Zpracovatelská smlouva (DPA)

SMLOUVA O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ (DPA)

účinná od: 19. 7. 2026

Tato smlouva o zpracování osobních údajů (dále jen „Smlouva") upravuje zpracování osobních údajů podle čl. 28 Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR). Tvoří nedílnou přílohu Všeobecných obchodních podmínek (paragrafiq.cz/vop) a uplatní se vždy, když Uživatel vkládá do Platformy osobní údaje třetích osob.

1.1. Zpracovatel: Azonal Systems s.r.o., se sídlem Školská 660/3, Nové Město, 110 00 Praha 1, IČO: 24083208, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, sp. zn. C 438486, e-mail: info@paragrafiq.cz, datová schránka: 8t88tp3 (dále jen „Zpracovatel").

1.2. Správce: Uživatel Platformy, který je podnikatelem, právnickou osobou nebo advokátem a který prostřednictvím Platformy zpracovává osobní údaje třetích osob (zejména svých klientů, zaměstnanců nebo protistran) - dále jen „Správce".

1.3. Vymezení rolí. Ve vztahu k údajům, které Správce sám vloží do Platformy (obsah dotazů, nahrané dokumenty, obsah spisů), je Správce správcem a Zpracovatel zpracovatelem. Ve vztahu k údajům o samotném účtu Uživatele (registrační a fakturační údaje, provozní logy) vystupuje Zpracovatel jako samostatný správce; toto zpracování upravují Zásady ochrany osobních údajů (paragrafiq.cz/soukromi).

1.4. Uzavření Smlouvy. Smlouva je uzavřena okamžikem, kdy Uživatel vystupující jako Správce začne Platformu užívat ke zpracování osobních údajů třetích osob, nejpozději akceptací Všeobecných obchodních podmínek. Na žádost Zpracovatel poskytne Správci Smlouvu i v podobě samostatného podepsaného dokumentu (info@paragrafiq.cz).

2.1. Předmět a účel. Zpracovatel zpracovává osobní údaje výhradně za účelem poskytnutí funkcí Platformy objednaných Správcem, zejména provozu AI asistenta, hloubkové rešerše, analýzy nahraných dokumentů, generování dokumentů a jejich uložení na účtu Správce.

2.2. Povaha zpracování. Shromažďování, ukládání, strukturování, nahlížení, použití, předání dalším zpracovatelům (čl. 5), šifrování, pseudonymizace a výmaz - vše automatizovanými prostředky.

2.3. Doba zpracování. Po dobu trvání smluvního vztahu (existence účtu Správce), nejdéle však do uplynutí retenčních lhůt uvedených v čl. 7 Zásad ochrany osobních údajů. Správce může kterýkoli dokument, konverzaci i celý účet kdykoli smazat.

2.4. Kategorie subjektů údajů. Určuje svým vstupem Správce; typicky klienti Správce, protistrany, zaměstnanci, statutární orgány a další osoby uvedené v podkladech.

2.5. Typy osobních údajů. Určuje svým vstupem Správce; typicky identifikační a kontaktní údaje, údaje ze smluv a podání, majetkové a finanční údaje a další údaje obsažené ve vložených dokumentech. Vložený obsah může obsahovat i zvláštní kategorie údajů dle čl. 9 GDPR nebo údaje o trestních věcech dle čl. 10 GDPR; za existenci právního základu pro jejich vložení odpovídá Správce.

3.1. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce. Za doložený pokyn se považuje užívání Platformy Správcem v souladu s Všeobecnými obchodními podmínkami a touto Smlouvou, včetně pokynů zadaných prostřednictvím uživatelského rozhraní.

3.2. Zpracovatel nepoužívá osobní údaje Správce k vlastním účelům, zejména je nepoužívá k trénování ani zlepšování modelů umělé inteligence, k profilování ani k marketingu.

3.3. Domnívá-li se Zpracovatel, že určitý pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů, neprodleně o tom Správce informuje.

4.1. Zpracovatel zajišťuje, že osoby oprávněné zpracovávat osobní údaje jsou zavázány k mlčenlivosti, a to i po skončení jejich činnosti pro Zpracovatele.

4.2. Přístup k produkčním systémům má pouze nezbytně nutný okruh osob na straně Zpracovatele.

5.1. Obecné povolení. Správce uděluje Zpracovateli obecné povolení k zapojení dalších zpracovatelů. Aktuální seznam je vždy dostupný na paragrafiq.cz/subzpracovatele.

5.2. Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti ochrany údajů, jaké vyplývají z této Smlouvy, a odpovídá Správci za plnění jejich povinností.

5.3. Změna subzpracovatele. O zamýšleném přijetí nového subzpracovatele nebo nahrazení stávajícího informuje Zpracovatel Správce nejméně 14 dní předem (e-mailem nebo oznámením v Platformě). Správce má právo z relevantních důvodů souvisejících s ochranou osobních údajů vznést proti změně námitku; nedojde-li k dohodě, může Správce smlouvu o poskytování služeb bez sankce vypovědět ke dni účinnosti změny.

6.1. Pro generování odpovědí předává Zpracovatel část vloženého obsahu poskytovateli AI modelu ze skupiny OpenAI (OpenAI Ireland Limited a přidružené společnosti v USA).

6.2. Před předáním Zpracovatel na vlastní infrastruktuře v EU automatizovaně pseudonymizuje detekované osobní údaje (jména fyzických osob, rodná čísla, čísla účtů, telefonní čísla, e-mailové adresy a další identifikátory) - nahrazuje je zástupnými označeními. Převodní tabulka je uložena výhradně šifrovaně na serverech v EU a poskytovateli AI modelu se nikdy nepředává. Detekce probíhá automatizovaně a nemusí zachytit všechny údaje ve všech tvarech.

6.3. Předání do USA je zajištěno standardními smluvními doložkami dle čl. 46 odst. 2 písm. c) GDPR, které jsou součástí zpracovatelské smlouvy uzavřené s poskytovatelem AI modelu. Data z API volání nejsou používána k trénování modelů a jsou u poskytovatele uchovávána nejvýše 30 dnů výhradně pro účely prevence zneužití.

6.4. Kopii záruk pro předání poskytne Zpracovatel Správci na žádost zaslanou na info@paragrafiq.cz.

7.1. Zpracovatel přijal zejména tato technická a organizační opatření:

a) veškerá data jsou uložena na serverech v Evropské unii (Německo); databáze není přístupná z veřejného internetu,

b) obsah nahraných dokumentů, výsledky analýz a převodní tabulky pseudonymizace jsou v databázi šifrovány (AES-256-GCM); šifrovací klíče jsou uloženy odděleně mimo databázi,

c) pseudonymizace osobních údajů před předáním poskytovateli AI modelu (čl. 6.2),

d) šifrování přenosu (TLS),

e) řízení přístupů a omezení okruhu osob s přístupem k produkčním systémům,

f) volitelný režim „Trezor", v němž je šifrovací klíč dokumentů Správce chráněn klíčem odvozeným z jeho hesla; obsah pak nelze dešifrovat bez přihlášené relace Správce, a to ani ze strany Zpracovatele.

7.2. Podrobný popis opatření je uveden na paragrafiq.cz/bezpecnost.

8.1. Práva subjektů údajů. Zpracovatel je Správci nápomocen vhodnými technickými a organizačními opatřeními při plnění povinnosti reagovat na žádosti subjektů údajů (čl. 15 až 22 GDPR). Správce může většinu žádostí vyřídit sám prostřednictvím funkcí Platformy (export dat, oprava, výmaz konverzace, dokumentu nebo účtu). Obdrží-li Zpracovatel žádost subjektu údajů týkající se údajů Správce, sám ji nevyřizuje a bez zbytečného odkladu ji předá Správci.

8.2. Posouzení vlivu (DPIA). Zpracovatel poskytne Správci na žádost součinnost při posouzení vlivu na ochranu osobních údajů a při předchozí konzultaci s dozorovým úřadem (čl. 35 a 36 GDPR), a to v rozsahu informací, které má k dispozici.

9.1. Zjistí-li Zpracovatel porušení zabezpečení osobních údajů, ohlásí je Správci bez zbytečného odkladu poté, co se o něm dozvěděl, aby Správce mohl splnit svou ohlašovací povinnost dle čl. 33 GDPR (zpravidla do 72 hodin).

9.2. Ohlášení obsahuje popis povahy porušení, kategorie a přibližný počet dotčených subjektů a záznamů, pravděpodobné důsledky a přijatá či navrhovaná opatření - v rozsahu, v jakém jsou Zpracovateli známy.

10.1. Po skončení poskytování služby Zpracovatel podle volby Správce osobní údaje vymaže nebo je Správci vrátí. Správce si může data kdykoli sám exportovat prostřednictvím funkce v nastavení účtu.

10.2. Nezvolí-li Správce jinak, Zpracovatel údaje vymaže v souladu s retenčními lhůtami dle čl. 7 Zásad ochrany osobních údajů. Tím není dotčena povinnost Zpracovatele uchovat údaje, vyžaduje-li to právní předpis (zejména účetní a daňové doklady dle čl. 17 odst. 3 písm. b) GDPR).

11.1. Zpracovatel poskytne Správci na žádost informace nezbytné k doložení splnění povinností podle čl. 28 GDPR.

11.2. Správce je oprávněn provést audit, včetně inspekce, a to nejvýše jednou ročně (a dále kdykoli po porušení zabezpečení), po předchozím písemném oznámení nejméně 30 dní předem, v pracovní době, způsobem nenarušujícím provoz Zpracovatele a při zachování mlčenlivosti. Zpracovatel může povinnost splnit i předložením aktuální zprávy nezávislého auditora nebo bezpečnostní dokumentace.

12.1. Je-li Správcem advokát, bere na vědomí, že údaje z advokátního spisu vložené do Platformy jsou zpracovávány způsobem popsaným v této Smlouvě, včetně předání pseudonymizovaného obsahu poskytovateli AI modelu do USA dle čl. 6.

12.2. Zpracovatel zachovává ve vztahu k těmto údajům mlčenlivost a přijímá opatření dle čl. 7. Advokát odpovídá za posouzení slučitelnosti užití Platformy se svou povinností mlčenlivosti dle § 21 zákona č. 85/1996 Sb., o advokacii, a za případné získání souhlasu klienta; k omezení rozsahu předávaných údajů může využít zejména režim „Trezor" a povinnost minimalizace vkládaných údajů.

13.1. Odpovědnost stran se řídí čl. 82 GDPR a příslušnými ustanoveními Všeobecných obchodních podmínek.

13.2. Tato Smlouva se řídí právním řádem České republiky. V otázkách touto Smlouvou neupravených se použijí Všeobecné obchodní podmínky a Zásady ochrany osobních údajů.

13.3. Zpracovatel je oprávněn tuto Smlouvu jednostranně změnit zejména v důsledku změny právní úpravy, rozhodovací praxe dozorových úřadů nebo změny technického řešení; o změně informuje Správce nejméně 14 dní předem. Nesouhlasí-li Správce se změnou, může smlouvu o poskytování služeb bez sankce vypovědět ke dni její účinnosti.

13.4. Aktuální znění je vždy dostupné na paragrafiq.cz/dpa.