Smlouva o zpracování osobních údajů (DPA)

dle čl. 28 a 26 GDPR (EU) 2016/679

Verze: 2026-05-17 Poslední aktualizace: 17. 5. 2026 Účinnost od: 17. 5. 2026

---

Smluvní strany

Správce (dále jen „Správce" nebo „Klient"): Podnikatel registrovaný ke službě Reputive na app.reputive.cz, který do platformy nahrává nebo synchronizuje kontaktní údaje svých zákazníků za účelem zasílání žádostí o recenzi.

Zpracovatel (dále jen „Zpracovatel" nebo „Reputive"): Digifox s.r.o., IČO: 23894865, sídlem Kostice, Česká republika, Datová schránka: pq4uk35, e-mail: info@reputive.app

Tato DPA je nedílnou součástí Obchodních podmínek a nabývá účinnosti registrací ke službě. Pro vybraná zpracování (zejména odesílání žádostí o recenzi z vlastní domény Reputive) Strany jednají rovněž jako spolusprávci ve smyslu čl. 26 GDPR — viz sekce 6.

---

0. Definice

• GDPR — Nařízení Evropského parlamentu a Rady (EU) 2016/679.
• Osobní údaj, zpracování, správce, zpracovatel, podpracovatel, subjekt údajů — význam dle čl. 4 GDPR.
• Spolusprávci — situace dle čl. 26 GDPR, kdy dva či více správců společně určují účely a prostředky zpracování.
• Suppression list — interní seznam (uložený jako SHA-256 hash) kontaktů, na které se nesmí znovu odeslat zpráva (po odhlášení, bounce nebo žádosti o výmaz).
• Subprocesor / podpracovatel — třetí strana, kterou Zpracovatel zapojuje do zpracování ve smyslu čl. 28 odst. 2 GDPR.

---

1. Předmět a účel zpracování

1.1 Účel

Zpracovatel zpracovává osobní údaje zákazníků Správce za účelem:

• Zasílání automatizovaných e-mailových a SMS žádostí o Google recenzi
• Sledování stavu komunikace (odesláno, doručeno, kliknuto, recenze napsána)
• Deduplikace zákazníků a kontrola proti suppression listu
• Generování návrhů odpovědí na recenze pomocí AI (Google Gemini, Anthropic Claude jako fallback)
• Provoz související infrastruktury (autentizace, audit log, fakturace klienta)

1.2 Typy zpracovávaných dat

• Identifikační údaje: jméno, příjmení
• Kontaktní údaje: e-mailová adresa, telefonní číslo
• Komunikační metadata: datum odeslání, doručení, kliknutí, stav sekvence
• Pseudonymizované údaje: SHA-256 hash e-mailu v suppression listu
• Veřejné obsahy z Google Business Profile: jméno recenzenta, text recenze, hodnocení

1.3 Subjekty údajů

• Zákazníci provozoven Správce — fyzické osoby, které navštívily provozovnu nebo využily služeb Správce.
• Recenzenti Google Business Profile Správce (data jsou veřejně dostupná na Google Maps).

1.4 Trvání zpracování

Po dobu trvání Smlouvy o poskytování služby Reputive. Po jejím ukončení postupuje Zpracovatel dle sekce 3.8.

---

2. Retence dat (doba uchování)

Reputive uplatňuje princip minimalizace dat dle čl. 5 odst. 1 písm. c) a e) GDPR. Doba uchování je vázána na trvání Smlouvy s Klientem — po jejím ukončení se data Klienta a jeho zákazníků mažou v rámci ukončovací procedury (cascade delete v databázi), s výjimkou údajů, které je Zpracovatel povinen uchovávat dle zákona.

Roadmap (mimo závazek této DPA): Reputive plánuje v rámci budoucího rozšíření produktu zavést konfigurovatelnou retenci kontaktních údajů per Klient (s automatickou anonymizací po nastaveném období) a delší grace period pro stažení dat po zrušení účtu. Tyto funkce nejsou v aktuální verzi produktu implementovány a nejsou součástí závazku Zpracovatele dle této DPA. Po jejich nasazení aktualizujeme tuto DPA a Klienty na změnu upozorníme dle sekce 3.4.

---

3. Povinnosti Zpracovatele

3.1 Zpracovávat pouze na pokyn Správce

Zpracovatel zpracovává osobní údaje pouze na základě pokynů Správce (konfigurace v Reputive a tato DPA) a v rozsahu nezbytném pro poskytování služby. O povinném zpracování dle práva EU nebo ČR informuje Správce předem, ledaže by takové informování bylo zákonem zakázáno.

3.2 Mlčenlivost

Osoby zpracovávající data jsou vázány mlčenlivostí, a to i po skončení jejich pracovního vztahu se Zpracovatelem.

3.3 Technická a organizační opatření (čl. 32 GDPR)

Technická opatření:

• Šifrování přenosu (TLS 1.3) a šifrování hesel (Supabase Auth)
• Row Level Security (RLS) v databázi — izolace dat jednotlivých Správců
• Princip nejmenšího privilegia pro servisní účty
• Automatický monitoring chyb a bezpečnostních incidentů (Sentry)
• Zálohování s Point-in-Time Recovery (Supabase PITR, retence max. 30 dní)
• Defenzivní validace vstupů a ochrana proti zneužití API (rate limiting přes Upstash Redis)
• SHA-256 hashování e-mailů v cross-tenant suppression listu

Organizační opatření:

• Přístup zaměstnanců a dodavatelů Zpracovatele pouze v nezbytném rozsahu
• Bezpečnostní review kódu před nasazením
• Auditní log administrátorských akcí (včetně impersonace klientského účtu, viz Privacy Policy, sekce 9)
• Default-deny pro změnové akce v režimu impersonace klienta — změnové akce vyžadují dodatečné potvrzení administrátorem
• Časový limit impersonační session: 60 minut od poslední aktivity

3.4 Podpracovatelé

Správce uděluje obecné povolení pro níže uvedené podpracovatele. O změnách v seznamu podpracovatelů (přidání nového, výměna stávajícího) Zpracovatel Správce informuje e-mailem na adresu administrativního kontaktu uvedenou v účtu nebo prostřednictvím oznámení v aplikaci, a to nejméně 30 dní předem. Pokud Správce s navrženou změnou nesouhlasí, je oprávněn Smlouvu vypovědět bez sankce s účinností k datu plánované změny; v takovém případě Zpracovatel poskytne součinnost s exportem dat.

Aktuální seznam podpracovatelů k datu poslední aktualizace:

Aktuální seznam je rovněž dostupný v aplikaci v sekci /dashboard/compliance.

3.5 Pomoc s právy subjektů údajů

Zpracovatel poskytne Správci součinnost při vyřizování žádostí subjektů údajů dle čl. 12 až 22 GDPR. V aplikaci jsou aktuálně k dispozici tyto nástroje:

• Právo na opravu (čl. 16): editace záznamu zákazníka v /dashboard/customers (poznámky, tagy).
• Právo na výmaz (čl. 17): smazání jednotlivého zákazníka v /dashboard/customers — odstraní záznam i související komunikační metadata.
• Centrum „GDPR & Compliance" v /dashboard/compliance obsahuje:
  • Auditní log compliance akcí (DPA acceptance, výmazy, exporty)
  • Vzorové doložky pro vaše vlastní GDPR informování zákazníků (web, formulář, podmínky, faktura)
  • Aktuální seznam podpracovatelů
  • Odsouhlasenou verzi DPA s časovým razítkem
• Hromadný export celého účtu a hromadné mazání kontaktů vyřídíme na vyžádání e-mailem na info@reputive.app — vyřízení do 30 dnů dle čl. 12 odst. 3 GDPR (ve výjimečných případech až 90 dnů u složitých žádostí, o prodloužení Vás informujeme do 30 dnů).
• Právo na přístup a přenositelnost (čl. 15, 20): na vyžádání poskytneme kompletní export Vašeho účtu ve strojově čitelném formátu (JSON nebo CSV).

Pokud subjekt údajů kontaktuje přímo Zpracovatele, předáme žádost neprodleně Správci. Pro zpracování, ve kterých Strany vystupují jako spolusprávci (viz sekce 6), může subjekt údajů uplatnit svá práva u kterékoli ze Stran.

3.6 Hlášení bezpečnostních incidentů

Bezpečnostní incidenty hlásí Zpracovatel Správci bez zbytečného odkladu, nejpozději do 72 hodin od zjištění (čl. 33 odst. 2 GDPR). Oznámení obsahuje:

• Povahu porušení (kategorie a přibližný počet dotčených subjektů, kategorie a přibližný počet záznamů)
• Kontaktní místo pro získání dalších informací
• Pravděpodobné důsledky porušení
• Přijatá nebo navržená opatření k řešení a zmírnění následků

Pokud nejsou všechny informace dostupné v okamžiku oznámení, jsou doplňovány průběžně.

3.7 Audit

Správce je oprávněn provést audit u Zpracovatele za účelem ověření souladu s GDPR a touto DPA, a to za následujících podmínek:

• Lhůta: Audit Správce písemně oznámí Zpracovateli nejméně 15 dní předem.
• Frekvence: Standardně nejvýše jednou ročně; mimořádný audit lze provést po bezpečnostním incidentu.
• NDA: Auditor (Správce nebo jím pověřená třetí strana, která není konkurentem Zpracovatele) podepíše dohodu o mlčenlivosti.
• Rozsah: Předmětem auditu jsou organizační a technická opatření, podpracovatelé, retenční politika a auditní logy. Předmětem auditu nejsou zdrojový kód, data jiných Správců, ani provozní tajemství Zpracovatele.
• Náklady: Každá strana nese vlastní náklady; pokud audit odhalí podstatné porušení DPA na straně Zpracovatele, hradí Zpracovatel přiměřené externí náklady auditu.

Žádost o audit lze podat e-mailem na info@reputive.app nebo datovou schránkou pq4uk35.

3.8 Smazání dat po ukončení Smlouvy

Po ukončení Smlouvy Zpracovatel:

1. Provede smazání dat Klienta a jeho zákazníků v rámci ukončovací procedury (cascade delete v databázi se vztahuje na účet Klienta a všechny RLS-vázané záznamy — kontakty, kampaně, recenze, audit log).
2. Faktury a daňové doklady Zpracovatel uchová v souladu se zákonem (§ 35 zák. č. 235/2004 Sb. — 10 let).
3. Compliance audit log se k datu ukončení Smlouvy smaže cascade společně s účtem.
4. Před zrušením účtu si Klient může kdykoli vyexportovat svá data (jednotlivé exporty v aplikaci v /dashboard/customers; kompletní export celého účtu na vyžádání e-mailem na info@reputive.app — vyřídíme do 30 dnů). Doporučujeme tento export provést před podáním pokynu ke zrušení účtu.
5. Suppression list zůstává trvale (uloženo jako SHA-256 hash) — viz sekce 2.

3.9 Zálohy a obnova

Zpracovatel využívá funkci Point-in-Time Recovery poskytovatele Supabase. Retence záloh je maximálně 30 dní a je rotována automaticky poskytovatelem. Smazání dat na produkčních systémech se v zálohách projeví s prodlevou až 30 dní; po této době jsou dotčená data nedostupná i ze záloh. Tento mechanismus je v souladu se stanoviskem EDPB k retenci v zálohách (subject erasure se aplikuje na živá data, na zálohy nejpozději při příští rotaci).

---

4. Povinnosti Správce

• Zpracovávat zákaznická data na základě platného právního základu (typicky oprávněný zájem dle čl. 6 odst. 1 písm. f) GDPR, případně souhlasu).
• Informovat zákazníky o zpracování dle čl. 13 GDPR (v podmínkách prodeje, v cookie liště své provozovny, případně samostatným oznámením). Vzor doložky najde Správce v /dashboard/compliance.
• Neposkytovat zvláštní kategorie osobních údajů dle čl. 9 GDPR ani údaje o trestných činech dle čl. 10 GDPR.
• Nenahrávat kontakty získané nelegálně (nezakoupené seznamy, scrapované databáze, kontakty bez vlastního právního základu).
• Respektovat odhlášení — kontakt, který odešel ze suppression listu, se nesmí znovu nahrát do nové kampaně.
• Udržovat aktuální administrativní kontakt v účtu — na něj Zpracovatel zasílá oznámení o změnách podpracovatelů, bezpečnostních incidentech a změnách DPA.
• Bez zbytečného odkladu předávat Zpracovateli žádosti subjektů údajů, které se týkají zpracování provedeného Zpracovatelem.

4.1 Odškodnění (indemnification)

Pokud Zpracovatel utrpí škodu, sankci nebo náklady (včetně přiměřených nákladů na právní zastoupení) v důsledku porušení povinností Správce dle této sekce — zejména nezákonně získaných kontaktů, neoprávněného odeslání, či nesplnění informační povinnosti vůči subjektu údajů — Správce tyto škody, sankce a náklady Zpracovateli nahradí v plné výši. Toto ustanovení nemá vliv na vnější odpovědnost Stran vůči subjektům údajů nebo dozorovému úřadu dle čl. 82 GDPR (zejména solidární odpovědnost spolusprávců dle čl. 82 odst. 4) — řeší pouze vzájemný regres mezi Stranami.

---

5. Přenos dat mimo EU/EHP

Přenosy do USA jsou zajištěny Standardními smluvními doložkami (SCCs) dle rozhodnutí Komise 2021/914 a v relevantních případech rámcem EU‑U.S. Data Privacy Framework. Hlavní databáze Supabase je fyzicky v EU (Frankfurt) — data zákazníků mimo EU neopouštějí, s výjimkou ad hoc zpracování při generování AI návrhu odpovědi v Google Gemini nebo Anthropic Claude.

---

6. Spolusprávcovství (čl. 26 GDPR)

6.1 Rozsah spolusprávcovství

Pro účel odesílání žádostí o recenzi z vlastní domény Reputive (recenze@reputive.app) a pro provoz souvisejících funkcí (suppression list napříč Klienty, deduplikace, doručitelnost) Strany jednají jako spolusprávci ve smyslu čl. 26 GDPR, neboť společně určují podstatné prostředky zpracování — zejména kanál a doménu odeslání, identitu odesílatele, mechanismus odhlášení a cross-tenant suppression list.

Pro veškerá ostatní zpracování (uložení kontaktů v databázi, sledování stavu komunikace, AI generování návrhů odpovědí, synchronizace recenzí) zůstává vztah klasický správce – zpracovatel dle čl. 28 GDPR.

6.2 Dělba odpovědností

6.3 Kontaktní místo pro subjekty údajů

V souladu s čl. 26 odst. 1 GDPR subjekty údajů mohou uplatnit svá práva u kterékoli ze Stran. Bez ohledu na to, kterou Stranu kontaktují, mají právo na vyřízení své žádosti.

• Kontakt na Reputive: info@reputive.app (předmět: „GDPR žádost"), Datová schránka pq4uk35.
• Kontakt na Klienta je vždy uveden v patičce odeslané žádosti o recenzi.

6.4 Zveřejnění podstaty ujednání

Podstata tohoto ujednání (čl. 26 odst. 2 GDPR) je veřejně dostupná v této DPA a v patičce každé odeslané žádosti o recenzi, kde je uvedeno, že zprávu zasílá konkrétní Klient prostřednictvím služby Reputive jako spolusprávce.

6.5 Solidární odpovědnost a vzájemný regres

V rozsahu spolusprávcovství dle této sekce platí ustanovení čl. 82 odst. 4 GDPR o solidární odpovědnosti vůči subjektům údajů a dozorovému úřadu. Vzájemné nároky mezi Stranami z titulu náhrady škody se řídí pravidlem, že každá Strana nese odpovědnost za škodu způsobenou porušením povinností, které jí připadly dle sekce 6.2. Odškodnění podle sekce 4.1 se použije obdobně pro porušení povinností Klienta v rámci spolusprávcovství.

---

7. Rozhodné právo

Tato DPA se řídí právem České republiky a obecně závaznými předpisy EU, zejména GDPR.

---

8. Kontakt

Digifox s.r.o. — provozovatel Reputive E-mail: info@reputive.app Datová schránka: pq4uk35 Web: reputive.cz

Pověřence pro ochranu osobních údajů (DPO) nemáme jmenovaného — povinnost dle čl. 37 GDPR se na nás v současnosti nevztahuje. Pro veškeré dotazy ohledně této DPA použijte výše uvedený e-mail; reagujeme do 30 dnů.