Platné od: 22. dubna 2026

Preambule

Tato Dohoda o zpracování údajů („Dohoda“) je uzavřena mezi společností Kolsetu GmbH („Zpracovatel“) a Zákazníkem („Správce“) v souladu s čl. 28 GDPR a tvoří nedílnou součást Smlouvy o poskytování platformy Elba AI a souvisejících služeb („Smlouva“). Tato Dohoda se vztahuje na podnikové i samoobslužné zákazníky platformy Elba.

Poznámka k rozsahu: Tato Dohoda upravuje zpracování osobních údajů Zákazníka společností Kolsetu v její roli Zpracovatele. Kolsetu rovněž zpracovává osobní údaje uživatelů platformy (správců a operátorů) v její roli Správce; toto zpracování je popsáno v Zásadách ochrany osobních údajů produktu Kolsetu, které jsou k dispozici na domovské stránce (www.kolsetu.com).

Správce určuje účely a prostředky zpracování popsané v tomto dokumentu. Zpracovatel zpracovává osobní údaje výhradně na základě zdokumentovaných pokynů Správce a k žádnému jinému účelu.

Kapitalizované termíny použité v této Dohodě, které zde nejsou definovány, mají významy uvedené v Obecných smluvních podmínkách, příslušných Smluvních podmínkách služby Elba (Smluvní podmínky pro podniky nebo Smluvní podmínky pro samoobsluhu, podle toho, co je relevantní) a, pokud byla podepsána Objednávka, v Objednávce.

1. Definice

V této Dohodě mají následující termíny významy uvedené níže. Termíny zde nedefinované mají významy uvedené v čl. 4 GDPR nebo ve Smlouvě.

2. Obecná ustanovení

2.1 Role. Strany berou na vědomí, že Správce jedná jako správce údajů a Zpracovatel jedná jako zpracovatel údajů ve smyslu platných předpisů o ochraně údajů. Zpracovatel zpracovává osobní údaje Zákazníka výhradně jménem Správce.

2.2 Pokyny. Správce dává Zpracovateli pokyn, aby zpracovával osobní údaje Zákazníka v rozsahu nezbytném pro poskytování Služeb a plnění svých práv a povinností vyplývajících ze Smlouvy. Pokyny jsou původně stanoveny v této Dohodě a mohou být následně písemně změněny Správcem.

2.3 CCPA. Pokud jde o osobní údaje Zákazníka, které představují „osobní informace“ pro účely kalifornského zákona o ochraně soukromí spotřebitelů („CCPA“), Zpracovatel nesmí: (a) prodávat nebo sdílet osobní informace; (b) uchovávat, používat nebo zveřejňovat osobní informace pro jakýkoli jiný účel než pro obchodní účely stanovené ve Smlouvě nebo jinak povolené CCPA; (c) uchovávat, používat nebo zveřejňovat osobní informace mimo přímý obchodní vztah mezi Zpracovatelem a Správcem; nebo (d) kombinovat osobní informace obdržené od Správce s osobními informacemi obdrženými od nebo shromážděnými z jiných zdrojů, kromě případů povolených CCPA. Zpracovatel potvrzuje, že rozumí těmto omezením a bude je dodržovat.

3. Podrobnosti zpracování (čl. 28 odst. 3 GDPR)

3.1 Předmět a doba trvání

Zpracovatel zpracovává osobní údaje Zákazníka po dobu trvání Smlouvy, nebo dokud Správce nedá jiný pokyn, výhradně za účelem poskytování Služeb.

3.2 Povaha a účel zpracování

Zpracovatel zpracovává osobní údaje Zákazníka v souvislosti s:

• Poskytováním a provozováním hlasové automatizační platformy Elba AI

• Zpracováním hlasových interakcí, generováním přepisů a poskytováním analytiky konverzací

• Omnichannel orchestrací (hlas, chat, e-mail, SMS, WhatsApp) jménem Správce

• Integracemi s podnikovými systémy Správce, včetně CRM, ERP, telefonních a komunikačních platforem, prostřednictvím nativních konektorů, REST API a frameworku webhooků, jak je nakonfigurováno Správcem

• Správou uživatelských účtů, řízením přístupu a autentizací

• Monitorováním bezpečnosti, prevencí podvodů a řízením incidentů

• Zákaznickou podporou a technickým řešením problémů

3.3 Kategorie osobních údajů

V závislosti na případu použití a konfiguraci Správce může Zpracovatel zpracovávat:

• Kontaktní údaje (jméno, telefonní číslo, e-mailová adresa)

• Hlasové nahrávky a odvozená zvuková data

• Přepisy konverzací a protokoly interakcí

• Záznamy o zákaznických službách a údaje o případech

• Přihlašovací údaje a autentizační data

• Údaje o používání, protokoly relací a metadata o aktivitě

• Údaje z integrovaných podnikových systémů, jak je nakonfigurováno Správcem

3.4 Kategorie subjektů údajů

Subjekty údajů mohou zahrnovat:

• Koncoví zákazníci Správce, kteří interagují s platformou Elba

• Zaměstnanci Správce a oprávnění uživatelé platformy

• Další jednotlivci, jejichž údaje jsou zpracovávány prostřednictvím integrací nakonfigurovaných Správcem

3.5 Citlivé údaje

Zpracovatel zpracovává zvláštní kategorie osobních údajů (čl. 9 GDPR) výhradně na základě zdokumentovaných pokynů Správce. Správce je výhradně odpovědný za zajištění toho, aby jakékoli předání údajů zvláštních kategorií na platformu bylo podloženo platným právním základem podle čl. 9 GDPR, aby byly splněny všechny požadované podmínky a aby před předáním byla zavedena vhodná ochranná opatření. Zpracovatel uplatňuje na údaje zvláštních kategorií stejná technická a organizační opatření jako na všechny ostatní osobní údaje Zákazníka.

3.6 Frekvence a přenos

Osobní údaje Zákazníka jsou Zpracovateli přenášeny pravidelně po dobu trvání Smlouvy, v závislosti na tom, jak Správce Služby využívá.

4. Povinnosti Zpracovatele

4.1 Pokyny ke zpracování

4.1.1 Zpracovávat osobní údaje Zákazníka pouze na základě zdokumentovaných pokynů Správce, pokud to nevyžaduje platné právo. V takových případech Zpracovatel informuje Správce před zpracováním, pokud to není zákonem zakázáno.

4.1.2 Pokud se Zpracovatel domnívá, že pokyn porušuje předpisy o ochraně údajů, neprodleně informuje Správce o svých právních obavách a může pozastavit pokyn do vyřešení.

4.2 Důvěrnost

4.2.1 Zajistit, aby veškerý personál oprávněný ke zpracování osobních údajů Zákazníka byl vázán odpovídajícími závazky mlčenlivosti (smluvními nebo zákonnými) a absolvoval příslušné školení o ochraně údajů.

4.3 Zabezpečení

4.3.1 Zavést a udržovat vhodná technická a organizační opatření (TOMs) uvedená v Příloze 2 k zajištění úrovně zabezpečení odpovídající riziku, včetně požadavků čl. 32 GDPR. Zpracovatel může TOMs čas od času aktualizovat za předpokladu, že takové aktualizace nevedou ke snížení celkové úrovně zabezpečení.

4.4 Zpracovatelé

4.4.1 Nezajistí nového subzpracovatele ani podstatně nezmění roli stávajícího subzpracovatele bez předchozího písemného oznámení (minimálně 30 pracovních dnů) správci. Seznam subzpracovatelů v části 6 této DPA představuje autoritativní a aktuální záznam schválených subzpracovatelů.

4.4.2 Zajistí, aby každý zapojený subzpracovatel byl vázán datovými ochranami, které nejsou méně ochranné než ty v této DPA, a to smlouvou nebo jiným právním aktem. Zpracovatel zůstává plně odpovědný za plnění datových ochran svých subzpracovatelů.

4.5 Povinnosti zpracování AI

4.5.1 Vyloučení pro trénování AI. Zpracovatel ani žádný z jeho subzpracovatelů nesmí používat osobní údaje zákazníka – včetně hlasových nahrávek, přepisů, dat konverzací nebo jakýchkoli z nich odvozených dat – k trénování, dolaďování nebo zlepšování jakéhokoli obecného modelu umělé inteligence nebo strojového učení. Toto omezení platí bez ohledu na to, zda byla data pseudonymizována. Zpracovatel zajistí, aby byla smluvně uložena odpovídající omezení všem subzpracovatelům AI.

4.5.2 Minimalizace dat pro inferenci AI. Pokud jsou osobní údaje zákazníka přenášeny subzpracovatelům AI pro inferenční zpracování, zpracovatel zajistí, aby byl přenesen pouze minimální objem dat nezbytný pro konkrétní inferenční požadavek. Subzpracovatelé AI nesmí uchovávat osobní údaje zákazníka po dobu trvání inferenční relace, s výjimkou případů vyžadovaných platnými zákony.

4.5.3 Biometrická data. Zpracovatel neodvozuje biometrické identifikátory ani hlasové otisky z hlasových nahrávek zpracovávaných prostřednictvím platformy Elba a nezpracovává hlasové nahrávky jako biometrická data ve smyslu čl. 9 GDPR nebo ekvivalentních ustanovení podle platných zákonů o ochraně údajů. Hlasové nahrávky jsou zpracovávány výhradně pro účely přepisu, analýzy záměrů a analýzy konverzací, jak je popsáno v příloze I-B.

4.6 Práva subjektů údajů

4.6.1 Pomáhat správci při plnění jeho povinností reagovat na žádosti subjektů údajů podle kapitoly III GDPR (práva na přístup, opravu, výmaz, omezení, přenositelnost a námitku). Žádosti obdržené přímo zpracovatelem od subjektů údajů budou bez zbytečného odkladu a v každém případě do pěti (5) pracovních dnů předány správci. Zpracovatel nebude reagovat na žádosti subjektů údajů přímo bez předchozího svolení správce, pokud k tomu nebude právně zavázán.

4.7 Regulační pomoc

4.7.1 Pomáhat správci při zajišťování souladu s čl. 32–36 GDPR (zabezpečení, oznámení o porušení, DPIA a předchozí konzultace s dozorovými úřady), s ohledem na povahu zpracování a informace dostupné zpracovateli.

4.7.2 Pokud je správce povinen poskytnout informace příslušnému dozorovému úřadu, poskytne správci přiměřenou pomoc, na náklady správce, poskytnutím takových informací v rozsahu, v jakém jsou v držení zpracovatele.

4.8 Vrácení a výmaz dat

4.8.1 Na volbu správce vymaže nebo vrátí veškeré osobní údaje zákazníka po ukončení služeb a vymaže existující kopie, pokud právo Unie nebo členského státu nevyžaduje uchování. Výmaz bude dokončen do 30 dnů od ukončení nebo pokynu správce. Písemné potvrzení o výmazu je k dispozici na vyžádání.

4.9 Audit a informace

4.9.1 Poskytne správci veškeré informace přiměřeně nezbytné k prokázání souladu s čl. 28 GDPR. Správce poskytne přiměřené předchozí písemné oznámení o jakémkoli požadovaném auditu (minimálně 30 pracovních dnů, s výjimkou případu podezření na porušení). Audity se budou konat maximálně jednou ročně a jedním z následujících způsobů: (a) zpracovatel poskytne kopii svých aktuálních auditních zpráv vypracovaných nezávislými externími auditory (např. certifikace ISO 27001, SOC 2 Type II); (b) zpracovatel poskytne písemné odpovědi na dotazníky o bezpečnosti informací; nebo (c) správce nařídí řízenou inspekci dohodnutých TOMs, jejichž výsledky zpracovatel sdílí ve zjednodušeném formátu.

5. Povinnosti správce

5.1 Dodržovat všechny platné zákony o ochraně údajů týkající se osobních údajů zákazníka. Správce nesmí používat služby způsobem, který porušuje zákony o ochraně údajů.

5.2 Prohlašuje a zaručuje, že má platný právní základ podle čl. 6 GDPR (a čl. 9, je-li to relevantní) pro všechny osobní údaje předložené zpracovateli a pro jakýkoli přenos osobních údajů zákazníka zpracovateli. Správce neprodleně oznámí zpracovateli jakoukoli změnu právních základů pro zpracování.

5.3 Zajistí, že byla provedena veškerá požadovaná oznámení a kde je to nutné, byla získána veškerá požadovaná svolení od subjektů údajů v souvislosti se zpracováním prováděným podle této DPA.

5.4 Nese výhradní odpovědnost za přesnost, kvalitu a zákonnost osobních údajů zákazníka a za prostředky, kterými je správce získává.

5.5 Bez zbytečného odkladu informuje zpracovatele o jakémkoli dotazu nebo stížnosti obdržené od subjektu údajů nebo dozorového úřadu týkající se zpracování osobních údajů zákazníka podle této DPA.

5.6 Obecné svolení k subzpracovatelům. Správce poskytuje obecné písemné oprávnění zpracovateli k zapojení subzpracovatelů a přidružených společností zpracovatele do zpracování osobních údajů zákazníka, s výhradou postupu oznámení a námitek v části 6.

6. Subzpracovatelé

6.1 Autorizovaný seznam subzpracovatelů zapojených zpracovatelem k datu účinnosti této DPA je uveden v příloze I-C. Jakékoli změny subzpracovatelů podléhají postupu oznámení a námitek podle bodů 6.2 a 6.3 a vedou k vydání nové verze přílohy I-C správci.

6.2 Zpracovatel poskytne minimálně 30 pracovních dnů předem písemné oznámení o jakémkoli zamýšleném přidání nebo nahrazení subzpracovatelů. Správce může do 10 pracovních dnů od obdržení takového oznámení vznést námitku proti novému nebo nahrazujícímu subzpracovateli z důvodů ochrany údajů ("Legitimní důvody"). Pokud správce zpracovateli nepředá námitku v této lhůtě, má se za to, že správce nového subzpracovatele přijal.

6.3 Pokud správce vznese námitku, zpracovatel bude v dobré víře spolupracovat se správcem na řešení legitimních důvodů. Pokud se strany nedohodnou do 20 pracovních dnů od obdržení námitky zpracovatelem, může správce písemným oznámením ukončit komponenty služby, které vyžadují použití navrhovaného subzpracovatele.

6.4 Zpracovatel zůstává plně odpovědný správci za plnění datové ochrany všech subzpracovatelů.

6.5 Poskytovatelé AI dodaní zákazníkem. Pokud správce nakonfiguruje služby tak, aby používal poskytovatele modelů AI třetích stran pod vlastními účty a smlouvami správce (včetně, ale nejen, klíčů API pro LLM dodaných zákazníkem), je správce výhradně odpovědný za dodržování platných zákonů o ochraně údajů ve vztahu k těmto poskytovatelům, včetně uzavření jakýchkoli požadovaných dohod o zpracování údajů. Tito poskytovatelé nejsou subzpracovateli zpracovatele a nejsou zahrnuti do této DPA.

7. Mezinárodní převody

7.1 Veškeré inferenční zpracování osobních údajů zákazníka probíhá výhradně prostřednictvím služby Azure OpenAI v regionu EU Azure. Zpracovatel zajistí, aby jakýkoli přenos osobních údajů zákazníka do třetích zemí (mimo EHP) byl v souladu s kapitolou V GDPR tím, že se bude spoléhat na: (a) rozhodnutí o odpovídající ochraně Evropské komise; (b) standardní smluvní doložky EU (rozhodnutí Komise 2021/914); nebo (c) ve vztahu k poskytovatelům z USA, kteří jsou samy certifikovány podle rámce pro ochranu soukromí (Data Privacy Framework), rámec pro ochranu soukromí definovaný rozhodnutím Komise (EU) 2023/1795.

7.2 Přednost přenosových mechanismů. Pokud je relevantní více než jeden přenosový mechanismus, přenosy budou podléhat mechanismům v následujícím pořadí přednosti: (a) rámec pro ochranu soukromí; (b) standardní smluvní doložky EU; (c) jiné alternativní přenosové mechanismy povolené platnými zákony.

7.3 Zpracovatel provádí hodnocení dopadu přenosu (TIA) pro všechny přenosy subzpracovatelům do třetích zemí. Dokumentace TIA je správci k dispozici na písemné vyžádání.

8. Zabezpečení

Zpracovatel zavádí a udržuje vhodná technická a organizační opatření k ochraně osobních údajů zákazníka před náhodným nebo nezákonným zničením, ztrátou, změnou, neoprávněným zveřejněním nebo přístupem. Úplné podrobnosti jsou uvedeny v příloze 2. Klíčová opatření zahrnují:

• Šifrování osobních údajů zákazníka při přenosu a v klidu pomocí algoritmů průmyslových standardů

• Řízení přístupu založené na rolích a vícefaktorové ověřování pro veškerý privilegovaný přístup

• Logická izolace tenantů – data každého zákazníka jsou zpracovávána ve vyhrazeném, logicky izolovaném prostředí

• Pravidelné penetrační testování a průběžné řízení zranitelností kvalifikovanými poskytovateli

• Dokumentované postupy pro detekci incidentů, reakci na ně a eskalaci

• Školení o ochraně osobních údajů zaměstnanců a odpovídající prověrky

• Opatření pro kontinuitu podnikání a zotavení po havárii, testovaná minimálně jednou ročně

• Dohled nad subzpracovateli zajišťující odpovídající standardy ochrany údajů v celém dodavatelském řetězci

9. Oznámení o porušení ochrany osobních údajů

9.1 V případě porušení ochrany osobních údajů zpracovatel neprodleně, a v každém případě do 48 hodin od okamžiku, kdy se o něm dozví, oznámí správci.

9.2 Oznámení musí v rozsahu, v jakém je známo, zahrnovat: povahu porušení; kategorie a přibližný počet dotčených osob; kategorie a přibližný počet dotčených záznamů; pravděpodobné důsledky; a přijatá nebo navrhovaná opatření. Pokud nejsou v počátečním oznámení k dispozici úplné informace, budou poskytnuty postupně bez zbytečného odkladu.

9.3 Zpracovatel zdokumentuje všechna porušení a nápravná opatření v souladu s čl. 33 odst. 5 GDPR.

10. Žádosti o zveřejnění ze strany státních orgánů

10.1 Zpracovatel zavedl opatření k regulaci zveřejňování osobních údajů zákazníků státním orgánům. Tato opatření vyžadují, aby Zpracovatel zvážil své závazky dodržovat jakýkoli vládní příkaz nebo požadavek a své zákonné povinnosti chránit osobní údaje zákazníků.

10.2 V rozsahu povoleném zákonem Zpracovatel neprodleně oznámí Správci jakýkoli právně závazný požadavek na zveřejnění osobních údajů zákazníků ze strany orgánu činného v trestním řízení nebo státního orgánu předtím, než na takový požadavek odpoví. Pokud Zpracovateli není povoleno oznámení Správci, požádá o povolení k tomu nebo požádá vydávající orgán, aby si informace vyžádal přímo od Správce.

10.3 Zpracovatel napadne vládní příkaz nebo požadavek, pokud jsou k tomu vhodné a existují platné právní důvody. Pokud je pro splnění platného soudního příkazu nebo požadavku vyžadováno poskytnutí údajů, Zpracovatel zveřejní minimální množství osobních údajů zákazníků nezbytné ke splnění.

10.4 Pokud jde o osobní údaje rezidentů EHP, Zpracovatel se řídí závazky stanovenými v EU SCCs ve vztahu k žádostem o přístup ze strany státních orgánů.

11. Posouzení dopadu na ochranu údajů

Pokud zpracovatelská činnost pravděpodobně povede k vysokému riziku pro práva a svobody dotčených osob, Zpracovatel poskytne Správci přiměřenou asistenci při provádění posouzení dopadu na ochranu údajů (DPIA) podle čl. 35 GDPR, mimo jiné poskytnutím informací o svých zpracovatelských činnostech a bezpečnostních opatřeních.

12. Odpovědnost

12.1 Odpovědnost každé strany podle této DPA podléhá omezením stanoveným v T&C. Nároky uplatňované podle této DPA podléhají smluvním podmínkám Smlouvy, včetně tam uvedených výluk a omezení; za předpokladu, že žádná ze stran neomezila svou odpovědnost podle Smlouvy ve vztahu k jakýmkoli právům dotčené osoby podle zákonů o ochraně údajů, kde je takové omezení zakázáno platným právem.

12.2 V případě rozporu mezi Smlouvou a touto DPA mají přednost ustanovení této DPA.

13. Doba trvání a ukončení

Tato DPA vstupuje v platnost podpisem (nebo, pokud je Smlouva uzavřena prostřednictvím objednávkového formuláře, podpisem objednávkového formuláře) a zůstává v platnosti po dobu trvání Smlouvy. Po ukončení Smlouvy tato DPA automaticky zaniká. Závazky v sekcích 4.2 (důvěrnost), 4.8 (vrácení a smazání údajů) a 9 (oznámení o porušení) zůstávají v platnosti i po ukončení.

14. Různé

14.1 Rozhodné právo. Tato DPA se řídí zákony Spolkové republiky Německo. Spory podléhají ustanovením o řešení sporů obsaženým v T&C.

14.2 Změny. Změny této DPA vyžadují písemnou formu. V případě rozporu má tato DPA přednost před Smlouvou.

14.3 Oznámení. Všechna oznámení podle této DPA musí být zaslána na adresy uvedené ve Smlouvě.

14.4 Oddělitelnost. Pokud bude jakékoli ustanovení této DPA shledáno neplatným nebo nevymahatelným, zbývající ustanovení zůstanou v plné platnosti a účinnosti.

14.5 SCCs. V rozsahu, v jakém se EU SCCs dostanou do rozporu s jakýmkoli ustanovením této DPA, mají SCCs přednost v rozsahu takového rozporu. Není úmyslem stran rozporovat nebo omezovat jakékoli ustanovení SCCs.

14.6 Jazyk a překlady. Tato DPA je k dispozici v angličtině a němčině, přičemž obě verze byly přezkoumány z hlediska právní přesnosti. Anglický text je pro všechny účely, včetně výkladu, řešení sporů a vymáhání, závaznou verzí. Překlady do jiných jazyků mohou být zveřejněny pouze pro usnadnění orientace a nemají žádný právní účinek. V případě jakékoli nekonzistence mezi anglickým textem a jakýmkoli překladem má přednost anglický text.

15. Kontakt

Kontakt pro ochranu osobních údajů: privacy@kolsetu.com

Adresa: Kolsetu GmbH, Gaensemarkt 33, 20354 Hamburg, Německo

Příloha I-A Strany

Správce

Název: Jak je definováno v objednávkovém formuláři, nebo jak je uvedeno během registrace účtu pro samoobslužné zákazníky

Adresa: Jak je definováno v objednávkovém formuláři, nebo jak je uvedeno během registrace pro samoobslužné zákazníky

Kontakt: Jak je definováno v objednávkovém formuláři, nebo jak je uvedeno během registrace pro samoobslužné zákazníky

Podpis: Podnikoví zákazníci přijímají tuto DPA podpisem objednávkového formuláře. Samoobslužní zákazníci přijímají tuto DPA dokončením registrace účtu a přijetím podmínek Elba Self-Serve Terms. V obou případech přijetí této DPA zahrnuje, pokud je to relevantní, přijetí standardních smluvních doložek EU.

Role: Správce

Zpracovatel

Název: Kolsetu GmbH

Adresa: Gaensemarkt 33, 20354 Hamburg, Německo (HRB 191266)

Kontakt pro ochranu osobních údajů: privacy@kolsetu.com

Role: Zpracovatel

Poznámka: Jelikož je Kolsetu GmbH usazena v Německu (EHP), primární vztah správce-zpracovatel nevyžaduje standardní smluvní doložky EU. SCCs se vztahují pouze na následné převody sub-zpracovatelům do třetích zemí, jak je uvedeno v tabulce sub-zpracovatelů v sekci 6 a příloze I-B.

Příloha I-B Popis zpracování

Dozorový úřad

Příslušným dozorovým úřadem je Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) v souladu s článkem 13 SCCs, jelikož Kolsetu GmbH je usazena v Hamburku v Německu.

Příloha I-C Seznam sub-zpracovatelů

Tato příloha uvádí všechny subzpracovatele, které společnost Kolsetu GmbH využívá k datu účinnosti této DPA. Změny tohoto seznamu podléhají postupu oznámení a námitek podle článku 6. Nová verze této přílohy bude vydána Správci při změně smluv o subzpracování.

Příloha 2 Technická a organizační opatření (TOMs)

Společnost Kolsetu GmbH spravuje systém řízení bezpečnosti informací (ISMS) v souladu s normou ISO 27001 a tato opatření minimálně jednou ročně přezkoumává a aktualizuje. Následující opatření jsou platná od data účinnosti této DPA.