Smlouva o zpracování osobních údajů (šablona)

Toto je šablona smlouvy o zpracování osobních údajů (DPA), kterou GPT Workspace uzavírá s firemními zákazníky. Pro obdržení předvyplněné verze napište na contact@gpt.space s právním názvem vaší společnosti, adresou, kontaktní osobou a počtem licencí. Procesoři, které smlouva jmenuje, jsou uvedeni a aktuálně udržováni v Trust Center.

Tato šablona je poskytnuta pro informaci a nepředstavuje právní radu. Před podpisem ji nechte zkontrolovat vaším právním poradcem. Pole v hranatých závorkách se vyplní před podpisem.

---

Tato Smlouva o zpracování osobních údajů („DPA“) tvoří součást smlouvy o používání služby GPT Workspace („Služba”) mezi:

• [PRÁVNÍ NÁZEV ZÁKAZNÍKA], [ADRESA ZÁKAZNÍKA], [IČO] („Zákazník” nebo „Správce“), a
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA („Poskytovatel” nebo „Zpracovatel“),

společně „Strany“. Je uzavřena dne [DATUM ÚČINNOSTI] a platí po dobu, po kterou Poskytovatel zpracovává Osobní údaje jménem Zákazníka.

„GDPR” znamená nařízení (EU) 2016/679 a, je-li to relevantní, UK GDPR podle definice v Data Protection Act 2018. „Osobní údaje“, „Zpracování”, „Správce“, „Zpracovatel”, „Subjekt údajů“, „Dohledový úřad” a „Narušení osobních údajů” mají významy uvedené v čl. 4 GDPR. „Subzpracovatel” znamená třetí stranu, kterou Poskytovatel pověřil ke zpracování Osobních údajů jménem Zákazníka. „Údaje Zákazníka” znamenají Osobní údaje, které Poskytovatel zpracovává pro Zákazníka v rámci smlouvy o Službě, jak je popsáno v Příloze 1.

2.1 Zákazník je Správcem a Poskytovatel je Zpracovatelem Údajů Zákazníka. Pokud Zákazník vystupuje jako zpracovatel pro své vlastní klienty, Poskytovatel vystupuje jako subzpracovatel a Zákazník ručí za to, že jeho vlastní pokyny jsou oprávněny příslušným správcem.

2.2 Předmět, doba trvání, povaha a účel Zpracování, typy Osobních údajů a kategorie Subjektů údajů jsou uvedeny v Příloze 1.

3.1 Poskytovatel zpracovává Údaje Zákazníka výhradně na základě zdokumentovaných pokynů Zákazníka, včetně přenosů do třetí země, pokud to nevyžaduje právo Unie nebo členského státu, jemuž Poskytovatel podléhá. V takovém případě Poskytovatel informuje Zákazníka o tomto právním požadavku před zpracováním, pokud to právo nezakazuje.

3.2 Pokyny Zákazníka jsou: smlouva o Službě, tato DPA, konfigurace, kterou Zákazník a jeho uživatelé nastaví ve Službě, a požadavky, které uživatelé Zákazníka odesílají Službě. Poskytovatel neprodleně informuje Zákazníka, pokud se podle jeho názoru pokyn porušuje GDPR.

Poskytovatel zajišťuje, že osoby pověřené zpracováním Údajů Zákazníka se zavázaly k důvěrnosti nebo podléhají příslušné zákonné povinnosti mlčenlivosti a že přístup je omezen na to, co každá osoba potřebuje k poskytnutí Služby.

Poskytovatel uplatňuje technická a organizační opatření uvedená v Příloze 2 a průběžně je přezkoumává. S přihlédnutím ke stavu techniky, nákladům na implementaci a k povaze, rozsahu, kontextu a účelům Zpracování tato opatření zajišťují úroveň bezpečnosti odpovídající riziku.

6.1 Zákazník uděluje Poskytovateli obecný písemný souhlas s využíváním Subzpracovatelů uvedených v Příloze 3.

6.2 Poskytovatel informuje Zákazníka o jakémkoli plánovaném přidání nebo výměně Subzpracovatele alespoň [30] dnů před účinností změny, e-mailem na [E-MAIL PRO OZNÁMENÍ ZÁKAZNÍKOVI] a aktualizací seznamu na https://gpt.space/trust. Zákazník může v tomto období vznést námitku z oprávněných důvodů ochrany údajů. Pokud Strany nedokážou námitku vyřešit, Zákazník může bez sankce ukončit dotčenou část Služby.

6.3 Poskytovatel ukládá každému Subzpracovateli smluvně stejné povinnosti v oblasti ochrany údajů, jaké jsou uvedeny v této DPA, zejména poskytnutí dostatečných záruk k uplatnění příslušných technických a organizačních opatření. Pokud Subzpracovatel nesplní své povinnosti, Poskytovatel nadále plně odpovídá Zákazníkovi za plnění povinností toho Subzpracovatele.

S přihlédnutím k povaze Zpracování Poskytovatel asistuje Zákazníkovi vhodnými technickými a organizačními opatřeními, pokud je to možné, při plnění povinnosti Zákazníka reagovat na žádosti o uplatnění práv Subjektu údajů podle hlavy III GDPR. Poskytovatel předává Zákazníkovi bez zbytečného odkladu jakýkoli požadavek přijatý přímo od Subjektu údajů týkající se Údajů Zákazníka a neodpovídá na něj, s výjimkou případů, kdy tak učiní na pokyn Zákazníka nebo pokud to vyžaduje právo.

Poskytovatel asistuje Zákazníkovi při zajišťování dodržování povinností podle čl. 32 až 36 GDPR (bezpečnost, oznámení o narušení, posouzení vlivu na ochranu údajů a předchozí konzultace), s přihlédnutím k povaze Zpracování a informacím dostupným Poskytovateli.

Poskytovatel oznámí Zákazníkovi bez zbytečného odkladu, a v každém případě do [48] hodin, poté, co se dozví o Narušení osobních údajů týkajícím se Údajů Zákazníka, e-mailem na [E-MAIL PRO OZNÁMENÍ ZÁKAZNÍKOVI]. Oznámení popisuje, pokud je v dané době známo, povahu narušení, kategorie a přibližný počet dotčených Subjektů údajů a záznamů, pravděpodobné důsledky, přijatá nebo navrhovaná opatření a kontaktní místo. Informace, které dosud nejsou k dispozici, jsou poskytovány postupně bez dalšího zbytečného odkladu.

10.1 Na volbu Zákazníka Poskytovatel po ukončení poskytování Služby smaže nebo vrátí všechny Údaje Zákazníka a smaže existující kopie, pokud právo Unie nebo členského státu nevyžaduje uložení Osobních údajů.

10.2 Nezávisle na bodu 10.1 mohou Zákazník a každý z jeho uživatelů kdykoli smazat svůj účet a údaje držené Poskytovatelem ve Službě. Mazání se provede do 24 hodin od požadavku. Faktury a platební záznamy se uchovávají po dobu požadovanou daňovým právem.

11.1 Poskytovatel zpřístupní Zákazníkovi všechny informace nezbytné k prokázání dodržování povinností stanovených v čl. 28 GDPR a umožní a přispěje k auditům, včetně inspekcí, prováděným Zákazníkem nebo auditorem pověřeným Zákazníkem.

11.2 Poskytovatel nejprve vyhoví žádostem o audit poskytnutím svého certifikátu ISO 27001 a zprávy z auditu (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), svého posouzení CASA Tier III a písemných odpovědí na bezpečnostní dotazník. Místní nebo vzdálená inspekce se provádí nejvýše [jednou ročně], s [30]denním písemným předchozím oznámením, v pracovní době, pod smlouvou o důvěrnosti a na náklady Zákazníka, pokud Dohledový úřad nevyžaduje jinak nebo nedošlo k Narušení osobních údajů.

12.1 Poskytovatel má sídlo ve Spojených státech a Služba je hostována na Google Cloud Platform ve Spojených státech. Pokud se Údaje Zákazníka Subjektů údajů v EHP, Spojeném království nebo Švýcarsku přenášejí do země bez rozhodnutí o přiměřenosti, Strany se spoléhají na Standardní smluvní doložky přijaté Evropskou komisí v rozhodnutí (EU) 2021/914 (Modul dva, správce vůči zpracovateli, nebo Modul tři, zpracovatel vůči zpracovateli, podle potřeby), které jsou zde začleněny odkazem, spolu s doplňkem UK International Data Transfer Addendum, pokud jde o údaje Spojeného království. Subzpracovatelé Poskytovatele, kteří přijímají Údaje Zákazníka, participují v rámci EU-US Data Privacy Framework, pokud je jim tento rámec k dispozici. Standardní smluvní doložky se vztahují na každý přenos, který sám Poskytovatel provádí.

12.2 Co se týče voleb ve Standardních smluvních doložkách: doložka 7 (připojení) se použije; doložka 9, volba 2 (obecný souhlas) s lhůtou pro oznámení podle bodu 6.2; volitelné znění doložky 11 se nepoužije; doložka 13 a doložka 17: právo [ČLENSKÝ STÁT, např. Irsko]; doložka 18: soudy [ČLENSKÝ STÁT]. Příloha I a Příloha II Doložek jsou Přílohy 1 a 2 této DPA.

13.1 Odpovědnost každé Strany podle této DPA podléhá omezením a vyloučením odpovědnosti ve smlouvě o Službě, s výjimkou případů, kdy tato omezení nelze uplatnit podle příslušného práva na ochranu údajů.

13.2 Tato DPA nabývá účinnosti k datu účinnosti a zůstává v platnosti po dobu, po kterou Poskytovatel zpracovává Údaje Zákazníka. V případě rozporu mezi touto DPA a smlouvou o Službě má tato DPA přednost, pokud jde o Zpracování Osobních údajů.

13.3 Tato DPA se řídí právem, které se vztahuje na smlouvu o Službě, s výjimkou toho, že Standardní smluvní doložky se řídí právem zvoleným v bodu 12.2.

Za Zákazníka	Za Poskytovatele
Jméno: [JMÉNO]	Jméno: [JMÉNO]
Funkce: [FUNKCE]	Funkce: [FUNKCE]
Datum: [DATUM]	Datum: [DATUM]
Podpis:	Podpis:

---

Položka	Popis
Předmět	Poskytování služby GPT Workspace: asistence s umělou inteligencí uvnitř Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, rozšíření Chrome a MCP serverů.
Doba trvání	Doba trvání smlouvy o Službě plus doby uchovávání v Příloze 2.
Povaha a účel	Čtení obsahu, na který uživatel ve svém účtu Google ukáže, odeslání tohoto obsahu spolu s promptem uživatele poskytovateli modelu AI a zápis odpovědi zpět do souboru nebo chatu uživatele. Správa účtů, fakturace a podpora.
Kategorie Subjektů údajů	Zaměstnanci a dodavatelé Zákazníka, kteří používají Službu; osoby, jejichž údaje se objevují v dokumentech, tabulkách, e-mailech a souborech Zákazníka zpracovávaných prostřednictvím Služby.
Typy Osobních údajů	Údaje účtu (jméno, e-mailová adresa, profilový obrázek, identifikátor účtu Google); fakturační údaje (fakturační jméno, adresa, DIČ); metadata o používání (počet požadavků, data, názvy dokumentů); obsah promptů a souborů Google, e-mailů a příloh, které uživatel odešle, který může obsahovat jakoukoli kategorii Osobních údajů, kterou Zákazník do Služby vloží.
Zvláštní kategorie	Žádné záměrně. Služba nevyžaduje údaje zvláštní kategorie; Zákazník rozhoduje o tom, co jeho uživatelé odesílají. [Zákazník uvede, zda se očekávají zvláštní kategorie: ŽÁDNÉ / POPIS]
Frekvence	Průběžně, při každém požadavku uživatele.
Uchovávání	Viz Příloha 2, „Uchovávání”.

Oblast	Opatření
Certifikace	Certifikovaný systém managementu bezpečnosti informací ISO 27001 (zpráva z auditu k dispozici). Posouzení CASA Tier III (App Defense Alliance) pro integraci s Google Workspace. Dodržování zásad User Data Policy služeb Google API, včetně požadavků na omezené použití.
Hosting	Google Cloud Platform (Firebase), Spojené státy, regiony US East a US West. Komponenty zpracovávající Údaje Zákazníka běží v privátní síti Poskytovatele za load balancery a firewallem webových aplikací.
Šifrování	TLS 1.2 nebo vyšší pro všechna data při přenosu. Šifrování AES-256 na straně serveru v klidovém stavu na Firebase, správa klíčů prostřednictvím GCP IAM. Přístupové a obnovovací tokeny Google šifrovány v klidovém stavu.
Žádná kopie souborů Zákazníka	Soubory Google, e-maily a tabulky se čtou v reálném čase pomocí vlastního OAuth tokenu uživatele a nekopírují se do úložiště Poskytovatele. Jedinou výjimkou je soubor, který uživatel přiloží pro vyhledávání v souborech, který se nahrává do vektorového úložiště OpenAI (viz Příloha 3): index vyhledávání se zruší 1 den po posledním použití a kopie se smaže po 7 dnech.
Poskytovatelé modelů	Používáno na základě podmínek API, které zakazují trénování na požadavcích. Poskytovatel nikdy netrénuje ani nedoladňuje model na Údajích Zákazníka.
Řízení přístupu	Přístup k produkčním systémům omezen na oprávněný personál s individuálními účty, vícefaktorovou autentizací a principem nejmenších oprávnění prostřednictvím GCP IAM. Izolace dat pro jednotlivé uživatele vynucena bezpečnostními pravidly Firebase. Vícefaktorová autentizace je povinná pro každý účet s produkčním přístupem; přístupová práva se přezkoumávají každý týden.
Monitorování a testování	GCP Security Command Center průběžné skenování zranitelností všech aktiv v rozsahu; politika zveřejňování zranitelností pro externí výzkumníky.
Uchovávání	Údaje účtu, vlákna chatu, nastavení a metadata o používání: 18 měsíců po poslední aktivitě uživatele nebo 24 hodin po požadavku na smazání. Soubory přiložené pro vyhledávání: index vyhledávání zrušen 1 den po posledním použití, nahraná kopie smazána po 7 dnech. Protokoly požadavků brány modelů: 30 dnů, pouze pro účely podpory. Prompty a odpovědi: zpracovávány v reálném čase, Poskytovatelem se neuchovávají dlouhodobě. Faktury: doba požadovaná daňovým právem.
Mazání	Samoobslužné mazání účtu a všech souvisejících dat ve Službě; mazání na požadavek do 24 hodin.
Kontinuita podnikání	Nativní zálohování Google Cloud a nástroje pro dostupnost ve více regionech; úplné zálohy každých 7 dnů.
Personál	Povinnosti mlčenlivosti v pracovních a dodavatelských smlouvách; bezpečnostní informovanost personálu s produkčním přístupem.

Aktuální seznam je udržován na https://gpt.space/trust a zde je reprodukován ke dni účinnosti.

Subzpracovatel	Účel	Umístění
Google Cloud Platform / Firebase (Google LLC)	Hosting, databáze, úložiště, autentizace, tajemství	Spojené státy
OpenRouter, Inc.	Brána směrující každý požadavek na model k níže uvedenému poskytovateli; protokoly požadavků uchovávány 30 dnů pouze pro podporu, nikdy nepoužity pro trénování	Spojené státy
OpenAI	Textové a obrazové modely; vektorové úložiště pro vyhledávání v souborech	Spojené státy
Anthropic	Modely Claude (vázané na vlastní endpoint Anthropic)	Spojené státy
Google (AI Studio)	Textové a obrazové modely Gemini	Spojené státy
Perplexity	Modely pro vyhledávání na webu	Spojené státy
OpenRouter inference hostitelé	Inference hostitelé pro open-weight modely GLM-5.3-flash a gpt-oss-120b	Přes OpenRouter
Typesafe	Rozhodovací model za vzorcem GPT_CLASSIFY	Přes OpenRouter
Google Programmable Search	Vyhledávání stock obrázků pro generované snímky (pouze dotaz)	Spojené státy
Stripe	Platby, faktury, fakturační portál	Spojené státy a Irsko, pod Stripe DPA
PostHog (vlastní instance)	Produktová analytika	Evropská unie
Sentry	Monitorování chyb	Evropská unie (region údajů EU)