užívání služby v souladu s obchodními podmínkami, včetně kontroly kvality doporučení a zlepšování služby podle článku 14 obchodních podmínek. Výsledky této kontroly a zlepšování se používají jen v obecné podobě, bez vazby na správce a bez osobních údajů jeho zákazníků. Bude-li zpracovatel povinen zpracovat údaje na základě právního předpisu, informuje o tom správce, ledaže mu to právní předpis zakazuje;

b) zajistit, aby osoby oprávněné zpracovávat osobní údaje byly zavázány k mlčenlivosti;

c) přijmout technická a organizační opatření podle článku 32 GDPR v rozsahu podle článku 7 této smlouvy;

d) zapojit dalšího zpracovatele pouze za podmínek podle článku 8;

e) být správci nápomocen při plnění žádostí subjektů údajů podle článků 12 až 23 GDPR, a to poskytnutím údajů, kterými disponuje, bez zbytečného odkladu, nejpozději do 10 pracovních dnů od doručení žádosti správce;

f) být správci nápomocen při plnění povinností podle článků 32 až 36 GDPR, zejména při ohlašování porušení zabezpečení a při posouzení vlivu na ochranu osobních údajů;

g) ohlásit správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozvěděl, a poskytnout mu informace potřebné k jeho ohlášení dozorovému úřadu;

h) po ukončení poskytování služby osobní údaje odstranit nebo je správci vrátit podle článku 10;

i) poskytnout správci informace potřebné k doložení plnění povinností podle článku 28 GDPR a umožnit audit podle článku 9;

j) neprodleně informovat správce, pokud podle jeho názoru pokyn správce porušuje GDPR nebo jiný právní předpis o ochraně osobních údajů.

7. Zabezpečení

Zpracovatel uplatňuje zejména tato opatření:

• šifrování přenosu dat (TLS);
• uložení přístupových tokenů k reklamním účtům v šifrovaném trezoru databáze; souběžně je vedena nešifrovaná záložní kopie v databázovém sloupci, který je přístupný pouze serverové části aplikace, nikoli přihlášeným uživatelům;
• oddělení dat jednotlivých správců na úrovni databáze, s vynucením přístupových pravidel přímo v databázi;
• řízený a evidovaný přístup k produkčnímu prostředí;
• vícefaktorové ověření u přístupů k infrastruktuře;
• pravidelné zálohování;
• záznam všech zásahů do reklamních účtů s údajem o čase a původci.

Zpracovatel je oprávněn opatření měnit, nesmí tím však snížit dosaženou úroveň zabezpečení.

8. Další zpracovatelé

Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Zpracovatel jim uloží stejné povinnosti, jaké má sám podle této smlouvy, a odpovídá za jejich plnění.

8.1 Aktuální seznam

Reklamní platformy nejsou dalšími zpracovateli. Meta, Google Ads a Sklik (včetně Zboží.cz) jsou platformy, kam data odcházejí na pokyn správce a kde s nimi jejich provozovatelé nakládají podle vlastních podmínek jako samostatní správci.

Aktuální seznam je vždy dostupný na https://advertify.cz/dpa.

8.2 Řetězení přes bránu

Volání jazykových modelů Google Gemini probíhá prostřednictvím brány provozované společností Lovable AB. Lovable v tomto případě není poskytovatelem modelu, ale prostředníkem, jehož prostřednictvím se data dostávají ke koncovému poskytovateli. V řetězci tedy vystupují oba subjekty a oba jsou uvedeny v seznamu. Modely Anthropic a OpenAI volá zpracovatel přímo, bez brány.

8.3 Změny seznamu

Zpracovatel informuje správce o zamýšlené změně v seznamu dalších zpracovatelů nejméně 30 dní předem, a to e-mailem nebo oznámením v aplikaci.

Správce může proti změně ve lhůtě 30 dnů vznést námitku. Vznese-li ji, jedná zpracovatel se správcem o řešení; nepodaří-li se ho nalézt, je správce oprávněn smlouvu vypovědět bez sankce ke dni zapojení nového zpracovatele.

9. Audit

Zpracovatel poskytne správci na jeho písemnou žádost informace potřebné k doložení plnění povinností podle článku 28 GDPR.

Správce je oprávněn provést kontrolu nejvýše jednou za 12 měsíců, po písemném ohlášení nejméně 30 dní předem, v pracovní době a způsobem, který nenaruší provoz služby. Náklady na kontrolu nese správce, ledaže kontrola prokáže podstatné porušení povinností zpracovatele.

Zpracovatel může namísto kontroly poskytnout doklady o zabezpečení, kterými disponuje, nebo doklady svých dalších zpracovatelů.

10. Ukončení a odstranění údajů

Po ukončení poskytování služby zpracovatel osobní údaje odstraní, ledaže mu jejich uchování ukládá právní předpis.

Odstranění probíhá takto:

• Správce vyvolá smazání firmy v nastavení aplikace. Tím začíná běžet 30denní lhůta, během níž lze smazání zrušit.
• Po jejím uplynutí se nevratně odstraní veškerá data správce, včetně přístupových tokenů k reklamním účtům (v trezoru i v záložním sloupci) a nahraných souborů, a odhlásí se všechny relace.
• Záznamy v protokolu o provedených zásazích zůstávají zachovány v anonymizované podobě, bez vazby na konkrétního správce.
• Odpojí-li správce jednotlivý reklamní účet, odstraní se propojení, tokeny a stažené kampaně s metrikami. Doporučení, experimenty, obchodní kontext a záznam zásahů zůstávají, protože patří firmě, nikoli účtu.
• Provozní záznamy (komunikace WhatsApp, přepisy hlasových zpráv, chyby aplikace, využití jazykových modelů) se uchovávají 90 dnů, záznamy o odmítnutých přístupech a zápisech 180 dnů.
• Účetní a daňové doklady se uchovávají po dobu stanovenou právními předpisy.

Před smazáním má správce možnost svá data vyexportovat ve strojově čitelném formátu.

Odvolání oprávnění u reklamních platforem. Smazáním dat zaniká přístup zpracovatele k reklamním účtům správce, zpracovatel však neodvolává udělené oprávnění na straně platforem Meta a Google. Správce je oprávněn odebrat je přímo v nastavení svého účtu u příslušné platformy; zpracovatel mu k tomu poskytne potřebné údaje.

11. Předávání mimo Evropskou unii

Někteří další zpracovatelé jsou usazeni mimo Evropský hospodářský prostor, zejména ve Spojených státech amerických. Předávání se uskutečňuje na základě vhodných záruk podle kapitoly V GDPR, zpravidla standardních smluvních doložek Evropské komise nebo certifikace v rámci rámce EU-USA pro ochranu osobních údajů.

Aktuální podklady k jednotlivým zpracovatelům poskytne zpracovatel na žádost správce.

12. Rozdělení odpovědnosti

Správce odpovídá za právní titul zpracování údajů koncových zákazníků, za splnění informační povinnosti vůči nim, za správnost nastavení měření na svém webu a za obsah, který do služby vloží.

Zpracovatel odpovídá za zpracování v souladu s pokyny správce a za opatření podle článku 7.

Odpovědnost zpracovatele za škodu se řídí článkem 12 obchodních podmínek, není-li to v rozporu s kogentními ustanoveními GDPR.

13. Závěrečná ustanovení

Tato smlouva se řídí právem České republiky a vykládá se v souladu s GDPR.

Je-li některé ustanovení této smlouvy v rozporu s GDPR, použije se GDPR.

Změny této smlouvy se řídí článkem 16 obchodních podmínek.

Verze 2.4.1 opravuje kontaktní e-mail na ondra@advertify.cz, jiné změny neobsahuje.

Verze 2.5 doplňuje kontrolu kvality doporučení a zlepšování služby mezi účely zpracování a doložené pokyny správce a omezuje použití výsledků na obecnou podobu bez osobních údajů zákazníků správce.

---

Advertify, zpracovatelská smlouva, součást obchodních podmínek verze 2.5, účinná od 6. 10. 2026