Klientská firma (správce) × provozovatel (zpracovatel)

Zpracovatelská smlouva (DPA)

Účinné od 4. 7. 2026

Vzorový dokument. Slouží jako výchozí návrh a nenahrazuje právní poradenství. Před zveřejněním jej nechte zkontrolovat právníkem a doplňte údaje v hranatých závorkách.

Tato smlouva o zpracování osobních údajů dle čl. 28 GDPR upravuje vztah mezi klientem (správcem) a provozovatelem Clientee AI, s.r.o. (zpracovatelem) při provozu nástroje Nallio.

1. Předmět a doba

Zpracovatel zpracovává osobní údaje pouze pro účel poskytování služby a po dobu trvání hlavní smlouvy.

2. Povaha a kategorie

Povaha zpracování: ukládání, organizace, analýza a zpřístupnění údajů v rámci nástroje.

Subjekty údajů: uchazeči a zaměstnanci správce. Kategorie: identifikační, kontaktní, profesní údaje, záznamy a vyhodnocení pohovorů.

3. Povinnosti zpracovatele

Zpracovávat údaje jen dle doložených pokynů správce.

Zajistit mlčenlivost osob, které k údajům přistupují.

Přijmout vhodná technická a organizační opatření (šifrování, řízení přístupu, zálohy, izolace mezi klienty).

Být správci nápomocen při výkonu práv subjektů a při ohlašování porušení zabezpečení.

4. Subzpracovatelé

Správce uděluje obecný souhlas se zapojením níže uvedených subzpracovatelů; o změnách zpracovatel informuje předem:

• Supabase (databáze + úložiště) — Hosting databáze a nahraných souborů (EU (Frankfurt))

• Anthropic (Claude) — AI vyhodnocení pohovoru, generování textů (USA (SCC))

• Vapi — Hlasový AI pohovor (přepis a zpracování hlasu) (USA (SCC))

• OpenAI — Zpracování textu pro znalostní vyhledávání (embeddingy) (USA (SCC))

• Clientee CRM / FastPayDirect (provozováno na platformě GoHighLevel, HighLevel Inc.) — Platby a e-mailová komunikace (USA (SCC))

• Vercel — Provoz aplikace (hosting) (EU / USA (SCC))

5. Zabezpečení

Data jsou uložena v EU (Supabase, Frankfurt), soubory v neveřejném úložišti s přístupem přes dočasné odkazy.

Přístup je řízen rolemi; hesla a tokeny jsou uloženy šifrovaně; oddělení dat mezi firmami (multi-tenant).

6. Výmaz a audit

Po ukončení služby zpracovatel na pokyn správce údaje vymaže nebo vrátí, není-li zákonný důvod pro jejich uchování.

Zpracovatel umožní správci audit a poskytne informace nezbytné k prokázání souladu s čl. 28 GDPR.