Smlouva o zpracování osobních údajů (šablona)

Toto je šablona smlouvy o zpracování osobních údajů (DPA), kterou GPT Workspace uzavírá s firemními zákazníky. Pro získání předvyplněné verze napište na contact@gpt.space s právním názvem vaší společnosti, adresou, kontaktní osobou a počtem licencí. Zpracovatelé, které smlouva jmenuje, jsou uvedeni a aktualizováni v Centru důvěry.

Tato šablona je poskytnuta pro informační účely a nepředstavuje právní radu. Před podpisem ji nechte zkontrolovat vaším právním zástupcem. Pole v hranatých závorkách se vyplní před podpisem.

---

Tato smlouva o zpracování osobních údajů („DPA“) tvoří součást smlouvy o používání GPT Workspace („Služba“) mezi:

• [CUSTOMER LEGAL NAME], [CUSTOMER ADDRESS], [REGISTRATION NUMBER] („Zákazník“ nebo „Správce“) a
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA („Poskytovatel“ nebo „Zpracovatel“),

společně „Smluvní strany“. Je uzavřena dne [EFFECTIVE DATE] a platí po dobu, po kterou Poskytovatel zpracovává Osobní údaje jménem Zákazníka.

„GDPR“ znamená nařízení (EU) 2016/679 a, je-li to relevantní, UK GDPR jak je definováno v zákona o ochraně údajů z roku 2018 (Data Protection Act 2018). Výrazy „Osobní údaje“, „Zpracování“, „Správce“, „Zpracovatel“, „Subjekt údajů“, „Dozorový úřad“ a „Narušení bezpečnosti osobních údajů“ mají významy uvedené v čl. 4 GDPR. „Podzpracovatel“ znamená třetí stranu, kterou Poskytovatel pověřil ke zpracování Osobních údajů jménem Zákazníka. „Údaje Zákazníka“ znamenají Osobní údaje, které Poskytovatel zpracovává pro Zákazníka na základě smlouvy o službě, jak je popsáno v Příloze 1.

2.1 Zákazník je Správcem a Poskytovatel je Zpracovatelem Údajů Zákazníka. Pokud Zákazník vystupuje jako zpracovatel pro své vlastní klienty, Poskytovatel vystupuje jako podzpracovatel a Zákazník zaručuje, že jeho vlastní pokyny jsou oprávněné příslušným správcem.

2.2 Předmět, doba trvání, povaha a účel Zpracování, typy Osobních údajů a kategorie Subjektů údajů jsou stanoveny v Příloze 1.

3.1 Poskytovatel zpracovává Údaje Zákazníka pouze na základě zdokumentovaných pokynů Zákazníka, včetně pokynů týkajících se převodů do třetí země, pokud to nevyžaduje právo Unie nebo členského státu, jemuž je Poskytovatel podroben; v takovém případě Poskytovatel informuje Zákazníka o tomto právním požadavku před zpracováním, pokud to právo nezakazuje.

3.2 Pokyny Zákazníka jsou: smlouva o službě, tato DPA, konfigurace, kterou Zákazník a jeho uživatelé nastaví ve Službě, a požadavky, které uživatelé Zákazníka odesílají do Služby. Poskytovatel neprodleně informuje Zákazníka, pokud se podle jeho názoru pokyn dopouští porušení GDPR.

Poskytovatel zajišťuje, že osoby oprávněné ke zpracování Údajů Zákazníka se zavázaly k důvěrnosti nebo podléhají odpovídajícímu zákonnému závazku mlčenlivosti a že přístup je omezen na to, co každá osoba potřebuje k poskytnutí Služby.

Poskytovatel implementuje technická a organizační opatření uvedená v Příloze 2 a průběžně je přezkoumává. S přihlédnutím ke stavu techniky, nákladům na implementaci a k povaze, rozsahu, kontextu a účelům Zpracování tato opatření zajišťují úroveň zabezpečení odpovídající riziku.

6.1 Zákazník uděluje Poskytovateli obecné písemné oprávnění k zapojení Podzpracovatelů uvedených v Příloze 3.

6.2 Poskytovatel informuje Zákazníka o jakémkoli zamýšleném přidání nebo výměně Podzpracovatele alespoň [30] dnů před účinností změny, e-mailem na adresu [CUSTOMER NOTIFICATION E-MAIL] a aktualizací seznamu na https://gpt.space/trust. Zákazník může v tomto období vznést námitku z oprávněných důvodů ochrany údajů; pokud Smluvní strany nedokážou námitku vyřešit, může Zákazník bez sankce ukončit dotčenou část Služby.

6.3 Poskytovatel ukládá každému Podzpracovateli prostřednictvím smlouvy stejné povinnosti v oblasti ochrany údajů, jaké jsou stanoveny v této DPA, zejména poskytuje dostatečné záruky k implementaci vhodných technických a organizačních opatření. Pokud Podzpracovatel nesplní své povinnosti, zůstává Poskytovatel vůči Zákazníkovi plně odpovědný za plnění povinností tohoto Podzpracovatele.

S přihlédnutím k povaze Zpracování Poskytovatel pomáhá Zákazníkovi vhodnými technickými a organizačními opatřeními, pokud je to možné, při plnění povinnosti Zákazníka odpovídat na žádosti o uplatnění práv Subjektu údajů podle hlavy III GDPR. Poskytovatel předává Zákazníkovi bez zbytečného odkladu jakýkoli požadavek přijatý přímo od Subjektu údajů týkající se Údajů Zákazníka a neodpovídá na něj, s výjimkou případů, kdy odpovídá na pokyn Zákazníka nebo kdy to vyžaduje zákon.

Poskytovatel pomáhá Zákazníkovi při zajišťování dodržování povinností podle článků 32 až 36 GDPR (zabezpečení, oznámení narušení, posouzení vlivu na ochranu údajů a předběžná konzultace), a to s přihlédnutím k povaze Zpracování a informacím dostupným Poskytovateli.

Poskytovatel oznámí Zákazníkovi bez zbytečného odkladu a v každém případě do [48] hodin poté, co zjistí Narušení bezpečnosti osobních údajů týkající se Údajů Zákazníka, e-mailem na adresu [CUSTOMER NOTIFICATION E-MAIL]. Oznámení popisuje, pokud je v dané chvíli známo, povahu narušení, kategorie a přibližný počet dotčených Subjektů údajů a záznamů, pravděpodobné následky, přijatá nebo navržená opatření a kontaktní místo; informace, které ještě nejsou k dispozici, jsou poskytovány postupně bez dalšího zbytečného odkladu.

10.1 Na volbu Zákazníka Poskytovatel po ukončení poskytování Služby smaže nebo vrátí všechny Údaje Zákazníka a smaže existující kopie, pokud právo Unie nebo členského státu nevyžaduje uložení Osobních údajů.

10.2 Nezávisle na bodu 10.1 mohou Zákazník a každý z jeho uživatelů kdykoli smazat svůj účet a data, která o nich Poskytovatel ve Službě uchovává; smazání se provede do 24 hodin od žádosti. Faktury a platební záznamy jsou uchovávány po dobu stanovenou daňovými předpisy.

11.1 Poskytovatel zpřístupní Zákazníkovi všechny informace nezbytné k prokázání dodržování povinností stanovených v článku 28 GDPR a umožňuje a přispívá k auditům, včetně kontrol, které provádí Zákazník nebo auditor pověřený Zákazníkem.

11.2 Poskytovatel nejprve vyhoví žádostem o audit poskytnutím svého certifikátu ISO 27001 a zprávy z auditu (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), svého hodnocení CASA Tier III a písemnými odpověďmi na dotazník zabezpečení. Místní nebo vzdálená kontrola se provádí maximálně [jednou ročně], při [30]denním písemném předchozím oznámení, v pracovní době, pod dohodou o mlčenlivosti a na náklady Zákazníka, pokud Dozorový úřad nevyžaduje jinak nebo pokud nedošlo k Narušení bezpečnosti osobních údajů.

12.1 Poskytovatel má sídlo ve Spojených státech a Služba je hostována na Google Cloud Platform ve Spojených státech. Pokud jsou Údaje Zákazníka Subjektů údajů v EHP, Spojeném království nebo Švýcarsku převáděny do země bez rozhodnutí o přiměřenosti, vztahují se Smluvní strany na Standardní smluvní doložky přijaté Evropskou komisí v rozhodnutí (EU) 2021/914 (Modul dva, od správce ke zpracovateli, nebo Modul tři, od zpracovatele ke zpracovateli, dle potřeby), které jsou zde odkazem začleněny, spolu s dodatkem UK International Data Transfer Addendum, pokud se týkají údaje Spojeného království. Podzpracovatelé Poskytovatele, kteří přijímají Údaje Zákazníka, se účastní rámce EU-US Data Privacy Framework, pokud je jim tento rámec k dispozici; Standardní smluvní doložky se vztahují na každý převod, který sám Poskytovatel provádí.

12.2 Pokud jde o volby ve Standardních smluvních doložkách: platí doložka 7 (docking); platí doložka 9, možnost 2 (obecné oprávnění) s lhůtou oznámení podle bodu 6.2; volitelné znění doložky 11 se neaplikuje; doložka 13 a doložka 17: právo [MEMBER STATE, e.g. Ireland]; doložka 18: soudy [MEMBER STATE]. Příloha I a Příloha II doložek jsou Přílohami 1 a 2 této DPA.

13.1 Odpovědnost každé Smluvní strany podle této DPA podléhá omezením a vyloučením odpovědnosti ve smlouvě o službě, s výjimkou případů, kdy nemohou být omezeny podle příslušných právních předpisů o ochraně údajů.

13.2 Tato DPA nabývá účinnosti k datu účinnosti a zůstává v platnosti po dobu, po kterou Poskytovatel zpracovává Údaje Zákazníka. V případě konfliktu mezi touto DPA a smlouvou o službě má tato DPA přednost pro Zpracování Osobních údajů.

13.3 Tato DPA se řídí právem, které se vztahuje na smlouvu o službě, s výjimkou toho, že Standardní smluvní doložky se řídí právem zvoleným v bodu 12.2.

Za Zákazníka	Za Poskytovatele
Jméno: [NAME]	Jméno: [NAME]
Pozice: [TITLE]	Pozice: [TITLE]
Datum: [DATE]	Datum: [DATE]
Podpis:	Podpis:

---

Položka	Popis
Předmět	Poskytování služby GPT Workspace: asistence AI uvnitř Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, rozšíření Chrome a MCP serverů.
Doba trvání	Doba trvání smlouvy o službě plus doby uchovávání v Příloze 2.
Povaha a účel	Čtení obsahu, na který uživatel v účtu Google ukáže, jeho odeslání spolu s uživatelovým promptem poskytovateli AI modelu a zápis odpovědi zpět do souboru nebo chatu uživatele. Správa účtů, fakturace a podpora.
Kategorie subjektů údajů	Zaměstnanci a dodavatelé Zákazníka, kteří používají Službu; osoby, jejichž údaje se objevují v dokumentech, tabulkách, e-mailech a souborech Zákazníka zpracovávaných prostřednictvím Služby.
Typy osobních údajů	Údaje účtu (jméno, e-mailová adresa, profilový obrázek, identifikátor účtu Google); fakturační údaje (fakturační jméno, adresa, DIČ); metadata o používání (počet požadavků, data, názvy dokumentů); obsah promptů a souborů Google, e-mailů a příloh, které uživatel odešle, které mohou obsahovat jakoukoli kategorii Osobních údajů, které tam Zákazník umístí.
Zvláštní kategorie	Žádné záměrně. Služba nevyžaduje údaje ze zvláštních kategorií; Zákazník rozhoduje o tom, co jeho uživatelé odesílají. [Customer to indicate if special categories are expected: NONE / DESCRIBE]
Frekvence	Průběžně, při každém požadavku uživatele.
Uchovávání	Viz Příloha 2, „Uchovávání“.

Oblast	Opatření
Certifikace	Certifikovaný systém managementu bezpečnosti informací ISO 27001 (zpráva z auditu k dispozici). Hodnocení CASA Tier III (App Defense Alliance) pro integraci s Google Workspace. Dodržování zásad pro používání uživatelských údajů služeb Google API, včetně požadavků na omezené použití.
Hosting	Google Cloud Platform (Firebase), Spojené státy, regiony US East a US West. Komponenty zpracovávající Údaje Zákazníka běží v privátní síti Poskytovatele za load balancery a webovým firewallem aplikací (WAF).
Šifrování	TLS 1.2 nebo vyšší pro všechna data při přenosu. Šifrování AES-256 na straně serveru v klidovém stavu na Firebase, správa klíčů prostřednictvím GCP IAM. Přístupové a obnovovací tokeny Google šifrované v klidovém stavu.
Žádná kopie souborů Zákazníka	Soubory Google, e-maily a tabulky jsou čteny v reálném čase pomocí vlastního OAuth tokenu uživatele a nejsou kopírovány do úložiště Poskytovatele. Jedinou výjimkou je soubor, který uživatel přiloží pro vyhledávání v souborech, který je nahrán do vektorového úložiště OpenAI (viz Příloha 3): vyhledávací index je zrušen 1 den po posledním použití a kopie je smazána po 7 dnech.
Poskytovatelé modelů	Používáno na základě podmínek API, které zakazují trénování na zaslaných požadavcích. Poskytovatel nikdy netrénuje ani nedoladí model na Údajích Zákazníka.
Řízení přístupu	Přístup k produkčním systémům omezen na autorizovaný personál s individuálními účty, vícefaktorovou autentizací a nejmenším oprávněním prostřednictvím GCP IAM. Izolace dat pro jednotlivé uživatele vynucena bezpečnostními pravidly Firebase. Vícefaktorová autentizace je povinná pro každý účet s produkčním přístupem; přístupová práva jsou kontrolována týdně.
Monitorování a testování	GCP Security Command Center průběžné skenování zranitelností všech aktiv v rozsahu; politika zveřejňování zranitelností pro externí výzkumníky.
Uchovávání	Údaje účtu, vlákna chatu, nastavení a metadata o používání: 18 měsíců po poslední aktivitě uživatele, nebo 24 hodin po žádosti o smazání. Soubory přiložené pro vyhledávání: vyhledávací index zrušen 1 den po posledním použití, nahraná kopie smazána po 7 dnech. Protokoly požadavků modelové brány: 30 dní, pouze pro účely podpory. Prompty a odpovědi: zpracovávány v reálném čase, nejsou dlouhodobě uchovávány Poskytovatelem. Faktury: po dobu požadovanou daňovými předpisy.
Smazání	Samoobslužné smazání účtu a všech souvisejících dat ve Službě; smazání na žádost do 24 hodin.
Kontinuita podnikání	Nativní zálohování Google Cloud a nástroje pro dostupnost ve více regionech; úplné zálohy každých 7 dní.
Personál	Povinnosti mlčenlivosti v dohodách o zaměstnání a s dodavateli; bezpečnostní informovanost personálu s produkčním přístupem.

Aktuální seznam je udržován na adrese https://gpt.space/trust a je zde reprodukován k datu účinnosti.

Podzpracovatel	Účel	Umístění
Google Cloud Platform / Firebase (Google LLC)	Hosting, databáze, úložiště, autentizace, tajemství	Spojené státy
OpenRouter, Inc.	Brána, která směruje každý požadavek na model níže uvedenému poskytovateli; protokoly požadavků uchovávány 30 dní pouze pro podporu, nikdy nevyužívány pro trénování	Spojené státy
OpenAI	Textové a obrazové modely; vektorové úložiště pro vyhledávání souborů	Spojené státy
Anthropic	Modely Claude (vázané na vlastní endpoint Anthropic)	Spojené státy
Google (AI Studio)	Textové a obrazové modely Gemini	Spojené státy
Perplexity	Modely pro vyhledávání na webu	Spojené státy
OpenRouter inference hosts	Inference hostitelé pro modely s otevřenou váhou GLM-5.3-flash a gpt-oss-120b	Přes OpenRouter
Typesafe	Rozhodovací model za vzorcem GPT_CLASSIFY	Přes OpenRouter
Google Programmable Search	Vyhledávání stock fotografií pro generované snímky (pouze dotaz)	Spojené státy
Stripe	Platby, faktury, fakturační portál	Spojené státy a Irsko, pod smlouvou Stripe DPA
PostHog (vlastní hostovaná instance)	Produktová analytika	Evropská unie
Sentry	Sledování chyb	Evropská unie (datový region EU)