Obchodní podmínky

Smlouva o zpracování osobních údajů

Verze 1.1 · účinná od 10. 8. 2026 · nedílná součást Obchodních podmínek služby Snaprime
Uzavírá se dle čl. 28 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR).

1. Smluvní strany a uzavření

Správcem osobních údajů je zákazník Služby — podnikatel (zejména realitní makléř, realitní kancelář nebo finanční poradce), který si Službu zřídil a jehož identifikační údaje jsou uvedeny v jeho účtu ve Službě (dále jen „Správce", „vy").

Zpracovatelem je společnost snaprime s.r.o., IČO 29815487, se sídlem Plynární 1617/10, Holešovice, 170 00 Praha 7, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 452847 (dále jen „Zpracovatel", „my").

Tato smlouva (dále jen „Zpracovatelská smlouva") se uzavírá okamžikem přijetí Obchodních podmínek Správcem — tedy zpravidla zaškrtnutím souhlasu při registraci nebo objednávce Služby. Zpracovatel eviduje ke každému Správci verzi přijatého znění, datum a čas přijetí. Na žádost Správce mu Zpracovatel bezplatně vydá potvrzení o uzavření této Zpracovatelské smlouvy a její znění ve formátu vhodném k archivaci; žádost stačí zaslat na info@snaprime.com.

V případě rozporu mezi textem Obchodních podmínek a této Přílohy má ve věcech zpracování osobních údajů přednost tato Příloha.

2. Předmět, povaha a účel zpracování

Předmětem zpracování je zpracovávání osobních údajů fyzických osob, které reagují na reklamní kampaně provozované Správcem prostřednictvím Služby, popřípadě dalších kontaktů, které Správce do Služby sám vloží nebo naimportuje (dále jen „Osobní údaje").

Účelem zpracování je výhradně poskytování Služby Správci, tedy zejména: příjem poptávek z reklamních formulářů platforem třetích stran, jejich uložení a zobrazení ve Správcově účtu, jejich vedení v CRM Služby, notifikace Správci o nové poptávce, vyhodnocování výkonu kampaní a technická podpora Správce.

Povahou zpracování jsou zejména automatizované operace: shromažďování, zaznamenání, uložení, uspořádání, nahlédnutí, použití, zpřístupnění Správci, omezení, výmaz a zálohování.

Zpracovatel nezpracovává Osobní údaje pro vlastní účely, nepoužívá je k budování vlastní databáze, k nabízení vlastních služeb subjektům údajů, k trénování modelů umělé inteligence ani je neprodává či jinak nepředává třetím osobám mimo rámec této Zpracovatelské smlouvy.

3. Kategorie subjektů údajů a kategorie osobních údajů

Zvláštní kategorie osobních údajů podle čl. 9 GDPR ani údaje o odsouzeních podle čl. 10 GDPR se v rámci Služby nezpracovávají. Správce se zavazuje takové údaje do Služby nevkládat a nekonfigurovat reklamní formuláře tak, aby je získávaly. Poruší-li Správce tuto povinnost, odpovídá za následky sám.

4. Doba zpracování

Zpracovatel zpracovává Osobní údaje po dobu trvání smluvního vztahu ze Služby a dále po dobu nezbytnou k vypořádání práv a povinností stran, nejdéle však po dobu uvedenou v čl. 11 této Přílohy.

5. Povinnosti Správce

Správce prohlašuje a zavazuje se, že:

• je ve vztahu k Osobním údajům správcem a nese odpovědnost za zákonnost jejich zpracování, zejména za existenci právního titulu (typicky souhlas subjektu údajů udělený ve formuláři nebo oprávněný zájem) a za jeho prokazatelnost;
• splní informační povinnost vůči subjektům údajů podle čl. 13 a 14 GDPR — tedy že jeho vlastní zásady ochrany osobních údajů jsou dostupné, aktuální a uvedené v reklamním formuláři, a že v nich uvede kategorie svých zpracovatelů;
• bude Zpracovateli udělovat pouze zákonné pokyny a nebude po něm požadovat zpracování v rozporu s právními předpisy;
• bude Osobní údaje ve Službě používat výhradně k účelu, pro který byly získány, a k jinému účelu jen na základě vlastního právního titulu;
• zabezpečí své přístupové údaje ke Službě a bude spravovat oprávnění osob ve svém týmu, kterým do Služby zřídí přístup; za jednání těchto osob odpovídá Správce;
• uzavřel nebo uzavře vlastním jménem smluvní vztah s provozovatelem reklamní platformy (zejména Meta Platforms Ireland Limited) a akceptoval jeho podmínky pro reklamní formuláře, na jejichž základě mu jsou poptávky poskytovány.

6. Zpracování pouze na základě doložených pokynů

Zpracovatel zpracovává Osobní údaje výhradně na základě doložených pokynů Správce, včetně předání do třetí země nebo mezinárodní organizaci. Za doložený pokyn Správce se považuje:

• tato Zpracovatelská smlouva a Obchodní podmínky;
• nastavení a úkony, které Správce provede ve svém účtu ve Službě (například zapnutí kampaně, nastavení formuláře, export dat, smazání poptávky);
• písemný pokyn zaslaný z kontaktního e-mailu Správce na info@snaprime.com.

Ukládá-li Zpracovateli zpracování právo Evropské unie nebo členského státu, informuje o tomto právním požadavku Správce před zpracováním, ledaže by to dané právo zakazovalo z důležitých důvodů veřejného zájmu. Získá-li Zpracovatel důvodné podezření, že pokyn Správce porušuje GDPR nebo jiné předpisy o ochraně osobních údajů, neprodleně na to Správce upozorní a je oprávněn provedení takového pokynu odmítnout.

7. Mlčenlivost

Zpracovatel zajišťuje, že se osoby oprávněné zpracovávat Osobní údaje (zaměstnanci, spolupracovníci, dodavatelé) zavázaly k mlčenlivosti nebo se na ně vztahuje zákonná povinnost mlčenlivosti. Tato povinnost trvá i po skončení jejich vztahu ke Zpracovateli. Přístup k Osobním údajům má pouze ten, kdo jej potřebuje k plnění svých úkolů (princip nejnižšího nutného oprávnění).

8. Zabezpečení zpracování

Zpracovatel s ohledem na stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování i na rizika pro práva a svobody fyzických osob zavedl vhodná technická a organizační opatření podle čl. 32 GDPR, zejména:

• šifrování přenosu veškeré komunikace protokolem TLS (verze 1.2 a vyšší) a šifrování dat v úložištích poskytovatelů infrastruktury;
• šifrování citlivých tajemství v klidu — přístupové tokeny k účtům Správce u platforem třetích stran jsou uloženy zašifrované a nejsou dostupné v otevřené podobě;
• řízení přístupu — jmenovité účty, vícefaktorové ověření u administrátorských přístupů, princip nejnižšího nutného oprávnění, pravidelná revize oprávnění a okamžité odebrání přístupu při ukončení spolupráce;
• oddělení prostředí — produkční prostředí je odděleno od vývojového a testovacího; ve vývojovém prostředí se nepoužívají reálné Osobní údaje;
• logování a monitoring — evidence administrátorských přístupů a významných operací, automatické hlášení chyb a bezpečnostních událostí;
• zálohování a obnovitelnost — pravidelné zálohy databáze s možností obnovení do bodu v čase, pravidelné ověřování obnovitelnosti;
• bezpečnost vývoje — správa závislostí a aktualizací, kontrola kódu před nasazením, oddělení tajemství od zdrojového kódu;
• postup při incidentu — definovaný postup detekce, vyhodnocení, zmírnění následků a ohlášení podle čl. 10 této Přílohy.

Zpracovatel je oprávněn jednotlivá opatření průběžně měnit a nahrazovat, vždy však tak, aby úroveň zabezpečení nebyla snížena.

9. Další zpracovatelé (subdodavatelé)

Správce uděluje Zpracovateli obecné písemné povolení zapojit do zpracování další zpracovatele podle čl. 28 odst. 2 GDPR, a to za podmínek uvedených v tomto článku.

Aktuální seznam dalších zpracovatelů, včetně účelu jejich zapojení, kategorií zpracovávaných údajů a místa zpracování, je trvale dostupný na adrese snaprime.com/subdodavatele a tvoří součást této Zpracovatelské smlouvy. Zpracovatel jej udržuje aktuální.

Zpracovatel předem informuje Správce o zamýšleném přijetí nového dalšího zpracovatele nebo o nahrazení stávajícího, a to nejméně 14 dní předem, e-mailem na kontaktní adresu Správce nebo oznámením v aplikaci. Správce má právo v této lhůtě vznést proti změně odůvodněnou námitku na info@snaprime.com. Nepodaří-li se stranám námitku vyřešit, je Správce oprávněn ukončit užívání Služby s účinností ke dni zapojení nového dalšího zpracovatele, a to bez sankce a s vrácením poměrné části již uhrazeného předplatného za nevyčerpané období.

Zpracovatel uloží každému dalšímu zpracovateli smluvně stejné povinnosti na ochranu údajů, jaké jsou uvedeny v této Zpracovatelské smlouvě, a odpovídá Správci za plnění jejich povinností v plném rozsahu, jako by je plnil sám.

10. Ohlašování porušení zabezpečení

Zjistí-li Zpracovatel porušení zabezpečení Osobních údajů, ohlásí je Správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl. Ohlášení zašle e-mailem na kontaktní adresu Správce uvedenou v účtu a bude obsahovat, jsou-li tyto informace k dispozici: popis povahy porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky, přijatá a navrhovaná opatření a kontaktní místo pro další informace. Nejsou-li všechny informace dostupné najednou, poskytne je Zpracovatel postupně bez dalšího zbytečného odkladu.

Ohlášení porušení dozorovému úřadu (Úřadu pro ochranu osobních údajů) podle čl. 33 GDPR a oznámení subjektům údajů podle čl. 34 GDPR provádí Správce; Zpracovatel mu k tomu poskytne veškerou potřebnou součinnost.

11. Součinnost Zpracovatele

11.1 Práva subjektů údajů

Zpracovatel je Správci nápomocen prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR (přístup, oprava, výmaz, omezení zpracování, přenositelnost, námitka). Správce může většinu těchto úkonů provést sám přímo ve Službě (zejména zobrazení, opravu, export a výmaz poptávky). Tam, kde to není možné, provede úkon Zpracovatel na základě pokynu Správce bez zbytečného odkladu, nejpozději do 10 pracovních dnů.

Obrátí-li se subjekt údajů se žádostí přímo na Zpracovatele, Zpracovatel ji sám nevyřizuje, bez zbytečného odkladu ji předá Správci a informuje o tom subjekt údajů.

11.2 Povinnosti podle čl. 32 až 36 GDPR

Zpracovatel je Správci nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR — tedy při zabezpečení zpracování, ohlašování a oznamování porušení, při posouzení vlivu na ochranu osobních údajů (DPIA) a při případné předchozí konzultaci s dozorovým úřadem — a to s ohledem na povahu zpracování a informace, jež má k dispozici.

11.3 Záznamy o činnostech zpracování

Zpracovatel vede záznamy o všech kategoriích činností zpracování prováděných pro Správce podle čl. 30 odst. 2 GDPR a na žádost je Správci zpřístupní.

12. Informace a audit

Zpracovatel poskytne Správci na jeho žádost veškeré informace potřebné k doložení, že jsou splněny povinnosti stanovené v čl. 28 GDPR, a umožní audit, včetně inspekce, prováděný Správcem nebo jiným auditorem, kterého Správce pověřil.

Praktická pravidla: audit lze provést nejvýše jednou za kalendářní rok (a dále kdykoli po prokazatelném porušení zabezpečení nebo na výzvu dozorového úřadu), na základě písemné žádosti doručené alespoň 30 dní předem, v pracovní dny a v pracovní době, tak aby nebyl nepřiměřeně narušen provoz Zpracovatele, a za podmínky, že auditor není konkurentem Zpracovatele a je vázán mlčenlivostí. Náklady auditu nese Správce, ledaže audit odhalí podstatné porušení povinností Zpracovatele. Zpracovatel je oprávněn splnit povinnost podle tohoto článku i poskytnutím vlastní dokumentace zabezpečení nebo dokumentace a certifikací svých poskytovatelů infrastruktury, pokud tím bude účel auditu naplněn.

13. Předávání do třetích zemí

Osobní údaje jsou zpracovávány primárně na území Evropské unie. U některých dalších zpracovatelů se sídlem mimo EU nebo s globální infrastrukturou (uvedených v seznamu podle čl. 9) může docházet k předání do třetí země, zejména do Spojených států amerických.

Takové předání se uskutečňuje výhradně na základě platného právního nástroje podle kapitoly V GDPR, zejména: rozhodnutí Evropské komise o odpovídající ochraně (u příjemců certifikovaných v rámci rámce EU–U.S. Data Privacy Framework), nebo standardních smluvních doložek přijatých Evropskou komisí, doplněných v případě potřeby o dodatečná technická opatření. Konkrétní použitý nástroj je u každého příjemce uveden v seznamu dalších zpracovatelů. Uzavření těchto nástrojů zajišťuje Zpracovatel a Správce k tomu Zpracovatele tímto zmocňuje.

14. Výmaz nebo vrácení údajů po skončení

Po skončení poskytování Služby Zpracovatel podle rozhodnutí Správce Osobní údaje vymaže, nebo je Správci vrátí a vymaže existující kopie, ledaže právo Evropské unie nebo členského státu ukládá jejich uložení.

Praktický postup: po ukončení předplatného zůstává Správci po dobu 30 dnů zachována možnost exportovat své poptávky ze Služby ve strukturovaném, běžně používaném a strojově čitelném formátu. Po uplynutí této lhůty Zpracovatel Osobní údaje z produkčních systémů vymaže nebo nevratně anonymizuje, a to nejpozději do 90 dnů od ukončení. Ze záložních kopií jsou údaje odstraněny automaticky v rámci standardního cyklu záloh, nejpozději do 180 dnů; po tuto dobu jsou zálohy zabezpečeny a nejsou používány k jinému účelu než k obnově provozu. Správce může požádat o dřívější výmaz nebo o vrácení údajů kdykoli písemně; Zpracovatel takové žádosti vyhoví bez zbytečného odkladu a výmaz Správci na požádání písemně potvrdí.

Údaje nezbytné k prokázání splnění zákonných povinností Zpracovatele (zejména účetní a daňové doklady) se uchovávají po zákonem stanovenou dobu; těchto údajů se výmaz podle tohoto článku netýká.

15. Odpovědnost

Každá ze stran odpovídá za újmu způsobenou porušením svých povinností podle GDPR a této Zpracovatelské smlouvy v rozsahu stanoveném čl. 82 GDPR. Omezení odpovědnosti podle čl. 8 Obchodních podmínek se nevztahuje na povinnosti podle této Přílohy v rozsahu, v jakém je takové omezení podle kogentních právních předpisů nepřípustné.

16. Kontakt ve věcech ochrany osobních údajů

Kontaktním místem Zpracovatele pro veškerá podání podle této Přílohy — pokyny, námitky proti dalším zpracovatelům, žádosti o součinnost, hlášení incidentů i žádosti o vydání podepsaného vyhotovení této smlouvy — je e-mailová adresa info@snaprime.com. Zpracovatel nejmenoval pověřence pro ochranu osobních údajů, neboť mu tato povinnost podle čl. 37 GDPR nevzniká.

17. Doba trvání a změny této Přílohy

Tato Zpracovatelská smlouva se uzavírá na dobu trvání smluvního vztahu ze Služby a zaniká spolu s ním; ustanovení, z jejichž povahy plyne, že mají trvat i po zániku (zejména mlčenlivost a povinnosti podle čl. 14), zůstávají v platnosti.

Změny. Na rozdíl od ostatních ustanovení Obchodních podmínek nelze tuto Přílohu měnit jednostranně bez vědomí Správce. Zamýšlenou změnu Zpracovatel oznámí Správci nejméně 30 dní předem e-mailem nebo oznámením v aplikaci, spolu s přehledem toho, co se mění. Nesouhlasí-li Správce se změnou, je oprávněn ukončit užívání Služby ke dni účinnosti změny bez sankce a s vrácením poměrné části již uhrazeného předplatného za nevyčerpané období. Pokračuje-li Správce v užívání Služby po dni účinnosti změny, platí, že novou verzi přijal. Aktualizace seznamu dalších zpracovatelů podle čl. 9 se řídí lhůtami uvedenými v čl. 9 a nepovažuje se za změnu této Přílohy.

Zpracovatel archivuje všechna dřívější znění této Přílohy a na žádost je Správci poskytne.

18. Závěrečná ustanovení

Tato Příloha se řídí právním řádem České republiky a vykládá se v souladu s GDPR a se zákonem č. 110/2019 Sb., o zpracování osobních údajů. Je-li některé ustanovení této Přílohy neplatné nebo neúčinné, nedotýká se to platnosti ostatních ustanovení. Sporná ustanovení se vykládají ve prospěch souladu s GDPR.