Účinnost od 12. 8. 2026 · Verze 1.1 · Smluvní strana H&M SERVICES INTERNATIONAL LTD
Tato Smlouva o zpracování osobních údajů („Smlouva“ nebo „DPA„) tvoří součást Smlouvy o poskytování služeb (zejména Přílohy B — AI Team na klíč, Přílohy C — CliqSales AI CRM a Přílohy F — AI Team) mezi:
Správce (Zákazník):
Obchodní firma / Jméno: _______________________________ Sídlo: _______________________________ IČO: _______________________________ DIČ: _______________________________ Zastoupený: _______________________________ (dále jen „Zákazník“ nebo „Správce„)
a
Zpracovatel:
H&M SERVICES INTERNATIONAL LTD Sídlo: 20 Wenlock Road, London N1 7GU, England Identifikační číslo společnosti: 14898062 Společnost je založená a zapsaná v obchodním rejstříku Anglie a Walesu (Companies House) jako Private Limited Company Zastoupený: Pavel Hrdlička, jednatel (dále jen „CliqSales“ nebo „Zpracovatel„)
(společně jako „Strany„)
(A) Zákazník vystupuje jako Správce osobních údajů svých zákazníků, kontaktů a dalších subjektů údajů.
(B) Zákazník si přeje využívat služby CliqSales, v rámci kterých CliqSales zpracovává osobní údaje jménem Zákazníka jako zpracovatel — zejména AI Team na klíč (Příloha B), CliqSales AI CRM (Příloha C) a AI Team (Příloha F — samostatné předplatné softwaru). Tato DPA se nepoužije na služby, u kterých CliqSales nevystupuje jako zpracovatel osobních údajů jménem Zákazníka (zejména AI Transformation Akcelerátor dle Přílohy A, Mastermind komunita dle Přílohy D a AI Transformation Summit dle Přílohy E).
(C) CliqSales poskytuje služby na dvou typech infrastruktury:
Seznam Podzpracovatelů, které CliqSales využívá pro každý typ služby, je v Příloze A.
(D) Strany se zavazují dodržovat Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR), zákon č. 110/2019 Sb., o zpracování osobních údajů, a další platné zákony.
(E) Strany výslovně sjednávají, že tato DPA může být uzavřena rovněž elektronickou akceptací Všeobecných obchodních podmínek CliqSales dostupných na cliqsales.cz/obchodni-podminky/ (viz čl. 11.2 VOP) — fyzický podpis tohoto dokumentu není podmínkou jeho platnosti. Pro Zákazníky, kteří z důvodu interního compliance nebo auditu vyžadují samostatně podepsanou DPA, ji CliqSales na vyžádání vystaví jako podepsaný dokument.
1.1 Není-li v této Smlouvě stanoveno jinak, mají výrazy psané velkým počátečním písmenem následující význam:
1.1.1 „Smlouva“ znamená tuto Smlouvu o zpracování osobních údajů a všechny Přílohy.
1.1.2 „Hlavní smlouva“ — smluvní vztah mezi Zákazníkem a CliqSales upravený Všeobecnými obchodními podmínkami a kteroukoli z Příloh B (AI Team na klíč), C (CliqSales AI CRM) nebo F (AI Team — samostatné předplatné).
1.1.3 „Osobní údaje Zákazníka“ — jakékoli Osobní údaje zpracovávané CliqSales nebo Podzpracovateli jménem Zákazníka v souvislosti s poskytováním Služeb.
1.1.4 „Podzpracovatel“ — jakákoli třetí strana jmenovaná CliqSales ke zpracování Osobních údajů jménem Zákazníka (viz Příloha A).
1.1.5 „Zákony o ochraně osobních údajů“ — GDPR, český zákon č. 110/2019 Sb., o zpracování osobních údajů, a další platné zákony EU a České republiky o ochraně osobních údajů.
1.1.6 „EHP“ — Evropský hospodářský prostor.
1.1.7 „GDPR“ — obecné nařízení EU o ochraně osobních údajů 2016/679.
1.1.8 „Předání údajů“ — předání Osobních údajů Zákazníka do zemí mimo EU/EHP, zejména:
1.1.9 „Služby“ zahrnují zejména:
Pro CliqSales AI CRM (Příloha C):
Pro AI Team (Příloha B i Příloha F):
1.2 Termíny „Správce“, „Zpracovatel“, „Subjekt údajů“, „Osobní údaje“, „Porušení zabezpečení osobních údajů“, „Zpracování“ a „Dozorový úřad“ (Úřad pro ochranu osobních údajů, ÚOOÚ) mají stejný význam jako v GDPR.
CliqSales se zavazuje:
2.1.1 Zpracovávat Osobní údaje Zákazníka výhradně na základě zdokumentovaných pokynů Zákazníka, včetně Hlavní smlouvy, této DPA a pokynů zadaných prostřednictvím CliqSales platformy.
2.1.2 Dodržovat všechny platné Zákony o ochraně osobních údajů.
2.1.3 Nezpracovávat Osobní údaje pro vlastní účely ani je neposkytovat třetím stranám s výjimkou Podzpracovatelů uvedených v Příloze A.
2.1.4 Informovat Zákazníka, pokud by pokyn Zákazníka byl v rozporu s GDPR nebo dalšími zákony o ochraně osobních údajů.
| Parametr | Hodnota |
|---|---|
| Účel | Poskytování CRM, marketingových a AI personalizačních služeb |
| Typy údajů | Jména, e-mailové adresy, telefonní čísla, IP adresy, údaje o chování na webu, obchodní komunikace, odpovědi v kvízech / dotaznících, další údaje vložené Zákazníkem |
| Zvláštní kategorie údajů (čl. 9 GDPR) | NE — Zákazník nesmí v platformě zpracovávat zvláštní kategorie údajů (zdraví, rasa, politické názory, atd.) bez výslovného samostatného právního důvodu a předchozí konzultace s CliqSales |
| Kategorie subjektů údajů | Zákazníci, potenciální zákazníci, kontakty Zákazníka, zaměstnanci, partneři |
| Doba zpracování | Po dobu trvání Hlavní smlouvy a následně podle bodu 9 |
3.1 CliqSales zajistí, že:
3.1.1 Přístup k Osobním údajům Zákazníka mají pouze oprávnění zaměstnanci a smluvní partneři, kteří jej potřebují pro poskytování Služeb (princip „need-to-know“).
3.1.2 Všichni zaměstnanci a smluvní partneři s přístupem k údajům jsou vázáni zákonnou nebo smluvní povinností mlčenlivosti.
3.1.3 Zaměstnanci jsou proškoleni v oblasti ochrany osobních údajů.
4.1 CliqSales implementuje vhodná technická a organizační opatření podle čl. 32 GDPR odpovídající povaze, rozsahu, kontextu a účelům zpracování a riziku pro práva a svobody subjektů údajů:
Technická opatření:
Organizační opatření:
4.2 Průběžný rozvoj. Bezpečnostní architekturu CliqSales průběžně rozšiřuje podle potřeb Zákazníků, vývoje technologického prostředí a aktuálního stavu techniky (state of the art). Konkrétní opatření se mohou v čase měnit; o významných změnách bude Zákazník informován.
4.3 CliqSales spoléhá na bezpečnostní infrastrukturu svých Podzpracovatelů:
Zákazník výslovně souhlasí s využitím Podzpracovatelů uvedených v Příloze A této Smlouvy, zejména:
CliqSales může přidat nebo nahradit Podzpracovatele za těchto podmínek:
5.2.1 CliqSales informuje Zákazníka minimálně 30 dnů předem e-mailem o plánované změně.
5.2.2 Zákazník má právo vznést odůvodněné námitky do 14 dnů od oznámení.
5.2.3 Pokud CliqSales nemůže námitky vyřešit, má Zákazník právo ukončit Smlouvu bez sankce.
5.2.4 Aktuální seznam Podzpracovatelů je vždy dostupný na cliqsales.cz/podzpracovatele/ nebo na žádost na [email protected].
CliqSales zůstává plně odpovědný vůči Zákazníkovi za zpracování prováděné Podzpracovateli a vázán jejich smluvními povinnostmi na úrovni odpovídající této DPA.
5.5.1 V AI Teamu (Příloha B i Příloha F) si poskytovatele AI modelů připojuje Zákazník pod vlastním účtem nebo API klíčem; bez vložení vlastních přístupových údajů modelové funkce neběží. CliqSales v AI Teamu poskytovatele modelů nedodává ani nenasmlouvává.
V ostatních Produktech (zejména CliqSales AI CRM) lze integrace provozovat buď pod účtem CliqSales — pak je poskytovatel Podzpracovatelem dle Přílohy A — nebo pod vlastními přístupy Zákazníka, například vložením vlastního klíče OpenRouter.
5.5.2 Pokud integrace běží pod vlastními přístupy Zákazníka, není poskytovatel Podzpracovatelem CliqSales ve smyslu čl. 1.1.4. Smluvní vztah vzniká přímo mezi Zákazníkem a poskytovatelem a řídí se tarifem, který si Zákazník zvolil. Volba poskytovatele, tarifu i nastavení — zejména zda poskytovatel používá vstupy k trénování modelů — je na Zákazníkovi.
5.5.3 Záruky podle čl. 11.2 a 11.3 se na integrace připojené pod vlastními přístupy Zákazníka nevztahují.
5.5.4 Bez ohledu na zvolený způsob zpracovává CliqSales údaje procházející vlastní infrastrukturou jako zpracovatel; na tuto část zpracování se tato DPA vztahuje v plném rozsahu.
5.5.5 Týž poskytovatel může být současně Podzpracovatelem CliqSales pro jiný účel (například pro interní potřeby CliqSales). Rozhodující je, pod čími přístupovými údaji konkrétní zpracování probíhá.
CliqSales poskytne Zákazníkovi přiměřenou součinnost při plnění povinností Zákazníka vůči Subjektům údajů, zejména při:
6.2.1 Pokud CliqSales obdrží žádost přímo od Subjektu údajů, neprodleně (do 2 pracovních dnů) informuje Zákazníka.
6.2.2 CliqSales neodpoví na žádost bez výslovného souhlasu Zákazníka, s výjimkou případů, kdy to vyžaduje zákon.
6.2.3 CliqSales poskytuje nástroje v platformě pro export, opravu a výmaz dat.
6.2.4 Odpovědnost za odpověď Subjektu údajů nese Zákazník jako Správce.
CliqSales oznámí Zákazníkovi Porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy se o něm dozví.
Oznámení bude obsahovat minimálně:
CliqSales bude aktivně spolupracovat s Zákazníkem při:
8.1 Na vyžádání CliqSales poskytne Zákazníkovi informace potřebné pro posouzení vlivu na ochranu údajů podle čl. 35 GDPR, zejména:
Do 30 dnů od ukončení Hlavní smlouvy CliqSales:
9.1.1 Na výběr Zákazníka buď:
9.1.2 Výjimka: CliqSales může uchovat údaje, pokud to vyžaduje zákon (např. účetní doklady — 10 let dle zákona o účetnictví), ale pouze po nezbytnou dobu.
Údaje v automatických zálohách budou vymazány v rámci standardního cyklu přepisu záloh (max. 90 dnů).
Zákazník má právo provést audit zpracování nebo pověřit nezávislého auditora:
10.1.1 Žádost o audit musí být podána minimálně 30 dnů předem.
10.1.2 Audit může být proveden maximálně 1× ročně (s výjimkou případů podezření na porušení).
10.1.3 Audit se provádí v pracovní době a nesmí narušit provoz CliqSales.
10.1.4 Auditor podléhá povinnosti mlčenlivosti.
10.1.5 Náklady na audit nese Zákazník, pokud audit neodhalí závažné porušení této Smlouvy.
CliqSales poskytne na vyžádání:
Místo vlastního auditu může Zákazník přijmout:
Pro AI Team (Příloha B i Příloha F) jsou Osobní údaje primárně ukládány na infrastruktuře CliqSales hostované u Hetzner Online GmbH v Německu (EU/EHP) — z titulu hostingu k mezinárodnímu předávání nedochází. K předávání mimo EU/EHP dochází pouze tehdy, pokud konkrétní funkce AI Teamu volá AI modely poskytovatelů mimo EU/EHP (OpenAI, Anthropic, Google) — v takovém případě platí záruky uvedené níže.
Pro CliqSales AI CRM (Příloha C) jsou Osobní údaje ukládány v infrastruktuře HighLevel Inc. (USA); předávání mimo EU/EHP probíhá průběžně.
Zákazník výslovně souhlasí s předáváním Osobních údajů mimo EU/EHP následujícím Podzpracovatelům:
Do USA:
| Podzpracovatel | Účel | Právní záruka |
|---|---|---|
| HighLevel Inc. (GoHighLevel) | Primární platforma a databáze | EU-US Data Privacy Framework + SCC |
| Cloudflare Inc. | CDN a bezpečnostní služby | EU-US DPF + SCC |
| OpenAI, L.L.C. | AI modely pod účty CliqSales (Business/Enterprise tier) | SCC Module 2/3 dle Decision EU 2021/914 |
| Anthropic PBC | AI modely pod účty CliqSales (Commercial Agreement) | SCC Module 2/3 dle Decision EU 2021/914, DPA z 24. 2. 2025 |
| Google LLC | AI modely pod účty CliqSales, Workspace, analytika | EU-US DPF + SCC |
| Twilio Inc. | SMS, e-mail (Mailgun, SendGrid) | EU-US DPF + SCC |
| Stripe Inc. | Platby (záložně, primárně přes Stripe Payments Europe Ltd v Irsku) | EU-US DPF + SCC |
Do dalších zemí: Podle aktuálního seznamu v Příloze A.
CliqSales zajišťuje, že předávání je v souladu s čl. 44–50 GDPR prostřednictvím:
CliqSales smluvně zajišťuje, že Osobní údaje Zákazníka nejsou používány k tréninku jazykových modelů žádného z AI Podzpracovatelů (Anthropic, OpenAI, Google). Garance vychází z:
Rozsah garance. Garance se vztahuje na zpracování, které CliqSales provádí pod vlastními účty u AI poskytovatelů. Nevztahuje se na poskytovatele modelů, které si Zákazník připojí pod vlastními přístupovými údaji dle čl. 5.5 — tam se uplatní podmínky tarifu zvoleného Zákazníkem. U spotřebitelských tarifů bývá trénování ve výchozím stavu zapnuté.
Zákazník může kdykoliv vyžádat kopie příslušných záruk (SCC smlouvy, certifikace) na [email protected].
CliqSales odpovídá za škody způsobené porušením této Smlouvy v rozsahu stanoveném Hlavní smlouvou a platnými zákony.
Odpovědnost za škody způsobené Podzpracovateli je omezena na limity jejich podmínek a pojistného krytí (zejména HighLevel Inc.). Toto omezení neplatí v případech, kdy zákon takové omezení vylučuje — zejména úmyslné nebo hrubě nedbalé jednání, újma na zdraví, újma způsobená vadou věci dle § 2898 a § 2924 a násl. OZ.
CliqSales doporučuje Zákazníkovi vlastní pojištění kybernetických rizik pro komplexní ochranu.
Obě Strany zachovají mlčenlivost o všech důvěrných informacích získaných v souvislosti s touto Smlouvou, s výjimkou případů, kdy zveřejnění vyžaduje zákon.
Všechna oznámení musí být:
Kontaktní e-maily:
Změny této Smlouvy musí být písemné a podepsané oběma Stranami, s výjimkou aktualizace seznamu Podzpracovatelů podle bodu 5.2.
Pokud je některé ustanovení této Smlouvy neplatné, ostatní ustanovení zůstávají v platnosti.
V případě rozporu mezi:
má přednost tato DPA v otázkách ochrany osobních údajů.
14.1 Tato Smlouva se řídí právem České republiky.
14.2 Všechny spory budou řešeny věcně a místně příslušnými soudy České republiky.
14.3 Před zahájením soudního řízení se Strany zavazují pokusit o smírné řešení sporu.
NA DŮKAZ ČEHOŽ Strany tuto Smlouvu uzavřely k datu uvedenému níže.
Jméno: _______________________________ Funkce: _______________________________ Datum: _______________________________ Podpis: _______________________________
Jméno: Pavel Hrdlička Funkce: jednatel Datum: _______________________________ Podpis: _______________________________
Platné k datu účinnosti DPA uvedenému v záhlaví.
| Podzpracovatel | Země | Účel | Zabezpečení |
|---|---|---|---|
| Hetzner Online GmbH | Německo (EU) | AI Team (Příloha B i Příloha F) — hosting SaaS instancí Zákazníků, datacentra Falkenstein / Norimberk / Helsinki | ISO 27001, vlastní DPA Hetzner, datacentra plně v EU/EHP |
| HighLevel Inc. (GoHighLevel) | USA | CliqSales AI CRM (Příloha C) — CRM, databáze, e-mail/SMS infrastruktura | SOC 2 Type II, EU-US DPF, SCC |
| Cloudflare Inc. | USA | CDN, DDoS ochrana, zabezpečení, infrastruktura | ISO 27001, EU-US DPF, SCC |
| Podzpracovatel | Země | Účel | Zabezpečení |
|---|---|---|---|
| Twilio Inc. | USA | Odesílání SMS zpráv | SOC 2, ISO 27001, SCC |
| Mailgun (Sinch Email) | USA | E-mail infrastruktura | SOC 2, SCC |
| SendGrid (Twilio) | USA | E-mail infrastruktura | SOC 2, SCC |
Tato sekce uvádí AI služby, které CliqSales nasmlouvává a provozuje pod vlastními účty. Modely, které si Zákazník připojí pod vlastními přístupy, Podzpracovateli nejsou — viz sekce 6 a čl. 5.5.
| Podzpracovatel | Země | Účel | Zabezpečení |
|---|---|---|---|
| OpenAI, L.L.C. | USA | AI modely (GPT) — Business/Enterprise tier | SOC 2 Type II, SCC Module 2/3, zero training default |
| Anthropic PBC | USA | AI modely (Claude) — Commercial Agreement | SOC 2 Type II, SCC Module 2/3 dle Decision EU 2021/914, DPA z 24. 2. 2025, zero training default |
| Google LLC | USA | Google AI / Gemini, Google Workspace | SOC 2, ISO 27001, EU-US DPF, SCC |
| Mistral AI | EU (Francie) | AI modely | GDPR-compliant (sídlo v EU) |
| Podzpracovatel | Země | Účel | Zabezpečení |
|---|---|---|---|
| Stripe Payments Europe Limited | Irsko (EU) | Zpracování plateb v EU | PCI-DSS Level 1, GDPR-compliant |
| Stripe, Inc. | USA | Zpracování plateb mimo EU | PCI-DSS Level 1, EU-US DPF, SCC |
| Podzpracovatel | Země | Účel | Zabezpečení |
|---|---|---|---|
| Zoom Video Communications, Inc. | USA | Online workshopy a hovory | SOC 2, ISO 27001, EU-US DPF, SCC |
| Fireflies.ai | USA | Přepisy a souhrny hovorů (na základě souhlasu Zákazníka) | SOC 2, SCC |
Následující služby si Zákazník připojuje pod vlastním účtem nebo API klíčem. Nejsou Podzpracovateli CliqSales a nevztahují se na ně záruky dle čl. 11.2 a 11.3 (viz čl. 5.5).
| Kategorie | Příklady | Kdo je smluvní stranou |
|---|---|---|
| Poskytovatelé AI modelů v AI Teamu | vlastní předplatné ChatGPT / Codex, vlastní klíč OpenRouter, vlastní API klíč AI poskytovatele | Zákazník |
| Integrace s vlastním klíčem v ostatních Produktech | vlastní klíč OpenRouter v CliqSales AI CRM, vlastní API klíč Fireflies | Zákazník |
Upozornění. U spotřebitelských tarifů (například ChatGPT Plus či Pro) uvádí poskytovatel, že obsah může být použit k trénování modelů, dokud to Zákazník ve svém účtu nevypne. Poskytovatelé rovněž nemusí ke spotřebitelským tarifům uzavírat smlouvu o zpracování podle GDPR. Volba tarifu a jeho nastavení je na Zákazníkovi.
cliqsales.cz/podzpracovatele/.